除掉後患：惡意程式碼解決辦法完整指南

面對病毒、木馬、蠕蟲、勒索軟體、Rootkit、挖礦程式等惡意程式碼，單一防毒軟體往往不足。本文建立「預防 → 偵測 → 清除 → 驗證 → 加固」完整應變流程，涵蓋工具選擇、離線掃描、登錄檔/啟動點清理、系統修復、事後加固，助你徹底淨化系統。

第一階段：預防與免疫 (平時部署)

1. 防毒軟體：選擇通過 AV-TEST/AV-Comparatives 認證的產品 (Kaspersky, Bitdefender, ESET, Windows Defender 現代版本)，啟用即時掃描、雲端查證、行為監控、漏洞利用防護。
2. 系統與軟體更新：啟用 Windows Update (含選用更新)、瀏覽器自動更新、Office 自動更新、Adobe/Flash/Java 移除或嚴格限制執行。
3. 應用程式白名單/受控資料夾存取：Windows 10/11 內建「受控資料夾存取」；XP/7 使用 AppLocker (企業版) 或 Software Restriction Policies 限制可執行檔路徑。
4. 瀏覽器強化：uBlock Origin (廣告/追蹤攔截)、HTTPS Everywhere、NoScript (進階)、停用不必要外掛。
5. 帳號權限最小化：日常使用標準使用者帳號，UAC 設為最高 (Vista+)，XP 使用「次要登入」執行管理工作。
6. 備份策略：3-2-1 原則 (3 份副本、2 種媒體、1 份異地)，系統映像 (Macrium Reflect, Veeam) + 重要資料雲端同步。

第二階段：偵測與確認 (發現異常時)

• 症狀：CPU/磁碟/網路不明飆升、不明程序、瀏覽器首頁竄改、彈窗廣告、檔案加密、勒索提示、系統設定被鎖定。
• 線上掃描：ESET Online Scanner、Bitdefender QuickScan、Kaspersky Virus Removal Tool、Microsoft Safety Scanner (無需安裝、最新病毒碼)。
• 離線掃描 (最高信度)：
  　- Windows Defender 離線掃描 (Win 10/11 內建)。
  　- Kaspersky Rescue Disk、Bitdefender Rescue CD、Avira Rescue System：燒錄 USB 開機，載入 Linux 核心掃描 Windows 分割區，繞過 Rootkit/Bootkit 掛鉤。
• 行為分析工具：Process Explorer (Sysinternals) 檢查可疑程序簽名、字串、TCP 連線、DLL 載入；Autoruns 全面掃描啟動點；TCPView 監控網路連線；Procmon 即時監控檔案/登錄檔/網路活動。

第三階段：清除與修復 (確診後)

1. 隔離系統：拔除網路線、停用無線、建立防火牆封鎖規則，防止資料外洩、橫向移動、C2 通訊。
2. 終止惡意程序：Process Explorer / Task Manager / taskkill /f /pid / RKill (自動終止已知惡意程序)。
3. 清除啟動點：Autoruns 刪除 Run、RunOnce、Services、Scheduled Tasks、WMI、Shell Extensions、Browser Helper Objects、Winlogon、AppInit_DLLs 等所有惡意啟動項目。
4. 刪除惡意檔案：顯示隱藏/系統檔案，刪除惡意程式目錄、臨時檔案、下載資料夾可疑檔案。
5. 修復登錄檔：
   　- 恢復 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit = C:\Windows\system32\userinit.exe,
   　- 恢復 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell = explorer.exe
   　- 修復 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr/RegEdit/CommandPrompt = 0
   　- 使用 FixExec、RRT (Registry Repair Tool) 批次修復常見惡意修改。
6. 系統檔案修復：sfc /scannow、DISM /Online /Cleanup-Image /RestoreHealth (Win 8+)。
7. 重設網路/防火牆：netsh winsock reset、netsh int ip reset、netsh advfirewall reset。

第四階段：驗證與加固 (清除後)

1. 二次離線掃描：確保無殘留。
2. 檢查帳號完整性：net user、lusrmgr.msc 確認無不明帳號、管理員群組無異常成員。
3. 修改所有密碼：本機帳號、網域帳號、銀行、郵件、社群、VPN、路由器管理密碼 (假設已外洩)。
4. 啟用/加強預防措施：依第一階段清單逐項落實。
5. 建立乾淨系統基準：製作系統映像備份，未來感染可快速還原。

特殊惡意程式碼處理

總結

惡意程式碼清除是系統性工程，離線掃描 + Autoruns 啟動點全掃 + 登錄檔修復 + 系統檔案修復 + 密碼重設 + 備份還原 才是徹底解決之道。平時落實預防免疫、建立備份基準，才能在遭遇攻擊時從容應對、將損失降至最低。