電腦變慢、首頁被改、不明程式自動啟動？可能是間諜軟體/廣告軟體駐留。免費工具 HijackThis 配合線上日誌分析器，能幫助一般使用者深度掃描啟動項、BHO、服務、LSP、登錄表等關鍵區域，並給出保留/修復建議。本文提供 10 步驟標準作業程序 (SOP)，從備份、掃描、分析、清除到驗證，手把手教學。

工具準備

• HijackThis (Trend Micro 開源，MajorGeeks/BleepingComputer 下載) — 掃描產生日誌。
• 日誌分析器：Help2Go Detective (圖形化、中文友善) 或 HijackThis Analysis (網頁版) — 自動標記惡意/可疑/未知項目。
• 備份工具：Windows 系統還原點 (Win10/11: sysdm.cpl → 系統保護 → 建立) 或完整映像備份 (Macrium Reflect/Veeam)。

10 步驟清除 SOP

1. 環境乾淨化：關閉所有非必要程式 (瀏覽器、下載工具、雲端同步、防毒軟體即時掃描暫停) → 以系統管理員身分執行 HijackThis。
2. 建立還原點：開始 → 搜尋「建立還原點」 → 建立 (命名如 Pre_HJT_20240615)。若無系統保護，執行完整備份。
3. 執行掃描並儲存日誌：HijackThis 主視窗 → Do a system scan and save a logfile → 日誌預設存 My Documents，建議改名含時間戳 hijackthis-20240615-1430.log 避免被覆蓋。
4. 初步人工掃視：結果視窗每列左側有核取方塊，先勿勾選修復。觀察可疑項：無檔案路徑、隨機檔名、無簽章、指向 Temp/AppData、不明 Publisher、O2/O3/O4/O17/O20/O23 類別項目。
5. 匯入日誌分析器：開啟 Help2Go Detective → File → Open Log 選擇剛產生的 .log → 分析器自動標記：
   • 🟢 綠色/綠勾 = 正常/可保留
   • 🟡 黃色/問號 = 可疑/需人工判斷 (可能為使用者主動安裝工具)
   • 🔴 紅色/叉叉 = 惡意/必須修復 (已知間諜軟體、劫持項、惡意服務)
6. 處理可疑/未知項目 (人工複核)：
   • 右鍵項目 → Info on selected item... 顯示詳細說明 (檔案路徑、註冊表鍵值、屬於哪個程式)。
   • 以檔案名/路徑/CLSID 在 Google/VirusTotal/ProcessLibrary 搜尋。
   • 99% 情況 2 分鐘內可判斷；DLL/驅動程式需交叉比對多個來源。
   • 若為刻意安裝工具 (如虛擬光碟、鍵盤宏) → 標記保留；其餘標記修復。
7. 執行修復：回到 HijackThis 結果視窗 → 勾選所有紅色/經人工確認的黃色項目 → 按 Fix checked → 確認備份 (會自動建立 backup-日期時間.reg) → 完成。
8. 重開機驗證：觀察開機速度、啟動項、瀏覽器首頁、彈窗廣告是否消失。若系統異常 (藍畫面、服務無法啟動) → 進入安全模式 → 執行還原點或還原 backup-.reg。
9. 二次掃描確認：重新執行步驟 3~4，產生新日誌 hijackthis-20240615-1500.log，確認惡意項已清除、無新增異常項 → 保存作為基準線。
10. 後續維護：建議每 2~3 週執行一次完整流程；配合 Malwarebytes/Defender 完整掃描、瀏覽器擴充功能稽核、啟動項定期檢視 (Autoruns)。

常見 HijackThis 項目類別速查

進階替代方案

• Autoruns (Sysinternals)：比 HijackThis 更完整、更頻繁更新、支援驗證簽章 (Verified Publisher)、可匯出 CSV 分析 — 現代首選工具。
• Process Hacker / Process Explorer：即時進程/執行緒/模組/網路/控制代碼檢視，發現隱藏/注入模組。
• EDR/防毒軟體離線掃描：針對 Rootkit/無檔案惡意碼，HijackThis 可見度有限。

HijackThis 是認識 Windows 啟動架構與惡意軟體持久化技術的最佳入門教具。掌握「掃描 → 分析 → 人工判斷 → 修復 → 驗證」閉環流程，您就能從「聽天由命」轉變為「掌控端點衛生」。記住：工具只是放大鏡，判斷力才是核心。