「熊貓燒香」後又一惡性木馬 Trojan-Dropper.Win32.Agent.bct 手動清除全紀錄

作者因卸載防毒軟體兩天，即感染 Trojan-Dropper.Win32.Agent.bct 木馬。該木馬會感染所有磁碟機的 .exe 執行檔，感染後檔案增大 26,890 位元組，行為類似早期「Rose」病毒。安裝卡巴斯基掃毒後，因設定「自動刪除無法修復檔案」，導致近 25GB 程式與資料被連帶刪除，慘痛教訓提醒：**裸奔上網極度危險，務必常駐防毒軟體 (推薦 KAV 或 NOD32)**。

木馬運作機制分析

• 系統根目錄生成 _.de 與 _.de.bat，並建立 x:\windows\system\internat.exe (若同名資料夾存在則改名為 internat.exe.tmp)。
• 各磁碟根目錄生成 autorun.inf 與 setup.exe，利用 cmd.exe /c dir 非系統盤:\*.exe /s /b >>C:\WINDOWS\win.log 收集所有 exe 路徑並批次感染。

手動清除步驟 (方法一)

1. 工作管理員結束 internat.exe 進程。
2. 刪除 X:\windows\system\internat.exe。
3. 各磁碟右鍵開啟 (勿雙擊觸發 autorun)，刪除 autorun.inf 與 setup.exe。
4. 在系統盤根目錄建立名為 _.de 的**資料夾** (阻止木馬重新生成同名檔案)。
5. 全盤掃毒，無法修復的感染檔案可暫不刪除，待廠商發布專殺工具後再處理。此法可阻斷木馬再次發作。

登錄阻斷法 (方法二)

將以下內容存為 jy.reg 並匯入登錄：

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\internat.exe]
"Debugger"="internat.exe"

此設定利用「映像檔執行選項」將 internat.exe 重導向自身，導致無法執行，達到免疫效果。

給受害者的建議

若已遭卡巴斯基誤殺大量檔案，**切勿繼續寫入磁碟**，嘗試資料救援軟體 (如 EasyRecovery、R-Studio) 恢復。手動清除後，感染的 exe 檔仍帶毒，務必等待官方專殺工具徹底修復。以此為戒：**任何電腦聯網前，必須先穿上「防毒衣」**。