木馬屬遠端控制型惡意程式，隱蔽性極強。了解其常見藏身處，才能有效搜查清除。以下 10 大經典駐留手法與檢查要點：

1. 綁定正規程式：木馬與應用程式 (甚至系統檔) 捆綁，覆蓋原檔。啟動宿主程式即重新安裝木馬。檢查：檔案大小/時間戳異常、數位簽章失效。
2. 藏於設定檔：Autoexec.bat、Config.sys（舊系統），現較少見但仍需檢查。
3. 潛伏 Win.ini：[windows] 區段 run=、load= 後接木馬路徑（如 c:/windows/file.exe）。
4. 偽裝普通檔案：將 EXE 圖示改為圖片/文件圖示，檔名 photo.jpg.exe，利用「隱藏已知副檔名」欺騙雙擊執行。
5. 植入註冊表自動啟動鍵：重點檢查三大根鍵下所有以 Run 開頭的值：
   HKLM\Software\Microsoft\Windows\CurrentVersion\
HKCU\Software\Microsoft\Windows\CurrentVersion\
HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\
6. System.ini 多處藏匿：
   [boot] shell=explorer.exe malware.exe
[386Enh] device=path\malware.exe
[mic]、[drivers]、[drivers32] 區段同理。
7. 啟動群組：
   資料夾：C:\Windows\Start Menu\Programs\Startup
   註冊表：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Startup
8. Winstart.bat：Windows 載入驅動後自動執行，可替代 Autoexec.bat 載入木馬。
9. 捆綁啟動設定檔：替換應用程式啟動配置檔 (如 .ini、.cfg)，植入木馬啟動指令。
10. 網頁惡意超連結：誘騙點擊駕馭瀏覽器漏洞或下載木馬。不信任的連結絕不點擊。

排查工具建議

• Autoruns (Sysinternals) 全自動掃描所有自動啟動點。
• Process Explorer 檢視異常 DLL 載入、無簽章映像。
• 定期比對關鍵系統檔案雜湊值 (Tripwire 風格)。