应直击hkey_current_user和hkey_local_machine下五个run键路径导出备份，再依路径异常、可疑参数、时间戳矛盾三类特征识别并安全删除恶意字符串值，严禁误删run键本身。
排查Windows 10中藏在注册表Run项里的开机自启动病毒脚本，必须直击HKEY_CURRENT_USER和HKEY_LOCAL_MACHINE两大路径下的Run键值，避开任务管理器“启动”标签的视觉盲区——那里只显示部分用户级启动项，而病毒常把恶意脚本写进系统级Run键并伪装成合法程序名，一开机就静默执行。
定位并导出全部Run键值
按下 Win + R，输入 regedit 回车，以管理员身份打开注册表编辑器（UAC弹窗点“是”）。
依次展开以下五个关键路径，右键对应项 → “导出”，保存为 .reg 文件备用：
① HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
② HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
③ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
④ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
⑤ HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
导出时务必勾选“选择分支”，否则只导出当前键不包含其子项。这一步不可跳过，【误删Run键本身会导致系统无法加载用户界面】，仅导出是安全前提。
识别可疑Run项的三类典型特征
方法一：查路径异常
双击任一Run项右侧的字符串值，看“数值数据”字段。病毒脚本常见路径包括：%APPDATA%\Roaming\*.vbs、%TEMP%\*.js、C:\Users\Public\*.exe——这些位置本不该存放启动程序，尤其当文件名用随机字符（如a7x9q.exe）或伪装系统名（如svch0st.exe带数字零）时，基本可判定为恶意。
方法二：查调用参数
若数值数据里含 cmd /c、powershell -w hidden -enc 或 wscript //b，后面跟着一长串Base64编码，这就是典型的无文件攻击手法，脚本根本不在磁盘落盘，直接内存执行。
方法三：查时间戳矛盾
右键该字符串值 → “修改”，看“最后修改时间”。正常软件安装后Run项写入时间应与软件安装时间接近；若某项修改时间是凌晨2:17且早于系统最近更新日期，而你从未在那个时间装过软件，就要重点怀疑。
安全删除恶意Run项
确认某条Run项为病毒后，不要直接按Delete键——注册表编辑器会提示“确认删除”，但误点“是”可能删错父键。
正确操作：右键该字符串名称（不是右侧数据）→ “删除” → 弹窗点“是”。【删除前必须已导出备份，且确保只删字符串值，不删整个Run键】
删完立即重启电脑，观察是否仍有异常弹窗或进程启动。若症状未消失，说明病毒还藏在其他持久化位置，比如计划任务或服务项，需继续排查。
