刷机后还会中木马吗？刷机如何彻底清除木马病毒？
刷机后手机中木马的概率远高于日常使用，绝大多数刷机木马都藏在刷机包或刷机工具里，解决办法是切断根源、备份数据、重刷纯净系统。
刷机的本质是替换手机的系统分区，这个过程中只要任何一个环节被动了手脚，木马就能直接进入系统底层，很多人刷完机发现手机卡顿、弹广告、耗电快，第一反应是系统优化不好,实际上相当一部分情况是中招了。
为什么刷机这么容易带毒？先搞懂木马是怎么进去的
刷机包被二次打包是最常见的渠道
正常ROM作者发布固件后，一些下载站会重新打包，塞入推广程序、广告SDK甚至远控木马，用户下载时看着文件名字一样，实际内容已经被改过，修改版的Recovery也是重灾区，刷入第三方Recovery后,系统分区直接被植入后门。
刷机工具本身就值得怀疑
部分刷机软件需要联网下载资源，表面上帮你一键刷机，后台却在静默安装推广应用，更隐蔽的做法是把木马伪装成系统更新模块，刷完第一次开机时自动激活，行业共识认为，来源不明的刷机工具比刷机包的风险还要高,因为工具掌握着设备的完整读写权限。
Root权限让木马直接进入系统核心
刷机用户通常会顺便获取Root权限，这本是为了玩机自由，但也给木马大开方便之门，木马拿到Root后可以写入系统分区、隐藏自身图标、劫持短信验证码，普通杀毒软件面对系统级木马往往毫无办法,因为它们跑在比杀毒软件更高的权限层级上。
刷机后中木马有什么表现？对照一下你是否中招
木马不一定会让手机立刻崩溃，多数时候是隐蔽运行，以下几种情况出现两条以上,大概率就是中毒了：
- 电池掉电速度明显加快，手机温度异常升高，即使息屏也发热
- 主页莫名出现不认识的App，或者原有应用被替换成带广告的版本
- 浏览器主页被锁定，频繁弹出赌博、色情类广告，关闭后很快再次出现
- 月流量消耗不正常，后台流量统计里出现陌生应用
- 微信或支付宝收到验证码后，没过多久银行卡出现小额免密扣款
- 手机偶尔卡顿，按Home键返回桌面时有明显延迟
木马都躲在手机哪些位置
| 藏身位置 | 特征 | 清除难度 |
|---|---|---|
| 系统应用目录（/system/app） | 图标伪装成系统工具，无法在常规界面卸载 | 高，需重新刷机 |
| Xposed模块或Magisk模块 | 刷机后额外安装的框架里挂载了恶意代码 | 中等，可手动禁用 |
| 第三方Recovery分区 | 每次开机前预加载，重启后木马重新激活 | 高，需重写Recovery |
| 数据分区的隐藏文件夹 | 以英文乱码命名，不Root看不到 | 低，恢复出厂可清掉 |
刷机后手机中木马怎么办？按顺序操作，保住数据再清毒
这条处理路径适合大多数情况，不需要专业维修知识,按步骤执行就能完成。
第一步：立即切断网络，防止数据外传
手机中毒后第一件事是打开飞行模式，关闭Wi-Fi和移动数据，木马正在往外传输你的通讯录、短信和相册，断网能减少损失，如果手机同时连着电脑,把USB线也拔掉。
第二步：备份关键数据，只留照片和文档
备份时只选择照片、视频、文档这类文件，不要备份应用数据，应用数据里可能已经混入木马文件，连备份一起带到新系统等于白刷，用微信自带的聊天记录迁移功能单独备份微信内容,或者直接在电脑上拷贝整个DCIM和Documents文件夹。
第三步：下载官方刷机包，彻底清除系统分区
备份完成后，手机关机进入Fastboot模式，连接电脑，使用官方工具刷入完整固件包，这一步会覆盖系统分区和数据分区，绝大多数木马都会被清除。
关键操作是勾选“清除所有数据”或“格式化Data分区”选项，只刷系统不双清，木马可能残留在数据分区里,重启后恢复运行。
第四步：不要恢复Root权限，先观察几天
刷完官方系统后，保持未Root状态使用两三天，观察耗电、流量和弹窗是否恢复正常，确认没有问题后，如果确实需要Root,再从官方渠道获取Magisk等正规工具。
补充情况：如果手机已经无法开机
部分木马会破坏系统引导文件，导致刷机中途失败或开机卡Logo，这时候需要下载对应机型的“线刷包”，通过电脑把底层引导文件重新写入,具体机型操作路径可以在对应手机厂商的开发者社区找到详细教程。
刷机包哪个网站安全？认准三个渠道，避开下载站陷阱
首选官方社区和开发者官网
MIUI开发版、Flyme开发版、ColorOS内测版都会在官方社区发布固件包下载链接，这些包由官方人员制作上传，经过签名校验，安全性最高，酷安上认证的ROM开发者发布的链接也相对可靠，注意认准带“酷安认证”标识的账号。
次选知名第三方ROM官网
LineageOS、PixelExperience、crDroid这类国际知名第三方ROM，有独立官网和自动构建系统，包内不会内置推广软件，国内部分个人开发的精简版ROM，除非发布者知名度很高、持续更新维护多年,否则不建议下载。
不要碰“一键刷机”类工具和刷机包聚合站
所谓“一键刷机”免去了电脑操作，看似方便，实际上是把手机完全交给了陌生软件，聚合类的刷机包下载站，同一个包会匹配不同的广告版本，下载按钮旁边就是假链接,点错就下载到捆绑包。
刷机包下载后先验证文件哈希值，和开发者页面公布的MD5或SHA256对比，一致才能使用,这个步骤能帮你过滤掉绝大多数被二次打包的恶意刷机包。
怎么避免刷机再次中木马？养成三个习惯就够了
只从官方渠道获取底层文件
无论是Recovery、Bootloader还是系统固件，都从官方社区或开发者GitHub仓库下载，拒绝任何“搬运工”分享的网盘链接，网盘里经常放的是旧版本或带毒版本,作者早已停止更新维护。
刷机后第一时间检查系统应用列表
进入设置查看全部应用，如果发现有APP显示“系统应用”但名字和图标你完全没见过，说明刷机包里大概率有问题，正规系统应用名单可以在刷机社区里找到对照表,刷完花两分钟核对一遍。
把账号安全和支付安全分开设置
刷机用户建议单独准备一张银行卡用于日常支付，卡里不放太多钱，支付宝和微信开启支付密码和生物识别验证，关闭小额免密支付功能，即使木马劫持了验证码,也无法单独完成转账操作。
线下刷机店和上门刷机服务能用吗？搞清楚风险再决定
不少用户图省事，选择去线下手机维修店刷机，这类服务价格通常在30元到100元之间，视机型系统和门店位置浮动，维修店刷机用的刷机包来源不明，一个包反复使用,里面是否被植入推广程序完全看店家良心。
部分维修店会在刷机同时推荐安装“优化大师”“省电神器”这类应用，这些应用的商业化程度很高，通常包含大量广告SDK，就算没有恶意木马,也足够影响日常使用体验。
需要先弄清楚的事
- 要求店家当场演示刷机过程，观察刷机包是从哪个网站下载的
- 刷完不要急着走，当着店家面检查一遍应用列表
- 要求店家提供刷机包的下载地址和文件哈希值，无法提供的直接拒绝
如果非要去线下店，优先选择品牌官方授权服务网点，使用官方售后系统刷机，虽然贵一些,但至少不会给手机装木马。
木马侵入和数据泄露之后，账号安全怎么办
刷机中木马最严重的后果不是手机变慢，而是短信、通讯录、云端账号被窃取,以下措施建议在清除木马后立刻执行：
- 修改所有重要平台的登录密码，包括微信、支付宝、手机厂商账号、邮箱
- 注销旧设备登录状态，大多数平台支持在“账号安全”里查看登录设备并强制下线
- 检查支付宝和微信的授权应用列表，解除所有陌生应用的授权
- 联系银行客服查询最近三个月流水，确认没有异常的小额免密扣款
- 涉及手机号绑定的重要账户，考虑开启登录保护或二次验证
业内专家指出，木马窃取数据后的第一目标是短信验证码和通讯录,这两类信息的泄露会导致连锁式的账号被盗风险。
Q&A：刷机木马常见的几个疑问
刷机前备份到电脑的文件会不会感染木马？
刷机木马只会感染手机系统的分区文件，不会感染图片、文档这类纯数据文件，但备份时如果连应用数据一起备份了，木马文件可能混在应用沙盒目录里，建议只备份照片和文档,不备份应用数据。
刷机后手机中木马怎么办，能直接恢复出厂设置吗？
先断开所有网络再操作，恢复出厂设置会清除数据分区的木马，但系统分区的木马依然存在，如果刷机包本身有问题,恢复出厂后木马会随着系统启动再次运行。
为什么杀毒软件检测不到刷机木马？
杀毒软件运行在应用层，而刷机木马运行在系统层，权限等级更高，可以直接隐藏自身进程和文件，常规杀毒扫描无法发现系统级木马,只有重新刷入官方系统才能彻底清除。
刷机本身没有错，错的从来都是来路不明的资源，数据安全这件事,从下载第一个文件时就开始了。
