翻完Autoruns的隐藏项，才发现某云盘把更新服务藏得有多深

昨晚本来只想清一下开机启动项，结果在 Autoruns 里翻出了个让我睡意全无的东西。

先说结论：某云盘（就不点名了，评论区肯定有人猜得到）把它的自动更新服务做成了「隐藏计划任务」+「伪造服务的组合拳」，用任务管理器只看启动项根本看不到，msconfig 也翻不出来，得进 Autoruns 勾上「Verify code signatures」和「Hide Microsoft entries」才露馅。

过程是这样的。我最近觉得这云盘老在后台偷偷跑，风扇嗡嗡的。习惯性打开任务管理器，启动项里就一个托盘程序，本来没当回事。但等等——我熬夜就爱较真，于是按老流程上了 Process Monitor，过滤 Operation is Process Start，蹲了大概一个小时，发现每隔 40 分钟左右会蹦出一个 cloudupdater.exe 的子进程，父进程是个 svchost。

svchost 当父进程，这就值得警惕了。

于是我转去 Autoruns，重点看 Scheduled Tasks 和 Services 两个 tab。结果在 Services 里发现一个名字叫 CloudSyncSvc 的服务，描述写着「提供云同步支持」，作者签名居然是那家云盘的。关键点来了：这个服务的「Startup Type」被设成了 Automatic（Delayed Start），所以开机瞬间的任务管理器看不出来，得等它延迟启动后才现身。 更阴的是它旁边还挂了个计划任务，触发条件是「at logon」+「每隔 30 分钟」，任务名伪装成 Microsoft\Windows\CloudExperienceHost\ 路径下的一个子项，乍一看像系统的。

我手动把这个计划任务 Disable 掉、服务改成 Manual，然后重启蹲了一晚。Process Monitor 日志里 cloudupdater.exe 的启动次数从当晚 5 次变成了 0 次，风扇声音也小了一截。

顺手复盘几个经验点，给同样爱折腾的兄弟：

1. Autoruns 里务必勾选「Hide Microsoft entries」和「Verify code signatures」，不勾的话一堆系统项会把真正要看的淹掉，而且没签名的可疑项一眼就能跳出来。
2. 服务的「Delayed Start」是藏启动项的重灾区，任务管理器看不到不代表没有，得看服务列表的 Startup Type 列。
3. 计划任务名带 Microsoft\Windows\ 前缀的不一定是微软的，要看「Author」列和触发条件，at logon + 高频重复 这种基本可以判定是第三方塞的。
4. 别一上来就删，先 Disable 观察一两晚，确认没影响同步再动手，不然网盘断更或者同步失败更麻烦。

话说回来，你们有没有在 Autoruns 里翻到过更离谱的伪装？我目前见过最骚的是把计划任务伪装成 WindowsUpdate\ 下的一个子目录，触发条件也是 at logon……评论区蹲一个比我还离谱的案例。