殺毒軟體不是尼奧，你才是。特徵碼引擎面對未知樣本、私人後門、APT 攻擊幾乎失效。本文引導你建立「手工查毒」核心能力：掌握註冊表、進程、權限三大知識點，學會嗅出不請自來的「客人」。

一、為何殺毒軟體不是救世主？

• 特徵碼窮盡性缺陷：資料庫膨脹 → 掃描緩慢、資源佔用高；未收錄樣本 (私人後門、0day) 直接繞過。
• 被動防禦邏輯：掃描 → 匹配 → 查殺，永遠落後攻擊者一步。
• 自我保護脆弱：高權限惡意碼可終止防毒進程、刪除病毒庫、修改註冊表禁用服務。
• 依賴陷阱：用戶喪失主動分析能力，一旦防線失守全盤皆輸。

二、手工查毒三大核心知識點

1. 註冊表：系統配置中樞與持久化戰場

五大根鍵：

• `HKCR`：檔案關聯/COM 物件 — 並聯型後門最愛修改 `.exe`/`.scr`/`.bat` 開啟動作。
• `HKCU`：當前用戶環境 — `Run`/`RunOnce` 使用者級自啟。
• `HKLM`：系統全域環境 — `Run`/`RunOnce`/`RunServices` 機器級自啟，**後門首選**。
• `HKU`：所有用戶配置 — 遍歷側寫其他用戶自啟項。
• `HKCC`：當前硬體配置 — 少見但可植入驅動級持久化。

必查三大自啟鍵值：`HKCU\...\Run`、`HKLM\...\Run`、`HKLM\...\RunServices`。

2. 進程：執行中程式的記憶體映像

• 每個可執行檔載入記憶體即形成進程，擁有唯一 PID。
• 關鍵屬性：映像名稱、PID、父進程 (PPID)、命令列參數、完整路徑、簽名驗證、記憶體區域、載入模組 (DLL)、網路連線、開啟控制代碼。
• 工具：Process Explorer (Sysinternals) — 取代工作管理員的神器，支援 VirusTotal 線上掃描、字串搜尋、差集比對。

3. 權限：存取控制的決策核心

• 存取權杖：SID、群組 SID、特權 (SeDebugPrivilege、SeLoadDriverPrivilege 等)、完整性等級 (Low/Medium/High/System)。
• UAC 機制：管理員雙重權杖 (完整/過濾)，提示提權獲取完整權杖。
• 惡意碼常濫用：`SeDebugPrivilege` 讀寫他進程記憶體、`SeLoadDriverPrivilege` 載入駭客驅動、`SeTakeOwnershipPrivilege` 竊取檔案所有權。

三、捕獲「不請自來的客人」實戰流程

1. 基線建立：乾淨系統快照 — `Autoruns` 匯出、進程列表匯出、服務列表匯出、開機啟動項截圖。
2. 異常狩獵：
   • 無簽名/簽名無效/簽名不匹配的執行檔。
   • 路徑異常：`Temp`、`AppData`、`ProgramData`、非標準目錄下的 `.exe`/`.dll`/`.sys`。
   • 名稱偽裝：`svch0st.exe`、`explore.exe`、`winlogon.exe` (非 `System32`)、`googleupdate.exe` (非 Google 簽名)。
   • 網路連線異常：非系統進程建立外連、監聽非常用埠、大量連線。
   • 資源佔用異常：空閒時 CPU/磁碟/網路高載。
3. 深度取證：
   • Process Explorer → 檢查字串 (IP/域名/錢包地址/加密金鑰)。
   • Process Monitor 記錄檔案/註冊表/網路活動。
   • Volatility 記憶體取證 (離線分析)。
4. 清除與驗證：
   • 終止惡意進程樹 → 刪除持久化點 (註冊表/服務/任務/啟動資料夾) → 粉碎惡意檔案 → 修復系統設定 (Hosts/Proxy/防火牆規則/DNS) → 重開機驗證乾淨基線。

手工查毒是苦功夫，但能練就「安全直覺」。工具輔助決策，大腦主導判斷，才是對抗未知威脅的終極武器。