如何清理恶意下载文件，关键是先停止运行和传播，再进行安全扫描、隔离删除，最后检查是否已经安装了恶意程序。只下载但没有打开的文件，通常直接隔离并删除即可；如果文件已经运行、安装，或设备出现弹窗、卡顿、浏览器被篡改等异常，就不能只清空“下载”文件夹，还要检查应用、启动项、浏览器扩展和账户安全。

先判断文件是否真的可疑

不要双击打开可疑文件，也不要为了“确认它是什么”而再次运行。打开文件管理器或资源管理器，进入浏览器默认的下载目录，按修改时间排序，重点查看最近下载、来源不明或自己没有主动获取的项目。

• 伪装成安装包、破解工具、激活工具、外挂或播放器的文件。
• 文件名包含“免费”“高速”“破解器”等诱导性词语，但来源和用途说不清楚。
• 扩展名为 .exe、.msi、.scr、.bat、.cmd、.js、.vbs、.ps1、.lnk 等可执行或脚本文件。
• 看似是文档、图片或压缩包，实际出现双重扩展名，例如文件名末尾仍是可执行格式。
• 下载后立即出现安全警告、浏览器主页变化、陌生弹窗或电脑明显变慢。

文件扩展名本身不能单独证明恶意。即使是压缩包、文档或图片，也可能包含脚本、宏或伪装程序。判断不清时，应将文件当作可疑对象处理，不要用办公软件、解压工具或播放器主动打开。

只下载、没有运行的文件怎么清理

1. 暂时停止继续下载。关闭触发下载的网页或弹窗，不要点击页面上的“修复”“立即清理”按钮，也不要安装网页推荐的安全工具。
2. 先扫描再删除。使用系统自带的安全防护功能，对单个文件、所在文件夹执行扫描；如果设备支持完整扫描，也可以在不影响工作的时间运行完整扫描。
3. 将文件隔离或删除。安全软件提示风险后，优先选择隔离或删除，不要选择“允许”“恢复”或加入排除项。
4. 清空回收站。普通删除只是把文件移入回收站，清空后才不会继续被误打开。
5. 清理浏览器下载记录。下载记录只是列表，不等于文件本身。必须确认实际文件已经被删除，不能只点击下载列表中的“移除记录”。

如果安全软件把文件判定为风险，但你认为可能是误报，不要立即恢复并运行。可以先记录文件名称和来源，再通过软件本身的检测说明或可信的官方渠道确认；在没有确认前，保持隔离状态更安全。

文件已经打开或安装，清理步骤要增加哪些内容

如果你曾经双击运行过文件、输入过管理员密码，或点击过安装向导，说明风险可能已经从“一个文件”扩大到“已安装程序”。这时应按以下顺序处理：

1. 断开网络并停止可疑进程

如果出现持续弹窗、陌生程序自动启动、文件被批量改名，或者怀疑正在上传数据，可以先关闭无线网络和网线，暂时避免继续通信。不要反复点击可疑窗口，也不要按照弹窗要求安装远程控制工具。对企业设备，应尽快通知管理员，不要擅自格式化或删除日志。

2. 检查已安装应用

打开系统的应用或程序管理界面，按安装时间查看最近新增项目。卸载自己不认识、与刚才下载文件同时出现、或名称刻意模仿系统组件的程序。卸载时如果要求关闭浏览器或重启，先保存正常工作内容，再按系统提示操作。

不要为了省事，直接删除系统目录中的文件夹。恶意程序可能使用正常名称伪装，单凭名称删除系统文件可能造成新的故障。对无法卸载的程序，可先使用系统安全模式或安全软件的离线扫描功能处理。

3. 检查启动项和计划任务

如果电脑每次开机都会出现异常，打开系统的启动应用管理页面，查看最近新增或来源不明的启动项。陌生项目不要随意启用；可以先禁用并观察，再结合安全扫描结果卸载。熟悉系统管理的用户还应检查是否出现不认识的计划任务，但不要删除名称不明的系统任务，无法判断时交由专业人员处理。

4. 检查浏览器扩展和设置

查看浏览器扩展、主页、默认搜索服务、通知权限和代理设置。删除自己没有安装的扩展，撤销陌生网站的通知权限，将主页和搜索设置恢复为可信配置。若浏览器仍持续跳转或弹窗，可先备份必要书签，再使用浏览器的重置功能。

不同情况的处理重点

电脑和手机分别怎么清理

Windows 电脑

先在“下载”文件夹和桌面查找可疑文件，再使用系统安全中心对文件或设备执行扫描。完成后检查最近安装的应用、启动应用、浏览器扩展和系统通知权限。系统临时文件可以通过系统提供的存储清理功能处理，不要为了“彻底清理”而手动删除不认识的系统目录。

macOS 电脑

检查“下载”文件夹、应用程序列表、浏览器扩展和登录项。对可疑文件使用系统或已安装的可信安全工具扫描，删除不认识的应用后，再查看是否有异常登录项、浏览器配置或持续弹窗。要求输入管理员密码的陌生安装程序尤其需要谨慎。

Android 手机

在文件管理器的下载目录中删除可疑安装包，并在应用管理中卸载最近安装且不认识的应用。随后检查该应用是否获得了无障碍服务、设备管理、悬浮窗、通知读取或安装未知应用等权限；发现异常时先关闭权限，再卸载应用。运行系统自带的安全检查，不要安装来路不明的“手机加速”或“病毒清理”应用。

iPhone 或 iPad

检查最近安装的应用、浏览器下载内容、日历订阅和设备管理描述文件。删除不认识的应用或配置项目，并检查是否出现陌生的日历提醒、代理或网络配置。若设备属于单位管理，删除配置前应先联系管理员。

文件删不掉或异常反复出现怎么办

文件正在被程序占用、拥有特殊权限，或已经有后台组件运行时，普通删除可能失败。不要使用来路不明的强制删除工具，也不要关闭所有安全防护后反复尝试。可以先重启到系统安全模式，再运行完整或离线扫描；必要时使用可信的系统恢复方式。若文件在每次重启后重新出现，重点排查启动项、计划任务、服务、浏览器扩展和最近安装的应用。

如果设备出现勒索提示、文件被批量加密、陌生账户登录、银行卡或邮箱异常，先断网并停止操作，不要继续支付、下载所谓解密程序或覆盖原文件。保留提示画面和受影响文件，使用另一台干净设备修改重要账户密码、退出其他登录会话并开启多因素验证；涉及支付账户、企业数据或工作电脑时，应立即联系银行、平台客服或单位技术人员。

清理完成后还要确认三件事

• 重新启动设备后，弹窗、自动跳转、异常进程和陌生应用是否不再出现。
• 安全软件的扫描结果是否正常，浏览器主页、扩展、通知和代理设置是否恢复。
• 最近使用过的邮箱、社交账号、网银或办公账号是否有异常登录；如果恶意文件曾经运行，优先在干净设备上更改密码。

以后下载软件时，尽量从软件开发者或设备系统提供的可信渠道获取，不要使用破解包、捆绑安装包和弹窗推荐的“紧急修复工具”。安装过程中选择自定义选项，留意额外软件和浏览器修改项；同时保持系统、浏览器和安全防护功能更新，可以明显降低恶意下载文件再次造成影响的风险。