1. 電腦上莫名其妙出現的“急速搜索”到底是什么來頭前幾天幫一個朋友處理電腦問題他跟我說“桌面上突然多了個‘急速搜索’的圖標我根本沒裝過這東西刪了之后重啟又回來了?！蔽疫h程連過去一看任務欄右下角還掛著一個搜索框瀏覽器主頁也被改成了一個帶搜索框的導航頁。這個場景我太熟悉了過去兩年我至少處理過三十臺類似情況的電腦癥狀幾乎一模一樣?！凹彼偎阉鳌边@類東西本質上是一種捆綁推廣型瀏覽器劫持組件。它通常不是獨立安裝的而是跟著某些免費軟件、破解工具、驅動包、甚至某些下載站的“高速下載器”一起溜進你的系統(tǒng)。裝完之后它會在桌面、任務欄、瀏覽器主頁、默認搜索引擎、右鍵菜單等多個位置同時埋點形成一個互相守護的小生態(tài)。你刪掉桌面圖標它從計劃任務里重新生成你改回瀏覽器主頁它通過后臺服務再改回來。這就是為什么很多人覺得它“刪不干凈”。這篇文章我想把這類東西徹底講透。包括它是怎么進來的、在系統(tǒng)里藏了哪些位置、為什么常規(guī)刪除方法不管用、以及一套我反復驗證過的完整清理流程。適合兩類人看一類是普通用戶電腦中招了想自己動手清干凈另一類是幫別人修電腦的朋友需要一套標準化的排查思路。整個過程不需要裝什么專業(yè)安全軟件用系統(tǒng)自帶工具加幾個免費小工具就能搞定。我先說一個核心判斷“急速搜索”本身通常不算病毒它游走在灰色地帶。它不會加密你的文件也不會直接盜號但它會持續(xù)消耗你的系統(tǒng)資源、篡改你的瀏覽行為、收集你的搜索關鍵詞。它的盈利模式就是流量變現——把你每一次搜索、每一次點擊都變成它的收入。所以清理它的思路不是“殺毒”而是“拔根”找到它的所有駐留點一次性全部切斷讓它沒有復活的途徑。2. 它是怎么進來的入口分析與感染鏈路拆解2.1 最常見的三個入口我統(tǒng)計過自己處理過的案例入口分布大致是這樣的入口類型占比典型場景下載站高速下載器約55%搜某個軟件點進下載站點了“高速下載”按鈕捆綁安裝包約30%裝某個免費工具時安裝界面默認勾選了“推薦組件”破解/綠色版軟件約15%從非官方渠道下載的破解版、漢化版、綠色版下載站那個入口最坑。你在搜索引擎里搜“某某軟件下載”排在前面的往往不是官網而是一堆聚合下載站。這些站點的“高速下載”按鈕點下去下載的不是你要的軟件而是一個幾百KB的下載器。這個下載器運行后會先給你裝上一堆推廣組件“急速搜索”就是其中之一然后才慢悠悠地去下你真正要的軟件。很多人裝完發(fā)現多了好幾個圖標就是這個原因。捆綁安裝包的套路更隱蔽。安裝界面里會有一個“自定義安裝”或者“同意用戶協議”的區(qū)域默認勾選了一堆東西。你如果一路點“下一步”這些組件就全進來了。我見過最夸張的一個安裝包默認勾選了七個推廣項包括兩個瀏覽器插件、一個搜索組件、一個桌面整理工具。2.2 感染后的駐留鏈路“急速搜索”進來之后不會只待在一個地方。它的典型駐留鏈路是這樣的安裝目錄通常在C:\Program Files (x86)\或C:\Users\你的用戶名\AppData\Local\下文件夾名可能是隨機的字母數字組合也可能是“JisuSearch”“QuickSearch”這類明顯名字。計劃任務在任務計劃程序里注冊一個定時任務每隔一段時間檢查自己是否還在不在就重新創(chuàng)建。系統(tǒng)服務注冊一個服務開機自啟負責守護進程。瀏覽器擴展在Chrome、Edge等瀏覽器里靜默安裝擴展劫持主頁和搜索引擎?？旖莘绞浇俪中薷臑g覽器快捷方式的目標路徑在后面追加一個網址參數。注冊表項在多個注冊表位置寫入啟動項和配置信息。這六個位置形成了一張網。你只刪其中一個其他的會把它補回來。這就是為什么很多人說“刪了又回來”。要徹底清理必須同時切斷所有鏈路。注意有些“急速搜索”變種還會修改DNS設置或者hosts文件把某些搜索域名指向自己的服務器。清理時要一并檢查。2.3 為什么常規(guī)方法不管用很多人第一反應是去“控制面板-程序和功能”里卸載。能找到的還好但很多這類組件根本不注冊在卸載列表里或者注冊了一個假名字你根本對不上號。還有人用安全軟件全盤掃描掃出來的往往只是表面文件計劃任務和服務里的守護項掃不出來。我自己的經驗是這類東西的清理靠自動工具只能完成60%剩下40%必須手動排查。因為它的駐留點太分散而且每個變種的命名和路徑都不一樣沒有一款工具能覆蓋所有情況。所以掌握手動排查的方法比依賴某個工具更重要。3. 清理前的準備工作別急著動手先做這三件事3.1 斷網并創(chuàng)建系統(tǒng)還原點第一步先斷網。不管是拔網線還是關WiFi總之讓電腦離線。原因很簡單有些組件在檢測到被清理時會從服務器拉取新的配置或者重新下載自己。斷網能切斷這條后路。第二步創(chuàng)建系統(tǒng)還原點。雖然這類組件一般不會破壞系統(tǒng)文件但手動清理注冊表和服務時有操作失誤的風險。有個還原點兜底心里踏實。操作路徑右鍵“此電腦”-“屬性”-“系統(tǒng)保護”-“創(chuàng)建”。如果系統(tǒng)保護沒開先開啟再創(chuàng)建。第三步記錄當前狀態(tài)。打開任務管理器把“啟動”選項卡里的所有項截圖打開任務計劃程序把非微軟的任務截圖打開瀏覽器把擴展列表截圖。這些截圖在清理后可以用來對比確認有沒有漏網的。3.2 準備幾個趁手的工具我不推薦一上來就裝一堆安全軟件那樣反而會讓系統(tǒng)更亂。我常用的工具就三個Autoruns微軟官方出的啟動項管理工具能列出所有自啟動位置包括計劃任務、服務、驅動、瀏覽器擴展等。這是排查這類問題的核心工具。Process Explorer也是微軟官方的比任務管理器強很多能看到進程的父進程、命令行參數、加載的模塊。用來定位可疑進程特別有用。Everything文件搜索工具用來快速定位安裝目錄和殘留文件。這三個都是免費的而且不需要安裝下載下來直接運行。Autoruns和Process Explorer從微軟官網就能下到Everything從voidtools官網下。3.3 進入安全模式如果“急速搜索”的守護進程比較頑固正常模式下刪了會被立刻重建那就需要進安全模式。安全模式下第三方服務和計劃任務不會自動啟動清理起來干凈很多。進入方法按住Shift鍵同時點擊“重啟”進入高級啟動選項然后選“疑難解答”-“高級選項”-“啟動設置”-“重啟”最后按數字鍵選擇安全模式。Win10和Win11都是這個路徑。提示如果清理過程比較順利其實不一定需要安全模式。但如果你發(fā)現刪了之后立刻又出現那就果斷進安全模式。4. 手動清理全流程從進程到注冊表的逐層剝離4.1 第一步定位并結束可疑進程打開Process Explorer按CPU或內存排序找那些名字奇怪、沒有數字簽名、或者簽名信息可疑的進程。重點看這幾個特征進程名是隨機字符串比如xkcd1234.exe進程描述為空或者寫著“搜索組件”“Search Helper”之類右鍵“屬性”-“數字簽名”選項卡顯示“未簽名”或者簽名者是個沒聽過的公司進程的父進程是svchost.exe或者explorer.exe但路徑在AppData下找到之后先別急著結束。右鍵進程選“Properties”記下它的完整路徑。然后右鍵選“Kill Process Tree”把整個進程樹都結束掉。如果提示無法結束說明有守護進程先去找守護進程。我遇到過一個變種主進程叫JisuSearch.exe守護進程叫JisuGuard.exe兩個互相監(jiān)控。結束主進程守護進程立刻重啟它結束守護進程主進程又重啟守護進程。這種情況必須同時結束或者直接進安全模式。4.2 第二步清理安裝目錄和殘留文件進程結束后用Everything搜索剛才記下的路徑關鍵詞。比如路徑是C:\Users\張三\AppData\Local\JisuSearch\就搜“JisuSearch”。把所有相關文件夾和文件都找出來。刪除的時候注意有些文件可能正在被占用刪不掉。這時候可以先用Process Explorer確認沒有相關進程了再刪。如果還是刪不掉重啟一次再刪或者進安全模式刪。除了安裝目錄還要檢查這幾個常見位置C:\Program Files (x86)\下的可疑文件夾C:\ProgramData\下的可疑文件夾桌面上的快捷方式右鍵-屬性看目標路徑指向哪里開始菜單里的快捷方式任務欄固定項4.3 第三步清理計劃任務和服務打開Autoruns切換到“Scheduled Tasks”選項卡。這里會列出所有計劃任務。找那些名字可疑、路徑指向AppData、或者發(fā)布者不明的任務。右鍵選“Delete”刪除。然后切換到“Services”選項卡。同樣找可疑的服務右鍵“Delete”。注意有些服務是微軟自帶的別誤刪。判斷標準還是看路徑和發(fā)布者。如果Autoruns里刪不掉可以手動操作計劃任務打開“任務計劃程序”在“任務計劃程序庫”里逐層找找到后右鍵刪除。服務以管理員身份運行cmd輸入sc delete 服務名。4.4 第四步修復瀏覽器劫持瀏覽器劫持通常有三個層面主頁、搜索引擎、擴展。先檢查擴展。Chrome打開chrome://extensions/Edge打開edge://extensions/把不認識的擴展全部移除。有些擴展是灰色的顯示“已停用”但依然在后臺運行也要移除。然后檢查主頁和搜索引擎設置。Chrome在“設置”-“搜索引擎”里Edge在“設置”-“隱私、搜索和服務”里。把默認搜索引擎改回你常用的把主頁改回about:blank或者你想要的網址。最后檢查快捷方式。右鍵瀏覽器快捷方式-屬性看“目標”一欄。正常的應該是C:\Program Files\Google\Chrome\Application\chrome.exe如果后面跟著一個網址比如C:\...\chrome.exe http://www.jisusearch.com就把網址部分刪掉。注意有些劫持會修改注冊表里的瀏覽器配置。如果改完設置重啟瀏覽器又變回去就要去注冊表里找。路徑通常在HKEY_CURRENT_USER\Software\Google\Chrome\或者HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\下。4.5 第五步注冊表深度清理注冊表是最后的堡壘。打開regedit重點檢查這幾個位置HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run在這些位置找可疑的字符串值值的數據指向AppData下的exe文件就刪掉。另外還要檢查HKEY_CLASSES_ROOT\下的右鍵菜單項有些“急速搜索”會往右鍵菜單里加“使用急速搜索搜索”之類的選項。找到對應的項刪掉。注冊表操作風險較高刪之前先右鍵導出備份。萬一刪錯了雙擊備份文件就能恢復。5. 常見問題與排查技巧實錄5.1 刪了又回來怎么辦這是最常見的問題。原因通常是有守護進程或者計劃任務沒清干凈。排查順序打開Autoruns看“Scheduled Tasks”和“Services”里有沒有漏網的。打開Process Explorer看有沒有可疑進程在運行。檢查C:\Windows\System32\Tasks\目錄有些計劃任務在這里有文件殘留。檢查C:\Windows\System32\drivers\下有沒有可疑的驅動文件。如果以上都清了還是回來那就進安全模式再清一遍。安全模式下守護進程起不來清理最徹底。5.2 瀏覽器主頁改了但改不回來這種情況通常是注冊表策略鎖定了。檢查HKEY_LOCAL_MACHINE\SOFTWARE\Policies\和HKEY_CURRENT_USER\SOFTWARE\Policies\下有沒有瀏覽器相關的項。有的話把整個項刪掉然后重啟瀏覽器。還有一種可能是快捷方式被劫持了。前面說過檢查快捷方式的目標路徑。5.3 任務管理器里看不到可疑進程有些組件會把自己偽裝成系統(tǒng)進程或者用隨機名字。這時候用Process Explorer開啟“VirusTotal”集成Options-VirusTotal.com-Check VirusTotal它會自動把可疑文件哈希提交到VirusTotal檢查。雖然不能百分百依賴但能提供參考。另外可以看進程的“Company”和“Description”列正常軟件都有明確的公司名可疑組件往往是空白或者亂碼。5.4 清理后系統(tǒng)出現異常如果清理完發(fā)現某個軟件打不開了或者系統(tǒng)功能異常先別慌。大概率是誤刪了某個共享組件。這時候用之前創(chuàng)建的系統(tǒng)還原點恢復然后重新清理這次注意別刪那個組件。我自己的經驗是清理時寧可保守一點不確定的項先不刪重啟看效果。如果重啟后問題還在再回來刪。這樣比一次性全刪導致系統(tǒng)出問題要好。5.5 常見問題速查表問題現象可能原因解決方法桌面圖標刪了又出現計劃任務或服務守護用Autoruns清理計劃任務和服務瀏覽器主頁改不回來注冊表策略鎖定刪除Policies下的瀏覽器項任務管理器看不到可疑進程進程偽裝或隨機命名用Process Explorer查看簽名和路徑清理后軟件打不開誤刪共享組件用系統(tǒng)還原點恢復后重新清理安全模式下清理后正常正常模式又出現有驅動級守護檢查drivers目錄用Autoruns刪驅動6. 預防比清理更重要幾個能省事的習慣清理一次“急速搜索”大概要花半小時到一小時但如果平時注意幾個習慣完全可以避免中招。第一個習慣下載軟件只去官網。搜索引擎搜出來的結果前幾個帶“廣告”標識的別點那些基本都是下載站。找官網的方法很簡單搜“軟件名官網”兩個字或者直接看域名是不是軟件的官方域名。第二個習慣安裝時選自定義安裝。不管裝什么軟件安裝界面出現后先別急著點“下一步”找找有沒有“自定義安裝”或者“高級選項”。點進去把默認勾選的推廣項全部取消。這一步能擋掉80%的捆綁。第三個習慣定期檢查啟動項。每個月花兩分鐘打開任務管理器的“啟動”選項卡看看有沒有不認識的自啟動項。有的話右鍵禁用然后去查是什么。第四個習慣瀏覽器擴展定期清理。打開擴展管理頁面把不用的、不認識的擴展移除。有些擴展裝的時候是好的后來被收購或者更新后開始作惡定期清理能及時發(fā)現。第五個習慣用標準用戶賬戶日常使用。Windows下創(chuàng)建一個標準用戶賬戶日常用這個賬戶需要裝軟件或者改系統(tǒng)設置時再切換到管理員賬戶。這樣即使中了招它的破壞范圍也有限清理起來更容易。提示如果家里有長輩用電腦建議幫他們把瀏覽器主頁設好然后把快捷方式鎖定防止被改。長輩對這類東西的辨別能力弱是重點目標。7. 我的實操體會處理了這么多臺電腦我最大的體會是這類東西的技術含量不高但勝在“點多面廣”。它不跟你正面硬剛而是像藤蔓一樣到處扎根。你只盯著一個地方刪它就從另一個地方長出來。所以清理的核心思路不是“找到它然后刪掉”而是“把所有可能的駐留點列出來逐個排查一次性切斷”。另外Autoruns這個工具真的是神器。很多人不知道它的存在遇到啟動項問題只會看任務管理器但任務管理器只顯示了一部分啟動項。Autoruns能顯示全部包括計劃任務、服務、驅動、瀏覽器擴展、甚至WMI訂閱。我建議每個經常幫人修電腦的朋友都把它放在U盤里隨時能用。最后說一個細節(jié)清理完之后建議用Everything搜一下“急速搜索”這四個字的中文和拼音看看還有沒有殘留的文件夾或者文件。有些組件會在多個位置放文件主目錄刪了其他地方還有。搜一遍確認干凈了心里才踏實。這個內容后續(xù)還可以擴展的方向是不同變種的命名規(guī)律和路徑特征。我遇到過叫“JisuSearch”的也遇到過叫“QuickFind”“FastSearch”“SoSearch”的路徑有的在AppData有的在ProgramData有的直接在C盤根目錄。如果你也遇到過類似的可以留意一下它的名字和路徑積累多了就能形成一套快速識別的經驗。 急速搜索劫持：從捆綁安裝到徹底清理的完整指南
1. 電腦上莫名其妙出現的“急速搜索”到底是什么來頭前幾天幫一個朋友處理電腦問題他跟我說“桌面上突然多了個‘急速搜索’的圖標我根本沒裝過這東西刪了之后重啟又回來了?！蔽疫h程連過去一看任務欄右下角還掛著一個搜索框瀏覽器主頁也被改成了一個帶搜索框的導航頁。這個場景我太熟悉了過去兩年我至少處理過三十臺類似情況的電腦癥狀幾乎一模一樣?！凹彼偎阉鳌边@類東西本質上是一種捆綁推廣型瀏覽器劫持組件。它通常不是獨立安裝的而是跟著某些免費軟件、破解工具、驅動包、甚至某些下載站的“高速下載器”一起溜進你的系統(tǒng)。裝完之后它會在桌面、任務欄、瀏覽器主頁、默認搜索引擎、右鍵菜單等多個位置同時埋點形成一個互相守護的小生態(tài)。你刪掉桌面圖標它從計劃任務里重新生成你改回瀏覽器主頁它通過后臺服務再改回來。這就是為什么很多人覺得它“刪不干凈”。這篇文章我想把這類東西徹底講透。包括它是怎么進來的、在系統(tǒng)里藏了哪些位置、為什么常規(guī)刪除方法不管用、以及一套我反復驗證過的完整清理流程。適合兩類人看一類是普通用戶電腦中招了想自己動手清干凈另一類是幫別人修電腦的朋友需要一套標準化的排查思路。整個過程不需要裝什么專業(yè)安全軟件用系統(tǒng)自帶工具加幾個免費小工具就能搞定。我先說一個核心判斷“急速搜索”本身通常不算病毒它游走在灰色地帶。它不會加密你的文件也不會直接盜號但它會持續(xù)消耗你的系統(tǒng)資源、篡改你的瀏覽行為、收集你的搜索關鍵詞。它的盈利模式就是流量變現——把你每一次搜索、每一次點擊都變成它的收入。所以清理它的思路不是“殺毒”而是“拔根”找到它的所有駐留點一次性全部切斷讓它沒有復活的途徑。2. 它是怎么進來的入口分析與感染鏈路拆解2.1 最常見的三個入口我統(tǒng)計過自己處理過的案例入口分布大致是這樣的入口類型占比典型場景下載站高速下載器約55%搜某個軟件點進下載站點了“高速下載”按鈕捆綁安裝包約30%裝某個免費工具時安裝界面默認勾選了“推薦組件”破解/綠色版軟件約15%從非官方渠道下載的破解版、漢化版、綠色版下載站那個入口最坑。你在搜索引擎里搜“某某軟件下載”排在前面的往往不是官網而是一堆聚合下載站。這些站點的“高速下載”按鈕點下去下載的不是你要的軟件而是一個幾百KB的下載器。這個下載器運行后會先給你裝上一堆推廣組件“急速搜索”就是其中之一然后才慢悠悠地去下你真正要的軟件。很多人裝完發(fā)現多了好幾個圖標就是這個原因。捆綁安裝包的套路更隱蔽。安裝界面里會有一個“自定義安裝”或者“同意用戶協議”的區(qū)域默認勾選了一堆東西。你如果一路點“下一步”這些組件就全進來了。我見過最夸張的一個安裝包默認勾選了七個推廣項包括兩個瀏覽器插件、一個搜索組件、一個桌面整理工具。2.2 感染后的駐留鏈路“急速搜索”進來之后不會只待在一個地方。它的典型駐留鏈路是這樣的安裝目錄通常在C:\Program Files (x86)\或C:\Users\你的用戶名\AppData\Local\下文件夾名可能是隨機的字母數字組合也可能是“JisuSearch”“QuickSearch”這類明顯名字。計劃任務在任務計劃程序里注冊一個定時任務每隔一段時間檢查自己是否還在不在就重新創(chuàng)建。系統(tǒng)服務注冊一個服務開機自啟負責守護進程。瀏覽器擴展在Chrome、Edge等瀏覽器里靜默安裝擴展劫持主頁和搜索引擎?？旖莘绞浇俪中薷臑g覽器快捷方式的目標路徑在后面追加一個網址參數。注冊表項在多個注冊表位置寫入啟動項和配置信息。這六個位置形成了一張網。你只刪其中一個其他的會把它補回來。這就是為什么很多人說“刪了又回來”。要徹底清理必須同時切斷所有鏈路。注意有些“急速搜索”變種還會修改DNS設置或者hosts文件把某些搜索域名指向自己的服務器。清理時要一并檢查。2.3 為什么常規(guī)方法不管用很多人第一反應是去“控制面板-程序和功能”里卸載。能找到的還好但很多這類組件根本不注冊在卸載列表里或者注冊了一個假名字你根本對不上號。還有人用安全軟件全盤掃描掃出來的往往只是表面文件計劃任務和服務里的守護項掃不出來。我自己的經驗是這類東西的清理靠自動工具只能完成60%剩下40%必須手動排查。因為它的駐留點太分散而且每個變種的命名和路徑都不一樣沒有一款工具能覆蓋所有情況。所以掌握手動排查的方法比依賴某個工具更重要。3. 清理前的準備工作別急著動手先做這三件事3.1 斷網并創(chuàng)建系統(tǒng)還原點第一步先斷網。不管是拔網線還是關WiFi總之讓電腦離線。原因很簡單有些組件在檢測到被清理時會從服務器拉取新的配置或者重新下載自己。斷網能切斷這條后路。第二步創(chuàng)建系統(tǒng)還原點。雖然這類組件一般不會破壞系統(tǒng)文件但手動清理注冊表和服務時有操作失誤的風險。有個還原點兜底心里踏實。操作路徑右鍵“此電腦”-“屬性”-“系統(tǒng)保護”-“創(chuàng)建”。如果系統(tǒng)保護沒開先開啟再創(chuàng)建。第三步記錄當前狀態(tài)。打開任務管理器把“啟動”選項卡里的所有項截圖打開任務計劃程序把非微軟的任務截圖打開瀏覽器把擴展列表截圖。這些截圖在清理后可以用來對比確認有沒有漏網的。3.2 準備幾個趁手的工具我不推薦一上來就裝一堆安全軟件那樣反而會讓系統(tǒng)更亂。我常用的工具就三個Autoruns微軟官方出的啟動項管理工具能列出所有自啟動位置包括計劃任務、服務、驅動、瀏覽器擴展等。這是排查這類問題的核心工具。Process Explorer也是微軟官方的比任務管理器強很多能看到進程的父進程、命令行參數、加載的模塊。用來定位可疑進程特別有用。Everything文件搜索工具用來快速定位安裝目錄和殘留文件。這三個都是免費的而且不需要安裝下載下來直接運行。Autoruns和Process Explorer從微軟官網就能下到Everything從voidtools官網下。3.3 進入安全模式如果“急速搜索”的守護進程比較頑固正常模式下刪了會被立刻重建那就需要進安全模式。安全模式下第三方服務和計劃任務不會自動啟動清理起來干凈很多。進入方法按住Shift鍵同時點擊“重啟”進入高級啟動選項然后選“疑難解答”-“高級選項”-“啟動設置”-“重啟”最后按數字鍵選擇安全模式。Win10和Win11都是這個路徑。提示如果清理過程比較順利其實不一定需要安全模式。但如果你發(fā)現刪了之后立刻又出現那就果斷進安全模式。4. 手動清理全流程從進程到注冊表的逐層剝離4.1 第一步定位并結束可疑進程打開Process Explorer按CPU或內存排序找那些名字奇怪、沒有數字簽名、或者簽名信息可疑的進程。重點看這幾個特征進程名是隨機字符串比如xkcd1234.exe進程描述為空或者寫著“搜索組件”“Search Helper”之類右鍵“屬性”-“數字簽名”選項卡顯示“未簽名”或者簽名者是個沒聽過的公司進程的父進程是svchost.exe或者explorer.exe但路徑在AppData下找到之后先別急著結束。右鍵進程選“Properties”記下它的完整路徑。然后右鍵選“Kill Process Tree”把整個進程樹都結束掉。如果提示無法結束說明有守護進程先去找守護進程。我遇到過一個變種主進程叫JisuSearch.exe守護進程叫JisuGuard.exe兩個互相監(jiān)控。結束主進程守護進程立刻重啟它結束守護進程主進程又重啟守護進程。這種情況必須同時結束或者直接進安全模式。4.2 第二步清理安裝目錄和殘留文件進程結束后用Everything搜索剛才記下的路徑關鍵詞。比如路徑是C:\Users\張三\AppData\Local\JisuSearch\就搜“JisuSearch”。把所有相關文件夾和文件都找出來。刪除的時候注意有些文件可能正在被占用刪不掉。這時候可以先用Process Explorer確認沒有相關進程了再刪。如果還是刪不掉重啟一次再刪或者進安全模式刪。除了安裝目錄還要檢查這幾個常見位置C:\Program Files (x86)\下的可疑文件夾C:\ProgramData\下的可疑文件夾桌面上的快捷方式右鍵-屬性看目標路徑指向哪里開始菜單里的快捷方式任務欄固定項4.3 第三步清理計劃任務和服務打開Autoruns切換到“Scheduled Tasks”選項卡。這里會列出所有計劃任務。找那些名字可疑、路徑指向AppData、或者發(fā)布者不明的任務。右鍵選“Delete”刪除。然后切換到“Services”選項卡。同樣找可疑的服務右鍵“Delete”。注意有些服務是微軟自帶的別誤刪。判斷標準還是看路徑和發(fā)布者。如果Autoruns里刪不掉可以手動操作計劃任務打開“任務計劃程序”在“任務計劃程序庫”里逐層找找到后右鍵刪除。服務以管理員身份運行cmd輸入sc delete 服務名。4.4 第四步修復瀏覽器劫持瀏覽器劫持通常有三個層面主頁、搜索引擎、擴展。先檢查擴展。Chrome打開chrome://extensions/Edge打開edge://extensions/把不認識的擴展全部移除。有些擴展是灰色的顯示“已停用”但依然在后臺運行也要移除。然后檢查主頁和搜索引擎設置。Chrome在“設置”-“搜索引擎”里Edge在“設置”-“隱私、搜索和服務”里。把默認搜索引擎改回你常用的把主頁改回about:blank或者你想要的網址。最后檢查快捷方式。右鍵瀏覽器快捷方式-屬性看“目標”一欄。正常的應該是C:\Program Files\Google\Chrome\Application\chrome.exe如果后面跟著一個網址比如C:\...\chrome.exe http://www.jisusearch.com就把網址部分刪掉。注意有些劫持會修改注冊表里的瀏覽器配置。如果改完設置重啟瀏覽器又變回去就要去注冊表里找。路徑通常在HKEY_CURRENT_USER\Software\Google\Chrome\或者HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\下。4.5 第五步注冊表深度清理注冊表是最后的堡壘。打開regedit重點檢查這幾個位置HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run在這些位置找可疑的字符串值值的數據指向AppData下的exe文件就刪掉。另外還要檢查HKEY_CLASSES_ROOT\下的右鍵菜單項有些“急速搜索”會往右鍵菜單里加“使用急速搜索搜索”之類的選項。找到對應的項刪掉。注冊表操作風險較高刪之前先右鍵導出備份。萬一刪錯了雙擊備份文件就能恢復。5. 常見問題與排查技巧實錄5.1 刪了又回來怎么辦這是最常見的問題。原因通常是有守護進程或者計劃任務沒清干凈。排查順序打開Autoruns看“Scheduled Tasks”和“Services”里有沒有漏網的。打開Process Explorer看有沒有可疑進程在運行。檢查C:\Windows\System32\Tasks\目錄有些計劃任務在這里有文件殘留。檢查C:\Windows\System32\drivers\下有沒有可疑的驅動文件。如果以上都清了還是回來那就進安全模式再清一遍。安全模式下守護進程起不來清理最徹底。5.2 瀏覽器主頁改了但改不回來這種情況通常是注冊表策略鎖定了。檢查HKEY_LOCAL_MACHINE\SOFTWARE\Policies\和HKEY_CURRENT_USER\SOFTWARE\Policies\下有沒有瀏覽器相關的項。有的話把整個項刪掉然后重啟瀏覽器。還有一種可能是快捷方式被劫持了。前面說過檢查快捷方式的目標路徑。5.3 任務管理器里看不到可疑進程有些組件會把自己偽裝成系統(tǒng)進程或者用隨機名字。這時候用Process Explorer開啟“VirusTotal”集成Options-VirusTotal.com-Check VirusTotal它會自動把可疑文件哈希提交到VirusTotal檢查。雖然不能百分百依賴但能提供參考。另外可以看進程的“Company”和“Description”列正常軟件都有明確的公司名可疑組件往往是空白或者亂碼。5.4 清理后系統(tǒng)出現異常如果清理完發(fā)現某個軟件打不開了或者系統(tǒng)功能異常先別慌。大概率是誤刪了某個共享組件。這時候用之前創(chuàng)建的系統(tǒng)還原點恢復然后重新清理這次注意別刪那個組件。我自己的經驗是清理時寧可保守一點不確定的項先不刪重啟看效果。如果重啟后問題還在再回來刪。這樣比一次性全刪導致系統(tǒng)出問題要好。5.5 常見問題速查表問題現象可能原因解決方法桌面圖標刪了又出現計劃任務或服務守護用Autoruns清理計劃任務和服務瀏覽器主頁改不回來注冊表策略鎖定刪除Policies下的瀏覽器項任務管理器看不到可疑進程進程偽裝或隨機命名用Process Explorer查看簽名和路徑清理后軟件打不開誤刪共享組件用系統(tǒng)還原點恢復后重新清理安全模式下清理后正常正常模式又出現有驅動級守護檢查drivers目錄用Autoruns刪驅動6. 預防比清理更重要幾個能省事的習慣清理一次“急速搜索”大概要花半小時到一小時但如果平時注意幾個習慣完全可以避免中招。第一個習慣下載軟件只去官網。搜索引擎搜出來的結果前幾個帶“廣告”標識的別點那些基本都是下載站。找官網的方法很簡單搜“軟件名官網”兩個字或者直接看域名是不是軟件的官方域名。第二個習慣安裝時選自定義安裝。不管裝什么軟件安裝界面出現后先別急著點“下一步”找找有沒有“自定義安裝”或者“高級選項”。點進去把默認勾選的推廣項全部取消。這一步能擋掉80%的捆綁。第三個習慣定期檢查啟動項。每個月花兩分鐘打開任務管理器的“啟動”選項卡看看有沒有不認識的自啟動項。有的話右鍵禁用然后去查是什么。第四個習慣瀏覽器擴展定期清理。打開擴展管理頁面把不用的、不認識的擴展移除。有些擴展裝的時候是好的后來被收購或者更新后開始作惡定期清理能及時發(fā)現。第五個習慣用標準用戶賬戶日常使用。Windows下創(chuàng)建一個標準用戶賬戶日常用這個賬戶需要裝軟件或者改系統(tǒng)設置時再切換到管理員賬戶。這樣即使中了招它的破壞范圍也有限清理起來更容易。提示如果家里有長輩用電腦建議幫他們把瀏覽器主頁設好然后把快捷方式鎖定防止被改。長輩對這類東西的辨別能力弱是重點目標。7. 我的實操體會處理了這么多臺電腦我最大的體會是這類東西的技術含量不高但勝在“點多面廣”。它不跟你正面硬剛而是像藤蔓一樣到處扎根。你只盯著一個地方刪它就從另一個地方長出來。所以清理的核心思路不是“找到它然后刪掉”而是“把所有可能的駐留點列出來逐個排查一次性切斷”。另外Autoruns這個工具真的是神器。很多人不知道它的存在遇到啟動項問題只會看任務管理器但任務管理器只顯示了一部分啟動項。Autoruns能顯示全部包括計劃任務、服務、驅動、瀏覽器擴展、甚至WMI訂閱。我建議每個經常幫人修電腦的朋友都把它放在U盤里隨時能用。最后說一個細節(jié)清理完之后建議用Everything搜一下“急速搜索”這四個字的中文和拼音看看還有沒有殘留的文件夾或者文件。有些組件會在多個位置放文件主目錄刪了其他地方還有。搜一遍確認干凈了心里才踏實。這個內容后續(xù)還可以擴展的方向是不同變種的命名規(guī)律和路徑特征。我遇到過叫“JisuSearch”的也遇到過叫“QuickFind”“FastSearch”“SoSearch”的路徑有的在AppData有的在ProgramData有的直接在C盤根目錄。如果你也遇到過類似的可以留意一下它的名字和路徑積累多了就能形成一套快速識別的經驗。