Cabir 蠕蟲家族：首個大規模感染 Symbian S60 的藍牙蠕蟲

Cabir 於 2004 年首度現身，是史上第一支透過藍牙傳播的手機蠕蟲。雖然傳播需使用者互動（接受配對、安裝 .sis），但其原始碼外洩後衍生出大量變種，至今仍是行動惡意軟體研究的經典案例。本文彙整 Cabir A 至 L 及 Dropper 變種的特徵與清除步驟。

核心傳播機制

1. 掃描可見的藍牙裝置（需開啟藍牙且設為「可被發現」）。
2. 發送 caribe.sis（或變種檔名）至目標手機收件匣。
3. 使用者點擊安裝 → 蠕蟲啟動 → 註冊自啟動 → 持續掃描傳播。
4. 關鍵點： 感染後關閉藍牙無效，因蠕蟲已駐留記憶體並註冊自啟動。

各變種特徵與清除路徑對照表

變種	安裝時顯示檔名/文字	關鍵差異	清除檔案路徑（需用 Seleq/FileMan 等檔案管理器）
Cabir.A	caribe.sis / "Caribe-VZ/29a"	原始版本	c:\system\apps\caribe\caribe.rsc c:\system\apps\caribe\caribe.app c:\system\apps\caribe\flo.mdl c:\system\recogs\flo.mdl c:\system\symbiansecuredata\caribesecuritymanager\caribe.app c:\system\symbiansecuredata\caribesecuritymanager\caribe.rsc
Cabir.B	caribe.sis / "Caribe"	開機顯示文字不同
Cabir.C	MYTITI.SIS	安裝檔名變更
Cabir.D	[YUAN].SIS	安裝檔名變更
Cabir.E	Ni&Ai-.SIS	安裝檔名變更
Cabir.Dropper	Norton AntiVirus 2004 Professional.sis	一次安裝 B/C/D 三種變種，取代第三方應用程式檔案	c:\images\ c:\sounds\digital c:\system\apps\btui c:\system\apps\fexplorer c:\system\apps\file c:\system\apps\freakbtui c:\system\apps\smartfileman c:\system\apps\smartmovie c:\system\apps\systemexplorer c:\system\apps\[yuan]
Cabir.H	velasco.sis	重組變種，傳播速度更快	同 Cabir.A
Cabir.I/J/K	同 H	不同編碼編譯的鏡像	同 Cabir.A
Cabir.L	Skulls.SIS	偽裝成 Skulls 病毒安裝檔，實為 Cabir	同 Cabir.A

通用清除步驟（適用多數 Cabir 變種）

1. 安裝檔案管理器（如 FExplorer、Seleq、FileMan），需具備系統檔案存取權限。
2. 依上表路徑刪除對應檔案與資料夾。
3. 重新開機，確認無 caribe 相關進程與自啟動項。
4. 掃描記憶體卡與收件匣，刪除殘留 .sis 安裝檔。
5. 關閉藍牙可見模式，避免再次感染。

進階變種：Cabir.Dropper 的額外清理

Dropper 會取代常用第三方應用程式（如檔案管理器、藍牙 UI、影音播放器）的執行檔，導致圖示消失、點擊圖示觸發病毒。清除時必須同步刪除被取代的應用程式資料夾（見上表 Dropper 欄位），並重新安裝正版應用程式。

防護建議

• 平時關閉藍牙或設為「隱藏模式」，僅在需要配對時開啟可見。
• 拒絕陌生裝置配對請求，不安裝不明來源 .sis/.sisx 檔案。
• 安裝行動防毒軟體（如 F-Secure Mobile Security、Kaspersky Mobile Security），定期更新病毒碼。
• 企業部署 MDM 強制推送藍牙策略、應用白名單、遠端抹除功能。

結語

Cabir 家族雖屬早期手機惡意軟體，但其「藍牙掃描 → 社交工程誘導安裝 → 自啟動持久化 → 持續傳播」的完整生命週期，奠定了後續所有行動蠕蟲的架構藍圖。掌握其變種特徵與清除方法，不僅能應對歷史遺留感染，更能建立分析新型行動威脅的基礎框架。