面對變種頻繁、殺毒軟體被映像劫持失效的「AV 終結者」，本文演示如何用 WinPE 離線環境手工狙殺。核心思路：知己知彼 → 離線環境規避病毒自護 → 手動清除檔案、註冊表、服務、啟動項。

病毒特徵全景掃描

• 隨機檔名落地： C:\Windows、System32、Temp、Program Files、IE 快取等目錄生成 8 位隨機 .exe/.dll 或 6 位 .exe/.inf。
• USB/磁碟感染： 根目錄植入 Autorun.inf (open=病毒.exe)，雙擊/右鍵開啟即觸發，格式化 C 槽後插入備份盤復活。
• 破壞顯示隱藏檔： 註冊表修改導致資料夾選項無法顯示隱藏檔，需用 cmd /c dir /a 查看。
• 註冊表多點自啟動： CLSID、ShellExecuteHooks、Run、服務 wscsvc 等多處寫入。
• 映像劫持殺毒軟體： 劫持 Image File Execution Options 導致主流殺毒/360 無法啟動、閃黑框消失。
• 禁用更新/防火牆： 修改 SharedAccess、wuauserv 啟動類型為 4 (禁用)。
• 破壞安全模式： 刪除 SafeBoot\Minimal 關鍵鍵值。
• 下載推廣軟體牟利、關閉安全相關網頁、注入 Explorer.exe 繞過防火牆、雙進程互護、控制目錄恢復模式下自動重建註冊表。

實戰清理步驟 (WinPE 環境)

1. 製作/啟動「老毛桃」WinPE (光碟/USB/虛擬光碟)，進入類 Win98 微型系統，病毒不會自動運行。
2. 掛載系統盤，顯示隱藏/系統檔案。
3. 刪除各目錄下隨機病毒檔案 (*.exe, *.dll, *.inf)。
4. 刪除各分區根目錄 Autorun.inf。
5. 載入離線註冊表 (reg load HKLM\OfflineSys C:\Windows\System32\config\system)，清理上述所有自啟動鍵值、映像劫持項、服務啟動類型、SafeBoot 修復。
6. 卸載離線註冊表，重啟進入正常系統。
7. 輔助專殺工具掃描殘留感染型 .exe 檔案。

核心心得

離線環境是手工清理高隱蔽病毒的關鍵——繞過映像劫持、進程保護、註冊表自愈。WinPE 輕量、易攜帶、支援 NTFS 讀寫，是每個進階用戶必備的急救盤。