第一步用MRT快速清表，第二步PowerShell清除WMI后门并重启，第三步手动清理注册表启动项（只清空数值不删键），第四步卸载隐藏驱动与异常服务，第五步安全模式下用takeown、icacls和rd命令粉碎残留文件。
Windows 11 中出现反复弹窗、浏览器被劫持、CPU 占用异常飙高、新装软件失败，甚至任务管理器无法打开——这些不是系统卡顿，而是顽固木马病毒已深度植入内核级组件、WMI 仓库、注册表启动项及驱动层，常规杀软扫描无法触达其藏身位置。
第一步：用 Microsoft 恶意软件删除工具（MRT）快速清表
这是微软官方提供的轻量级“手术刀”，不依赖实时防护引擎，专扫已知高危家族，能绕过部分木马的进程注入对抗机制。按下 Win + R，输入 mrt 回车→点击“下一步”→选择“完全扫描”→等待完成→点击“完成”。【注意：此步骤必须在联网状态下执行，否则病毒定义库无法更新，漏检率超60%】
第二步：定位并清除 WMI 持久化后门
WMI 木马不落地文件，靠事件订阅（Event Filter + Consumer + Binding）实现开机自启与远程控制，常规进程管理器完全不可见。以管理员身份运行 PowerShell，依次执行：
Get-WmiObject -Namespace root\subscription -Class __EventFilter | Where-Object {$_.Name -like "*malware*"} | Remove-WmiObject
Get-WmiObject -Namespace root\subscription -Class CommandLineEventConsumer | Where-Object {$_.Name -like "*payload*"} | Remove-WmiObject
Get-WmiObject -Namespace root\subscription -Class __FilterToConsumerBinding | Remove-WmiObject
这三行命令会清空所有可疑的 WMI 订阅链。执行后立即重启，若木马依赖 WMI 启动，将彻底失活。别跳过重启——WMI 服务在内存中缓存绑定关系，不重启无效。
第三步：手动清理注册表中的幽灵启动项
很多木马把启动命令塞进 Run、RunOnce 或 AppInit_DLLs 这类高权限键值里，伪装成系统组件。打开 regedit → 依次检查以下路径右侧的字符串值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
逐个双击查看数值数据，凡指向不存在路径（如 C:\Users\Public\svch0st.dll）、含 base64 编码字符串、或文件名模仿系统进程但路径异常（如 C:\Windows\SysWOW64\winlogon.exe 实际是木马）的条目，右键→“修改”→清空数值数据（不要删整个键！），再确认该路径下真实文件不存在。这一步误删键可能导致系统无法登录，【务必只清空数值内容，绝不删除键本身】。
第四步：强制卸载被劫持的系统驱动与服务
高级木马常注册为内核驱动（.sys）或 Windows 服务，隐藏在设备管理器中不可见。先启用隐藏设备：按 Win + R → 输入 sysdm.cpl → “高级”→“环境变量”→新建系统变量 devmgr_show_nonpresent_devices = 1 → 确定；再运行 devmgmt.msc → “查看”→勾选“显示隐藏设备”；展开“非即插即用驱动程序”，查找名称含 random、hash、temp、drv 或无签名的条目；右键→“属性”→“驱动程序”选项卡→点“卸载驱动程序”→勾选“删除此设备的驱动程序软件”→确定。
接着清理服务项：管理员 CMD 中执行 sc query type= service state= all \| findstr "SERVICE_NAME"，从中筛选出状态为“STOPPED”但 DisplayName 异常的服务名（如 “AdobeUpdateSvc” 实际路径却是 C:\Temp\svchost.exe），再执行 sc delete [服务名] 强制移除。
第五步：安全模式下用 rd 命令粉碎残留文件
木马常将自身文件设为系统+隐藏+只读，并由 TrustedInstaller 锁定，常规删除必报错。必须进入安全模式：开始菜单→电源图标→按住 Shift 点“重新启动”→疑难解答→高级选项→启动设置→重启→按 F4 进入安全模式（带网络）；打开管理员 CMD，执行：
takeown /f "C:\Users\Public\badfile.exe" /r /d y
icacls "C:\Users\Public\badfile.exe" /grant administrators:F /t
rd /s /q "C:\Users\Public\badfile.exe"
三行命令分别完成：夺取所有权→赋予完全控制权→静默强制删除。路径必须写全，不能用通配符；若目标为文件夹，末尾不能加反斜杠；【rd /s /q 是最终粉碎指令，执行后文件不可恢复】。
