ctfmonexe成功解决办法

上周三凌晨两点，功解我盯着屏幕上那个叫`ctfmonexe`的决办进程，CPU占用率死死钉在100%，功解风扇声音像要起飞。决办这不是功解我第一次遇到它，但每次它出现的决办方式都差不多——你刚打开某个破解工具或者游戏辅助，它就在后台悄悄跑起来了，功解然后系统开始卡，决办鼠标一顿一顿的功解，任务管理器里还杀不掉，决办提示“拒绝访问”。功解

我试过直接右键结束进程，决办没用。功解用`taskkill /f /im ctfmon.exe`，决办命令行返回“错误: 无法终止进程”。功解进安全模式删文件，重启后它又回来了。网上搜到的答案清一色让你“关闭计划任务”“删除注册表项”，但具体删哪个、怎么删，要么语焉不详，要么抄来抄去。我自己踩了三天坑，最后靠组合拳搞定了。下面是我实际操作的步骤，不保证对所有变种有效，但至少对我遇到的这个版本管用。

先搞清楚它为什么杀不掉。`ctfmonexe`不是系统自带的`ctfmon.exe`（那个是输入法相关进程，正常路径在`C:\Windows\System32`）。这个多了一个`e`，通常藏在`C:\Users\你的用户名\AppData\Roaming\`下面某个随机命名的文件夹里，比如`Microsoft\Windows\Start Menu\Programs\Startup`或者`Temp`目录。它用了两个手段保命：一是把自己注册成计划任务，每五分钟检查一次是否在运行；二是通过`Image File Execution Options`劫持了任务管理器的结束进程请求。

我的做法是分三步。第一步，断网。不是开玩笑，这东西会从远程拉配置更新，你删了它可能马上重新下载。拔网线或者禁用网卡，然后重启进安全模式（开机按F8，或者设置里选“高级启动”）。安全模式下它不会自动启动。

第二步，找源头。打开注册表编辑器，定位到`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options`，看下面有没有一个叫`ctfmonexe.exe`的子项。有的话直接删掉整个子项。然后去`HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run`和`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run`，把里面指向`ctfmonexe`的字符串值删掉。别手软，删错了顶多某个软件开机不启动，不影响系统。

第三步，清计划任务。运行`taskschd.msc`，在任务计划程序库里找名字带`ctfmonexe`或者最近创建的可疑任务。我遇到的那个叫`Microsoft\Windows\UpdateOrchestrator\ctfmonexe`，伪装成系统更新。右键删除，如果提示权限不够，先右键属性→安全→高级→更改所有者，把所有者改成你的账户，再赋予完全控制权限，然后删。

做完这些，重启回正常模式。别急着高兴，去`C:\Windows\System32\drivers\etc`下面看看hosts文件有没有被改，有些变种会屏蔽杀毒软件域名。再全盘搜一下`ctfmonexe`，把残留文件删干净。我最后在`AppData\Local\Temp`里找到一个`ctfmonexe.tmp`，删掉后重启，任务管理器终于干净了。

整个过程最烦的是权限问题。Windows默认不允许你删系统保护的文件，哪怕它根本不是系统文件。我的经验是，用`takeown /f 文件路径`和`icacls 文件路径 /grant 你的用户名:F`这两条命令先夺权，再删。命令行比图形界面靠谱，因为图形界面有时候会卡死。

另外说一句，如果你是从某个下载站弄来的“绿色版”软件，大概率是捆绑的。下次装之前用沙盘跑一遍，或者直接扔虚拟机里。我现在看到`ctfmonexe`就条件反射先断网，已经成了肌肉记忆。