核心原理：木馬必須「自啟」

無論木馬多隱蔽，要在重啟後生存，必須在系統自啟動點 (註冊表、啟動文件夾、服務、計劃任務、Winlogon、WMI、文件關聯、映像劫持...) 留下痕跡。**掌握自啟動點 = 掌握查殺主動權。**

通用手工清除五步法

1. 斷網隔離 (拔網線/禁用網卡/防火牆封禁)，防數據外洩/遠控/自我更新。
2. 進程終結： 任務管理器 / taskkill /f /im malware.exe / Process Explorer (繞過保護) 結束木馬進程及守護進程。
3. 自啟動項清理： Autoruns (Sysinternals) 以管理員運行 → 驗證簽名 → 隱藏簽名項 → 逐項檢查「Logon」「Scheduled Tasks」「Services」「Drivers」「Winlogon」「Image Hijacks」「KnownDLLs」「WMI」等分頁，取消勾選/刪除可疑項 (無簽名、路徑異常、拼寫偽裝、空描述、發布者未知)。
4. 文件刪除： 記錄可疑文件完整路徑 → 安全模式/WinPE/Linux LiveCD 掛載磁盤 → 刪除文件 (注意權限獲取 takeown / icacls)。不可在正常系統下刪除受保護/鎖定文件。
5. 註冊表殘留清理： 搜索木馬文件名/路徑/關鍵字 (如 Backdoor.Gpigeon) 刪除相關鍵值；檢查 AppInit_DLLs, Shell, Userinit, IFEO, PendingFileRenameOperations 等關鍵鍵值恢復默認。
6. 系統修復與免疫： sfc /scannow, DISM /Online /Cleanup-Image /RestoreHealth；全盤殺毒 (最新庫+啟發式+雲)；修改所有賬號密碼；檢查計劃任務/服務/驅動/WMI 異常；更新系統補丁。

22 款經典木馬特徵與清除要點速查

木馬家族/變體	典型文件/路徑/註冊表特徵	清除關鍵
冰河 v1.1/v2.2	C:\Windows\System\kernel32.exe, sysexplr.exe (偽裝系統文件)；HKLM\...\Run 寫入上述路徑	刪除註冊表鍵值 → DOS/WinPE 刪除偽裝文件 (注意區分真 kernel32.dll)
Acid Battery v1.0	C:\Windows\expIorer.exe (大寫 I 偽裝 Explorer)；HKLM\...\Run\Explorer	極小心區分真 explorer.exe (小寫 l)，刪除偽裝文件及鍵值
Acid Shiver	MSGSVR16.EXE, wintour.exe；Run & RunServices 雙寫入	清理兩個啟動鍵值，刪除兩個文件
Ambush	zcn32.exe；Run\zka	刪除鍵值與文件
AOL Trojan	command.exe (偽裝 command.com)；WIN.INI [Windows] run=load=；Run\WinProfile	修復 WIN.INI，刪除偽裝 command.exe (勿刪真 command.com)，清理註冊表
Asylum	修改 system.ini [boot] shell=explorer.exe malware.exe；win.ini run=	恢復 shell=explorer.exe，清理 win.ini run=，刪除木馬文件
AttackFTP	wscan.exe；win.ini load=；Run\Reminder	清理 win.ini、註冊表、刪除文件
BackConstruction	Cmctl32.exe (偽裝控制面板)；Run	刪除鍵值與文件
BackDoor v2.00-2.03	notpa.exe (偽裝 notepad.exe)；Run	勿刪真 notepad.exe，刪除偽裝文件與鍵值
BF Evolution	C:\Windows\System\ .exe (空格開頭)；Run\(Default)	刪除空格文件 (需引號/Tab補全/短文件名 dir /x)、清理鍵值
BioNet	libupdate.exe；Run\WinLibUpdate；啟動盤 attrib -h 顯示刪除	啟動盤清除隱藏屬性後刪除，清理註冊表
Bla	mprdll.exe, rundll.exe (偽裝系統文件)；Run\Systemdoor	區分真 rundll32.exe/mpr.dll，刪除偽裝文件與鍵值
BladeRunner	註冊表鍵值自動重建 (監視線程)；文件路徑隨機	必須先記下文件路徑 → 進入 DOS/WinPE 刪除文件 → 回系統刪除鍵值，否則即時重建
Bobo v2.0	利用 HKU\.Default\...\ICQ\Agent\Apps\ICQ Accel 偽裝 ICQ 加速器鍵值	刪除整個 ICQ Accel 鍵
BrainSpy	BRAINSPY.exe；Run\隨機名	搜索文件名定位鍵值，清理文件與註冊表
Cain & Abel	msabel32.exe (密碼抓取工具類木馬)	DOS 下刪除文件
Canasson	c:\msie5.exe；WIN.INI 掛載	清理 WIN.INI、刪除文件
Chupachbra	winprot.exe；win.ini run=load=；Run\System Protect	修復 win.ini、清理註冊表、刪除文件
Coma	msgsrv36.exe (偽裝 msgsrv32)；Run\RunTime	刪除鍵值與文件
Control	MSchv.exe；Run\Load MSchv Drv	刪除鍵值與文件
Dark Shadow	winfunctions.exe；RunServices\winfunctions	清理 RunServices 鍵值、刪除文件
DeepThroat	... (文中截斷，原理同前)	按通用五步法處理

現代木馬清除關鍵差異提示

• 無文件木馬： 僅駐留內存/註冊表/WMI/計劃任務，**無磁盤文件**，需內存取證 (Volatility/EDR) + 清理持久化點。
• 簽名繞過： 盜用/購買合法代碼簽名證書簽名惡意文件，Autoruns 驗證簽名會顯示「已驗證」，需結合發布者信譽、文件哈希威脅情報、行為異常 綜合判斷。
• UEFI/固件級持久化： 極罕見但極難清除 (如 LoJax, MosaicRegressor)，需刷寫固件/更換主板。

手工清除適合應急排查、學習原理、補充自動化工具盲區。**生產環境首選：隔離 → EDR 一鍵修復/重置 → 重装系統 → 憑證輪換 → 事後複盤。**