木馬隱藏與自啟動三大核心機制
- 界面隱身： 窗體 `Visible=False`, `ShowInTaskbar=False`，不顯示任務欄/系統托盤圖標。
- 進程偽裝： 命名為系統進程名 (svchost.exe, lsass.exe, explorer.exe, spoolsv.exe...) 但路徑錯誤 (非 `C:\Windows\System32\`)、無簽名/簽名無效、父進程異常 (非 services.exe/winlogon.exe)、命令行參數異常。
- 服務註冊： 創建服務 (顯示名稱/描述模仿合法服務)，設置 `Start=Auto`，以 SYSTEM 權限運行，極難被普通用戶終止。
Windows 自動加載機制全景圖 — 木馬必爭之地
1. Win.ini (16 位兼容遺留，仍被讀取)
[Windows]
load=malware.exe
run=malware.exe
正常應為空值。檢查方法：`notepad C:\Windows\win.ini` 或註冊表 `HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\load/run` (實際映射關係)。
2. System.ini (啟動 Shell 劫持)
[Boot]
shell=explorer.exe malware.exe
正常僅 `shell=explorer.exe`。若發現追加程序，**即為木馬/感染器**，該程序將在 Explorer 加載前運行，擁有極高權限。
3. 註冊表 — 核心戰場 (最複雜、最隱蔽、最常用)
核心自啟動鍵值 (按處理順序)：
| 路徑 | 作用域 | 觸發時機 |
|---|
| HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | 所有用戶 | 用戶登錄 (Explorer 啟動前) |
| HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run | 當前用戶 | 用戶登錄 |
| HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce | 所有用戶 | 下次登錄**一次** (常用於安裝完成/清理) |
| HKCU\...\RunOnce | 當前用戶 | 下次登錄一次 |
| HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices | 系統 | 服務控制管理器啟動服務階段 (早於用戶登錄) |
| HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce | 系統 | 下次啟動一次 |
| HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit | 系統 | 默認 `userinit.exe,` (逗號結尾) — 木馬追加路徑劫持登錄流程 |
| HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell | 系統 | 默認 `explorer.exe` — 木馬修改為 `explorer.exe, malware.exe` 或直接替換 |
| HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\\Debugger | 進程級 | 映像劫持：啟動 target.exe 時改運行 Debugger 指定程序 (極隱蔽、極難查) |
| HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run | 所有用戶 | 組策略分發啟動項 |
| HKLM\SYSTEM\CurrentControlSet\Services\\ImagePath | 系統 | 服務二進制路徑 — 木馬註冊服務持久化 |
偽裝技巧： 文件名拼寫欺騙 (`explorer.exe` vs `expIorer.exe` / `svchost.exe` vs `svch0st.exe`)、路徑偽裝 (`C:\Windows\System32\drivers\malware.exe`)、數據值雙引號/空格/參數干擾、二進制數據值隱藏路徑。
萬能查殺實戰流程 (升級版)
- 斷網隔離 (物理斷開/防火牆封禁進程/主機隔離)。
- 獲取權威基線： 同版本/同補丁級別乾淨系統導出上述所有自啟動鍵值 + 服務列表 + 計劃任務 + WMI 訂閱 + 驅動列表 + IE 插件/工具欄/BHO + Shell 擴展 + 文件關聯 → 保存為基線文本/CSV。
- 差異對比： 受感染機導出同樣數據，**自動化對比 (BeyondCompare/PowerShell/Excel)**，聚焦「多出項、路徑異常、簽名缺失/無效、發布者未知、描述為空/亂碼」的條目。
- 定位文件實體： 記錄可疑項完整路徑、哈希 (MD5/SHA256) → 提交 VirusTotal/威脅情報平臺研判 → 確認惡意。
- 離線清除 (關鍵)： 進入 **WinRE (Shift+重啟→疑難排解→高級選項→命令提示符) / WinPE / Linux LiveCD** 掛載系統盤 → `takeown /f & icacls /grant administrators:F` → 刪除惡意文件 → 註冊表離線編輯 (`reg load HKLM\OFFLINE_SYSTEM C:\Windows\System32\config\SYSTEM` 等) 刪除惡意鍵值/恢復默認值 (如 `Userinit=userinit.exe,`, `Shell=explorer.exe`)。
- 線上修復與免疫： 重啟進入系統 → `sfc /scannow` + `DISM /RestoreHealth` → 全盤殺毒 (最新庫+雲+啟發式) → 修改所有賬號密碼 → 部署 EDR/應用白名單 (AppLocker/WDAC) → 修補漏洞 → 審計日志回溯入侵路徑 (4624/4688/5156/4663...)。
特殊頑固木馬應對
- BladeRunner 類自重建： 必須**先刪除磁盤文件 (離線)** 再清理註冊表，否則守護進程即時重建。
- WMI 事件訂閱持久化： `wmic /namespace:\\root\subscription path __EventFilter delete` / `__EventConsumer` / `__FilterToConsumerBinding` 清理；或 PowerShell `Remove-WmiObject`。
- 計劃任務隱藏： `schtasks /query /fo LIST /v` 導出分析，注意 `Hidden`、`RunLevel=Highest`、`Actions` 指向腳本/可執行文件。
「知己知彼，百戰不殆。」**熟練掌握 Autoruns / Process Hacker / PowerShell / WinRE 離線編輯註冊表** 是安全運營人員、系統管理員、應急響應師的必修內功。