Novarg（又名 MyDoom）是 2004 年初爆發的大規模郵件蠕蟲，具備後門、DDoS、終止防毒進程、竊取郵箱地址群發等功能。本文提供標準化手動清除 SOP，涵蓋進程終止、註冊表持久化清理、殘留鍵值清掃、驗證復原全流程。

第一階段：終止惡意進程

1. 打開任務管理器：
   - Win 95/98/Me：Ctrl+Alt+Del
   - Win NT/2000/XP：Ctrl+Shift+Esc → 「進程」分頁。
2. 查找進程 taskmon.exe（病毒偽裝為系統任務監視器）。
3. 右鍵「結束進程樹」/「結束任務」。
4. 關閉任務管理器，再次打開確認進程不再出現。
   注意： Win 9x 任務管理器可能不顯示該進程，需使用 Process Explorer/PSTools 等第三方進程查看器。

第二階段：清除註冊表自啟動項

1. 運行 regedit 打開註冊表編輯器。
2. 展開並檢查以下兩個鍵：
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
3. 在右側窗格查找並刪除鍵值：
   名稱： TaskMon
   數據： %System%\taskmon.exe
4. 路徑變量對照：
   %System% = C:\Windows\System (95/98/Me) | C:\WINNT\System32 (NT/2000) | C:\Windows\System32 (XP/2003)
5. 若無法終止進程，先重啟系統（進入安全模式最佳），再執行註冊表清理。

第三階段：清除其他惡意註冊表殘留

1. 在註冊表編輯器選單：編輯 → 尋找 (Ctrl+F)。
2. 輸入關鍵字 ComDlg32，點擊「尋找下一個」。
3. 當出現以下鍵值時，刪除整個鍵值（含數據）：
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Version
4. 關閉註冊表編輯器。

第四階段：文件清理與系統驗證

1. 顯示隱藏/系統文件（資料夾選項 → 視圖）。
2. 前往 %System% 目錄，搜索並刪除 taskmon.exe（病毒偽裝文件，正版系統無此文件）。
3. 檢查 %System%\drivers\etc\hosts 是否被修改，恢復默認內容。
4. 重啟系統，正常模式下觀察：
   - 無 taskmon.exe 進程
   - IE 主頁/搜索頁正常
   - 網絡連接正常、CPU 佔用恢復基線
   - 運行更新後殺毒軟體全盤掃描確認乾淨。

第五階段：漏洞修補與免疫

• 安裝 Microsoft 關鍵補丁：MS04-011 (LSASS)、MS04-012 (RPC/DCOM)、MS04-038 (IE 累積)。
• 啟用 Windows 防火牆/第三方防火牆，封鎖非必要入站連接。
• 設置強密碼策略，禁用空密碼帳號。
• 定期備份註冊表關鍵鍵值（Run、RunOnce、Services、Winlogon、Image File Execution Options）建立基線。

結語

Novarg 清除的核心難點在於「偽裝系統進程名 + 多點註冊表持久化 + 併發終止防毒進程」。手動清除必須嚴格遵循「斷網 → 安全模式 → 終止進程 → 刪文件 → 清註冊表 → 修復配置 → 修補漏洞 → 驗證」順序，任何步驟缺失均可能導致復發。企業環境建議將此 SOP 納入應急響應劇本，配合 EDR 自動化執行，將人為誤差降至最低。