現象：病毒互護、啟動項刪不掉、專殺工具失效

任務管理器關閉進程秒重啟、註冊表啟動項刪除後自動復原、安全模式同樣中毒、無第二作業系統離線掃毒。

核心原理：ftype 修改檔案關聯

Windows 依註冊表 HKCR\exefile\shell\open\command 決定 .exe 執行方式。將預設值 "%1" %* 改為 notepad.exe %1，所有 .exe 雙擊/自啟/排程/服務啟動均改為以記事本開啟，惡意代碼無法載入 CPU 執行，瞬間「凍結」病毒活動。

完整操作流程

1. Win+R → cmd → ftype exefile=notepad.exe %1
2. 重啟電腦 → 大量記事本彈出 (病毒、輸入法、服務程式…)。
3. 任意記事本 → 「檔案 → 另存為」→ 可見完整路徑與檔名，記錄可疑檔案位置。
4. 右鍵任意檔案 → 「開啟方式」→ 「瀏覽」→ C:\Windows\System32\cmd.exe → 獲得命令列。
5. ftype exefile="%1" %* 還原 .exe 執行關聯。
6. 立即啟動殺毒全盤掃描 / 手動清理啟動項 / 刪除惡意檔 (建議先重命名觀察一段時間再刪)。

ftype 指令速查

• ftype — 顯示所有關聯。
• ftype exefile — 查看 .exe 當前關聯。
• ftype exefile="%1" %* — 還原預設 (直接執行)。
• ftype exefile=notepad.exe %1 — 改為記事本開啟。
• %1 代表程式本身，%* 代表傳遞給程式的所有參數。

適用與風險

✅ 適用：病毒互護、無安全模式/WinPE 環境、需快速奪回控制權。
⚠️ 風險：系統服務/第三方服務啟動失敗、可能導致藍屏/服務損壞，**必須在可接受維護窗口執行並預先備份註冊表**。企業環境請改用 AppLocker/WDAC 白名單機制從根源阻擋未授權程式執行。