Windows 核心程序 alg.exe 深度解析：正常功能與病毒變種識別清除手冊

正常 alg.exe

• 檔案：alg.exe (Application Layer Gateway Service)
• 功能：支援 Internet 連線共享 (ICS) 與 Windows 防火牆的第三方協定外掛，屬系統服務，對穩定安全運行至關重要。
• 路徑：C:\Windows\System32\alg.exe

病毒變種：C:\Windows\alg.exe (非標準路徑)

來源：病毒樣本 eraseme_88446.exe 釋放。特徵：

1. 註冊為系統服務「Application Layer Gateway Services」指向 C:\Windows\alg.exe 實現開機載入。
2. 控制 winlogon.exe，導致無法在 Windows 下結束該程序。
3. IceSword 端口列表可見開啟 5-6 個網路連接埠。
4. 修改 ftp.exe、tftp.exe (大小不變、MD5 變為 09d81f8dca0cbd5b110e53e6460b0d3b)，原檔改名 backup.ftp/backup.tftp 存放於 C:\Windows\System32\Microsoft\。

手動清除流程

1. 清理登錄檔：
   ① HKLM\System\CurrentControlSet\Services 刪除 Application Layer Gateway Services。
   ② HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon → SFCDisable=0。
   ③ 同分支刪除 SFCScan=0。
   ④ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions 刪除 v7b5x2s1i4h3。
2. 重開機，顯示隱藏檔案。
3. 刪除 C:\Windows\alg.exe。
4. 將 C:\Windows\System32\Microsoft\backup.ftp 改回 ftp.exe、backup.tftp 改回 tftp.exe，複製覆蓋 System32 下被竄改檔案。

正常 alg.exe 位於 System32，若發現於 Windows 根目錄即為病毒，依上述流程清除。