新主机点亮，第一次打开浏览器，首页不是空白页，而是一个塞满链接的陌生导航站。你以为是系统默认，改回来，重启又变回去了。多数人这时会开始翻自己装过什么软件。11 月 12 日火绒安全实验室的一份溯源报告给了另一个答案：可能你什么都没装，篡改在装机那一环就写进镜像了。小红书
火绒查到的是什么
起点是一条用户反馈：电脑刚装好系统，浏览器主页被改成陌生导航站，还多了一个叫"We2新标签页"的推广扩展。火绒往下追，源头不是用户自行安装的任何软件，而是装机环节用的"系统总裁"SC封装工具——一款面向装机商与系统维护人员、用来批量封装 Windows 的工具。知乎
几个细节值得单独说。
和你勾了什么无关。 即便封装界面一个附加组件都不勾，普通封装方式仍会释放劫持组件，且不提供任何关闭或卸载选项。知乎
它会让篡改看起来合法。 该模块能探测并篡改 Chrome、Edge、360、QQ、搜狗、夸克等 10 款主流浏览器，还会针对浏览器自带的主页防篡改校验机制重新计算校验值。手法不是改一个设置项，而是拿整套预制模板覆盖浏览器的用户配置目录，再把目录标成隐藏加系统属性，普通文件管理器里根本看不见。知乎
换个下载站躲不开。 第三方下载站拿到的旧版本，更新后主程序与官网样本完全一致。知乎
也不是新毛病。 2021 年就有公开反馈，工具版本迭代多次，这类行为延续至今。报告里唯一干净的是"防流氓/大客户封装方式"的产物；火绒安全产品目前已能拦截查杀。知乎
为什么这事儿落在装机的人头上
整机电商的常规流程是：装硬盘之前先做系统，用硬盘拷贝机把同一个镜像批量克隆到每块盘上，从而大幅提升装机效率。一个镜像出去，背后可能是成百上千台机器，这类工具在装机环节被批量使用，累积影响的用户规模不容忽视。所以命中的不是"手贱下了流氓软件的人"，而是在网店买整机、找装机店装系统、或者用了别人递过来那份镜像的人——你每一步都没做错。知乎知乎
靠捆绑推广变现的装机工具也不止这一家：有人随手用了大白菜 PE，装完系统桌面铺满七八个浏览器和杀毒全家桶、主页被锁死，也有人用老毛桃装完系统，被自动安排上 WPS、爱奇艺和各种弹窗全家桶。知乎小红书
新机器到手，先翻这几个地方
扩展列表。 地址栏敲 chrome://extensions 或 edge://extensions，看有没有你不认识的扩展，"We2新标签页"就是典型，有就移除。
启动项。 Ctrl+Shift+Esc 开任务管理器切到"启动应用"，留意 ScTasks.exe、ScDeploy.exe 这类叫不出名字的项；再 Win+R 输 shell:startup 看启动文件夹。
被藏起来的目录。 资源管理器里勾上"显示隐藏的项目"、取消"隐藏受保护的操作系统文件"，再去 %LOCALAPPDATA% 下浏览器的 User DataDefaultExtensions 看有没有多出来的文件夹。
快捷方式尾巴。 右键浏览器图标→属性→“目标"一栏，正常应该以 msedge.exe” 或 chrome.exe" 的双引号结尾，后面粘了一串网址就删掉——这是另一类更常见的主页劫持，顺手一起清。小红书
已经中了怎么办
移除扩展、禁掉启动项、用安全软件全盘查杀，把主页改回来重启一次。又变回去，说明还有驻留的东西没清干净。最彻底的办法是备份资料、用微软官方镜像重装。刚买的整机还在七天内，截图和聊天记录留好，直接找渠道。
装之前多问一句
自己装，镜像只从微软官网拿；PE 工具选口碑干净的——就算用的是原版镜像，U 盘启动制作工具不纯净，一样会在安装系统时做手脚，最常见的就是偷偷给你装上全家桶。买整机或找装机店，问清系统是不是官方原版镜像、有没有预装推广，把回答留在聊天记录里；验收时先别急着登账号，把上面那几处翻完再说。知乎
硬件参数你愿意一项项对，系统这一层反倒最容易被跳过。它不跑分、不发热，可它是你每天开机看到的第一眼。
