木馬檔案特徵
- 客戶端/配置器：420 KB，生成服務端 117 KB。
- 輔助工具「廣外幽靈」v2.7：185 KB 配置器，37 KB 服務端，鍵盤記錄/竊密、穿透防火牆。
- 中毒徵兆：防火牆/殺毒軟體假死失效、機器莫名死機。
服務端配置要點
- 安裝錯誤提示偽裝：「此程式非標準 Win32 應用程式，禁止執行」。
- 自定義埠（如 9958）降低掃描發現率。
- 針對主流防火牆/殺毒「黑洞式」處理（終止進程、刪除檔案、修改註冊表），金山毒霸、天網防線等國產軟體首當其衝。
控制端功能
- 「檔案共享」介面遠端操作（上傳/下載/執行/刪除）。
- 密碼記錄（配合廣外幽靈更強）、螢幕監控（受頻寬影響）。
- 體積小、隱藏深、反殺毒狠，上手零門檻。
三種清除方案
1. 專殺工具（推薦）
升級殺毒軟體病毒碼（金山毒霸可識別 1.5c 版），全盤掃描清除。
2. 手工註冊表修復（純 DOS + 注冊表編輯器重命名技巧）
- 重啟進入**純 DOS 模式**（非安全模式），刪除
%SystemRoot%\System32\DIAGFG.EXE（服務端主程式）。
- 進 Windows 後
Regedit.exe 改名為 Regedit.com（繞過 .exe 關聯被劫持）。
- 執行
Regedit.com，修改 HKEY_CLASSES_ROOT\exefile\shell\open\command 預設值為 "%1" %*（恢復 .exe 執行關聯）。
- 刪除
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 下名為 Diagnostic Configuration 的自啟項。
- 將
Regedit.com 改回 Regedit.exe，重啟驗證。
3. 系統還原/重裝（終極保障）
若系統檔案已被大範圍修改或 Rootkit 潛伏，乾淨重裝最省時可靠。
防範建議
- 及時修補 Web 應用上傳漏洞（本案入口）。
- 禁用/卸載 PcAnywhere 等遠管軟體或升級最新版並限制 IP。
- 部署 HIPS/EDR 監控關鍵註冊表鍵值、啟動項、系統目錄寫入。
- 定期離線備份系統映像，縮短 RTO。