前言：病毒不總是彈窗報警，異常行為才是真實信號
病毒/惡意代碼運行時必然消耗資源、修改系統狀態、產生副作用。識別以下 16 種異常徵兆，可在無殺毒軟體/病毒庫滯後時實現「零日感知」。
16 大異常徵兆分類解析
視覺與聲音異常
- 螢幕顯示異常：非正常程式產生的特殊畫面、字元、亂碼、花屏、翻轉、倒影。
- 揚聲器異常聲響：非用戶觸發的音樂、語音、蜂鳴器報警、硬碟尋軌聲模擬。
系統穩定性與效能異常
- 記憶體無故縮減：工作管理員/資源監視器顯示可用記憶體異常下降，惡意程式佔用或掛鉤消耗。
- 程式執行明顯變慢：CPU/磁碟/網路被惡意進程佔用，排程任務、加密掃描、數據外洩佔用資源。
- 系統無故死機/凍結：核心模組衝突、惡意驅動錯誤、資源耗盡觸發看門狗重置。
- 意外重新開機：電源正常情況下自動重啟，可能為惡意代碼觸發重啟、利用漏洞提權後需重啟生效、Rootkit 隱藏行為需重啟載入。
檔案系統與儲存異常
- 檔案屬性異變：可執行檔（.exe/.com/.dll/.sys）大小暴增、時間戳被修改（竄改為舊日期隱藏）、校驗和改變。
- 檔案莫名遺失/損壞：資料檔案被加密/刪除/覆寫（勒索軟體/破壞型病毒）。
- 磁碟壞軌激增：邏輯壞軌（引導扇區/ FAT/MFT 破壞）而非物理損壞，病毒直接操作磁碟扇區所致。
- 磁碟卷標自行變更：開機扇區病毒修改卷標標識感染狀態。
- 無讀寫操作時磁碟指示燈閃爍：後台掃描、加密、外洩、自我複製活動。
軟體與周邊設備異常
- 原本正常軟體無法運行/異常：DLL 劫持、IAT Hook、API 截獲、相容性破壞。
- 字庫/資料庫無故不可用：病毒感染資源檔案或修改註冊表關聯。
- 列印機異常：列印佇列被惡意任務佔用、驅動被修改、列印內容被竄改。
啟動與核心層異常
- 硬碟 C 槽無法開機：MBR/DBR 被病毒覆寫/加密、引導扇區感染。
- 軟碟啟動卻進入 C 槽：MBR 病毒攔截 INT 13h 中斷，重導向硬碟啟動。
- 頻繁「寫入保護錯誤」提示：病毒嘗試寫入受保護磁碟/軟碟，或模擬錯誤誤導用戶。
- COMMAND.COM 被修改：DOS 核心命令解釋器被感染，所有命令執行前先執行病毒代碼。
- 磁碟出現無法識別的檔案：隨機檔名、隱藏/系統屬性、非常駐目錄、替代資料流（ADS）隱藏惡意代碼。
異常徵兆 → 可能威脅類型對照表
| 徵兆組合 | 高疑似威脅類型 | 優先處理動作 |
|---|
| 啟動異常 + MBR 變更 + 磁碟壞軌 | 開機型病毒 / Rootkit / 勒索軟體 | 離線掃描（PE/USB 啟動）、MBR 修復、磁碟鏡像保全 |
| 記憶體暴增 + CPU 滿載 + 網路異常連線 | 挖礦木馬 / DDoS Bot / 僵屍網絡節點 | 斷網、查殺進程、清理啟動項、修補漏洞 |
| 檔案加密 + 勒索提示 + 磁碟高負載 | 勒索軟體 | 斷網、備份加密檔、尋找解密工具、不付贖金 |
| 瀏覽器首頁/搜尋/彈窗異常 + BHO 異常 | 瀏覽器劫持 / 流氓軟體 | 重置瀏覽器、清理註冊表 BHO/Toolbar、專用清理工具 |
| 鍵盤輸入延遲 + 異常網路傳輸 | 鍵盤記錄器 / 間諜軟體 | 虛擬鍵盤、安全鍵盤工具、全盤掃描、修改密碼 |
驗證與應急標準流程（SOP）
- 斷網隔離：物理拔網線/關無線，阻斷數據外洩與橫向移動。
- 進入安全模式/WinPE：最小化驅動/服務環境，便於清除啟動項持久化木馬。
- 多引擎掃描：本地主動防禦 + 雲端掃描 + 專項清理工具（如反勒索、反 Rootkit）。
- 系統完整性驗證：
sfc /scannow、DISM /RestoreHealth、關鍵檔案雜湊比對。
- 修改所有憑證：假設已洩露，全量輪換密碼、金鑰、Token、憑證。
- 溯源加固：分析入侵向量（釣魚/漏洞/供應鏈/弱密碼），修補根因，更新基線。
結語
這 16 種徵兆涵蓋從 DOS 時代開機型病毒到現代 APT 活躍期的共性特徵。異常即日誌，觀察即偵測。養成「關注資源管理器、事件檢視器、網路連線、啟動項、檔案屬性」的習慣，配合自動化監控基線，是超越特徵庫依賴的核心安全能力。