一、常見電腦異常：病毒還是軟硬體故障？

現象	可能為病毒特徵	常見非病毒原因
頻繁當機/重開機	開啟大量檔案、佔用大量記憶體、修改核心系統檔	記憶體不良、超頻不穩、硬碟壞軌、驅動程式衝突、散熱不良
無法開機	引導區病毒破壞 MBR/DBR、刪除啟動檔	硬碟損壞、BIOS 參數錯誤、系統檔被誤刪、開機磁區壞損
檔案無法開啟	修改檔案格式/連結位置、加密勒索	檔案損壞、關聯程式遺失、捷徑指向錯誤、網路磁碟機路徑變更
記憶體不足提示	駐留記憶體、後台大量惡意程序	開啟過多程式、記憶體實體不足（建議≥2GB）、虛擬記憶體設定錯誤
硬碟空間暴減	自我大量複製、生成垃圾檔	分區過小、安裝大型軟體、系統還原點佔用、配額限制
軟碟/光碟機無故讀寫	病毒掃描可移動媒體、啟動磁區感染	軟碟未取出、背景索引服務、防毒掃描
出現不明檔案	病毒產生副本、釋放元件	安裝程式暫存檔、應用程式日誌、瀏覽器快取
開機黑屏	CIH 類破壞 BIOS、顯示卡 BIOS	顯示器/顯卡/主板故障、超頻過度、CPU 損壞
資料遺失	刪除/加密檔案、破壞檔案系統	硬碟壞軌、誤刪、覆蓋還原、網路共享被他人刪除
鍵盤/滑鼠鎖死	木馬遠端控制、鍵盤記錄器	硬體故障、介面損壞、鎖鍵程式、系統高負載假死
系統變慢	佔用 CPU/記憶體、後台採礦、發送垃圾郵件	硬體老化、啟動項過多、碎片化、網路擁塞、磁碟空間不足
自動執行不明動作	排程任務、啟動項、註冊表 Run 鍵被植入	軟體自動更新、安裝程式要求重開機

判斷原則： 先殺毒，無效再排查軟硬體。多重驗證，避免誤判。

二、病毒分類學總覽

按感染對象分類

• 引導型： 感染 MBR/DBR，開機前取得控制權（如 Stoned、Michelangelo）。易清除，多數防毒軟體可修復引導區。
• 檔案型： 感染 .exe/.com/.dll/.sys 等可執行檔。早期附加於檔首/檔尾；CIH 採用分段嵌入 PE 空洞，檔案大小不變，隱蔽性高。
• 巨集/腳本型： 感染 Office 文件、VBS/JS/WSF 腳本。利用巨集自動執行特性傳播（如 Melissa、ILOVEYOU）。
• 網路/蠕蟲型： 主動掃描漏洞、利用郵件/IM/P2P/共享資料夾傳播（Blaster、Sasser、Conficker）。不需宿主檔案，破壞力強。
• 複合型： 同時具備引導區與檔案感染能力（如 One_Half），清除難度極大，需同時清除兩端殘留。

按破壞程度分類

• 良性： 僅顯示訊息、播放聲音、佔用少量資源，無實質破壞（早期惡作劇病毒）。
• 惡性： 修改/刪除檔案、竊取資訊、干擾操作，重灌系統可恢復（如大多數木馬、間諜軟體）。
• 極惡性： 導致系統徹底崩潰、資料無法存取、需低階格式化恢復（如 CIH、Petya/NotPetya）。
• 災難性： 破壞硬體韌體（BIOS）、鎖死/格式化硬碟、造成永久性物理損壞（CIH、某些勒索軟體變種）。

按入侵手法分類

• 原始碼植入： 編譯前植入原始碼（極罕見，需取得源碼）。
• 程式碼替換： 以病毒本體替換目標程式模組（針對性強，難發現）。
• 系統修改： 覆蓋/修改系統檔、註冊表、啟動項（最常見，如檔案型病毒、Rootkit）。
• 外殼封裝： 將病毒封裝於正常程式前後，執行時優先執行病毒碼（主流封裝器：UPX、ASPack、Themida 等）。

三、病毒偵測與清除實務

1. 防毒軟體掃描： 選用主流引擎（Kaspersky、ESET、Bitdefender、Windows Defender 等），啟用啟發式、雲端查詢、行為監控。定期全盤掃描 + 即時防護。
2. 觀察法： 熟悉上述癥狀表，結合 netstat -an、tasklist、msconfig、autoruns 檢查異常連線、進程、啟動項。
3. 完整性檢查： 使用 Tripwire、AIDE、Windows 檔案資源管理器 (SFC /scannow) 驗證系統檔完整性。
4. 漏洞掃描： MBSA、Nessus、OpenVAS 定期掃描缺失修補程式與設定錯誤。
5. 離線清除： 疑似 Rootkit/引導區病毒，使用 WinPE/Linux Live USB 啟動離線掃描清除。

四、預防勝於治療：核心防護清單

• 作業系統/軟體自動更新（修補已知漏洞）。
• 標準權限帳號日常操作，UAC 保持開啟。
• 主流防毒 + 反惡意軟體雙引擎即時防護。
• 防火牆封鎖非必要連入/連出連線。
• 郵件/瀏覽器/文件巨集預設停用，按需啟用。
• 3-2-1 離線備份，定期演練還原。
• 安全意識訓練：識別釣魚郵件、不執行不明程式、不輸入帳密於可疑頁面。

結語

病毒手法日新月異，但核心邏輯不外乎「傳播、隱藏、破壞、獲利」。掌握癥狀辨識、分類知識、偵測工具與預防體系，才能在攻防對抗中立於不敗之地。