從掃描到分析到清除：HijackThis + 分析工具完整工作流
間諜軟體/廣告軟體感染後，關鍵在於精準識別註冊表、檔案系統、記憶體中的惡意項目。本文提供標準化 10 步驟流程，結合 HijackThis 掃描與線上/離線分析工具，實現科學化清除。
標準化清除流程 10 步驟
第一階段：環境準備與基線建立
- 預先清理： 執行防毒/反間諜軟體完整掃描，清除已知威脅。建議掃描兩次以上、使用兩套以上引擎（如 Malwarebytes + SuperAntiSpyware + Windows Defender），確保基線乾淨。
- 建立還原點/備份： XP 系統 →「開始」→「說明及支援」→「使用系統還原」→「建立還原點」；或使用
NTBackup 完整系統備份（含系統狀態）。萬一清除失誤可回滾。
- 關閉非必要程式： 結束所有使用者模式應用程式，減少掃描干擾與分析噪音。
第二階段：掃描與初步記錄
- 執行 HijackThis 掃描： 解壓縮 → 執行
HijackThis.exe → 選擇「Do a system scan and save a logfile」→ 日誌預設存於「我的文件」。
命名建議： hijackthis-YYYYMMDD-HHMM.log（含時間戳），避免後續掃描覆蓋歷史日誌。
- 查看掃描結果： 視窗顯示項目左側有核取方塊，暫勿勾選修復。每項目含 R0-R3、O1-O23 等類別代碼，對應不同啟動/註冊/瀏覽器設定點。
第三階段：智慧分析與人工研判
- 匯入分析工具： 推薦 Help2Go Detective 或 HijackThis Analysis（線上/離線版）。貼上日誌內容 → 分析。
輸出包含：保留（正常）、可選移除（無害）、可疑（需進一步判斷）、必須移除（確定惡意） 四類標記。
- 人工複核可疑項目： 對分析工具標記「可疑」者，檢查註冊表機碼、檔案路徑、簽章資訊。常見誤判：自行安裝的工具殘留項目、廠商預載軟體。
Google 搜尋項目名稱/檔案名（99% 情況 2 分鐘內可判斷），DLL 檔需額外驗證數位簽章與路徑合法性。
- 在 HijackThis 視窗勾選確定惡意 + 可疑項目 → 「Fix checked」清除。 亦可逐項點選「Info on selected item」查看詳細說明再決定。
第四階段：驗證與二次掃描
- 重開機驗證： 觀察系統穩定性、應用程式運作、開機速度。若異常（程式無法啟動、藍屏、功能缺失），進入安全模式 →「最後一次正確配置」或還原還原點/備份。
- 二次掃描確認： 重複步驟 4，更新日誌時間戳。確認惡意項目已清除，並建立乾淨基線快照供下次比對。
關鍵技術細節
- HijackThis 類別代碼速查： R0-R3（IE 搜尋/首頁）、O1（Hosts 檔）、O2（BHO）、O3（工具列）、O4（啟動項）、O8（內容菜單）、O9（按鈕/工具列按鈕）、O10（Winsock LSP）、O15（信任區域）、O17（DNS）、O20（AppInit_DLLs）、O23（服務）。
- 系統還原點建立命令列：
%SystemRoot%\system32\restore\rstrui.exe 或腳本自動化。
- 離線分析工具優勢： 無需上傳日誌保護隱私，資料庫定期更新需手動下載。
防護建議
- 即時防護：安裝可信防毒軟體（含反間諜模組），啟用即時掃描、雲端查證、行為偵測。
- 瀏覽器強化：停用不必要 ActiveX/外掛、啟用智慧畫面篩選、使用廣告攔截擴充功能。
- 權限最小化：日常使用標準使用者帳號，UAC/快速使用者切換啟用，僅在必要時提權。
- 定期審計：每月執行一次完整掃描 + HijackThis 基線比對。
註：HijackThis 開發已停止，現代環境建議改用 Autoruns (Sysinternals)、Process Explorer、Malwarebytes、Windows Defender 進階威脅防護等工具。
