事件回顧

公用電腦中毒：IE 首頁/搜尋被導向 www.**ok9.net。手動修復註冊表後重開機又復發。

根因：啟動項執行惡意 .reg 腳本

msconfig 啟動項發現兩可疑鍵值：

預設鍵值：regedit -s c:\windows\win.dll
鍵值名 win：regedit -s c:\windows\win.dll

win.dll 實為文本格式註冊表腳本 (偽裝 DLL 副檔名)，內容為將惡意網址寫入 IE 相關鍵值，並自我複製啟動項，形成「開機自動還原竄改」閉環。

反制絕招：劫持腳本「以毒攻毒」

修改 c:\windows\win.dll 內容為「修復腳本」：

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
@=""

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"win"=-

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"=""
"First Home Page"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Start Page"=""
"First Home Page"=""

存檔後執行 regedit -s c:\windows\win.dll，重開機 — 所有惡意修改瞬間全數還原。保留此檔，未來再遇同類病毒，雙擊即可一鍵修復。

思路轉化：惡意腳本能自動破壞，同樣能自動修復，關鍵在於掌握啟動鏈入口。