任务计划程序被恶意篡改可能导致蓝屏，需立即安全模式禁用可疑任务、多维度排查注册表与wmi持久化项、运行sfc/dism修复系统、重置task scheduler服务，并通过defender离线扫描及wmi校验完成深度清理。
任务计划程序（task scheduler）被恶意篡改后，可能在系统启动或特定时间点触发异常脚本、加载非法驱动或执行提权操作，从而引发内核级崩溃——典型表现为反复蓝屏，错误代码多为 kmode_exception_not_handled (0x1e)、system_service_exception (0x3b) 或 irql_not_less_or_equal (0xa)，且 dump 文件中常出现可疑 .exe 或 .dll 调用栈。
一、立即进入安全模式并禁用可疑任务
避免任务自动触发，是阻断蓝屏循环的第一步：
- 强制重启三次（开机亮屏即长按电源键关机），进入 WinRE 自动修复环境
- 选择【疑难解答】→【高级选项】→【启动设置】→【重启】，按 F4（安全模式） 或 F5（带网络的安全模式）
- 登录后，按 Win+R 输入 taskschd.msc 打开任务计划程序库
- 在左侧面板依次展开：任务计划程序库 → Microsoft → Windows，重点检查以下子目录是否存在异常新建项：
• Application Experience
• Diagnosis
• ShellCommon
• UpdateOrchestrator
• 以及名称含“Updater”、“Cleaner”、“Optimizer”、“SysFix”等可疑词的自定义文件夹 - 右键可疑任务 → 【属性】→ 切换到【常规】选项卡 → 勾选 “不管用户是否登录都要运行” 和 “使用最高权限运行” 的任务需高度警惕；点击【禁用】而非删除（便于后续分析）
二、扫描并清理隐藏的恶意计划任务
部分恶意任务会伪装成系统任务，或通过注册表、WMI 持久化，需多维度排查：
- 以管理员身份打开 PowerShell，运行以下命令导出全部任务清单：
Get-ScheduledTask | Where-Object {$_.State -ne 'Disabled'} | Select-Object TaskName,TaskPath,State,Author | Format-List > C:\task_report.txt - 检查注册表中潜在持久化入口：
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree（该路径下所有子项对应已注册任务，可比对 names 是否异常） - 运行 wevtvwr.msc 打开事件查看器，在【Windows 日志 → 安全】中筛选 ID 4698（创建计划任务）和 4699（删除计划任务），按时间倒序查找蓝屏前 24 小时内的异常记录，重点关注来源为非 SYSTEM 或非 TrustedInstaller 的条目
三、修复系统服务与关键组件
篡改任务常伴随服务劫持或系统组件破坏，需同步校验：
- 在管理员 PowerShell 中依次执行：
sfc /scannow（修复核心系统文件）
dism /online /cleanup-image /restorehealth（修复映像源） - 重置任务计划程序服务本身：
• 运行 services.msc，找到 Task Scheduler 服务
• 右键 → 【属性】→【恢复】选项卡：将“第一次失败”“第二次失败”“后续失败”全部设为 “重新启动服务”
• 【常规】选项卡中确认启动类型为 自动（延迟启动），并点击【启动】 - 重建默认任务计划程序配置（谨慎操作）：
• 命令提示符（管理员）中执行：
net stop schedule && net start schedule
• 若报错“服务未响应控制功能”，则运行：
sc config schedule start= demand && sc start schedule
四、深度清理与验证
完成基础修复后，必须验证是否彻底清除残留：
- 使用 Microsoft Defender Offline Scan（离线扫描）：在安全模式下打开 Windows 安全中心 → 病毒和威胁防护 → 【扫描选项】→ 选择【Microsoft Defender 脱机扫描】→ 【立即扫描】，重启后全盘查杀
- 检查 WMI 数据库完整性：
• 管理员 PowerShell 中运行：
winmgmt /verifyrepository（正常应返回“Repository is consistent”）
• 若异常，执行：
winmgmt /salvagerepository 或 winmgmt /resetrepository（后者会重建 WMI，需重启） - 观察至少 48 小时：不安装新软件、不插外接设备，仅做基础操作，确认无蓝屏再逐步恢复日常使用
