⚠️ 免責聲明

手工殺毒屬高風險進階操作**，誤刪系統關鍵檔案/登錄項會導致系統崩潰、無法開機、資料遺失。**強烈建議：

• 先建立**系統還原點**、**完整系統映像備份** (Macrium Reflect, Veeam, Windows 備份)。
• 重要資料**異地/離線備份** (3-2-1 原則)。
• 不確定時**優先使用信譽良好的殺毒軟體** (Windows Defender, Kaspersky, Bitdefender, Malwarebytes, HitmanPro 等) 全盤掃描。
• 本文僅供**技術學習、應急排查、安全研究**參考，操作風險自負。

核心思路：啟動項 → 隱藏屬性 → 病毒主體 → 登錄殘留 → 保護機制 → 驗證

階段一：檢查與清理啟動項 (持久化機制)

1.1 任務管理器 (GUI，最直觀)

• Ctrl+Shift+Esc → 「啟動應用程式」分頁 → 狀態「已啟用」的可疑項目 → 右鍵「停用」。
• 注意：無簽章/發布者不明/路徑怪異 (Temp, AppData, Public, 非 Program Files) 的項目。

1.2 登錄編輯器 (regedit) — 經典啟動位置

逐一檢查以下機碼，右側值資料指向可疑執行檔/腳本者 → 記錄完整路徑 → **匯出備份該機碼** → 刪除值：

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run   (32-bit on 64-bit)
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (預設值: C:\Windows\system32\userinit.exe,)
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (預設值: explorer.exe)
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ (IFEO 劫持)
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\

工具輔助：Autoruns (Sysinternals) — 圖形化列出所有啟動點、驗證簽章、病毒總檢、一鍵停用/刪除/跳轉登錄/檔案位置。**首選工具。**

1.3 計畫工作 (Task Scheduler)

• taskschd.msc → 「工作排程器程式庫」→ 檢查「Microsoft\Windows」以外的自訂任務、觸發條件 (登入、閒置、事件、每日)、動作 (啟動程式/腳本)。
• 命令列：schtasks /query /fo LIST /v 匯出分析。

1.4 服務

• services.msc → 非 Microsoft 服務、啟動類型「自動」、狀態「執行中」、路徑指向可疑檔案 → 停用服務 → 刪除服務鍵值 (註冊表 HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName>) → 刪除檔案。
• 工具：Autoruns → Services 分頁。

階段二：恢復隱藏檔案/資料夾顯示 (對抗病毒隱匿)

病毒常修改登錄/檔案屬性隱藏自身：

2.1 登錄修復 (經典方法)

路徑: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
值: CheckedValue (類型: DWORD)
正確值: 1 (顯示隱藏檔案)
病毒常改為: 0 或字串類型
修復: 刪除錯誤 CheckedValue → 新建 DWORD(32-bit) CheckedValue = 1

2.2 命令列屬性修改 (針對特定檔案/資料夾)

attrib -s -h -r "C:\path\to\file_or_folder" /s /d
# -s 移除系統屬性, -h 移除隱藏, -r 移除唯讀, /s 遞迴子目錄, /d 包含目錄本身
# 例: attrib -s -h -r "C:\autorun.inf" /s /d

2.3 資料夾選項 GUI

控制台 → 檔案總管選項 → 檢視 → 勾選「顯示隱藏的檔案、資料夾及磁碟機」→ 取消勾選「隱藏受保護的作業系統檔案 (建議)」(操作完成後恢復勾選)。

階段三：刪除病毒主體檔案 (核心難點)

病毒主體常為 .exe, .dll, .sys, .bat, .ps1, .vbs, .jar 等，且常**被進程鎖定、權限保護、自我復原**。

3.1 安全模式 / WinRE (Windows Recovery Environment) — 最基本環境

• Win10/11: 設定 → 更新與安全性 → 復原 → 進階啟動 → 立即重新啟動 → 疑難排解 → 進階選項 → 啟動設定 → 重新啟動 → 選 4 或 F4 (安全模式) / 5 或 F5 (帶網路安全模式)。
• WinRE: 同路徑選「命令提示字元」或「系統映像恢復」。
• 安全模式下僅載入核心驅動/服務，多數病毒不啟動，易刪除。

3.2 解除鎖定並刪除的三大招式

1. Rundll32 協助卸載 DLL (舊技巧，仍有效)：

   # 管理員 CMD
   rundll32.exe "C:\Path\To\Virus.dll",Uninstall
   # 或嘗試 DllUnregisterServer, DllInstall 等導出函數
   # 成功後再刪除檔案
   

2. Process Explorer (ProcExp, Sysinternals) 找持有者 → 關閉控制代碼/結束進程 → 刪除：
   • 執行 procexp.exe (以管理員執行) → Ctrl+F → 輸入病毒檔名 (如 virus.dll) → 「搜尋」。
   • 下方面板顯示持有該 DLL 的進程 (PID、路徑、命令列)。
   • 右鍵進程 → 「關閉控制代碼」 (僅釋放該檔案鎖定) 或「終止進程樹」 (徹底結束)。
   • 立即刪除檔案 (Shift+Del)。
3. 檔案解鎖工具 / 重啟後立即刪 / Pending File Rename Operations：
   • 工具：LockHunter, ThisIsMyFile, Unlocker (舊), IObit Unlocker — 右鍵檔案 → 解鎖並刪除。
   • 註冊表 HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations 寫入重啟後刪除指令 (MoveFileEx API)，工具 PendMoves (Sysinternals) 可查看/管理。

3.3 系統檔案/受保護檔案 (TrustedInstaller 擁有者)

• 取得擁有權：右鍵檔案 → 內容 → 安全性 → 進階 → 擁有者「變更」→ 輸入目前使用者/Administrators → 套用。
• 授予完全控制權限 → 刪除。
• 或用 NSudo / TrustedInstaller 權限提升工具 以 SYSTEM/TrustedInstaller 權限執行 CMD/PowerShell 操作。

階段四：清理登錄殘留與殘留項目

• 搜尋關鍵字：regedit → Ctrl+F → 病毒檔名/路徑/關鍵字/CLSID/GUID → 逐一檢查上下文 → 確認無誤 → **匯出備份** → 刪除。
• 常見殘留區：HKLM\SOFTWARE\Classes\CLSID\{...}, HKLM\SOFTWARE\Classes\Interface\{...}, HKLM\SOFTWARE\Classes\TypeLib\{...}, HKCR\...\ShellEx\ContextMenuHandlers\, HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ (偽裝卸載項)。
• 工具：RegScanner (NirSoft) — 快速搜尋、匯出 .reg、跳轉 RegEdit。**冰刃 (IceSword)** — 核心層強制刪除受保護鍵值 (慎用)。

階段五：對抗病毒保護機制 (自我防護、Watchdog、Rootkit、Bootkit)

• Watchdog 進程雙向守護：兩支進程互相監控，殺一支另一支立即重生。→ **同時暫停/終止進程樹** (ProcExp 右鍵「暫停」全選 → 「終止」) 或 **安全模式/WinRE** 下處理。
• Rootkit (核心層隱藏)：檔案/登錄/進程/網路連線在用戶模式不可見。→ **GMER, TDSSKiller (Kaspersky), Malwarebytes Anti-Rootkit (MBAR), Windows Defender Offline (WinRE 掃描), RKHunter (Linux)** 掃描清除。
• Bootkit (MBR/VBR/EFI 感染)：開機前載入。→ **Windows Defender Offline / Kaspersky Rescue Disk / Bitdefender Rescue CD / Ventoy + 多重救援 ISO** 離線掃描修復。
• 驅動程式簽名強制 / DSE (Driver Signature Enforcement)：惡意驅動需簽名或關閉 DSE。→ 開啟 DSE (預設)、啟用 VBS/HVCI、封鎖易受攻擊驅動區塊清單。

階段六：驗證清理成果與事後加固

1. 多引擎掃描**：Windows Defender 全盤掃描 + Malwarebytes Free 掃描 + HitmanPro / ESET Online Scanner / Kaspersky Virus Removal Tool / Trend Micro HouseCall** (雲端多引擎二次確認)。
2. 啟動項/服務/計畫工作/登錄** 再次用 Autoruns 檢查無殘留。
3. 網路連線檢查**：netstat -ano / Get-NetTCPConnection / Resource Monitor (resmon) / TCPView — 確無可疑外連 (C2、異常埠、大量傳輸)。
4. 系統檔案修復**：管理員 PowerShell 執行 sfc /scannow、DISM /Online /Cleanup-Image /RestoreHealth。
5. 修改所有重要帳密** (假設已洩露)、啟用 MFA、檢查郵件轉發規則/授權應用/登入活動。
6. 補洞**：安裝所有安全更新、更新軟體到最新版、移除 EOL 軟體。
7. 建立乾淨還原點/備份** 作為新基準線。

實用工具箱 (官方/開源/免費優先)

類別	工具	用途
啟動項分析	Autoruns (Sysinternals)	全啟動點列表、簽章驗證、VT 檢測、一鍵清理
進程/控制代碼/ DLL	Process Explorer (Sysinternals)	找 DLL/檔案持有者、終止進程樹、查字串/TCP 連線
檔案解鎖刪除	LockHunter / ThisIsMyFile	右鍵解鎖刪除、重啟刪除排程
登錄搜尋/編輯	RegScanner (NirSoft)	快速搜尋、正則、匯出 .reg、跳轉 RegEdit
Rootkit 掃描	GMER, TDSSKiller, MBAR, Windows Defender Offline	核心層隱藏物件偵測清除
離線救援	Ventoy + KRD/Bitdefender/WinDefOff/ESET SysRescue	開機前掃描、修復 Bootkit、MBR 感染
多引擎二次確認	Malwarebytes, HitmanPro, Kaspersky VRT, ESET Online	雲端/行為/啟發式多引擎掃描
系統修復	sfc /scannow, DISM /RestoreHealth	修復系統檔案、元件存儲
網路連線監控	TCPView (Sysinternals), Wireshark, ntopng	即時連線、封包分析、異常流量偵測

結語

手工殺毒是**技術驗證與應急手段**，而非日常防護常態。**現代防護核心 = NGAV/EDR + 自動更新 + 最小權限 + 網路分段 + 3-2-1 備份 + 安全意識**。遇到頑固感染、無法開機、企業級事件響應時，才需動用本手冊技術。平時請讓專業防毒軟體守護您，專注於業務與生活本身。