當殺毒軟體失效、無法清除、或誤殺系統文件時，手工清除成為最後防線。本文聚焦病毒木馬最愛棲身的三大區域——註冊表啟動項、系統配置文件、文件系統偽裝，提供標準化排查清單與操作規範。

戰場一：註冊表 —— 惡意代碼的「大本營」

操作前鐵律：regedit → 檔案 → 匯出 → 全部 → 備份為 clean.reg，出錯可雙擊導入還原。

1. 核心啟動鍵值（必查）

2. 瀏覽器劫持鍵值

• HKLM\Software\Microsoft\Internet Explorer\Main：Start Page、Search Page、Local Page 被修改為惡意網址
• HKCU\Software\Microsoft\Internet Explorer\Main：用戶級同類劫持
• 現代瀏覽器：檢查 HKCU\Software\Policies\Microsoft\Edge/Chrome 策略劫持

3. 文件關聯劫持

檢查 HKCR\.\\Shell\Open\Command (如 txtfile、inifile、jpegfile、mp3file)，默認值應為 "%SystemRoot%\system32\NOTEPAD.EXE" %1 等合法程序。任何指向可疑路徑的命令均為劫持。「羅密歐與朱麗葉」病毒曾大量劫持 .jpg/.rar/.mp3 關聯。

4. 全域搜索清除

記住可疑文件名（如 load.exe、svch0st.exe），在註冊表編輯器 Ctrl+F 全域搜索，**所有包含該文件名的鍵值全部刪除**

戰場二：系統配置文件 —— 老派但依然有效的持久化

啟動 msconfig.exe 或直接編輯文件：

1. win.ini (C:\Windows\win.ini)

[Windows]
run=malware.exe          ; 任何非空值即可疑
load=malware.exe         ; 同理
; 正常情況下等號後為空

「GOP 木馬」專用此處掛載。

2. system.ini (C:\Windows\system.ini)

[boot]
shell=explorer.exe malware.exe   ; 正常僅 explorer.exe
; 或
shell=explorer.exe load.exe -dontrunold   ; 尼姆達病毒典型特徵

3. autoexec.bat / config.sys (DOS 兼容層)

檢查是否有調用可疑 .bat/.com/.exe 命令。

4. 計劃任務

taskschd.msc 或 schtasks /query /fo LIST /v 檢查：
- 作者非 Microsoft/知名廠商
- 觸發條件異常（登入時、閒置時、事件觸發）
- 操作指向臨時目錄/下載目錄/非常規路徑

戰場三：文件系統偽裝與隱藏

• 偽裝系統文件名：svch0st.exe (o→0)、explore.exe (少 r)、lsasss.exe (多 s) —— 對比正規拼寫
• 隱藏屬性 + 系統屬性：attrib +s +h +r malware.exe，資源管理器默認不顯示
• 替代數據流 (ADS)：malware.exe:hidden.exe，NTFS 特有，dir /r 或 Streams 工具檢測
• 目錄連接點/符號鏈接：將惡意目錄掛載到合法路徑下
• WMI 存儲庫：root\subscription 中的 EventConsumer/Filter/Binding 存儲惡意腳本

標準化清除流程 (SOP)

1. 斷網隔離：防止數據外洩、下載二階段載荷、C&C 通訊
2. 進入安全模式/WinPE：減少運行中進程干擾、解除文件鎖定
3. 授權工具輔助：
   - Autoruns (Sysinternals)：全啟動項掃描、驗證簽名、跳轉註冊表/文件
   - Process Explorer：查看進程 DLL、句柄、TCP 連接、驗證簽名
   - HiJackThis / FRST：生成詳細系統報告供遠程分析
   - GMER / RootkitRevealer：掃描 Rootkit、SSDT 掛鉤、隱藏對象
4. 按優先級清除：
   ① 註冊表啟動項/IFEO/策略
   ② 計劃任務/服務/WMI 訂閱
   ③ 瀏覽器劫持/文件關聯
   ④ 惡意文件本體 (ADS/偽裝/隱藏)
   ⑤ 重置 Winsock/LSP/防火牆規則/Hosts 文件
5. 驗證清除：重啟 → Autoruns 復查 → 進程列表確認 → 網絡連接正常 → 關鍵功能測試
6. 事後加固：補丁更新、密碼修改、啟用受控資料夾存取、部署應用程式白名單

手工清除考驗的是系統內部機制理解深度與條理清晰的排查邏輯。建議將上述清單製成檢查表，每次應急響應按表操作，不漏項、不誤殺、有痕跡、可複現。