一份真實的中毒處理實錄，記錄從誤執行偽裝字體包、現象觀察、多工具協同查殺、系統修復到根因複盤的全過程，供安全運維參考。
事件時間線
- 觸發點： 迅雷下載某字體包（實為 `.exe` 偽裝 `.rar`），瑞星自動掃描報「無毒」，誤雙擊執行 → 木馬落地執行。
- 現象： 桌面/快速啟動/開始選單出現多個 IE 與某視頻站捷徑；所有原有捷徑圖標被替換；IE 圖標被劫持指向惡意網站；無法刪除偽裝捷徑。
處理流程與工具鏈
- 360 安全衛士 木馬雲查殺：發現 C 盤木馬 → 清除。
- 嘗試卸載惡意程式：控制台無法乾淨卸載。
- 深度排查：發現 `C:\Windows\System32\` 隱藏目錄內藏木馬安裝程式，圖標偽裝為 360 殺毒 → **瑞星卡卡粉碎檔案** → 重啟。
- 清理殘留：刪除病毒生成的安裝目錄、所有被竄改捷徑、重建正常捷徑、重裝受影響程式。
- 360 掃描插件/清理痕跡/註冊表 → 優化大師二次清理註冊表。
- IE 圖標劫持頑疾：
- 卸載 IE 重裝 → 無效。
- 360「IE 修復」→ 無效。
- **瑞星卡卡「IE 修復」→ 成功**，偽裝圖標消失，但原生 IE 圖標也消失。
- 控制台 → 程式和功能 → 開啟/關閉 Windows 功能 → 勾選 IE → 重啟 → 原生 IE 圖標恢復。
根因複盤
- 人為疏忽： 檔案副檔名隱藏（`.exe` 偽裝 `.rar`），未開啟「顯示副檔名」習慣，誤執行可執行檔。
- 技術盲區： 病毒為新變種，瑞星、360 當日病毒庫均未收錄（次日均已更新可查殺）。
- 工具互補性： 360 強於木馬雲查殺、系統清理、插件管理；瑞星卡卡強於 IE 修復、檔案粉碎、核心層查殺。**單一工具無法全覆蓋，工具鏈互補是關鍵**。
經驗總結與防護建議
- 顯示副檔名：資料夾選項 → 取消「隱藏已知副檔名」，終身受益。
- 下載後先掃描再執行：右鍵 → 選擇殺毒軟體掃描，或拖入 VirusTotal 線上多引擎掃描。
- 備份關鍵捷徑/註冊表：`HKCR\lnkfile`、`HKCR\clsid\{00021401...}` 定期導出備份。
- 工具箱常備：主力殺毒 + 第二意見掃描（火綿/Windows Defender/線上掃描）+ 專業卸載（Geek/Revo）+ 系統修復（SFC/DISM/瑞星卡卡 IE 修復）+ 可開機殺毒 USB。
- 虛擬機/沙箱驗證可疑檔案：VirtualBox / VMware / Windows Sandbox 隔離測試。
「安全無絕對，唯有層層疊加、持續更新、習慣為先，才能在攻防對抗中立於不敗之地。」