遭遇病毒/木馬入侵時，冷靜依循標準流程可最大程度減少損失並保留取證證據。本文提供經實戰驗證的六階段人工查殺 SOP。

階段 1：隔離與環境準備

1. 進入安全模式（開機連按 F8），限制惡意程式載入。
2. 物理斷網（拔網線/停用網卡），阻斷 C&C 通訊與橫向擴散。
3. 資料夾選項 →「顯示隱藏檔案/資料夾」、「取消隱藏受保護作業系統檔案」。
4. 關閉系統還原（所有磁碟），釋放被感染的還原點空間。

階段 2：啟動項全面清查

檢查下列所有啟動載入點，記錄並移除可疑項目：

• 登錄機碼：
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run / RunOnce / RunServices
  • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run / RunOnce
• 系統配置檔：
  • win.ini：[windows] run= / load=
  • system.ini：[boot] shell=explorer.exe [malware.exe]、[386Enh] / [drivers] / [drivers32] driver=
• 啟動資料夾：開始功能表 → 程式集 → 啟動（對應 HKCU\...\Explorer\Shell Folders\Startup）。
• 其他： winstart.bat、autoexec.bat、config.sys、wininit.ini、排程工作、服務 (services.msc)、WMI 事件訂閱、瀏覽器擴充功能、Shell 延遲載入。

階段 3：程序終止與檔案刪除

1. 開啟工作管理員 / Process Explorer / Process Hacker，識別異常進程（無簽章、路徑異常、高 CPU/網路、名稱模仿系統程式）。
2. 終止惡意進程樹。若無法終止，使用 taskkill /f /pid PID 或第三方工具（如 PCHunter、IceSword）。
3. 在安全模式/WinPE 下刪除惡意檔案（含替代資料流 ADS）。資源管理器刪除可能觸發自我復原，建議命令列 del /f /a 或專用清理工具。

階段 4：登錄修復與持久化清除

1. 重啟回正常模式（仍斷網）。
2. 搜尋並刪除所有殘留登錄鍵值（特別是啟動項、服務、映像劫持、檔案關聯、Shell 延遲載入）。
3. 修復被修改的系統預設值（如 HKLM\...\Winlogon\Shell = explorer.exe）。

階段 5：系統完整性驗證

• sfc /scannow 修復系統檔案。
• DISM /Online /Cleanup-Image /RestoreHealth 修復元件存放區。
• 檢查關鍵系統服務啟動類型（WinDefend、wuauserv、BFE、MpsSvc 等）。

階段 6：事後複盤與加固

• 分析入侵向量（釣魚郵件、漏洞利用、供應鏈攻擊、弱口令等）。
• 修補對應漏洞、更新防毒特徵碼、調整防火牆規則。
• 變更所有可能洩露的帳號密碼，啟用 MFA。
• 完成事件報告：時間線、影響範圍、根因、改善措施。

核心原則：先殺進程、再刪檔案、最後修復登錄。全程保持斷網、記錄操作、保留樣本提交廠商分析。若系統核心組件被 Rootkit 感染，重灌仍是最省時可靠的選擇。