Windows XP 自動登入後立即登出的病毒修復方案

開機自動登入卻閃過桌面隨即登出，安全模式亦同，甚至「最後正確設定」無效。經確認為 WORM_FUNNER.A (MSN Funny 病毒) 損壞 userinit.exe 並竄改登錄鍵值所致。以下提供兩種修復路徑。

病毒機制分析

• 病毒破壞 C:\WINDOWS\system32\userinit.exe。
• 修改註冊表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 下的 Userinit 值，從 C:\WINDOWS\system32\userinit.exe, 改為 C:\WINDOWS\system32\userinit32.exe,。
• 導致系統找不到登入處理程式，載入桌面後立即登出。

方案 A：網路連線正常（遠端修復）

1. 從正常電腦複製 userinit.exe 至患機同目錄。
2. 正常機執行 regedit → 「檔案」→「連接網路登錄表」連接患機註冊表。
3. 檢查並刪除以下異常子機碼（若存在）：
   • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application\Userinit
   • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Eventlog\Application\Userinit
   • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Eventlog\Application\Userinit2
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Application\Userinit
4. 確認 Winlogon 機碼下 Userinit 值正確為 C:\WINDOWS\system32\userinit.exe,（盤符視實際調整）。

方案 B：無法網路連線（安裝光碟修復主控台）

1. 用 XP 安裝光碟開機，進入「修復主控台」（按 R）。
2. 執行：
   copy c:\windows\system32\userinit.exe c:\windows\system32\userinit32.exe
3. 重開機，系統可正常登入（因註冊表指向的 userinit32.exe 現已存在）。
4. 登入後，將註冊表 Winlogon\Userinit 值改回正確路徑。

替代遠端指令法（使用 PsExec）

準備 us.reg 內容如下：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe"

執行：psexec.exe \\患機名 -u 管理員 -p 密碼 cmd /c "regedit /s us.reg"

事後防護

• 安裝防毒軟體並更新病毒碼，全盤掃描清除殘留。
• 避免點擊 MSN/即時通訊軟體的不明連結與檔案。
• 定期備份系統關鍵檔案（如 userinit.exe）與註冊表關鍵分支。