必须检查注册表Run键、计划任务、服务、启动文件夹等隐蔽位置，因任务管理器仅显示部分可控项；具体包括：①注册表5个Run/RunOnce路径；②shell:startup与shell:common startup文件夹；③任务计划程序中“登录时/开机时”触发任务；④services.msc中自动启动的服务路径。
要彻底排查电脑里偷偷开机自启的软件，避免它们拖慢启动速度或在后台悄悄运行，必须绕过系统默认的“任务管理器→启动”界面——那里只显示部分可控项，大量真实自启程序藏在注册表、计划任务、服务、启动文件夹等隐蔽位置。
查看任务管理器里的启动项（基础筛查）
按下 Ctrl + Shift + Esc 打开任务管理器 → 切换到「启动」选项卡 → 等待列表加载完成。
右键任一项目 → 选择「启用」或「禁用」可快速控制，但注意：【这里禁用的只是Windows 10/11后期添加的简化层，底层注册表或服务仍可能激活它】。
检查系统启动文件夹（手动路径直达）
按 Win + R，输入 shell:startup → 回车，打开当前用户启动文件夹。
再按 Win + R，输入 shell:common startup → 回车，打开所有用户启动文件夹。
两个文件夹里出现的快捷方式或exe文件，都会在登录时自动执行。删掉不需要的快捷方式即可，但【不要直接删除原程序文件，只删快捷方式】。
扫描注册表自启项（深度挖掘）
按 Win + R，输入 regedit → 回车，以管理员身份运行注册表编辑器。
依次展开以下5个关键路径，逐一手动检查右侧「数值名称」和「数值数据」：
① HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
② HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
③ HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run（64位系统上32位程序专用）
④ HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
⑤ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
看到陌生路径或可疑公司名（比如带随机字符串、无签名的exe），先用右键→「修改」复制完整路径，粘贴进资源管理器地址栏确认是否为真实程序；不确定的条目【切勿直接删除，先导出备份该子项】。
排查计划任务中的隐藏自启
方法一：图形界面操作
搜索并打开「任务计划程序」→ 左侧点击「任务计划程序库」→ 在中间窗格按「下次运行时间」列排序 → 查看那些触发条件为「登录时」「开机时」「空闲时」的任务。
方法二：命令行速查
以管理员身份打开CMD或PowerShell，执行：schtasks /query /fo LIST /v | findstr "触发器 登录 启动"
输出结果中若出现非微软签名的任务，双击该任务→「属性」→「常规」页勾选「不管用户是否登录都要运行」且「不存储密码」时，极可能是静默自启行为。
识别伪装成服务的自启进程
按 Win + R，输入 services.msc → 回车。
在服务列表中，找到「启动类型」为「自动（延迟启动）」或「自动」的服务 → 右键→「属性」→ 查看「可执行文件路径」。
路径含 Temp、AppData、ProgramData 或指向非常规目录（如 C:\Users\XXX\AppData\Roaming\random123\svc.exe）的服务，需重点核查。右键→「停止」可临时禁用，但【禁用前务必确认该服务非系统关键组件，否则可能导致蓝屏或功能异常】。
