流氓软件卸载不了怎么办，守护进程自恢复服务安全模式逐层应对

一个装了就甩不掉的「加速器」，控制面板里卸载，进度条走完，重启之后它又回来了。

这个加速器当初是搜优化工具的时候装进来的，安装包里还捎带塞了一个清理软件和一个浏览器插件。三个东西互相拉起来，卸掉任何一个，另外两个会把它装回去。

我把这台机器的服务、启动项、计划任务过了一遍。这类软件的自保通常有三层，得从外往里一层层拆，跳过任何一层都会白干。

第一层：守护进程

最常见的一层。软件跑着两个进程，互相监视，你结束其中一个，另一个立刻把它拉起来。任务管理器里结束进程时会看到它消失一秒又出现。

破法是一次性把它们一起结束，或者用工具按进程树整棵结束。命令行的话：

Stop-Process -Name "进程A","进程B" -Force

一条命令里写多个进程名，它们会被一起结束，互相拉起的机制来不及生效。

先得知道有哪几个进程。任务管理器 → 详细信息 → 找到主进程 → 右键「打开文件所在的位置」，看那个目录下有几个 exe，基本就是全部。

第二层：自恢复服务

比守护进程更顽固。软件注册了一个系统服务，服务的职责就是检查主程序在不在，不在就重装一遍。

服务在你登录之前就启动了，所以图形界面里的任何操作它都能拦。

查有哪些可疑服务：

Get-Service | Where-Object { $_.Status -eq "Running" } |
    Select-Object Name, DisplayName, StartType | Sort-Object DisplayName

找到之后先停再禁用：

sc stop 服务名
sc config 服务名 start= disabled

start= 后面那个空格不能省，这是 sc 命令的语法要求，少了会报参数错误。

第三层：计划任务和注册表自启

最隐蔽的一层。软件在计划任务里注册一个「每天检查更新」的项目，那个任务实际做的是重新下载安装。

Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } |
    Select-Object TaskName, TaskPath | Sort-Object TaskPath

找到可疑项：

Disable-ScheduledTask -TaskName "任务名"

注册表自启在这两处：

reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"

最有效的办法：安全模式

上面三层拆下来要花不少时间，而安全模式能一次绕过全部。

安全模式下第三方服务不启动、大部分驱动不加载、计划任务不触发。这时候那个软件就是一堆普通文件，卸载或者删除都很顺利。

进法：设置 → 系统 → 恢复 → 高级启动 → 立即重新启动 → 疑难解答 → 高级选项 → 启动设置 → 重启 → 按 4 选安全模式。

进去之后走正规卸载流程，卸完再手工清一遍 Program Files、AppData\Local、AppData\Roaming、ProgramData 里的同名目录。

用工具处理

不管用什么办法，顺序都是固定的那一套：先把进程树整棵结束，停掉相关服务并改成禁用，禁掉对应的计划任务，然后才执行卸载流程，最后扫一遍四个位置的残留。

省的主要是「找全」的功夫——手工做最容易漏的是计划任务那一层，因为多数人根本不会想到去任务计划程序里看。

卸完之后确认它真没了

三件事都做完再说卸干净了：

重启两次。 一次重启不够，有些自恢复机制是隔天触发的。

查四个残留位置。 Program Files、Program Files (x86)、%localappdata%、%appdata%、C:\ProgramData，按软件名找。

再查一遍服务和计划任务。 确认之前禁用的那些没有被重新启用。

从源头防住

这类软件几乎都是捆绑进来的。装任何软件时选自定义安装，把默认勾上的附加组件全部取消——默认安装那一路点下去，一次能带进来两三个。

浏览器里也要看一眼扩展列表，有些是通过浏览器插件触发下载的。

那台机器最后是在安全模式下解决的，卸完清了四处残留，重启两次确认没再回来。整个过程二十分钟，比在正常模式下跟它拉锯两小时省事得多。

遇到更狠的怎么办

极少数情况下，安全模式也进不去，或者进去之后发现那个软件连安全模式都注册了启动项。这说明它装了驱动级的组件，已经超出普通流氓软件的范畴了。

这时候有两条路。一是用 Windows 自带的「重置此电脑」，选「保留我的文件」，系统会重装一遍但保留用户文档，所有第三方软件连带清空。半小时到一小时，一了百了。

二是从外部启动。用 Windows 安装 U 盘进恢复环境的命令提示符，那个环境下目标系统完全没有运行，任何文件都能直接删。删完再回到正常系统清注册表。

第一条对普通用户更友好，第二条适合还想保留现有软件环境的情况。我的经验是，走到这一步的机器通常也积累了别的问题，重置一遍反而更划算。

判断一个软件值不值得留

顺带说一句判断标准。一个软件如果满足下面任意一条，就该卸掉，不用犹豫：

你不记得自己什么时候装的；它的通知没法在设置里关掉；卸载时跳出挽留页面绕圈子；它注册了开机自启但你从来不主动打开它；它报出来的数字和你自己量的对不上。

满足两条以上的，基本可以确定它的商业模式跟你的利益不一致。