电脑用久了，难免碰到些“硬茬子”。浏览器主页死活改不回来；任务管理器里总有一两个名字古怪的进程反复重生；杀毒软件弹窗提示“无法删除”，却束手无策。

这些迹象基本可以确定：系统里住进了顽固病毒。

它们要么寄生在注册表启动项，要么注入系统服务。甚至伪装成合法DLL，或劫持Windows Defender。

对付这类深度感染，Malwarebytes的“威胁扫描”模式确实是一把好手。但前提是权限给足、操作顺序走对。否则，再强的工具也够不着病灶。

先说一个容易忽略的前提：如果没有提前授予Malwarebytes关键系统权限，扫描会直接跳过高风险区域。这些区域包括浏览器扩展、登录项、计划任务等——恰恰是顽固病毒最爱藏身的地方。结果就是：表面扫了一圈，核心问题一个没抓到。

开启完全磁盘访问与辅助功能权限

首次运行Malwarebytes时，如果跳过权限授权，扫描范围会被严重限制。【这两个权限缺一不可，否则扫描结果基本没有参考价值】

操作方法：

• 启动Malwarebytes。
• 点击右上角齿轮图标，选择“设置”。
• 切换到“隐私”选项卡。
• 确保“完全磁盘访问”和“辅助功能”两项开关处于开启状态。
• 如果系统弹出权限窗口，点击“立即设置”，按向导一步步允许即可。

额外检查：

Windows用户：打开“设置 → 隐私和安全性 → 后台应用”，确保Malwarebytes被允许在后台运行。

macOS用户：进入“系统设置 → 隐私与安全性 → 完全磁盘访问”，手动将Malwarebytes应用图标拖入授权列表。

执行威胁扫描并识别高危项

注意，这里要选的是“威胁扫描”（Threat Scan）。不是快速扫描，也不是自定义扫描。这个模式会主动挂钩运行中的进程，解析注册表的Run键值。它还会比对已加载DLL的数字签名，直接检查Chrome/Firefox/Safari扩展页面的源码。这才是真正能揪出顽固病毒的动作。

第一步：选择扫描模式

主界面点击中间“扫描”按钮旁的下拉箭头 → 选择“威胁扫描”。

第二步：保持系统静默

扫描过程中尽量别去操作其他程序。尤其不要打开浏览器或启动新软件。部分病毒会在扫描时动态卸载自身伪装模块，干扰检测逻辑。

第三步：重点筛选高危条目

扫描完成后，在结果页重点筛选以下四类条目：

• Adware.BrowserModifier
• PUP.Optional.Toolbar
• HackTool.Injector
• Trojan.Win32.Packed

凡是带“Packed”“Injector”“Modifier”“Redirector”后缀的条目，一律视为高危。直接勾选。

隔离而非删除，保留回滚能力

顽固病毒往往与系统关键组件深度绑定。直接删除可能导致explorer.exe崩溃、网络服务中断甚至桌面图标消失。Malwarebytes默认提供的“隔离”选项才是安全底线。它能将文件加密移入隔离区，既不执行又能保留恢复能力。

操作步骤：

• 勾选全部检测项。
• 点击右下角“隔离所选项目”。
• 等待状态栏显示“已完成”。

注意：不要点击“删除”按钮。

隔离后的文件会被存放在Malwarebytes安装目录下的Quarantine子文件夹中。加密存储且无法执行。如果后续发现误报，可以在主界面通过“历史记录 → 隔离区”恢复指定项。

手动清理残留浏览器扩展

病毒本体被隔离后，如果浏览器扩展还处于启用状态，它们会继续劫持搜索、注入广告脚本。这就是很多人“杀完毒还弹广告”的根本原因。

清理方法：

Chrome：

• 地址栏输入 chrome://extensions。
• 开启右上角“开发者模式”。
• 逐个查看每个扩展的“详细信息”。
• 对来源不明、更新时间早于安装日期、或包名含有 adtech、searchassist、webhelper 的扩展，直接点击“移除”。

Firefox：

• 地址栏输入 about:addons。
• 左侧选择“扩展”。
• 关闭所有非最新商店安装、作者栏为空或显示“Unknown”、图标为默认地球或齿轮的扩展。
• 右键选择“禁用”，重启浏览器后再右键“删除”。

Edge：

• 地址栏输入 edge://extensions。
• 关闭“允许此扩展访问数据”开关。
• 滚动到底部点击“删除”。
• 注意：不要勾选“同时从 Microsoft Edge 删除”，仅清除本地实例即可。

重启后验证实时保护状态

重启不是走形式。Malwarebytes的实时保护模块（Ransomware Protection、Web Protection）只在系统完全重启后才能加载驱动级钩子。在此之前，所有防护都处于未激活状态。

验证步骤：

• 重启完成后，确认系统托盘出现Malwarebytes图标（绿色盾牌）。
• 右键图标，查看“保护状态”是否显示“已启用”。
• 如果显示“已暂停”或“未运行”，点击“启用保护”。
• 此时再打开任意网页，观察地址栏右侧是否出现Malwarebytes小盾牌图标。有了它，才算真正进入实时防护状态。