ARP 木馬如何癱瘓區網？

ARP（Address Resolution Protocol）木馬運行時，會欺騙區網內所有主機與交換器，強制流量經由受感染主機。症狀：網路連線正常但網頁時斷時續、大量封包導致擁塞、上網極慢。病毒停止時流量切回交換器，再斷線一次。僅影響同網段機器。

防護三大支柱

1. 強化安全意識

• 拒用盜版/有風險軟體，避開不可信網站。
• 不隨意開啟不明郵件附件。
• 共享資料夾設定最小權限（唯讀、指定帳號），避免寫入權限。

2. 系統加固

• 及時安裝作業系統補丁。
• 安裝正版殺毒軟體並開啟即時掃描。

3. 自我檢測與處理

檢查本機是否中毒

Ctrl+Alt+Del 開啟工作管理器 → 「進程」分頁 → 搜尋 MIR0.dat 等可疑進程 → 右鍵結束。

四種緩解/免疫方法

1. AntiARPSniffer 保護：下載安裝，建立捷徑置於「啟動」資料夾實現開機自動運行。
2. 靜態綁定網關 MAC：

   ipconfig  記錄預設閘道 IP (如 10.1.4.1)
   arp -a    記錄該 IP 對應的實體位址 (如 00-e0-fc-0f-8f-4d)
   arp -s 10.1.4.1 00-e0-fc-0f-8f-4d  靜態綁定
   

   掃描子網 IP 並查 ARP 表，若有 IP 對應相同 MAC，即為毒源。
3. 臨時清除 ARP 快取：arp -d（故障時暫用）。
4. 區網 ARP 攻擊免疫器：將 3 個 DLL 複製到 windows\system32，npf 複製到 windows\system32\drivers，設定四檔案為「唯讀」。

已知攜帶 ARP 木馬的程式（勿用）

• 傳奇 2 冰橙子 1.44、傳奇 2 及時雨 PK 版
• 「網吧傳奇殺手」掃號軟體
• 網路執法官等類似程式

ARP 病毒清除工具

可搜尋下載專用清除工具，配合上述靜態綁定與免疫器使用效果最佳。