设备突然弹出广告、浏览器主页被改、流量持续增加，或应用频繁崩溃时，原因可能是污染软件在后台运行，也可能是正常应用的设置冲突。下面按行为特征整理十大常见类型，并按“先止损、再定位、后恢复”的顺序排查。这里的分类指可疑软件的行为，不代表某个具体应用必然有害；判断时要结合安装来源、权限和实际表现。

十大污染软件及其常见表现

1. 广告弹窗类：反复弹出全屏广告、通知或推广窗口，即使没有主动打开相关应用也会出现。排查时留意异常从何时开始，以及弹窗是否只在打开某个程序后出现；先关闭该程序通知，再检查近期新增应用。
2. 浏览器劫持类：主页、默认搜索服务或新标签页被擅自更改，输入网址后还会跳转。查看浏览器的主页、搜索和扩展设置，移除自己不认识的扩展，并检查是否有应用持续重置这些选项。
3. 捆绑安装类：安装一个工具后，桌面或应用列表里同时多出其他程序。回想异常是否紧随某次安装出现，检查近期新增项目和安装记录；卸载时逐项查看名称，避免误删工作或系统必需组件。
4. 伪装清理或加速类：频繁提示设备“感染”“空间不足”或“性能危险”，并催促立刻安装组件、开放权限或付费。若提示来自陌生程序而非系统设置，先停止点击其按钮，再从应用管理中检查来源与权限。
5. 伪装安全防护类：声称正在保护设备，却阻止其他安全工具运行、持续制造警报，或要求关闭防护功能。检查它是否来自可信渠道、是否有不合理的设备管理权限；遇到持续拦截时，先断开网络并通过系统自带管理功能处理。
6. 隐蔽下载器类：本体看似普通工具，运行后却不断拉取额外程序，带来新的图标、后台任务或弹窗。重点检查近期运行过的安装包和新增应用；不要重复打开可疑安装文件，也不要允许它继续下载。
7. 过度收集数据类：手电筒、壁纸等简单功能应用索取通讯录、麦克风、定位等不相称权限。对照应用功能逐项检查权限，撤销不必要授权；若撤权后功能仍可正常使用，就没有理由保留多余访问能力。
8. 键盘或屏幕监视类：可能伴随陌生辅助服务、输入法或屏幕录制权限，用户还会发现账号出现异常登录。检查有无不认识的输入、辅助功能和录屏应用；出现账户风险时，用另一台可信设备修改重要密码并退出其他会话。
9. 资源占用或挖矿类：设备空闲时风扇仍持续运转、发热明显、耗电或网络流量增加。查看耗电、流量和后台任务统计，比较异常是否与某个应用同时出现；结束该应用后若负载回落，再检查其来源并移除可疑组件。
10. 勒索或自我传播类：文件无法打开、扩展名或图标异常，或陌生文件反复出现在共享目录。立即断开网络及共享连接，避免继续传播或覆盖备份；不要运行可疑附件，也不要把唯一备份接回受影响设备。

按顺序排查，避免误删和反复感染

1. 先控制影响范围：正在大量弹窗、异常传输数据或改写文件时，暂停可疑应用运行；有传播迹象就断开网络和共享连接。不要继续登录网银、邮箱等重要账户，也不要在弹窗里输入密码或支付信息。
2. 从时间线找来源：记录异常首次出现的时间，再回看此前新增的应用、扩展、安装包和权限变更。若主页被改，优先看浏览器扩展与近期安装项；若发热耗电，先对照后台资源占用；若文件异常，则以保护文件为先。
3. 检查权限和启动行为：在设备设置中查看应用列表、通知、辅助服务、后台运行和设备管理权限。把不认识的项目与实际用途对应起来；没有明确用途的高权限应用，应先撤销权限，再通过正常卸载流程移除。
4. 清理后进行复测：重新启动设备，观察弹窗、跳转、耗电和后台流量是否停止；再逐一恢复浏览器设置及必要应用。不要一次性装回所有旧程序，否则异常复现时难以找出来源。

什么时候算恢复

排查结束后，设备应不再自动弹窗或跳转，陌生扩展和应用已移除，异常权限已撤销，后台资源占用回到平时水平，重要文件也能正常打开。若账号出现陌生登录记录，应在可信设备上更改密码并启用额外验证；若文件已被加密或无法读取，保留受影响文件和相关提示，优先使用未连接过受影响设备的备份恢复。

不要把所有卡顿都归为污染软件：存储空间不足、网络波动、系统更新或应用自身故障也会造成相似现象。用“异常开始时间、对应应用、权限变化、卸载后的复测结果”逐项对照，能更快区分原因；清理时只处理有明确异常依据的项目，避免误删正常组件。