用Process Monitor蹲了一晚，才发现免费看图软件偷偷在后台建了三个计划任务

昨晚本来想早点睡，结果手贱点开一个号称「无广告、纯绿色」的免费看图软件，装完总觉得风扇转得比以前勤，得，又熬到三点。

先说结论：这货装的时候默认勾了「参加用户体验计划」（我眼瞎没看见），装完就在后台偷偷建了三个计划任务，名字还起得挺正经，叫什么「UpdateCheck」「Telemetry」，还有一个直接是一串乱码。

我是怎么发现的：

1. 先拿 Process Monitor 挂上过滤条件，进程名填那看图软件的 exe，蹲了大概四十分钟。好家伙，每半小时准时去读一次 %AppData% 下面一个隐藏文件夹里的 log，读完还往一个 IP 发 POST，那 IP 查了下是某云厂商的，不是它官网域名。
2. 然后翻任务计划程序库，果然在根目录下看到三个任务，触发器全是「登录时」加「每 30 分钟重复」，操作指向它安装目录里的一个 updater.exe。
3. 最关键的一步：右键看「作者」和「操作」里的命令行参数，其中一条带了 -silent 和 -collect，这不就是明摆着闷声收集么。

处理办法也简单，但我较真了一下：先把三个计划任务导出一份 XML 备份（万一哪天要跟客服对线），然后禁用，再进安装目录把 updater.exe 改名成 .bak。重启后又蹲了半小时，Process Monitor 里干净了，风扇也不嚎了。

补充个细节：这软件在「设置」里有个「加入用户体验改进计划」的开关，我一开始以为关了就行，结果关掉只停了它主程序的遥测，计划任务里的那个 -collect 参数照跑不误。所以光点开关没用，得去任务计划程序里手动掐。

另外提醒一句，别一看「绿色版」就放心，很多绿色版就是把安装包解压了重新打包，计划任务照样给你留着。我现在的习惯是装完任何免费软件，先开任务计划程序扫一眼根目录，再看一眼 services.msc 里有没有新冒出来的自启服务，两分钟的事，能省一晚上折腾。

最后抛个问题：你们平时装完新软件，会专门去翻任务计划程序吗？还是只看看启动项就完事了？有没有那种藏得更深的，连计划任务里都不留名的，求个排查思路。