前言：認清木馬雙面本質

木馬通常與駭客端控制程式成對出現：木馬端（Server）潛伏受害主機竊取資訊、開啟後門；控制端（Client）提供視覺化介面遠端操控。現代木馬趨向整合化、隱蔽化。掌握命名規則、植入手法、異常徵兆與清除技巧，是每位用戶必備技能。

一、 從病毒名稱快速識別木馬屬性

防毒廠商命名格式通用：<前綴>.<名稱>.<後綴>。關鍵前綴：

• Trojan — 木馬程式（如 Trojan.QQ3344、Trojan.LMir.PSW.60）
• Hack — 駭客控制端（如 Hack.Nether.Client）
• PSW / PWD — 名稱含此字串者，通常具竊取密碼功能（Password 縮寫）。

二、 熟知五大植入手法，精準預防

手法	運作模式	防範對策
網咖植入	關閉防火牆 → 安裝木馬 → 不重機離開（利用還原精靈特性）	上網前必重開機；確認防毒軟體運行；勿在網咖處理銀行/機密帳務
通訊軟體傳檔	偽裝照片/文件誘導點擊；執行後無明顯反應	拒收陌生人檔案；執行前必掃毒
檔案綁定	將木馬與圖片/正常程式綁定，圖示正常，殺毒難偵測	不開啟陌生來源檔案（特別是圖檔）；使用沙箱測試
加殼/編譯混淆	對木馬重新編譯或加殼，繞過特徵碼掃描	啟用啟發式掃描、行為監控功能
網頁掛馬	瀏覽網頁即自動下載執行（利用 IE 漏洞）	不點擊陌生連結；及時修補瀏覽器漏洞；升級防毒軟體

三、 十一大中毒徵兆，即時自檢

• 電腦反應明顯變慢、硬碟頻繁讀寫
• 鍵盤/滑鼠失控、視窗莫名開關
• 網路指示燈持續閃爍（無大量傳輸時）
• 系統資源異常佔用、小程式執行無反應
• 關閉程式時防火牆偵測到郵件外發
• 密碼被竄改或他人知曉隱私
• 檔案消失、資料被竄改

四、 經典木馬手動清除實戰

原則： 先斷網 → 進入安全模式/DOS → 刪除登錄啟動項 → 刪除實體檔案 → 修補系統漏洞 → 重開機驗證。

案例 1：洛伊木馬

1. regedit 刪除 HKLM\Software\Microsoft\Windows\CurrentVersion\Run\startIE 值
2. 重命名 Note.com 為 Notepad.exe（還原被替換的系統檔）

案例 2：冰河 v1.1 / v2.2

• v1.1：刪除登錄 kernel32.exe、sysexplr.exe 啟動項 → DOS 下刪除同名檔案
• v2.2：路徑與鍵值可自訂，需人工檢視登錄可疑路徑並對應刪除檔案

案例 3：QQ 尾巴

1. msconfig 禁用 Sendmess.exe、wwwo.exe 啟動項
2. 刪除 C:\Windows\qq32.INI
3. DOS 下刪除上述兩執行檔
4. 套用 IE IFRAME 修補程式（傳播向量）

五、 惡意綁定檔案剝離技術

當正常程式被綁定木馬，可用十六進位編輯器（如 UltraEdit）分離：

1. 開啟綁定檔，尋找 MZ 標記（PE 檔頭特徵）。
2. 複製第 2 個 MZ 到第 3 個 MZ 前的內容 → 存為新 EXE（第 2 檔）。
3. 複製第 3 個 MZ 到檔尾 → 存為新 EXE（第 3 檔）。
4. 比對圖示與檔案大小：通常圖示一致且體積較大者為原始正常程式。

六、 總結：習慣勝過工具

1. 安裝並持續更新信譽良好的防毒/反木馬軟體。
2. 不開啟不明來源檔案、連結、網頁。
3. 及時修補作業系統與應用程式漏洞。
4. 重要帳號啟用雙因子驗證（2FA），降低密碼被竊風險。