开机弹出CMD提示无法打开xmrig配置文件，疑似挖矿病毒求助

• 检查启动项

  • 打开任务管理器→「启动」标签，排查所有启动项，找到关联cmd.exe或包含目标json路径的条目，直接禁用并删除对应的启动文件
  • 打开注册表编辑器（运行regedit），依次检查以下路径，删除指向那三个json文件的键值：
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
    • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
    • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

• 排查隐藏的计划任务

  • 以管理员身份打开命令提示符，执行schtasks /query /fo list /v，在输出结果中查找包含xmrig、目标json路径或异常cmd命令的任务
  • 找到对应任务后，用schtasks /delete /tn "任务完整名称"命令删除

• 追踪弹窗触发源

  • 打开事件查看器，展开「Windows日志」→「应用程序」和「系统」，筛选启动时段的错误事件，查看事件详情里的进程信息，定位触发弹窗的程序
  • 使用Process Monitor（微软官方工具），设置过滤条件为「路径包含目标json文件名」，重启电脑后捕获操作日志，找到尝试访问这些文件的进程并终止清理

• 彻底查杀恶意软件

  • 启用Windows Defender离线扫描：进入「设置」→「更新和安全」→「Windows安全中心」→「病毒和威胁防护」→「扫描选项」，选择「Microsoft Defender离线扫描」并重启扫描
  • 使用专业恶意软件清理工具进行全系统扫描，清除残留的挖矿软件组件

内容的提问来源于stack exchange，提问作者Anees