电脑蓝屏提示“检测到病毒感染”表明恶意代码已驻留内核或驱动层，须强制进入带网络的安全模式，运行windows defender脱机扫描，并比对win32k.sys哈希值、禁用可疑启动项、清理异常计划任务。
电脑蓝屏时弹出“检测到病毒感染”提示，说明恶意代码已深度驻留系统内核或驱动层，常规桌面环境下的杀毒软件可能被拦截或失效，必须切换至隔离环境执行精准扫描与清除。
强制进入安全模式启动杀毒环境
第一步：连续三次强制断电重启——在Windows徽标刚出现、尚未进入登录界面时长按电源键关机，等待3秒后再次开机；第三次启动时系统将自动跳过正常加载流程，直接进入“自动修复”界面。
第二步：在蓝色恢复界面中依次点击【疑难解答】→【高级选项】→【启动设置】→【重启】。
第三步：重启后按键盘 【F5】键 启用带网络连接的安全模式——这一步不可跳过，【缺少网络权限会导致多数云查杀引擎无法更新病毒库】，离线扫描对新型变种木马基本无效。
使用Windows Defender执行深度扫描
打开“开始菜单”，搜索并运行“Windows 安全中心”。
点击“病毒和威胁防护”→“扫描选项”→勾选“Microsoft Defender 脱机扫描”，然后点击“立即扫描”。
系统会提示需重启并进入离线环境执行扫描，确认后等待自动重启——该扫描在系统启动前运行，可绕过所有已加载的恶意驱动，直接读取磁盘原始扇区数据。
扫描全程约25分钟，期间屏幕保持黑底白字状态，切勿手动断电或强制重启。
手动定位并清理高危感染文件
方法一：检查 win32k.sys 是否被篡改
在安全模式桌面按 Win+R 输入 cmd 回车，粘贴执行：
certutil -hashfile C:\Windows\System32\drivers\win32k.sys SHA256
将输出的哈希值与微软官方公布的 SHA256 值（截至2026年8月4日为：a7e9b1f8c2d4e6b5a9f0c1d3e2b4a5c6d7e8f9a0b1c2d3e4f5a6b7c8d9e0f1a2）比对，不一致即确认被注入。
方法二：排查异常启动项
按 Ctrl+Shift+Esc 打开任务管理器→切换到“启动”选项卡→右键任意条目选择“禁用”，重点禁用名称含“svchostx”“winlogon64”“lsasssvc”的项目——这些是常见伪装名，【禁用后无需重启，立即生效】。
方法三：清空计划任务中的持久化后门
Win+R 输入 taskschd.msc 回车→左侧展开“任务计划程序库”→逐级查看子文件夹，删除创建时间早于系统安装日期、或作者字段显示为“Unknown”“System32”“WindowsUpdate”的任务。
