註冊表：惡意程式持久化的核心戰場

病毒、木馬、後門、駭客程式感染系統的共同特徵：在註冊表寫入自啟動、劫持、破壞等鍵值。透過修改/刪除關鍵註冊表項，可有效中斷其運作鏈。以下為實戰整理的 14 項防禦操作：

清理痕跡與行為阻斷

1. 清除「網路鄰居」存取歷史：刪除 HKEY_CURRENT_USER\Network\Recent 下所有子鍵。
2. 取消登入自動撥號：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Network\RealModeNet → autologon 改為 01 00 00 00 00。
3. 取消登入選擇使用者：HKEY_LOCAL_MACHINE\Network\Logon → UserProfiles = 0。
4. 隱藏上次登入使用者名稱：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Winlogon → 新增字串 DontDisplayLastUserName = 1。

針對性清除知名惡意程式啟動項

以下鍵值位於 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 或 Run，發現即刪除：

惡意程式	鍵值名稱	備註
Acid Battery v1.0	Explorer	偽裝為 Explorer
YAI 木馬	Batterieanzeige	德語「電池指示器」
Eclipse 2000	bybt、cksys	需刪除兩值並重開機
BO2000 (Back Orifice)	umgr32.exe	經典遠端控制木馬
愛蟲病毒	MSKernel32	位於 Run 鍵
BackDoor	Notepad	偽裝記事本
KeyboardGhost	KG.EXE	並刪除 KG.exe、kg.dat 檔案
NetSpy 駭客程式	NetSpy	位於 Run 鍵

系統層面防護設定

• 預防 WinNuke 攻擊：HKLM\SYSTEM\CurrentControlSet\Services\VxD\MSTCP → 新增/修改 BSDUrgent = 0。
• 禁用 IE「網際網路選項」：將 C:\Windows\System\inetcpl.cpl 改名為 inetcpl.old（需謹慎，影響系統功能）。

操作原則

• 修改註冊表前務必匯出備份。
• 定期稽核 Run、RunOnce、RunServices、RunServicesOnce 等自啟動區域。
• 部署 HIPS/註冊表監控工具即時攔截異常寫入。