前言：2005 年木馬新變種——執行緒注入技術

2005 年木馬攻擊性大增，不再用獨立 EXE，改採核心嵌入、遠端執行緒注入、掛鉤 PSAPI 等手法，極難對付。本文教你查找與清除此類「插入式」木馬。

一、透過自動啟動機制查木馬

1. 登錄檔啟動項

檢查 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 及 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 下所有 Run* 項，查看是否有新增/可疑鍵值，循檔案路徑判斷。另注意 HKEY_LOCAL_MACHINE\Software\Classes\exefile\shell\open\command\ 是否被竄改。

2. 系統服務

查 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 及 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ 可疑項。透過 Services.msc 禁用或刪除木馬服務（啟動類型改「已停用」或刪除整個主鍵）。

3. 開始選單啟動群組

檢查「開始/程式/啟動」新增項目，右鍵「尋找目標」查看路徑。登錄檔位置：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup。

4. 系統 INI 檔

執行 msconfig 檢查 Win.ini [Windows] 區段 load=/run= 及 System.ini [boot] 區段 Shell=Explorer.exe 後是否有異常程式。

5. 批次檔

Win9X 下 C:\AUTOEXEC.BAT、C:\WINDOWS\WinStart.bat 亦為木馬藏身處，注意 @echo off 隱藏指令技巧。

二、透過檔案對比查木馬（針對執行緒注入型）

新型木馬載入後將自身注入 SPOOLSV.EXE，刪除自身檔案與啟動項，關機前重建。對策：

1. 對照備份常用進程列表

開機後立即備份：tasklist /svc > X:\processlist.txt。日後懷疑中毒再備份一次對比。

2. 對照備份系統 DLL 檔案列表

cd %windir%\system32 → dir *.dll > X:\listdll.txt。日後產生 listdll2.txt 用 fc 或 UltraEdit 對比，發現新增/變更 DLL。

3. 對照已載入模組

執行 msinfo32.exe →「軟體環境/已載入模組」→「檔案/匯出」備份文字檔，需要時對比。

4. 查看可疑連接埠

netstat -an 顯示所有連線與監聽連接埠。XP 新增 -O 參數可對應連接埠與進程 PID。分析開放連接埠縮小範圍，再用進程分析工具（如 Windows 優化大師 WinProcess.exe）查找嵌入木馬。注意連接埠劫持/重用（常用 139、80），亦可用網路嗅探工具（CommView）分析傳輸內容。