Windows XP 反覆登出/重啟大規模爆發：病毒劫持 userinit.exe 緊急修復指南

事件回顧

金山毒霸短時間接獲 20 多位用戶回報：XP 系統反覆登出/重啟。反病毒中心緊急派工程師提取樣本分析，專家戴光劍指出兩大核心成因：

1. 登錄機碼預設 userinit 值被竄改，userinit.exe 被替換
2. 病毒/惡意軟體利用**映像劫持**技術劫持 userinit.exe

2005 年「MSN 性感雞」病毒曾引發類似現象。

核心修復思路

修正登錄機碼、替換正常 userinit.exe。因正常模式與安全模式均無法進入，需**離線修復**。

推薦方案：WinPE 光碟/USB 啟動修復（適合一般用戶）

1. 準備 WinPE 啟動光碟或 USB（如微軟官方 WinPE、舊毛桃、優啟通等）
2. 進 BIOS 設定從光碟/USB 啟動，進入 WinPE 桌面
3. 修正登錄：
   　　• 載入系統登錄檔：regedit → 選 HKEY_LOCAL_MACHINE →「檔案」→「載入配置單元」→ 選擇系統盤 Windows\System32\config\SOFTWARE → 鍵入名稱（如 XP_SOFTWARE）
   　　• 定位至 HKEY_LOCAL_MACHINE\XP_SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   　　• 檢查 Userinit 值應為 C:\Windows\system32\userinit.exe,（注意結尾逗號），若被竄改請修正
   　　• 卸載配置單元：選 XP_SOFTWARE →「檔案」→「卸載配置單元」
4. 替換 userinit.exe：
   　　• 從同版本乾淨 XP 系統或安裝光碟 I386 目錄（用 expand 解壓）取得正常 userinit.exe
   　　• 複製到系統盤 Windows\System32\ 覆蓋
5. 清除映像劫持（若存在）：
   　　• 同樣載入 SOFTWARE 配置單元
   　　• 定位 HKEY_LOCAL_MACHINE\XP_SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe
   　　• 若存在該鍵值 → 刪除整個 userinit.exe 子鍵
   　　• 卸載配置單元
6. 重啟電腦，移除啟動媒體，系統應可正常進入

DOS 命令列修復（進階用戶）

原理相同，但需熟悉 reg.exe、copy、expand 等命令操作離線登錄與檔案，風險較高，一般用戶請用 WinPE 圖形介面操作。

事後防護

• 立即全盤掃毒（建議離線掃毒或 WinPE 下掃毒）
• 安裝防毒軟體並開啟即時監控、自動更新
• 啟用系統還原並建立乾淨還原點
• 修補系統漏洞（Windows Update）
• 不執行不明來源程式、不開啟可疑郵件附件