Windows计划任务中异常脚本的排查与删除

Windows任务计划程序被恶意软件或流氓软件滥用的频率极高，因为它能提供持久化运行和系统权限。当你发现电脑风扇无故狂转、CPU占用率居高不下，或者有莫名其妙的弹窗时，十有八九是任务计划里被植入了异常脚本。这些脚本通常不会直接以.exe的形式存在，而是隐藏在PowerShell命令、VBScript或者批处理文件中，通过看似正常的触发器在后台静默执行。

排查这类异常脚本，不能只看任务名称，因为很多高级威胁会伪装成“GoogleUpdate”、“AdobeFlashPlayer”或者系统更新任务。我们需要从触发器、操作参数和脚本文件本身三个维度进行深度挖掘。首先打开任务计划程序（taskschd.msc），不要只看根目录，要重点展开“任务计划程序库”下的子目录，特别是Microsoft以外的自定义文件夹。按“状态”列排序，所有显示“正在运行”且你无法识别来源的任务，都值得高度怀疑。

点击可疑任务后，重点查看“操作”选项卡。这里如果出现powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File 或者wscript.exe后面跟一个路径，且路径指向Temp文件夹、AppData下的随机字符文件夹，基本可以判定为恶意脚本。特别注意那些使用Base64编码命令的PowerShell操作，例如-EncodedCommand后面跟一长串乱码，这是攻击者用来混淆恶意代码的经典手法。

图形界面查看效率太低，而且很多隐藏任务根本不显示。用管理员权限打开命令提示符，运行以下命令可以把所有任务计划导出为CSV格式，便于搜索和分析：

schtasks /query /fo csv /v > C:\temp\tasks.csv

这个CSV文件会包含任务路径、运行用户、触发条件、具体命令等完整信息。用Excel或记事本打开后，按Ctrl+F搜索关键词，比如“powershell”、“wscript”、“cmd.exe”、“.vbs”、“.ps1”、“Temp”、“AppData”。重点关注“Task To Run”这一列，任何指向临时文件夹或用户数据目录的可执行脚本，都需要进一步核实。如果你发现某个任务的操作命令包含“-nop -w hidden -c”这类PowerShell参数组合，这几乎是恶意行为的明确标志，因为正常软件极少同时使用无配置文件、隐藏窗口和命令执行这三个参数。

攻击者为了让恶意任务看起来合法，会在任务名称、描述甚至作者信息上做文章。常见的伪装手法包括：使用Microsoft或Windows作为任务文件夹名称，但路径却放在库的根目录而非Microsoft子目录下；在描述中复制微软官方的文字说明；使用svchost.exe或者RuntimeBroker这类系统进程名作为任务名称。判断真伪的一个有效方法是查看“常规”选项卡中的“作者”字段，系统自带任务的作者通常是SYSTEM或者特定用户，而恶意任务往往会留下Administrators或者某个普通用户作为作者。另外，右键点击任务选择“属性”，在“触发器”里查看是否有“At system startup”、“At log on”或者间隔极短（如每5分钟）的重复触发器，这些都是恶意软件维持持久化的典型设置。

确定了可疑任务后，不要急着删除，先找到它调用的脚本文件进行取证分析。根据任务操作中的路径，在资源管理器中定位到该文件。很多恶意脚本会设置隐藏属性和系统属性，所以需要先在文件夹选项中开启“显示隐藏的文件”并取消勾选“隐藏受保护的操作系统文件”。找到脚本后，用记事本打开查看内容。如果是VBScript，留意是否有CreateObject("WScript.Shell").Run这样的命令；如果是批处理文件，检查是否有reg add、schtasks /create或者下载命令；如果是PowerShell脚本，重点关注Invoke-Expression、New-Object Net.WebClient、Start-Process这类危险cmdlet。

有些脚本会通过多层混淆来逃避检测，比如把命令拆分成多个变量再拼接执行，或者用Char数组隐藏字符串。对于这种情况，可以在PowerShell ISE中逐段执行脚本（务必在断网隔离环境下操作），观察每一步的输出结果。如果脚本试图连接外部IP地址或域名，立即记录下这些IOC信息，这能帮助你判断感染来源和攻击者的意图。

删除操作必须彻底，否则恶意软件会通过残留的备份任务或守护进程重新创建。首先在任务计划程序中右键禁用该任务（不要直接删除），观察系统运行24小时，确认没有异常后再删除。禁用后，打开注册表编辑器，导航到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree，这里存储了所有任务的注册表映射。找到对应任务名称的键值，导出备份后删除整个子键。这一步很关键，因为某些恶意软件会监控任务计划程序，一旦发现任务被删除就立即重建，而从注册表层面清除可以绕过这种守护机制。

接下来处理脚本文件本身。不要直接删除，而是先用记事本打开后清空内容并保存，这样如果其他进程正在调用该文件，不会因为文件不存在而报错或触发其他恶意行为。重启电脑后，确认该文件不再被任何进程占用，再将其彻底删除。同时检查同目录下是否有隐藏的副本文件，恶意软件常见的做法是创建多个名称相似的文件互为备份，比如task.vbs被删除后，task_old.vbs或task.bak会立即重命名并接管运行。

对于企业环境或需要批量排查的场景，手动检查效率太低。可以编写PowerShell脚本来自动化检测。以下脚本会列出所有包含隐藏窗口参数、Bypass执行策略或调用脚本文件的任务：

$tasks = Get-ScheduledTask | Where-Object { $_.State -ne 'Disabled' }
foreach ($task in $tasks) {
    foreach ($action in $task.Actions) {
        $cmd = $action.Execute + ' ' + $action.Arguments
        if ($cmd -match '-WindowStyle Hidden|-ExecutionPolicy Bypass|-EncodedCommand|wscript|cscript|\.vbs|\.ps1|\.bat') {
            Write-Host "可疑任务: $($task.TaskName)" -ForegroundColor Red
            Write-Host "路径: $($task.TaskPath)" -ForegroundColor Yellow
            Write-Host "命令: $cmd" -ForegroundColor White
            Write-Host "---"
        }
    }
}

运行这个脚本可以快速定位高风险任务。如果需要更严格的检测，可以在匹配规则中加入Temp、AppData、Roaming等路径关键词，以及DownloadString、WebClient等网络下载相关的命令特征。这个脚本的优势在于直接读取任务计划程序库的配置，不会被注册表隐藏项绕过，而且可以导出结果供后续分析。

清除恶意任务只是第一步，攻击者很可能已经通过脚本修改了系统安全设置。检查PowerShell执行策略是否被篡改，在PowerShell中运行Get-ExecutionPolicy，正常应该是Restricted或RemoteSigned，如果发现是Bypass或Unrestricted，说明攻击者为了方便后续入侵故意降低了安全级别。运行Set-ExecutionPolicy RemoteSigned -Force恢复安全设置。

同时检查Windows Script Host是否被禁用。很多恶意软件依赖wscript.exe或cscript.exe运行VBScript，如果业务不需要这些组件，可以通过注册表彻底禁用。导航到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings，新建DWORD值Enabled，数值设为0。这会阻止所有VBScript和JScript脚本通过Windows Script Host执行，从根源上切断一大类恶意脚本的运行通道。

还要检查任务计划程序本身的安全配置。在taskschd.msc中，点击“操作”菜单下的“查看”选项，确保没有勾选“显示隐藏的任务”。有些高级恶意软件会利用SDDL（安全描述符定义语言）修改任务权限，使其在图形界面中不可见。如果怀疑存在这种情况，使用schtasks /query /fo list /v命令在命令行中查看，命令行输出不受界面隐藏限制，能显示所有任务包括那些通过权限控制隐藏的条目。

被动排查只能解决当前问题，建立主动防御才能避免反复感染。启用任务计划程序的操作日志，在事件查看器中导航到“应用程序和服务日志” -> Microsoft -> Windows -> TaskScheduler -> Operational，右键选择“启用日志”。此后所有任务的创建、修改、删除和运行事件都会被记录，事件ID 106表示任务创建，141表示任务被删除，200和201表示任务开始和完成执行。可以针对这些事件ID设置自定义视图或触发计划任务，当检测到新任务创建时自动发送通知或执行排查脚本。

另一个有效的方法是使用文件系统监控。在PowerShell中注册FileSystemWatcher对象，监控C:\Windows\System32\Tasks目录（这是任务计划程序存储XML配置文件的位置）以及C:\Windows\Tasks目录。任何新文件的创建或修改都意味着有新任务被添加或现有任务被修改。配合脚本自动分析新增XML文件中的Command节点，可以在恶意任务生效前就将其捕获。

对于已经确定被感染过的系统，建议重置任务计划程序的所有权限。使用icacls命令重新应用默认权限设置，防止攻击者留下的后门权限配置继续生效。同时检查C:\Windows\System32\Tasks目录下是否有非XML文件，恶意软件有时会在这里存放备用载荷，利用任务计划程序的工作目录进行加载。

最后，如果排查过程中发现大量异常任务且来源不明，强烈建议使用Autoruns工具（微软官方Sysinternals套件中的组件）进行全面检查。它不仅能显示任务计划程序中的所有条目，还会用颜色标记出非微软签名或无法验证签名的项目，大幅提高排查效率。在Autoruns的Scheduled Tasks选项卡中，取消勾选可疑条目即可禁用，重启后确认系统正常再彻底删除。