计划任务创建事件（4698）

4698 记录任务创建及其动作内容：可疑任务会写明要执行的命令与触发频率，是持久化排查的重点事件。

用途	定位自动化持久化
关联	4699 删除 / 4700 启用 / 4702 更新

筛查思路

1) 4698 拉出任务名与创建者
2) 看 Task Content 里的 Command 与 Arguments
3) 对照 schtasks /query /fo LIST /v 核实当前状态

任务动作指向临时目录或编码命令时优先深挖。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌