禁用任务管理器启动项无效是因为流氓软件通过计划任务、RunOnce键或Startup文件夹自启；需同步检查taskschd.msc、HKEY_CURRENT_USER...\RunOnce及shell:startup，重点排查登录触发、临时路径和随机命名的可疑项。
任务管理器里禁用后还自启，说明它根本没走启动项列表
Windows 任务管理器的“启动”选项卡只显示部分注册表和 Startup 文件夹入口，大量流氓插件通过计划任务、服务或 RunOnce 键绕过。哪怕你右键禁用了全部条目，只要它在 taskschd.msc 里注册了“登录时触发”的任务，或者把启动命令写进 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce，重启后照样拉起。
实操建议：
- 必须同时打开三个窗口：
taskmgr（启动页）、taskschd.msc、shell:startup，挨个比对名称和路径 - 重点筛查任务计划中触发器为“当用户登录时”且操作指向
%AppData%、%LocalAppData%或随机子目录的 .exe - 看到名称像
UpdateChecker、CloudHelper、QuickLauncher的任务，别信描述，直接双击→“操作”页看实际执行路径
注册表 Run 键里藏的是伪装路径，不是软件名
很多用户在 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 里按名称搜索“广告”“弹窗”“Helper”，结果一无所获——因为流氓插件根本不叫这个名字。它可能叫 WinSync 或 SystemAgent，但右侧“数值数据”里写的却是 "C:\Users\Alice\AppData\Roaming\kx2z7b\adhost.exe" 这种路径。
实操建议：
- 展开
Run键后，逐个点击右侧字符串值，在下方预览框里看“数值数据”字段内容 - 凡路径含
%AppData%、%LocalAppData%、Temp、Cache或明显随机字母数字组合（如q8m3n9）的，基本可判定为可疑 - 删除前务必右键导出该键值到桌面备份；误删
OneDrive或TeamsMachineInstaller这类系统相关项会导致功能异常
Startup 文件夹里的 .lnk 快捷方式不会出现在任务管理器中
shell:startup 和 shell:common startup 是最常被忽略的启动通道。流氓插件 installer 安装时，会悄悄往这两个文件夹里扔一个指向临时目录的快捷方式，而这个行为完全不登记进任务管理器启动列表，也不写注册表 Run 键。
实操建议：
- 打开
shell:startup后，按“修改日期”倒序排列，优先检查最近 1–3 天新增的 .lnk 文件 - 右键 → “属性” → “快捷方式”页，点“查找目标”或直接看“目标”字段：如果指向
C:\Users\...\AppData\Local\Temp\*.exe，立刻删除 - 别漏掉
shell:common startup（所有用户级启动），有些捆绑包专往这里写，普通用户删不掉
计划任务里“已禁用”的任务仍可能残留触发逻辑
在 taskschd.msc 中右键选择“禁用”，只是让任务暂时不触发，并不删除其定义。某些流氓插件会在禁用后自动重建同名任务，或者通过另一个“维护任务”定期检查并恢复它。
实操建议：
- 不要只点“禁用”，对确认恶意的任务，右键 → “删除”（Delete）才是彻底清除
- 删除前注意看“安全选项”页是否勾选了“不管用户是否登录都要运行”——这种任务权限极高，必须优先处理
- 删完后，重启电脑并立即打开
taskmgr→ “详细信息”页，按“命令行”列排序，搜adhost.exe、popsvc等常见弹窗进程名，验证是否真没再拉起
