透過登錄編輯徹底清除病毒殘留啟動項，防止病毒重開機復活

問題現象

使用防毒軟體掃毒重開機後，原本已清除的病毒再次出現。原因是病毒在登錄啟動項中植入了自我修復/重啟機制，開機時自動執行恢復動作。

核心防禦策略：手動檢查並刪除登錄啟動項中的可疑殘留值

開啟登錄編輯器 (Win + R → regedit)，依序檢查以下三個關鍵啟動路徑：

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

同樣檢查 HKEY_LOCAL_MACHINE 對應路徑 (機碼路徑相同，根鍵換為 HKLM)。

三類常見病毒殘留特徵與處理方式

1. 網頁式啟動項

特徵：鍵值資料包含 .html、.htm、.asp、.php 等網頁副檔名，或完整 URL (如 https://malicious.site/xxx.html)。
目的：開機自動開啟瀏覽器訪問掛馬網頁，導致二次感染。
處理：選中可疑鍵值 → 右鍵「刪除」 → 按 F5 重新整理登錄。

2. 腳本式啟動項

特徵：鍵值資料包含 .vbs、.js、.bat、.cmd、.ps1 等腳本副檔名。
處理：同樣直接刪除可疑鍵值。

3. 登錄後門參數偽裝

特徵：鍵值名稱偽裝為 system32、svchost 等系統元件名稱，資料內容為：

regedit -s D:\Windows

或類似 regedit -s <路徑> 格式。
原理：-s 為靜默匯入登錄檔參數，會在 Windows 目錄下自動產生 .vbs 腳本檔，達成病毒持久化。
處理：毫不猶豫刪除 此類帶 regedit -s 參數的啟動項，並檢查對應路徑下是否有惡意 .reg 或 .vbs 檔案一併刪除。

輔助檢查：Win.ini 檔案

位於 C:\Windows\Win.ini (或系統目錄)。開啟檢查 run=、load= 等鍵值後方是否有不明路徑/檔名。若有，清除等號後內容，並至 System32 目錄刪除對應惡意檔案。

操作建議

1. 掃毒完成後，**重開機前** 執行上述登錄檢查。
2. 搭配 msconfig「啟動」索引標籤檢查可疑啟動項。
3. 定期備份 Run、RunOnce 等關鍵機碼，便於比對異動。
4. 安裝具備「啟動項監控/防篡改」功能的防毒軟體 (如 360、火綠、卡巴斯基等) 即時攔截寫入。