病毒封鎖安全模式怎麼辦？木馬下載器深度清除指南

惡意程式為了生存，常將「阻止用戶進入安全模式」作為核心對抗手段。瑞星雲安全曾統計，某週攔截釣魚網站 76 萬餘個，364 萬網民遭攻擊。其中名為「木馬下載器」的病毒（警惕等級 ★★★）會關閉防毒進程、修改 hosts 檔、刪除註冊表安全模式相關鍵值，導致系統無法透過 F8 進入安全模式，並大量下載惡意程式竊取隱私與銀行帳號。本文提供完整應對策略。

病毒阻斷安全模式的技術原理

Windows 安全模式啟動依賴註冊表鍵值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
病毒刪除 Minimal、Network 子鍵或修改其權限，導致系統啟動時找不到安全模式配置而拒絕進入。同時修改 hosts 檔阻擋防毒軟體更新伺服器，形成「無法進安全模式、防毒軟體失效、持續下載惡意碼」的惡性循環。

三階段深度清除方案

階段一：離線掃毒（最推薦，成功率最高）

1. 製作防毒廠商提供的「救援碟/USB」（如 Kaspersky Rescue Disk、Bitdefender Rescue Environment、Windows Defender 離線掃描）。
2. 從救援媒體啟動，載入最新病毒碼，掃描全盤並清除。
3. 此模式下病毒無法載入、無法對抗，可完整清除惡意檔案與註冊表殘留。

階段二：若必須在線清除，嘗試「帶命令提示字元的安全模式」

1. 開機連按 F8，選擇「帶命令提示字元的安全模式」。
2. 若能進入，於命令提示字元執行：
   sfc /scannow（修復系統檔）
   reg add "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal" /v "" /t REG_SZ /d "Service" /f（重建最小安全模式鍵值）
   並手動恢復 hosts 檔（路徑：C:\Windows\System32\drivers\etc\hosts，僅保留 127.0.0.1 localhost）。
3. 重啟後進入完整安全模式執行全盤深度掃毒。

階段三：註冊表手動修復（進階用戶）

若無法進入任何安全模式，可將硬碟接至乾淨電腦，或使用 PE 系統（如 WinPE、微軟官方 DaRT）載入離線註冊表：

1. 啟動 regedit，選取 HKEY_LOCAL_MACHINE，選單「檔案」→「載入配置單元」，選擇受感染系統的 C:\Windows\System32\config\SYSTEM，命名為 OfflineSys。
2. 展開 OfflineSys\ControlSet001\Control\SafeBoot，若 Minimal、Network 缺失，手動新建並填入正確值（可參考正常電腦導出的 .reg 檔）。
3. 同步檢查 OfflineSys\ControlSet001\Services 下關鍵服務（如 WinDefend, wscsvc）的 Start 值是否被改為 4（禁用），改回 2（自動）或 3（手動）。
4. 「檔案」→「卸載配置單元」，重啟原電腦驗證。

事後加固與防範

• 安裝主動防禦型防毒軟體（含行為監控、雲查殺），啟用「智能反釣魚」、「網頁防禦」。
• 系統與軟體自動更新，修補 IE、Office、PDF 閱讀器等高危漏洞。
• 不點擊不明連結、不下載盜版軟體、不開啟可疑附件。
• 定期備份重要資料至離線/雲端，遭遇勒索軟體也能從容應對。

病毒技術日新月異，但「離線掃毒 + 註冊表修復 + 良好習慣」的組合拳始終有效。遇到安全模式被封鎖，切勿驚慌重灌，按步驟操作通常可保留資料完整修復系統。