蠕蟲、木馬等現代惡意程式不再感染可執行檔，而是將自身偽裝成系統元件植入。儘管隱蔽性強，但感染過程必留痕跡。本文彙整各類惡意程式常修改的位置，助你快速排查。

一、系統設定檔（主要針對 Windows 95/98）

• autoexec.bat：在檔案末尾加入啟動惡意程式的指令。
• win.ini：修改 [windows] 區段下的 run= 或 load= 掛載惡意程式。
• system.ini：竄改 [boot] 區段的 shell= 值（正常為 explorer.exe），植入惡意程式路徑。

二、登錄機碼（適用所有 Windows 版本）

新型蠕蟲/木馬幾乎都會修改登錄以達到自動啟動。常見位置：

登錄路徑	說明	範例
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce	系統啟動時執行一次的程式	—
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices	系統啟動時自動執行的服務程式	—
HKLM\Software\Microsoft\Windows\CurrentVersion\Run	最常被修改/新增，啟動程式	Win32.Swen.B 新增：ucfzyojza = "cxsgrhcl.exe autorun"
HKEY_CLASSES_ROOT\exefile\shell\open\command	使用者執行任何 .exe 時觸發，同理 txtfile、comfile 等	—

三、特殊功能濫用

• 阻擋登錄編輯工具：
  HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools = 1
• 破壞 .reg 檔案關聯：
  修改 HKCR\regfile\shell\open\command\(Default) 為惡意程式（如 cxsgrhcl.exe showerror），導致匯入 .reg 檔時跳出記憶體錯誤視窗。

核心目的

上述修改最終目標一致：確保惡意程式在系統啟動或使用者操作過程中自動被載入執行，達到持久化駐留與隱蔽控制。