dij
今天打开电脑突然发现这个流氓软件下载到我的电脑,之前已经删除干净,但不知为何它出现了,是不是我没有删除干净,你查查,并删除它的所以的文件
360 为什么删了还会回来
一句话结论不是残留自己复活：一个寄生在右键菜单里的「看图组件」，会在你右键时被加载进资源管理器，几秒后在后台拉下推广安装包。
实测 推测 查不了 更正dij 的话照录原文；Claude 的回复是节选，有删减；虚线框是 10-15 回看时补的批注。
01它又出现了
实测
Claude
找到了：快捷方式是今天 15:06:48 新建的，而且还有一个开机自启的服务和一个可疑的计划任务。继续深挖安装目录和来源。
接下来二十多分钟：程序兼容性助手日志、IE 缓存索引、Chrome 下载记录、全盘扫描……
实测查不了
Claude
那个 .bmp 其实是伪装的加密数据包，开头写着 update...。所以 15:06 发生的事不是「你点了一个弹窗」，而是：本机某个常驻程序在开机约 13 分钟后，偷偷请求了一个「更新包」，然后静默下载并安装了推广包。整个过程不需要你点任何东西。
实测确认的
- 今天这次是重新安装的，不是残留自己长回来的：一个推广安装器一次装了三样东西——360 安全浏览器（带开机自启）、「小吾万年历」（其实是 360 画报换了个皮），还有一个空目录。
- 你之前确实没删干净，不过那些残留都是死的：服务和计划任务指向的 exe 早就不存在，没法运行。
- 360 系软件在这台电脑上出现过 4 次：08-17、08-20、09-10、10-05。
查不到的
到底是哪个程序发起的下载。那个进程早就退出了，系统也没开进程审计；能直接回答的 Prefetch 记录要管理员权限才能读。
展开细节
| 步骤 | 谁来做 | 内容 | 怎么回滚 |
|---|---|---|---|
| ① | Claude | 结束后台进程，用户级文件全部移进回收站（约 800MB） | 回收站里还原 |
| ② | Claude | 注册表里的自启、卸载项、360 相关键，先导出 .reg 再删 | 双击 .reg 恢复 |
| ③ | dij（管理员脚本） | 删服务、驱动、计划任务；顺便读 Prefetch 找元凶 | 脚本同样先备份 |
| ④ | dij | 把 .htm/.html 的默认打开方式改回 Chrome（系统有保护，程序改不了） | — |
02顺着 Prefetch 找到元凶
dij 以管理员身份运行了第一个清理脚本，脚本顺便导出了 Prefetch 诊断
实测推测
Claude
元凶：「365看图组件」imghepler.dll。它藏在 %LOCALAPPDATA%\deskright\ 里，把自己注册成资源管理器的右键菜单扩展。2024 年跟着那一波 360 一起进来，名字里不带「360」，所以之前删 360 时漏掉了它。
| 证据 | 类型 |
|---|---|
| 签名公司和今天被塞进来的「小吾万年历」是同一家 | 实测 |
| 它现在就加载在 explorer.exe 里，而 15:06 之前没有任何新进程启动，说明下载发生在资源管理器内部 | 实测 |
| DLL 里有 WinINet 下载接口，和「安装包出现在 IE 缓存里」对得上 | 实测 |
| 15:05:58 NVIDIA 控制面板启动，3 秒后就开始拉取推送指令 → 触发方式应该是「你在桌面上右键」 | 推测 |
这也解释了为什么 360 会隔几周冒出来一次：它只有在你右键的时候才有机会动手。帮我确认一件事：今天 15:06 左右，你是不是在桌面上右键打开了 NVIDIA 控制面板？
dij
欧克,是的今天才打开过英伟达的控制面板,剩下的东西你去确认,有什么需要我做的再说
实测
Claude
触发方式对上了：右键 → 推送器被加载进资源管理器 → 3 秒后开始推送。剩下的我来做独立复查，不只看脚本自己的报告。这次吸取教训，按签名公司扫全盘，不再只按名字找。
10-15 回看
回看批注
这一段最值得记的是方法上的转弯：一开始按「360」这个名字找，于是漏掉了名字里不带 360 的推送器。流氓软件常常换皮、换名字，但很难换掉签名公司——按签名扫全盘，才把同一家族的东西一起捞出来。
03全盘审查
实测更正
Claude
审查范围：4 个盘共 54596 个可执行文件（逐个读签名）；开机自启全部入口；服务 314 个；全部计划任务（含隐藏的）；WMI 持久化；右键菜单和 IE 插件 204 处；浏览器扩展和配置目录；根证书；hosts、代理、DNS；Defender 历史；Prefetch 322 个程序。
- 🔴 6 个侧载广告扩展，藏在仿冒的浏览器配置目录里，能读写所有网站；其中一个和那家推送器的安装只差 1 分钟
- 🔴 山寨解压软件的内核驱动残留；一个山寨压缩软件劫持了约 1600 处文件关联
- 🟡 还在用、但有风险的：一张私钥就在本机的抓包根证书、一个以 SYSTEM 权限常驻的壁纸软件更新服务……由你决定
审查中更正过的结论
- 「壁纸软件今天没运行」→ 作废，它开机就自启了
- 两个看着可疑的目录 → 撤销，一个是正版启动壳，一个是 Chrome 自己的
Claude
写第 4 步脚本的时候，被 Claude Code 自动模式的安全检查拦下了，理由是「不可逆删除」（范围确实很大）。按规矩我不会换个办法绕过去，比如拆成小块分别做。你可以把这个会话换成逐项批准的模式，我再写；或者照清单自己动手。
dij
已更改权限模式,书写脚本
四个小时后，第 4 步脚本已经跑完
实测更正
Claude
✅ 做成了的（实测）：仿冒扩展目录删掉后重启没有再长出来；两个流氓驱动清掉；山寨压缩软件的关联键和被它抢走的约 230 种格式默认打开方式都清掉了；抓包证书 48 张全删。
❌ 没做成的：Office 2010 没卸掉——它的官方卸载程序自己就缺文件。另外，脚本在卸载失败后还是把它的目录删了，导致 Word 的处理程序指向了一个不存在的文件。这是我脚本的疏漏：卸载失败时应该先停下来。
第二天，dij 跑完第 5 步
实测更正
Claude
Office 2010 的 17 个组件已经按产品码逐个卸干净，2021 版恢复正常。还差最后一点：一个 Adobe 的 DLL 除了右键菜单，还注册了 3 个文件图标叠加层。审查时它后面标着「×5」，我只处理了右键菜单那一处，没把另外几处核对完，这是我漏掉的。
10-15 回看
回看批注
回头看，这一整天里我认了两次错：一次是「失败了还继续删」，一次是「标着 ×5 只处理了 1 处」。都不是查错了，而是执行时少了一道检查。后来写清理脚本，都会先列出将要做的事、按回车才开始，失败就停。