必须从服务管理器、svchost进程分离、注册表残留三路径同步清除广告模块：先在services.msc中将可疑服务启动类型改为手动并停止；再通过任务管理器或PowerShell定位其可执行路径，重命名文件并设拒绝权限；最后清理HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services及RunServicesOnce中对应ImagePath注册表项。
定位并禁用自启动服务中的广告模块
电脑右下角或桌面中央突然弹出购物推荐、虚假安全警告甚至全屏广告，往往不是浏览器问题，而是某个伪装成系统服务的广告程序在后台持续运行——它不显示在任务管理器“启动”选项卡里，却随系统开机自动加载，靠 svchost.exe 托管存活，常规卸载和禁用启动项完全无效。
第一步：打开服务管理器 → 按 Win + R 输入 services.msc 回车 → 等待列表完全加载。
第二步：在右侧服务列表中，点击“名称”列标题排序，重点筛查以下特征的服务：描述为空、发布者为“未知”或“Not Verified”、可执行路径指向 C:\ProgramData\、C:\Users\XXX\AppData\Local\Temp\ 或非标准子目录（如含 ad、pop、notify、push、helper、update 字样）。
第三步：对可疑服务双击打开属性 → 切换到“常规”页 → 将“启动类型”改为【手动】→ 点击“停止”按钮 → 确认服务已显示为“已停止”状态 → 点击“确定”保存。
注意：不要直接设为“禁用”，部分系统关键服务（如 Dnscache、W32Time）若被误禁会导致网络异常或时间不同步；改为“手动”后仅阻止其自启，保留按需调用能力。
终止宿主进程并锁定服务可执行文件
很多广告服务会绑定在 svchost.exe 进程组中，无法直接结束，必须先分离再清除。这一步操作起来很简单，但跳过就会反复复活。
方法一：通过任务管理器关联服务定位
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到“详细信息”选项卡 → 右键任意 svchost.exe 进程 → 选择“转到服务” → 查看下方高亮的服务名 → 若该服务名与上一步识别出的可疑服务一致，则右键该服务 → “停止”。
方法二：用命令行精准分离
以管理员身份运行 PowerShell → 输入命令：Get-WmiObject Win32_Service | Where-Object {$_.PathName -like "*ad*"} | Select-Object Name,DisplayName,PathName → 回车 → 复制返回结果中实际的 PathName 路径（如 "C:\Program Files\YYPushSvc\svc.exe"）。
找到路径后，立即前往该位置 → 将 .exe 文件重命名为原名.exe.bak → 再新建一个同名文本文档 → 改扩展名为 .exe → 右键属性 → 安全 → 编辑 → 选中“Users”组 → 勾选“拒绝”列全部权限 → 确定两次。【这一步是物理级拦截，防止程序自动重建或覆盖】
清理服务注册表残留项
仅停用服务和重命名文件还不够，广告程序常在注册表中埋设恢复逻辑，下次开机仍可能重新注册为服务。
第一步：按 Win + R 输入 regedit 回车 → 点击“是”允许权限提升。
第二步：依次展开以下两个路径：
① HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
② HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
第三步：在左侧树状目录中逐级点开可疑服务名（如 AdNotifySvc、CloudPushService），右侧查看“ImagePath”字符串值是否指向你刚重命名的文件路径；若是，双击该值 → 清空数据 → 点击“确定”。
第四步：关闭注册表编辑器 → 重启电脑 → 观察弹窗是否消失。若仍有弹出，说明存在多实例服务或计划任务联动，需同步检查任务计划程序库。
