流氓软件通过注册表Run键、启动文件夹、计划任务和服务等多途径实现自启，需依次清理注册表自启项、删除启动文件夹中的可疑快捷方式、禁用恶意计划任务，并用PowerShell命令扫描深层自启机制。
流氓软件总在你关机重启后突然出现在任务栏右下角，或者开机时自动弹出广告窗口，根本原因就是它绕过你的感知，在注册表、启动文件夹、计划任务甚至服务中偷偷写入了自启项——这些入口不清理干净，删十遍都还会复活。
先斩断注册表里的自启链路
注册表是流氓软件最常下手的“暗道”，尤其是Run和RunOnce键值，一旦被写入，每次用户登录就会强制执行指定程序。
第一步：按 Win + R 输入 regedit 回车，以管理员身份运行注册表编辑器。
第二步：依次展开路径：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 和 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run。
第三步：在右侧列表里，逐个检查每个字符串值的“数值数据”内容。看到路径含 Temp、AppData\Local\Temp、RandomName.exe 或指向陌生文件夹（如 C:\Users\Public\svchost32）的条目，直接右键→删除。
注意：不要删除名称为“CTFMON”“OneDrive”“NVIDIA Container”等已知系统或硬件相关项，误删会导致输入法失效或显卡控制面板异常。
清空启动文件夹里的“影子快捷方式”
很多流氓软件不走注册表，专挑用户启动文件夹塞.lnk快捷方式——这种手法隐蔽、生效快，且普通用户根本不会想到去翻这个位置。
方法一：直接打开当前用户启动文件夹
按 Win + R，输入 shell:startup 回车，删除里面所有不认识的.lnk文件；
方法二：检查所有用户的通用启动文件夹
再输入 shell:common startup 回车，这个位置对所有账户生效，流氓软件特别爱往这里扔启动项，删掉所有非微软官方签名的快捷方式。
这一步操作起来很简单，直接把文件拖进去就行。但要注意：如果某个.lnk右键属性里“目标”指向的是 %APPDATA%\Roaming\XXX\update.exe 这类路径，哪怕图标像微信，也必须删。
揪出藏在计划任务里的定时唤醒者
有些流氓软件不靠开机触发，而是用计划任务“每天8点自动拉起进程”，表面看不自启，实则更难察觉。
① 按 Win + R 输入 taskschd.msc 回车，打开任务计划程序库；
② 在左侧面板点击“任务计划程序库”，右侧列表按“状态”列排序，优先筛选出“就绪”或“正在运行”的任务；
③ 重点检查名称含 Update、Helper、Boost、Optimize、Service 的任务，双击打开→切换到“常规”选项卡→勾选“不管用户是否登录都要运行”和“只在本地计算机上运行”的任务要高度警惕；
④ 点击“操作”选项卡，查看“启动程序”字段是否指向 C:\ProgramData\ 或 %TEMP% 下的可疑exe；确认后直接右键→“禁用”，不是“停用”——停用只是暂停一次，禁用才真正切断触发。
用命令行一次性扫描顽固启动项
图形界面容易漏掉服务项、WMI订阅、映像劫持等深层自启机制，这时候得靠系统原生命令补刀。
以管理员身份运行 PowerShell，逐条执行：
msconfig /? >nul && msconfig /bootlog ——启用启动日志，下次开机后生成 bootlog.txt 记录所有加载项；
schtasks /query /fo LIST /v | findstr /i "update helper boost" ——快速筛出带关键词的计划任务；
Get-CimInstance Win32_StartupCommand | Where-Object {$_.Command -notmatch "Windows|Microsoft|Adobe|Google"} ——列出所有非主流厂商的启动命令，结果里出现 Temp 或随机字符名就立即记下路径。
执行完这三行命令，你就能拿到一份比任务管理器更全的“自启嫌疑清单”，后续可针对性删除或禁用。
