Autoruns可全面扫描并禁用Windows木马自启项，需以管理员身份运行、隐藏微软条目并验证签名，重点检查Logon/Winlogon/Services页可疑项，通过取消勾选、删除注册表或禁用服务清理，最后刷新、搜索、查毒并重启验证。
Windows系统中木马常通过注册表Run键、服务、计划任务、驱动、Winlogon通知等20余种隐蔽路径实现顽固自启，仅靠任务管理器或msconfig无法覆盖，必须用Autoruns逐层扫描并禁用所有可疑入口。
下载并以管理员身份运行Autoruns
访问微软官方Sysinternals页面（learn.microsoft.com/zh-cn/sysinternals/downloads/autoruns），下载 autoruns.zip → 解压后右键 autoruns64.exe（Win11推荐64位）→ 选择“以管理员身份运行”。【不以管理员身份运行将无法读取HKEY_LOCAL_MACHINE路径及服务项】
首次运行时弹出EULA窗口，勾选“I agree”后点击“Yes”继续。
筛选非微软签名项并定位高危位置
启动后默认加载全部启动位置，左侧选项卡含Logon、Services、Scheduled Tasks、Drivers、Winlogon、Image Hijacks等12类。先点击顶部菜单栏“Options”→勾选“Hide Microsoft Entries”→再勾选“Verify Code Signatures”。
此时界面中所有粉色高亮条目为未签名文件，黄色高亮为签名无效或已吊销证书，这两类是木马最常用伪装手法；红色高亮表示该条目指向的文件实际不存在（典型残留木马钩子）。
师生共创生态系统对接指南。当用户需要对接大学政策、平台资源、投资机构、产业伙伴等外部资源支持时使用。触发词：师生共创生态、大学支持、平台赋能、投资对接、产业合作、政策支持、清华x-lab、孵化器、创业资源
重点盯住以下三处：Logon页下的AppInit_DLLs值、Winlogon页中的Notify子项、Services页中描述为空或含“update”“helper”“agent”的服务——这些位置被远控木马高频利用。
逐项禁用可疑自启项
方法一：取消勾选禁用（推荐初筛）
在Logon或Services页中，找到名称含随机字符串（如“xq2k9d”）、路径指向AppData\Local\Temp、%USERPROFILE%\Downloads或非标准Program Files子目录的条目，直接取消其左侧复选框。此操作仅禁用加载，不删除文件，可逆且安全。
方法二：右键删除注册表键值（针对顽固项）
对确认为恶意的注册表启动项（如HKCU\Software\Microsoft\Windows\CurrentVersion\Run下名为“svchost_updater”的字符串），右键该行→选择“Delete Entry”→在弹窗中勾选“Also delete the image file on disk”→点击“Yes”。【此操作不可逆，删除前务必确认文件非系统关键组件】
方法三：跳转到原始位置彻底清理
选中某可疑服务项→点击工具栏“Jump to Entry”按钮→自动跳转至services.msc对应服务属性页→将“启动类型”改为“禁用”→点击“停止”→确定。该方式可同步切断服务依赖链，防止Autoruns重启后重新加载。
验证木马自启是否清除干净
完成上述操作后，不要重启，先执行一次深度验证：
① 点击菜单栏“File”→“Refresh”刷新全部条目；
② 切换到“Everything”选项卡，按Ctrl+F搜索关键词“dll”“sys”“exe”，检查是否有新出现的未签名项；
③ 在“Logon”页右键空白处→选择“Check VirusTotal”，对高亮项提交哈希检测（需联网）；
④ 关闭Autoruns，打开任务管理器→“启动”页确认无新增未知项，再重启系统。
