專家共識：人為誤操作與技術局限雙重成因

安全專家 Kevin Beaver 指出：間諜軟體多因用戶盲目點擊 IE 彈出的 ActiveX 安裝確認框、下載來路不明的遊戲/螢幕保護程式而植入。一旦安裝，無論 IE 是否啟動、是否聯網，惡意代碼均可控制系統行為（彈窗、篡改首頁等）。

三大專家診斷路徑

Tony Bradley：區分兩類典型症狀

• 離線彈窗：多由 Windows Messenger 服務 被濫用發送垃圾訊息；解法：停用該服務或封鎖 UDP 135/137/138、TCP 135/139/445 端口。
• 首頁/搜尋欄被綁架：多為 BHO (Browser Helper Object) 型間諜軟體；駭客利用瀏覽器漏洞實施「隨看隨下」無聲安裝。

Lawrence Abrams：瀏覽器劫持分型與工具鏈

實戰案例：HotOffers 主動劫持溯源

1. HijackThis 發現 Viewpoint 工具列、管理器入口，且首頁被修改。
2. 嘗試修復 HotOffers 入口無效，判定為主動劫持。
3. SilentRunners 掃描註冊表非預設自啟動項，定位 HKLM\...\SharedTaskScheduler\{D56A1203-...} 指向 C:\WINDOWS\System32\param32.dll。
4. Sysinternals strings.exe 分析該 DLL，發現 "HotOffers" 字串，確認為禍首。

診斷標準作業程序 (SOP)

1. 收集症狀：離線彈窗？首頁篡改？搜尋導向異常？
2. 運行 HijackThis 生成日誌，初步鎖定可疑 BHO/Toolbar/啟動項。
3. 若屬主動劫持，輔以 SilentRunners 深度掃描註冊表自啟動區。
4. 用 strings.exe / Process Explorer 驗證可疑二進位檔內部字串與路徑合法性。
5. 記錄完整證據鏈（註冊表鍵值、檔案路徑、字串特徵），為下一階段「清除與恢復」提供精準目標。

精準診斷是清除間諜軟體的前提——錯誤的診斷會導致無效清除甚至系統損壞，務必多工具交叉驗證，切勿盲目刪除。