某公用電腦接入互聯網後感染惡意網頁病毒：IE 首頁被強制修改為 **ok9.net，搜索引擎同被劫持。手動修改註冊表後重啟卻又復發，說明病毒在啟動過程中植入了「自動恢復機制」。本文記錄如何反向利用該機制，將病毒的注冊表腳本改寫為「修復腳本」，實現一鍵還原。

排查過程：發現隱藏的啟動項與偽裝 DLL

1. msconfig 排查啟動項： 在「啟動」分頁發現兩條可疑項——一項為預設名稱，另一項名為 win，命令均為 regedit -s c:\windows\win.dll。
2. 分析命令含義： regedit -s 表示靜默導入註冊表腳本（.reg 格式），但後綴為 .dll，顯然是偽裝。
3. 用記事本打開 win.dll： 確為文本格式的註冊表腳本，包含修改 IE 首頁、搜索頁、Run 鍵值等惡意操作。

反制思路：劫持病毒的「自動恢復」機制

既然病毒每次啟動都通過 regedit -s win.dll 重寫惡意鍵值，那就替換腳本內容，讓它改寫為正確值。

修復腳本內容（保存為 c:\windows\win.dll 覆蓋原文件）

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
@=""

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"win"=-

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"=""
"First Home Page"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"=""
"First Home Page"=""

rcx

關鍵點說明：

• @="" 清空 HKCU\Run 默認值（病毒常用的無名鍵值）。
• "win"=- 刪除 HKLM\Run 下名為 win 的啟動項（即病毒自身啟動項）。
• 將 IE 主頁與搜索頁鍵值設為空字串，重啟後 IE 將恢復默認空白頁或用戶自定義頁面。
• 末尾 rcx 無實際作用，僅作標記。

驗證與後續維護

1. 以管理員身份執行 regedit -s c:\windows\win.dll 手動觸發一次修復。
2. 重啟電腦，確認 IE 首頁、搜索頁恢復正常，任務管理器無異常進程。
3. 妥善保存該 win.dll 修復腳本，若同類病毒再次入侵，只需重新執行即可快速恢復。
4. 同步補丁：修復 IE 漏洞（如 MS04-013、MS04-038），升級殺毒軟體病毒庫，防止再次感染。

舉一反三：通用「註冊表腳本免疫」思路

1. 發現惡意軟體通過啟動項調用 regedit -s script.reg 形式持久化時，均可嘗試替換腳本內容為「刪除惡意鍵值 + 恢復正常鍵值」。
2. 將修復腳本部署為「登入腳本」（組策略：用戶配置 → Windows 設置 → 腳本 → 登入），實現每次登入自動免疫。
3. 結合 RegMon/Process Monitor 監控註冊表寫入，快速定位惡意腳本來源。

結語

面對利用註冊表腳本實現「重啟自愈」的頑固病毒，不必陷入「手動刪除 → 重啟 → 復發」的死循環。掌握 regedit -s 靜默導入機制，反向定製修復腳本，將病毒的持久化機制轉化為「自動免疫」觸發器，是低成本、高效率的實戰技巧。配合系統補丁、殺毒軟體、最小權限原則，可顯著提升終端抗幹擾能力。