单纯打开钓鱼网页本身只是临时会话，关闭页面就会消失；真正形成持久化，是钓鱼页面诱导下载恶意载荷、利用浏览器扩展、通知权限、代理劫持，再落地到系统注册表、计划任务、启动项、服务、伪装快捷方式等点位，重启后依然自动运行、持续回连 C2 服务器，很多人只清理浏览器缓存，忽略系统层持久化点，导致清理完很快再次弹窗、跳转钓鱼页面，处置时要先隔离断网、取证，再按浏览器持久化点位、系统持久化点位依次排查清除，最后重置账号密码、核验安全基线，才能彻底消除驻留风险。
一、钓鱼网站两类持久化机理总览
| 分类 | 核心原理 | 典型特征 |
|---|---|---|
| 浏览器侧轻持久化 | 不落地 exe，仅修改浏览器配置、权限、扩展、代理，属于劫持类 | 反复跳转钓鱼、弹窗通知、主页搜索引擎被篡改 |
| 系统侧深度持久化 | 诱导用户下载运行恶意程序，写入系统自启动点位，具备独立进程、C2 通信 | 开机自动运行、后台偷传数据、远控、录屏、窃取凭证 |
二、浏览器侧持久化机理与点位
- 恶意扩展注入：钓鱼页面引导安装非官方扩展，扩展脚本常驻后台，劫持跳转、拦截表单、窃取 Cookie，扩展配置保存在用户目录，清除缓存无法删除
- 网站通知权限劫持：钓鱼站点申请通知权限，后台持续推送钓鱼弹窗，域名写入浏览器通知白名单
- 代理 / VPN 配置篡改：脚本修改系统或浏览器代理，所有流量经过恶意代理，自动跳转钓鱼页面
- 首页、启动页、搜索引擎托管劫持：通过组策略、注册表锁定浏览器配置，普通重置会被自动恢复
- 本地存储与 Service Worker：SW 后台离线脚本，关闭浏览器后仍可触发请求，缓存钓鱼页面资源
三、Windows 系统侧持久化机理与点位（深度驻留）
- 注册表自启动：HKCU、HKLM 下 Run、RunOnce、Userinit、Load、IFEO 映像劫持，登录时自动拉起恶意程序
- 计划任务：伪装成 Edge 更新、系统维护任务，周期性触发载荷，很多设置 1–5 分钟循环执行，隐蔽性极强
- 启动文件夹：用户启动目录、公共启动目录放入 lnk 快捷方式或恶意脚本
- Windows 服务、驱动：注册为系统服务，随系统内核启动，权限更高，常规杀毒很难清除
- 伪装 LNK 快捷方式：图标伪装成 PDF、文档，目标参数调用 mshta、powershell、rundll32 执行远程钓鱼载荷
- DLL 侧加载、进程注入：注入 explorer、浏览器进程，无独立 exe，任务管理器不易识别
- 安全软件排除项：写入 Defender 排除路径，避免被查杀，持续驻留终端
四、macOS 侧持久化点位补充
- LaunchAgents、LaunchDaemons plist 配置文件
- 设备管理描述文件（MDM 配置），强制下发代理、主页策略
- Safari 扩展、通知权限、网络代理配置
五、标准化终端清除路径（Windows 为主）
步骤 1：应急隔离与取证（优先执行）
- 断开终端内网、互联网，防止继续上传账号凭证、接收 C2 指令
- 导出浏览器历史、下载记录、进程列表、网络连接、计划任务，留存 IOC（域名、IP、哈希）
- 不要直接双击可疑文件，禁止登录网银、办公、社交账号
步骤 2：浏览器侧清除路径
- 移除陌生扩展：Chrome/Edge：chrome://extensions；Firefox：about:addons，删除非本人安装扩展
- 清理通知权限：浏览器设置→网站设置→通知，删除所有钓鱼域名
- 重置浏览器配置：Chrome/Edge：设置→重置设置；Firefox：刷新 Firefox；Safari 还原默认
- 清除 Service Worker、缓存、Cookie：清除全部时间范围浏览数据
- 检查代理：系统网络代理，关闭未知 HTTP/HTTPS/SOCKS 代理、陌生 VPN
- 检查是否被企业策略托管：如果提示 “由管理员管理”，需要清理对应注册表 / 描述文件
步骤 3：系统持久化点位逐条清除路径
- 任务管理器：结束陌生进程、无签名 powershell、mshta、rundll32 异常进程；关闭可疑父进程
- 计划任务：任务计划程序库，删除伪装更新、不知名周期性任务（重点 EdgeUpdate、随机命名任务）
- 注册表清理：regedit，检查 Run、RunOnce、Userinit、IFEO，删除未知键值；操作前备份注册表
- 启动文件夹：%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup、公共启动目录，删除可疑 lnk、脚本
- 服务：services.msc，停止并删除无描述、路径异常的服务
- 检索可疑文件：AppData\Local、Roaming、Public\Downloads 目录，删除近期来自钓鱼网站的 exe、dll、hta、js、lnk
- 安全软件扫描：Windows Defender 全盘扫描，移除恶意排除项
步骤 4：复核与善后
- 重启终端，观察是否再次自动跳转钓鱼页面、弹出通知
- 所有被该终端登录的账号，在其他干净设备修改密码，开启二次验证
- 网关、EDR、防火墙添加 IOC 拦截规则，排查同网段其他终端
六、常见踩坑清单
- 只清浏览器缓存，不处理扩展、代理、计划任务，劫持会反复复发
- 映像劫持、计划任务伪装成系统更新，很容易被当成正常系统任务放过
- Service Worker 和通知权限独立于缓存，清除缓存不会自动取消通知授权
- 进程注入型恶意载荷，看不到独立 exe，仅靠任务管理器很难发现
- 感染后不修改密码，就算清理干净，账号已经泄露，攻击者依然可以登录
【相关 FAQ】
问题 1：钓鱼网站持久化机理与终端清除路径中，单纯访问钓鱼网页会不会自动形成持久化？
回答 1：钓鱼网站持久化机理与终端清除路径中，单纯打开网页、不下载执行文件，一般只有浏览器轻持久化（通知、SW、代理）；只有诱导下载并运行恶意程序，才会写入注册表、计划任务，实现系统深度持久化。
问题 2：钓鱼网站持久化机理与终端清除路径中，清理完浏览器依然自动跳钓鱼网站，一般是什么原因？
回答 2：钓鱼网站持久化机理与终端清除路径中，大概率是系统侧持久化点位没有清理干净，存在计划任务、注册表自启动、代理劫持、注入进程，每次开机自动修改浏览器配置，仅重置浏览器无法根治。
问题 3：钓鱼网站持久化机理与终端清除路径中，计划任务为什么是钓鱼恶意载荷高频持久化点位？
回答 3：钓鱼网站持久化机理与终端清除路径中，计划任务可以设置周期触发、伪装成浏览器更新等系统任务，隐藏性强，即便恶意进程被结束，到时间会自动重新拉起载荷，维持和 C2 的通信。
问题 4：钓鱼网站持久化机理与终端清除路径中，macOS 终端被钓鱼劫持，主要排查哪些持久化位置？
回答 4：钓鱼网站持久化机理与终端清除路径中，macOS 重点排查 Safari 扩展、通知权限、网络代理、LaunchAgents/LaunchDaemons 的 plist 文件、陌生 MDM 设备描述文件。
【参考资料】
[2026-08-28]（银狐木马钓鱼攻击处置指引，持久化点位与终端排查方案）国家互联网应急中心
[2026-09-29]（甲蚁团伙计划任务伪装、Defender 排除项持久化分析）国家互联网应急中心
[2026-05-22]（钓鱼网站传播、落地远控、C2 回连攻击链分析）国家互联网应急中心
[2026-09-21]（LNK 快捷方式 + mshta 执行钓鱼载荷持久化技术分析）the0n3 安全博客
[2026-10-13]（浏览器劫持、扩展、代理劫持清除实操指南）MalwareTips 安全社区
【免责声明】
本文钓鱼网站持久化机理、终端清除路径仅作为安全排查处置参考，不构成应急处置唯一标准；高危害远控、rootkit 类恶意样本，普通手动清理无法彻底清除，建议使用专业 EDR 或重装系统；手动修改注册表、删除计划任务存在系统异常风险，操作前务必做好备份，由具备安全运维能力人员执行。