npf.sys 病毒三步徹底清除指南：刪除檔案、註冊表服務、權限突破

電腦網路突然變慢、嚴重時藍屏，防毒軟體卻查無異常？可能是 npf.sys 病毒（ARP 欺騙木馬）在作祟。此病毒偽裝成 WinPcap 合法驅動，實則竊取區域網路遊戲帳號密碼、發送海量 ARP 封包癱瘓網路。本文提供三步手動清除法，無需重灌系統。

病毒特徵

• 檔案位置：%SystemRoot%\System32\drivers\npf.sys
• 註冊表建立服務：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf
• 行為：修改 MAC 位址、ARP 欺騙、截取遊戲登入封包、導致網路擁塞與藍屏

清除步驟（需管理員權限）

步驟 1：刪除驅動檔案

1. 開啟檔案總管，進入 C:\Windows\System32\drivers。
2. 找到 npf.sys，若無法直接刪除，重啟進入安全模式再刪除。

步驟 2：刪除註冊表服務鍵值

1. Win+R 輸入 regedit 開啟登錄編輯器。
2. 依序展開並刪除以下機碼（整個資料夾）：
    • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_NPF
    • HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_NPF
3. 若提示「無法刪除，存取被拒」：
    • 右鍵該機碼 →「權限」→「進階」→「擁有者」改為 Administrators 群組 → 勾選「取代子容器與物件的擁有者」→ 確定。
    • 回到權限視窗，給 Administrators「完全控制」→ 確定。
    • 再次嘗試刪除機碼。

步驟 3：重啟驗證與後續防護

1. 重啟電腦，正常模式進入系統。
2. 檢查網路速度恢復、無藍屏、工作管理員無 npf.sys 相關進程。
3. 執行防毒軟體全盤掃描，清除可能殘留的下載器/載入器。

防護建議

• 不點擊不明連結（MSN/QQ/郵件傳來的短網址、壓縮檔）。
• 啟用 Windows Update 自動安裝安全性更新（修補 ARP/NDIS 漏洞）。
• 安裝具備 ARP 防火牆功能的安全軟體（如 360 ARP 防火牆、金山毒霸 ARP 免疫）。
• 路由器啟用 ARP 綁定/動態 ARP 檢測（DAI），從網路層阻斷 ARP 欺騙。

npf.sys 病毒雖頑固，但「刪檔案、清註冊表、破權限」三步走即可徹底根除。養成安全上網習慣、部署多層防護，才能徹底杜絕 ARP 木馬再次入侵。