間諜軟體 (Spyware) 隨免費軟體、共享檔案、駭客圖片捆綁安裝，竊取瀏覽習慣、鍵盤輸入、螢幕畫面、甚至企業機密文件。Gartner 警告：未來將演變為竊取密碼、信用卡、身分證號、辦公文件的核心工具。本文完整涵蓋防禦策略、偵測工具、清除實務與企業級治理建議。
間諜軟體核心特徵
- 捆綁安裝：免費軟體安裝精靈隱藏勾選項、偽裝 EULA。
- 隱蔽持久：註冊表多點自啟、BHO/LSP/驅動級掛鉤、Rootkit 隱藏檔案/進程/登錄鍵。
- 資料外洩：定期上傳瀏覽歷史、表單資料、螢幕截圖、特定檔案 (Word/Excel/原始碼)。
- 抗移除：監控自身註冊表鍵值，刪除即重建；Hook
OpenProcess 阻止任務管理員結束進程。
企業級防禦三道防線
第一道：強制安全策略 (技術管制)
- 群組原則 (GPO) 鎖定 IE/Edge 安全區域：停用 ActiveX、腳本、檔案下載、非信任簽署控制項。
- 應用程式白名單 (AppLocker/WDAC) 僅允許簽署信任的執行檔運行。
- HTTP/HTTPS 代理過濾 (Websense、Zscaler、Cloudflare Gateway) 阻斷惡意下載、C&C 連線。
- 不需上網業務的主機 → 物理斷網或 VLAN 隔離。
第二道：員工安全意識訓練 (人為管制)
- 不下載 P2P/破解版/不明來源軟體；不點擊誘餌圖片/連結；免費軟體必經 IT 審核。
- 核心原則：「工作不需要，就不點擊、不下載、不執行。」
第三道：端點偵測與清除 (EDR + 專用工具)
- Websense CAM (Client Application Module)：核心過濾驅動攔截間諜軟體載入、分類查殺、阻止資料外傳，整合至集中管理主控台回報。
- 商業 EDR：CrowdStrike、SentinelOne、Microsoft Defender for Endpoint 行為偵測 (MITRE ATT&CK T1056, T1005, T1041)。
- 免費專用清除工具：
- Ad-Aware (Lavasoft)：經典掃描引擎，需手動更新定義。
- SpyBot Search & Destroy：免費、免設定、偵測率高，含免疫功能 (鎖定惡意註冊表/Hosts/ActiveX)。
- Malwarebytes Free：掃描與清除能力強，適合定期手動掃描。
- Windows Defender 離線掃描：WinRE 環境掃描，清除持久化惡意碼。
清除實務 SOP
- 斷網 (拔網路線/關無線) 防止資料外洩與遠端指令。
- 進入安全模式 (帶網路) 或 Windows RE 環境。
- 依序執行：Malwarebytes → SpyBot → Ad-Aware → Defender 完整掃描。
- 檢查啟動項 (Autoruns)、服務、計畫任務、瀏覽器擴充功能、Hosts 檔、Proxy 設定。
- 修復系統檔案：
sfc /scannow、DISM /Online /Cleanup-Image /RestoreHealth。
- 重開機驗證，連網後再掃一次確認無殘留。
結語
間諜軟體不再只是廣告騷擾，而是資料外洩、金融詐騙、APT 滲透的前鋒。企業必須從「被動查毒」轉向「主動防護 + 零信任架構」：最小權限、應用白名單、流量檢測、持續教育。個人用戶則應養成「不輕信免費、定期掃描、重要資料加密備份」的數位衛生習慣。