用Process Explorer靶心图标拖拽到弹窗上可实时捕获其进程，双击查看Image标签中的完整路径以识别伪装名称，如“UpdateService.exe”，从而精准定位广告源头。
Win11系统里刚弹出一个带“立即领取”字样的广告窗，关掉后30秒又弹一个，根本来不及看清标题栏——这种突发弹窗必须在它消失前锁定源头，否则下次可能就找不到窗口了。
用Process Explorer实时捕获弹窗进程
下载微软官方工具Process Explorer（官网直接搜名即可，认准Sysinternals出品），解压后以管理员身份运行procexp64.exe。
点击菜单栏「Find」→「Find Handle or DLL…」，或直接按Ctrl+F，在弹出框中留空不输任何内容，点「Search」——这一步会列出所有正在创建窗口的进程，但信息太杂，不用细看。
真正关键的操作是：把鼠标移到Process Explorer主窗口左上角的「靶心图标」上，按住左键不放，拖动到刚刚弹出、尚未关闭的广告窗口上，松开。此时广告窗会被高亮，Process Explorer自动跳转并选中其所属进程。
【该进程名通常不含“广告”“promotion”等字眼，反而可能是“UpdateService.exe”“Helper.dll”这类伪装名称，务必双击进程→点Image→看完整路径】
用Spy++精准定位右下角瞬时弹窗
方法一：适用于广告只闪一下就消失、连Process Explorer都抓不到的情况
下载Spy++（推荐从Visual Studio安装器勾选“C++桌面开发”组件获取，或搜索“spyxx.exe”独立版），管理员运行。
点顶部望远镜图标→新窗口出现靶心→按住靶心拖到弹窗上→松手→弹出属性窗口→记下「Process ID」那一行的16进制数字（如 1A3F）。
打开系统自带计算器→「查看」→「程序员」→选Hex→输入1A3F→切换到Dec→得到十进制PID（如6719）→Ctrl+Shift+Esc打开任务管理器→「详细信息」页→右键列标题→勾选「PID」→找到该PID对应进程→右键→「打开文件所在位置」。
方法二：如果弹窗带明显品牌标识（比如右下角小字写着“XX清理大师”），直接去「设置」→「应用」→「已安装的应用」，按安装日期倒序排列，重点排查最近3天内新增的国产优化类软件。
快速验证并终止罪魁祸首
第一步：在任务管理器「详细信息」页，找到可疑进程→右键→「结束任务」。若弹窗立刻停止，基本锁定目标。
第二步：不要急着卸载。先右键该进程→「属性」→「安全」选项卡→点「高级」→看「所有者」是否为“TrustedInstaller”或空白——【若是，说明它已取得系统级权限，普通卸载无效，必须进安全模式处理】
第三步：回到「已安装的应用」列表，找到对应软件→点击右侧三个点→「卸载」。卸载完成后重启电脑，观察是否还有弹窗。
第四步：若卸载后仍弹，说明残留启动项。按Win+R输入shell:startup→回车，清空该文件夹内所有非系统生成的快捷方式；再输入shell:common startup→同样清空。
