註冊表修復失效深度解析：鎖定註冊表、啟動項後門、IE 擴充元件、Win.ini 掛載、遠端註冊表服務防禦

惡意網頁修改註冊表後，單純匯入 .reg 檔常因「後門機制」導致重開機復原。本文系統性剖析五大失效原因與對策：註冊表被鎖/副檔名關聯破壞（.reg/.vbs/.inf/.exe/.com/.scr 皆可嘗試繞過）、啟動項殘留 regedit -s 匯入惡意機碼、C:\Windows 下偽裝 .vbs/.dll 實為 .reg、win.ini load=/run= 掛載惡意腳本、IE 工具列廣告擴充元件於啟動 IE 時觸發修改。並提供徹底防禦：刪除 CLSID {F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}、IE 安全等級設「提示」並檢視原始碼偵測 Shl.RegWrite、刪除 Java 套件中 ActiveXComponent.class、停用「遠端註冊表服務」、改用非 IE 瀏覽器。

五大失效原因與排查

1. 註冊表被鎖/關聯破壞：嘗試以 .com/.scr 副檔名執行 regedit，或 DOS 下 SCANREG /RESTORE 還原備份
2. 啟動項後門：檢查 HKCU\Software\Microsoft\Windows\CurrentVersion\Run/RunOnce/RunServices/Run-，刪除含 .htm/.html/.vbs 或 regedit -s 的項目
3. 系統目錄偽裝檔案：搜尋 C:\Windows\*.vbs、*.dll（實為 .reg），記事本開啟含註冊表修改碼者刪除或改副檔名
4. win.ini 掛載：檢視 C:\Windows\win.ini load=/run= 應為空，有值則刪除對應檔案
5. IE 擴充元件廣告：HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Extensions 刪除可疑廣告項目

修復前必做：清空 IE 暫存檔

徹底防禦三部曲

1. 刪除 CLSID {F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}（ActiveX 安裝核心）
2. IE → 網際網路選項 → 安全 → 自訂等級 → ActiveX/腳本全設「提示」
3. 控制台 → 管理工具 → 服務 → 遠端註冊表服務 → 停用/禁用