360开机自启动如何彻底关闭？

Question

如何彻底关闭360安全卫士的开机自启动？即使在设置中已关闭自启选项，重启后仍自动运行，占用系统资源。尝试通过任务管理器、启动项禁用及服务管理等方式均未能根除，疑似其后台守护进程或驱动级驻留机制导致。请问有哪些有效方法（如修改注册表、权限控制或使用第三方工具）可彻底阻止360安全卫士随系统开机自动启动？

Answer 1

1. 问题背景与现象分析

360安全卫士作为一款广泛使用的国产安全软件，其设计初衷是提供系统防护、病毒查杀和优化加速等功能。然而，在实际使用过程中，许多用户反馈即使在图形界面中已明确关闭“开机自启动”选项，重启系统后该程序仍会自动运行，占用CPU、内存等资源。

更深层次的问题在于，360安全卫士采用了多层次的驻留机制，包括但不限于：

• 常规启动项注册（如注册表 Run 键）
• Windows服务注册（如 360tray.exe 对应的服务）
• 驱动级内核模块加载（如 360edr.sys 等）
• 守护进程互保机制（多个进程相互监控拉起）

这些机制共同构成了一个“反禁用”体系，使得普通用户甚至部分技术人员难以彻底禁用其自启行为。

2. 常见排查手段及其局限性

方法	操作路径	是否有效	原因说明
任务管理器 → 启动	右键禁用360相关条目	短期有效	仅屏蔽快捷方式级启动，不触及服务或驱动
msconfig 启动配置	禁用所有360开头项	部分有效	部分旧版本兼容，新版多绕过此控制
服务管理器 (services.msc)	停止并禁用 QHSrv, 360Tray 等服务	中等效果	某些服务会被主进程重新注册
组策略编辑器	计算机配置→Windows设置→脚本→启动/关机	少见但存在	企业环境中可能被部署为策略脚本

3. 深度解决方案：注册表层级干预

360 安全卫士常通过以下注册表路径实现持久化自启：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\

可通过 regedit 手动查找包含 “360”、“Qihoo”、“QHSrv” 关键词的键值，并删除对应条目。例如：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "360Safe"=- "360Tray"=-

注意：修改前建议导出备份对应注册表分支，避免误删导致系统异常。

4. 文件权限控制阻断执行链

利用NTFS权限机制阻止关键组件运行是一种高阶技巧。步骤如下：

1. 定位安装目录（通常为 C:\Program Files (x86)\360\360Safe）
2. 右键文件夹 → 属性 → 安全 → 高级
3. 禁用继承 → 将 SYSTEM、Administrators 权限设为“拒绝执行”
4. 重点锁定：360Safe.exe, 360tray.exe, loader.exe

此方法可使进程无法加载，即便被服务调用也会因访问拒绝而失败。

5. 使用第三方专业工具进行深度清理

推荐使用以下工具辅助分析与清除：

• AutoRuns (Sysinternals Suite)：显示所有自动启动入口，含驱动、计划任务、Winlogon 通知等
• GMER：检测隐藏驱动与内核钩子，识别360EDR等底层驻留模块
• Process Explorer：查看实时进程依赖关系，发现互保进程树

以 AutoRuns 为例，切换至 "Everything" 标签页，搜索关键词 “360”，取消勾选所有非必要条目，即可实现全面禁用。

6. 驱动级驻留识别与处理流程图

graph TD A[系统启动] --> B{是否存在360驱动?} B -- 是 --> C[枚举驱动列表: driverquery /v] C --> D[查找: 360*.sys, qihoo*.sys] D --> E[使用sc delete命令卸载服务] E --> F[进入安全模式删除文件] F --> G[清空%Temp%及安装目录] B -- 否 --> H[完成清理] H --> I[设置Hosts屏蔽更新域名] I --> J[定期检查Autoruns状态]

7. 主动防御：Hosts屏蔽与网络限制

即使本地进程被禁用，360仍可能通过云端策略触发唤醒。可在 hosts 文件中添加如下规则：

127.0.0.1 as.360.cn
127.0.0.1 update.360.cn
127.0.0.1 dl.360safe.com
127.0.0.1 net.360.cn

路径：C:\Windows\System32\drivers\etc\hosts，保存后刷新DNS缓存（ipconfig /flushdns），可阻断远程策略下发与更新机制。

8. 终极方案：定制化批处理脚本自动化清理

编写一键脚本实现多维度封锁：

@echo off taskkill /f /im 360*.exe >nul 2>&1 sc stop "QHSrv" >nul 2>&1 sc config "QHSrv" start= disabled reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "360Safe" /f icacls "C:\Program Files (x86)\360\360Safe\" /deny Everyone:(X) echo. >> "%SystemRoot%\System32\drivers\etc\hosts" echo 127.0.0.1 update.360.cn >> "%SystemRoot%\System32\drivers\etc\hosts" echo 清理完成，请重启系统。

将上述脚本以管理员权限运行一次，可系统性切断360自启链条。