Windows 映像檔執行選項 (IFEO) 劫持症狀與防護完整指南

什麼是 IFEO (Image File Execution Options)？

IFEO 是註冊表機制 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 的縮寫，原本供開發者偵錯程式使用。但因其強大的「重導向執行檔」能力，常被惡意程式濫用，導致正常程式無法執行或被替換成惡意程式。

典型劫持症狀

• 某正常程式無論放在哪個路徑、甚至重新安裝，皆無法執行或執行後卻運行別的程式
• 更改該程式檔名後反而能正常運作
• 防毒軟體、輔助工具等安全程式進程被大量劫持，導致全面失效

解決與預防方案

方法一：修改註冊表權限（推薦）

1. 開啟 regedit，定位至 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
2. 右鍵該鍵值 → 「權限」 → 「進階」
3. 取消 Administrators 與 SYSTEM 群組的「寫入」權限

此法可阻止惡意程式寫入劫持規則，同時保留合法偵錯功能。

方法二：直接刪除 IFEO 鍵值（徹底但激進）

若確定不需要任何程式偵錯功能，可直接刪除整個 Image File Execution Options 分支。雖然徹底，但會讓合法開發工具無法使用偵錯器，請視自身需求權衡。