必须检查的三大注册表启动项路径是：1.hkey_current_user\software\microsoft\windows\currentversion\run；2.hkey_local_machine\software\microsoft\windows\currentversion\run；3.hkey_local_machine\software\wow6432node\microsoft\windows\currentversion\run，它们分别对应用户级、系统级及64位系统中32位程序的自启入口，是流氓软件最常藏匿的核心位置。
启动项里哪些注册表路径必须检查
流氓软件最常藏身的启动项就那几个注册表位置，不全查等于白清。重点盯紧这三处：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run、HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run。前两个是用户级和系统级主启动项，第三个专管 32 位程序在 64 位系统里的自启逻辑——很多广告软件就靠它绕过常规扫描。
别只看键名是否“可疑”，更要检查值数据（Value Data）：指向 %temp%、%appdata% 或含 powershell -exec bypass、http:// 的条目，基本可以判定为异常。名称像 AdobeGCClient 或 GoogleUpdater 这类仿冒项，也要对照已知正版命名规则比对。
用 Autoruns 比 regedit 更准地识别启动项
直接进 regedit 手动翻容易漏，因为启动项不止存在注册表里——还有计划任务、服务、映像劫持、Winlogon 通知等十多个入口。Autoruns 是微软 Sysinternals 官方工具，能一次性拉出全部自启源，并标出签名状态、文件路径、数字签名有效性。
实操建议：
- 以管理员身份运行 Autoruns，勾选 “Hide Microsoft Entries”，减少干扰
- 按 “Image Path” 列排序，快速定位指向
AppData\Local或随机命名 exe 的条目 - 右键某条目 → “Check VirusTotal”，可直连云端查该文件哈希是否被报为 PUP
- 不确定时先 取消勾选（Disable）而非删除，重启验证是否影响功能
删完启动项为什么软件还弹窗？
启动项只是“开机自动跑”的入口，不是唯一入口。很多流氓软件同时注册了：Task Scheduler 里的计划任务（比如每 10 分钟检查一次主页）、services.msc 里的伪装服务（名称像 Windows Update Helper）、甚至浏览器自身的 chrome://extensions 页面里静默启用的扩展。只清注册表启动项，等于只拆了门锁，没拆后窗和地窖。
常见连锁残留现象：
- 卸载后第二天又出现弹窗 → 查
taskschd.msc中近期创建的、触发条件为“登录时”或“空闲时”的任务 - 浏览器主页改不回来 → 进
chrome://settings/onStartup和chrome://settings/searchEngines看是否被篡改默认项 - 重启后进程自动复活 → 在
services.msc里搜索关键词，确认服务启动类型是否为Automatic (Delayed Start)
清理后怎么防止它偷偷加回来
不少流氓软件的安装包自带“恢复机制”，比如写入一个隐藏的计划任务，每天凌晨调用 curl 或 bitsadmin 下载新组件。所以清理完必须做两件事：关掉它的下载通道，再锁住关键注册表路径。
立即生效的操作：
- 禁用可疑计划任务后，顺手在 PowerShell（管理员）中执行：
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "DisableRegistryTools" -Value 1（防止后续通过脚本修改注册表） - 用
gpedit.msc（仅专业版/企业版）打开组策略 → 计算机配置 → 管理模板 → Windows 组件 → Windows Defender 防病毒 → 实时保护 → 关闭“关闭实时保护”设为已启用（避免被恶意关闭） - 浏览器里关闭所有网站的“通知权限”：
chrome://settings/content/notifications，把未知来源全设为“阻止”
真正难处理的从来不是某个启动项，而是多个残留点之间互相唤醒的链路。一个没断干净，整条链就还能通电。
