我先怎么判断
遇到“Microsoft Defender 脱机扫描怎么用来查顽固木马”这类情况，我不会先下结论说一定中毒。广告组件、浏览器设置、驱动异常和恶意程序有时会出现相似表现。我会先暂停可疑操作，记录异常，再按Windows 安全工具、启动项和进程证据这条线排查。
如果电脑里保存过网银、邮箱、社交账号或工作资料，先不要在这台疑似异常的电脑上继续登录重要账号。需要改密码时，我会优先使用另一台干净设备，并打开多因素验证。
常见表现
- 普通扫描没有结果，但电脑仍有持续异常
- 怀疑恶意程序在开机时自动启动或隐藏在计划任务中
- 需要区分正常系统进程、软件组件和可疑进程
- 想在重装前尽量留下一份可复查的异常记录
我会先检查这些地方
- 扫描工具是否来自 Microsoft 或软件厂商官方域名
- 可疑进程的完整路径、签名、父进程和启动参数
- 启动项、计划任务、服务、浏览器扩展和代理设置
- 扫描结果是否能与异常首次出现的时间对应
处理顺序
- 先更新 Windows 安全组件，再运行完整扫描
- 顽固问题使用 Microsoft Defender 脱机扫描
- 需要二次判断时只从微软官方页面下载 Safety Scanner
- 用 Autoruns 和 Process Explorer 做人工复核
- 把文件名、路径、签名、时间和扫描结果整理后再决定清理方式
清理后怎么复核
- 扫描后重启，并确认保护历史没有持续新增同一风险
- 复查启动项、计划任务、服务和进程路径
- 确认浏览器、代理、DNS 和账号会话正常
- 保留扫描结果，方便之后判断是否复发
我不建议这样做
- 不要从搜索广告或第三方下载站获取安全工具
- 不要看到陌生进程名就直接结束或删除
- 不要同时运行多个实时防护软件导致结果互相干扰
- 不要把扫描工具当成绝对结论，异常持续时要升级处理
我的经验
检测工具的价值是提供线索，不是替你做所有判断。路径、签名、启动方式和时间线放在一起看，结论会可靠很多。
参考资料
下面列的是厂商或机构资料入口，实际操作时只从可信域名下载工具。