Microsoft Defender离线扫描可清除顽固木马、Rootkit等启动级恶意软件，需在系统启动前运行：一、通过Windows安全中心图形界面启动；二、用运行命令windowsdefender://Threat/直达；三、PowerShell执行Start-MpWDOScan；四、BitLocker加密盘需先禁用保护；五、WinRE缺失时需用reagentc /enable修复。
如果您在Windows 10中遭遇顽固木马、Rootkit或启动项级恶意软件，常规扫描无法清除，则需借助Microsoft Defender离线扫描功能。该功能在系统启动前加载独立反病毒环境，绕过Windows运行时干扰，直接扫描磁盘原始扇区与内存镜像。以下是多种可靠且适配不同故障场景的执行方案：
一、通过Windows安全中心图形界面启动脱机扫描
此方法适用于系统桌面可正常操作、安全中心服务未被禁用的常规场景，由系统原生UI引导完成环境切换，无需命令行干预，稳定性高。
1、按Win + I打开设置，进入“更新和安全”→“Windows 安全”。
2、点击“病毒和威胁防护”，在“当前威胁”下方选择“扫描选项”。
3、在扫描类型列表中，找到并点击Microsoft Defender 脱机版扫描（注意：Windows 10显示名称不含“防病毒”三字）。
4、点击“立即扫描”，系统将弹出提示框，要求保存所有工作并重启。
二、使用运行命令直达威胁防护页触发脱机扫描
当系统设置页面响应迟缓、安全中心图标异常消失，或因组策略限制导致菜单入口不可见时，该方式可跳过UI层级，直连后台服务端点，规避界面渲染失败风险。
1、按Win + R打开“运行”对话框。
2、输入命令：windowsdefender://Threat/，点击“确定”。
3、页面自动跳转至“病毒和威胁防护”主界面后，点击“扫描选项”。
4、选中Microsoft Defender 脱机版扫描，点击“立即扫描”并确认重启。
三、通过PowerShell以管理员权限强制调用脱机扫描服务
该方法绕过全部用户界面组件，直接调用系统底层MpCmdRun.exe封装的WDO接口，适用于安全中心UI崩溃、服务被第三方工具停用、或存在ELAM驱动冲突等深度异常状态。
1、右键“开始”按钮，选择Windows PowerShell（管理员）。
2、执行命令：Start-MpWDOScan（无需引号，区分大小写）。
3、命令返回后，系统立即弹出黑色确认窗口，显示“即将重启进入脱机扫描环境”。
4、点击“是”，设备将在约30秒内自动重启并进入纯黑屏扫描界面。
四、BitLocker加密盘环境下的脱机扫描适配操作
若系统盘启用BitLocker全盘加密，脱机扫描默认无法解密卷内容，将跳过扫描或报错中止；必须临时暂停保护状态，否则扫描过程无法读取NTFS元数据与MFT表项。
1、以管理员身份运行命令提示符（非PowerShell）。
2、输入命令：manage-bde -protectors -disable C:（请将C:替换为实际系统盘符）。
3、执行后等待提示“已成功禁用保护程序”，再启动任一前述脱机扫描方式。
4、扫描完成后首次登录系统时，系统将自动提示重新启用BitLocker保护，此时务必点击“启用”以恢复加密状态。
五、WinRE环境缺失导致脱机扫描无法启动的补救措施
Microsoft Defender离线扫描依赖Windows恢复环境（WinRE）作为宿主平台。若WinRE被误删、损坏或被OEM厂商精简，扫描界面可能静默消失，不报错也不重启。
1、以管理员身份运行命令提示符。
2、执行命令：reagentc /info，检查输出中“Windows RE 状态”是否为“已启用”。
3、若显示“已禁用”，执行：reagentc /enable。
4、命令返回“操作成功”后，重启系统并验证WinRE是否可用：连续按F8或Shift+F8（视主板而定）进入恢复菜单，确认能正常调出选项。
