凌晨两点十七分，黑客我盯着屏幕右下角那个突然亮了一下的入侵摄像头指示灯。绿色的电脑，只闪了不到半秒，视频又灭了。黑客要不是入侵我正好在等一个压缩包解压完，根本不会注意到。电脑那台笔记本买了三年，视频摄像头从来没自己亮过。黑客

我第一反应是入侵系统抽风。打开任务管理器，电脑进程列表里有个叫“svchost.exe”的视频条目占着CPU，看起来正常。黑客但它的入侵内存占用在缓慢爬升——12MB，18MB，电脑26MB。普通系统服务不会这么涨。我点开文件位置，路径指向C:\Windows\Temp\，里面躺着一个三天前创建的文件夹，名字是一串随机字符。手开始发凉。

这不是我第一次撞见入侵。两年前在旧公司，一台测试机的鼠标指针会在没人碰的情况下自己移动，像被一根看不见的线拽着走。当时我们以为是无线鼠标串频，换了有线，照旧。后来网管拔了网线，指针才老实。那次之后我才知道，远程控制工具可以做得比原厂驱动还安静。

说回眼前。我拔掉网线，那个进程的CPU占用立刻掉到零。再插上，又涨。基本可以确定：有东西在往外传数据。用Wireshark抓包，看到每三秒往一个荷兰的IP发一次心跳包，每次不到200字节。小得可怜，但持续不断。这种手法叫“低频信标”，专门躲流量监控。攻击者根本不需要实时盯着你，他只需要知道你的机器什么时候在线。

真正让我后颈发麻的是摄像头。我翻系统日志，发现一个叫“Windows Camera Frame Server”的服务在过去一周里被调用了四十多次，时间点全是我离开电脑去泡茶或者上厕所的间隙。每次持续两到三分钟。日志里没记录任何应用程序请求摄像头——它绕过了常规调用接口，直接跟驱动对话。这种操作，普通木马做不到，得是定制化的内核级后门。

我后来在Reddit上看到一个帖子，有人卖“商业级监控套件”，宣传语写着“无进程、无服务、无日志”。底下有人回复说买过，装完第二天就被杀软揪出来了。卖家回了一句：“那是你没关掉驱动签名强制。”你看，连黑产都在卷技术细节。

普通人怎么判断自己有没有中招？说几个我实际验证过的土办法。第一，拿手机摄像头对着笔记本摄像头——手机能拍到红外光，如果笔记本摄像头在工作，手机屏幕上会看到一个淡紫色的光点。第二，看路由器后台的“已连接设备”列表，有没有你不认识的MAC地址。第三，最笨的：断网之后，如果风扇突然不转了、或者某个一直发热的进程突然凉了，那它大概率在联网干活。

别信那些“黑客不会盯上你”的鬼话。我认识一个写网文的，电脑被入侵了整整四个月，对方就干一件事：把他每天写的章节提前两小时发到盗版网站上。他直到编辑打电话问“你怎么自己剧透”才发现。攻击者的动机可以荒谬到你想不到——有人纯粹为了练手，有人为了偷游戏账号，有人就喜欢看你摄像头里的生活。

那天晚上我重装了系统，格式化了所有硬盘，连BIOS都刷了一遍。但直到现在，每次看到摄像头指示灯闪，我还是会下意识拿块胶布贴上。这不是被害妄想。你电脑里那个小小的绿点，可能正连着地球另一端某个地下室的屏幕，而屏幕前的人，正端着一杯咖啡，看你打字。