階段一：鎖定病毒本體檔案
- 獨立目錄病毒： 查看資料夾建立時間，推測感染時間與來源，直接刪除整個資料夾。
- 藏身系統目錄： 檢視檔案屬性 (建立/修改時間、數位簽章) 判斷異常。
- 全盤散佈複製體： 善用「搜尋」→「進階」→ 指定副檔名 (EXE/COM/SCR) + 檔案大小，依建立時間排序，最早者通常為母體。
原則： 全部刪除前，保留一份母體樣本 (改副檔名 .dat + RAR 壓縮) 供後續分析或送毒碼廠。
階段二：登錄表總攻擊
- 服務清查：
services.msc 檢視無描述、路徑指向可疑檔案的服務。中文版 Windows 優勢：國外病毒作者鮮用中文描述偽裝。
- 啟動項清理：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 及 RunOnce、RunServices 等分支。建議原則：系統啟動不自動跑任何使用者程式，需求項放「啟動」資料夾。
- 關鍵字全盤搜尋： 將病毒可能檔名、路徑關鍵字在登錄表全文搜尋，逐一刪除匹配項。**操作前必先匯出備份 (.reg)。**
階段三：最可怕的對手 — 記憶體駐留 + 登錄表自我修復型
- 此類病毒掛鉤登錄表 API，偵測到鍵值被刪即刻重寫。
- 對策：乾淨 DOS 開機碟/USB 啟動 → 刪除病毒實體檔 → 進入 Windows → 清理登錄表殘留。
- 安全模式不一定有效：極少數惡性病毒偵測到安全模式會發動破壞性攻擊 (藍屏、加密硬碟)。
實戰口訣
先斷網、後備份、再殺毒、最後修復註冊表、重開機驗證。