Win 7 開機黑屏只有滑鼠/輸入法？explorer.exe 掛載點被惡意程式劫持，登錄表一鍵修復

現象：Win 7 正版授權、開機登入正常，**進入桌面前瞬間變黑屏**，僅剩滑鼠游標與右下角輸入法指示器。工作管理器中 explorer.exe 進程存在但桌面不出現。手動「新增工作」執行 explorer 桌面恢復正常。

根因分析

使用 Process Explorer 檢視黑屏時的 explorer.exe 命令列參數：

C:\Windows\explorer.exe /factory,{75dff2b7-6936-4c06-a8bb-676a7b00b24b} -e -mbedding

正常啟動後參數為：

C:\Windows\explorer.exe

差異在於額外的 /factory,{GUID} -e -mbedding 參數，導致 explorer 以嵌入模式啟動而非桌面殼模式。**這是惡意程式修改登錄表 Shell 掛載點造成**。

修復步驟

1. 開啟登錄編輯器 (Win+R → regedit)。
2. 搜尋 C:\Windows\explorer.exe，定位可疑鍵值。
   確定位置：
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
3. 找到 Shell 字串值，內容類似：
   C:\Windows\Explorer.exe C:\Windows\system32\tlntsvi8973.exe
4. **刪除尾部惡意程式路徑** C:\Windows\system32\tlntsvi8973.exe，僅保留 C:\Windows\Explorer.exe。
5. 搜尋 tlntsvi8973.exe 確認無其他殘留鍵值。
6. 將惡意檔案 tlntsvi8973.exe 移至隔離區/刪除。
7. 重新開機，桌面正常載入。

核心教訓

• 黑屏非顯卡驅動、非系統過期、非必須重裝 —— **只是登錄表 Shell 鍵值被掛載惡意程式**。
• 殺毒軟體常查不出此類「映像劫持/Shell 劫持」，需手動檢查登錄表。
• 建立系統還原點、使用標準用戶帳號、安裝軟體留意捆綁程式，可有效預防。