内容摘要：2019年夏天，我帮朋友清理一台卡顿到几乎无法开机的笔记本。任务管理器里有个进程叫“svchost.exe”，CPU占用常年卡在48%。名字看着像系统组件，路径却在C:\Users\Public\Do

2019年夏天，寄生我帮朋友清理一台卡顿到几乎无法开机的虫程笔记本。任务管理器里有个进程叫“svchost.exe”，寄生CPU占用常年卡在48%。虫程名字看着像系统组件，寄生路径却在C:\Users\Public\Documents\下面。虫程真正的寄生svchost从来不住那儿。我把文件拖进沙箱跑了一遍，虫程十分钟后，寄生它开始给一个俄罗斯IP发送键盘记录。虫程这就是寄生寄生虫程序——不破坏系统，不弹窗，虫程不锁你文件，寄生只是虫程安静地住在你机器里，用你的寄生电、你的网、你的CPU，干它自己的事。

很多人把寄生虫和病毒、木马混着叫，其实差别挺大。病毒像流感，来了就发烧，杀完就好；木马像小偷，撬门进来偷完就走；寄生虫更像蛔虫——你甚至不知道它在，它也不急着弄死你，因为宿主死了它也没了。它要的是长期共生，只不过这种共生对你单方面不利。典型的寄生虫程序会把自己注入合法进程，比如浏览器、explorer.exe，或者干脆伪装成显卡驱动的一部分。你打开任务管理器，看到的全是正常名字，但每个进程背后都可能挂着一条尾巴。

我见过最离谱的一个案例，是某公司财务电脑上的“打印机后台服务”。那台机器每到凌晨三点就往外传数据，持续了十一个月。IT部门换过三次杀毒软件，全都没报毒。后来发现那个程序用了白名单签名，把自己注册成了系统计划任务，还改了注册表让Windows Defender把它当信任项。它传的不是什么大文件，每次就几十KB，混在正常流量里根本看不出来。十一个月，传走了整个财务部的邮件归档和共享盘里的Excel。

寄生虫的生存策略其实很朴素：降低存在感。不占太多CPU，不抢网速，不弹广告，不加密文件。它甚至会在你打开任务管理器的时候主动降频，你关掉窗口它再恢复。有些变种还会检测沙箱和虚拟机环境，一旦发现不对劲就休眠。安全圈有个说法叫“低慢小”——低消耗、慢渗透、小动作。这种模式特别适合APT攻击和商业间谍，因为传统的安全设备都是按阈值报警的，你流量不大、CPU不高，它根本不理你。

普通人怎么判断自己机器里有没有寄生虫？说实话，挺难的。但有几个信号值得留意：风扇无缘无故转得比以前勤，尤其是待机的时候；笔记本电池续航突然掉了一截；晚上关机前网络灯还在闪；或者你发现某个进程的名字拼写有点怪，比如“Chrome.exe”变成“Chr0me.exe”。更靠谱的办法是看网络连接——netstat -ano，看看有没有你不认识的IP在保持长连接。我自己的习惯是每隔几个月用Process Explorer查一遍所有进程的数字签名，没签名的、签名对不上的，一律扔进VirusTotal。

清除寄生虫比清除病毒麻烦。病毒可以格式化重装，寄生虫往往藏在固件、引导区或者备份还原分区里。你重装系统，它可能跟着驱动一起回来。最彻底的办法是刷BIOS、重建引导记录，再全盘擦写。但大多数人没这个条件，所以更现实的做法是：发现之后先断网，用Live CD启动，把可疑文件连同它的持久化机制一起干掉——计划任务、注册表Run键、WMI事件订阅，一个都别漏。杀不干净的话，换硬盘比修硬盘便宜。

写这些不是让你疑神疑鬼。绝大多数人的电脑里没有APT级别的寄生虫，但轻量级的挖矿脚本、浏览器劫持插件、后台刷量的傀儡进程，这些太常见了。它们就是数字世界的蛔虫，不致命，但恶心。你感觉不到它，不代表它不在。