「熊貓燒香」後最棘手木馬 Trojan-Dropper.Win32.Agent.bct 手動清除實錄

作者因工作需求暫時卸載防毒軟體，僅兩天即感染 Trojan-Dropper.Win32.Agent.bct 木馬。該木馬會感染所有磁碟機的 .exe 檔，行為類似早期 Rose 病毒。安裝卡巴斯基後發現大量感染檔案被連帶刪除，導致 25GB 資料損失。現無專殺工具，僅能手動清除，記錄如下供參考：

木馬行為特徵

• 系統根目錄生成 _.de 並執行產生 _.de.bat，自殺後在 C:\Windows\System\internat.exe 駐留（若有同名目錄會改名為 internat.exe.tmp）
• 各磁碟根目錄生成 autorun.inf 與 setup.exe
• 執行 cmd.exe /c dir 非系統盤:\*.exe /s /b >> C:\WINDOWS\win.log 收集所有 .exe 路徑
• 依 win.log 感染 .exe 檔，檔案體積增加 26,890 位元組

手動清除步驟（方法一）

1. 用進程管理工具結束 internat.exe 進程。
2. 刪除 C:\Windows\System\internat.exe。
3. 以滑鼠右鍵進入各磁碟（避免雙擊觸發 autorun.inf），刪除 autorun.inf 與 setup.exe。
4. 在系統盤根目錄建立名為 _.de 的資料夾（非檔案），阻止木馬重新生成同名檔。
5. 全盤掃毒，無法修復的感染檔可暫時保留，待防毒廠商發布專殺工具再處理。此時木馬主程式已清除，感染檔雖未修復但不會再擴散。

方法二：登錄阻止 internat.exe 執行

將以下內容存為 jy.reg 並匯入登錄：

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\internat.exe]
"Debugger"="internat.exe"

此設定會導致 internat.exe 無法正常啟動，達到阻斷效果。

警示

已被防毒軟體誤刪檔案的使用者請節哀，手動清除後感染檔仍帶毒，建議等待官方專殺工具。切勿讓電腦在網路上「裸奔」，務必安裝卡巴斯基、NOD32 等主動防禦型防毒軟體。