Windows 7 工作管理員無法開啟？映像劫持病毒特徵與登錄檔清除法

現象：taskmgr.exe 無法執行，改名即可執行

經典映像劫持（Image File Execution Options，IFEO）病毒特徵：
• taskmgr.exe 點擊無反應/閃退
• 將 taskmgr.exe 改名為 abc.exe 即可正常執行
• 將 notepad.exe 改名為 taskmgr.exe 同樣無法執行
• 安全模式同樣發作、替換檔案無效、系統修復無效

原理：IFEO 註冊鍵值劫持

病毒在登錄檔建立：
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\Debugger = ntsd.exe
導致啟動 taskmgr.exe 時實際執行 ntsd.exe（系統除錯器），參數錯誤即終止。

解決方案：清除 IFEO 註冊鍵

1. Win+R → regedit
2. 定位：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
3. 展開該機碼，刪除所有子機碼（正常系統此處應為空）
4. 重開機 → 立即執行完整掃毒（建議離線掃毒/PE 環境掃毒）

驗證清除效果

CMD 執行 taskmgr 正常開啟工作管理員即代表清除成功。

防範建議

• 安裝正版防毒軟體並開啟即時防護
• 不執行不明來源 .exe/.scr/.bat 檔案
• 定期檢查 IFEO 機碼（正常應為空）
• 重要資料定期離線備份

結語

映像劫持是經典惡意軟體技術，針對工作管理員、登錄編輯器、命令提示字元等系統工具。識別特徵「改名即可執行」，清除 IFEO 機碼即可恢復，核心在於後續徹底掃毒防止復發。