1. 先搞清楚TraffMonetizer和PacketStream到底是什么1.1 它们的正常用途把闲置带宽换成钱先说结论TraffMonetizer和PacketStream本身并不是传统意义的木马或病毒它们是正规注册的共享带宽商业项目。官网自己怎么定义的呢简单说就是——你安装一个客户端它会占用你一部分上行带宽把这些带宽卖给有需要的人比如做市场调研、广告验证、爬虫业务的团队然后按月给你结算收益。听起来很像早期的挖矿但逻辑不同。挖矿吃的是CPU和显卡算力这类程序吃的是网络上行带宽而且它们宣称只在你电脑空闲时运行、自动限制带宽占用比例。PacketStream早期的模式就是用户每月能拿几美元到十几美元TraffMonetizer类似还多了按流量计费、支持多设备挂机的玩法。问题出在哪呢问题出在分发渠道和安装方式。有正经人主动注册去挂机赚钱但也有大量灰色推广把这两个客户端绑定到破解软件、激活脚本、游戏外挂、免费影音工具的安装包里。用户装了一个想要的软件结果后台悄悄多出几个陌生程序网络开始莫名其妙变慢这就是大家说的带宽劫持。1.2 为什么会被当成带宽劫持从用户视角来看所谓劫持其实包含三种情况第一种是静默捆绑安装。安装某款软件时安装向导里有一行小到几乎看不清的勾选项目默认是勾上的写着安装PacketStream并共享您的网络以支持开发者。手快的人一路点下一步根本没注意到后台就多了一个常驻进程。第二种是运行时完全无感知。这类程序安装后不会弹出任何窗口启动项加得很隐蔽系统托盘也没有明显图标CPU占用也不高很多用户根本不知道自己装了。只有用流量监控工具看实时网速才发现一直有几百KB/s的上传流量在跑。第三种是安全软件报警后才发现。不少安全软件已经把TraffMonetizer、PacketStream归为PUPPotentially Unwanted Program潜在不需要的程序检测到就会弹窗提示。用户没留意或者直接被捆绑程序自带的驱动机制给绕过了。不管哪一种给用户带来的核心困扰都一样带宽被白嫖了。国内上行带宽本来就不富余挂着视频会议、游戏联机时遇到丢包、跳Ping查来查去发现后台有个陌生进程偷跑流量这个体验和中毒没有区别。1.3 它们是怎么进到你电脑里的根据我在处理这类问题时的排查经验感染路径高度集中在以下五个场景下载站/破解站在非官方网站下载所谓激活版绿色版软件安装包被二次打包的概率极高TraffMonetizer和PacketStream是常见捆绑对象。激活工具/KMS脚本网上流传的某些Windows激活脚本、Office激活工具执行后会静默下载并安装带宽共享客户端。浏览器插件商店的加速插件某些声称可以网页加速视频嗅探的扩展安装时附带桌面端程序。下载器全家桶用某些高速下载器下载资源下载完成后自动安装一堆推广软件其中就可能包含这类共享带宽程序。单位或公共电脑同事或其他人安装过此类软件你接手使用后发现网络异常其实是遗留进程在跑。搞清楚这些来源后面清理的时候才能有的放矢——光删进程不删源头重启后很可能又回来了。2. 判断你的电脑是否被劫持了2.1 症状自查表先别急着动手删东西花两分钟做个自查。如果下面的情况你占了三条以上大概率中招了症状具体表现上行带宽异常什么都没开上传速度却持续有几百KB/s到几MB/s的流量网络卡顿看视频缓冲、游戏跳Ping尤其是上行占满时陌生进程常驻任务管理器里出现PacketStream、TraffMonetizer、TMService、PacketService等进程安装记录异常控制面板或设置的应用列表里出现不认识的应用浏览器被改动新标签页、搜索引擎被替换多出几个陌生扩展开机启动项异常启动管理器里出现你不认识的项且来源路径很怪小提示单纯看CPU不靠谱这俩程序CPU占用通常很低因为它们是网络IO密集型不是计算密集型。真正要看的是网络占用和进程存在性。2.2 用任务管理器和资源监视器定位异常进程Windows用户我这里直接给一套实操流程按Ctrl Shift Esc打开任务管理器切到进程选项卡按网络列排序看那个网络占用最高的进程是不是你不认识的。切到详细信息选项卡按名称排序重点找包含packet、traff、tm-、tm_、net等关键字的进程。找到可疑进程后右键点击选择打开文件所在的位置看看路径是不是长这样C:\Users\你的用户名\AppData\Roaming\PacketStream\C:\Users\你的用户名\AppData\Roaming\TraffMonetizer\C:\Program Files\PacketStream\C:\ProgramData\TraffMonetizer\看到这类路径基本就可以实锤了。然后右键进程选择结束任务把这个进程先断掉。如果结束之后两分钟内又自动出现说明有守护进程在护着它或者注册了系统服务。这时候就要打开服务管理器按Win R输入services.msc回车找名字里带PacketStream、TraffMonetizer、Traff的服务右键先停止再双击把启动类型改成禁用。2.3 检查浏览器扩展和启动项浏览器端的劫持是另一条线。Chrome/Edge用户依次检查地址栏输入chrome://extensionsEdge是edge://extensions逐个查看扩展凡是来源不明的、名气不大的、你完全没印象的全部移除。打开设置→搜索引擎看默认搜索引擎是不是被换成了奇怪的网址。打开设置→启动时看启动页面是不是被改成某个推广页。然后是启动项。按Ctrl Shift Esc打开任务管理器切到启动选项卡把所有你不认识的项禁用。特别注意那些发布者名称是TraffMonetizer或PacketStream的项。注意很多这类程序会同时安装计划任务用任务计划程序在每天固定时间自启动。只禁用启动项不清理计划任务重启后照样复活。检测方法是按Win R输入taskschd.msc回车在任务计划程序库里翻一遍看到可疑的就右键禁用或删除。3. 完整清理教程从进程到残留一处不落3.1 准备工作备份、断网与工具清单动手清理之前我的建议是先做三件准备第一能断网就断网。路由器拔掉WAN口网线或者直接在Windows里禁用网卡。这些程序的核心功能就是网络上行断网之后它就没法继续偷跑流量也能减少清理过程中的干扰。不过要注意有些版本断网后会自动进入离线重试模式反复连接导致系统卡顿所以保持网络断开的时间不要太长清理完立刻验证就行。第二备份注册表。清理过程中要手动删除注册表项的话先导出备份。按Win R输入regedit回车点击左上角文件→导出整个注册表导出一份出问题时可以恢复。第三准备好工具。我的习惯是一个清理全过程用到的工具清单写下来避免临时手忙脚乱官方卸载入口Windows设置→应用或者控制面板的程序和功能注册表编辑器regedit任务计划程序taskschd.msc服务管理器services.msc文件资源管理器用来删除残留文件夹可选PowerShell后面验证步骤会用到还要提醒一点清理前记得把所有正在编辑的文档保存关闭。因为有些版本的TraffMonetizer在卸载时会弹窗确认处理不当可能顺带重启浏览器或资源管理器。3.2 Windows平台卸载程序、删除服务、清理计划任务Windows平台是重灾区我按顺序拆解每一步都有对应验证方法。第一步从设置或控制面板卸载程序打开设置→应用→已安装的应用搜索packet或traff找到对应程序点击卸载。有些版本卸载过程会问你是否确定或者是否保留配置一律选卸载、删除配置。如果在应用列表里找不到去控制面板→程序和功能里找一找。还找不到的话说明它可能伪装成了服务方式安装光靠卸载入口删不掉直接看第二步。第二步停止并删除相关服务这一步很关键很多用户只卸载了主程序忘了服务还在重启后服务又拉起进程。操作流程按Win R输入services.msc回车。在服务列表里找PacketStream、TraffMonetizer、TraffService之类的项右键停止。双击服务记下可执行文件的路径等一下删文件要用。关闭服务管理器。第三步删除计划任务按Win R输入taskschd.msc回车在左侧任务计划程序库下仔细查看任务列表重点看触发器和操作列。凡是名称包含PacketStream、TraffMonetizer的右键禁用然后右键删除。有一些任务名称很隐蔽会叫UpdateTask、NetOptimizer、NetworkBoost之类判断方法是右键属性→操作页查看程序路径是否指向上面提到的AppData或ProgramData里的程序。第四步删除残留文件夹打开文件资源管理器地址栏输入下面的路径回车逐个检查删除%APPDATA%\PacketStream%APPDATA%\TraffMonetizer%LOCALAPPDATA%\PacketStream%LOCALAPPDATA%\TraffMonetizer%PROGRAMDATA%\TraffMonetizer%PROGRAMDATA%\PacketStream%TEMP%目录下的tm_、ps_开头的临时文件删除时如果提示文件被占用回到任务管理器结束对应进程后再删。有些文件夹里面的文件是隐藏的记得在查看选项卡里勾选隐藏的项目。第五步清理注册表残留按Win R输入regedit回车按Ctrl F搜索PacketStream逐个删除搜到的项。删除后按F3继续查找下一个直到提示搜索完毕。再用同样的方式搜索TraffMonetizer、Traff。这一步要小心注册表里可能有一些同名词的无关项比如某些网络工具的配置。判断标准很简单看这个注册表项的值是否指向已删除的安装路径。拿不准的可以先记下来不要盲目删。3.3 清除浏览器扩展与配置文件残留浏览器端的清理比桌面端更麻烦因为卸载扩展不会自动清除站点数据、Local Storage和Service Worker。以Chrome为例流程如下地址栏输入chrome://extensions把所有可疑扩展移除选择从Chrome中移除。地址栏输入chrome://settings/reset点击将设置恢复为原始默认设置。这会重置主页、搜索引擎、标签页但不会删除书签和密码。地址栏输入chrome://history清除全部浏览数据时间范围选时间不限勾选Cookie及其他网站数据和缓存的图像和文件。这一步是为了清掉这类程序可能写入的追踪Cookie。Edge用户对应路径是edge://extensions、edge://settings/reset、edge://history。还有一个很多人忽略的浏览器被安装了开发者模式扩展。如果扩展列表底部显示开发者模式开启猜测可能有程序往浏览器塞了未被商店审核的扩展。建议先关闭开发者模式再移除可疑扩展。提示如果你用的是360、QQ等国产浏览器清理思路一样只是入口不同。核心原则是检查扩展、恢复搜索引擎、清除Cookie。不要只删扩展不恢复设置否则搜索结果跳转页面仍然带着推广尾巴。3.4 macOS与手机端补充清理macOS用户虽然遇到TraffMonetizer和PacketStream的概率低一些但不是没有。常见安装路径是/Library/Application Support/PacketStream//Library/LaunchAgents/下的com.packetstream.plist、com.traffmonetizer.plist~/Library/LaunchAgents/下的同名文件/Library/LaunchDaemons/下的同类型文件清理步骤打开活动监视器搜索packet或traff选中后点击退出进程。打开系统设置→通用→登录项把可疑项移除。打开访达按Shift Command G分别输入上面的路径删除对应文件夹和plist文件。如果是通过Homebrew或pkg安装的可以用brew list看一下有没有相关包有的话brew uninstall。手机端主要看两类情况一类是路由器层面的流量被占用后面讲另一类是手机装了类似的共享带宽App。安卓用户去设置→应用查找PacketStream、TraffMonetizer找到后停止并按卸载。iOS几乎不会遇到桌面级带宽劫持因为它对后台网络访问限制很严不必过度担心。3.5 路由器层面的排查这个点很多教程都不会提但实际排查中确实遇到过。共享带宽类程序为了绕过某些网络限制有的版本会尝试在局域网内找到其他可用的网段进行通信甚至在路由器上留下端口转发规则或DDNS配置。路由器排查流程登录路由器管理后台查看设备列表。如果发现不认识的设备连在Wi-Fi上先修改Wi-Fi密码把陌生设备踢掉。查看端口转发或虚拟服务器配置。如果有指向内网某台电脑的未知端口映射删除并修改管理员密码。恢复出厂设置是最后手段。只有当路由器后台出现无法清除的异常规则、管理界面被篡改时才建议按Reset键恢复出厂。恢复后需要重新配置拨号信息这点要有心理准备。其实绝大多数情况下路由器不用动但每次清理完这类带宽劫持我都习惯性看一眼设备列表和端口转发算是安全检查的小仪式。4. 清理后的验证与防护4.1 验证清理是否彻底三步自查法清理工作全部做完后别急着开心花十分钟做一套验证确认没有残留。第一步进程验证重启电脑这里不建议跳过重启因为很多服务和注入是在开机时加载的开机后打开任务管理器搜索packet、traff、tm-等关键字进程列表里应该一片空白。再打开资源监视器按Win R输入resmon切到网络选项卡观察空闲状态下上行速度是否回归正常水平。第二步文件与启动项验证打开文件资源管理器回到刚才删除的那些目录确认文件夹没有重新出现。再打开任务管理器启动选项卡确认启动项都是你认识的。打开任务计划程序确认可疑计划任务不在列表里。第三步流量验证这一步最直观。先保持电脑空闲两分钟记录资源监视器里发送的速度。正常状态应该是0KB/s或偶尔几KB/s的波动。如果还是持续几百KB/s的上传说明有别的程序在跑需要进一步排查。这里给一个PowerShell的备用命令适合进阶用户Get-Process | Where-Object {$_.ProcessName -match packet|traff|tm-|netboost} | Select-Object ProcessName, Id, Path如果输出为空说明进程层面已经干净了。4.2 为什么总有人中招问题出在用户身上吗说实话我处理过很多台被装了这类程序的电脑发现一个共性安装来源几乎都是破解软件和激活工具。很多人舍不得花钱买正版软件又不放心用网上的绿色版于是选择了折中方案——去下载站找激活工具。这些工具往往就是捆绑安装的大本营。TraffMonetizer这类程序很聪明它不算严格意义的恶意软件大多数杀毒软件默认不查杀少部分会标记为PUP即使查杀了也需要用户手动确认。它利用的就是这个灰色地带拿你的带宽跑流量赚的钱自己拿大头给你分点小利有的版本甚至不给用户分成纯白嫖。从用户角度唯一的根治办法就是从源头阻断——不碰来源不明的软件。这话听着像废话但确实是最大概率的防护手段。4.3 长期防护建议从源头堵住带宽白嫖清理完只是治标下面这几条才是治本软件只从官网下载下载前看一眼网址确认是官方域名不是download-software.com这类伪装站。安装时选自定义安装不管装什么软件安装界面弹出来永远不要无脑点下一步先看看有没有自定义安装或高级选项把所有附带的勾选都去掉。开启安全软件的PUP检测Windows安全中心默认查杀强度不高建议安装一款主流安全软件并在设置里开启检测PUP/PUA选项。具体路径不同软件不同自己找找。定期检查启动项和计划任务我个人的习惯是一个月看一次启动选项卡和任务计划程序几分钟的事能避免很多问题。路由器密码定期更换防止有人趁你不注意连进路由器做端口映射用你的网络做中转。教育家人同事一台电脑被装了这类程序往往是某个人下载了不该下载的东西。一个家庭或一个小团队里只要有一个成员不在乎软件来源其他人再小心也可能被波及。5. 常见问题速查表问题原因解决方法清理后重启又出现服务或计划任务未删除检查services.msc和taskschd.msc删除对应项找不到卸载入口程序以服务方式静默安装直接停服务删文件清注册表浏览器反复弹出推广页扩展未彻底移除或注册表策略残留恢复浏览器默认设置清Cookie检查组策略网络正常但网速慢路由器被端口映射或上行被占用登录路由器检查设备列表和端口转发清理后某软件无法运行卸载时误删了关联组件重新安装该软件必要时从备份恢复注册表不确定进程是否可疑无法判断是否该删除先用搜索引擎查进程名再决定操作还有一个经常被问到的问题清理TraffMonetizer/PacketStream会不会影响网络速度我的答案是你只会觉得网络恢复正常了原本那些几百KB/s的隐形上传会彻底消失。对绝大多数普通用户来说上行带宽是很宝贵的资源被白嫖一分钟都亏。最后再分享一个我自己的经验这类带宽共享程序之所以能泛滥本质上还是利用了人们免费下载软件的心理。清理教程写得再详细也不如源头管住手。希望大家清完这一次之后以后装软件多留个心眼——免费的东西往往是最贵的你的带宽、你的隐私都是隐性成本。