註冊表 Debugger 值：木馬隨程式啟動的隱形通道

除修改 .exe 檔案關聯外，駭客近年利用註冊表鍵值 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 實現木馬隨目標程式啟動。手法如下：

1. 在該路徑下新建以目標程式命名的子鍵（如 A.exe，無需完整路徑）。
2. 在子鍵下新增字串值 Debugger，值資料設為木馬程式完整路徑（如 C:\Malware\B.exe）。

原理與隱蔽性

此機制原為開發者指定偵錯工具：當 A.exe 啟動，系統會改啟動 Debugger 指定的程式並將 A.exe 作為參數傳遞。木馬利用此特性，在使用者啟動正常程式時同步執行惡意碼。更隱蔽之處在於：子鍵名稱僅需檔名（如 notepad.exe），不含路徑，系統會對所有同名可執行檔生效，極難以檔名搜尋發現。

防範與排查建議

• 定期檢查 Image File Execution Options 下是否存在可疑子鍵與 Debugger 值。
• 使用註冊表監控工具（如 Sysinternals RegMon/Process Monitor）即時偵測異常寫入。
• 部署 HIPS（主機入侵防禦系統）攔截非受信程式修改此註冊表區域。

聲明：本文旨在協助系統管理員強化防禦，嚴禁用於入侵或破壞行為。