System32 出現挖礦程式且無法刪除？先查啟動項的安全檢查順序

問題症狀

• 使用電腦時明顯卡頓，工作管理員出現名稱類似挖礦程序的项目佔用 CPU 或 GPU。
• 已經用離線掃描處理過，之後幾天同樣的佔用情況又再次出現。
• 可疑檔案或資料夾的建立時間，與你實際使用電腦的時間對不上。
• 嘗試刪除或變更某個 System32 檔案的權限時，出現無權限或套用錯誤，變更沒有成功。
• 進行權限相關操作時整個系統變得遲鈍或短暂无回應。

可能原因

• 反覆出現最常見的原因是仍有排程工作、服務或登入啟動項沒有被清除，所以掃描後程式又自行啟動（屬推測，需以保護記錄與啟動項清單確認）。
• System32 的檔案受 Windows 保護機制與擁有者設定保護，一般帳號本來就無法隨意刪除或改權限，這不代表該檔案一定是惡意程式。
• 程序名稱與挖礦相關只是線索之一，名稱相近的正常工具、或已被隔離後殘留的記錄，都可能造成誤判。
• 部分網頁挖礦腳本會在偵測到管理工具開啟時暫停，讓佔用看起來忽高忽低，但這屬於未經本案驗證的現象。

排除步驟

1. 先備份文件、照片與工作檔到外接硬碟或雲端，並記下可疑程序的名稱、完整路徑、簽章發行者與佔用比例，作為後續對照依據。
2. 打開 Windows 安全性的「保護記錄」，查看最近的偵測項目、威脅名稱與已執行的動作，先確認防護軟體到底擋掉或隔離了什麼。
3. 更新病毒與威脅防護的定義檔，接著執行一次完整掃描；若掃描無法在桌面環境完成，再依微軟指引安排離線掃描，讓檢查在開機前進行。
4. 使用官方 Autoruns 檢視登入項、服務、驅動與排程工作，只停用身分不明或簽章可疑的項目，一次停一項並重新開機觀察，不要批次刪除。
5. 不要手動刪除或修改 System32 內檔案的權限。如果掃描明確指認該路徑，讓防護軟體在完整或離線掃描中處理，必要時改用系統修復或全新安裝。
6. 每完成一個步驟就重新開機觀察一次，並把結果記錄下來；若掃描與啟動項都正常但佔用仍在，再檢查瀏覽器擴充功能與近期安裝的程式。

注意事項

• 手動刪除 System32 檔案或強制變更其權限，可能讓 Windows 無法開機、更新失敗，而且通常無法解決程式反覆執行的問題。
• 備份時惡意程式可能被一併複製到外接媒體，備份前後都應掃描，必要時先隔離備份內容再使用。
• 來路不明的「挖礦移除工具」、要求關閉防護軟體或批次修改系統資料夾權限的教學，可能造成資料遺失或二次感染。
• 若電腦存有帳號密碼、公司資料或重要檔案，建議先暫停網路銀行與敏感服務，必要時尋求專業協助或改用另一台裝置變更密碼。

常見問題

工作管理員看不到可疑程序，是不是就沒問題？

不一定。有些程序會在偵測到管理工具開啟時暫停執行，因此看不到不代表不存在。建議以防護軟體的保護記錄、掃描結果與自動啟動項清單交叉確認，而不是只看當下佔用。

一定要重灌系統嗎？

不一定。如果掃描與啟動項檢查能確認來源並清除，可能不需要重裝；但若反覆出現、系統檔案已受損或無法確認感染範圍，全新安裝通常是較可靠的選項，前提是已有可驗證的備份。

可以自己把 System32 裡的檔案刪掉嗎？

不建議。該資料夾包含系統正常運作所需的檔案，系統也會阻擋刪除與改權限，錯誤動作可能導致無法開機。請讓防護軟體或官方修復流程處理被指認的檔案。

離線掃描大約要花多久，期間能做什麼？

時間依儲存裝置容量與速度差異很大，過程中電腦會重新開機且不適合使用。建議安排在不需要用電腦的時段進行，並確保電源與充電充足。

診斷結論

遇到疑似挖礦程式反覆執行時，先備份、再核對保護記錄與掃描結果、接著檢查自動啟動項，是風險較低的順序。System32 的檔案不該手動刪除或亂改權限，因為那多半是系統保護而非病毒防禦。若完成上述檢查後問題仍反覆出現，或已無法確認受影響範圍，才把修復安裝或全新安裝列為選項，並在安裝後立即更新與啟用防護。