必须检查的三大注册表启动项路径是：1.HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run；2.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run；3.HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run，它们分别对应用户级、系统级及64位系统中32位程序的自启入口，是流氓软件最常藏匿的核心位置。

启动项里哪些注册表路径必须检查

流氓软件最常藏身的启动项就那几个注册表位置，不全查等于白清。重点盯紧这三处：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run、HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run。前两个是用户级和系统级主启动项，第三个专管 32 位程序在 64 位系统里的自启逻辑——很多广告软件就靠它绕过常规扫描。

别只看键名是否“可疑”，更要检查值数据（Value Data）：指向 %temp%、%appdata% 或含 powershell -exec bypass、http:// 的条目，基本可以判定为异常。名称像 AdobeGCClient 或 GoogleUpdater 这类仿冒项，也要对照已知正版命名规则比对。

用 Autoruns 比 regedit 更准地识别启动项

直接进 regedit 手动翻容易漏，因为启动项不止存在注册表里——还有计划任务、服务、映像劫持、Winlogon 通知等十多个入口。Autoruns 是微软 Sysinternals 官方工具，能一次性拉出全部自启源，并标出签名状态、文件路径、数字签名有效性。

实操建议：

• 以管理员身份运行 Autoruns，勾选 “Hide Microsoft Entries”，减少干扰
• 按 “Image Path” 列排序，快速定位指向 AppData\Local 或随机命名 exe 的条目
• 右键某条目 → “Check VirusTotal”，可直连云端查该文件哈希是否被报为 PUP
• 不确定时先 取消勾选（Disable）而非删除，重启验证是否影响功能

删完启动项为什么软件还弹窗？

启动项只是“开机自动跑”的入口，不是唯一入口。很多流氓软件同时注册了：Task Scheduler 里的计划任务（比如每 10 分钟检查一次主页）、services.msc 里的伪装服务（名称像 Windows Update Helper）、甚至浏览器自身的 chrome://extensions 页面里静默启用的扩展。只清注册表启动项，等于只拆了门锁，没拆后窗和地窖。

常见连锁残留现象：

• 卸载后第二天又出现弹窗 → 查 taskschd.msc 中近期创建的、触发条件为“登录时”或“空闲时”的任务
• 浏览器主页改不回来 → 进 chrome://settings/onStartup 和 chrome://settings/searchEngines 看是否被篡改默认项
• 重启后进程自动复活 → 在 services.msc 里搜索关键词，确认服务启动类型是否为 Automatic (Delayed Start)

清理后怎么防止它偷偷加回来

不少流氓软件的安装包自带“恢复机制”，比如写入一个隐藏的计划任务，每天凌晨调用 curl 或 bitsadmin 下载新组件。所以清理完必须做两件事：关掉它的下载通道，再锁住关键注册表路径。

立即生效的操作：

• 禁用可疑计划任务后，顺手在 PowerShell（管理员）中执行：Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "DisableRegistryTools" -Value 1（防止后续通过脚本修改注册表）
• 用 gpedit.msc（仅专业版/企业版）打开组策略 → 计算机配置 → 管理模板 → Windows 组件 → Windows Defender 防病毒 → 实时保护 → 关闭“关闭实时保护”设为已启用（避免被恶意关闭）
• 浏览器里关闭所有网站的“通知权限”：chrome://settings/content/notifications，把未知来源全设为“阻止”

真正难处理的从来不是某个启动项，而是多个残留点之间互相唤醒的链路。一个没断干净，整条链就还能通电。