Windows 11中需三路阻断AppData流氓软件：启用Defender受控文件夹访问锁定Roaming/Local；手动清理Startup文件夹、Run注册表项及任务计划中AppData启动项；Pro/Enterprise版可用组策略禁用登录启动和脚本执行。

Windows 11中AppData目录（尤其是Roaming和Local子目录）常被流氓软件利用，静默释放EXE/DLL文件、注册启动项、劫持浏览器或后台驻留，用户几乎无感知。这类行为绕过常规杀软提示，且不触发UAC弹窗，必须从权限控制、行为拦截与启动链切断三路同时阻断。

阻止AppData路径的静默写入与执行

Windows Defender 的“受控文件夹访问”功能可锁定敏感路径，禁止未授权程序向AppData写入可执行文件。

打开 Windows 安全中心 → 病毒和威胁防护 → 管理设置 → 受控文件夹访问 → 将开关设为“开”。

默认已保护 AppData\Roaming 和 AppData\Local，无需手动添加；若发现某流氓软件仍成功写入，请点击“受保护的文件夹”下方的“添加受保护的文件夹”，再逐个加入：【%LOCALAPPDATA%\Programs】、【%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup】。

注意：启用后，合法软件（如某些便携版工具）首次写入可能被拦截，此时在安全中心通知栏点击“允许应用”，选择对应程序并勾选“始终允许”。切勿对陌生进程点允许。

清除并禁用AppData中的可疑启动项

流氓软件惯用 Startup 文件夹、Shell:Startup 注册表项、任务计划程序三种方式实现开机自启，全部需手动清理并关闭自动加载入口。

第一步：删除物理启动项
按 Win + R 输入 shell:startup 回车，清空该文件夹内所有非系统图标（.lnk/.bat/.exe）；再输入 shell:common startup 清空全局启动项。

第二步：禁用注册表启动项
按 Win + R 输入 regedit → 导航至：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
逐一检查右侧值的数据字段，【凡数据路径含 AppData\Roaming 或 AppData\Local 且发布者非 Microsoft Corporation 的项，直接右键删除】。

第三步：扫描隐藏任务计划
按 Win + R 输入 taskschd.msc → 展开“任务计划程序库” → 按“下一次运行时间”列排序 → 查看所有近期将运行的任务，重点筛选“操作”列为启动某 .exe 且“位置”含 “AppData” 的条目，选中→右键→“禁用”。

用组策略彻底封死AppData启动链（仅Pro/Enterprise版）

此方法从系统底层禁止任何进程通过AppData路径注册为启动项，比手动清理更彻底，适用于已知存在顽固流氓家族的设备。

方法一：禁用AppData下的Startup文件夹继承
按 Win + R 输入 gpedit.msc → 计算机配置 → 管理模板 → 系统 → 登录 → 启用“在用户登录时运行这些程序” → 点击“显示” → 删除所有已填路径 → 确定。这一步切断组策略级启动注入通道。

方法二：限制脚本执行权限
导航至：计算机配置 → 管理模板 → Windows 组件 → 脚本 → 启用“防止用户运行脚本” → 设为“已启用”。【此举将阻止 .vbs/.js/.ps1 等脚本在 AppData 中静默下载并执行】。

最后一步：强制刷新策略
管理员权限运行命令提示符 → 输入 gpupdate /force 回车，等待更新完成。