IE 首頁被惡意修改？13 種變體與註冊表精準修復大全

IE 首頁被竄改是經典網路疑難雜症：改回去秒變、選項灰色無法動、甚至註冊表鍵值反覆重生。攻擊者利用登錄表多處機制、BHO 外掛、殼層擴充、Winlogon 通知等手段，形成立體防禦。本文系統歸納 **13 種主流竄改變體**，對應給出 **註冊表手動修復** 與 **.reg 自動導入** 雙軌解決方案，並按危害等級分級，助你精準斬斷劫持鏈條。

竄改機制總覽：IE 首頁相關關鍵登錄路徑

原則： HKCU 優先於 HKLM，策略鍵值優先於一般設定。修復時需**自葉至根、雙層同清**。

13 種變體特徵與修復對照表

1. 預設主頁被修改 (HKCU\Main\Default_Page_URL) → 修改鍵值為空或 about:blank。
2. 啟動首頁被修改 (HKCU\Main\Start Page) → 同法修正。
3. 系統預設首頁被修改 (HKLM\Main\Default_Page_URL) → 改為微軟官方 https://www.microsoft.com/windows/ie_intl/cn/start/。
4. 首頁設定被鎖定 (策略) (HKCU\Policies\...\Control Panel\HomePage = 1) → 刪除鍵值或設 0，同步清 HKLM。
5. 搜尋助手/搜尋列被劫持 (Search Page, Search Bar, CustomizeSearch) → 重置為預設值。
6. 標題列文字被修改 (HKCU\Main\Window Title) → 清空或改回「Internet Explorer」。
7. 右鍵選單被植入廣告 (HKCU\MenuExt) → 刪除可疑子鍵。
8. 工具列/頻道列被強制新增 (HKCU\Toolbar, HKLM\Toolbar) → 刪除對應 CLSID 項目。
9. BHO (Browser Helper Object) 惡意載入 (HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects) → 刪除不明 CLSID，配合 regsvr32 /u 解除註冊 DLL。
10. 殼層擴充/右鍵選單劫持 (HKCR\*\shellex\ContextMenuHandlers) → 刪除惡意處理程式。
11. Winlogon 通知套件植入 (HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify) → 刪除可疑項，防開機自動修復劫持。
12. 啟動項/服務駐留修復 (Run, RunOnce, RunServices, Services) → 刪除惡意程式路徑，停用/刪除服務。
13. Hosts 檔案竄改導向假冒網站 (%SystemRoot%\System32\drivers\etc\hosts) → 保留 127.0.0.1 localhost，刪除其餘行，設唯讀屬性。

標準修復流程：三步走

第一階段：安全模式斷網操作（切斷自動修復）

1. 重啟按 F8 →「安全模式」。
2. 拔網路線/關無線，防惡意程式連線下載更新/上傳資料。
3. 執行 taskmgr 結束可疑程序（如 iexplore.exe 殘留、不明隨機檔名）。

第二階段：註冊表精準清理

啟動 regedit，依上表 13 項逐一檢查修正。建議匯出整個 HKCU\Software\Microsoft\Internet Explorer 與 HKLM\Software\Microsoft\Internet Explorer 為 .reg 備份，誤刪可還原。

第三階段：.reg 自動化修復腳本（部署多台電腦適用）

Windows Registry Editor Version 5.00

; 解除首頁鎖定
[-HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel]
[-HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Control Panel]

; 重置首頁與預設首頁
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="about:blank"
"Default_Page_URL"=""
"Search Page"="https://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"="https://www.microsoft.com/windows/ie_intl/cn/start/"
"Start Page"="https://www.microsoft.com/windows/ie_intl/cn/start/"
"Search Page"="https://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

; 清除標題列文字
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Window Title"=""

; 修復 Hosts
; 需配合批次檔：echo 127.0.0.1 localhost > %SystemRoot%\System32\drivers\etc\hosts & attrib +R %SystemRoot%\System32\drivers\etc\hosts

另存為 FixIEHijack.reg，雙擊導入 → 重開機 → 正常模式驗證。

防護升級：從治標走向治本

• 棄用 IE： 遷移至 Edge/Chrome/Firefox，架構級免疫 ActiveX/BHO 攻擊面。
• 啟用增強保護模式 (EPM)： IE 10+ 選項→進階→啟用 EPM，沙箱隔離外掛。
• 軟體限制原則/AppLocker： 僅允許簽名受信任程式執行，阻斷惡意安裝包。
• 定期掃描啟動項： Autoruns (Sysinternals) 可視化管理所有自啟動點，一鍵驗證簽名、跳轉檔案位置。
• DNS 防火牆/加密 DNS (DoH/DoT)： 防止 Hosts 劫持與 DNS 劫持雙重保障。

結語

IE 首頁劫持看似花樣繁多，本質皆是**登錄表鍵值竄改 + 持久化機制 (BHO/啟動項/服務/Winlogon) 組合拳**。掌握核心路徑、善用安全模式斷網、配合 Autoruns 與 .reg 批次腳本，多數案例可在 10 分鐘內徹底根治。但誠如開頭所言，**最徹底的修復是淘汰 IE**。在 2024 年，將資源投入瀏覽器遷移與現代端點防護 (EDR/XDR)，才是企業與個人資安的長期最優解。