工作管理器無法開啟？病毒木馬鎖定進程深度清除實錄

高配電腦運行流暢，卻突發「工作管理器打不開、註冊表編輯器也失效」雙重癥狀。經排查發現為 「災飛」病毒（或同類木馬）駐留記憶體，攔截系統管理工具。本文記錄從掃毒無效、進程分析、鎖定惡意程式、徹底清除啟動項的完整實戰過程，提供可複製的排查模板。

現象與初步判斷

• Ctrl+Shift+Esc、Ctrl+Alt+Del 均無法喚出工作管理器。
• regedit 執行無反應。
• 金山毒霸、3721 專殺工具均報「未發現病毒」。

關鍵突破：第三方進程管理工具

使用 超級兔子 4.98（或同類工具如 Process Explorer、AnVir Task Manager）的「進程管理」模組：

1. 掃描黑客木馬程式 → 發現並清除「未知 EXE」。
2. 逐一結束可疑進程，發現只要結束 mswinrpc.exe 與 ahostos.exe 兩個進程，工作管理器與註冊表編輯器即刻恢復正常。

徹底清除啟動項（治本）

方法一：超級兔子「自動執行」模組

• 取消 Remote Procedure Calls（對應 mswinrpc.exe）與 Microsoft Media Player（對應 ahostos.exe）的啟動勾選。
• 於硬碟搜尋並刪除這兩個執行檔。

方法二：手動編輯登錄

執行 regedit
刪除 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下的：
  Remote Procedure Calls  (值資料指向 mswinrpc.exe)
  Microsoft Media Player  (值資料指向 ahostos.exe)

進階排查技巧：命令列工具

即使工作管理器被禁用，命令列仍可查看進程：

tasklist                    # 列出所有進程
tasklist /svc               # 顯示 svchost.exe 所載入的服務
taskkill /f /im 惡意程式.exe # 強制結束進程

防護建議

• 安裝並更新主流防毒軟體（啟用即時掃描）。
• 定期檢查 Run、RunOnce、Shell、服務等啟動點。
• 勿隨意開啟來源不明的附件、連結。
• 使用 Longhorn 版工作管理器 或 Windows 優化大師 進程管理，可直接右鍵開啟檔案位置，大幅加速查毒。