發現病毒後，標準查殺流程可分為**自動掃毒**與**手工深度清除**兩階段。針對隱蔽性強的駭客木馬，手工清除往往不可或缺。本文提供標準化 SOP。

第一階段：自動化查殺

1. 安裝/更新主流殺毒軟體 (Windows Defender、卡巴斯基、ESET、Bitdefender、火綜等) 至最新病毒碼。
2. 執行**全盤深度掃描**，啟用啟發式/雲端查殺/行為監控。
3. 依提示**隔離/刪除/修復**偵測到的威脅。
4. 重開機驗證症狀是否消失。

第二階段：手工深度清除 (針對殘留/Rootkit/無檔案惡意代碼)

前置條件：進入 **帶網路的安全模式** (開機連按 F8 / Win10: 設定→更新與安全性→恢復→進階啟動→重新啟動→疑難排解→進階選項→啟動設定→重新啟動→選 5 或 F5)。
目的：**阻止非必要驅動/服務/啟動項載入**，病毒多無法在安全模式運行，利於手工清除與更新補丁/病毒碼。

步驟 1：顯示隱藏系統檔案

「我的電腦」→ 工具 → 資料夾選項 → 檢視 → **取消勾選「隱藏受保護的作業系統檔案 (建議)」** → 勾選「顯示隱藏的檔案和資料夾」。

步驟 2：清除系統盤可疑檔案

• C:\ 根目錄：依**建立/修改日期** (發病當天) 排序，刪除不認識的檔案 (隨機檔名、無副檔名、雙副檔名)。
• C:\Windows\System32\：同樣依日期排序，**極度謹慎**，僅刪除確認為惡意的檔案 (對照 VirusTotal、檔案簽章、字串分析)。
• C:\Program Files\Internet Explorer\、C:\Program Files\Common Files\：檢查異常新增檔案。

步驟 3：清理啟動項與暫存檔

• 執行 `regedit`，檢查並刪除以下路徑下**不認識的啟動項**：
  `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`
  `HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce`
  `HKCU\Software\Microsoft\Windows\CurrentVersion\Run`
  `HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run`
  `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit` (僅保留 `C:\Windows\system32\userinit.exe,`)
• 清空暫存資料夾：
  `C:\Windows\Temp\`
  `C:\Documents and Settings\<用戶名>\Local Settings\Temp\` (XP/2003)
  `C:\Users\<用戶名>\AppData\Local\Temp\` (Vista/7/8/10/11)

步驟 4：系統修補與二次掃描

1. 安全模式下連網 → **Windows Update 安裝所有關鍵補丁**。
2. **更新殺毒軟體病毒碼** → 再次全盤深度掃描。
3. 啟用防火牆、關閉非必要服務 (Remote Registry, SSDP 等)。

步驟 5：重開機驗證並建立基線

• 正常模式重開機，觀察系統行為、CPU/記憶體/網路/磁碟佔用。
• 匯出乾淨狀態基線：`autoruns.exe` 匯出啟動項、`netstat -anb` 匯出連線、重要檔案雜湊值 (用於未來完整性比對)。

重要提醒：手工清除**風險極高**，誤刪系統檔導致無法開機。無把握者**請直接備份資料重灌系統**，為最快、最徹底、風險最低的方案。