ESET卸载后残留进程或服务无法彻底清除？

Question

ESET卸载后残留进程或服务无法彻底清除，是企业终端与个人用户高频反馈的典型问题。常见表现为：卸载程序完成后，系统托盘仍显示ESET图标、任务管理器中持续存在`ekrn.exe`（ESET Kernel Service）或`egui.exe`（GUI进程）等高权限进程；Windows服务列表中残留`ESET Service`或`EPFService`等已禁用但未删除的服务项；注册表`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\`下残留驱动服务键值，导致后续安装同类安全软件时触发冲突或蓝屏。根本原因在于ESET采用内核级驱动（如`eamon.sys`、`epf.sys`）和自保护机制，在标准卸载流程中若未以管理员权限执行、或系统处于休眠/快速启动状态、或第三方清理工具强制终止进程，易导致驱动卸载不完整、服务句柄未释放、WMI/COM组件注册残留。该问题不仅影响新安全软件部署，还可能引发系统性能下降与策略合规风险。

Answer 1

```html

一、现象层：典型残留行为的可观测特征

• 系统托盘持续显示灰色/半透明ESET图标，右键无响应或弹出“服务未运行”提示
• 任务管理器「详细信息」页中，ekrn.exe（PID常为4或高位系统进程）持续占用0.5–3% CPU，且无法通过常规方式结束任务
• egui.exe在用户会话中反复拉起，即使已禁用启动项，亦可能由WMI事件订阅（如Win32_ProcessStartTrace）触发
• 服务管理器（services.msc）中可见已“禁用”但状态为“已停止”的服务：ESET Service、EPFService、ERAServer
• 注册表路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\下残留eamon、epf、erac等键，其Start值为0x4（Disabled），但Type为0x1（Kernel Driver）

二、机制层：内核级自保护架构与卸载断点分析

ESET采用分层驱动模型：

组件	加载时机	卸载依赖	常见失败诱因
eamon.sys（反恶意软件监控驱动）	Boot Start（随系统引导加载）	需调用ScDeleteService() + 驱动对象卸载回调	快速启动启用时，CurrentControlSet非活跃，卸载写入LastKnownGood而非当前
epf.sys（网络过滤驱动，NDIS LWF）	System Start（内核初始化阶段）	依赖FltUnregisterFilter()及NdisFreeMemory()	第三方工具强制TerminateProcess导致DriverUnload未执行

三、根因层：四大卸载断裂链路深度解析

1. 权限断裂：标准用户执行卸载程序 → ekrn.exe以NT AUTHORITY\SYSTEM运行但卸载进程无SeLoadDriverPrivilege → 驱动句柄未关闭
2. 状态断裂：休眠/快速启动下，HKLM\SYSTEM\CurrentControlSet为只读快照 → 服务注册表项删除操作实际写入ControlSet001而非激活集
3. 引用断裂：WMI命名空间root\StandardCimv2\Security\Microsoft中残留ESET_AntivirusSetting实例 → 新安全软件WMI查询时引发STATUS_ACCESS_DENIED
4. COM断裂：注册表HKEY_CLASSES_ROOT\CLSID\{A3F8D6C7-...}下残留ESET COM对象 → 导致CoCreateInstance()失败并触发应用级异常

四、验证层：多维度残留检测脚本（PowerShell）

# 检测驱动残留（需管理员）
Get-WindowsDriver -Online | Where-Object {$_.OriginalFileName -match 'eamon|epf|erac'} | Format-List

# 扫描服务注册表残留（跨ControlSet）
$ccs = @('CurrentControlSet','ControlSet001','ControlSet002')
$ccs | ForEach-Object {
  Get-ChildItem "HKLM:\SYSTEM\$($_)\Services" -ErrorAction SilentlyContinue |
    Where-Object { $_.PSChildName -match 'eamon|epf|eraserver|epfservice' } |
    Select-Object PSPath, PSChildName
}

# 检查WMI安全类残留
Get-CimInstance -Namespace 'root\StandardCimv2\Security\Microsoft' -ClassName '__?Antivirus*' -ErrorAction SilentlyContinue

五、解决层：企业级标准化清除流程（含mermaid流程图）

flowchart TD A[重启进入安全模式
禁用快速启动+休眠] --> B[以Administrator运行
cmd /c \"net stop ekrn & sc delete ekrn\"] B --> C[使用Sysinternals Autoruns
勾选Drivers/Winlogon/WMI/COM选项卡
定位并删除所有ESET相关项] C --> D[执行ESET官方卸载工具
esetuninstaller_v1.4.exe /silent /noreboot] D --> E[手动清理注册表
HKEY_LOCAL_MACHINE\\SYSTEM\\*\\Services\\
HKEY_LOCAL_MACHINE\\SOFTWARE\\WOW6432Node\\ESET] E --> F[重启后运行
sfc /scannow && dism /online /cleanup-image /restorehealth]

```