木马深度残余需手动穿透清理：一、带网安全模式禁用非微软启动项；二、手动或用Autoruns清理Run键值及UserInitMprLogonScript；三、停用仿冒服务并删除中毒前后异常计划任务；四、重置HOSTS、清空%TEMP%和%LOCALAPPDATA%\Temp；五、执行sfc与DISM系统修复。
当你发现电脑仍存在后台异常联网、浏览器反复被劫持、杀软频繁报同一路径威胁却无法清除，或注册表Run项自动恢复时，说明木马已留下深度残余。这些残余常驻服务、计划任务、驱动层或伪装成系统文件，必须穿透常规扫描边界手动清理。
进入带网络的安全模式并禁用可疑启动项
安全模式能阻止90%以上木马自启，但必须选“带网络”——否则后续下载工具和查证在线数据库会失败。
按住Shift键点击“重启”→“疑难解答”→“高级选项”→“启动设置”→“重启”→按F5启用带网络的安全模式。
登录后立即按Win+R输入msconfig→切换到“启动”选项卡→点击“打开任务管理器”→在“启动”页中，【禁用所有非Microsoft签名的条目】，尤其警惕名称含“Update”“Helper”“Svc”但发布者为空或为随机字符串的项目。
扫描并清除注册表顽固持久化入口
木马最偏爱藏身于注册表Run键值、Wow6432Node重定向分支和UserInitMprLogonScript字段，这些位置普通杀软极少深度清理。
方法一：手动定位关键路径
按Win+R输入regedit→依次展开以下三项：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
逐个检查右侧数值数据，若路径指向AppData\Local\Temp、Roaming\RandomName或ProgramData\下无数字签名的exe，直接右键删除该数值项。
方法二：用Autoruns工具精准过滤
从微软Sysinternals官网下载
清空计划任务与异常服务
第一步：停用可疑服务
按Win+R输入services.msc→按“描述”列排序→查找描述为空、名称含“SysGuard”“NetDef”“WinHost”等仿冒词的服务→双击打开属性→将“启动类型”改为“禁用”，再点“停止”。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
第二步：删除恶意计划任务
打开任务计划程序库→左侧展开“任务计划程序库”→右侧列表中，【直接删除所有创建时间在中毒前后3天内、且作者非Microsoft或系统账户的任务】；对存疑任务，右键→“属性”→切换到“操作”页，确认“程序/脚本”路径是否为powershell.exe -ExecutionPolicy Bypass -File 或 cmd.exe /c start，这类命令行调用几乎100%为木马再生指令，立即删除整个任务。
重置HOSTS文件与Temp目录
木马常篡改HOSTS强制劫持域名，或在Temp目录释放DLL注入进程，这两处必须人工干预。
打开记事本→按Ctrl+O，地址栏粘贴：C:\Windows\System32\drivers\etc\hosts→用管理员权限运行记事本才能编辑→删除除127.0.0.1 localhost外的所有行→保存。
按Win+R输入%TEMP%→全选→Shift+Delete彻底清空；再输入%LOCALAPPDATA%\Temp→同样全选彻底删除。注意：【不要跳过%LOCALAPPDATA%\Temp，此处是木马释放反射型DLL的高发区】。
执行系统文件强制修复
1、以管理员身份运行命令提示符→输入：sfc /scannow→等待完成，若提示“发现损坏文件但无法修复”，继续下一步。
2、仍在此窗口中输入：DISM /Online /Cleanup-Image /RestoreHealth→回车执行→完成后重启电脑。
3、重启后再次运行sfc /scannow→确认返回“完整性验证完成，未发现任何损坏的文件”。
