被“99tk香港”或类似页面诱导下载后，不要慌——很多情况通过自检和及时处理能把损失降到最低。下面给出一套实操性强、按步骤可执行的“手机自检七步法”，照做能避开大多数坑，并包含 Android / iPhone 的针对性操作提示。
开头速读要点
- 先断网保留现场证据，避免数据继续被传输或恶意软件下载更多模块。
- 优先保护金融和账号：查看是否有异常交易、短信验证码被窃取等。
- 按下文七步逐项排查，必要时做彻底刷机（出厂重置）并从可信渠道重新安装应用。
自检七步（逐项执行）
1) 立刻断网并保存现场
- 关闭手机的 Wi‑Fi 和移动数据；开启飞行模式更稳妥。
- 如果怀疑有即时的资金风险，立刻拔出或停用 SIM 卡（联系运营商临时停机）。
- 截图/录屏可疑页面、安装来源、权限请求界面等证据，便于后续举报或取证。
2) 识别并卸载可疑程序（先不重启）
- Android：设置 → 应用 → 查找近期安装的应用，长按卸载。若无法卸载，进入“设备管理者应用”（设备管理）撤销其管理员权限（设置 → 安全 → 设备管理器）。尝试进入安全模式（开机长按关机选项）后再卸载。
- iPhone：长按图标删除；若无法删除，检查“设置 → 通用 → VPN 与设备管理”（或描述文件）并移除可疑描述文件。iOS 上要留意配置描述文件、未知 VPN 配置或企业证书。
- 卸载后再清除浏览器缓存/历史记录，检查浏览器的扩展或保存的书签是否被篡改。
3) 检查并收回敏感权限
- 检查应用权限：位置、读取短信、电话、通讯录、辅助服务（Accessibility）、通知访问、后台运行权限等。一律收回不必要或来历不明的权限。
- Android 特别注意“悬浮窗/显示在其他应用上层”、“无障碍服务（Accessibility）”权限，这些常被滥用窃取验证码或劫持操作。
- iPhone 检查“定位服务”“相机”“麦克风”“后台应用刷新”等权限并回收异常授权。
4) 扫描与检测（使用可信工具）
- Android：安装并运行信誉良好的安全软件（如 Malwarebytes、Avast、Bitdefender 等）进行全面扫描；使用谷歌 Play Protect（设置 → 安全 → Play Protect）检查。
- iPhone：iOS 本身对第三方扫描限制较大，侧重人工检查配置描述档、VPN、已授权应用与设备。若怀疑越狱或配置文件遭篡改，考虑恢复系统。
- 检查是否有未知的 VPN、代理或安全证书（设置 → 网络/VPN/证书）并移除。
5) 快速检查金融与账号安全
- 用另一台可信设备（或电脑）登录常用账号（银行、支付、邮箱、社交）查看最近活动与登录设备。若发现异常，立即更改密码并登出所有设备。
- 把重要账户都开启二步验证（2FA）：优先选用基于应用的验证码（Google Authenticator、Authy）而非短信验证（短信易被劫持）。
- 联系银行/支付机构报告可疑行为，必要时申请冻结卡片或账户、止付可疑交易。打开交易短信/邮箱通知功能以便第一时间发现异常。
6) 系统更新、检查关联设备与第三方授权
- 更新系统与官方应用到最新版：系统补丁往往包含安全修复。
- 检查 Google/Apple 帐号下的设备列表与第三方应用授权，撤销不认识的设备或授权（Google 帐号安全中心、Apple ID 设置）。
- 检查是否有异常的短信转发、呼叫转接或可疑关联设备（例如“查找我的 iPhone”设备、Google 帐号内的 Chrome 登录设备），全部移除并更改密码。
7) 彻底清理或出厂重置（最后手段）
- 如果怀疑系统被深度植入后门或无法确定已清除干净，备份重要数据（照片、联系人、聊天记录等）到电脑或可信云端——注意不要备份可疑 APK、描述文件或未知安装包。
- 备份后执行出厂重置（设置 → 系统 → 重置选项 / iPhone：设置 → 通用 → 还原），重置后只从官方应用商店、官方网站重新安装必要应用，并逐一恢复和监控。
- 重置后再次更改所有关键密码，重新开启 2FA。
补充检查清单（快速自检）
- 是否频繁收到异常验证码或验证短信？
- 是否出现陌生登录通知、银行卡异常交易或账单突然上涨？
- 手机是否比平常更耗电、发热或流量暴涨？
- 是否出现陌生拨号、短信发送记录或联系人被篡改？
- 是否有可疑的浏览器重定向、弹窗或强制下载行为？
举报与求助渠道
- 在应用来源平台举报：Google Play 或 Apple App Store 提交应用/页面举报；若是网页诱导，向浏览器厂商或搜索引擎举报恶意站点。
- 向银行与支付平台报备可疑交易；保存证据供银行或公安调查。
- 向本地网络安全或反欺诈中心报案（各地公安网安部门或消费者保护机构）。
预防小贴士（简短）
- 不轻易点击陌生短链或页面弹窗的“立即下载/领取奖励”按钮；先查看域名与来源。
- 下载只用官方商店或官网链接，查看评论与权限请求是否合理。
- 使用密码管理器与基于应用的 2FA，定期检查账户登录设备。