手動新增與刪除 Windows 服務完整指南（下）：刪除惡意服務實戰

Windows 服務基礎觀念

Windows 服務（Windows Service）是作業系統核心元件，在背景執行支援 DNS 用戶端、列印佇列、Windows Update、排程工作、時間同步等關鍵功能。服務無使用者介面，由 services.exe 管理啟動、停止、暫停。惡意軟體常將自己註冊為服務以達到開機自動執行、隱藏行蹤的目的。

識別可疑服務

使用 HijackThis 掃描，非系統服務會以 O23 開頭列出，例如：

O23 - Service: BKMARKS - C:\Windows\SYSTEM32\RUNDLL.EXE
O23 - Service: ewido anti-spyware 4.0 guard - D:\Program Files\ewido\guard.exe
O23 - Service: KSD2Service - C:\Windows\system32\SVCH0ST.exe

注意：rundll32.exe、svchost.exe 為系統合法程式，惡意軟體常偽裝類似名稱（如 SVCH0ST.exe 將 O 改為 0）。

刪除服務的兩種方法

方法一：使用 sc.exe 指令（推薦）

1. 按 Win+R 輸入 cmd 開啟命令提示字元（建議以系統管理員身分執行）。
2. 輸入 sc delete "服務名稱"，例如：
   sc delete KSD2Service
3. 成功會顯示 [SC] DeleteService SUCCESS。

方法二：直接編輯登錄檔（不建議新手）

1. 開啟 regedit，定位至：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
2. 找到與服務名稱相同的子機碼，右鍵刪除。
3. 亦可檢查 HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services。

特殊情況處理

• 服務指向 rundll32.exe（系統檔）：不可刪除該系統檔，僅刪除對應的服務機碼或用 sc delete 移除服務註冊。
• 服務刪除後自動重建：表示有背景程式監控並還原。需先在工作管理員結束相關進程，或進入安全模式（開機按 F8）再進行刪除。

事後清理

刪除服務後，建議掃描完整移除對應的惡意程式檔案（如 guard.exe、SVCH0ST.exe），並檢查啟動項（msconfig）防止殘留啟動點。定期檢視服務清單（services.msc），及時發現異常註冊。

掌握服務管理技巧，能有效清除頑固惡意軟體，維護系統乾淨穩定。