微信惨遭“招工诈骗”群发？别慌，这可能是你电脑中招了！

最近发生了一件挺糟心的事儿，女朋友的微信突然像疯了一样，往各个群里发那种一看就是诈骗的“招工信息”。一开始还以为是账号密码泄露了，但仔细一想，她平时没点过什么奇怪链接，也没有在那边扫码登录过可疑设备，唯一的嫌疑点就落在了她常用的那台 Windows 电脑上。

这年头，手机端 App 虽然也有风险，但绝大多数这种“自动化群发”的骚操作，其实都是电脑端的木马在背后搞鬼。如果你或者你的朋友也遇到了类似情况，千万别急着改密码（改了也得漏），先按照下面这个思路来排查一波，大概率能把藏在深处的“内鬼”揪出来。

一、 为什么是电脑端背锅？

通过任务管理器检查可疑进程及其网络连接

现在的骗子手段升级了，他们不仅仅是暴力破解密码，更多的是诱导你去下载一些带有后门的软件。比如什么“破解版游戏”、“免费看片神器”或者伪装成“办公工具”的安装包。一旦你在 Windows 上双击运行了这些玩意儿，一个合法的系统进程很可能就被劫持了，或者多了一个看不见的“影子程序”。

这个程序会静默读取你电脑上浏览器的 Cookies，或者直接 hook 掉微信 PC 端的通讯接口。这样它就能绕过那个原本的验证机制，直接操作你的微信发消息。这也是为什么改密码没用的原因——因为木马还在，你改了它立马就能再读一遍。

二、 实操排查：揪出潜伏的木马

检查注册表中的启动项，清理木马残留

别觉得这事儿多高深，其实只要会用几个简单的系统工具，普通人也能完成初级排查。

1. 任务管理器里看“端倪”

按 Ctrl + Shift + Esc 打开任务管理器。别只看那些大吃内存的，重点看那些看着眼熟但位置不对的进程。

• 检查进程签名：右键点击可疑进程 -> “打开文件位置”。正常的系统进程都在 C:\Windows\System32 下，如果你发现某个叫 svchost.exe 的进程居然藏在 C:\Users\你的用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup 或者乱七八糟的临时文件夹里，那百分百是假的，直接干掉。

• 查看网络连接：点击“性能”标签页里的“打开资源监视器”，在“网络”一栏里看进程的 TCP 连接。如果一个不知名的进程疯狂往外发包连接国外的 IP，那肯定有问题。

2. 开机启动项是重灾区

木马为了持久化生存，肯定会把自己加到启动项里。按 Win + R 输入 msconfig（Win 10/11 也可以在任务管理器的“启动”选项卡里看），把所有不是你主动安装的软件、来源不明的启动项全部禁用。特别是那些名字含糊不清，或者连图标都没有的“空壳”启动项。

3. 注册表清洗（进阶版）

按 Win + R 输入 regedit 打开注册表编辑器。这里有两个地址是木马最爱躲的地方：

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

仔细对比右边的数值数据，只要是指向你奇怪路径的 .exe 文件，右键删除即可。注意： 不认识的千万别乱删系统原本的值，只删那些路径明显指向 User 文件夹或者 Temp 文件夹的。

三、 彻底清洗与亡羊补牢

经过上面的排查，如果找到了可疑文件，切记：只删文件是不够的！ 残留的配置文件可能还会作祟。

建议下载一款专业的杀毒软件进行全盘扫描（这里不指名道姓，大家都懂几家大厂）。如果条件允许，重装系统是最省心的办法，虽然大动干戈，但能保证环境绝对干净。

在确认电脑毒清干净之前，千万不要在电脑上登录任何涉及个人隐私的账号，特别是银行 App、支付宝或者刚找回的微信。先用手机端操作，把所有设备的授权管理关掉，强制下线所有 PC 端登录。

四、 以后怎么防？

经历这次折腾，总结了几条血的教训，分享给大家避坑：

1. 不装来路不明的软件：特别是那些号称“破解VIP”、“绿色版”的小工具，那是重灾区。
2. 浏览器插件要精简：有些浏览器插件会劫持你的网络请求，尽量只装大厂出品的。
3. 双因子验证要开：虽然有些木马能绕过，但开着微信的“设备锁”和“短信验证”，至少能增加黑客的作案成本。
4. 定期查看已登录设备：没事儿就去微信设置里看看“已登录设备”，发现不认识的，立刻踢出并修改密码。

如果你的设备也出现了类似这种“鬼畜自动发消息”的情况，不要慌，先把网线拔了，按上面的步骤查一波。网络安全无小事，保护好自己的数字资产，比什么都重要！