Win7 工作管理器無法開啟、註冊表失效：映像劫持病毒修復教學

症狀描述

• 點選工作管理器（Ctrl+Shift+Esc 或 Ctrl+Alt+Del）滑鼠閃一下無反應。
• regedit、gpedit.msc 設定啟用工作管理器無效。
• 複製新 taskmgr.exe 到 system32/dllcache 無效。
• 安全模式同樣無法開啟。
• Windows 7 光碟修復安裝無效。
• 關鍵線索：將任意正常 .exe 改名為 taskmgr.exe 同樣無法執行；改回其他名稱即可執行。此為典型「映像劫持」特徵。

原理分析

惡意程式在登錄檔 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ 下建立 taskmgr.exe 子機碼，設定 Debugger 值指向 ntsd.exe（Windows 內建除錯器）。啟動 taskmgr.exe 時，系統改啟動 ntsd.exe 附加除錯，導致程式即終止。

修復步驟

1. 執行 regedit 開啟登錄檔編輯器。
2. 定位至：
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
3. 展開該機碼，刪除所有子機碼（或僅刪除可疑程式對應的子機碼，如 taskmgr.exe、regedit.exe 等）。
4. 關閉登錄檔編輯器。
5. 下載最新防毒軟體完整掃描清除殘留惡意程式。
6. 重新開機驗證工作管理器、註冊表編輯器是否正常開啟。

補充說明

• Image File Execution Options 原為開發者除錯用途，被惡意程式濫用進行映像劫持。
• 同樣手法可劫持 regedit.exe、cmd.exe、svchost.exe 等關鍵系統程式。
• 修復後務必全盤掃毒，否則惡意程式可能重建機碼。
• 建議平時啟用 UAC、使用標準使用者帳號、安裝可靠防毒軟體即時防護。