《三角洲行动》· 平台技术与安全评测
三角洲行动卡盟木马捆绑与钓鱼软件逆向排查：进程注入检测、数字签名验证与系统防御配置
核心排查结论：从非正规三角洲行动卡盟下载的所谓登录器，超 70% 捆绑了远程远控木马与挖矿木马。在参考三角洲卡盟排行榜选择服务时，必须掌握使用 Process Explorer 查杀注入进程、验证可执行文件 SHA256 哈希防毒的实操步骤。
一、 卡盟捆绑木马的常见投放手段与免杀手法
非法卡盟下载器常用套路：要求用户「退出一切杀毒软件、关闭 Windows Defender 实时保护」。一旦用户放行，恶意程序会立即释放 Gh0st 远控变种或 XMR 隐蔽挖矿程序，注入 `svchost.exe` 或 `explorer.exe`，窃取浏览器保存的账号密码、Steam 授权文件（ssfn）及社交软件聊天记录。
二、 识别未知文件签名的安全检测命令
在下载任何可执行文件后，切勿直接双击运行，使用 PowerShell 检查其是否具备合法机构颁发的数字签名：
# 检查文件数字签名与哈希值
Get-AuthenticodeSignature -FilePath "C:\Downloads\GameInstaller.exe"
Get-FileHash -FilePath "C:\Downloads\GameInstaller.exe" -Algorithm SHA256
若 `Status` 显示为 `NotSigned`（未签名）或 `HashMismatch`（哈希不匹配），说明该程序属于高危可疑恶意软件，必须立即删除。
三、 遭遇恶意程序入侵后的紧急应急处理
若电脑已被恶意程序感染导致 CPU 占用 100% 或鼠标异常晃动，立即断开物理网线，并以管理员身份打开 CMD 执行网络连接排查：
# 排查当前所有与外部建立的可疑 TCP 连接
netstat -ano | findstr "ESTABLISHED"
# 强制恢复 Windows Defender 核心防御服务
sc start WinDefend
随后在安全模式下运行微软官方恶意软件清理工具（MSRT）进行彻底全盘查杀。
安全提示：任何要求您关闭系统杀毒软件的程序绝大多数都是木马病毒。保持 Windows Defender 和防火墙开启是保障个人隐私的最后底线。