小編精選 - 技術文章翻譯 · 11月01日

我不小心執行了惡意軟體，而我被 AI 與 REA（Reverse Engineer Anything）救了一命

關於惡意程式與 C2 伺服器的警告
本文是我實際下載並執行了冒充 CxxCxx Pro 啟用工具的惡意程式之後，所記錄的經過與分析筆記，來源是我在 Google 搜尋與 Reddit 上找到的內容。

為了安全起見，以下列出的散布來源 URL，以及 C2 伺服器（指揮伺服器）的 IP 位址與網域，請絕對不要存取。

惡意程式樣本 #1（CxxCxx Pro Activator - WebRTC RAT）：
- Reddit 貼文 URL： hxxps[:]//www.reddit[.]com/r/cracked_soft/comments/1t2hnx4/cxxcxx_pro_activator/
- 散布檔案： cxxcxx_pro-master $\rightarrow$ Pro.rar（密碼：2026）$\rightarrow$ CxxCxx pro activator.exe
- C2 伺服器 IP 位址：
  - hxxp[:]//217.60.102[.]156 (目前無法連線)
  - hxxp[:]//91.92.243[.]204 (目前仍在運作中)
惡意程式樣本 #2（CxxCxx Pro Full Version - Electron Dropper）：
- Reddit 貼文 URL： hxxps[:]//www.reddit[.]com/r/PodcastX/comments/1pvbuwa/cxxcxx_pro_crack_free_full_version_download_for/
- 散布檔案： hxxps[:]//deplay[.]cc/dl/appget?... $\rightarrow$ Setup.zip $\rightarrow$ Setup_Installer.exe
- 最終酬載散布用 C2 網域：
  - hxxps[:]//threedrows[.]net/uploads/5243f78f37e542daa21cd90bb1fe47ad.exe

前言

前幾天我在 Google 上查詢 CxxCxx Pro 時，搜尋結果第一頁出現了兩篇 Reddit 貼文。點進去後，發文時間都很新，留言區也有許多「可以正常使用」之類的回覆，甚至還貼出了語言統計顯示 JavaScript 98% 的原始碼倉庫連結，看起來相當可信。

我抱著試試看的心態，把這兩個套件下載到自己的個人電腦上。從下載到解壓縮的過程中，Windows Defender 完全沒有跳出警告。我於是打開第一個套件，執行了 CxxCxx pro activator.exe。不過畫面沒有任何反應，只有一瞬間磁碟使用率飆到 100%，電腦稍微變慢，之後又恢復正常。我心想「大概是工具壞了，或是跟我的環境不相容吧」，於是就像平常刪除一般程式資料夾一樣，把那個資料夾刪掉了。

之後出於一點好奇，我決定把最近在 GitHub 引起很大話題的 REA（reverse-engineer-anything） 這個新工具，和 AI 結合起來分析下載檔案的內容。也就是在這個時候，我才第一次知道自己剛剛執行的東西究竟是什麼。

1. 讓 AI 也掀起熱潮的 REA（>400k Stars）

最近在工程師圈子裡，REA（reverse-engineer-anything） 這個開源專案非常火紅。雖然在 10 月 3 日時還只有 500 多顆星，到了月末竟然已經在 GitHub 上突破 400,000 顆星，成長速度可說是爆炸性。

聽到「Reverse Engineer Anything（把任何東西都逆向工程）」這個名字，再加上 AI，很多人第一個想到的大概會是：
「這個工具可以拿來破解軟體，或改造 App 功能（Mod）嗎？」

答案先講，是否定的。不過，如果站在防禦方（白帽）的角度正確使用，它的價值遠遠超過破解軟體所能比擬。

REA 的特色大致可歸納成以下兩點：

不能拿來破解或竄改軟體：
不論是付費軟體還是免費軟體，都不能用 REA 來改寫功能或進行修改（Mod）。REA 在設計上就是 完全唯讀（Read-Only）。也就是說，它只會讀取並分析檔案內部結構，不會對二進位檔打補丁，也不會把修改後的內容覆寫回原本的執行檔。此外，因為它是搭配具備安全規範的 AI 模型使用，所以與規避著作權保護相關的要求，AI 本身也會拒絕。
在機器碼層級的分析又快又深：
平常要查一個陌生的 .exe 或 .dll 在裡面做了什麼，得熟練使用 IDA Pro、Ghidra 之類的專業工具，花上好幾個小時去追蹤組合語言與機器碼。REA 把這種二進位分析能力做成了 AI 的技能。像是電子簽章驗證、記憶體結構、.dll 內部的隱藏函式，甚至加密層的辨識，都能由 AI 自動執行，讓你只要用自然語言下指令，就能在短短幾分鐘內把可疑軟體的內部結構看得一清二楚。

2. 本來想研究 MITM 機制，結果發現竟是惡意程式

刪掉剛剛那個無法運作的工具後，我心想：「既然有 REA，不如看看它裡面到底是什麼。」

一開始純粹只是技術上的好奇。我原本以為這個 CxxCxx Pro 工具是透過 MITM（中間人攻擊／本機代理） 的方式運作，藉由把假資料插入伺服器回應中，讓 App 誤以為自己是 Pro 帳號。於是我把下載來的 cxxcxx_pro-master 資料夾丟給 AI 和 REA，請它們幫我確認自己的推測是否正確。

結果不到 30 秒，我看到 AI 回傳的結果時，背脊都發涼了。

AI + REA 的原始碼分析結果：
在整個 cxxcxx_pro-master 資料夾裡，連一行與 MITM、Proxy 或 CxxCxx 相關的程式碼都不存在。

裡面那些大量的 .js 與 .css 檔案，其實只是 2019 年左右 Fxxxxxxx Dxxxxxxxxx（文件網站產生工具）的初始範本原封不動地保留下來。攻擊者保留這些範本檔，只是為了讓倉庫的語言統計條看起來像 JavaScript 98%，營造出一個正規開源專案的假象。
唯一被改動的只有 README.md，裡面放上了指向 Pro.rar 的下載連結，而且還設定了密碼 2026（用來避開瀏覽器與防毒軟體的自動掃描）。

讀到這裡，我已經完全明白情況了。根本沒有什麼 MITM 工具，我前面點開並執行的 CxxCxx pro activator.exe，其實是偽裝過的惡意程式。

3. 惡意程式樣本 #1（`CxxCxx pro activator.exe`）的解剖：它在我的 PC 上做了什麼？

發現自己把惡意程式執行掉之後，我真的非常慌。不過在貿然重灌 Windows 之前，我先決定用 AI 和 REA 把這個惡意程式徹底逆向，弄清楚以下四件事：

為什麼它沒有被 Windows Defender 偵測到？
執行之後，它到底在背景做了什麼？
像一般程式一樣把資料夾刪掉，電腦裡會不會還殘留什麼？
最重要的是，它究竟想竊取電腦裡的哪些資料？

經由 AI 與 REA 分析 Pro 資料夾內的每個檔案後，這個惡意程式的狡猾行為被整理成了四個步驟。

3.1. Windows Defender 的迴避：濫用真實電子簽章，並把程式碼藏進資料檔

我解壓縮並執行時，Windows Defender 完全沒有反應，是因為攻擊者結合了三種偽裝手法：

濫用帶有真實電子簽章的 .exe 檔（DLL Side-Loading）：
我點開的 CxxCxx pro activator.exe 本身完全沒有惡意程式碼。它其實是某大型軟體公司 Txxx-Txx Interactive 簽署過的、Uxxxx 平台的正版啟動器檔案。因為可執行檔本身有乾淨且有效的簽章，Windows 便判定它是安全的並直接允許執行。
在附帶的 .dll 裡植入惡意程式，並用 28 個乾淨檔案作掩護：
正版 .exe 啟動後，Windows 依照機制會自動載入同一資料夾中的 UxxxxPlayer.dll。攻擊者把惡意程式碼塞進了這個 .dll 檔裡。除此之外，為了躲過防毒軟體的自動評分（可疑程度判斷），資料夾裡還塞了 28 個帶有 Microsoft 與 Google 真實電子簽章的無害 .dll 檔。
把惡意程式本體藏在 manifest.json 裡：
惡意程式本體沒有直接以可執行檔形式露出，而是由 UxxxxPlayer.dll 悄悄讀取同一資料夾中的 manifest.json。雖然副檔名是 .json，看起來像一般設定檔，但裡面其實是加密過的惡意程式內容，執行時會解密並直接展開到 RAM（記憶體）中。

3.2. 執行後的動作：複製 Windows 系統函式庫，並隱藏到 RAM 上

我第一次點 CxxCxx pro activator.exe 時，因為畫面沒有任何變化，我總共又連點了 7 次。經過 REA 分析，正是這 7 次點擊造成磁碟使用率瞬間衝到 100%。

我每點一次，惡意程式就會偷偷在 C:\ProgramData\ 深處建立一個名字為 7 個隨機英文字母 的資料夾。
每個資料夾裡，都會把 Windows 的標準系統函式庫 windows.storage.dll 複製成 awindows.storage.dll，並把解密後的惡意程式碼塞進去。
這樣一來，當惡意程式在 RAM 中執行時，記憶體檢查工具看起來只會覺得「這只是 Windows 正規系統函式庫在運作」。因為我連點了 7 次，數十 MB 大小的函式庫複製動作在 ProgramData 裡連續發生，導致磁碟短時間內負載飆高。

3.3. 自動復原的機制：借用 Microsoft 的名義分成 4 片潛伏

這是這次惡意程式最讓我震驚的部分。就算我把下載來的資料夾像一般應用程式一樣刪掉，它依然完全沒有消失。

一般惡意程式會把 .exe 複製到磁碟中，然後在 Windows 開機時自動執行；但那樣很容易被定期掃描抓到。於是這個惡意程式的作者，濫用了分散式儲存常用的 Reed-Solomon 符號 這種資料切分與復原演算法。

把惡意程式核心切成 4 個分散的資料片段（副檔名為 .dat 與 .bin）。
再把這 4 個片段藏到 %LOCALAPPDATA%\Microsoft\ 底下、偽裝成 Microsoft 正規服務 的 4 個不同資料夾（SyncServices、OneDriveStandalone、DeviceSync、Terminal Server Client）中，另外還註冊了一個偽裝成 OneDriveSync 的自動啟動登錄機碼。

為什麼這種「4 分割」方式很危險？

硬碟上根本沒有完整的惡意程式 .exe 檔。散落各處的 4 個 .dat / .bin 檔單獨看都只是毫無意義的位元組序列，防毒軟體掃描時很容易直接放過。
由於 Reed-Solomon 符號的特性，只要 4 片碎片裡還留著任意 2 片，下次電腦啟動時載入器就能重新計算，並在 RAM 上把原始惡意程式 100% 完整還原。就算你找到一兩個可疑資料夾刪掉，剩下的兩片仍然可以讓它毫髮無傷地復活。

3.4. 真正的危險是什麼：它竊取哪些資料，又會造成什麼傷害？

我讓 AI 把分散的碎片重新拼合、解析內部設定之後，才知道這個惡意程式其實是內部代號為 Olympic 的惡意程式，結合了 資訊竊取型惡意程式（Info-Stealer） 與 遠端控制工具（WebRTC RAT）。

一旦它在背景中啟動並連上 C2 伺服器，就會鎖定電腦裡最敏感的四類資料：

竊取瀏覽器工作階段 Cookie 與已儲存密碼（client-recovery）：
會回收電腦上瀏覽器（Chrome、Edge、Brave、Firefox 等）中儲存的所有密碼、自動填入資料（例如信用卡資訊），以及最重要的 Session Cookies（工作階段 Cookie）。比起密碼外洩，更危險的是這些 Session Cookie。只要被偷走登入狀態的 Cookie，攻擊者甚至不需要知道密碼，也能繞過雙因素驗證（2FA/OTP）。只要把偷來的 Cookie 載入攻擊者自己的瀏覽器，就能直接登入 Gmail、Facebook、GitHub、Discord、各種錢包等服務。
即時監視畫面與在背景中偷偷操作（screen-viewer & hidden-desktop）：
透過 WebRTC 協定，將受害者的電腦畫面即時串流給攻擊者。更可怕的是 Hidden Desktop 功能。它會在受害者電腦內建立一個「看不見的虛擬桌面」，在背景中偷偷用受害者自己的電腦與 IP 位址打開瀏覽器、操作帳號，甚至進行轉帳。整個過程中，正在主畫面工作的人根本不會發現滑鼠游標有任何異狀。
搜尋磁碟檔案、偷看剪貼簿、鍵盤側錄器（file-manager、clipboard、input-logger）：
攻擊者可以遠端自由瀏覽硬碟內容，下載公司機密文件、專案原始碼、.env 設定檔、SSH 私鑰、身分證影像等資料。就算你不把密碼儲存在瀏覽器，而是手動輸入，或是從密碼管理器複製（Ctrl+C）再貼上，也可能會被鍵盤側錄器與剪貼簿監控功能全部讀走。
定位與裝置指紋收集（device-profile）：
連線一建立，就會把真實 IP 位址、網路供應商資訊、地理位置資訊（縣市、行政區、經緯度）、硬體配置、已安裝軟體清單，甚至 OneDrive（個人與企業）帳戶資訊送到 C2 伺服器。攻擊者會依照這份裝置剖析資料，立即判斷這是個人電腦還是公司業務電腦，再決定是否進一步展開攻擊。

把竊取工具直接載入 RAM 的狡猾手法：
如果一開始就把密碼竊取功能全部塞進去，很容易被防毒軟體偵測，因此電腦裡放置的惡意程式本體只做最小化的「中繼」功能。等到和 C2 伺服器建立連線後，才下載密碼竊取模組與鍵盤側錄模組，且完全不會存到硬碟，而是 直接在 RAM 上執行。

4. 不重裝 Windows，也能完全清除所有痕跡

如果感染的是會分裂成 4 片並潛伏在系統資料夾各處的惡意程式，正常情況下幾乎只能整台 Windows 重灌才能確保安全。不過這次因為 AI + REA 精準找出了惡意程式建立的檔案路徑、資料夾名稱與登錄機碼，所以我們只花了幾分鐘就把它徹底清除。

刪除自動啟動登錄機碼與設定資訊：移除 Windows 開機時執行的偽造 OneDriveSync 機碼，並把儲存惡意程式設定與識別 ID 的登錄樹（OlympicProject、DesktopStreamClient）完整清掉。
一次刪除 Reed-Solomon 符號的 4 片碎片：前往 %LOCALAPPDATA%\Microsoft\，把碎片藏匿的 4 個位置（SyncServices、OneDriveStandalone、DeviceSync，以及 Terminal Server Client 裡的隱藏檔）全部同步刪除，徹底切斷自我復原的能力。
刪除 C:\ProgramData\ 裡的 7 個隱藏資料夾：把裝有偽裝 awindows.storage.dll 的 7 個隨機字母資料夾全部刪掉，並釋放回超過 260 MB 的可用空間。
用 Windows 防火牆封鎖 C2 伺服器 IP：為了保險起見，我還用防火牆完全阻擋了通往那兩個 C2 伺服器 IP 的外連流量。

5. 惡意程式樣本 #2（`Setup_Installer.exe`）的解析：更兇惡，但幸好我沒有執行它

在處理完第一個樣本之後，我才想起還有第二個從另一篇 Reddit 連結下載來的套件（Setup_Installer.exe）還留在手上。幸好，這個檔案 我一次都還沒執行過。我也想確認這兩個連結是不是同一個犯罪集團做的，所以繼續用 AI 和 REA 來對 Setup_Installer.exe 做靜態分析。

結果再次讓我冒冷汗。這是一個完全不同類型的惡意程式，對系統的破壞力甚至比我已經執行過的第一個還要更兇狠。

這個惡意程式的運作流程分成以下四個步驟：

5.1. 偽裝結構：拒絕分析的三層保護

為了繞過防毒軟體偵測並阻擋工程師分析程式碼，Setup_Installer.exe 套了三層保護。

安裝程式外觀與 21 個偽檔案：外觀看起來像一般軟體安裝程式，並附帶偽造的自簽憑證（NxxxIxxxxxxxxxx Technologies）。此外，Config/ 資料夾裡還放了 21 個假的資料庫檔，內容全被大量的空位元組（0x00）塞滿，用來降低防毒掃描時的不尋常分數。
背景展開與 RAM 解密：一旦執行，就會在暫存資料夾（%TEMP%）偷偷展開背景應用程式，並讀取加密資料檔（runtime5a13.dat），直接在 RAM 中解密並展開。
改動偵測的自我防護：加密層內建了很麻煩的自我防護機制。它會先檢查自己的程式碼是否被修改過，或是有沒有被分析工具（hook）監控。只要偵測到哪怕一個字元被改動，解密金鑰就會自動失效，讓內部程式碼全變成毫無意義的垃圾資料。AI 則是透過建立虛擬環境來繞過這套完整性檢查，逼它自己把程式碼解密出來，進而把所有內部行為都攤開。

5.2. 攻擊流程：要求管理員權限，停用 Windows Defender 並抹除痕跡

如果不小心執行了這個 Setup_Installer.exe，在短短幾秒內就會發生以下流程：

要求管理員權限（UAC）：啟動後立刻跳出 Windows 的 UAC 對話框，要求管理員權限（Run as Administrator）。因為使用者才剛剛主動打開一個名為 Setup_Installer.exe（安裝程式）的檔案，大多數人都會不疑有他，直接按下 「是（Yes）」。
將整台電腦的 Windows Defender 完全無效化：一旦取得管理員權限，就會在背景執行 PowerShell，加入 Windows Defender 的排除設定。最危險的是以下兩行。 defender_blindfold.ps1
```
Add-MpPreference -ExclusionExtension '.exe' -ErrorAction SilentlyContinue;
Add-MpPreference -ExclusionExtension '.tmp' -ErrorAction SilentlyContinue;
```
這代表把電腦裡所有 .exe 和 .tmp 檔案都排除在 Windows Defender 的掃描範圍之外。從這一刻起，Windows 內建防毒功能就等於被完全蒙上眼睛。
下載最終惡意程式並隱密執行：在 Windows Defender 已被癱瘓的情況下，從 C2 伺服器把真正的惡意程式（payload.exe）下載到暫存資料夾，並利用 Windows 內建系統工具在背景執行。
傳送畫面截圖並自我刪除以湮滅證據：最後會擷取整個螢幕畫面，連同 IP 位址一起傳送到 C2 伺服器，並執行自動刪除暫存資料夾中安裝程式殘留檔案的腳本，消失得無影無蹤。對著畫面的使用者只會覺得「什麼都沒發生（安裝程式當掉了）」，根本不會知道感染已經完成。

5.3. 兩種惡意程式樣本的比較

比較項目樣本 #1：CxxCxx pro activator.exe (我實際執行過的)樣本 #2：Setup_Installer.exe *(我沒有執行的)*主要目的遠端畫面監控與操作，以及帳號資訊竊取（WebRTC RAT）停用防毒軟體並投下最終惡意程式偵測迴避手法濫用真實簽章的 .exe + 28 個正版 .dll 偽造憑證 + 21 個偽檔案 + 三重加密執行時權限**一般使用者權限運作（不跳 UAC）啟動後立即 要求管理員權限（UAC）**對 Windows Defender 的干擾不更動設定，透過 RAM 執行與檔案切分來迴避直接無效化：將所有 .exe 與 .tmp 設為掃描排除潛伏與持久化方式切成 4 個資料碎片 潛伏在 Microsoft 資料夾底下（可自我復原）將酬載投到暫存資料夾後，完全刪除安裝程式本體---

6. 不幸中的萬幸：為什麼我的密碼與資料沒有被盜走？

在我把惡意程式完全清除之後，最讓我掛心的還是：「第一個惡意程式在背景運作的那段時間裡，我的瀏覽器密碼和 Cookie 是否早就被偷走了？」 經由 AI 和 REA 進一步分析系統記錄後，確認是三個幸運因素一起發揮作用，才讓我的資料平安無事。

最新瀏覽器的 v20 加密（App-Bound Encryption）保護：我當時新重灌的環境中，瀏覽器的 Cookie 和密碼都以 Chromium 最新規格的 v20 加密。這個規格把解密權限強烈綁定到系統層級（SYSTEM）。而第一個惡意程式為了不引人注意，沒有跳出 UAC，只以一般使用者權限執行，因此無法自行解密這些 v20 資料。
透過 Windows 執行歷程（Prefetch）確認沒有碰過瀏覽器：比對 Windows 核心記錄的檔案存取歷程後發現，惡意程式的程序從來沒有存取過任何瀏覽器資料夾，連瀏覽器的解密服務（elevation_service.exe）也完全沒有被叫出來。
因為我用的是本機瀏覽器「Cốc Cốc」而意外躲過一劫：我的電腦裡沒有把密碼存到 Chrome 或 Edge，而是全部存在 Cốc Cốc 這個瀏覽器中。Cốc Cốc 在越南國內非常普及，但整體全球市占當然比不上 Chrome。這反而成了意外之福。因為這個海外製作的惡意程式內部硬編碼的「18 種目標瀏覽器」名單裡，完全沒有 Cốc Cốc 的路徑。再加上攻擊者的 C2 伺服器上，額外下載密碼竊取模組的 URL 當時剛好回傳 404，所以我的帳號資訊才得以毫髮無傷。

回想起來真的很可怕：
如果那天我先執行的是第二個檔案（Setup_Installer.exe），並在 UAC 視窗按下「是」，那麼在它取得管理員權限並停用 Windows Defender 之後，甚至連瀏覽器的 v20 保護都很可能被突破。

7. 這次經驗得到的教訓與因應

這次驚險的經驗，我整理出 4 個想提醒大家務必注意的重點：

絕對不要相信 Google、Reddit、GitHub 上的「Crack / Activator」：近年惡意程式的散布手法非常高明。它們會透過 SEO 排到 Google 搜尋第一頁，用假帳號留言「可以用！」，讓發文時間永遠保持最新，甚至還會用顯示 JavaScript 98% 的假倉庫與有密碼保護的壓縮檔（.rar / .zip）來躲過防毒掃描。
作業系統與軟體請務必保持最新版本：更新通常包含非常重要的安全修補。像最近 PHP 就曾發現極危險的弱點，舊版本幾乎都暴露在可被遠端奪權的風險中，但新版本已經修補完成。我的電腦也是因為瀏覽器保持在最新狀態，所以啟用了 v20 加密，才成功避免 Cookie 與密碼外洩。
重新檢視 UAC 許可與密碼管理習慣：
- 如果來源無法 100% 確認可信，當檔案跳出 UAC（以系統管理員身分執行） 視窗時，不要下意識按「是」。
- 重要密碼不要直接存進瀏覽器，建議搭配專用密碼管理器與雙因素驗證（2FA / Passkey）一起使用。
- 把下載檔刪掉或正常解除安裝，並不代表惡意程式真的消失了（它可能已經被分拆並潛伏在系統資料夾裡），這點一定要特別注意。
如果你曾經執行過可疑檔案，就用 PowerShell 檢查一下：
如果你以前也曾經點過可疑檔案，而且發生過「畫面沒有任何反應」的情況，可以打開 PowerShell，執行下面這段腳本。它能快速檢查 Windows Defender 是否被加入可疑排除項目，以及是否殘留本次兩個惡意程式的痕跡。

security_health_check.ps1

# 1. 檢查 Windows Defender 是否被加入可疑排除設定（.exe、.tmp、陌生資料夾等）
Write-Host "=== 1. WINDOWS DEFENDER 排除設定確認 ===" -ForegroundColor Cyan
Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess | Format-List

# 2. 檢查目前使用者的登錄自動啟動設定（Run）
Write-Host "=== 2. 登錄自動啟動 (HKCU) 確認 ===" -ForegroundColor Cyan
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"

# 3. 檢查 Olympic RAT 的痕跡（4 分割檔與登錄機碼）
Write-Host "=== 3. 檢查 APPDATA 內的隱藏惡意程式痕跡 ===" -ForegroundColor Cyan
$suspiciousPaths = @(
    "$env:LOCALAPPDATA\Microsoft\SyncServices",
    "$env:LOCALAPPDATA\Microsoft\OneDriveStandalone",
    "$env:LOCALAPPDATA\Microsoft\DeviceSync",
    "$env:LOCALAPPDATA\Microsoft\Terminal Server Client\state.bin",
    "$env:LOCALAPPDATA\Temp\Local\bin",
    "HKCU:\Software\OlympicProject"
)
foreach ($p in $suspiciousPaths) {
    if (Test-Path $p) {
        Write-Host "[警告] 偵測到可疑路徑：$p" -ForegroundColor Red
    }
}

# 4. 搜尋 C:\ProgramData 中是否存在包含 awindows.storage.dll 的隨機 7 字母資料夾
Get-ChildItem -Path "C:\ProgramData" -Directory -ErrorAction SilentlyContinue |
    Where-Object { $_.Name -match "^[a-zA-Z]{7}$" -and (Test-Path "$($_.FullName)\awindows.storage.dll") } |
    ForEach-Object { Write-Host "[警告] 偵測到包含偽裝 DLL 的隱藏資料夾：$($_.FullName)" -ForegroundColor Red }

8. 結語

回頭看這次的事件，我能避開最糟情況，最大的因素就是：有啟用最新安全防護的新電腦環境，再加上 AI 與 REA（reverse-engineer-anything） 強大的分析能力。

REA 並不是用來破解或修改軟體的工具。但若是把它用在白帽防禦與調查用途上，對工程師來說真的是非常可靠的夥伴。

能迅速看穿用來散布惡意程式的假原始碼倉庫。
能準確拆解出惡意程式如何濫用真實電子簽章繞過 Windows Defender、如何在 RAM 中隱蔽執行、如何在 Microsoft 資料夾底下拆成 4 片潛伏並自動復原，甚至是如何奪取管理員權限並停用防毒軟體。
也能根據具體證據，把系統內所有殘留痕跡徹底清除，並在不重灌作業系統的情況下，確認個人資料的安全性。

近年的惡意程式越來越狡猾，常常假裝成正版檔案潛伏，就算被刪除也能自動復原。我希望自己這次的失誤經驗，能成為大家對網路上免費工具提高警覺的提醒，也能作為利用 AI 保護自己環境的參考。