必须检查注册表Run键、计划任务、启动文件夹和守护进程层；具体包括：①注册表HKEY_CURRENT_USER及HKEY_LOCAL_MACHINE下的Run路径；②taskschd.msc中“登录时”触发任务；③shell:startup与shell:common startup文件夹；④Mac的LaunchAgents/LaunchDaemons残留plist。
电脑开机后自动运行陌生进程、风扇狂转却找不到对应软件图标，说明有隐藏启动项在后台拉起服务；这类程序不显示在任务管理器“启动”页，也不出现在系统设置登录项列表里，必须深入注册表、启动文件夹、计划任务和守护进程层逐一排查。
查注册表Run键里的隐蔽自启
很多广告软件、驱动配套工具、旧版网盘会直接往注册表写入exe路径，绕过所有图形界面管理。这类项在任务管理器里完全不可见，但每次开机必加载。
按下Win + R → 输入regedit → 回车打开注册表编辑器。
依次展开以下两个路径：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
右侧窗格中每个字符串值都代表一个启动项，双击查看“数值数据”——【如果路径指向C:\Users\用户名\AppData\Local\Temp\或随机命名的.exe，基本可判定为恶意或残留程序】。确认无误后，右键该条目 → 删除。
注意：HKEY_LOCAL_MACHINE下的项影响所有用户，删除前务必核对发布者名称，避免误删系统关键服务（如OneDrive、WindowsCamera等）。
扫任务计划程序里的“登录触发”任务
Spotify、Steam、某些输入法会把自启逻辑藏在任务计划程序里，用“用户登录时触发”方式启动，任务管理器和启动文件夹都抓不到它。
方法一：图形界面操作
按下Win + R → 输入taskschd.msc → 回车打开任务计划程序库。
在左侧面板点击“任务计划程序库”，右侧列表按“触发器”列排序，筛选出“触发器类型：登录时”的任务。
逐个双击检查“常规”选项卡中的“配置为”，若显示“Windows 10/11”且“作者”为非微软/知名厂商（如“AdwareUpdater”“BrowserProtect”），右键 → “禁用”或“删除”。
方法二：终端快速定位
以管理员身份运行终端 → 输入命令：
schtasks /query /fo LIST /v | findstr "Logon" | findstr -i "taskname"
这条命令会列出所有登录触发任务的名称，复制可疑名称 → 再执行：
schtasks /delete /tn "任务全名" /f
清Mac系统的LaunchAgents与LaunchDaemons残留
Mac上卸载软件后仍出现弹窗、后台CPU占用高，大概率是LaunchAgents或LaunchDaemons中残留了.plist配置文件，它们不会出现在“系统设置→登录项”里。
第一步：清理用户级代理
按下Command + Shift + G → 输入~/Library/LaunchAgents → 回车。
按“修改日期”倒序排列，重点看近7天内新增的.plist文件。
右键可疑文件 → “显示简介” → 查看“备注”字段：若写着“已卸载应用”或路径含“BaiduNetdisk”“TencentWeChat”等已删软件名，直接拖入废纸篓。
第二步：清理系统级守护进程（需密码）
再次Command + Shift + G → 输入/Library/LaunchDaemons → 回车，输入管理员密码。
【切勿删除任何com.apple.开头的文件，误删将导致蓝牙、音频、网络等基础功能失效】
查找文件名含“360”“Kaspersky”“Parallels”“Logitech”等第三方厂商关键词的.plist，右键 → “移到废纸篓”。
挖Windows启动文件夹里的伪装快捷方式
有些程序（尤其是绿色版、破解工具、捆绑安装的输入法）不走注册表，而是直接往启动文件夹扔.lnk快捷方式，图标还故意做成系统文件样式，肉眼难辨。
按下Win + R → 输入shell:startup → 回车，打开当前用户启动文件夹。
按下Ctrl + J → 勾选“显示隐藏的文件、文件夹和驱动器”。
按“类型”排序，专找“快捷方式（.lnk）”和“应用程序（.exe）”混排的项目。
右键每个.lnk → “属性” → 查看“目标”字段：
若指向C:\Users\用户名\AppData\Roaming\XXXXX\run.exe 或路径含乱码、临时目录、数字串，立即删除。
再输入shell:common startup → 回车打开所有用户共用启动文件夹，重复上述检查流程。这两个文件夹清空后，重启即可切断90%以上伪装型自启链路。
