电脑异常行为可能表明已被远程控制，可通过五步排查：一、查事件日志中登录类型10的远程连接；二、用netstat扫描3389等远控端口；三、任务管理器和服务管理器交叉识别可疑进程；四、检查注册表及文件路径中的远控软件残留；五、用wireshark捕获并过滤远控特征流量。
如果您发现电脑出现异常行为，例如鼠标自行移动、程序无故启动、摄像头指示灯异常亮起，或网络活动在空闲时持续升高，则可能是电脑已被远程控制。以下是排查远程访问痕迹的具体方法：
一、检查系统事件日志中的登录记录
Windows 系统的“事件查看器”会自动记录所有成功与失败的登录事件，包括远程桌面、向日葵、AnyDesk 等工具触发的连接行为，是识别未授权远程访问最权威的本地证据源。
1、按下 Win + R 组合键，打开“运行”窗口。
2、输入 eventvwr.msc 并回车，启动事件查看器。
3、在左侧导航栏中，依次展开 Windows 日志 → 安全。
4、在右侧操作面板中点击 “筛选当前日志…”。
5、在“事件ID”输入框中填入 4624, 4625, 4672（分别对应成功登录、失败登录、特权登录），点击确定。
6、逐条查看筛选结果，重点关注“登录类型”为 10（远程交互式登录） 的条目，其“源网络地址”字段即为远程控制端的 IP 地址。
二、扫描可疑网络连接与监听端口
远程控制软件必须通过特定端口建立通信通道，如 RDP 默认使用 3389、VNC 常用 5900、TeamViewer 使用 5938、AnyDesk 使用 7070。检测本机是否正在监听这些端口，可快速定位潜在风险进程。
1、以管理员身份运行命令提示符：右键“开始”按钮 → 选择 “Windows Terminal（管理员）” 或 “命令提示符（管理员）”。
2、输入命令 netstat -ano | findstr ":3389 :5900 :5938 :7070 :4899" 并回车。
3、若返回结果中包含 LISTENING 状态行，记下其末尾的 PID（进程标识符）。
4、执行命令 tasklist /fi "pid eq XXXX"（将 XXXX 替换为实际 PID），确认该进程名称是否为已知远程工具或可疑程序。
5、对返回的进程，右键任务管理器中对应条目 → 选择 “打开文件所在的位置”，核查路径是否位于 C:\Windows\System32 或正规软件安装目录。
三、审查运行中可疑进程与服务
恶意远程控制程序常伪装为系统进程（如 svchost.exe、lsass.exe）或使用随机命名，占用异常 CPU、内存或网络资源。通过任务管理器和服务管理器交叉验证，可提高识别准确率。
1、按 Ctrl + Shift + Esc 打开任务管理器，切换至 “详细信息” 选项卡。
2、点击 “CPU”、“内存”、“磁盘”、“网络” 列标题进行降序排序，观察是否存在长期高占用且名称陌生的进程。
3、对可疑进程，右键选择 “属性”，查看“数字签名”是否为 “Microsoft Windows” 或知名厂商；若显示 “无法验证” 或签名为空，需高度警惕。
4、同时按下 Win + R，输入 services.msc 回车，检查服务列表中是否存在名称含 “Remote”、“VNC”、“Team”、“Any”、“Sunlogin” 等关键词的非微软服务。
5、双击该服务，查看“常规”页签中的“可执行文件路径”，确认是否指向系统目录以外的未知位置。
四、核查远程控制软件残留痕迹
即使远程工具已被卸载，其配置文件、注册表项和历史连接记录仍可能保留在系统中。检查这些静态痕迹有助于发现曾被植入或短期启用过的远控行为。
1、按下 Win + R，输入 regedit 回车，打开注册表编辑器。
2、导航至路径：HKEY_CURRENT_USER\SOFTWARE\Microsoft\TerminalServerClient\Default，查看右侧“MRU0”至“MRU9”值，其中存储最近连接的远程主机地址。
3、继续浏览路径：HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Oray\SunLogin（向日葵）、HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer、HKEY_LOCAL_MACHINE\SOFTWARE\RealVNC，确认是否存在对应键值。
4、打开文件资源管理器，在地址栏依次输入以下路径并回车，检查是否存在对应文件夹：%ProgramFiles%\TeamViewer\、%AppData%\SunLogin\、%LocalAppData%\AnyDesk\。
5、在“此电脑”中启用“隐藏项目”后，进入 %AppData%\Roaming\ 和 %LocalAppData%\，搜索关键词 sunlogin、teamviewer、anydesk、vnc、rdp，定位残留配置或日志文件。
五、分析网络流量识别远控通信特征
远程控制数据流具有固定协议特征（如 RDP 使用 TCP/3389 加密流、VNC 使用 RFB 协议、向日葵使用自定义 TLS 封装），通过抓包工具捕获并过滤实时流量，可发现隐蔽的外连行为。
1、下载并安装 Wireshark（需管理员权限运行）。
2、启动 Wireshark 后，在主界面选择当前活跃网卡（通常为“以太网”或“WLAN”）。
3、点击左上角 “捕获” → “选项”，勾选 “在捕获时进行名称解析”，点击“开始”。
4、等待约 30 秒后点击红色方形按钮停止捕获。
5、在过滤栏输入 tcp.port == 3389 or tcp.port == 5900 or tcp.port == 7070 or udp.port == 5353，回车应用过滤。
6、查看过滤结果中是否存在目标端口为外部 IP 地址（非局域网 192.168.x.x / 10.x.x.x / 172.16.x.x–172.31.x.x）的长连接会话，特别是持续发送小包或周期性心跳的数据流。
