電腦遭駭客遠端控制怎麼辦？應急處理與徹底淨機指南

發現電腦被遠端控制、滑鼠自動移動、檔案被竊取、甚至被當跳板攻擊他人？請保持冷靜，依照下列「斷網 → 清毒 → 固防 → 監控」四階段流程處理，將損失降至最低。

⚡ 第一階段：立即斷網與隔離 (30 秒內完成)

1. 拔網路線 / 關閉 Wi-Fi / 關閉行動熱點：物理斷開所有網路連線，切斷駭客遠端連線與資料外洩管道。
2. 關閉遠端桌面服務：Win+R → SystemPropertiesRemote.exe → 取消勾選「允許遠端連線連接到這台電腦」。
3. 關閉 SSH / RDP / VNC / TeamViewer / AnyDesk 等遠端軟體：工作管理員結束相關程序，並暫時解除安裝。

🔍 第二階段：入侵痕跡偵測與證據保全

1. 查看登入記錄：Win+R → eventvwr.msc → Windows 記錄 → 安全性 → 篩選事件 ID 4624 (成功登入)、4625 (失敗登入)，查看登入類型 (10=RDP、3=網路)、來源 IP、時間。
2. 檢查異常程序與啟動項：工作管理員 → 詳細資料 → 依 CPU/記憶體排序，留意陌生名稱、無簽章、路徑在 Temp/AppData/Public 的程序。
   Win+R → msconfig → 啟動 / 服務 → 勾選「隱藏所有 Microsoft 服務」→ 檢查可疑項。
3. 檢查排程工作：工作排程器 → 工作排程器程式庫 → Microsoft → Windows → 留意非標準路徑、PowerShell 編碼指令、下載執行類任務。
4. 保全證據：匯出事件記錄 (.evtx)、可疑檔案雜湊 (SHA256)、網路連線截圖 (netstat -ano)、進程清單 (tasklist /v)，存放於離線 USB，供後續報案/鑑識使用。

🛡️ 第三階段：深度清毒與系統淨化

1. 離線掃毒 (關鍵)：斷網狀態下執行：
   • Windows Defender 離線掃描：Windows 安全性 → 病毒與威脅防護 → 掃描選項 → Microsoft Defender 離線掃描。
   • Kaspersky Virus Removal Tool / ESET Online Scanner / Malwarebytes Free (離線安裝包) 全盤掃描。
2. 移除可疑程式與殘留：控制台 → 程式和功能 → 依安裝日期排序，移除不明、近期安裝的程式。用 BCUninstaller 或 Revo Uninstaller 深度清理註冊表殘留。
3. 修復系統檔案：管理員終端機 sfc /scannow + DISM /Online /Cleanup-Image /RestoreHealth。
4. 重設瀏覽器：Edge/Chrome/Firefox → 設定 → 重設為預設值，清除惡意擴充功能、首頁劫持、搜尋引擎劫持。

🔐 第四階段：重建防線與持續監控

⚠️ 何時必須「重灌/重置系統」？

• 發現 Rootkit / Bootkit (MBR/VBR 感染、UEFI 固體惡意代碼)。
• 系統核心檔案 (ntoskrnl.exe、winload.efi、ci.dll) 被修改、簽章失效。
• 多次清毒後仍有異常程序、網路連線、排程工作重現。
• 無法確定入侵範圍、時間點、橫向移動痕跡。

重灌步驟：備份資料 (離線掃毒後) → 下載官方 ISO → 製作啟動 USB → BIOS 設定啟動序 → 完整格式化系統分區 → 全新安裝 → 立即更新 → 套用上述防線 → 還原資料 (再掃毒一次)。

📞 法律與通報管道

• 台灣：165 反詐騙諮詢專線、警察局刑事局科技犯罪偵查中心 (02-2381-1611)、行政院資安處 TWCERT/CC (cert@cert.org.tw)。
• 企業：依資安管理法、個資法通報主管機關；啟動事件回應流程 (IR)。

結語

電腦被遠端控制不是世界末日，但必須「快、準、狠」處理。斷網隔離 → 保全證據 → 離線深度清毒 → 重建防線 → 通報備案，缺一不可。平時養成「最小權限、雙因子認證、離線備份、系統更新」四大習慣，才能在駭客敲門時從容應對。