前言：高手如何剖析病毒行為？

看過專家分析報告列出病毒逐步動作，是否好奇如何複現？關鍵在於建立「可控、可逆、可觀測」的實驗環境。本文實戰示範使用影子系統、FileMon、IceSword 三大神器，完整還原 sxs.exe 病毒行為並手動清除。

實驗環境佈建：三大核心工具

1. 影子系統 —— 無懈可擊的時光機

PowerShadow 建立系統鏡像模式，所有寫入操作導向虛擬空間，重開機即還原乾淨狀態。病毒破壞、檔案刪除、登錄檔竄改均無法永久生效。注意：實驗前務必備份重要檔案至外接儲存裝置。

2. FileMon —— 超級偵探的檔案監控器

FileMon (Sysinternals) 即時記錄所有檔案系統活動：建立、讀寫、刪除、重命名，並標示呼叫進程、時間戳記。設定過濾關鍵字（如 sxs.exe）可聚焦目標病毒行為。

3. IceSword —— 瑞士軍刀級反惡意碼工具

整合進程/埠口/啟動項/服務/登錄檔/核心模組檢視與強制刪除功能，可繞過病毒自我保護機制（如隱藏檔案、鎖定檔案、掛載系統進程）。

實戰流程：sxs.exe 病毒全程記錄與清除

第一階段：佈下天羅地網

1. 備份檔案、斷網、啟動影子系統完全模式（硬碟出現太極圖示）。
2. 關閉防毒軟體即時監控（避免干擾觀察）。
3. 啟動 FileMon，設定過濾關鍵字 sxs.exe，最小化待命。
4. 啟動 IceSword 進程/檔案/登錄檔分頁備查。
5. 執行病毒樣本。

第二階段：靜觀病毒發瘋，蒐集鐵證

FileMon 記錄關鍵行為：

• 於各分區與移動裝置複製病毒本體 sxs.exe 及 Autorun.inf。
• 釋放 htedtp.exe、htedtp.dll 至 C:\Windows\System32\。
• 建立 C:\Windows\System32\QQhx.dat 資料檔。
• 刪除瑞星卡卡助手 kakatool.dll 導致其無法啟動。
• 關閉 RavExt.dll（瑞星監控模組）。

小知識：病毒常將 DLL 注入 explorer.exe、svchost.exe、csrss.exe 等關鍵進程達到隱藏與保護。若遇掛載關鍵進程，建議使用 DOS 下殺毒工具清除。

第三階段：針鋒相對，步步為營清除病毒

1. 精準刪除病毒檔案：IceSword 依建立時間排序 System32 目錄，強制刪除 htedtp.exe、htedtp.dll、QQhx.dat；依 FileMon 記錄清除其他分區殘留檔。
2. 修復隱藏檔案顯示問題：病毒常竄改 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue 為 0。修正為 1 或重建 DWORD 值即可恢復。
3. 登錄檔清理：IceSword 檢視啟動項，刪除病毒寫入的 Run 鍵值；其他常見啟動位置（RunOnce、Winlogon Notify、服務等）同步檢查。
4. 清理 Autorun.inf：各分區根目錄下的 Autorun.inf 同步刪除，防止雙擊磁碟機觸發病毒。推薦使用 DSW 實驗室 Autorun 免疫工具修復磁碟機開啟關聯。

總結：從觀察到專殺的完整閉環

在安全可控環境誘發病毒執行 → 監控記錄全行為 → 依證據精準清除檔案與登錄檔 → 整理行為報告產出專殺腳本。這正是防毒廠商分析師的標準作業流程，掌握後你也能獨立分析未知樣本。