網路時代病毒無所不在，中毒幾乎不可避免。關鍵在於快速確診、精準清除、建立防護體系。本文結合多年實戰經驗，提供從症狀判斷、深度診斷、手工殺毒到長效防護的完整 SOP。

一、中毒典型徵兆

• 系統極度緩慢、CPU/記憶體長期高佔用
• 無法上網、殺毒軟體無法更新、Word 文件打不開
• 開機異常、硬碟分區消失、資料莫名遺失
• 瀏覽器首頁被鎖定、彈窗廣告狂跳、桌面多出垃圾捷徑

二、四步深度診斷法

1. 任務管理器排查異常進程

Ctrl+Shift+Esc 開啟任務管理器 → 「進程」頁籤 → 記錄不認識的進程名稱（需經驗判斷）→ 「效能」頁籤確認 CPU/記憶體佔用。CPU 長期 95%+ 或記憶體異常高佔，中毒機率 95%。

2. 服務項檢查隱藏後門

控制台 → 管理工具 → 服務，查看「已啟動/自動」服務。正常服務通常有描述；若發現可執行檔路徑指向 C:\WINNT\system32\explored.exe（正確為 explorer.exe）等異常名稱，即為中毒。另一特徵：控制台圖標全擠左側、右側空白、滾動條垂直置中 → 特徵病毒 winhlpp32.exe 作祟。

3. 登錄檔啟動項清查

執行 regedit 或 msconfig（XP），重點檢查：

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• RunOnce、RunServices 等分支

右側數值若指向不明路徑、亂碼檔名，多為病毒啟動項。

4. 系統關鍵目錄與 Hosts 檢查

• 取消隱藏屬性，查看 C:\Windows\System32、Tasks、wins、drivers 資料夾，排序查找近期建立的可執行檔。
• C:\Windows\System32\drivers\etc\hosts 正常僅 700 bytes 左右，若超過 1 KB 且包含大量域名導向 127.0.0.1，即被竄改 → 導致殺毒官網無法訪問、更新失敗。

三、標準化手工殺毒 9 步驟

1. 刪除登錄檔非法啟動項，並全域搜尋同鍵值徹底清除。
2. 清除偽裝服務：HKLM\System\ControlSet001\Services 及 ControlSet002 中尋找異常服務鍵值刪除。
3. 停用可疑服務：將啟動類型改為「停用」。
4. 修復 Hosts：僅保留 127.0.0.1 localhost，其餘刪除 → 設為「唯讀」。
5. 進入「帶網路的安全模式」（F8）：阻止病毒載入，利用網路更新系統補丁與病毒碼。
6. 手動搜刪病毒本體：依診斷記錄的檔名路徑刪除。
7. 安裝系統補丁、更新殺毒軟體病毒碼。
8. 關閉非必要服務（如 Remote Registry）。
9. 全盤深度掃毒 → 重開機驗證。

四、長效防護建議：立體防御體系

針對中大型網路環境，建議部署：

• 網關層：外部防火牆 + 病毒網關（如 Panda GateDefender）
• 核心層：路由器 + 應用伺服器區 + 專用病毒掃描伺服器
• 內網層：內部防火牆 + 內網殺毒伺服器 + 全客戶端受管殺毒軟體

核心觀念：防範遠勝於查殺。建立「不信任預設、最小權限、持續監控」的安全文化，才是根本之道。