求助：排查ISP通过本地系统文件限制VPN连接的具体恶意文件

各位大佬，我现在碰到一个特别头疼的问题，想请大家帮忙揪出背后的根源：

我是国内用户，一直靠VPN访问外网，但ISP一直在针对性搞我的VPN——之前是限速、频繁断连，我写了个Python脚本24小时跑着对抗，还能顶住，但最近彻底扛不住了：只要连VPN，速度就被压到几百KiB/s，完全没法用。

我已经排除了一堆可能性：

• 早就关了modem的TR069，改了密码和各种设置，后来干脆换了完全无ISP定制的全新modem，还是一样限速
• 重置过自己买的路由器，没用
• 跑了一堆PowerShell命令重置系统网络设置（命令如下），重启后还是没效果：

[void] [System.Reflection.Assembly]::LoadWithPartialName("System.Windows.Forms")

devcon disable *dev_8168*
devcon enable *dev_8168*
start-sleep -seconds 3

netsh winsock reset
netsh winhttp reset proxy
netsh http flush log buffer
net start dot3svc
netsh lan reconnect
net stop dot3svc
netsh interface ip reset
netsh interface ipv4 reset
netsh interface ipv6 reset
netsh interface httpstunnel reset
netsh interface portproxy reset
netsh interface tcp reset

ipconfig /release
ipconfig /all
ipconfig /flushdns
ipconfig /registerdns
ipconfig /renew

RunDll32.exe InetCpl.cpl,ResetIEtoDefaults
Start-Sleep -Seconds 1
[System.Windows.Forms.SendKeys]::SendWait("{Tab}")
[System.Windows.Forms.SendKeys]::SendWait(" ")
[System.Windows.Forms.SendKeys]::SendWait("R")
[System.Windows.Forms.SendKeys]::SendWait("C")

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Internet Explorer" -ErrorAction SilentlyContinue | Out-Null
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" -ErrorAction SilentlyContinue | Out-Null

Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name AutoDetect -Type DWord -Value 0
Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name AutoDetect -Type DWord -Value 1
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel" -Name Autoconfig -Type DWord -Value 1
Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name AutoConfigURL -Type String -Value ""

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server" -Name AllowRemoteRPC -Type DWord -Value 0
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections -Type DWord -Value 1
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name fDenyTSConnections -Type DWord -Value 1

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Remote Assistance" -Name fAllowFullControl -Type DWord -Value 0
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Remote Assistance" -Name fAllowToGetHelp -Type DWord -Value 0
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name fAllowToGetHelp -Type DWord -Value 0
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name fAllowUnsolicited -Type DWord -Value 0

netsh advfirewall set allprofiles firewallpolicy blockinboundalways,allowoutbound
netsh advFirewall firewall add rule name="Disable Incoming PING IPv6" protocol=icmpv6:8,any dir=in action=block
netsh advFirewall firewall add rule name="Disable Incoming PING IPv4" protocol=icmpv4:8,any dir=in action=block

Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp" -Name TcpAutotuning -Type DWord -Value 1
netsh http flush logbuffer
netsh winhttp reset autoproxy
netsh interface udp reset
netsh branchcache reset
netsh branchcache flush
netsh interface tcp set global autotuninglevel=disabled

直到我切换系统才发现关键线索：我电脑里两块硬盘都装了Win10，平时用的是A盘系统，切换到B盘系统时，VPN完全不限速！但切回A盘又不行，反复重启切换验证了好多次，限速只和A盘的系统绑定。

我怀疑A盘系统被ISP搞了手脚，现在发现几个可疑点：

• 明明用上面的脚本关了自动代理检测，但系统设置里的“自动检测设置” checkbox总是自动打开
• Chrome偶尔会在状态栏显示“下载代理脚本”，但查netsh winhttp show proxy显示“Direct access (no proxy server)”，chrome://net-internals/#proxy里也看不到异常
• 用Sysinternals Autoruns查启动项时，发现一个带Windows服务图标的进程，没有进程名称，命令行是svchost -k networkservice -p

我打算重装A盘的系统，但还是想搞清楚到底是哪个文件/程序在作祟，防止以后再被搞。有没有大佬能指点下怎么排查这个恶意文件？

备注：内容来源于stack exchange，提问作者Ξένη Γήινος