威脅演進脈絡

Win9x 時代木馬註冊服務隱藏進程 → NT 系統任務管理器可見所有進程 → 木馬轉用 DLL 注入 技術：取代 wsock32.dll/WS2_32.dll 劫持網路呼叫 → 數位簽章與檔案保護機制失效 → 現今主流：**動態嵌入式 DLL 木馬** 注入 explorer.exe、svchost.exe、smss.exe 等關鍵系統進程，實現無進程可見、端口復用/劫持 (無埠口木馬)、多執行緒自我保護、服務註冊持久化。

五階段偵測與清除標準作業程序

階段一：系統目錄基線比對

1. 乾淨安裝後建立基線：
   dir %windir%\system32\*.exe > exeback.txt
dir %windir%\system32\*.dll > dllback.txt
2. 懷疑感染時重新產生 exeback1.txt、dllback1.txt
3. fc exeback.txt exeback1.txt > diff.txt、fc dllback.txt dllback1.txt >> diff.txt
4. 分析新增檔案：建立時間、數位簽章、是否加殼 (UPX/ASPack 等)
5. 可疑檔先移至回收站觀察，確認無誤後提交廠商分析或徹底刪除

階段二：關鍵進程模組枚舉比對

1. 工具：Process Dumper (Procdump.exe) 檢視進程載入模組
2. 更高效：ps.exe (Shotgun 作品) ps.exe /a /m > nowdlls.txt 導出全系統載入 DLL 清單
3. 與基線 dllback.txt 比對，鎖定異常模組

階段三：連接埠關聯追蹤

• 工具：Fport.exe (Foundstone) 顯示 PID - 埠口 - 協定 - 進程路徑
• 鎖定可疑連線對應 PID，結合階段二定位注入 DLL
• 注意：木馬常劫持 80/139/1433/3306 等合法埠口偽裝正常流量

階段四：流量層級深度檢視

• 網卡設為混雜模式，使用 IRIS、Wireshark、tcpdump 抓取封包
• 依 RFC 解碼應用層協定，識別非標準指令、加密通訊、資料外洩特徵
• 結合 Fport 定位進程，Procdump 定位 DLL，形成完整證據鏈

階段五：持久化機制徹查

傳統啟動項 (Run/RunOnce/啟動資料夾/win.ini) 已非主流，重點檢查：

• 服務控制管理器： services.msc / sc query 列舉所有服務，對比基線
• 服務映像路徑指向可疑檔案 → srvinstw.exe (Resource Kit) 移除服務並刪除檔案
• 驅動服務 (system32\drivers)、WMI 事件訂閱、排程任務、COM 劫持、AppInit_DLLs、KnownDLLs 等進階持久化點

工具箱整理

功能	推薦工具	備註
基線建立/比對	FC.exe (內建)、WinDiff、Beyond Compare	自動化腳本化
進程模組檢視	Process Explorer、ListDLLs、ps.exe	Sysinternals 套件首選
埠口-進程對應	Fport、TCPView、netstat -ano	Fport 輸出最適合腳本解析
流量分析	Wireshark、IRIS、NetworkMiner	IRIS 圖形化易上手
啟動項/服務稽核	Autoruns、HiJackThis、服務管理單元	Autoruns 最全面
服務移除	srvinstw.exe、sc delete	srvinstw 可同步刪除檔案

防禦升級建議

• 啟用 **Windows Defender Application Control (WDAC)** / **AppLocker** 限制非簽署 DLL 載入
• 部署 **EDR** 監控進程注入行為 (CreateRemoteThread、WriteProcessMemory、SetWindowsHookEx)
• 定期離線掃描 (WinPE 環境) 繞過 Rootkit 隱藏
• 建立黃金映像基線，定期完整性驗證