病毒偽裝手法

木馬命名為 RavMonE.exe，極度模仿瑞星合法監控程式 RavMon.exe，利用視覺相似度誤導使用者。

發作行為

• 自我複製至 C:\Windows\RavMonE.exe。
• 登錄檔 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 加入 svcshare 指向該檔，實現開機自啟。
• 自動複製至隨身碟/行動硬碟根目錄建立 autorun.inf，導致無法安全移除、開啟速度變慢。
• 屬間諜木馬，可竊取帳號密碼。

三步驟手動清除

1. 結束進程：工作管理員找出所有 RavMonE.exe 進程結束（可能不止一個）。
2. 刪除檔案：
   • 移除裝置中的 RavMonE.exe、autorun.inf。
   • C 槽搜尋「Rav」，刪除 Windows 目錄下的 RavMonE.exe 等相關檔。
3. 淨化登錄檔：regedit 搜尋「RavMon」，逐一刪除所有相關鍵值（較耗時），最後重開機。

輔助工具與驗證

• 可搭配專殺工具或線上掃描二次確認。
• 重開機後觀察：無 RavMonE.exe 進程、隨身碟正常開啟/安全移除、無自動彈出 autorun.inf → 清除成功。

防範建議

• 隨身碟插入前關閉自動播放。
• 定期更新防毒軟體病毒碼（瑞星、江民、卡巴斯基等均已收錄）。
• 養成不隨意雙擊分區圖示、改用資源管理器樹狀瀏覽的習慣。