系统还原到底快照了什么——又永远不碰什么
还原点是 Windows 注册表、系统文件和驱动程序的快照——由卷影副本管理、在更新、驱动安装和部分软件安装之前创建的几百 MB。它有意排除你的文档、下载、浏览器配置文件，以及用户配置文件夹下的几乎一切。而现代恶意软件恰恰就住在那里：AppData 里的加载器、Temp 里的脚本、启动文件夹里的恶意快捷方式、被劫持的浏览器扩展。把系统回滚，这些载荷会在桌面出现的那一刻全部苏醒。
这套机制也会反着咬人。还原点里可能包含你毫无察觉时期已感染的系统文件，回滚能把一个你早已清掉的木马复活。而一整类家族——尤其是商品化窃密器和勒索软件——会把禁用系统还原、抹掉现有卷影副本当作最先执行的动作之一，于是在真正感染的机器上，你指望的那个工具可能早已不在。
没人提醒过你的安全回滚陷阱
即便回滚真的够到感染——老式引导套件和驱动投放器确实曾住在快照范围内——它也会把恶意软件进来的那个洞重新打开。回滚到累积更新之前，就等于在一台攻击者早已了如指掌的机器上，运行微软几周前就已修补的代码。与此同时，搭顺风车来的密码窃密器，则握着你实验期间偷走的全部凭据。把系统还原当杀毒软件用不只是清不掉：它把持久性和时间一起奉送给攻击者。
真正能清除感染的做法
有效的顺序很无趣：先引导进入 Microsoft Defender Offline 或其他救援扫描器，让恶意软件在扫描时不处于运行状态；再用真正的工具移除持久化——启动文件夹、任务计划程序任务、Run 键；然后装上所有待装更新，再重新信任这台机器。系统还原属于完全不同的工作：撤销一个坏驱动或一个搞坏了启动的更新，那里回滚才快速而合适。对一切已外泄数据的恶意软件——窃密器、键盘记录器、勒索软件——唯一诚实的清理是全新安装加上从另一台设备轮换所有密码，因为世上没有任何清理工具能把已泄露的密码收回来。
- 从 Windows 安全中心运行离线扫描：Microsoft Defender Offline 会重启进一个干净环境，内存里无处可藏
- 之后检查经典持久化位置——启动文件夹、任务计划程序、注册表 Run 键
- 重置浏览器快捷方式和配置文件：劫持器和窃密器住在那里，任何系统回滚都弄不死它们
- 清理后立刻安装所有待装更新，让最初的漏洞真正被堵上
- 对窃密器或勒索软件接受损失：备份文件、全新安装、从另一台设备改掉每个密码
- 让还原点做它真正的工作——撤销坏驱动和坏更新——而不是消毒
常见问题与解答
系统原能清除病毒和恶意软件吗？
不能。它只回滚注册表、系统文件和驱动程序；藏在用户文件夹、启动项和浏览器配置文件里的恶意软件毫发无损地活过回滚。
感染病毒后应该使用系统还原吗？
只在系统无法启动时作为启动修复——绝不要当成清理步骤。先做离线扫描、移除持久化、装更新；遇到窃取数据的恶意软件，请计划全新安装。
联系我们: [email protected]