第一戰場：檔案系統 — 讓病毒從目錄中消失
情境一：獨立目錄型病毒 (較弱)
病毒擁有專屬資料夾 (如 C:\Program Files\EvilSoft\)。查看資料夾建立時間 → 追溯感染時間/來源 → 整個資料夾刪除即可。
情境二：寄生系統目錄型 (中等)
病毒混雜於 C:\Windows\System32 等系統目錄。檢視檔案屬性 (建立時間、大小、版本資訊、數位簽章) → 對照同目錄合法檔案 → 異常者刪除。
情境三：全盤散佈型 (最棘手)
病毒複製至每個資料夾 (如早期 CIH、Funlove)。核心原則：所有副本大小、內容完全一致 (同一母體)。
搜尋策略：
- Windows 搜尋 → 進階選項 → 檔案類型
.exe、大小指定為病毒檔大小 (位元組級精確)。
- 搜尋結果依「建立時間」排序 → 最早建立者即為首發點 (Patient Zero)。
- 全選刪除所有搜尋結果。
- 保留一份樣本：改副檔名為
.dat、RAR 加密打包保存，供後續分析/提交廠商。
警告：勿誤刪合法檔案！核對路徑、簽章、版本資訊。清除完成後暫勿重開機，因登錄檔/記憶體殘留可能重新釋放病毒。
擴充：若病毒非 .exe (如 .com、.scr、.pif、.bat、.vbs)，同樣以「副檔名 + 大小 + 時間」三維搜尋。未來可能出現多態體積變化病毒，屆時需改用關鍵特徵碼/雜湊值比對。
第二戰場：登錄檔與服務 — 對病毒最後陣地發動總攻
1. 服務清查：偽裝成系統服務的木馬
services.msc 或 sc query 列出所有服務。- 重點檢查：無描述/英文描述的服務 (外國病毒作者不懂中文，不會寫中文描述偽裝)。
- 核對服務對應執行檔路徑：若指向非系統目錄、隨機檔名、無數位簽章 → 高度可疑。
- 極惡手法：殺掉合法服務進程 (如
wuauserv)，盜用其服務名/描述/顯示名稱掛載木馬程式。破綻：ImagePath (執行檔路徑) 必不屬於該合法服務。
2. 登錄檔自啟動區掃蕩
核心檢查路徑 (含 HKLM/HKCU)：
Run、RunOnce、RunServices、RunServicesOnceWinlogon\Userinit、Winlogon\ShellPolicies\Explorer\RunWinlogon\NotifyAppInit_DLLsSchedule\TaskCache\Tasks (排程工作)
實戰策略：
- 原則上正常系統啟動不需任何額外 Run 項 (必要程式放啟動資料夾，可見可管)。
- 長期實踐證明：清空所有 Run 類鍵值對系統零負面影響 (關鍵啟動在 Services)。
- 發現可疑值 → 先記錄鍵名/數值/對應檔案 → 搜尋登錄檔所有同名/同路徑項目 → 全部刪除。
- 刪除前必備份：右鍵鍵值 → 匯出 .reg，防誤刪導致系統故障。
3. 掃描結束後驗證
再次檢查進程清單確認無殘留 → 重開機觀察病毒是否復活。
第三類終極對手：進程注入/登錄檔監控自我修復型病毒
特徵
- DLL 注入
explorer.exe、svchost.exe、lsass.exe 等關鍵進程。
- 監控自身登錄檔鍵值，一旦被刪即時重寫 (互保機制)。
- 偵測到安全模式啟動 → 觸發破壞性 payload (罕見但存在)。
唯一有效清除流程
- 製作乾淨 DOS 啟動盤/USB (WinPE/Windows RE)，離線啟動。
- 在離線環境刪除病毒實體檔案 (無檔案鎖定、無進程保護)。
- 掛載系統磁碟登錄檔 (RegEdit → 載入配置單元) 或重開機進 Windows，刪除登錄檔殘留鍵值。
- 為何不直接進安全模式？此類病毒在安全模式下依然透過 Shell/驅動/核心模組載入，甚至主動攻擊導致系統癱瘓，離線環境才是絕對安全的手術室。
總結：清除鐵三角
- 檔案層：大小/時間/雜湊精準定位 → 全盤刪除 → 保留樣本。
- 登錄檔/服務層：系統化掃描啟動點/服務 → 備份 → 刪除惡意項 → 還原正常項。
- 核心層：進程注入/自我修復型 → 離線環境 (PE/DOS) 物理刪除檔案 → 線上修復登錄檔。
工欲善其事，必先利其器：Autoruns、Process Explorer、GMER、WinPE、RegAlyzer 讓上述流程事半功倍。