快捷方式被恶意软件劫持导致跳转广告页，需通过五步解决：一、手动清理目标路径中的非法网址并设置只读；二、重建快捷方式并锁定权限；三、用WMI Tools删除恶意WMI事件过滤器；四、清除WMI残留对象与注册表劫持项；五、启用组策略或注册表禁止快捷方式运行URL。
当您双击Windows桌面或任务栏上的浏览器快捷方式时，却意外跳转至陌生导航页或广告网站，这通常表明快捷方式已被恶意软件利用——其目标路径（Target）字段被非法追加了网址参数，或图标被伪装成系统程序以诱导点击。以下是针对该问题的多种解决路径：
一、手动修正快捷方式目标路径
恶意软件常在快捷方式“目标”字段末尾强行插入网址（如"C:\Program Files\Chrome\chrome.exe" http://jiegen.com），导致每次启动均强制跳转。需清除所有此类附加地址，并防止只读属性阻碍修改。
1、右键点击被劫持的快捷方式，选择“属性”。
2、在“快捷方式”选项卡中，定位“目标”文本框，将英文双引号内的.exe路径之后、所有空格及后续字符全部删除。
3、若“目标”字段呈灰色不可编辑，先切换到“常规”选项卡，取消勾选“只读”，点击“应用”。
4、返回“快捷方式”选项卡完成清理，再次进入“常规”选项卡，重新勾选“只读”以加固防护。
5、点击“确定”保存，重复操作于桌面、开始菜单、任务栏固定项及“所有用户”程序组中的全部同名快捷方式。
二、重建原始快捷方式并锁定权限
直接删除被污染的快捷方式可彻底规避残留参数风险，通过浏览器主程序生成全新快捷方式，再限制其属性防止二次篡改。
1、按下Win + R，输入shell:common programs回车，打开“所有用户”开始菜单程序文件夹。
2、进入浏览器安装目录（例如：C:\Program Files\Microsoft\Edge\Application\），找到主程序文件（如msedge.exe或chrome.exe）。
3、右键点击该.exe文件，选择“发送到”→“桌面快捷方式”。
4、右键新建快捷方式→“属性”→“安全”选项卡→点击“高级”，禁用继承权限，仅保留SYSTEM与当前用户“完全控制”，移除其他账户条目。
5、确认后，在“常规”选项卡勾选“只读”，点击“确定”。
三、使用WMI Tools清除定时篡改脚本
部分劫持行为由WMI持久化脚本驱动，每间隔固定时间（如30分钟）自动运行scrcons.exe等进程，重写快捷方式目标。注册表与启动项查无痕迹，必须定位并删除WMI事件过滤器。
1、下载并以管理员身份运行WMI Tools，安装后启动WMI Event Viewer。
2、点击左上角钢笔图标“Register for Events”，在弹出窗口中输入命名空间root\CIMV2，点击“OK”。
3、左侧展开__EventFilter节点，查找名称含VBScriptLKLive_filter或LiveScript的实例。
4、右键该实例→“View Instance Properties”，在右侧属性列表中定位ScriptText字段。
5、检查ScriptText值是否包含浏览器路径拼接跳转网址的代码段；若确认为恶意脚本，右键该实例→“Delete Instance”。
6、重启系统后验证快捷方式目标是否仍被自动追加网址。
四、扫描并清理WMI残留对象与注册表键值
劫持脚本可能注册多个WMI类与事件消费者，仅删除过滤器不足以根除，需同步清理关联的__FilterToConsumerBinding及ActiveScriptEventConsumer对象。
1、以管理员身份运行PowerShell，执行命令：Get-WmiObject -Namespace root\subscription -Class __FilterToConsumerBinding | Where-Object {$_.Filter -like "*VBScript*"} | Remove-WmiObject。
2、继续执行：Get-WmiObject -Namespace root\subscription -Class ActiveScriptEventConsumer | Where-Object {$_.ScriptText -like "*http*"} | Remove-WmiObject。
3、按Win + R输入regedit，定位路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，右侧查找值数据含浏览器路径+网址的项，右键删除。
4、在注册表编辑器中按Ctrl + F，搜索劫持域名（如hao.360.cn、jiegen.com），对所有匹配结果逐条确认后删除。
五、启用快捷方式执行保护策略
通过组策略或注册表设置，禁止非签名快捷方式加载远程URL参数，从执行层阻断劫持链路。
1、按Win + R输入gpedit.msc（专业版/企业版），依次展开：计算机配置→管理模板→Windows组件→文件资源管理器。
2、双击“防止从快捷方式运行URL”，设为“已启用”。
3、若为家庭版，打开注册表，定位HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Explorer，新建DWORD（32位）值，命名为NoInternetOpen，数值数据设为1。
4、重启资源管理器进程（任务管理器→“Windows资源管理器”→右键“重新启动”）。
5、验证：新建一个含网址参数的快捷方式（如"notepad.exe" https://example.com），双击时应提示“此操作已被组织策略阻止”。
