部分木馬透過修改 .exe 檔案關聯，或利用登錄表 Image File Execution Options 機制，指定偵錯程式來劫持正常程式啟動。認清此機制，能更早發現異常。

高風險登錄表路徑

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

木馬常見手法

在上述路徑下新建一個以目標程式命名的子機碼（如 notepad.exe），再在其下建立字串值 Debugger，值設為惡意程式完整路徑（如 C:\Malware\evil.exe）。此後每當啟動 notepad.exe，系統實際執行的是 evil.exe。

關鍵細節： 子機碼名稱不需包含路徑，僅檔名即可生效，這使得掃描排查更容易被忽略。

防範與排查建議

• 定期檢查該登錄表分支，是否有非預期的子機碼與 Debugger 值。
• 使用授權防毒軟體即時掃描，啟用 HIPS/行為防護。
• 發現異常立即刪除對應子機碼，並全盤掃毒。

聲明：本文旨在協助使用者維護系統安全，嚴禁利用此技術從事入侵、破壞行為。