防範蠕蟲病毒替換 explorer.exe：啟用 Windows 檔案保護 (WFP) 與 SFC 掃描

現象與危害

蠕蟲病毒 (如 W32/Sality、W32/Virut) 感染系統後，將 C:\Windows\explorer.exe 替換為病毒體，導致桌面無法顯示、卡在歡迎畫面、工作列消失。殺毒軟體清除病毒後，explorer.exe 已損毀，系統無法正常啟動。

核心防護：Windows 檔案保護 (WFP)

1. 勿刪除 C:\Windows\System32\dllcache：此資料夾儲存受保護系統檔案備份 (約 300-500MB)，是 WFP 運作基礎。精簡版 XP 常刪除此資料夾，導致 WFP 失效。
2. 啟用 WFP 掃描：
   Win+R → cmd → sfc /scannow (需 XP 安裝光碟)。
   系統將比對所有受保護檔案，自動從 dllcache/光碟還原被修改檔案。
3. 群組原則強化：
   Win+R → gpedit.msc → 「電腦設定」→「系統管理範本」→「系統」→「Windows 檔案保護」→ 啟用相關設定。

病毒替換檔案的技術細節

• 病毒通常保留原檔案版本號/時間戳記，偽裝成合法檔案。
• 若版本號不符，替換後可能引發副作用 (如寬帶撥號錯誤 5「載入電話簿失敗」)。
• 正規替換系統檔案 (如修補 uxtheme.dll) 應使用相同版本號檔案，並重新簽章。

補救措施

1. 從同版本、同更新級別的乾淨系統複製 explorer.exe 覆蓋 (需安全模式或 PE 系統操作)。
2. 執行 sfc /scannow 完整修復。
3. 若 dllcache 已刪除，必須提供 XP 安裝光碟作為來源。

最佳實踐

• 安裝正版防毒軟體並開啟即時掃描。
• 不以 Administrator 權限日常操作，使用標準使用者帳號。
• 定期建立系統還原點 / 系統映像備份 (Ghost/Windows 備份)。
• 關鍵系統檔案異動監控：FileMon/Process Monitor 監控 explorer.exe 寫入操作。