npf.sys 病毒徹底清除：停用服務、刪除檔案、淨化註冊表三步驟恢復網路暢通

npf.sys 病毒透過 ARP 欺騙、偽造 MAC 位址洪流封包，導致區域網路嚴重阻塞、甚至藍畫面。清除步驟如下：

症狀確認

• 網路極慢、斷續、遊戲頻繁掉線重連。
• 工作管理員/Process Explorer 見到 npf.sys 驅動載入、NPF 服務執行中。
• 防火牆/流量監控發現大量 ARP 廣播封包來源為本機。

清除流程

1. 停用並刪除服務：
   sc stop NPF
sc delete NPF
2. 刪除驅動檔案：
   del /f /a %windir%\system32\drivers\npf.sys
3. 淨化註冊表 (需管理員權限)：
   刪除以下機碼 (右鍵→權限→Everyone 完全控制後再刪)：

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NPF
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_NPF
   

4. 重開機驗證：網路恢復正常、無 NPF 服務、無 npf.sys 載入。

預防與根除

• 完整掃毒 (Windows Defender 離線 / 救援碟)，清除下載器/木馬本體。
• 修補 ARP 欺騙弱點：
  - 靜態綁定 IP-MAC (路由器/交換器 ARP 檢測/防護)。
  - 啟用 Windows 防火牆「封鎖輸入 ARP」規則 (進階)。
  - 使用 AntiARP、ARP 防火牆 等專用工具。
• 勿下載/執行來源不明「外掛/外掛載入器/破解補丁」，此類為主要傳播管道。

原理補充

npf.sys 原為 WinPcap 封包擷取驅動合法檔案，病毒竄改並註冊為 NPF 服務自啟，利用 PacketSendPacket 發送偽造 ARP 回應，污染區網 ARP 快取，導致流量誤導、截取遊戲帳號密碼。

徹底清除服務/驅動/註冊表三位一體，配合 ARP 防護，網路才能真正乾淨。