autoruns可穿透内核层查看隐藏驱动：需以管理员身份运行，勾选“hide microsoft entries”“verify code signatures”“check virustotal.com”，再切换至【drivers】和【boot execute】标签页，结合签名验证、路径分析与文件信息比对识别并禁用可疑驱动。
Win10怎么用AutoRuns查看隐藏最深的开机自启动驱动
Windows 10系统中，有些驱动级自启动项根本不会出现在任务管理器、msconfig甚至服务列表里，它们直接挂钩内核、劫持引导流程，只有AutoRuns能穿透到Drivers和Boot Execute层级把它们揪出来。
下载最新版Autoruns64.exe（v13.100），解压后【必须右键→以管理员身份运行】，普通用户权限下Drivers标签页将为空或显示不全。
点击顶部菜单栏【Options】→ 勾选“Hide Microsoft Entries” → 再勾选“Verify Code Signatures” → 最后勾选“Check VirusTotal.com”（需联网）。这三步做完，界面会自动刷新，未签名、非微软来源、VirusTotal报毒率＞0%的驱动将高亮标红。
切换到【Drivers】标签页，重点看四列：Description（描述）、Publisher（发布者）、Image Path（镜像路径）、Verified（签名状态）。凡Publisher显示“Unknown”或空白、Image Path指向C:\Windows\Temp、AppData\Local\Temp、或路径含随机字符（如“xq87f.dll”），立即右键→【Jump To Entry】定位注册表键值，再决定是否禁用。
接着切到【Boot Execute】标签页——这是比Drivers更底层的位置，系统在Winload.efi阶段就执行的模块。这里出现的条目极少，但每一条都具备内核提权能力。若看到非微软签名的.exe或.sys文件在此处列出，【不要直接勾选禁用，先右键→Properties→看数字签名详情和文件哈希】，再上传至VirusTotal交叉验证。
快速定位可疑驱动的两种实战路径
方法一：按加载顺序逆向排查
Drivers标签页默认按字母排序，但真正危险的驱动往往靠后加载。点击“Company”列标题两次，让“Unknown”排到最上方；再点一次“Verified”，把“Unsigned”顶到顶部。此时前5条几乎全是高风险目标。
方法二：用搜索框精准打击
按Ctrl+F调出搜索框 → 输入“.sys” → 回车。所有驱动文件立刻高亮。逐个右键→【Check Signature】，弹窗显示“Signature could not be verified”或“Not signed”即为可疑项。特别注意名称伪装成系统文件的，比如“nvlddmkm.sys”（合法NVIDIA驱动）被替换成“nvlddmkm64.sys”或“nvlddmkm_x64.sys”——多一个字符就是木马。
发现可疑项后，不要急着禁用。先右键→【File Info】→ 查看“Product Version”和“Original Filename”。真实驱动的Original Filename字段一定与文件名一致；若显示为空、乱码或明显不符（如文件叫“svchostk.sys”但Original Filename写的是“Windows Update Service”），基本可判定为Rootkit级驱动。
禁用前必做的三件事
第一步：确认该驱动无硬件依赖
右键可疑驱动→【Properties】→ 切换到“Services”选项卡 → 查看“Dependent Services”。如果下方列表为空，或只列着“WdNisDrv”（Windows Defender）、“ndis.sys”（网络驱动）等基础模块，说明它大概率是独立加载的恶意驱动。
第二步：导出当前Drivers快照作对比基线
点击【File】→ 【Save】→ 保存为autoruns_drivers_before.csv。下次清理后再导出一份，用Beyond Compare或Excel对比差异，能清晰看出哪些驱动被移除、哪些新冒出来。
第三步：禁用操作本身
勾掉该驱动左侧复选框 → 弹窗提示“Disabling this entry will prevent it from loading at boot time” → 点【Yes】。注意：这只是禁用注册表加载指令，【原.sys文件仍保留在磁盘上，不会删除】，后续可随时恢复。
