中毒徵兆：立刻斷網是第一反應
發現以下異常，**毫秒不差拔網線/斷 Wi-Fi/關調制解調器**：
- 機器運行明顯變慢；
- 瀏覽網頁彈出無數對話框；
- 花屏、奇怪消息框；
- 鼠標鍵盤失控（被遠控）。
典型場景：
1. 瀏覽掛馬頁 → 主頁/標題被修改、甚至格式化硬盤/無限彈窗耗盡資源死機；
2. 潛伏木馬/蠕蟲發作 → 外發隱私/垃圾郵件/傳播病毒；
3. 黑客手工入侵 → 竊取/刪除/破壞文件。
**斷網雙重效用**：止損（阻斷數據外洩/遠控指令）+ 止傳（防止蠕蟲橫向掃描/郵件群發）。**千萬別急著重啟/關機**，後續操作仍需在當前環境完成。
步驟二：優先備份文檔郵件（帶毒也要備份）
- 將未處理文檔、Outlook/Foxmail 郵件數據 (.pst/.dbx) 複製至 U 盤/移動硬碟/網絡共享；
- 長文件名文件需在 Windows 下備份（DOS 下易截斷）；
- **全部打標「待查」**，即使帶毒也備份——某些病毒專針對特定殺毒軟件，運行殺毒可能破壞文件，先備份是底線；
- 清毒後再逐個掃描處理備份文件。
步驟三：CIH 類破壞 BIOS 病毒特殊處理 — 帶毒運行專殺
發現 CIH（空間/櫻桃/切爾諾貝爾）病毒，**不要**按傳統「關機→冷啟動→DOS 啟動盤→殺毒」流程。
**必須在帶毒 Windows 環境下先運行一次專殺工具**——目的不是徹底清除，而是**阻斷 CIH 在下次開機時寫壞主板 BIOS**（導致黑屏無法啟動，後續殺毒無法進行）。專殺可能報告「文件受寫保護無法清理」，無妨，目標已達到。
步驟四：乾淨 DOS 啟動盤 + DOS 版殺毒 — 標準流程
- 關機冷啟動，使用**確認乾淨**的 DOS 啟動盤（或 WinPE/ISO）引導；
- 運行 DOS 版殺毒軟件（KV300、金山毒霸 DOS 版、F-Prot、Dr.Web for DOS 等）全盤掃描清除；
- **交叉驗證**：用兩款以上不同引擎工具掃描，彌補單一引擎盲區；
- Windows 關鍵文件被破壞導致非法操作/藍屏時，DOS 環境不依賴 Windows 子系統，掃描更穩健。
步驟五：Ghost 鏡像恢復 — 最乾淨、最快、最徹底
- **前提**：平時用 Ghost/Clonezilla/Acronis/Veeam 做過**純淨系統分區鏡像**（C 盤裝好系統/驅動/常用軟件/優化設置後即刻備份）；
- 中毒後直接還原鏡像，**連潛在木馬/註冊表殘留/系統損壞一併抹平**；
- **鐵律**：備份時刻必須**確保系統純淨**，否則連木馬一起備份 → 還原即復活，後患無窮。
步驟六：恢復後必改密碼 — 斷開攻擊者回馬槍
- 修改：網絡登錄賬號/密碼、郵箱密碼、QQ/IM 密碼、網銀/支付密碼、VPN/遠程桌面密碼、路由器/交換機管理密碼；
- 原因：黑客可能已在入侵過程中竊取憑證；蠕蟲可能已外發郵件/通訊錄；
- **啟用雙因子認證 (2FA/MFA)** 所有支持的賬號，徹底失效舊密碼。
總結：自救心法
- 斷網止血；
- 備份留證；
- 特殺護 BIOS；
- DOS 雙引擎掃；
- Ghost 秒還原（有備份者）；
- 換鎖斷後路。
平時多練 Ghost 備份、DOS 啟動盤制作、雙引擎掃毒，**實戰才是唯一檢驗真理的標準**。