桌面「商業導航」惡意圖標徹底清除：註冊表手術精準切除 CLSID 劫持

下載軟體後桌面多出「商業導航」圖標，點擊跳轉惡意網址，右鍵刪除無效、重啟復活。這是經典的 **CLSID (類別標識符) 劫持**：惡意軟體竄改 {208D2C60-3AEA-1069-A2D7-08002B30309D} (原為「網上鄰居」) 的註冊表鍵值，將其重定向至推廣網址。本文提供精準註冊表修復方案，並延伸通用清除方法論。

核心原理：CLSID 劫持機制

• 目標 CLSID： {208D2C60-3AEA-1069-A2D7-08002B30309D} — 系統預設對應「網上鄰居」/「網路鄰居」。
• 竄改點：
  • @ (預設值) → 「商業導航」 (顯示名稱)
  • InfoTip / LocalizedString → 同步修改提示文字
  • DefaultIcon\@ → 指向惡意圖標 C:\Program Files\Internet Explorer\am_home.ico
  • InProcServer32\@ → C:\WINDOWS\system32\ieframe.dll (利用 IE 渲染引擎)
  • shell\open\command\@ → "C:\Program Files\Internet Explorer\iexplore.exe https://www.pp55.com" (核心：啟動 IE 訪問推廣網址)
  • ShellFolder\Attributes → 0x00000000 (確保桌面顯示)
• 效果： 桌面顯示偽裝圖標，雙擊啟動 IE 導流，難以常規刪除 (屬於命名空間擴展，非普通捷徑)。

精準修復：還原原始註冊表鍵值

將以下內容存為 fix_nethood.reg，以管理員身分雙擊導入，或手動在 regedit 中逐項修正：

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}]
@="網上鄰居"
"InfoTip"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
  6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
  00,53,00,48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,\
  2d,00,32,00,32,00,39,00,31,00,32,00,00,00
"LocalizedString"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,\
  6f,00,6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,\
  00,5c,00,53,00,48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,\
  2c,00,2d,00,39,00,32,00,31,00,37,00,00,00
"IntroText"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
  6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
  00,53,00,48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,\
  2d,00,33,00,31,00,37,00,34,00,39,00,00,00

[HKEY_CLASSES_ROOT\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}\DefaultIcon]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
  00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,53,00,48,00,\
  45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,31,00,37,00,00,\
  00

[HKEY_CLASSES_ROOT\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}\InProcServer32]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
  00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,00,68,00,\
  64,00,6f,00,63,00,76,00,77,00,2e,00,64,00,6c,00,6c,00,00,00
"ThreadingModel"="Apartment"

[HKEY_CLASSES_ROOT\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}\Shell]
@="open"

[HKEY_CLASSES_ROOT\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}\Shell\open]
@="打開(&O)"

[HKEY_CLASSES_ROOT\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}\Shell\open\command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
  00,5c,00,45,00,78,00,70,00,6c,00,6f,00,72,00,65,00,72,00,2e,00,65,00,78,00,\
  65,00,20,00,2f,00,65,00,2c,00,2f,00,69,00,64,00,6c,00,65,00,73,00,74,00,2c,\
  00,25,00,49,00,44,00,4c,00,69,00,73,00,74,00,2c,00,25,00,25,00,32,00,30,00,\
  38,00,44,00,32,00,43,00,36,00,30,00,2d,00,33,00,41,00,45,00,41,00,2d,00,31,\
  00,30,00,36,00,39,00,2d,00,41,00,32,00,44,00,37,00,2d,00,30,00,38,00,30,00,\
  30,00,32,00,42,00,33,00,30,00,33,00,30,00,39,00,44,00,00,00

[HKEY_CLASSES_ROOT\CLSID\{208D2C60-3AEA-1069-A2D7-08002B30309D}\ShellFolder]
"Attributes"=dword:00000014
"HideFolderVerbs"=""
"WantsParseDisplayName"=""
"HideOnDesktopPerUser"=""

關鍵差異： 原始 InProcServer32 指向 shdocvw.dll (Shell 文檔物件)，Shell\open\command 以 /e,/idlist,%IDLIST% 參數啟動資源管理器命名空間視圖，而非直接啟動 IE 訪問固定 URL。

通用清除方法論：舉一反三

1. 識別 CLSID： 桌面圖標右鍵 → 內容 → 「Web 文檔」/「捷徑」頁籤查看 URL/目標，或用 Autoruns (Sysinternals) → 「Explorer」頁籤 → 尋找可疑命名空間擴展。
   註冊表搜尋：HKEY_CLASSES_ROOT\CLSID 下尋找 Shell\open\command 包含 https:// 或可疑路徑的項目。
2. 刪除/重命名惡意項： 以管理員權限在 regedit 中刪除整個惡意 CLSID 項 (如 {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX})，或重命名加後綴 .bak 保留備份。注意： 僅刪除確認為惡意添加/竄改的 CLSID，勿誤刪系統原生項。
3. 清理檔案載體： 根據 InProcServer32、DefaultIcon、Shell\open\command 指向的路徑 (如 am_home.ico, iexplore.exe 參數中的網址關聯程式)，刪除惡意軟體安裝目錄、臨時檔案、下載檔案。
4. 重置 Shell 圖標快取： 刪除 %LocalAppData%\IconCache.db、%LocalAppData%\Microsoft\Windows\Explorer\iconcache_*.db，或執行 ie4uinit.exe -show / 重啟 explorer.exe / 重啟電腦。
5. 全盤掃毒 + 檢查啟動項/服務/計劃任務： 防止惡意軟體殘留重灌註冊表。Autoruns 全項檢查。

預防：從源頭斷鏈

• 軟體來源： 僅從官網/可信倉庫下載，拒絕「高速下載器」「捆綁安裝器」。
• 安裝過程： 選「自訂/高級安裝」，逐頁取消勾選「推廣軟體」「修改首頁」「桌面圖標」等選項。
• 系統防護： 啟用 Windows Defender / 第三方防毒「即時防護」「PUA (潛在垃圾應用) 檢測」；AppLocker/WDAC 限制未簽名程式執行；UAC 保持預設或更高。
• 瀏覽器防護： 開啟「增強型保護模式」「阻擋惡意下載」「擴充套件 管理器 (uBlock Origin, Malwarebytes Browser Guard)」。

總結

「商業導航」圖標本質是 CLSID 命名空間擴展劫持。掌握 註冊表定位 → 對比原始鍵值 → 精準修復/刪除 → 清理快取 → 全盤查殺 → 習慣預防 完整鏈路，即可徹底清除此類頑固桌面劫持，並舉一反三應對變種。註冊表手術需謹慎，操作前必備份 (導出整個 CLSID 分支)，確認無誤再執行。