前言
即便部署防毒軟體、防火牆、EDR，零時差漏洞、社交工程、供應鏈攻擊仍可能導致端點失陷。發現異常時，冷靜依循標準流程處置，可將損失降至最低。本文提供六步驟緊急處置 SOP。
步驟 1：立即網路隔離
- 拔除網路線 / 關閉 Wi-Fi / 切換飛航模式。
- 若為虛擬機：在 Hypervisor 層面斷開虛擬網卡或套用「隔離」安全群組。
- 目的：阻斷 C2 通訊、防止橫向移動、停止資料外洩、避免勒索軟體加密網路磁碟機。
步驟 2：保存證據與記錄
- 記憶體映像： 使用
WinPMEM、DumpIt、FTK Imager 取得完整實體記憶體映像（勒索軟體金鑰、解密金鑰、C2 IP、注入模組常駐記憶體）。
- 磁碟映像：
dd/FTK Imager/Macrium Reflect 製作位元級映像，保留時間戳、刪除檔案殘留、MFT 記錄。
- 系統日誌： 匯出 Windows 事件日誌 (Security, System, Application, PowerShell Operational, Sysmon)、防火牆日誌、防毒/EDR 偵測報告。
- 程序/網路快照：
tasklist /v、netstat -ano、Get-Process | Select-Object Id,ProcessName,Path,CommandLine (PowerShell)。
步驟 3：識別惡意軟體屬性與影響範圍
- 提交可疑檔案至 VirusTotal、Hybrid Analysis、Any.Run、Joe Sandbox 進行靜態/動態分析。
- 查詢 IOC (指標)：檔案雜湊 (SHA256)、IP/網域、Mutex、登錄鍵值、排程任務、服務名稱。
- 判斷類型：勒索軟體、遠端存取木馬 (RAT)、資訊竊取器、挖礦程式、Bootkit/Rootkit、Wiper。
- 評估橫向移動風險：是否竊取憑證 (LSASS、SAM、瀏覽器密碼)、利用 SMB/WinRM/RDP/SSH 橫向擴散。
步驟 4：阻斷持久化與惡意行為
- 終止惡意程序樹：
taskkill /PID /T /F 或 Process Hacker/Process Explorer。
- 移除持久化機制：
- 啟動資料夾 / Run / RunOnce 登錄鍵值
- 排程任務
- 服務
- WMI 事件訂閱
- COM 劫持 / DLL 攔截
- 瀏覽器擴充套件 / Shell 延伸
- 封鎖 C2 指標：防火牆/Proxy/DNS 阻斷惡意 IP/網域；更新 EDR/防毒特徵碼/行為規則。
- 若為勒索軟體：勿立即重啟（記憶體中可能殘留金鑰），優先嘗試記憶體提取金鑰或尋找離線解密工具 (No More Ransom)。
步驟 5：徹底清除與系統還原
- 離線掃描： 使用 Windows Defender 離線掃描、Kaspersky Rescue Disk、ESET SysRescue Live 等可開機掃描媒體，避開 Rootkit 隱藏。
- 多引擎掃描： 依序掃描：Microsoft Defender → Malwarebytes → HitmanPro → Kaspersky Virus Removal Tool（各引擎偵測率互補）。
- 手動清理殘留： 依 IOC 刪除檔案、登錄值、排程任務、服務、WMI 訂閱、ACL 異常權限。
- 驗證系統完整性：
sfc /scannow、DISM /Online /Cleanup-Image /RestoreHealth、檢查關鍵系統檔案雜湊。
- 必要時重灌： 若為 Bootkit/Rootkit、系統檔案大量被竄改、無法確信清除乾淨 → 重新安裝作業系統，從乾淨映像部署。
步驟 6：事後強化與複盤
- 憑證重置： 變更所有可能外洩帳號密碼（本地、域、VPN、雲端服務、銀行、郵件），強制 MFA。
- 修補根因： 套用缺失修補程式、關閉不必要服務/埠口、移除未授權軟體、修正錯誤權限配置。
- 更新防護簽名/規則： 確保防毒/EDR/NDR/Email Gateway 同步最新威脅情報。
- 事件複盤報告： 記錄時間線、入侵路徑、影響範圍、處置動作、損失評估、改善措施，納入資安管理體系持續改善。
- 演練與教育： 針對入侵向量 (釣魚、漏洞、弱密碼) 辦理專項演練與員工教育訓練。
快速參考卡 (列印張貼)
1. 隔離網路
2. 取證保存 (記憶體/磁碟/日誌)
3. 鑑別惡意軟體與影響
4. 斷持久化、封 C2、停加密
5. 離線多引擎掃描 → 重灌
6. 改密碼、補漏洞、更新規則、寫報告、辦演練
結語
中毒不可怕，可怕的是無序應對導致證據滅失、攻擊擴散、業務長期中斷。建立標準化 SOP、定期桌上演練、投資可見度工具 (Sysmon, EDR, NDR)，讓組織在危機時刻能「快、準、穩」處置，快速恢復業務連續性。