Кибербезопасность: эксперты рекомендуют форматирование и переустановку Windows при заражении сложными вирусами

如果各位功力深厚、勤修法輪大法、相信正能量與吸引力法則，可能不需要格式化，而可以發正念清除電腦病毒。 我以純淨的心繼續發著正念，最後，這次掃描病毒的結果是「所有檔案未掃描到任何病毒」。所有常人中流行的病毒在我發出正念後都死盡了。 可惜本人只是領薪水、喜歡動漫、抱枕、音樂的摳腳大漢，所以回歸理性、務實的工具人道路，不是讓卡巴斯基進行資安評估服務、就是格式化電腦。 如果公司沒有半毛預算進行資安評估服務，那麼，別再試著清理受感染的電腦！直接徹底清除並重新安裝 Windows。 移除惡意軟體沒有任何保證，也不存在捷徑。尤其是在處理後門木馬、殭屍網路（Botnet）、IRCBot，以及能夠掛載 System32 資料夾裡的核心元件、修改多個 API，藉此隱藏其所建立之登錄機碼與檔案的 Rootkit 時，更是如此。 這類感染相當危險，因為它們不僅會破壞系統完整性，還能下載更多惡意檔案，利用 Rootkit 掩蓋自身存在，使攻擊者的軟體不易被發現，也讓移除工作更加困難。 攻擊者會利用後門繞過安全機制，存取並控制電腦。這類攻擊可竊取密碼、個人資料及財務資料等敏感資訊，並將資料回傳給駭客。 處理遠端存取木馬（Remote Access Trojan，RAT）時，電腦很可能已經遭到入侵，而且無法確定日後是否還能再次信任該系統。即使防毒軟體顯示惡意程式似乎已被移除，仍然不能據此認定電腦已經安全；這種假設既危險也不正確。 在某些情況下，例如遭到多型態病毒或檔案感染型病毒攻擊時，系統可能已經受到嚴重破壞。此時，最安全且唯一能確實移除感染的方法，是重新格式化磁碟並重新安裝作業系統。 感染的嚴重程度會因系統而異，有些感染造成的損害會比其他感染更大。惡意軟體留在電腦中的時間越久，就越有機會下載其他惡意檔案，使感染進一步惡化，因此每一個案例都應個別處理。 系統感染的嚴重程度，也會影響清除作業的進行方式。由於感染類型與損害程度各不相同，可能必須多次使用不同、相同或更強大的安全掃描器與工具，才能完成處理。即便如此，面對某些類型的感染，清除過程仍可能十分艱難，而且依然無法百分之百確定所有惡意軟體都已被移除。 聲稱能夠移除檔案感染型病毒或後門木馬的資安廠商，仍然無法保證所有惡意程式痕跡都會被清除，因為工具可能找不到全部殘留內容，也未必能修復所有損害。 清除磁碟、重新格式化、重新安裝／重新整理／重設 Windows，或執行全新安裝／恢復原廠設定，會移除系統中的所有內容，也是最安全的處理方式；但是否採取這項措施，仍必須由使用者自行決定。 許多資安專家認為，一旦感染這類惡意軟體，最佳做法就是清除磁碟、重新格式化，並使用 Windows CD／DVD／ISO 重新安裝作業系統；也可以從磁碟映像檔還原，或使用製造商提供的原廠還原（系統復原）光碟。 我個人習慣到微軟網站下載 Windows 映像檔，製造商提供的系統光碟常常包含 OEM 的軟體，這些軟體可能只有試用版，並不符合需求。 只要系統曾遭後門程式酬載入侵，就不可能知道該後門是否曾被利用，也無法判斷它對系統造成了多大影響。要讓受入侵的系統重新回到可信賴的安全狀態，只有少數幾種方法： Microsoft TechNet 資安計畫經理 Jesper M. Johansson 在 Help: I Got Hacked. Now What Do I Do? 中表示： 清理已遭入侵系統的唯一方法，就是徹底清除並重新建置。 如果系統已經完全遭到入侵，唯一能做的事情，就是徹底清除系統，也就是重新格式化系統磁碟，然後從零開始重建，包括重新安裝 Windows 與應用程式。 資安專家 miekiemoes 在 Virut and other File infectors - Throwing in the Towel? 提出以下看法： 如果我協助的使用者感染了 Virut，或其他任何檔案感染型病毒，而其防毒軟體無法正確清除，我就會建議重新格式化並重灌。處理這類感染是在浪費時間，因此我偏好採取最快速且最安全的解決方案，也就是重新格式化並重灌。畢竟，如果你已經知道這是一個無法挽救的案例，卻仍讓惡意軟體繼續「醞釀」數天或數週，持續下載、散播或執行更多惡意程式，我認為這是不負責任的做法。 如果選擇重新安裝／重新整理／重設 Windows、執行恢復原廠設定，或重新格式化，這些作業將移除所有惡意檔案；但同時也會清除電腦內的全部資料，包括個人檔案、已安裝的程式，以及曾經變更的系統設定。因此，務必先備份重要資料。 重新安裝後，電腦基本上會回到最初購買並完成初始設定時的狀態，其中也可能重新出現製造商預先安裝的軟體與試用版程式。 不過，部分開機磁區病毒（Bootkit）能夠修改主開機記錄（Master Boot Record，MBR）。在這種情況下，如此處所述，還應重新寫入 MBR，以確保所有惡意程式碼都已被移除。 注意： 如果電腦曾遭入侵，也請參閱下一篇文章：《企業端點完美防禦》17-被駭客入侵後，如何處理身分盜用、詐騙與網路詐欺 如果中了美國國家安全局的間諜軟體 EquationDrug，由於它會改寫硬碟韌體，格式化也無法清除，因此物理格式化也是一個方法。