高手修復 Windows 7 工作管理器無法開啟：映像劫持 (Image File Execution Options) 註冊表清理法

症狀：工作管理器、登錄編輯器、gpedit.msc 全無法開啟，滑鼠點擊只閃一下無反應。安全模式同樣失效，替換 taskmgr.exe 無用，甚至將 notepad.exe 改名為 taskmgr.exe 也無法執行。這是典型的**映像劫持**攻擊。

原理解析

惡意程式在註冊表 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ 下為目標程式 (taskmgr.exe、regedit.exe 等) 建立子機碼，並設定 Debugger 值指向 ntsd.exe (系統除錯工具)。當嘗試執行目標程式時，系統改啟動 ntsd.exe 導致程式即時終止。

修復步驟 (需管理員權限)

1. Win+R → regedit (若 regedit 也被劫持，嘗試 regedit.com 或安全模式下執行)。
2. 定位 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\。
3. **刪除該機碼下所有子機碼** (或僅刪除可疑項目如 taskmgr.exe、regedit.exe 等)。
4. 關閉登錄編輯器，立即更新病毒碼並全盤掃毒 (建議離線/WinPE 環境掃描)。

驗證與後續

• 重開機後工作管理器、regedit 應正常開啟。
• 檢查啟動項、服務、排程工作是否有殘留惡意項目。
• 啟用 UAC、安裝正版防毒軟體、修補系統漏洞防止再次感染。

關鍵提醒

**映像劫持是惡意軟體持久化常用手法**，清理註冊表只是治標，**必須徹底查殺病毒本體**才能治本。若無法進入系統，請使用 WinPE/光碟啟動離線掃毒或修復註冊表。