新手也能變高手：木馬隱藏機制深度解析與手工查殺標準流程

雖然新版殺毒軟件可自動清除已知木馬，但面對**零時差新變種**，掌握木馬核心工作原理、手工查殺才是終極保障。本文系統梳理木馬隱藏與自啟動機制，給出通用清除步驟。

木馬隱藏三大手法

1. 任務欄隱身：窗體屬性 Visible=False, ShowInTaskBar=False。
2. 任務管理器偽裝：註冊為「系統服務」，進程列表中難辨真偽。
3. 靜默自啟動：利用 Windows 所有啟動機制，開機無感載入。

四大經典自啟動藏身點檢查指南

1. win.ini → [WINDOWS] 區段

run=、load= 後若有非系統路徑即可疑。注意偽裝文件名（如 command.exe 模仿系統命令）。

2. system.ini → [BOOT] 區段

正常值 shell=explorer.exe。若為 shell=explorer.exe 木馬.exe，後者即木馬。

3. 註冊表（最複雜、最高頻）

重點鍵值：

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• HKU\\Software\Microsoft\Windows\CurrentVersion\Run

查看指向 EXE 的鍵值。木馬常**偽裝系統文件名**（如 expiorer.exe vs explorer.exe，僅 i/l 之差）。
最佳查殺法：在首個 Run 鍵值找到木馬文件名 → 全庫搜索該文件名 → 刪除所有相關鍵值。

4. 其他常見位置

「啟動」資料夾、RunOnce、RunServices、Winlogon\Userinit、AppInit_DLLs、Image File Execution Options、計劃任務、服務、WMI 事件訂閱等。

通用手工清除標準流程

1. 立即斷網，切斷 C&C 通道，防數據外洩/遠控破壞。
2. 編輯 win.ini：清空 run=、load= 異常值。
3. 編輯 system.ini：恢復 shell=explorer.exe。
4. 註冊表清理：定位文件名 → 全庫搜索刪除鍵值。
   頑固木馬（如 BladeRunner）：刪鍵值即重建。需：
   ① 記錄文件完整路徑 → ② 重啟進入 **安全模式/DOS** → ③ 刪除實體文件 → ④ 進系統清理殘留鍵值。
5. 重啟驗證：任務管理器無異常進程、啟動項乾淨、網絡連接正常。

預防勝於治療

• 不執行來路不明程序，不開可疑附件/鏈接。
• 及時打系統/軟件補丁，關閉不必要服務/端口。
• 安裝主動防禦類安全軟件（HIPS/行為分析），而非純特徵碼殺毒。
• 定期備份關鍵數據，建立系統還原點/鏡像。