必须先进入安全模式——它只加载最基础的驱动与服务，能有效隔离病毒进程、释放被占用的文件句柄；先断网并强制进入安全模式，重复3次强制关机触发WinRE，重启后按F4进入标准安全模式；再运行Windows Defender脱机扫描，于预启动环境彻底清除引导扇区及驱动层顽固病毒。
当电脑感染顽固病毒导致杀毒软件无法彻底清除、文件被锁定、系统频繁崩溃或启动异常时，必须先进入安全模式——它只加载最基础的驱动与服务，能有效隔离病毒进程、释放被占用的文件句柄，为查杀创造干净环境。
先断网并强制进入安全模式
病毒常依赖网络回传数据或下载新载荷，不断网会导致边查边感染，甚至触发反制机制加密文件。务必在操作前物理拔掉网线或关闭Wi-Fi/蓝牙。
若当前系统已无法正常进入桌面（如蓝屏循环、卡登录界面），采用强制触发Windows恢复环境（WinRE）方式：开机看到Windows徽标瞬间，立即长按电源键强制关机；重复该操作共【3次】，第4次开机将自动进入“自动修复”界面。
在“选择一个选项”界面中，依次点击“疑难解答”→“高级选项”→“启动设置”→“重启”。重启后黑底白字菜单出现，按下F4键（标准安全模式）或F5键（带网络的安全模式）。选择F5仅在需联网下载专杀工具时使用，否则一律选F4。
用Windows Defender脱机扫描彻底清毒
普通实时防护在系统运行状态下无法触及引导扇区、内核驱动层或伪装成svchost.exe的恶意服务。脱机扫描在预启动环境中执行，绕过所有正在运行的Windows组件，是清除顽固病毒的唯一可靠手段。
进入安全模式后，点击【开始】→搜索“Windows 安全中心”并打开→进入“病毒和威胁防护”→点击“扫描选项”→向下滚动找到“Microsoft Defender 脱机扫描”，点击“立即扫描”。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
系统将提示重启并进入脱机环境，全程无需人工干预，扫描耗时约25–40分钟。扫描结束后自动重启，所有确认威胁将被永久删除且不可恢复。
手动排查残留项（可选但关键）
方法一：检查启动项与计划任务
按Win+R输入shell:startup回车，查看当前用户启动文件夹是否有可疑exe或lnk文件；再输入taskschd.msc打开任务计划程序，筛选“状态”为“准备就绪”且“触发器”含“登录时”“启动时”的任务，右键禁用并检查操作指向的程序路径。
方法二：定位病毒服务与驱动
以管理员身份运行cmd，执行sc query type= service state= all，重点筛查描述为空、名称含随机字符（如xqz123）、或显示“STOPPED”却实际在运行的条目；对可疑服务，先用sc qc 服务名查其二进制路径，再用del /f /q "路径"删除对应文件（注意：删除前务必确认路径不在System32内，否则可能破坏系统）。
方法三：清理注册表自启项
按Win+R输入regedit，导航至HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，逐项核对右侧数值数据是否指向陌生路径。删除前右键导出该键值备份，误删可能导致部分软件无法启动。
