當自動掃描失效：進入手工清除模式

多引擎掃描仍有殘留 → 證明惡意代碼採用 **Rootkit 隱藏、無文件攻擊、合法簽名濫用、輪換 C2** 等高級規避技術，需專家級工具鏈深度溯源。

Sysinternals 核心工具鏈：看見「隱形」的惡意行為

HijackThis：註冊表/文件系統關鍵區域「全景掃描」

• 生成詳細日誌（R0-R3、O1-O23、F0-F2 等 20+ 類別），覆蓋 IE 設置、BHO、Toolbar、啟動項、服務、驅動、Hosts、LSP、卸載鍵等。
• 極度謹慎使用「Fix checked」：日誌中含大量合法項目（如合法 BHO、Toolbar、服務），誤刪導致系統/軟體故障。
• 建議：導出日誌 → 專家分析 / 上傳至 HijackThis 分析網站 / 對照已知良性基線 → 確認惡意項目 → 精準勾選 Fix。

實戰案例：HotOffers 主動劫持徹底清除

1. 定位：SilentRunners 掃描註冊表自啟動區 → `HKLM\...\SharedTaskScheduler\{D56A1203-...}` → `C:\WINDOWS\System32\param32.dll`。
2. 驗證：`strings.exe param32.dll` 發現 "HotOffers" 字串 → 鎖定禍首。
3. 清除障礙：param32.dll 常駐內存無法刪除 → **進入安全模式** 或使用 **KillBox** 「Delete on Reboot」功能鎖定重啟時刪除。
4. 修復殘留：HijackThis 修復剩餘 R0/R1/O1/O2/O3 項（首頁、搜尋頁、BHO、Toolbar）。
5. 驗證：重啟正常模式 → IE 首頁/搜尋恢復用戶設置 → 無彈窗、無異常進程/網連 → 完成。

標準化清除交付物：讓運維/家庭用戶「照單辦事」

將上述步驟固化為 **「間諜軟體清除標準作業程序 (SOP) 文檔」**：

• 適用範圍、前置條件（備份、斷網、安全模式）。
• 工具準備清單（含下載鏈接、哈希驗證）。
• 分步操作指令（含截圖、預期輸出、異常分支處理）。
• 驗證標準（掃描日誌無報毒、關鍵註冊表項恢復、網絡行為基線正常）。
• 回滾方案（系統還原點、映像備份）。

**工具賦能人，流程保證質。** 只有將專家經驗轉化為可執行、可驗證、可傳承的 SOP，才能讓「清除間諜軟體」從「玄學」變成「工程」。