同事图省事，从论坛下了个 win11 激活工具，压缩包解压密码在帖子里。运行前 Defender 弹窗，提示 Trojan:Win32/Wacatac.B!ml，他点了允许。第二天浏览器主页被改，Edge 里多出三个不认识的书签。
这类工具通常做了什么
第一步让你关实时保护，第二步写计划任务保活，第三步改 hosts 指向假 KMS 服务器。假 KMS 能下发激活响应，也能下发别的指令。机器一旦连上，后续装什么、传什么，都不完全由自己控制。
常见的捆绑
挖矿程序、浏览器劫持、远控木马、盗号脚本。它们不会立刻发作，先潜伏几周。任务管理器里出现名字随机的进程，CPU 空闲占用 20% 以上，就该警惕。系统更新被工具禁用后，补丁也装不上，漏洞一直留着。
企业环境更麻烦
公司电脑用盗版激活，审计时拿不出授权凭证，罚款按装机数量算。批量授权可以走 KMS 或 MAK，也可以买 Microsoft 365 订阅，OEM 机器本身带家庭版授权。让 IT 统一管理激活状态，比每人自己找工具可控。
已经运行过怎么办
断网，用另一台机器下载官方镜像做启动盘，重装系统最干净。只删文件不够，计划任务和服务可能还在。改过密码的，把常用账号密码全换一遍，开两步验证。
怎么辨别来路
文件名带 KMS、激活、永久字样，压缩包要关杀软才让解压，运行后要求管理员权限并修改系统设置，这几条凑在一起就别运行。正版激活在设置 > 系统 > 激活里能看到数字许可证或已链接的账户，不需要第三方工具。
公司采购的批量许可，激活服务器地址由 IT 下发，员工自己改 KMS 地址反而会掉激活。遇到激活问题走 IT 工单，别在群里传工具。
正版家庭版几百块，企业授权走采购。为省这笔钱把机器交给陌生人，账算不过来。