在打造纯净虚拟机（母机）并完成硬件伪装后，最怕的就是 Windows 在后台偷偷下载更新并升级到 22H2 或更高版本。一旦系统大版本升级，底层安全策略收紧，我们之前所有的伪装（如吊销签名的显卡驱动、伪造的 SMBIOS 等）都会瞬间失效。

为了彻底将系统“冻龄”在当前的 21H2 版本，我们需要从 服务、任务计划、组策略、注册表 四个维度，对 Windows Update 实施“物理超度”。

⚠️ 操作前置要求：请确保虚拟机处于断网状态，且以管理员身份进行后续所有操作。

🔒 第一重锁：禁用核心服务与恢复策略

这是最基础的一步，直接切断更新服务的运行。

  1. 按 Win + R 键，输入 services.msc 回车，打开“服务”管理器。

  2. 在列表中找到 Windows Update，双击打开属性。

  3. 将 Startup type（启动类型） 改为 Disabled（禁用）。

  4. 如果 Service status（服务状态） 显示正在运行，点击 Stop（停止）。

  5. 关键操作：切换到顶部的 Recovery（恢复） 选项卡。将 First failure、Second failure、Subsequent failures 全部改为 Take No Action（无操作）。并将 Reset fail count（重置失败计数）改为 9999 天。点击“确定”。
    (注：这能防止系统在服务出错时自动重启更新服务)

🔒 第二重锁：提权禁用计划任务（防止死灰复燃）

Win11 有极强的自我修复能力，必须用最高系统权限（SYSTEM）干掉后台定时任务。

  1. 准备微软官方工具 PsTools（包含 PsExec），解压到虚拟机内（例如 C:\pstools）。

  2. 右键点击 PsExec64.exe -> 属性 -> 勾选底部的 Unblock（解除锁定）。

  3. 以管理员身份打开 PowerShell 或 CMD，进入该目录并执行提权命令：

.\PsExec64.exe -i -s cmd.exe

  1. 在弹出的紫色协议框中点击 Agree。此时会弹出一个全新的、带有 SYSTEM 权限的黑色命令提示符窗口。

  2. 在新窗口中输入 taskschd.msc 并回车，打开任务计划程序。

  3. 依次展开左侧：Task Scheduler Library -> Microsoft -> Windows，找到并进入以下两个文件夹：

    • UpdateOrchestrator

    • WindowsUpdate

  4. 在中间列表里，将这两个文件夹下**所有状态为 Ready（准备就绪）**的任务，全部右键选择 Disable（禁用）（如 Report policies, Schedule Scan, USO_UxBroker, Scheduled Start 等）。

🔒 第三重锁：组策略切断自动更新触发

通过系统策略，让 Windows 认为该设备由组织管理，拒绝自动更新。

  1. 按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器。

  2. 依次展开：Computer Configuration -> Administrative Templates -> Windows Components -> Windows Update -> Manage end user experience。

  3. 在右侧双击 Configure Automatic Updates（配置自动更新）。

  4. 选择 Disabled（已禁用），点击 Apply 和 OK。

🔒 第四重锁：注册表锁死大版本号

这是最底层的防线，即使有漏网之鱼，系统也会因为版本锁定而拒绝大版本升级。

  1. 按 Win + R 输入 regedit 回车，打开注册表编辑器。

  2. 定位到以下路径（如果 Windows 下没有 WindowsUpdate 文件夹，请右键新建一个项）：
    HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate

  3. 在右侧空白处右键 -> 新建 -> DWORD (32-bit) Value，命名为 TargetReleaseVersion，双击将其数值设为 1。

  4. 再次右键 -> 新建 -> String Value（字符串值），命名为 TargetReleaseVersionInfo，双击将其数值设为 21H2。