現象：掃描報告「已清除」，重開機病毒復活

許多用戶遇過：殺毒軟體報毒、清除成功，重啟後病毒檔案、註冊表鍵值、進程全部回來。根因通常在於 **「病毒在運行中受保護」**、**「系統還原備份」** 兩大機制。本文拆解五大原因並給出標準化解決流程。

五大核心原因

#	原因	機制說明
1	病毒進程正在運行	Windows 檔案鎖定機制保護正在執行的映像檔，殺毒軟體無法刪除/修改。甚至關機時記憶體殘留代碼會重寫磁碟。
2	病毒藏在系統還原區	_RESTORE (WinMe) / System Volume Information (XP/2003/Vista) 受系統保護，一般掃描無法觸及，重啟後還原機制將病毒「還原」回系統區。
3	雙進程互護（Watchdog 機制）	兩個進程互相監控，殺掉一個立即被另一個重啟（如 explorer.exe 注入 + 獨立守護進程）。
4	啟動項殘留（Run/服務/排程/映像劫持）	殺毒只清檔案，未清註冊表/排程/服務/IFEO，重啟自動重生。
5	Rootkit/引導區感染	MBR/VBR 感染、核心層 Rootkit 掛鉤系統調用，用戶態掃描完全看不見。

標準化五步解決流程

步驟 1：殺進程——在 Windows 環境下先斷其生路

• WinXP/2000/2003：Ctrl+Alt+Del → 任務管理器 → 進程頁籤 → 找可疑進程 → 結束程序樹。
• Win98/Me：使用「黑客入門工具箱」或 ATM 等第三方進程檢視器。
• **技巧**：不確定哪個是病毒時，「寧殺錯不放過」——最多死機重來，不會損壞硬體。
• **雙進程互護對策**：先用 Autoruns/Regedit 刪除註冊表啟動項 → **強制斷電重啟**（繞過正常關機寫回磁碟）→ 進入安全模式殺毒。

步驟 2：專殺工具/最新版殺毒軟體全盤掃描

• 確保病毒碼為**當日最新**。
• 若廠商有針對性專殺工具（如瑞星/金山/卡巴斯基常針對熱門病毒發布單檔專殺），優先使用。

步驟 3：關閉系統還原並清理還原區

系統	關閉路徑	清理方式
Win Me	我的電腦→屬性→性能→檔案系統→疑難解答→禁止系統還原	DOS 下刪除 _RESTORE 資料夾
Win XP/2003	控制台→系統→系統還原→在所有磁碟機上關閉系統還原	DOS/WinPE 下刪除 System Volume Information
Vista/7/8/10/11	系統→系統保護→設定→停用系統保護	同 XP，或使用 vssadmin delete shadows /all

步驟 4：DOS/WinPE 環境下純淨掃描（終極手段）

1. 製作殺毒軟體啟動盤/USB（多數廠商提供下載，含最小核心引擎+最新病毒碼）。
2. BIOS 設定 USB/光碟優先啟動。
3. 進入 DOS/WinPE 介面，直接掃描全盤。**此環境下病毒進程無法運行、檔案無鎖定、系統還原無效、Rootkit 多數失效**，清除率最高。
4. 金山毒霸 DOS 版簡化用法：啟動盤進入 DOS → C: → cd kav（或 kav5） → KAVDX 即開始全盤查殺。

步驟 5：修復註冊表與系統設定（善後關鍵）

• 恢復 HKCR\exefile\shell\open\command = "%1" %*
• 恢復 HKLM\...\Winlogon\Shell = explorer.exe
• 清理 Hosts 檔案異常導向。
• 檢查排程任務、服務、IE 設定、Winsock LSP 鏈是否被劫持。
• 執行 sfc /scannow 修復系統檔案。

避坑指南：常見錯誤操作

• ❌ 只在正常模式掃描，不殺進程、不關系統還原。
• ❌ 病毒碼舊版本（超過 3 天未更新）。
• ❌ 發現可疑檔案直接刪除，未備份導致誤刪系統檔案無法開機。
• ❌ 清除後不修復註冊表，導致 EXE 無法執行、IE 無法開啟、網路不通。

結語

病毒「殺不死」本質是 **「清除環境不乾淨」**。掌握 **「殺進程 → 關還原 → 純淨環境掃描 → 修復配置」** 四步法，配合**離線備份**習慣，絕大多數頑固病毒都能徹底清除。若遇 MBR/Rootkit 級頑疾，建議直接備份資料、重灌系統——時間成本最低、乾淨度最高。