某日發現工作管理員中出現多個 iexplore.exe 進程（未開啟 IE 時），CPU 佔用 80%+，結束後又自動重生。防毒軟體（卡巴斯基）報毒但無法清除。經手動分析確認為木馬偽裝，以下記錄完整查殺過程供參考。

現象確認

• 無開啟 IE 情況下，工作管理員顯示 3 個 iexplore.exe，CPU 高載。
• 防毒軟體報木馬但「無法清除/刪除」。
• 檔案路徑：C:\WINDOWS\SYSTEM32\Ravdm.exe（核心惡意模組）。

手動查殺步驟

1. 顯示隱藏/系統檔案：資料夾選項 → 檢視 → ✅ 顯示隱藏檔案和資料夾、❌ 隱藏受保護的作業系統檔案、❌ 隱藏已知檔案類型的副檔名。
2. 進入安全模式 刪除 C:\WINDOWS\SYSTEM32\Ravdm.exe。
3. 清理登錄檔：執行 regedit，搜尋 Ravdm.exe 並刪除所有相關鍵值（Run、RunOnce、Shell、AppInit_DLLs 等常見啟動點）。
4. 清空暫存資料夾：
   C:\Windows\Temp\
C:\Documents and Settings\<用戶名>\Local Settings\Temp\
C:\Documents and Settings\<用戶名>\Local Settings\Temporary Internet Files\
   全選刪除（略過使用中檔案）。
5. 修復 IE：重開機後 IE 無法啟動，使用雅虎助手「強力修復 IE」功能恢復。（現建議使用 sfc /scannow 或重新安裝 IE 累積更新）。
6. 重裝 QQ：防止 QQ 程式被注入，建議官網重新下載安裝。

進階偵測技巧

• 木馬常將 iexplore.exe 中的 o (字母) 改為 0 (數字零) 偽裝進程名稱（iexpl0re.exe），肉眼難辨。
  對策：工作管理員 → 檢視 → 選擇欄位 → 勾選「映像路徑名稱」，查看完整路徑辨識真偽。
• 使用 Process Explorer (Sysinternals) 檢查進程簽章驗證、命令列參數、DLL 載入清單，快速識別無簽章/異常路徑進程。
• 啟用 Windows Defender 應用程式控制 或 AppLocker 限制未簽署執行檔執行。

總結

偽裝成系統進程（iexplore.exe、svchost.exe、lsass.exe 等）是木馬常見隱匿手法。查殺關鍵在於：安全模式 + 顯示隱藏檔 + 登錄檔啟動點全清 + 暫存區清理 + 系統檔修復。平時養成「不以系統進程名稱判斷良性」的習慣，配合行為偵測型防毒軟體，才能有效防禦。