殺毒軟體非萬能，學會用 HijackThis 掃描登錄表與關鍵檔案系統區，分析日誌找出惡意啟動項、BHO、工具列、右鍵選單劫持，自主清理頑固威脅。

工具取得與基本操作

• 下載 HijackThis (需註冊論壇) → 直接執行 → 忽略警告視窗 → 「掃描系統並存存日誌」。
• 日誌含：執行中進程、BHO (Browser Helper Object)、IE 工具列、啟動項、右鍵選單、額外按鈕等區塊。

日誌分析核心心法

1. 熟知正常進程：smss, csrss, winlogon, services, lsass, svchost, explorer, spoolsv, ctfmon 等系統核心程序，以及常用防毒、輸入法、通訊軟體進程名稱。
2. 關注異常啟動項：O4 - HKLM\Run、HKCU\Run、Global Startup 中不明路徑、隨機檔名、無簽章程式。
3. 檢查 BHO/工具列：O2/O3 區塊，缺檔、不明 CLSID、非主動安裝的工具列 (如廣告攔截偽裝)。
4. 右鍵選單/額外按鈕：O8/O9 區塊，惡意下載器、偽裝搜尋列常駐此處。
5. 缺檔標記：日誌中出現 (file missing) 但註冊值仍在，極可能為惡意殘留或已被防毒隔離但啟動項未清。

實戰範例節錄分析

O2 - BHO: QQIEHelper - {54EBD53A-...} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O3 - Toolbar: 金山毒霸 - {A9BE2902-...} - C:\KAV6\KAIEPlus.DLL
O4 - HKLM\Run: [KAVRUN] C:\KAV6\KAVRUN.EXE
O9 - Extra button: FlashGet - {D6E814A0-...} - C:\PROGRA~1\FLASHGET\flashget.exe

上方為合法軟體 (QQ、金山、FlashGet) 註冊項，若出現不明路徑如 C:\WINDOWS\system32\unknown.exe 應立即檢查。

清理後驗證

• 勾選可疑項 → 「Fix checked」修復 (會備份註冊表)。
• 重開機後再掃一次確認乾淨。
• 搭配 msconfig、autoruns 交叉驗證。

進階建議

• 定期備份乾淨日誌作為基線比對。
• 不確定項目勿刪，上傳線上分析網站 (如 hijackthis.de) 或諮詢專業人員。
• 結合 Sysinternals Autoruns、Process Explorer 更深入分析。

工具只是放大鏡，判斷力來自知識累積與謹慎驗證。