如何追踪Windows 11 22H2企业版中随机弹出的“你尝试安装的应用不是微软验证的应用”对话框的触发源

我完全理解你的需求——不想直接禁用这个安全提示，也不想盲目点击安装，只想揪出背后偷偷触发它的程序对吧？下面几个实用方法可以帮你精准定位源头：

方法一：用Process Monitor（ProcMon）实时捕获进程行为 #

这是微软官方的系统监控工具，能精准记录所有进程的文件、注册表操作，是排查这类问题的首选：

• 下载并以管理员权限运行ProcMon（无需安装，解压即可用）
• 点击顶部菜单栏的「Filter」→「Filter…」，添加过滤规则：
  • 选择Operation，匹配条件选Is，值填Process Create，点击「Add」
  • 再添加一条规则：Window Title，匹配条件选Contains，值填**“你尝试安装的应用不是微软验证的应用”**，点击「Add」
• 点击「Apply」开始捕获，之后保持ProcMon后台运行，等对话框再次弹出时，立刻点击工具栏的「Capture」按钮（放大镜图标）停止捕获
• 在捕获结果里，查看对话框弹出前后的进程记录，重点关注那些启动时间和弹窗时间吻合的进程，右键进程选择「Properties」就能看到它的文件路径和发布者信息

方法二：弹窗出现时立刻查看任务管理器 #

当弹窗弹出后不要关闭它，马上按Ctrl+Shift+Esc打开任务管理器：

• 切换到「详细信息」标签，点击「名称」列排序，快速扫描可疑进程（比如不知名的exe、带有“Update”字样的进程，或者msedgewebview2.exe这类常用于应用更新的进程）
• 右键可疑进程，选择「打开文件所在位置」，看看是不是你之前安装过的软件的目录
• 也可以右键进程选「属性」，切换到「数字签名」标签，检查发布者是否为你信任的厂商

方法三：检查计划任务中的定时更新任务 #

很多应用会通过计划任务自动触发更新，你可以排查一下：

• 按下Win+S搜索「任务计划程序」并打开
• 展开左侧的「任务计划库」，逐个查看子文件夹里的任务，重点关注那些设置了定期触发（比如每日、每周）的任务
• 右键可疑任务选择「属性」，查看「触发器」标签的触发条件，再看「操作」标签里的执行命令，确认是不是这个任务在尝试安装未验证的应用

方法四：用PowerShell脚本自动捕获触发进程 #

如果不想一直盯着ProcMon，可以写个简单的PowerShell脚本，自动检测弹窗并输出父进程信息：

# 以管理员权限运行此脚本
while($true) {
    # 检测是否有目标弹窗窗口
    $targetWindow = Get-Process | Where-Object {
        $_.MainWindowTitle -match "你尝试安装的应用不是微软验证的应用"
    }
    if($targetWindow) {
        # 获取弹窗进程的父进程ID
        $parentProcInfo = Get-CimInstance Win32_Process -Filter "ProcessId = $($targetWindow.Id)" | Select-Object ParentProcessId
        # 输出父进程的详细信息
        Get-Process -Id $parentProcInfo.ParentProcessId | Select-Object Name, Path, StartTime
        break
    }
    # 每5秒检查一次
    Start-Sleep -Seconds 5
}

运行脚本后，它会在后台等待，一旦弹窗出现就自动输出触发它的父进程名称、文件路径和启动时间。

这些方法里，ProcMon的精度最高，能帮你完整还原弹窗触发的整个过程。找到可疑进程后，记得核对它的文件路径和签名，确认是你信任的应用更新还是恶意程序——如果是前者，你可以考虑更新该应用的版本或者调整它的更新设置；如果是后者，再进行针对性的清理即可。

备注：内容来源于stack exchange，提问作者Jürgen Steinblock