木馬隱藏與自啟動機制深度解析，手把手教你手工清除

木馬為隱藏自身，會：
① 任務欄隱藏（Visible=False, ShowInTaskBar=False）
② 任務管理器偽裝為「系統服務」
③ 利用 Windows 所有自啟動機制實現開機無感載入。

四大經典自啟動藏身點及檢查方法

1. win.ini → [WINDOWS] 區段

run= 與 load= 後若跟有非系統啟動路徑，即為木馬。注意偽裝文件名（如 command.exe 模仿系統文件）。

2. system.ini → [BOOT] 區段

shell=explorer.exe 為正常值。若為 shell=explorer.exe 木馬程序.exe，後者即木馬。

3. 註冊表（最複雜、最常用）

重點檢查：

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_USERS\\Software\Microsoft\Windows\CurrentVersion\Run

查看鍵值指向的 EXE 文件是否陌生。木馬常偽裝系統文件名（如 expiorer.exe 模仿 explorer.exe，僅 i/l 之差）。
最佳查殺法：在首個 Run 鍵值中找到木馬文件名，再全庫搜索替換/刪除。

4. 啟動組、其他註冊表鍵值

「啟動」資料夾、RunOnce、RunServices、Winlogon\Userinit、AppInit_DLLs 等均需排查。

通用手工清除流程

1. 斷網隔離，防黑客遠程控制/破壞。
2. 編輯 win.ini：清空 run=、load= 後的異常路徑。
3. 編輯 system.ini：恢復 shell=explorer.exe。
4. 註冊表清理：定位木馬文件名 → 全庫搜索刪除相關鍵值。
   頑固木馬（如 BladeRunner）：刪除鍵值會自動重建。需記錄文件路徑 → 重啟進入 DOS/安全模式 → 刪除實體文件 → 重啟進系統再清理殘留鍵值。
5. 重啟驗證，確認無異常進程、啟動項、網絡連接。