Windows 產品啟用木馬 (Trojan.Kardphisher) 分析與手動移除指南

Symantec 回報並經微軟確認的 Trojan.Kardphisher 偽裝成 Windows 正版驗證視窗，實則竊取信用卡資訊。木馬本身破壞性不高，但社交工程手法極具欺騙性。

木馬行為特徵

• 開機或登入時彈出全螢幕「Windows 產品啟用」視窗，無法關閉、無法切換工作管理員。
• 要求輸入信用卡號、CVV、有效期限、持卡人姓名、帳單地址等完整財務資訊。
• 登錄機碼 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 寫入隨機鍵值實現持久化。
• 修改 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr 停用工作管理員。

手動移除步驟（安全模式）

1. 重新開機，反覆按 F8 進入「安全模式」。
2. Win+R 輸入 regedit 開啟登錄編輯器。
3. 刪除下列鍵值（若存在）：
   HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\soft2 vOQ>&wb+Ax
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Rd_Auga
4. 關閉登錄編輯器，正常重新開機。

替代方案：欺騙木馬進入系統後清除

若無法進入安全模式，可在偽裝視窗輸入虛假信用卡資訊（任意 16 位數字、任意 CVV、未來日期），木馬驗證通過後釋放桌面，隨即以管理員身分執行上述登錄刪除動作，並掃毒全盤。

防護建議

• 微軟官方啟用程式絕不會要求信用卡資訊，遇到索取財務資料的啟用視窗即為詐騙。
• 保持防毒軟體病毒碼最新，啟用即時掃描。
• 定期備份重要資料，遭遇勒索/竊取木馬可快速還原。