電腦被入侵的 8 大前兆與深度清查手冊

駭客不一定只盯著大企業，擁有機密資料的個人電腦同樣是目標。當電腦出現莫名死機、自動重開機、檔案消失、硬碟狂轉、軟碟機被讀取、防毒軟體/防火牆報警、系統變慢等異常徵兆時，極可能已被植入木馬或後門程式。本文提供「第一時間反應」與「7 步深度清查」標準作業程序，助你掌握主動權。

第一時間反應：任務管理器快速偵測

1. 按 Ctrl+Alt+Del 開啟工作管理員，檢查執行中的程序。
2. 發現陌生程序、同名程序多重執行、程序數隨時間增加者，極度可疑。
3. 若在連網後出現上述現象，幾乎可確定中毒/被入侵。先嘗試結束可疑程序觀察系統是否恢復正常。

7 步深度清查標準流程

步驟 1：更新防毒軟體並全盤掃描

確保病毒碼為最新，執行完整掃描（含壓縮檔、開機磁區掃描）。

步驟 2：調整資料夾選項顯示隱藏系統檔

工具→資料夾選項→檢視：
取消勾選「隱藏受保護的作業系統檔案」
取消勾選「隱藏已知檔案類型的副檔名」

步驟 3：檢查 WIN.INI 啟動項

路徑：C:\Windows\WIN.INI
檢查 [WINDOWS] 區段下的 load=、run= 是否有不明程式路徑。

步驟 4：檢查 SYSTEM.INI 驅動程式載入項

路徑：C:\Windows\SYSTEM.INI
檢查 [386Enh] 區段下的 device=，留意完整路徑指向的可疑 .exe 檔（如 device=c:\windows\system32\tianyangdemeng.exe）。

步驟 5：檢查啟動資料夾

路徑：C:\Windows\Start Menu\Programs\Startup
將可疑捷徑/程式移至安全處備份後刪除。

步驟 6：使用 MSCONFIG 檢查系統啟動項

執行 msconfig →「啟動」頁籤，取消勾選不明來源項目。注意：此法與啟動資料夾檢查互補，兩者捕捉範圍不同。

步驟 7：登錄檔關鍵啟動鍵值深度檢查

執行 regedit，先匯出備份登錄檔，再檢查下列路徑：

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 的 Userinit、Shell 值

事後加固建議

• 安裝防火牆並設定出站規則，阻擋不明程式連網。
• 啟用 Windows 自動更新，修補系統漏洞。
• 重要資料加密備份，離線保存。
• 養成不隨意開啟不明附件、不瀏覽高風險網站的習慣。

入侵偵測是場持久戰，建立「觀察→驗證→清除→加固」的閉環流程，才能真正守護數位資產安全。