典型狀：D 盤雙擊無法打開（彈出「打開方式」）、根目錄反復生成 autorun.inf + command.com、任務管理器出現**兩個 lsass.exe**（一個 SYSTEM、一個當前用戶——後者為木馬）、大量註冊表鍵值被篡改。

清除前準備

• 資料夾選項：取消勾選「隱藏受保護的作業系統文件」「隱藏已知擴展名」；勾選「顯示所有文件和文件夾」。

步驟一：強制結束偽裝進程

1. 任務管理器 → 進程 → 選單「查看 → 選擇列」→ 勾選「PID」。
2. 記錄用戶名非 SYSTEM 的 lsass.exe PID（如 1064）。
3. CMD 執行：ntsd -c q -p 1064（需安裝 Debugging Tools 或系統自帶 ntsd）。
4. 若進程復活，說明有持久化機制，續執行後續步驟。

步驟二：刪除病毒文件（典型路徑）

C:\Program Files\Common Files\INTEXPLORE.pif
C:\Program Files\Internet Explorer\INTEXPLORE.com
C:\WINDOWS\EXERT.exe
C:\WINDOWS\IO.SYS.BAK
C:\WINDOWS\LSASS.exe
C:\WINDOWS\Debug\DebugProgram.exe
C:\WINDOWS\system32\dxdiag.com
C:\WINDOWS\system32\MSCONFIG.COM
C:\WINDOWS\system32\regedit.com
D:\autorun.inf & command.com (各分區根目錄)

步驟三：註冊表淨化

1. 將 C:\WINDOWS\regedit.exe 重命名為 regedit.com 並運行（繞過木馬攔截 .exe）。
2. 刪除啟動項、服務項、文件關聯、Image File Execution Options (IFEO) 劫持等惡意鍵值（文中列舉完整路徑）。

步驟四：修復系統文件關聯

重置 .exe、.com、.bat 等關聯至正常處理程序；檢查 HKCR\exefile\shell\open\command 默認值為 "%1" %*。

清除後全盤掃描、修補漏洞、修改密碼、監控異常，防二次感染。