前言：木馬的解剖學結構

木馬本質是遠程控制程式，雙端架構：

• Server 端（服務端/被控端）：植入受害主機，開放後門埠口，監聽連線。
• Client 端（控制端）：攻擊者操作介面，發送指令、獲取數據。

傳播感染的核心 = 將 Server 端傳送給受害者並誘導執行。

一、木馬持久化機制：啟動項全景圖

1. 傳統啟動項（Win9x/2000/XP 通用）

2. 進階啟動項（Win2000/XP/2003 新增）

類型	路徑/鍵值	說明
啟動資料夾	開始功能表 → 程式集 → 啟動	用戶層級，易發現
註冊表 Run	HKLM\Software\Microsoft\Windows\CurrentVersion\Run	機器級，所有用戶登入執行
註冊表 Run (用戶)	HKCU\Software\Microsoft\Windows\CurrentVersion\Run	當前用戶登入執行
註冊表 RunServices	HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices	服務進程上下文，早期啟動
Win.ini	load= / run=	16 位相容性殘留
System.ini	shell=explorer.exe malware.exe	修改 shell 掛載

3. 系統路徑遍歷優先級劫持（無檔案落地持久化）

Windows 搜尋無路徑可執行檔遵循「從外向內」順序：當前目錄 → 系統目錄 → PATH 目錄。木馬將自身命名為系統常用程式（如 internat.exe），放置於較淺層目錄（如 C:\），系統錯誤載入木馬而非真實程式。此手法繞過啟動項檢查，極具隱蔽性。

二、木馬查殺核心原則：知己知彼

1. 建立基線：記錄乾淨系統的所有啟動項、服務、計劃任務、關鍵註冊表鍵值、關鍵系統檔案雜湊值。
2. 定期比對：使用 Autoruns、Sysinternals Suite、WinPatrol 等工具自動化比對。
3. 異常判斷：無簽名、路徑異常、出版社未知、數位簽名無效、資源異常佔用 → 疑似木馬。

三、文件關聯型木馬（EXE 掛載）徹底清除實戰

1. 攻擊原理

木馬修改 HKEY_CLASSES_ROOT\exefile\shell\open\command 預設值 "%1" %* 為 "malware.exe" "%1" %*。所有 .exe 執行前先啟動木馬，木馬再傳遞參數啟動原程式 → 木馬常駐記憶體、自我恢復、刪除木馬導致所有程式無法執行。

2. 清除步驟（保持註冊表編輯器開啟）

1. 任務管理器/Process Explorer 結束木馬進程及衍生進程。
2. 刪除所有木馬檔案。
3. 將 HKEY_CLASSES_ROOT\exefile\shell\open\command 恢復為 "%1" %*。
4. 重啟驗證。

3. 失誤補救（忘記先恢復關聯）

• Win9x：F8 進入 DOS 模式 → ren explorer.exe explorer.bak → ren regedit.exe explorer.exe → 重啟進入註冊表編輯器修復 → 重啟恢復 explorer.exe。
• Win2000/XP：F8 選「命令提示字元安全模式」→ 直接執行 regedit 修復。XP 甚至可在「打開方式」對話框瀏覽選擇 cmd.exe 啟動命令列執行 regedit。

四、系統檔案替換型木馬修復

1. 手法

木馬備份真實系統檔（改名隱藏），自身偽裝為該檔案（如 internat.exe、rundll32.exe）。系統調用時，木馬接力調用真實檔案（傳遞參數），表面功能正常，實則常駐記憶體。

2. 修復策略

1. 記錄木馬檔案名稱與偽裝目標檔案名。
2. 刪除木馬檔案。
3. 從系統安裝媒體（或同版本乾淨系統）提取原版檔案覆蓋還原。
4. 無媒體時：使用 Process Monitor 追蹤木馬傳遞參數的目標程式名，將其改回原名。

五、現代防禦體系建議（超越傳統查殺）

項目	鍵名
AppInit_DLLs	HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
用戶層 Run	HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\run
服務	HKLM\System\CurrentControlSet\Services\<服務名> → ImagePath
計劃任務	AT 排程 / 計劃任務服務
WMI 事件訂閱	永久性事件消費者綁定惡意腳本
COM 劫持	HKCR\CLSID\{...}\InprocServer32 修改為惡意 DLL

防禦層	措施	工具/技術
預防	應用程式白名單、禁用 AutoRun、Office 宏預設停用、瀏覽器強化	AppLocker、WDAC、GPO、EMET/Exploit Protection
檢測	EDR 行為監控、記憶體掃描、啟動項/服務/計劃任務/WMI 變更審計	CrowdStrike、SentinelOne、Microsoft Defender for Endpoint、Sysmon
響應	自動隔離、記憶體傾印分析、橫向移動鏈追蹤、一鍵修復	SOAR 劇本、EDR 原生響應動作
威脅情報	IoC 訂閱、ATT&CK 技術映射、紅隊演練驗證	MISP、AT&T AlienVault OTX、MITRE ATT&CK Navigator

結語

木馬查殺非單次動作，而是持續的「基線建立 → 偏差檢測 → 根因清除 → 防禦迭代」循環。掌握啟動項全景、文件關聯劫持、系統檔案替換三大經典持久化技術原理，配合現代 EDR/XDR 體系，方能在 APT 與勒索軟體時代守住端點防線。