隨著大眾資安意識提升，木馬病毒的生存空間被壓縮，駭客遂發展出多種偽裝手法，其中利用 WinRAR 自解壓縮功能捆綁木馬極為常見。本文將深入剖析此技術原理、實作流程，並提供有效辨識與防禦策略。

一、捆綁木馬的核心原理

攻擊者將木馬程式（如 1.exe）與誘餌檔案（如 1.swf Flash 動畫）置於同一資料夾，透過 WinRAR 打包為 .exe 格式的自解壓縮檔（SFX）。使用者雙擊執行時，表面啟動誘餌檔案，實則在背景靜默執行木馬服務端，達到「神不知鬼不覺」植入後門的目的。因無異常視覺徵兆，極難被察覺。

二、實戰製作流程還原（僅供防禦研究）

1. 選取檔案：Ctrl 點選 1.swf 與 1.exe → 滑鼠右鍵「加入壓縮檔」。
2. 一般頁籤：檔名自訂（如「暴笑三國.exe」），副檔名必須為 .exe（勾選「建立自解壓縮格式」）。
3. 進階 → SFX 選項 → 模式頁籤：
   • 釋放路徑：輸入 C:\Windows\Temp（不存在會自動建立）。
   • 釋放後執行：填入木馬檔名 1.exe。
4. 模式頁籤：勾選「全部隱藏」與「覆蓋所有檔案」，提升隱蔽性。
5. 文字與圖示頁籤：可自訂視窗標題、圖示，偽裝成正規軟體增加誘騙性。
6. 註解頁籤（關鍵腳本）：WinRAR 依設定自動產生腳本，典型內容如下：

   Path=C:\Windows\Temp
   Setup=1.exe
   Setup=explorer.exe 1.swf
   Silent=1
   Overwrite=1

   其中 Setup=explorer.exe 1.swf 為關鍵，使誘餌檔案正常開啟作為掩護。

三、進階變種：注册表惡意修改與多重載荷

攻擊者可將 .reg 檔（如 change.reg）封裝為自解壓縮檔 del.exe，腳本設為：

Path=C:\Windows
Setup=regedit /s change.reg
Silent=1
Overwrite=1

執行時無提示靜默修改登錄，並可再捆綁木馬或硬碟炸彈，形成多重破壞鏈。

四、如何快速辨識 WinRAR 捆綁木馬

核心原則：凡自解壓縮檔內藏多個可執行檔（.exe、.scr、.bat 等），極大機率藏有惡意碼。

最簡單檢測法：

1. 滑鼠右鍵點擊可疑 .exe → 選「內容」。
2. 切換至「註解」頁籤（WinRAR SFX 獨有）。
3. 檢視腳本內容，若出現多行 Setup= 或可疑路徑，即可判定有異常。

五、防範黃金法則

• 絕不直接雙擊執行來源不明的 .exe。
• 改用「右鍵 → 用 WinRAR 開啟」預覽內部檔案清單。
• 啟用「顯示副檔名」，防範 photo.jpg.exe 偽裝。
• 保持防毒軟體即時掃描與病毒碼更新。

資安防護重在「知己知彼」。掌握駭客捆綁手法，才能在第一線建立有效防線。