我下载了一个“网易邮箱大师”，结果 Windows Defender 被系统自己关掉了
先说最重要的一句：如果你最近在搜索引擎里搜过“网易邮箱大师下载”“爱思助手”“Chrome 下载”之类的词，请先停下来核对一下域名。我这次中招的站点是
dashi-wangyi.com.cn——一个拼写带着明显仿冒痕迹的域名，模仿的正是“网易邮箱大师”。请把这句话转给你身边不太懂电脑的朋友。
事情的起点很普通：我需要一个软件，在搜索引擎里找到了一个下载站，没有仔细核对域名，就下载了安装包。
文件名看起来“有点问题”，但我还是运行了它。
事后回看，dashi-wangyi.com.cn 这个域名本身就在大声提醒我：dashi 对应“大师”，wangyi 对应“网易”，拼在一起模仿的正是“网易邮箱大师”，跟官方没有半点关系。而我当时没有停下来多想一步。
这不是我一个人的疏忽。安全公司披露的黑客组织 Silver Fox（银狐），自 2023 年 6 月以来注册了超过 2800 个用于传播 Windows 恶意程序的域名，仿冒对象涵盖网易邮箱大师、网易云音乐、爱思助手、Chrome、小红书、WPS 等数十款常用软件。我下载的那个站点，从命名特征到后果，与这一攻击模式高度吻合。
最先报警的不是弹窗，是风扇
运行安装包之后，最先引起我注意的不是报错，不是蓝屏，而是风扇。
电脑风扇开始莫名其妙地高速运转，CPU 占用持续偏高，而且降不下来。这不是打开大型程序时那种有明确原因的负载，而是一种“机器在背着我干活”的感觉。
安全厂商总结的 Silver Fox 感染征兆里有一条几乎是教科书式的：在排除硬件故障、且用户没有主动运行大型程序的情况下，电脑性能突然严重下降、系统资源长时间居高不下，应视为高度可疑信号。木马释放的后门在后台运行，风扇先替我喊了出来。
打开安全中心，看到的是一行红字
我第一时间打开 Windows Defender。安全中心显示：“威胁服务已经停止”。
点“立即重启”修复，报错。关机重启，问题依旧。
接下来是一轮系统排查：管理员权限正常，安全中心服务 wscsvc 是 RUNNING，但 Defender 的核心服务 WinDefend 和 WdNisSvc 全是 Stopped。尝试 Start-Service WinDefend，失败，报错笼统。尝试运行 MpCmdRun.exe -ResetPlatform，弹出的是一句更奇怪的话：
“应用程序控制策略已阻止此文件。”
这句话是整个排查的转折点。“应用程序控制策略”指向的不是权限，不是文件损坏，而是 WDAC（Windows Defender Application Control）——Windows 用来控制“哪些代码可以在内核层面运行”的机制。
Defender 自己的核心组件，被它拦住了。
根因：一条伪装成“微软官方”的策略
用 CiTool.exe --list-policies 列出策略，底牌揭开：
策略 ID: a244370e-44c9-4c06-b551-f6016e563076
好记的名称: AllowMicrosoft_2023-05-04
策略已签名: false
当前强制执行: true
名字伪装成微软风格，但 “策略已签名: false” 说明它没有被微软签名——这是一条未签名的恶意 WDAC 策略。它在系统启动早期加载生效，把 MsMpEng.exe、MpCmdRun.exe 等 Defender 核心文件列入黑名单，导致 WinDefend 根本起不来。
微软社区里有用户报告了完全相同策略 ID 的 Trojan 感染案例，表现一模一样。攻击者在 C:\Windows\System32\CodeIntegrity\ 下投放 SiPolicy.p7b，在 Defender 启动之前，用系统自己的代码完整性机制把它“锁死”。
修复过程：一次启动故障和一次精准移除
我最初想直接删掉 SiPolicy.p7b，备份后创建同名文件夹占位。重启后系统进不去了，卡在 “Preparing automatic repair”。这说明在策略仍被引用的情况下，单纯移走文件会破坏启动链。最后靠系统还原回到可启动状态，代价是改动被回滚。
第二次换了个思路：不动文件，用 CiTool 从策略管理层移除：
CiTool.exe -rp "{a244370e-44c9-4c06-b551-f6016e563076}" -json
返回 {"OperationResult":0}。重启后，策略列表里那条 AllowMicrosoft_2023-05-04 消失了，WinDefend 显示 Running，WdFilter、WdNisSvc、SecurityHealthService、wscsvc 全部恢复正常。
随后我挂载 EFI 分区检查是否有持久化副本，确认 S:\EFI\Microsoft\Boot 下没有 a244370e 对应的策略文件，列出的 winsipolicy.p7b 等均属 Windows 合法组件。恶意策略没有藏在 EFI 层。
这次攻击“高级”在哪
攻击者没有和 Defender 正面冲突，而是借用了 Windows 自己的安全机制来废掉 Defender。
正常杀软对抗逻辑是：恶意代码尝试运行 → 杀软拦截。但 WDAC 的加载顺序在 Defender 之前。攻击者把恶意策略放进 CodeIntegrity 目录，系统启动早期加载它，把 Defender 的可执行文件标记为“不允许运行”。等 WinDefend 尝试启动时，操作系统本身已经在执行恶意策略的指令，拒绝加载 Defender。
这也解释了为什么 SFC 和 DISM 修了文件损坏却对服务启动毫无帮助：文件是好的，签名是有效的，拦截发生在策略层，不在文件层。
CiTool 有效，是因为它直接操作 WDAC 策略存储，把未签名策略从“已部署策略”列表里移除。微软官方文档确认，自 Windows 11 2022 更新起，CiTool.exe -rp 是移除 WDAC 策略的标准方式，执行后必须重启才生效。
写给你看的提醒
第一，搜索引擎里的“官方下载”不等于官方。 认准域名，认准“官方”认证标签。dashi-wangyi.com.cn 这种拼写，dashi 对应“大师”、wangyi 对应“网易”，多看一眼就能发现问题。常用软件尽量走官网或系统自带商店。
第二，风扇突然狂转、CPU 无故居高不下，别只当是电脑老了。 排除硬件和大型程序后仍持续异常，先断网，再查安全中心。
第三，安全中心显示“威胁服务已停止”且重启无效，不要只反复点修复。 用 Get-Service WinDefend, WdFilter, WdNisSvc 看服务状态，用 CiTool.exe --list-policies 看有没有来路不明的未签名策略。
第四，如果确认中了 WDAC 恶意策略： 先系统还原保启动，再用 CiTool.exe -rp "{策略ID}" 精准移除，重启后复查策略列表，检查 EFI 分区有无副本，最后执行一次完全扫描确认木马本体是否清除。不要一上来就硬删 SiPolicy.p7b，我试过，系统会进不去。
第五，修复不等于清理干净。 移除策略只是解除了对 Defender 的封锁，木马本体、计划任务、Run 键、随机命名目录下的可执行文件，都要靠全盘扫描来确认。
