實戰案例回顧：某企業內網大規模感染事件
撥號上網後 FTP 連線失敗，發現 Norton 防毒/防火牆服務被停用且無法啟動；工作管理員見 5 個非法進程，嘗試結束提示「拒絕存取」；安全模式同樣無法終止；本地服務發現 2 個不明自動啟動服務，停止失敗，改為「停用」重啟後才消失。經搜尋系統盤發現 C:\Winnt、C:\Winnt\System32 大量隨機檔名（如 diALoGUe）、隱藏屬性、DOS 圖示、無版本資訊的可執行檔。手工清除後配合 SP5 修補，系統恢復正常。
感染鏈條復盤
- 入口： 系統未修補漏洞 / 使用 Administrator 權限瀏覽惡意網站 / 執行不明程式。
- 落地： 木馬駐留、自我複製、連線 C2 下載多款木馬（下載器 → 盜號木馬、鍵盤記錄器、後門）。
- 橫向擴散： 利用內網高頻寬，以弱口令嘗試登入其他主機（暴力破解 SAM），造成大面積感染（「一中一大片」）。
- 資源耗盡： 大量進程佔用 CPU/記憶體/頻寬，導致網路設備（交換器/路由器）過載癱瘓，類似 DDoS 效果。
- 帳號鎖定： 暴力破解導致正常帳號錯誤次數超限被鎖，影響業務連續性。
標準化手工清除 10 步驟（以 Win2K/XP 為例）
- 準備離線修補包： 預先下載所有修補程式（Win2K SP4+SP5 彙總包約 100MB），存放於唯讀媒體。
- 物理斷網（拔網路線/關無線網卡），切斷 C2 與橫向擴散。
- 進入安全模式（帶網路支援），減少自動載入服務/驅動。
- 清除 HKLM\Run* 啟動項：
regedit 檢查 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run* 所有可疑值刪除。
- 清除 HKCU\Run* 啟動項：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run* 同步處理。
- 查禁不明服務：
services.msc 或 sc query 列出所有服務，停用/刪除可疑服務（sc delete <ServiceName>），若有刪除則回步驟 3 重啟驗證。
- 深度掃描 %SystemRoot%\System32： 顯示隱藏/系統檔案，檢查所有
.exe、.com、.scr、.pif，重點排查：無公司名、無版本、無版權、建立時間近期、檔名隨機大小寫混合 的檔案 → 移至資源回收筒（不直接刪除，便於復原）。
- 更新病毒碼全盤掃描，捕捉殘留變種與 Rootkit。
- 確認 SP4 已安裝基礎上，離線安裝所有 SP5 修補程式（或使用 WSUS Offline Update 產生離線修補媒體）。
- 重啟進入正常模式，驗證防毒/防火牆服務啟動、網路通暢、無異常進程/啟動項/服務。
快速判斷「非法程式」的實用技巧
右鍵可疑檔案 → 「內容」→「詳細資料」/「版本」頁籤：
合法程式： 必有公司名稱、檔案版本、產品名稱、版權資訊（連流氓軟體 3721 也有）。
蠕蟲/木馬： 極大機率完全空白，或僅有檔案大小/日期。據此可快速判斷 90% 以上惡意檔案。
長效「無毒」維護七大習慣
- 部署 Proxy/NAT 隔離內網與外網直連。
- 杜絕空密碼、同帳號密碼、弱密碼；強制複雜度與定期輪換。
- 權限最小化：日常操作用標準帳號，僅在必要時提權（UAC/Runas）。
- 企業版防毒 + 中心管理伺服器：自動更新病毒碼、自動分發、集中報表。
- WSUS/SUS 自動推送修補程式，確保全網修補一致性。
- 定期安全宣導：不進不明網站、不執行不明檔案、不隨意插入陌生 USB。
- 例行巡檢：任務管理器查異常進程、Windows Update 確認最新修補、事件日誌分析登入失敗/權限提升事件。
結語
手工清除是最後防線，自動化防護（修補、防毒、EDR、網路微隔離）才是常態解法。將上述 10 步驟標準化為 SOP，配合 7 大維護習慣制度化，企業才能在惡意軟體工業化浪潮中，守住業務連續與資料機密。