事件起因：msser.exe 謎樣進程

多位用戶回報發現不明進程 msser.exe，經交叉比對發現其來自「珊瑚蟲 QQ」安裝程式預設勾選的夾帶元件 —— 「eBay 易趣購物工具」。此類「捆綁推廣」行為屬灰色軟體典型特徵。

檔案落地全景圖 (共 7 支檔案，實為 3 組內容相同)

路徑	對應關係	說明
C:\windows\temp\Install\setup.exe	安裝主程式	釋放其他檔案、建立啟動項
%System%\appmgmt\msser.exe	內容相同	主驅動程式，啟動 task.exe、建立 Run 鍵值
%System%\dllcache\mstunmsr.dll
%System%\cba\task.exe	內容相同	下載更新模組，嘗試從遠端下載檔案
%System%\dllcache\mstuntsk.dll
%System%\inetsrv\inet.exe	內容相同	建立 msser.exe 啟動項 (IIS 鍵值)
%System%\dllcache\mstunint.dll

登錄檔持久化機制

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSSER"="%System%\appmgmt\msser.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"IIS"="%System%\inetsrv\inet.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tunl]  ; 自定義鍵值，存放配置/狀態

運行時行為鏈

1. setup.exe 執行 → 釋放檔案 → 寫入上述 3 組 Run 鍵值。
2. 開機/登入 → msser.exe 啟動 → 拉起 task.exe。
3. msser.exe / task.exe → 連接遠端伺服器下載更新 (臨時檔發現 download.htm、download.ini 含 SQL 片段 select * from download where datetime='日期')。
4. inet.exe 運行 → 重寫 msser.exe 的 Run 鍵值 (雙重保障持久化)。

完整手動清除步驟 (按順序執行)

階段 1：終止進程並刪除檔案

1. 工作管理器檢查並結束 msser.exe、task.exe 進程。
2. 刪除全部 7 支檔案：

C:\windows\temp\Install\setup.exe
%System%\appmgmt\msser.exe
%System%\cba\task.exe
%System%\inetsrv\inet.exe
%System%\dllcache\mstunint.dll
%System%\dllcache\mstunmsr.dll
%System%\dllcache\mstuntsk.dll

階段 2：清除登錄啟動項與自定義鍵

1. 開啟 regedit。
2. 刪除 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下的 MSSER 值。
3. 刪除 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run 下的 IIS 值。
4. 刪除整個 HKLM\SOFTWARE\Microsoft\Tunl 鍵值。

階段 3：驗證清除乾淨

• 重開機，確認 msser.exe、task.exe 不再啟動。
• 檢查啟動項 (msconfig/Autoruns) 無殘留。
• 全盤搜尋 mstun*、msser、tunl 關鍵字確無遺漏。

根源預防：安裝時「自定義安裝」取消勾選夾帶元件

安裝「珊瑚蟲 QQ」或任何共享軟體時：

1. 選擇「自定義安裝」而非「快速/典型安裝」。
2. 仔細閱讀每一步元件清單，取消勾選「eBay 易趣購物工具」、「3721 上網助手/網絡實名」、「CNNIC 中文域名程序」、「超級小秘書」、「MyIMLite」、「Desktop Media」等常見推廣元件。
3. 審閱授權協議 (EULA)，夾帶說明通常寫在條款中。

延伸警示：共享軟體捆綁生態鏈

「珊瑚蟲 QQ」非個案。大量國產共享軟體透過安裝精靈捆綁推廣元件 (下載器、工具列、瀏覽器劫持、廣告彈窗)，獲取推廣費用。用戶必須建立「逐步確認、拒絕預設、定期稽核啟動項」的防衛習慣。