木馬程式極力隱藏蹤跡，常見手法包括：將表單屬性設為不可見、在任務管理器偽裝成系統服務、透過啟動資料夾、win.ini、system.ini、登錄檔等多處實現開機自動載入。

常見自動啟動位置

• win.ini：[WINDOWS] 區段下的 run= 與 load=，若等號後出現非預期路徑，極可能被植入木馬（如偽裝成 command.exe）。
• system.ini：[BOOT] 區段的 shell=explorer.exe 程式名，若非單純 explorer.exe，即為木馬。
• 登錄檔：HKEY_LOCAL_MACHINE、HKEY_CURRENT_USER、HKEY_USERS 下的 Run 相關鍵值，木馬常偽裝成系統檔名（如 Explorer vs Expl0rer）。

查殺步驟

1. 發現木馬立即斷網，防止駭客遠端控制。
2. 編輯 win.ini，將可疑 run=/load= 恢復空值。
3. 修正 system.ini，確保 shell=explorer.exe。
4. 以 regedit 搜尋並刪除登錄檔中所有木馬鍵值；若木馬具備自我修復（如 BladeRunner），需記下檔案名與路徑，進入 DOS 刪除實體檔案後再清理登錄檔。
5. 重新開機，確認無殘留。

掌握木馬運作原理，查殺便不再棘手。