作者親身經歷：關閉防毒軟體兩天，中招 Trojan-Dropper.Win32.Agent.bct。此木馬會感染所有磁碟機的 .exe 檔，並在各磁碟根目錄植入 autorun.inf 與 setup.exe，透過 C:\WINDOWS\win.log 記錄待感染清單，感染後檔案增大 26,890 bytes。卡巴斯基掃毒卻直接刪除被感染檔案，導致 25GB 資料慘遭滅頂。現整理兩種手動清除方案，以為前車之鑑。

木馬行為特徵

• 系統根目錄產生 _.de → 執行生成 _.de.bat → 自刪並建立 C:\Windows\System\internat.exe（若有同名資料夾則改名 internat.exe.tmp）。
• 各磁碟根目錄生成 autorun.inf + setup.exe。
• 執行 cmd.exe /c dir 系統盤以外磁碟:\*.exe /s /b >> C:\WINDOWS\win.log 建立感染清單。
• 依清單感染所有 .exe，檔案增大 26,890 bytes。

方案一：手動清除步驟

1. 工作管理器結束 internat.exe 進程。
2. 刪除 C:\Windows\System\internat.exe。
3. 以滑鼠右鍵進入各磁碟（避免雙擊觸發 autorun），刪除 autorun.inf 與 setup.exe。
4. 在系統盤根目錄建立資料夾 _.de（佔位，防止木馬重新生成）。
5. 全盤掃毒，無法修復的感染檔暫不刪除，木馬已無法再發作；待防毒廠商釋出專殺工具後再處理。

方案二：登錄映像劫持阻擋執行（不刪檔案）

將以下內容存為 jy.reg 並匯入：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\internat.exe]
"Debugger"="internat.exe"

利用「映像檔執行選項」將 internat.exe 重導向自身，導致無限遞迴而無法真正執行，達到免疫效果。

血淚教訓

• 絕對不要讓電腦在網路上「裸奔」，必須安裝並即時更新防毒軟體（推薦 Kaspersky、NOD32）。
• 重要資料離線備份、離線備份、離線備份！
• 若已遭卡巴斯基誤刪大量檔案，切勿繼續寫入磁碟，立即尋求專業資料救援服務。