木馬程式潛伏隱蔽、破壞力強，往往讓使用者防不勝防。本文深入剖析七款經典木馬的運作機制、感染徵兆，並提供經實測有效的手動清除步驟，助你從根源肅清威脅。

一、網絡公牛 —— 國產捆綁大師

預設端口 23444。服務端 newserver.exe 執行後自動脫殼為 C:\WINDOWS\SYSTEM\checkdll.exe，並寫入開機自啟動。更狡猾的是，它會將自身捆綁至 notepad.exe、regedit.exe、drwtsn32.exe、winmine.exe 等系統程式，甚至掛鉤 RealPlayer、QQ 等常駐軟體。檔案體積暴增約 40 KB 是明顯徵兆。

清除步驟

1. 刪除 C:\WINDOWS\SYSTEM\CheckDll.exe。
2. 註冊表中搜尋並刪除所有相關鍵值（Run、RunServices 等）。
3. 對比正常系統檔案大小，刪除被捆綁的可執行檔，再以「系統檔案檢查器」從安裝光碟還原。

二、Netspy（網絡精靈）v3.0

預設端口 7306。新增註冊表編輯與瀏覽器監控功能，客戶端可直接用 IE 遠程監控。服務端生成 C:\Windows\system\netspy.exe 並寫入 HKLM\Software\Microsoft\Windows\CurrentVersion\Run。

清除步驟

1. 開機按 F5 進入命令列，刪除 C:\windows\system\netspy.exe。
2. 註冊表刪除對應 Run 鍵值。

三、SubSeven 2.2

預設端口 27374，體積僅 54.5 KB，極易捆綁隱藏。進程名每次啟動皆變動，早期版本金山毒霸等主流殺毒軟體難以查殺。

清除步驟

1. 檢查 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 及 RunService，刪除不明載入項（載入器名稱與路徑隨機）。
2. 編輯 win.ini 移除 run= 後的異常程式。
3. 編輯 system.ini 確保 shell=explorer.exe 後無附加檔名。
4. 重啟後刪除對應木馬檔（常見於 C:\windows\system，如 vqpbk.exe）。

四、冰河標準版

預設端口 7626。執行 G-server.exe 後生成 Kernel32.exe（開機自啟）與 sysexplr.exe（關聯 .txt 檔）。刪除前者若開啟文字檔，後者會重新生成前者，形成「雙重保險」。

清除步驟

1. 刪除 C:\Windows\system\Kernel32.exe 與 Sysexplr.exe。
2. 註冊表 Run、RunServices 刪除 Kernel32.exe 鍵值。
3. 修復 HKEY_CLASSES_ROOT\txtfile\shell\open\command 預設值為 C:\windows\notepad.exe %1。

五、網絡神偷 —— 反彈端口型

服務端主動連出，客戶端監聽端口 80 偽裝成 HTTP 流量，極難被端口掃描發現。註冊表 Run 建立 internet 鍵值指向 C:\WINDOWS\SYSTEM\INTERNET.EXE /s。

清除步驟

1. 刪除註冊表 Run 下的 internet 鍵值。
2. 刪除 C:\WINDOWS\SYSTEM\INTERNET.EXE。

六、廣外女生

具備終結「金山毒霸」、「天網」等防護進程的能力，導致防火牆失效。服務端偽裝為 DIAGFG.EXE 駐留 System 目錄。

清除步驟

1. 進入純 DOS 刪除 C:\Windows\System\DIAGFG.EXE。
2. 將 Regedit.exe 改名為 Regedit.com，進 Windows 執行它修復 HKEY_CLASSES_ROOT\exefile\shell\open\command 預設值為 "%1" %*。
3. 刪除註冊表中名為「Diagnostic Configuration」的鍵值。
4. 將 Regedit.com 改回 Regedit.exe。

七、WAY 2.4

預設端口 8011。生成 C:\windows\system\msgsvc.exe（圖標偽裝成文字檔），註冊表 Run 建立 Msgtask 字串值。進程名為 CWAY，Windows 下直接刪除檔案會失敗。

清除步驟

1. 進程管理工具終止 CWAY 進程，隨即刪除 msgsvc.exe；或進 DOS 刪除。
2. 刪除註冊表 Run 下的 Msgtask。
3. 若已與其他 EXE 捆綁，需備份後連同宿主程式一併刪除。

核心提醒：手動清除木馬需謹慎操作註冊表與系統檔案，建議先備份重要資料，清除後務必全盤掃毒確保無殘留。