任务管理器被禁用时，应先检查右键任务栏是否缺失选项或ctrl+shift+esc无响应，再依次验证注册表hkcu...policiessystem下disabletaskmgr值是否为1、排查四类run启动项、用powershell或autorunsc筛选异常进程，并在终止进程、备份注册表、验证路径后安全删除。
确认任务管理器是否被禁用（先排除基础故障）
右键任务栏空白处，若没有“任务管理器”选项，或按 Ctrl + Shift + Esc 无响应，说明系统可能已禁用该功能——这常是流氓软件的第一道封锁线。此时直接进注册表查 Run 项会白忙一场，因为连进程都起不来。
按 Win + R 输入 regedit 回车，导航至：【HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem】。右侧找 DisableTaskMgr 值，若为 1，双击改为 0；若该值不存在，说明未被策略禁用，继续下一步。
定位被锁死的 Run 自启动项真实位置
流氓软件常把自身路径写入多个 Run 键，且故意指向已删除文件、带空格未加引号的路径、或伪装成系统服务名。不能只看默认路径，必须覆盖全部注册表入口。
在 regedit 地址栏依次粘贴并回车以下四条路径，逐个展开检查右侧的（默认）值或 “Value” 数据：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREWOW6432NodeMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce
重点识别：路径中含“Temp”“AppDataLocalTemp”“~$”“.exe.”“svchost_”“winup.exe”等非常规命名，或目标路径根本不存在（右键→修改→看数据，再手动在资源管理器中粘贴路径测试是否打不开）。
用命令行绕过图形界面验证并导出可疑项
方法一：用 PowerShell 快速筛出异常路径
以管理员身份运行 PowerShell，执行：
Get-ItemProperty -Path 'HKLM:SOFTWAREMicrosoftWindowsCurrentVersionRun', 'HKCU:SOFTWAREMicrosoftWindowsCurrentVersionRun' -ErrorAction SilentlyContinue | Where-Object { $_.PSObject.Properties.Value -match '.exe' -and $_.PSObject.Properties.Value -notmatch 'C:\Windows\|System32|Program Files' } | Format-List
这条命令会过滤掉所有合法系统路径，只显示疑似流氓的 .exe 调用，比如 C:UsersPublicsvchost.exe 这类明显异常项。
方法二：用 autorunsc.exe 直接生成完整清单（无需安装）
下载 Sysinternals 的 autorunsc.exe（单文件），放在桌面，管理员运行 CMD，输入：
autorunsc.exe -a * -h -c > C:
un_items.csv
生成的 CSV 文件可用 Excel 打开，按“Command Line”列排序，一眼揪出带随机字符、多层子目录、无签名的启动命令。
安全删除前必须做的三件事
第一步：终止对应进程。打开任务管理器 → “详细信息”页 → 按“映像名称”排序，找到与注册表中路径同名的 .exe，右键 → “结束任务”。【不先结束进程，注册表项可能被占用而删不掉】
第二步：备份该项。右键注册表中目标子项 → “导出” → 保存为 backup_run_xxx.reg，存在桌面即可。
第三步：验证路径真实性。把注册表里看到的完整命令复制出来，在资源管理器地址栏粘贴回车——如果提示“位置不可用”或跳转到空白文件夹，就是典型锁死项，可删。
确认无误后，右键该子项 → “删除” → 点“是”。
