盜號木馬入侵徵兆與清除全流程：從隱藏檔案異常到註冊表啟動項深度排查

QQ 莫名發送釣魚連結、被迫下線、密碼盜竊頻發，多為盜號木馬 (如 SoundMan 木馬) 作祟。本文以 SoundMan 為例，詳細解析木馬四大典型徵兆 (隱藏檔案失效、System32 異常檔案、帳號異常、autorun 傳播) 與五大藏身點排查法，提供從發現到徹底清除的完整實戰流程。

四大典型中毒徵兆 (以 SoundMan 為例)

五大木馬藏身點深度排查

1. Win.ini 啟動項：
   記事本開啟 C:\Windows\Win.ini → [windows] 區段 → 檢查 load=、run= 後是否有程式路徑 (正常應為空)
2. System.ini 系統啟動項：
   記事本開啟 C:\Windows\System.ini → 檢查：
   • [boot] shell=Explorer.exe 後是否有附加程式
   • [386Enh] device=路徑\程式
   • [mic]、[drivers]、[drivers32] 區段異常項目
3. 註冊表啟動項 (核心藏身點)：
   regedit → 檢查下列路徑是否有陌生程式指向系統資料夾：
   • HKLM\Software\Microsoft\Windows\CurrentVersion\Run
   • HKLM\...\RunServices、RunOnce、RunServicesOnce
   • HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • HKCU\...\RunServices、RunOnce
4. 檔案關聯劫持：
   檢查預設值是否為 "%1" %*，若被改為 "muma.exe %1 %*" 等 → 中毒
   • HKCR\exefile\shell\open\command
   • HKCR\comfile\shell\open\command
   • HKCR\batfile\shell\open\command
   • HKCR\htafile\shell\open\command
   • HKCR\piffile\shell\open\command
   • HKLM\Software\Classes\... (同上五項)
5. 服務項偽裝：
   services.msc → 檢查名稱類似系統服務但路徑指向非系統資料夾的項目 (如 C:\Windows\Temp\xxx.exe)

清除實戰流程 (建議順序)

1. 斷網 + 進入安全模式 (開機 F8 → 「安全模式」) 切斷木馬網路連線與自我保護
2. 顯示隱藏檔案 + 取消隱藏副檔名 (資料夾選項)
3. 刪除上述五大藏身點發現的所有惡意項目/檔案/鍵值
4. 刪除 System32 中木馬釋放檔 (依建立時間、檔名特徵判斷)
5. 全盤掃毒 (最新病毒碼、掃描壓縮檔/掃描記憶體/啟動啟發式)
6. 修復系統設定：資料夾選項恢復、註冊表檔案關聯恢復、IE 首頁恢復
7. 修改所有重要密碼 (QQ、網銀、郵箱、遊戲等) → 啟用二次驗證
8. 重開機進正常模式驗證：無異常彈窗、隱藏檔案正常、啟動項乾淨

預防性防護體系

• 啟用「顯示隱藏檔案」、取消「隱藏已知副檔名」為預設習慣
• 關閉移動裝置 AutoRun：gpedit.msc → 電腦設定 → 系統管理範本 → 系統 → 關閉自動播放 → 啟用「所有磁碟機」
• 使用標準權限帳號日常操作，僅管理時切換管理員
• 安裝具備行為分析/雲端查殺的新一代端點防護軟體
• 定期備份重要資料 (遵循 3-2-1 原則)

總結

盜號木馬隱蔽性強、傳播快、危害大。「徵兆識別 → 藏身點排查 → 安全模式清除 → 密碼重設 → 防護體系建立」五步走，是從被動受害轉為主動防禦的必經之路。建議將五大藏身點排查清單、清除流程 SOP 化，納入個人/團隊資安演練。