「肉雞」即被攻擊者植入木馬/後門、取得完全控制權的電腦。駭客可遠程監控螢幕、竊取檔案、發動 DDoS、挖礦、跳板攻擊他人。早期發現、徹底清理至關重要。本文整理 13 種主觀異常徵兆與 4 類專業檢測工具，助你自查自救。
什麼是肉雞？
- 定義：遭遠程控制木馬（如灰鴿子、PcShare、Metasploit Meterpreter）或 WebShell 入侵的主機。
- 入侵三要素：受害者 IP、系統帳號、密碼（或漏洞利用免密碼）。
- 常見入口：弱密碼 3389 遠端桌面、未修補漏洞、惡意軟體捆綁、釣魚郵件。
13 大主觀異常徵兆（出現 3 種以上高度可疑）
- 帳號異地登入：QQ/MSN/遊戲提示「上次登入 IP 不符」或裝備消失、密碼正確卻無法登入。
- 滑鼠失控：未操作時滑鼠自動移動、點擊、拖曳視窗。
- 網速驟降、硬碟狂轉：無下載任務時硬碟指示燈持續閃爍、頻寬被佔滿（可能上傳資料/挖礦/DDoS）。
- 攝影頭/麥克風被佔用：欲使用時提示「裝置正在使用中」。
- 網卡指示燈/圖示異常閃爍：無主動上網行為時持續收發封包。
- 服務列表出現可疑項目：名稱亂碼、描述空白、路徑指向非系統目錄的服務。
- 未撥號卻有流量：寬帶連線建立前/斷開後仍有封包收發。
- 防火牆失效：特定埠口（3389、445、135、1433 等）無法阻擋。
- 電腦莫名重啟/藍屏：駭客執行關機指令或木馬衝突導致。
- 安全軟體卸載異常：殺毒/防火牆卸載介面一閃而過、報告完成實際未移除。
- 常用軟體刪除後自動重生：QQ、殺毒目錄刪除後自動重現（Rootkit 駐留）。
- 開機/運行彈出不明對話框：無標題、亂碼、外文視窗。
- 系統時間/時區被修改：為配合定時任務或隱藏日誌時間戳。
四大專業檢測工具與用法
1. 防火牆連線監控（如金山網鏢、Comodo、Windows Defender 防火牆進階安全性）
查看「當前連線/網路狀態」，篩選「遠端 IP 非本地/私有網段」且「程式非瀏覽器/更新程式/雲同步」的連線。記下 PID、遠端 IP、埠口，交叉比對程式路徑。
2. TCPView（Sysinternals 官方免費）
- 即時顯示所有 TCP/UDP 端點：程式名、PID、協議、本地/遠端 IP:埠、狀態。
- 重點關注 ESTABLISHED 狀態、遠端 IP 為公網、程式名稱可疑（隨機字元、system32 外的 exe）。
- 右鍵「End Process」或「Close Connection」中斷可疑連線。
3. 金山清理專家 / 火綜合在線掃描 / Malwarebytes / HitmanPro
- 「全面診斷」→「進程項」：對每個進程做雲端信譽評分，標記「未知/高風險」。
- 百寶箱 → 「進程管理器」：顯示完整路徑、簽名驗證、啟動項關聯，便於手動清理。
4. 進階：Autoruns + Process Explorer + Rootkit 掃描器
- Autoruns：檢查所有啟動項（登錄、排程、服務、驅動、WMI、Shell 擴展），驗證簽名、查毒。
- Process Explorer：取代工作管理員，查看 DLL、句柄、TCP/IP 連線、執行緒堆疊，辨識注入、掛載異常。
- GMER / TDSSKiller / Malwarebytes Anti-Rootkit：掃描核心層 Rootkit、SSDT Hook、隱藏檔案/登錄/進程。
確診後緊急處理流程
- 斷網隔離：拔網線/關無線，阻斷駭客遠控與資料外洩。
- 備份關鍵資料：僅複製文檔/照片/資料庫，勿備份可執行檔、腳本、系統映像。
- 離線查殺：用 WinPE/U盤啟動掃毒，或掛載硬碟到乾淨機器掃描。
- 修改所有密碼：銀行、郵箱、社群、SSH、資料庫、路由器管理密碼，啟用 2FA。
- 重灌系統：唯一徹底根治方案。全盤格式化、分區、安裝正版 Windows 10/11 + 官方驅動 + 正版 Office。
- 事後加固：關閉 3389/445/135/1433 等高危埠、啟用 BitLocker、配置 Windows Defender ATP/EDR、定期打補丁、最小權限原則。
預防勝於治療
- 不點不明連結、不開未驗證附件、不下載破解/盜版軟體。
- 路由器改預設密碼、關閉 WAN 管理、開啟防火牆、封鎖 161/23/1900 等管理埠。
- 企業環境部署 NAC/EDR/流量分析，異常流量自動隔離告警。
保持警覺、善用工具、定期演練應急預案，才能讓電腦遠離「肉雞」命運。