流氓軟體（PUA/PUP）隱蔽、捆綁、難移除，已成 Windows 環境最大公害。本文建立「預防→判斷→確診→清除」四階段防護體系，助你從源頭斷根。

第一階段：預防——建立安全上網習慣

• 不進不明網站、不下不明軟體： 駭客常在破解軟體、成人網站、免費影音站植入惡意腳本/捆綁安裝包。
• 安裝軟體必看「自訂/進階安裝」： 取消勾選「安裝 XXX 瀏覽器工具列」、「設為首頁」、「加入開機自啟」等捆綁項。
• 系統安裝完即打補丁： 開啟 Windows Update、啟用自動更新，修補已知漏洞阻斷駭客利用鏈。
• IE/Edge 安全性設定拉高： 網際網路區域 → 自訂層級 → ActiveX 控制項與指令碼全設「停用」或「提示」，犧牲少許相容性換取安全。
• 裝正版殺毒軟體並開啟即時掃描： Windows Defender + 定期更新定義檔已足夠大多數家用場景；企業建議部署 EDR/XDR。

第二階段：判斷——中招典型徵兆

• 瀏覽器首頁、搜尋引擎被強制修改且無法改回。
• 頻繁彈出廣告視窗、偽系統警告、偽更新提示。
• CPU/記憶體/磁碟無故長期高載（工作管理器見大量不知名進程）。
• 系統變慢、瀏覽器崩潰、DLL 遺失錯誤彈窗。
• 右鍵選單、開機自啟、服務出現不明項目。

第三階段：確診——依傳播鏈逐層排查

流氓軟體傳播鏈：臨時目錄落地 → 記憶體執行 → 寫入啟動項 → 複製到系統目錄隱藏 → 刪除安裝檔 → 監聽埠口/劫持瀏覽器。

1. 記憶體/進程端： 用 Process Explorer、Process Hacker、授權版 Process Monitor 看可疑進程（無簽章、路徑在 Temp、名稱隨機、無描述）。
2. 啟動項端： msconfig、taskmgr、Autoruns (Sysinternals) 掃描 Run、RunOnce、服務、排程任務、WMI 事件訂閱等 20+ 類啟動點。
3. 登錄表端： 重點檢查：
   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
4. 檔案系統端： %TEMP%、C:\Windows\Temp、C:\ProgramData、C:\Users\\AppData\Roaming 搜尋近期建立、無簽章、隨機檔名的可執行檔。

第四階段：清除——專業工具優先，手動為輔

首選：專業清除工具（已內含還原系統設定邏輯）：

• Malwarebytes Free（掃描+清除）
• AdwCleaner（專攻廣告軟體/瀏覽器劫持）
• HitmanPro（雲端多引擎掃描）
• Windows Defender 離線掃描（重啟進 WinRE 掃描，根除 Rootkit）

手動清除（僅限專業人員/特殊環境）：

1. 工作管理員/Process Explorer 結束惡意進程樹。
2. Autoruns/登錄表刪除啟動項、服務、排程任務、BHO、ShellExt 等掛鉤點。
3. 檔案總管/命令列刪除惡意實體檔案（含隱藏、系統屬性檔）。
4. 修復被篡改的系統設定（首頁、搜尋引擎、Proxy、DNS、Hosts、防火牆規則）。
5. 重開機驗證，二掃確認乾淨。

企業級防護建議

• 部署應用程式控制（AppLocker/WDAC）只允許簽章受信任程式執行。
• 啟用攻擊面縮減規則（ASR），封鎖 Office 建立子進程、腳本下載執行等高風險行為。
• 端點偵測與回應（EDR）持續監控行為異常，而非單靠特徵碼。