真實案例還原
收到陌生郵件附件「電腦技巧 100 招.exe」，瑞星掃毒無毒，執行後硬狂閃、藍屏重開機提示 system32\hal.dll 遺失，覆蓋安裝修復後發現：該自解壓檔**解壓路徑指向 C:\Windows**，並內建腳本 **刪除該路徑下所有檔案 (`*.*`)**。
惡意自解壓製作原理 (WinRAR 合法功能被濫用)
- 右鍵檔案 → 「加入壓縮檔」
- 勾選「建立自解壓格式」
- 「進階」頁籤 → 「自解壓選項」
- 「一般」頁：解壓路徑填 `C:\Windows` (或任意關鍵系統目錄)
- 「進階」頁：**「刪除檔案」欄位填 `*.*`** → 確定建立
使用者雙擊執行、點擊確定 → 系統核心檔案全數刪除 → 作業系統毀損。
為何傳統防毒失效？
- **非病毒程式碼**：純合法 WinRAR 模組 + 惡意腳本參數，無惡意二進位特徵碼
- **社工偽裝**：檔名誘人、附件經掃毒無毒、解壓對話框預設路徑隱蔽
- **零門檻**：無需管理員權限，當前用戶寫入權限即可破壞系統目錄 (早期 Windows 預設 Users 可寫 System32)
防護三大鐵律
- 來源驗證： 陌生人郵件/QQ/網盤分享的 `.exe`/`.sfx` 自解壓檔 **直接刪除，不執行**
- 執行前解剖： **右鍵 → 用 WinRAR/7-Zip/Bandizip 開啟** 檢視內部檔案清單與腳本區 (註解/Setup/Commands)，確認無惡意路徑/刪除/執行指令再解壓
- 系統目錄寫入保護：
- Windows 2000/XP/2003：NTFS 權限移除 Users 對 System32 的寫入權限
- Vista+：UAC 強制提權、TrustedInstaller 擁有系統檔案唯一寫入權
- 部署 **AppLocker/WDAC** 規則：僅允許簽署執行檔運行、禁止非受信路徑寫入系統目錄
應急處理流程
- 發現誤執行 → **立即強制關機** (長按電源鍵)，減少檔案寫入
- 啟動 WinPE/安裝媒體修復環境 → 檢查系統檔案完整性 (`sfc /offline` / `dism /restorehealth`)
- 若關鍵檔案遺失 → 系統修復安裝 / 還原還原點 / 重灌
- 提交樣本至防毒廠商 (雖非病毒，但屬惡意腳本，可納入 HIPS 規則庫)