身處無殺毒軟體環境（離線機房、應急搶修、輕量級嵌入式設備），如何憑藉系統內建工具徹底清除病毒木馬？本文提煉「註冊表、系統配置文件、計劃任務、服務、啟動資料夾、瀏覽器劫持」六大核心檢查點，提供標準化手工清除 SOP。

核心原則：順序不可亂

1. 斷網隔離 → 2. 備份註冊表 → 3. 進程終止 → 4. 文件刪除 → 5. 持久化點位清理 → 6. 系統配置修復 → 7. 补丁加固 → 8. 驗證復原

一、 註冊表：病毒木馬最愛的「安樂窩」

操作前必備份： regedit /e backup.reg 或右鍵導出「計算機」整個註冊表。

1. 啟動項三大金鑰

鍵路徑	典型病毒案例
HKLM\Software\Microsoft\Windows\CurrentVersion\Run	愛蟲病毒修改此項
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices	BO2000 木馬修改此項
HKCU\Software\Microsoft\Windows\CurrentVersion\Run	用戶級持久化常用

清除步驟： 記錄可疑值名稱與數據（路徑指向未知 .exe/.bat/.scr/.pif/.com）→ 全域搜索同名文件名 → 刪除所有匹配鍵值 → 刪除實體文件。

2. IE 設置劫持鍵值

檢查 HKLM\Software\Microsoft\Internet Explorer\Main 及 HKCU\Software\Microsoft\Internet Explorer\Main 下：
Start Page、Search Page、Local Page、Default_Page_URL、Default_Search_URL。
若被修改為陌生 URL，恢復默認或用戶自定義值。

3. 文件關聯劫持（極難清除的隱形持久化）

檢查並修復以下鍵值的 (默認) 值：

文件類型	註冊表鍵路徑	正確默認值示例
.ini	HKCR\inifile\shell\open\command	%SystemRoot%\System32\NOTEPAD.EXE %1
.txt	HKCR\txtfile\shell\open\command	%SystemRoot%\System32\NOTEPAD.EXE %1
.jpg	HKCR\jpegfile\shell\open\command	%SystemRoot%\System32\rundll32.exe "%SystemRoot%\System32\shimgvw.dll",ImageView_Fullscreen %1
.mp3	HKCR\WMP11.AssocFile.MP3\shell\open\command	"%ProgramFiles%\Windows Media Player\wmplayer.exe" /prefetch:6 /Open "%1"
.exe	HKCR\exefile\shell\open\command	"%1" %*

經典案例： 「羅密歐與朱麗葉」、BleBla 病毒修改 .jpg/.rar/.mp3 等關聯指向病毒體，導致雙擊圖片/音樂即觸發病毒，極難清除。

二、 系統配置文件：Win9x/Me 時代的遺產，仍在 XP/2003 生效

運行 msconfig (系統配置實用程序) → 啟動分頁，或直接編輯文件：

1. win.ini (C:\Windows\win.ini)

[Windows]
load=          ← 此處可掛載木馬程序路徑
run=           ← 此處可掛載木馬程序路徑

正常情況等號後為空。發現非熟悉路徑 → 記錄文件名 → 刪除文件 → 清空該值。

案例： 攻擊 QQ 的「GOP 木馬」即在此留下痕跡。

2. system.ini (C:\Windows\system.ini)

[boot]
shell=explorer.exe  ← 正常值
shell=explorer.exe malware.exe  ← 病毒在 explorer.exe 後追加自身路徑

若 shell= 後跟隨額外程序名，該程序即為木馬。定位刪除並恢復 shell=explorer.exe。

3. config.sys / autoexec.bat (極少見，但 DOS 型病毒/Rootkit 可能利用)

檢查是否有異常 device=、shell=、啟動命令。

三、 進階持久化點位（必查）

• 計劃任務： at 命令 / 任務計劃程式 (taskschd.msc) / HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\Tasks。
• 服務： services.msc / HKLM\SYSTEM\CurrentControlSet\Services\ 尋找不明服務（描述為空、路徑指向非 System32、啟動類型為自動）。
• WMI 事件訂閱： wmic /namespace:\\root\subscription path __EventFilter get Name,Query / ...EventConsumer / ...FilterToConsumerBinding —— 無文件攻擊最愛。
• 瀏覽器擴展/附加組件： IE BHO、Chrome/Edge/Firefox 擴展、用戶腳本。
• AppInit_DLLs： HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs (需配合 LoadAppInit_DLLs=1)。
• Image File Execution Options (IFEO)： HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<目標程式>\Debugger = 惡意程式。
• Winlogon Notify： HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\。

四、 驗證與免疫

1. 重啟進入正常模式，任務管理器/Process Explorer 確認無可疑進程。
2. Autoruns (Sysinternals) 全掃描，綠色 = 簽名驗證通過，黃色/紅色 = 需人工複核。
3. 運行 sfc /scannow 修復系統文件完整性。
4. 安裝最新累積補丁，啟用防火牆、自動更新。
5. 導出當前註冊表關鍵點位作為新基線，便於下次異變比對。

結語

手工清除病毒木馬不是「大海撈針」，而是「知己知彼、按圖索驥」。掌握註冊表六大啟動鍵、文件關聯劫持點、INI 文件殘留機制、進階持久化技術 (WMI/IFEO/Task/Service)，配合 Process Explorer、Autoruns、Sysmon 等神器，任何頑固惡意代碼都無處遁形。將這套 SOP 文檔化、腳本化、演練化，是每個運維/安全從業者的核心基本功。