帳號被盜、強制下線？盜號木馬偵測、清除與防護全攻略

QQ/遊戲帳號莫名被踢下線、密碼被改、虛擬資產轉移……這類「中木馬」慘劇每天上演。盜號木馬（如 SoundMan 系列）具備隱藏檔案、劫持映像執行選項（IFEO）關閉防毒、下載載入器、竊取鍵盤輸入等完整攻擊鏈。本文以 SoundMan 為例，實戰演示「偵測徵兆→手工清除→系統修復→長效防護」完整閉環。

一、如何判斷電腦已「中招」？

典型徵兆

• 防毒軟體自動關閉、無法更新、掃描秒結束
• 系統變慢、風扇全速、不明進程佔用高 CPU/網路
• 資料夾選項「顯示隱藏檔案」設定後自動失效
• 滑鼠右鍵選單出現「Auto」「AutoRun」字樣
• 使用者帳戶多出 Guest 或陌生管理員帳號

五大必查藏身處（以 SoundMan 為例）

1. 系統資料夾： C:\Windows\System32\ 檢查 SoundMan.exe、ineters.exe、tthh3.ini 等近期建立檔案
2. 啟動登錄檔： HKLM\Software\Microsoft\Windows\CurrentVersion\Run 及 HKCU\...\Run 檢查指向 System32 的可疑項目
3. IFEO 映像劫持： HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ 下是否有防毒軟體進程名稱（如 avp.exe、egui.exe），其 Debugger 值指向木馬 → 導致防毒啟動即被木馬接管
4. Win.ini / System.ini： load=、run=、shell=Explorer.exe malware.exe 等非預設值
5. 可移動裝置根目錄： autorun.inf + auto.exe 雙檔共存

二、手工清除實戰步驟（安全模式執行）

1. 解除 IFEO 劫持： 用 SREng、IcesWord 或手動刪除 Image File Execution Options 下防毒軟體對應的子鍵
2. 修復檔案關聯： SREng → 系統修復 → 檔案關聯 → 一鍵修復 .exe、.com、.bat 等被木馬掛載的關聯
3. 清理啟動項： SREng/msconfig/Autoruns 刪除指向 SoundMan.exe 等惡意程式的 Run/RunOnce 項目
4. 刪除惡意檔案： 顯示隱藏/系統檔案後，刪除 System32、Temp、啟動資料夾下的木馬本體與 .ini 設定檔
5. 修復安全模式： SREng 高級修復 → 修復安全模式，確保可進入安全模式掃毒
6. 全盤掃毒： 進入安全模式 → 更新防毒病毒碼 → 全盤掃描 + 專殺工具（如 360 專殺、卡巴斯基 TDSSKiller）

三、長效防護「三板斧」

1. 基線防護： 正版 OS + 自動更新補丁 + 主流防毒（開啟即時防護/雲端查殺/啟動保護）+ 個人防火牆
2. 帳號專屬盾： 安裝遊戲帳號保護軟體（動態密碼/手機綁定/硬體指紋），開啟雙因子驗證（2FA）
3. 註冊表鎖死 IFEO（進階）：
   regedt32 → HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
   右鍵權限 → Administrators / Users 群組 → 拒絕「完全控制」「寫入」 → 木馬無法再寫入劫持項

四、習慣決定安危

• 不點不明連結、不開不明附件、不執行「破解版」「鑰匙機」
• U 盤插入前按住 Shift 關閉自動播放，或永久關閉 gpedit.msc → 電腦設定 → 系統管理範本 → 系統 → 關閉自動播放
• 定期備份重要資料（3-2-1 原則），系統乾淨時做 Ghost/系統還原點

木馬產業鏈成熟，單靠事後查殺永遠落後一拍。「養成安全習慣 + 基線防護 + 定期稽核」三管齊下，才能真正贏回帳號主導權。