必须立即验证来源，否则可能已遭植入；观察发布者为“未知”或签名无效的进程，检查路径是否在安全目录外，注册表和启动文件夹中发现非授权项应清理，powershell命令可全面识别可疑启动项。
电脑组装完成后首次进入Windows系统，任务管理器“启动”选项卡中突然出现多个名称陌生、发布者为“未知发布者”的进程，既不是主板厂商工具也不是你主动安装的软件，这种情况下必须立即验证其来源，否则可能已遭植入。
先看发布者和签名状态
按下 Ctrl + Shift + Esc 打开任务管理器 → 切换到“启动”选项卡 → 找到名称可疑的条目（如“Agent.exe”“UpdateMgr.lnk”“drvhost64.exe”）→ 观察“发布者”列内容。
若显示“未知发布者”或“(未验证)”，右键该条目 → 选择“打开文件所在的位置” → 查看文件属性 → 切换到“数字签名”选项卡：没有签名或签名状态为“此文件没有有效的数字签名”，【该进程极大概率非系统组件且未经可信认证】。
特别注意：刚装机时主板驱动光盘或U盘残留的自动运行脚本，常以无签名exe形式写入当前用户启动项，路径多为 %AppData%\Roaming\Temp\ 或 %LocalAppData%\Programs\ 下的随机命名文件夹。
查启动位置是否在标准路径
对任意存疑进程，右键 → “属性” → “常规”选项卡中确认完整路径。
安全路径仅限以下三类：C:\Windows\System32\（系统核心进程）、C:\Program Files\ 或 C:\Program Files (x86)\（正规软件安装目录）、C:\Users\【用户名】\AppData\Local\ 下知名厂商子目录（如 Microsoft\OneDrive\）。
一旦路径指向 %AppData%\Roaming\Startup\、%LocalAppData%\Temp\、C:\Users\Public\Desktop\ 或根目录下带数字/下划线的乱码文件夹，【直接判定为非授权自启项，不可信任】。
清理注册表启动项
方法一：快速定位当前用户启动项
按 Win + R → 输入 regedit → 定位到：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
右侧窗格中逐个双击数值名称，查看“数值数据”指向的完整路径。只删除路径不在上述安全目录内、且发布者为“未知”的条目。
方法二：扫描机器级顽固项
继续在注册表中展开：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
此处条目影响所有用户，常见于主板附赠软件（如ASUS AI Suite、MSI Dragon Center）安装包静默写入。若你未安装对应厂商工具，却看到类似 ASUSUpdateCheck.exe 或 MSILauncher.dll 的条目，需核对其路径是否真实存在于 ASUS/MSI 官方安装目录中；否则直接右键删除该数值。
注意：删除前务必点击该项 → 顶部菜单“文件”→“导出”备份整个键值，防止误删导致硬件监控功能失效。
清空启动文件夹中的快捷方式
第一步：打开当前用户启动文件夹
按 Win + R → 输入 shell:startup → 回车。
第二步：识别并移除可疑项
文件夹内只应存在你明确添加的快捷方式（如手动创建的“微信.lnk”）。若发现名称含“Auto”“Launch”“Boot”“Updater”且图标为默认Windows程序图标的.lnk文件，右键 → 删除。
第三步：检查所有用户启动文件夹（需管理员权限）
再按 Win + R → 输入 shell:common startup → 回车 → 清理同类型.lnk文件。该位置常被装机商预装的推广软件利用，且不会出现在任务管理器启动列表中。
用PowerShell验证进程真实性
以管理员身份运行 PowerShell：
输入命令：Get-CimInstance Win32_StartupCommand | Where-Object {$_.Name -like "*Agent*" -or $_.Name -like "*drv*"} | Select-Object Name, Command, User, Location
将 *Agent*、*drv* 替换为你实际看到的进程名关键词。
该命令会列出所有注册的启动命令，包括注册表、启动文件夹、计划任务等全部入口。重点比对 Command 字段是否指向真实可执行文件，以及 Location 是否为可信路径。若某条目 Command 显示为 powershell.exe -ExecutionPolicy Bypass -File "C:\Users\...\temp.ps1"，【立即终止该脚本进程并删除对应.ps1文件】。
