Windows 11 中 Defender 隔离的注册机文件未被删除，可通过安全中心界面、PowerShell 或 MpCmdRun.exe 三种方式还原：界面操作最直观；PowerShell 支持模糊匹配批量还原；MpCmdRun.exe 最底层且精准，需文件名完全正确。
Windows 11 下载注册机类文件后被 Defender 自动移走，不是真删了，而是隔离进保护历史记录里了；只要没手动清空隔离区，原始文件仍完好存在，且能原路径还原回来。
通过 Windows 安全中心图形界面还原
这是最直观、最安全的方式，适合所有用户，尤其当你不确定文件名全称或隔离时间时，能一眼看清原始路径和检测时间。
第一步：按下 Win + S，在搜索框中输入“Windows 安全中心”，点击打开应用。
第二步：在左侧菜单中，点击“病毒和威胁防护”。
第三步：向下滚动到“当前威胁”区域，点击右侧的“保护历史记录”→再点“查看完整历史记录”。
第四步：点击页面顶部的“筛选器”下拉框，必须选择“已隔离”（选错成“已阻止”或“已删除”将看不到目标文件）；列表会立刻刷新，只显示被隔离项。
第五步：按“检测时间”倒序排列（默认就是），找到最新几条中名称含“注册机”“Keygen”“Crack”等关键词的条目；勾选左侧复选框，点击上方“还原”按钮 → 在弹出的确认窗口中点“是”。【还原后文件将严格返回原始下载路径，比如 C:\Users\XXX\Downloads\，若该文件夹已被你手动删除，则还原失败】
用管理员 PowerShell 按文件名模糊还原
当安全中心界面打不开、列表为空、或你需要批量还原多个注册机文件时，PowerShell 能绕过 UI 直接调用 Defender 底层接口，响应更快也更可靠。
方法一：右键“开始”按钮 → 选择“Windows Terminal（管理员）”或“Windows PowerShell（管理员）”。
方法二：输入以下命令并回车：
Get-MpThreatDetection | Where-Object {$_.ThreatStatus -eq 'Isolated'} | Where-Object {$_.FileName -like '*reg*'} | Format-List FileName, Path, DetectionTime
这条命令会列出所有被隔离且文件名含“reg”的项目（如 reg.exe、keygen_reg_v3.exe），方便你快速定位。确认无误后，执行还原命令：
Get-MpThreatDetection | Where-Object {$_.ThreatStatus -eq 'Isolated'} | Where-Object {$_.FileName -like '*reg*'} | ForEach-Object { Restore-MpThreat -ThreatID $_.ThreatID }
注意：如果同时隔离了几十个带“reg”的文件，这条命令会全部还原；如只想还原某一个，把 -like '*reg*' 改成 -eq 'yourfile.exe' 即可。
用 MpCmdRun.exe 命令行工具精准还原
这是最底层的还原方式，不依赖 PowerShell 模块或 UI 状态，适合系统组件异常、PowerShell 报错或需脚本化处理的场景。
第一步：以管理员身份打开终端（CMD 或 PowerShell）。
第二步：执行以下命令（注意引号必须是英文半角，且文件名要写全，包括扩展名）：
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Restore -Name "Keygen_v2.1.exe"
第三步：命令执行后无提示即代表成功；若报错“找不到匹配项”，说明文件名不准确或已被手动清空隔离区。
