必须从注册表Run键、计划任务、Startup文件夹三处同步清理，缺一不可：先用msconfig、taskschd.msc和shell:startup排查所有隐藏启动入口；再手动清除HKEY_CURRENT_USER和HKEY_LOCAL_MACHINE下Run键中指向临时目录的顽固项；接着禁用任务计划中伪装成“UpdateScheduler”等的可疑任务；最后清空各Startup文件夹内异常.lnk快捷方式。
Windows系统中顽固木马清除后仍反复弹窗、后台联网或开机自启，往往不是杀毒软件没扫干净，而是注册表Run键、计划任务、Startup文件夹里还埋着残留启动项——这些位置不清理，木马就像野草一样割了又长。
先确认木马是否真被清除了
打开任务管理器（Ctrl+Shift+Esc）→ 切换到“详细信息”页 → 按“CPU”或“磁盘”排序 → 找出占用异常的陌生进程 → 右键 → “打开文件所在位置” → 如果路径是C:\Users\用户名\AppData\Roaming\随机字母名\ 或 C:\windows\inf\MSLogin64.exe 这类非常规路径，基本可判定残留未净。
这一步不能跳过。很多用户误以为杀软提示“已清除”就万事大吉，结果几小时后广告弹窗重现——根源就在启动项没断根。
手动清理注册表自启动项
按Win+R输入regedit → 点击“是”允许UAC → 依次展开以下两个路径：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
逐个点击右侧“数值名称”，看“数值数据”是否指向可疑exe文件（如指向C:\ProgramData\svchost32.exe、%AppData%\MicroPlugins\launch.exe）。对可疑项，右键→“删除”。
【删除前务必先导出该子项备份：右键→“导出”→保存为.reg文件放在桌面】 错删系统关键启动项可能导致桌面空白、无法登录，备份是唯一后悔药。
禁用隐藏在计划任务里的木马唤醒器
搜索并打开“任务计划程序” → 左侧点开“任务计划程序库” → 右侧列表按“状态”列筛选“已启用”项 → 再按“触发器”列查看，重点盯住触发条件含“登录时”“启动时”“空闲时”的任务。
常见木马伪装名：UpdateScheduler、WinHelperTask、SystemOptimize、DrvCleaner、USBMonitor —— 名字越像系统组件越要警惕。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
对存疑任务，右键→“禁用”（不是删除！禁用后观察24小时是否仍有异常行为，再决定是否彻底删除）。
扫清Startup文件夹里的最后据点
直接在资源管理器地址栏粘贴并回车以下路径（一次一个）：
shell:startup
shell:common startup
shell:appdata\Microsoft\Windows\Start Menu\Programs\Startup
检查每个文件夹内是否有非你安装的快捷方式或exe文件。特别注意图标是默认白纸、名称带“updater”“helper”“sys”但发布者显示“N/A”的项目。
MSLogin64.exe残留常在此处生成名为“Windows Update Helper.lnk”的快捷方式，目标却指向C:\windows\inf\MSLogin64.exe —— 直接删除该lnk即可，不用管原exe是否还在，它已无启动入口。
验证启动项是否真正清零
第一步：按Win+R输入msconfig → 切到“启动”页 → 点“打开任务管理器” → 查看“启动应用”页是否还有灰色禁用项以外的“已启用”项；
第二步：回到msconfig → “服务”页 → 勾选“隐藏所有 Microsoft 服务” → 剩余服务若出现WinHelperService、MSDCOMClient16、1xkotmfs等名称，说明服务层仍有残留 → 记下名称 → Win+R输入services.msc → 找到对应服务 → 右键→“属性”→ 启动类型改为“禁用”→ 点击“停止”；
第三步：重启电脑 → 开机后立刻按Ctrl+Shift+Esc调出任务管理器 → 等待30秒 → 观察“启动应用”页是否全为“已禁用”，且“详细信息”页无异常进程复活。
