昨天下午，恶意我同事老张的代码电脑突然开始疯狂弹窗，鼠标自己动起来，检测桌面文件被挨个删除。工具他第一反应是下载拔网线，然后问我有没有“靠谱的恶意杀毒软件”。我扔给他一个U盘，代码里面装着Process Explorer和Autoruns——这俩工具加起来不到5MB，检测但比任何全家桶都管用。工具

下载恶意代码检测工具，下载最忌讳的恶意就是去搜索引擎点那些带“官方”字样的推广链接。上个月有个网友在论坛吐槽，代码他在百度搜“病毒查杀工具”，检测点进第一个结果，工具下载完一运行，下载电脑直接蓝屏。重启后桌面多了个“比特币矿工”文件夹。你说讽刺不讽刺？真正的恶意代码检测工具，反而被他从恶意网站下载了。

靠谱的渠道就那几个：微软官方Sysinternals套件、Process Hacker的GitHub仓库、或者Malwarebytes的官网。这些地方没有花里胡哨的下载按钮，页面朴素得像2005年的论坛。但恰恰是这种“丑”界面，才是安全的标志——恶意软件作者可没耐心把官网做得那么难看。

装好工具之后，别急着双击扫描。你得先明白一个道理：检测工具不是银弹。上周我帮一个朋友排查电脑，他装了三个杀软，全开实时监控，结果系统卡得像幻灯片。我关掉两个，只留Windows Defender，再用Process Explorer看进程树，十分钟就揪出了一个伪装成“svchost.exe”的木马——它在系统目录里，但路径多了个小数点。

具体操作其实不复杂。打开Process Explorer，按CPU占用排序，找那些名字眼熟但公司签名不明的进程。右键→Properties→Image，看它的路径和数字签名。如果签名显示“未验证”，或者路径在Temp文件夹，直接右键Kill。再用Autoruns看启动项，勾掉那些指向奇怪位置的注册表条目。整个过程像做侦探——你不需要理解每一行代码，只需找到“不合理”的地方。

有个细节很多人忽略：检测工具下载后，第一件事是校验哈希值。拿你下载的文件和官网公布的SHA256比对，哪怕差一个字符都别运行。我习惯用PowerShell自带的Get-FileHash命令，十秒钟搞定。这招能过滤掉90%的“假工具”——那些在下载站被捆绑了推广软件的东西，哈希值绝对对不上。

工具用完了，记得删掉。别留着当摆设。检测完的电脑重启一次，再跑一遍快速扫描，确认没有残留。上周我清理完一台机器，重启后Autoruns里又冒出来一个陌生服务——原来木马有守护进程，杀掉主进程后它会自动重建。这时候得进安全模式，把服务项禁用，再删除对应文件。麻烦是麻烦了点，但比重装系统省事多了。

说到底，下载工具只是第一步。真正考验人的是判断力——哪些进程可疑，哪些路径异常，哪些行为不合理。工具给你放大镜，但眼睛得长在自己头上。下次遇到电脑抽风，先别急着下什么“强力查杀版”，打开Process Explorer看两眼，可能比啥都管用。