前言

本文彙整 22 款經典木馬（冰河、Acid Battery、Acid Shiver、Ambush、AOL Trojan、Asylum、AttackFTP、Back Construction、BackDoor、BF Evolution、BioNet、Bla、BladeRunner、Bobo、BrainSpy、Cain and Abel、Canasson、Chupachbra、Coma、Control、Dark Shadow、DeepThroat、Delta Source 等）的手動清除步驟，涵蓋登錄檔啟動項、系統檔案、WIN.INI、SYSTEM.INI 等關鍵位置，供緊急清除參考。

清除通用原則

1. 先備份登錄檔（regedit → 檔案 → 匯出）。
2. 進入安全模式或 MS-DOS 模式操作，避免檔案被鎖定或木馬自我保護。
3. 依各木馬特徵刪除登錄檔啟動鍵值、對應執行檔、INI 檔掛載項。
4. 重開機驗證無殘留啟動項。

精選木馬清除要點（部分範例）

冰河 v1.1

• 刪除 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 下 C:\windows\system\kernel32.exe、C:\windows\system\sysexplr.exe。
• MS-DOS 下刪除對應檔案，重開機。

Acid Battery v1.0

• 刪除 Run 下 Explorer = "C:\WINDOWS\expiorer.exe"（注意拼寫：expiorer 非 explorer）。
• MS-DOS 刪除 c:\windows\expiorer.exe，勿誤刪正確 Explorer.exe。

Acid Shiver v1.0

• MS-DOS 刪除 C:\windows\MSGSVR16.EXE。
• 刪除 Run 與 RunServices 下 Explorer = "C:\WINDOWS\MSGSVR16.EXE"。
• 同理處理 wintour.exe 相關鍵值。

Ambush

• 刪除 Run 下 zka = "zcn32.exe"，MS-DOS 刪除 C:\Windows\zcn32.exe。

AOL Trojan

• MS-DOS 刪除 C:\command.exe（先取消隱藏屬性）、C:\americ~1.0\buddyl~1.exe、C:\windows\system\norton~1\regist~1.exe。
• 編輯 WIN.INI 清除 run=、load= 下的木馬路徑。
• 刪除 Run 下 WinProfile = c:\command.exe。

Asylum 系列

• 檢查 system.ini [BOOT] shell= 是否為 explorer.exe，否則該檔即木馬，刪除。
• 檢查 win.ini [WINDOWS] run= 後有路徑即為木馬，清空之。

BladeRunner

• Run 下 System-Tray = "c:\something\something.exe" 路徑不固定，木馬會自動重寫，需記下檔名目錄，退到 MS-DOS 刪除檔案後再回登錄檔刪除鍵值。

Delta Source v0.5-0.7

• 刪除 Run 下 DS 相關鍵值與對應檔案。

（其餘木馬清除步驟同理：登錄檔 Run/RunServices → 對應檔案 → INI 檔 → 重開機驗證）

重要提醒

• 手動清除需極度小心，誤刪系統檔案可能導致無法開機。
• 現代木馬隱蔽性極高（Rootkit、程序注入、驅動級），手動清除成功率低，建議以專業殺毒軟體/專殺工具為主，手動為輔。
• 清除後務必修補漏洞、變更所有帳號密碼、檢查系統完整性。

結語

經典木馬清除知識雖屬歷史經驗，但理解「登錄檔啟動項、INI 檔、系統資料夾、服務項」四大著陸點，仍是當前分析未知惡意程式碼的基礎功夫。