安全中心捕獲「CF 三屍蠱」盜號木馬，屬 MBR 型帶驅動遠控木馬，隱蔽性高、持久性強、內部瓦解系統防禦。傳播途徑：CF 遊戲外掛捆綁。已有大量玩家中招。

五階段攻擊鏈

1. 三重保險進系統： 修改 MBR 主引導記錄優先啟動、感染 beep.sys 系統檔、建立 mima1 管理員帳號並用 cp.exe 斷網安裝驅動。
2. 切斷求救路： 主體 safemon.dll 修改瀏覽器首頁、過濾安全廠商網址，讓用戶無法查詢解毒資訊。
3. 驅動級完美隱藏： 安裝 NtHook.sys Hook 核心檔案/註冊表操作函數，隱藏自身檔案、進程、註冊表項，長期遠控變「肉雞」。
4. 注入主體內部瓦解： 監視進程建立，將 safemon.dll 注入所有新進程，從核心層瓦解系統。
5. 屏蔽雲查殺： 封鎖安全軟體雲查殺 IP，導致雲端掃描失效、無法更新病毒庫。

手工清除步驟（需工具 gmer、Bootice）

1. 開啟 gmer → File → 刪除：
   c:\Windows\System32\safemon.dll
c:\Windows\System32\drivers\nthook.sys
c:\Windows\System32\drivers\beep.sys
   若存在亦刪 p2phook.sys。
2. 用 Bootice 重置 MBR：XP 選「Windows NT 5.x 預設引導程式」，Vista/Win7 選「Windows NT 6.x 預設引導程式」，點「安裝/配置」。或 DOS 下 fdisk /mbr。
3. 新建同名資料夾佔坑免疫：
   c:\Windows\System32\safemon.dll（資料夾）
   c:\Windows\System32\drivers\nthook.sys（資料夾）
   c:\Windows\System32\drivers\p2phook.sys（資料夾）

目前 QQ 電腦管家已可攔截查殺，建議玩家拒用不明外掛、保持防毒軟體即時更新。