AUTO 病毒家族利用 autorun.inf 特性透過移動磁碟快速傳播，最新變種具備強力對抗防毒、下載盜號木馬、注入系統程序、竄改登錄隱藏自身等惡意行為。本文解析其技術細節並提供徹底清除方案。

核心行為分析

• 隨機命名：參考 C 碟卷序號生成 8 字元隨機服務名、EXE/DLL 檔名，躲避特徵碼掃描。
• 全盤傳播：各磁碟根目錄植入 autorun.inf + auto.exe（系統/隱藏屬性），雙擊磁碟即觸發。
• 系統區駐留：釋放隨機命名的 EXE/DLL 至 %SystemRoot%\System32，偽裝系統檔案。
• 對抗防毒：刪除 360 等防毒軟體啟動項/進程；修改系統時間使卡巴斯基失效；模擬操作關閉金山毒霸。
• 登錄惡意修改：刪除「隱藏受保護系統檔案」選項、註冊服務開機啟動、清除舊版本殘留鍵值。
• DLL 注入：遠程注入所有用戶模式進程，利用 explorer.exe/winlogon.exe 空間隱蔽執行。
• 下載器功能：從 C2 下載更新清單，依序下載 20-30 個盜號木馬（含知名網遊、語音軟體偽裝），部分具備二級下載能力。
• 移動儲存傳播：感染所有可見磁碟分區（含 USB），形成蠕蟲式擴散。

執行流程關鍵節點

1. 檢查自身檔名是否為 auto.exe，是則透過 ShellExecuteA 打開磁碟傳播。
2. 對抗防毒軟體（上述手法）。
3. 確認自身位於 System32 隨機路徑，否則自我複製過去。
4. 釋放 det.bat 自刪原始檔，DLL 注入系統進程持久化。
5. 循環等待下載指令，持續更新木馬載體。

徹底手動清除步驟（需在安全模式/WinPE 執行）

1. 停止惡意服務： sc stop [隨機服務名] / sc delete [隨機服務名]。
2. 結惡意進程：使用 Process Explorer / Process Hacker 結束注入了惡意 DLL 的進程（特別是 explorer.exe、winlogon.exe 可能需重啟）。
3. 刪除惡意檔案：
   • 各磁碟根目錄：autorun.inf、auto.exe
   • %SystemRoot%\System32\[隨機名].exe/.dll
   • det.bat 等臨時檔
4. 修復登錄：
   • 恢復 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL 相關值，修復「顯示隱藏檔案」選項。
   • 刪除惡意服務鍵值、Run/RunOnce 啟動項。
   • 恢復被竄改的檔案關聯（.exe/.com/.pif 等）。
5. 重啟並複查：正常模式啟動，再次全盤掃描，確認無殘留。

防護建議

• 關閉所有磁碟 AutoRun 功能（gpedit.msc → 關閉自動播放 → 所有磁碟機）。
• 禁用 Shell Hardware Detection 服務。
• 使用具備行為分析/記憶體掃描的新一代防毒產品（EDR）。
• 重要資料離線備份，遭遇破壞性木馬可快速復原。

AUTO 病毒展示了現代惡意碼的模組化、對抗性與商業化盜號產業鏈。唯有「預防優於清除」，結合系統加固、行為防護與備份策略，才能有效應對。