电脑开机弹出不明窗口或静默运行陌生进程，说明非法代码通过注册表Run/RunOnce分支实现隐蔽自启——需手动定位并删除HKEY_CURRENT_USER...\Run、HKEY_LOCAL_MACHINE...\Run及对应RunOnce路径下的可疑启动项。
电脑每次开机都弹出不明窗口或后台静默运行陌生进程，说明有非法代码通过注册表Run或RunOnce分支实现了隐蔽自启——这些条目不会出现在任务管理器“启动应用”页，也不会在启动文件夹里留下快捷方式，必须直接定位并删除注册表键值。
定位两个核心Run分支路径
Win + R → 输入regedit → 以管理员身份运行注册表编辑器。
依次展开以下两个路径（注意大小写与斜杠方向）：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
这两个路径分别对应当前用户和所有用户的自启动入口，绝大多数非法软件会优先写入HKCU路径，因为无需管理员权限即可写入；而HKLM路径一旦被污染，影响范围更广，且必须用管理员权限才能修改。
查找并识别可疑项
在每个Run路径右侧窗格中，逐行查看数值名称（Name）和对应的数值数据（Data）。
重点筛查以下特征的条目：
• 名称是随机字符串（如“svch0st_x64”“UpdateCheck_2026”“tmp12345”）
• 数据指向%TEMP%、AppData\Local\Temp、ProgramData\RandomFolder等临时目录下的.exe或.vbs文件
• 数据路径含空格但未用英文双引号包裹（例如C:\Users\A\AppData\Local\bad\run.exe会失败，而"C:\Users\A\AppData\Local\bad\run.exe"才有效）→ 这类错误路径往往说明该条目已被软件卸载但残留，可安全删除
【关键前提】必须确认该条目对应文件已不存在：右键数值 → “修改”，复制数据字段内容 → 在资源管理器地址栏粘贴并回车。若提示“位置不可用”或弹出“找不到文件”，说明该启动项已失效，属于典型残留，应立即清除。
清理RunOnce分支中的顽固残留
RunOnce分支比Run更危险：它本意是“仅执行一次”，但某些恶意程序会反复重写该键，或利用其延迟加载特性绕过常规扫描。
方法一：手动清空两个RunOnce路径
依次展开：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
右侧窗格中，删除所有非微软签名的条目。尤其警惕名称含“Setup”“Init”“Loader”“AutoRun”的项。
方法二：用命令行批量导出+筛选（适合批量排查）
Win + R → 输入cmd → 以管理员身份运行 → 执行：
reg export "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" %USERPROFILE%\Desktop\runonce_user.reg
reg export "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce" %USERPROFILE%\Desktop\runonce_machine.reg
然后用记事本打开这两个.reg文件，搜索“.exe”“.vbs”“.bat”，人工核对路径真实性。
注意：RunOnce项删除后不会自动重建，但某些驱动安装程序会在下次插入设备时重新写入——因此首次清理后建议重启验证是否仍有异常进程。
验证删除效果并防止再生
第一步：关闭所有正在运行的第三方安全软件（包括360、腾讯电脑管家等），它们可能劫持注册表监控并阻止你删除真实恶意项。
第二步：重启电脑，在登录前按Ctrl+Shift+Esc调出任务管理器 → 切换到“详细信息”页 → 按CPU或磁盘排序，观察是否有陌生进程在0秒处突然飙升。
第三步：再次打开regedit，重新进入上述四个路径（Run和RunOnce各两个），确认目标键值已不存在。
第四步：若发现某条目删除后重启又出现，说明有后台服务或计划任务正在持续写入——此时需立即转查任务计划程序库（taskschd.msc）中触发条件为“登录时”或“启动时”的任务，这是非法代码再生的最常见源头。
