工作管理器被禁用？四大修復法+病毒手動查殺全攻略

工作管理器突然失效，多半是惡意程式修改註冊表或群組原則鎖定。本文提供四種標準修復管道，並深入剖析病毒如何透過駐留記憶體「自動還原」禁用鍵值，附完整手動查殺流程與進階進程分析技巧。

四大標準修復法（由簡入繁）

1. 註冊表直接修改

regedit
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
將 DisableTaskmgr DWORD 值設為 0

2. 匯入 .reg 檔案（適合批次部署）

記事本存為 EnableTaskMgr.reg：

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskmgr"=dword:00000000

雙擊匯入即可。

3. 群組原則解除限制

gpedit.msc
使用者設定 → 系統 → Ctrl+Alt+Del 選項 → 移除工作管理器 → 設為「未設定」或「停用」

4. 專用修復小工具

下載執行「工作管理器可用.exe」類修復程式（注意來源可信度）。

病毒進階手段：記憶體駐留自動還原

實測發現：修改註冊表後，駐留記憶體的病毒（如 svohost.exe 偽裝 svchost.exe）會在毫秒級自動將 DisableTaskmgr 改回 1。必須先結束惡意進程再修改註冊表。

完整手動查殺流程

1. 命令列查進程： tasklist 發現可疑 svohost.exe、lsasa.exe（偽裝 lsass.exe）。
2. 強制結束： taskkill /f /im svohost.exe。
3. 搜尋刪除檔案： 啟用「搜尋隱藏檔案」，刪除所有同名惡意檔（注意大小寫變體）。
4. 修復資料夾選項被鎖定： 註冊表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL 下的 CheckedValue 被改為字串值，需刪除重建為 DWORD=1。
5. 檢查 svchost.exe 服務載入異常： tasklist /svc 對比正常服務數量，多出的 svchost.exe 即為掛馬進程。

常用系統內建查毒工具

• msconfig：啟動項、服務管理
• services.msc：服務檢視（注意偽裝服務名）
• systeminfo / msinfo32：系統資訊查詢
• tasklist /svc：進程-服務對應分析

防護心法

• 安裝可信防毒軟體並保持病毒碼最新。
• QQ/郵件附件未驗證前勿執行。
• 定期備份關鍵註冊表機碼（Run、RunOnce、Policies）。
• 善用 tasklist /svc 快速識別異常 svchost.exe。