電腦中毒掃不出來？aswMBR 專清開機型 rootkit

aswMBR 1.0.1.2290 資料更新 2015-01-14 閱讀約 6 分鐘

電腦開機變慢、桌面偶爾跳出奇怪視窗，甚至輸入帳號密碼後感覺卡了一下。你裝了防毒軟體，全系統掃描跑了好幾輪，結果都顯示「乾淨」。但電腦就是不對勁，重灌系統撐沒多久又復發。這種情況很可能是 rootkit 藏在硬碟的開機區，比作業系統更早啟動，躲過了一般防毒軟體的檢查。

一般防毒軟體主要掃描檔案和執行中的程式，但開機型 rootkit 藏在 MBR（主開機紀錄）或 VBR（卷開機紀錄）裡，系統一開機就先載入它，之後才啟動 Windows。這等於惡意程式比防毒軟體更早拿到控制權，自然掃不到。這類工具的切入點是直接讀取硬碟底層的開機扇區，比對是否被改寫過，專門處理這種「掃不到但確實存在」的感染。

01aswMBR 到底能掃什麼東西？

它專門掃描 MBR、VBR 和 SRV 這三類開機區域的 rootkit，能偵測 TDL4/3（Alureon）、ZAccess、MBRoot（Sinowal）、Whistler、SST、Cidox、Pihar 等惡意程式。簡單說，如果你的問題是開機型 rootkit，它比一般防毒軟體更對症。但如果你懷疑的是一般木馬或病毒，它幫不上忙。

02這套軟體要安裝嗎？還是下載就能用？

官方提供的 aswMBR 是免安裝的單一執行檔，下載後直接執行即可。它不需要安裝過程，這點在處理中毒電腦時很方便，因為你可以從乾淨的電腦下載後用隨身碟帶過去。執行時它會直接掃描開機扇區，不需要額外設定。

03它掃描的過程會不會很久？需要做什麼操作？

掃描時間取決於你的硬碟大小和 CPU 效能，一般來說比全系統掃描快很多，因為它只檢查開機區域和相關的底層結構。執行後它會自動開始掃描，過程中不需要你操作什麼。掃完會列出找到的項目，你可以選擇處理方式。介面是英文的，但按鈕和選項不多，不太會卡關。

04我的 CPU 不支援虛擬化技術，這套軟體還能用嗎？

可以用，但偵測能力會打折。目前版本的 aswMBR 使用「虛擬化技術」來提升對隱藏惡意程式的偵測能力，這需要你的 CPU 和主機板支援硬體虛擬化。如果不支援，軟體還是能跑，只是少了這層進階檢查。你可以在 BIOS 裡確認虛擬化選項有沒有開啟，或直接執行看它有沒有跳出警告。

05掃到 rootkit 之後，它能直接清除嗎？

官方說明指出它能「偵測」這些 rootkit，但清除能力要看感染的狀況。有些 rootkit 可以當場移除，有些可能需要重啟後再處理，甚至有些會建議你手動處理。實際情況因感染種類而異，掃到之後它會顯示找到的項目，你再依照畫面上的選項決定怎麼處理。

06什麼樣的人會需要用到這套軟體？

如果你電腦出現疑似中毒症狀，但一般防毒軟體掃不出東西，而且你懷疑是開機型感染，那這套工具值得跑一次。另外，如果你幫親友修電腦，對方電腦開機異常、重灌無效，這類工具可以當作第二意見。它免費、免安裝，拿來當作排除工具很合適。

07我已經有防毒軟體了，還需要另外跑這個嗎？

一般防毒軟體和這種專門掃 rootkit 的工具定位不同。防毒軟體是常駐防護，負責日常攔截；aswMBR 是掃描工具，負責處理開機區的特定威脅。如果你的防毒軟體掃不出東西但電腦有異狀，多跑一個專門工具不會損失什麼。但如果你電腦一切正常，不需要特地跑它。

08這套軟體適合當作日常防護常駐使用嗎？

不適合。它是掃描工具，不是常駐防護軟體，官方定位就是「rootkit 掃描器」，沒有即時監控功能。日常防護還是要靠完整的防毒軟體。aswMBR 的用途是「懷疑有開機型感染時拿來掃」，不是裝了就不管的那種工具。掃完、處理完就可以關掉。

09它的更新狀況如何？現在還值得用嗎？

這套軟體最後一次更新已經是很久以前的事了，而且長期沒有新版本。這代表它對近年新出現的 rootkit 可能缺乏辨識能力。如果你要處理的是舊型感染，它還有參考價值；但如果是較新的威脅，效果就有限。使用前可以先看看其他同樣免費的替代工具，例如 Kaspersky TDSSKiller 或 Norton Power Eraser，這兩個的評分人數都比較多，更新也較頻繁。