現象回顧

瀏覽網頁後 IE 首頁、搜尋引擎被修改為惡意站點。專殺工具修復註冊表後重啟又復發，說明有開機自啟機制持久化。

根因定位

Msconfig 啟動項中發現：

項目名：System
項目值：regedit /s c:/system.reg

c:/system.reg 為註冊表腳本，內容修改 HKCU\Software\Microsoft\Internet Explorer\Main 下的 Start Page、Search Page、Search Bar，並在 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 寫入自身實現循環。

徹底解決

1. Msconfig 取消「System」勾選，或註冊表刪除 HKLM\...\Run 下的 "System" 值。
2. 刪除 C 盤根目錄 System.reg 文件。
3. 重啟驗證 IE 設置不再被篡改。

防範總結

1. 常備防毒軟體與惡意網頁清除工具。
2. 中毒後用 Msconfig 檢查異常啟動項（Win2000 需複製 Msconfig.exe 至 System32）。
3. 搜尋誤入惡意站點時間點創建的文件（C 盤根目錄、Program Files、系統目錄）。