七大疑似被駭/中毒異常現象
- 系統不穩定： 頻繁藍屏/死機/自動重啟，無硬件故障/驅動衝突/散熱問題對應邏輯。
- 磁盤異常狂讀寫： 無大程序運行/無更新/無索引/無備份任務時，磁盤燈長亮/IO 100% (任務管理器/資源監視器 `disk` 列)、聲音異常 — 可能為挖礦、勒索加密、數據外洩、木馬掃描、Rootkit 隱藏文件操作。
- 軟驅/光驅/USB 設備莫名運作： 木馬/蠕蟲掃描可移動介質傳播 (如早期 Autorun.inf 蠕蟲、USB 蠕蟲)。
- 系統性能驟降： CPU/內存/網絡/GPU 佔用異常高，`Ctrl+Shift+Esc` 任務管理器發現**不知名進程**、**同名進程多實例** (如多個 `svchost.exe` 路徑不在 System32、多個 `explorer.exe`)、**系統進程無簽名/簽名無效/描述為空**。
- 網絡連接異常： `netstat -anob` 發現大量 `ESTABLISHED` 連接指向未知公網 IP、非標準端口、已知 C2 IP 段；流量監控顯示非業務時間大量上傳/下載。
- 文件/註冊表/賬號異變： 關鍵系統文件大小/時間戳/哈希變化、關鍵註冊表鍵值被篡改 (Run/RunOnce/Winlogon/Services/IFEO)、出現未知用戶/組、Administrator 密碼被修改/新增管理員組成員。
- 安全軟件失效/無法啟動/被卸載： 殺毒圖標消失、服務停止、界面打不開、更新失敗、掃描卡死 — 木馬首要目標即禁用防護。
手工應急排查七步法 (無殺毒軟件/殺毒失效時)
1. 檢查啟動腳本與配置文件 (DOS/Win9x/早期 NT 遺留)
C:\autoexec.bat, C:\config.sys — 檢查是否掛載未知驅動/程序 (如 `device=malware.sys`, `malware.exe`)。可疑行前加 `REM` 註釋禁用。C:\Windows\winstart.bat (僅 Windows 9x/Me/2000/XP 早期) — 同理檢查並備份刪除。
2. 檢查 Win.ini / System.ini (16 位/早期 32 位遺留)
notepad C:\Windows\win.ini → `[Windows]` 區塊 `load=` `run=` — 正常應為空。發現路徑 → 前加 `;` 註釋或清空。notepad C:\Windows\system.ini → `[386Enh]` / `[boot]` → `device=` / `shell=` — `shell=explorer.exe` 為標準，追加內容即為劫持。
3. 檢查「啟動」文件夾
- 路徑：`C:\Users\\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup` (當前用戶)
`C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp` (所有用戶)
- 檢查 `.lnk` 快捷方式目標、可執行文件/腳本/批處理 — 可疑項刪除 (剪切到隔離文件夾備份)。
4. 註冊表自啟動點深度掃描 (核心戰場)
運行 `regedit` (管理員) → **導出備份** → 檢查關鍵路徑 (詳見文章 146239 完整表格)：
`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run` / `RunOnce` / `RunServices` / `RunServicesOnce` / `Policies\Explorer\Run` / `Winlogon\Userinit` / `Winlogon\Shell` / `Image File Execution Options\*\Debugger` / `AppInit_DLLs` / `Services` (ImagePath) / `Schedule` / `WMI` 訂閱。
**神器：Autoruns (Sysinternals) — 一鍵全掃、驗證簽名、高亮無簽名/可疑項、支持命令行導出 CSV。**
5. 可執行文件完整性核對
- 關鍵系統文件：`.exe, .com, .dll, .sys, .drv, .ocx, .cpl, .scr, .msi, .bat, .cmd, .vbs, .js, .ps1, .wsf`。
- 建立基線：乾淨系統 `dir /s /b C:\Windows\System32\*.exe > baseline.txt` + `certutil -hashfile` 記錄哈希。
- 懷疑時：`sfc /scannow` 自動修復、對比哈希值、VirustTotal 提交可疑文件。
6. 進程與網絡連接實時審計
- 任務管理器 → 詳細信息 → 添加列：PID、路徑、命令行、發布者、描述、完整性級別。
- Process Explorer (Sysinternals) — 顏色區分 (紅=無簽名, 紫=打包/壓縮, 綠=正常)、驗證簽名 (Verify Signatures)、檢查字符串、TCP/IP 連接、DLL 加載、句柄、線程堆棧。
- `netstat -anob` / `TCPView` — 定位可疑 PID → 關聯進程 → 定位文件 → 提交分析。
7. 專用工具輔助 (綠色免安裝，攜帶 USB 工具盤)
- Process Hacker 2/3 / System Informer (開源、內核驅動級可見性、強制終止受保護進程)。
- Autoruns / Autorunsc (自啟動全掃描標杆)。
- RootkitRevealer / GMER / TDSSKiller / Malwarebytes Anti-Rootkit (Rootkit 專殺)。
- Rkhunter / Chkrootkit / Lynis (Linux 端)。
- Volatility / Rekall (內存取證框架，分析 `.dmp` / 物理內存鏡像)。
確認感染後的標準化響應流程
- 隔離： 物理斷網 / VLAN 隔離 / 防火牆封禁 / EDR 網絡阻斷。
- 取證： 內存鏡像 (WinPMEM/FTK Imager)、磁盤鏡像 (dd/FTK Imager/Guymager)、關鍵日志 (安全/系統/應用/Sysmon/PowerShell Operational)、網絡流量 (PCAP)、MFT/USN/預取文件/註冊表配置單元 — **鏈條保全、哈希驗證、只讀操作**。
- 清除： 依據 IOC (文件哈希、IP、域名、註冊表鍵值、互斥體、服務名、計劃任務名) 全盤清理。**建議：重裝系統 / 從乾淨鏡像恢複 / 重置設備 (Windows 10/11 雲端重置/本地重置) — 最徹底、成本最低、風險最小。**
- 憑證輪換： **所有** 賬號密碼 (域/本地/服務/數據庫/應用/VPN/郵件/雲控制台/代碼倉庫/金鑰) — **假設全部洩露**。
- 復盤： 根因分析 (初始入侵向量、漏洞、弱口令、釣魚、供應鏈)、攻擊鏈重現 (MITRE ATT&CK 映射)、損失評估、改進措施 (補丁、配置、策略、工具、流程、意識)、報告歸檔。
異常不一定是中毒，但**中毒必有異常**。建立「資產基線、行為基線、日志基線」，異常即告警，**自動化檢測 + 專家研判 + 標準化響應** 才是企業級應急能力。