電腦中毒後實戰處理指南：六步診斷法、四階段清除流程與防護升級

「中毒不可怕，可怕的是沒有安全意識。」面對變種層出不窮的惡意程式，**標準化診斷流程、徹底清除殘留、修復系統損傷、升級防護體系** 才是正解。本文提煉實戰經驗，提供 **六步診斷法 (任務管理員、服務、啟動項、瀏覽器、檔案系統、防毒軟體行為)**、**四階段清除流程 (啟動項/服務/Hosts/安全模式深度掃描)**、**持久化機制清查清單 (12 大自啟動點)** 以及 **防護升級路線圖**，助你從「被動救火」轉為「主動免疫」。

一、中毒典型徵兆 (判斷依據)

• 系統/開機/關機/開啟程式**明顯變慢**、CPU/記憶體長期高佔用。
• **無法上網** / 僅能訪問特定網站 / 防毒軟體無法更新 / 瀏覽器首頁被劫持。
• 防毒軟體**無法啟動/掃描/更新**、即時防護自動關閉、圖示消失。
• 檔案/資料夾**消失/隱藏/加密/改名**、磁碟機代號變更/無法存取。
• 出現陌生視窗/廣告/偽系統警告、滑鼠/鍵盤失控、攝影機/麥克風指示燈異常亮起。
• 帳號/密碼被竊、郵件/社群帳號發送垃圾訊息、不明金流交易。

二、六步標準化診斷法 (正常/安全模式雙軌)

1. 任務管理器 / Process Hacker — 進程異常狩獵

• Ctrl+Shift+Esc 開啟 →「詳細資料」/「服務」分頁。
• **CPU/記憶體異常高佔用進程** (排除系統進程: `System`, `csrss.exe`, `winlogon.exe`, `services.exe`, `lsass.exe`, `svchost.exe` 合法實例)。
• **無簽名/簽名無效/路徑異常** (非 `C:\Windows\System32\`, `C:\Program Files\` 知名廠商目錄) 的進程。
• **隨機檔名** (如 `xkq92j.exe`, `svch0st.exe` 偽裝) 、**重複名稱多實例**。
• **記住 PID、映像路徑、命令列、啟動用戶**，暫**不結束進程** (部分惡意進程受保護無法結束，或結束後看門狗秒重啟)。

2. 服務管理員 (services.msc) — 服務層持久化檢查

• 檢視「狀態=已啟動」「啟動類型=自動」的服務。
• **合法服務通常有描述文字、路徑指向已知廠商目錄、顯示名稱與服務名稱對應**。
• 可疑項：雙擊 →「一般」分頁 → 記下「執行檔路徑」與「服務名稱」。
• **特徵：** `C:\Windows\System32\explored.exe` (偽裝 explorer.exe)、`C:\Windows\Temp\xxx.exe`、無描述/亂碼描述。
• **控制台無法開啟/圖示全在左側/右側空白** → 特徵病毒 `winhlpp32.exe` 作祟。

3. 啟動項掃描 — 登錄表 + msconfig + Autoruns 三重驗證

• 註冊表核心路徑：
  • `HKLM\Software\Microsoft\Windows\CurrentVersion\Run` / `RunOnce` / `RunOnceEx`
  • `HKCU\Software\Microsoft\Windows\CurrentVersion\Run` / `RunOnce`
  • `HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run`
  • `HKLM\Software\Microsoft\Active Setup\Installed Components`
  • `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit` / `Shell`
  • `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify`
  • `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\` (IFEO 劫持)
  • `HKLM\System\CurrentControlSet\Services\` (服務鍵值)
• 工具輔助： Win+R → `msconfig` →「啟動」分頁 (Win 7/10 早期) / 工作管理員「啟動」分頁 (Win 10 1809+) / **Sysinternals Autoruns (最完整、可驗證簽名、跳轉檔案/登錄表)**。

4. 瀏覽器行為測試 — 網路層劫持檢測

• 嘗試訪問安全廠商官網 (`symantec.com`, `kaspersky.com`, `trendmicro.com`, `microsoft.com/security`)。
• **可訪問一般網站、無法訪問安全網站** → 典型 `Gaobot` / `Conficker` / DNS/Hosts 劫持特徵。
• 防毒軟體無法連線更新伺服器 → 同根同源。

5. 檔案系統深度檢查 — 關鍵目錄與 Hosts

• 資料夾選項 → 顯示隱藏/系統檔案 → 進入 `C:\Windows\System32`：**空資料夾 = 嚴重感染** (病毒隱藏所有檔案)。
• 依類型排序，尋找近期建立的可疑 `.exe`、`.dll`、`.bat`、`.vbs`、`.ps1`。
• 重點檢查目錄：`C:\Windows\Tasks` (排程工作)、`C:\Windows\Wins`、 `C:\Windows\System32\Drivers`、 `C:\Windows\System32\Drivers\etc\hosts`。
• Hosts 檔案異常： 正常僅 `127.0.0.1 localhost` (~700 bytes)。**被竄改 >1KB、包含安全廠商域名指向 127.0.0.1/錯誤 IP** → 導致無法更新/訪問官網。

6. 防毒軟體自我檢測 — 最後防線狀態

• 防毒主程式**被自動終止**、即時防護**無法開啟**、手動更新**失敗**、掃描**卡死/報錯** → 極高機率已被惡意程式針對性攻擊 (終止進程、修改啟動項、植入驅動級 Rootkit)。

三、四階段標準化清除流程

階段 1：斷網 + 安全模式 + 系統還原 (止血)

1. 拔網路線/關無線/斷開 VPN，**切斷 C&C 連線、橫向移動、資料外洩**。
2. 重啟進入 **「帶網路連線的安全模式」** (需下載工具/病毒碼) 或 **「安全模式」** (純離線)。
3. 嘗試 **系統還原** (`rstrui.exe`) 至感染前還原點 (若還原點未被刪除/加密)。

階段 2：持久化機制徹底清理 (拔根)

1. 註冊表啟動項： `regedit` 逐一檢查上述 12 大路徑，**刪除可疑鍵值**，並 `搜尋` 同名值全盤清除。
2. 服務註冊： `HKLM\System\CurrentControlSet\Services\` 找到惡意服務鍵值 → **刪除整個鍵值** → 重啟生效 (或 `sc delete ServiceName`)。
3. 排程工作： `C:\Windows\Tasks` 刪除可疑 `.job` / `schtasks /query /fo LIST /v` 列出並刪除。
4. IFEO 劫持： `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\` 刪除惡意子鍵 (如 `notepad.exe` 指向 `malware.exe`)。
5. Winlogon Notify/Shell/Userinit： 恢復預設值 (`Userinit=C:\Windows\System32\userinit.exe,` / `Shell=explorer.exe`)。

階段 3：Hosts 修復 + 惡意檔案清除 (治標)

1. Hosts 檔案： 僅保留 `127.0.0.1 localhost` (IPv6 `::1 localhost`)，**刪除其餘所有行** → 另存 → **設為「唯讀」屬性** (防再次竄改)。
2. 惡意檔案： 依診斷階段記錄的路徑/PID，**安全模式下刪除** (釋放鎖定)。無法刪除者用 `Unlocker` / `Process Hacker` 釋放控制代碼後刪除。
3. 臨時目錄清理： `%TEMP%`, `C:\Windows\Temp`, `C:\Windows\Prefetch` 全清。

階段 4：帶網路安全模式深度掃描 + 修補 (免疫)

1. 重啟進入 **「帶網路連線的安全模式」**。
2. **更新作業系統補丁** (Windows Update / WSUS / 手動安裝 MSU) — 修補被利用漏洞 (MS08-067, MS17-010, CVE-2021-34527 等)。
3. **更新防毒軟體病毒碼至最新** → **全盤深度掃描** (含壓縮檔、啟動區、Rootkit、PUA/PUP)。
4. 建議**多引擎交叉驗證**：Windows Defender 離線掃描 + Malwarebytes Free + Kaspersky Virus Removal Tool + HitmanPro (免費掃描) — 各引擎特徵庫互補。
5. 掃描完成、隔離/刪除威脅 → **正常模式重啟驗證** → 觀察 24-48h 無異常 → 確認清除成功。

四、防護升級路線圖：從「救火」到「免疫」

結語

中毒處理不是「跑一次掃描」，**六步診斷定位根因、四階段清除拔根治標、防護升級構建免疫體系** 才是完整閉環。記住：**安全模式是手術室，Autoruns 是手術刀，Hosts 是生命線，多引擎掃描是會診專家組**。下次面對詭異故障，請按圖索驥：斷網 → 安全模式 → 系統還原 → 清理持久化 → 修復 Hosts → 多引擎掃描 → 修補升級 → 驗證觀察。**標準化動作，讓恐慌變成流程，讓中毒變成可控事件。**