恶意软件清除之后：修复感染留下的破坏

“威胁已清除”只是收拾残局的开始，而不是结束：杀毒软件删除了病毒本体，但代理设置、浏览器策略、计划任务和被盗的密码仍留在废墟之中。你修复什么、按什么顺序修复，决定了这台电脑是真的安全，还是只是暂时安静。

感染消失了，破损的管道还在

杀毒软件的职责是让恶意代码失效，而不是撤销配置改动，感染后的症状恰恰就藏在这两项工作之间的缝隙里。经典案例：在消毒后幸存的代理服务器或DNS劫持、写满重定向的hosts文件，以及因为恶意软件向注册表写入了浏览器策略键而无法改回来的搜索引擎。再加上会重新下载病毒本体的计划任务和Run键条目，以及被悄悄改绑到广告软件的文件关联，“干净”的扫描结果开始显得徒有形式。正是这些破损的“管道”，让各个引擎都报绿之后症状仍能持续数日。

还有第二种任何扫描器都不会标记的破坏：数据。信息窃取程序早在清除发生之前，就已经吸走了浏览器密码库、会话Cookie和加密钱包，因此更换密码是修复工作的一部分，而不是事后补充。请默认浏览器里保存过的每一个机密都已进入他人的数据库。用于网银、办公或家人共用的电脑，值得认真评估直接重装系统这条路。

行之有效的修复顺序

从网络向内逐层修复，因为仍在被劫持的连接，其再次感染的速度快过你修复的速度。下面每一步都只需几分钟，合起来就能清除绝大多数在标准消毒后幸存的驻留机制。请按顺序执行，因为有些步骤只有在前面的步骤完成后才有意义。先创建还原点，这样不仅能撤销恶意软件的所作所为，也能撤销你自己的修复操作。

重置网络：关闭代理，将DNS改回自动，然后执行 netsh winsock reset 和 ipconfig /flushdns
打开 C:\Windows\System32\drivers\etc\hosts，删除所有非注释内容
删除 HKLM\SOFTWARE\Policies 下的恶意浏览器策略（Chrome、Edge、Firefox 键）
检查任务计划程序和 HKCU/HKLM 的 Run 键，找出重新下载病毒本体的条目
移除来历不明的扩展，并在每个浏览器和配置文件中重新设置搜索引擎
在一台干净的电脑上更换已暴露的密码，从邮箱和网银开始

信任但验证：两周观察期

修复之后，先确认 Windows 更新和 Microsoft Store 确实能用——更新功能损坏是最常见的持久后遗症，先运行 DISM /Online /Cleanup-Image /RestoreHealth 再运行 sfc /scannow 可以治愈大部分问题。机器恢复正常后新建一个还原点，然后给它两周的观察期：启动迟缓、弹窗复发或浏览器自行还原设置，都是停止打补丁、改为重装系统的理由。对于搭载过信息窃取程序的电脑，请认真考虑重装或还原镜像——这是唯一自带保证的修复方式。最后清点投放器捆绑的垃圾（工具栏、“驱动更新工具”、假清理软件）即可结案，像 Kleaner PRO 这样的残留文件分析工具，比在 AppData 里手动翻找快得多。