手動清除 npf 病毒（ARP 欺騙/網路阻塞）完整步驟：檔案、登錄、服務三重根除

npf 病毒（核心檔 npf.sys）透過註冊系統服務 NPF 自啟動，執行 ARP 欺騙、偽造 MAC 位址、洪流發送 ARP 封包導致區網阻塞、遊戲掉線並竊取帳號密碼。嚴重時引發藍屏。殺毒軟體常因驅動層級隱藏而查殺失效，需手動三重根除：檔案、服務、登錄殘鍵。

病毒特徵確認

• 檔案：%SystemRoot%\System32\Drivers\npf.sys 存在（正常系統無此檔，WinPcap 合法安裝除外）。
• 服務：services.msc 中出現 NPF 服務，啟動類型為自動。
• 症狀：區網 Ping 值飆高、網頁打不開、遊戲頻繁掉線重登、藍屏代碼 0x000000D1/0x9F 涉及 npf.sys。

手動清除步驟（需管理員權限，建議安全模式執行）

1. 刪除核心驅動檔案

del /f /a %SystemRoot%\System32\Drivers\npf.sys

2. 刪除服務登錄鍵

reg delete "HKLM\SYSTEM\CurrentControlSet\Services\NPF" /f

3. 刪除 Legacy 列舉殘鍵（關鍵：權限不足需先取得）

reg delete "HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF" /f
reg delete "HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_NPF" /f

若提示「拒絕存取」：右鍵該鍵值 → 權限 → Administrators / SYSTEM 給予「完整控制」→ 套用 → 再執行刪除。

4. 重新開機驗證

• services.msc 無 NPF 服務。
• %SystemRoot%\System32\Drivers\ 無 npf.sys。
• 區網 Ping 正常、遊戲不再掉線、藍屏消失。

防範與補充

• npf.sys 原為 WinPcap 合法封包擷取驅動（Wireshark、Nmap 等依賴）。病毒竄改/替換該驅動達到惡意目的。若您安裝過 WinPcap，清除前請確認是否為惡意版本（檔案簽章、時間戳、數位簽章驗證）。
• 區網內若有多台中毒，需逐台清除，並檢查交換機/路由器 ARP 綁定、啟用 DAI（Dynamic ARP Inspection）防禦 ARP 欺騙。
• 建議部署主動式防毒（HIPS/行為分析）攔截驅動安裝行為，而非依賴特徵碼掃描。

檔案、服務、列舉鍵三重同步清除，徹底根除 npf 病毒持久化機制，恢復區網秩序與主機穩定。