防毒廠商 Avast 最新研究揭露：**75% Rootkit 感染發生在 Windows XP 系統**，且以 **盜版、未安裝安全更新** 的主機為主。Rootkit 攻擊 **主開機記錄 (MBR)** 佔比高達 **62%**，遠超驅動程式層感染 (27%)。XP 結束支援後無補丁、MBR 保護機制缺失，成駭客隱蔽持久化、竊取隱私、構建僵屍網絡的首選目標。
| 指標 | 數據 | 含義 |
|---|---|---|
| XP 系統佔 Rootkit 感染比例 | 75% (四分之三) | XP 市場佔有率雖降但仍是重災區，因無補丁、高權限預設、舊版驅動漏洞多 |
| MBR 感染佔比 | 62% | Rootkit 感染 MBR 實現開機前載入、繞過作業系統防護、極難清除 |
| 驅動程式層感染佔比 | 27% | 載入核心模式驅動，權限最高，但需繞過簽名強制 (x64) 或 PatchGuard |
| 其他 (用戶模式、引導套件等) | 11% | 相對易檢測清除 |
| 盜版/未修補 XP 佔感染主機比 | 超過 80% (推估) | 無法接收自動更新、常關閉防火牆/防毒、使用破解版系統映像預載惡意碼 |
正常開機流程：BIOS/UEFI → MBR (啟動代碼) → VBR (分區啟動代碼) → Bootmgr/NTLDR → Windows Kernel MBR Rootkit 感染後： 1. 讀取原始 MBR → 儲存至磁碟隱藏扇區 2. 覆寫 MBR → 植入惡意啟動代碼 (Bootkit) 3. 開機時：惡意 MBR 代碼優先執行 → 載入 Rootkit 驅動/服務 → 還原原始 MBR → 移交正常開機流程 4. 結果：Rootkit 在 Kernel 初始化**前**已駐留 Ring 0，攔截所有 I/O、網路、檔案操作，隱藏自身檔案/進程/登錄/網路連線
| 層面 | 措施 | 工具/實施方式 |
|---|---|---|
| 系統層 | 安裝 POSReady 2009 / WES2009 更新 (至 2019 年) / 非官方更新包 (如 WSUS Offline Update XP) | 修改註冊表 `HKLM\SYSTEM\WPA\PosReady` = 1 獲取嵌入式版更新 |
| 啟動層 | 啟用 BIOS/UEFI **啟動區病毒保護** / **Secure Boot** (UEFI 主板) / **MBR 寫入保護** (BIOS 選項) | 進 BIOS → Security → Boot Sector Virus Protection → Enabled |
| 權限層 | 建立標準用戶日常操作，僅維護時用 Administrator，啟用 SRP (軟體限制原則) 限制執行路徑 | gpedit.msc → Windows 設定 → 安全性設定 → 軟體限制原則 → 新增路徑規則 (僅允許 C:\Windows, C:\Program Files) |
| 防毒層 | 安裝支援 XP 的防毒 (Avast Free 20.10 版前、Kaspersky Free、Bitdefender Free、360、火綿) + **啟用啟動時掃描 / MBR 掃描 / Rootkit 掃描** | Avast → 保護 → 病毒掃描 → 開機掃描 → 勾選「掃描 MBR 和啟動扇區」 |
| 網路層 | 硬體防火牆/路由器隔離、關閉不必要埠 (135, 139, 445, 3389)、啟用 IPsec 隔離 | 工控環境部署工業級防火牆 (如 Hirschmann, Moxa, Tofino) |
| 監控層 | 部署 HIDS (主機入侵偵測) / Sysmon + Event Log 轉發 / 定期離線掃描 (Kaspersky Rescue Disk, WinPE) | Sysmon Event ID 1 (Process Create), 7 (Image Load), 13/14 (Registry), 25 (Driver Load) |
| 備份層 | 定期離線完整磁碟映像備份 (Clonezilla, Macrium Reflect, Ghost) + 關鍵資料異地備份 | 每週/每日增量，驗證可還原 |
**Rootkit 不再是傳說，而是潛伏在四分之三未受保護 XP 機器上的現實威脅。** MBR 感染隱蔽、持久、難清除，配合盜版系統、無補丁環境，構成駭客低成本、高回報的攻擊鏈。對於仍在運行 XP 的每一台設備，**隔離、監控、備份、遷移** 是唯一負責任的選擇。
