为什么脱机扫描能看到普通扫描看不到的东西
常规的 Defender 扫描在 Windows 内部运行，与机器上的其他进程平起平坐。现代恶意软件恰恰利用这一点：它以同等权限运行，挂钩杀毒软件枚举文件所用的 API，直接把自己藏起来。脱机扫描剥夺了这种主场优势——电脑重启进入基于 Windows RE 的最小可信环境，完整的 Windows 根本不会加载，感染也就没有机会运行。Defender 从那里直接读取磁盘，什么都看得见：引导记录、被锁定的文件、伪装的副本。
这种扫描瞄准的是最凶险的一类威胁：扎根在运行系统之下的 rootkit 和 bootkit，以及一见到杀毒进程就将其杀死的自我保护型恶意软件。它并不是快速扫描的“加深版”——磁盘还是那块磁盘，但观察点换成了感染够不到的位置。这个差别就是重启的全部意义。
- 快速或完整扫描报告电脑干净，弹窗、被劫持的主页和不明进程却不断回潮
- 无论删除多少次，同一个威胁总在重启后再次出现在保护历史记录里
- Defender 本身行为异常：自行关闭、选项变灰、实时保护反复失效
- 文件被批量加密或重命名——典型的勒索软件行径——机器需要先消毒
- 每次扫描都说干净，浏览器却重定向搜索并注入广告
- 以管理员身份运行过可疑的免费工具，想确认没有留下任何东西
如何启动扫描
打开 Windows 安全中心——设置 → 隐私和安全性 → Windows 安全中心，或者直接在“开始”中输入 windows 安全中心——进入“病毒和威胁防护”→“扫描选项”。向下滚动找到“Microsoft Defender 脱机扫描”，选中后点击“立即扫描”；会弹出 UAC 确认。先保存工作并给笔记本接上电源：电脑会立即重启，显示约 15 分钟的 Defender 进度画面，然后自动回到锁屏界面。扫描期间不要长按电源键——中断不会损坏文件，但只能从头再来。
命令行同样能完成这件事：在管理员 PowerShell 中运行 Start-MpWDOScan 即会安排脱机扫描并重启机器。如果安装并启用了第三方杀毒软件，Defender 会切换到被动模式，脱机选项随之从列表中消失。这是预期行为而非 bug，且对 Defender 的所有扫描选项一视同仁。
重启之后：读取结果
扫描结束后，电脑重启进入 Windows 并显示发现内容的摘要；详情保留在“病毒和威胁防护”→“保护历史记录”中。如果检测并清除了威胁，请把它当作清理的开始而不是结束：卸载带入感染的程序，检查浏览器扩展和主页设置，查看开机自启动项。由于以管理员权限运行过的恶意软件可能动过系统文件，之后再跑一次 sfc /scannow 是成本很低的安全检查。
没有必要按计划定期运行脱机扫描——代价是一次重启加一刻钟。应该在起疑时运行：行为反常而常规扫描又报告干净，正是这个工具的用武之地。启动前先更新 Defender 的定义（“病毒和威胁防护”→“保护更新”→“检查更新”），让脱机扫描用上最新的特征库。
常见问题与解答
Microsoft Defender 脱机扫描需要多长时间？
含重启通常约 15 分钟，慢速 HDD 上为 20–25 分钟。运行期间无法使用电脑。
脱机扫描会删除个人文件吗？
不会。它只隔离或删除判定为恶意的内容——文档、照片和程序都不会被触碰。
为什么找不到 Microsoft Defender 脱机扫描选项？
几乎总是因为第三方杀毒软件处于活动状态，Defender 运行于被动模式。卸载或禁用另一个杀毒软件后，该选项就会恢复。
继续阅读
联系我们: [email protected]