电脑安全排查报告#

排查时间：2026-07-20（本机时间）
排查范围：运行进程、已安装软件、自启动项、计划任务、服务、网络连接、监听端口、驱动、Defender 历史、关键目录、磁盘占用
排查方式：只读检查，未修改/删除任何文件
权限说明：未使用管理员权限，部分项目（Defender 排除项、Prefetch）无法读取

一、总体结论#

没有发现 IP-guard、WorkWin、网眼、第三只眼、洞察眼、安企神、域智盾、超级眼、灰鸽子等常见员工监控/木马软件，也没有发现 ToDesk、向日葵、AnyDesk、TeamViewer、RustDesk 等远控软件在运行。

但发现 2 个实质性安全问题 + 若干风险配置，按严重程度排列如下。

二、高危发现#

1. XWorm 远程控制木马（Defender 两次报毒，文件和自启动项仍在）#

项目	内容
文件	`C:\Users\14504\Desktop\blakhole_v1.0.2\blackhole.exe`（2.6 MB，无数字签名）
压缩包	`C:\Users\14504\Desktop\blakhole_v1.0.2.zip`（64.9 MB，仍在桌面）
SHA256	`55EE9770312016F14F7143C71380552F3233B0B39888911132C1A5098A5002FA`
Defender 判定	Trojan/XWorm.GHM!MTB（严重度 5/5，XWorm 是知名远控木马，具备截屏、键盘记录、窃取密码能力）
检测记录	2026-07-09 报毒（文件）、2026-07-18 再次报毒（压缩包），均显示”处理成功”，但文件实际仍在磁盘上
自启动	注册表 Run 键存在 `BlackholeScreensaver` → 指向该 exe，每次开机自启
当前状态	进程未在运行（本次扫描时）

说明：该目录内有 Qt6/GLSL 图形库，外表是”黑洞屏保”程序，但 blackhole.exe 被判定为 XWorm，典型的”披着合法外衣的木马”。7月9日以来它可能随开机运行过多次。

建议立即处理（删除自启动项 → 删除文件和压缩包 → Defender 全盘扫描 → 修改重要账号密码，尤其是本机登录过的网银/邮箱/游戏账号）。

2. 不明来源的”行为录制”数据（截屏 + 鼠标轨迹记录）#

目录	大小	内容
`C:\Users\14504\behavior_data`	2.3 GB / 576 个文件	`behavior_.json`（逐毫秒记录鼠标坐标 mouse_move）+ `screenshot_.png`（全屏截图，含双屏副屏）
`C:\Users\14504\feedback_data`	1.2 GB / 273 个文件	`feedback_*.png` 截图 + json
`C:\Users\14504\learning_data`	空	—

录制时间集中在 2026-02-16 18<43>–18<49>（约 6 分钟的一次会话），之后未再出现。
这组目录名（behavior/feedback/learning_data）和数据结构（鼠标轨迹 + 定时截屏）是行为数据采集器的典型特征，常见于：AI 数据采集/标注兼职工具、自动化测试录制器、模仿学习采集脚本，也可能是恶意刷量工具。
扫描中未找到对应的常驻程序（一次性运行后未再活动）。
请回忆 2 月 16 日是否运行过数据采集/标注/自动化类工具。如果不是你自己跑的，应按入侵事件处理（删除数据 + 全盘查杀 + 改密码）。

三、中风险项（建议确认/收敛）#

远程桌面（RDP）处于开启状态（fDenyTSConnections=0，3389 端口正在监听）。个人电脑建议关闭：设置 → 系统 → 远程桌面 → 关。
Guest 来宾账户被启用，且 2026-07-12 有登录记录。建议：net user Guest /active:no 禁用。
Radmin VPN 常驻服务（RvControlSvc）：开机自启，与大量境外 IP（141.95.x、162.19.x、15.235.x 等）保持上百条连接，并在 26.x.x.x 虚拟网段监听。这是”游戏局域网 VPN”，等于把你的电脑接入了 P2P 虚拟内网，不用的话建议卸载。
UU远程（网易 GameViewer）服务常驻：本身就是远程桌面工具（串流/远控），GameViewerService 开机自启并联网。不串流时建议退出或卸载。
SakuraFrp（内网穿透）：服务目录存在，配置中 auto_start_tunnels 为空、当前无 frpc 进程，暂无活动隧道。注意其 config.json 含账号 token，建议不要泄露该文件；Defender 曾将其安装包标记为 PUA/FRProxy。
贴贴（tiez-app）在 0.0.0.0<12345> 监听——12345 是经典木马端口（此处是 TieZ 桌面应用占用），建议确认是否需要对局域网开放。
OPPO 互联 / coloros-assist：devicespace、oplus_remote_service、pantaChannelService 多个服务常驻并监听 10150/10152/46999 端口，adb.exe 常驻。手机互联功能正常用途，但攻击面较大。
Defender 历史中的其他报毒（均已处理）：
- HackTool:Win32/AndroidUnlocker!MTB（严重度 4）：桌面一个未完成的下载 未确认 33312.crdownload，已拦截
- PUA：按键精灵、steamBox（Steam 解锁工具）、顺网云电脑组件、Metashape 破解补丁、Quark 缓存中的 FRProxy、dotnetfx1.1
- 这些大多来自游戏破解/灰色工具，是木马的主要输入渠道，建议谨慎。
桌面 blakhole 之外的小型可疑残留：C:\ProgramData\Oray\AweSun（向日葵国际版 AweSun 卸载残留空目录）、360 系列残留目录（已卸载，仅剩几 KB）。

四、异常存储占用#

C 盘：已用 709 GB，剩余 125 GB；E 盘：已用 1.78 TB，仅剩 87 GB。
值得注意的目录：
- C:\Users\14504\Desktop —— 239.6 GB（游戏/录屏/安装包堆积）
- C:\Users\14504\CrossDevice\OPPO Find X8 Pro —— 87.5 GB（手机互传文件缓存）
- C:\Users\14504\AppData —— 143.6 GB（其中 Quark 缓存 32 GB、WarThunder 25.9 GB、.ollama 模型 20 GB、NVIDIA 12 GB、剪映 12 GB、Local\Programs 12.8 GB）
- behavior_data + feedback_data —— 3.5 GB 不明录制数据（见高危发现 2）

五、已检查且未见异常的项#

进程列表、服务列表：全部可归属（Lenovo、NVIDIA、Realtek、Autodesk、ANSYS、SOLIDWORKS、Dassault、Wacom、腾讯 ACE、游戏平台等）
计划任务（非微软）：均为常见软件更新任务
WMI 永久事件订阅：无后门
第三方驱动：仅 ACE 反作弊、夜神模拟器 YSDrv、HWiNFO 临时驱动
hosts 文件：干净；系统代理：未启用（仅配置了 127.0.0.1<10808> 备用）
Edge 扩展：沉浸式翻译、翻译、Google Docs Offline、迅雷下载支持、Zotero Connector、Edge 内置 —— 均正常
Temp/Downloads 近期新增可执行文件：均为迅雷 SDK、VSCode 更新、ColorOS 助手安装包等可解释来源
C:\ProgramData\Temp\screenshots 等典型监控软件截图存放点：为空

六、扫描局限#

未使用管理员权限，无法读取 Defender 排除项列表和 Prefetch
桌面 240 GB 的逐文件媒体聚类扫描因超时未完成（已完成目录级容量统计）
无历史网络流量日志，无法回溯 XWorm 是否已外联（建议以”已泄露”对待，修改密码）

七、建议处置顺序#

~~删除 BlackholeScreensaver 自启动项，删除 blakhole_v1.0.2 目录和 zip~~ ✅ 已于 2026-07-20 完成
~~Windows Defender 立即全盘扫描~~ ✅ 已于 2026-07-20 后台启动（MsMpEng 运行中，需数十分钟至数小时）
修改本机登录过的重要账号密码（邮箱/网银/社交/游戏）
关闭 RDP、禁用 Guest、卸载不用的 Radmin VPN / UU远程
确认 behavior_data 来源，不需要则删除

八、处置执行记录（2026-07-20 14<48>–15<00>）#

✅ blackhole / appBlakholeUI 进程：确认未运行
✅ 注册表自启动项 HKCU\...\Run\BlackholeScreensaver：已删除，复核确认不存在
✅ 木马文件：移动至隔离区过程中被 Defender 实时防护直接查杀；全盘（C:、E:）文件名搜索 *blakhole* / blackhole.exe 均为 0 命中，桌面上无残留，桌面的 未确认 33312.crdownload（HackTool 下载残余）也已不存在
✅ Defender 全盘扫描：已通过 MpCmdRun 后台触发，MsMpEng 引擎运行中；实时防护开启，病毒库为当天（2026-07-20 05<34>）
⚠️ 待用户处理：重要账号改密
✅ 已于 2026-07-20（提权后）完成：禁用 Guest 账户（Enabled=False）、关闭远程桌面（fDenyTSConnections=1、3389 停止监听、远程桌面防火墙规则已禁用）
✅ behavior_data / feedback_data 已确认为用户自运行的采集工具（2026-02-16 单次会话），无安全风险
ℹ️ 用户说明 blakhole 屏保来自 GitHub 开源项目；建议如需继续使用，核对官方 release 的 SHA256（本机文件为 55EE9770…02FA）或改用源码自行编译，勿直接恢复被报毒的文件

九、XWorm 报毒核验结论（2026-07-20 15<11>）#

核验方法：从 GitHub 官方仓库 XboxNahida/ghostty-blackhole-main（MIT 开源的 Windows 黑洞屏保）直接下载 v1.1 发布包，校验官方 digest 一致后解压。

结果：官方原版 blackhole.exe 在解压瞬间被 Defender 以完全相同的签名（ThreatID 2147963033，XWorm.GHM!MTB）报毒并查杀。

结论：该报毒是微软对作者官方构建版本的判定，而非你下载的文件被中间人投毒。综合判断大概率为误报——该程序是 MinGW 编译、无签名、持续捕获桌面画面（WGC 截屏实现引力透镜效果）的屏保，行为特征与窃屏木马相似，易触发机器学习签名。无法 100% 排除作者构建环境被污染的可能，但项目源码和构建脚本全部公开，风险很低。

建议：可以继续使用该屏保；最稳妥方式是从官方仓库克隆源码自行编译，或从官方 release 下载后为存放目录添加 Defender 排除项。改密码的紧迫性相应降低，可视为常规安全习惯而非必须。

音乐

音乐