什麼是特洛伊木馬？

特洛伊木馬是一種偽裝成合法程式的惡意軟體，其名稱源自希臘神話中的「特洛伊木馬」計謀。它通常由兩部分組成：植入受害者電腦的「伺服器端」程式，以及攻擊者用來遠端控制的「客戶端」程式。一旦使用者誤執行伺服器端，攻擊者便能透過客戶端完全掌控受害主機，竊取檔案、監控鍵盤輸入、甚至開啟攝影機與麥克風。

木馬如何潛入電腦？

社交工程偽裝

攻擊者常以「好玩的遊戲」、「性感螢幕保護程式」等誘餌，透過即時通訊軟體、電子郵件或論壇連結誘騙使用者下載執行。這些檔案實際上是綁架了木馬的宿主程式，一旦執行，木馬便悄無聲息地安裝完成。

常見駐留位置

木馬為了達成開機自動執行，通常會將自身寫入登錄檔（Registry）、win.ini、system.ini 等系統啟動項。部分進階木馬採用「綁定」技術，將自身融合在正常執行檔（如 explorer.exe）中，只有當使用者啟動該程式時木馬才會載入記憶體，極難被發現。

偽裝系統檔案

木馬檔名常刻意模仿 Windows 系統檔，例如 KERNEL16.DLL 模仿 KERNEL32.DLL，或 Msgsrv32.exe 直接冒用系統同名檔案。稍有不慎刪除真正的系統檔，將導致作業系統崩潰，這正是木馬利用使用者不敢輕易刪除的心理。

木馬的致命弱點：固定通訊埠

木馬必須開啟特定通訊埠（Port）以接受控制指令，這個「後門」是其阿基里斯腳。雖然部分木馬允許修改埠號以混淆視聽（如 Sub7 預設 1243 埠可改為 7306 偽裝成 NetSpy），但埠號若能動態隨機變換，反而會導致攻擊者無法連線，因為掃描 6 萬多個埠極易被偵測並造成網路阻塞。因此，觀察異常開放埠是偵測木馬的關鍵手段之一。

進階隱藏技術：進程注入與後備機制

• 進程注入： 現代木馬不再建立獨立進程，而是將惡意程式碼注入 svchost.exe、spoolsv.exe 等合法系統進程，透過 Ctrl+Alt+Del 完全看不見蹤影，需使用記憶體分析工具才能發現。
• 雙重後備： 像「冰河」木馬會植入兩個伺服端：一個掛在啟動群組（Kernel32.exe），另一個修改文字檔關聯（Sysexplr.exe）。當前者被刪除，使用者點擊任意 .txt 檔即會觸發後者重新生成前者，形成「越刪越多」的惡性循環。

防範與清除實戰策略

1. 提高警覺： 拒絕開啟不明附件、連結；即使熟人傳送檔案，也要確認來源可信。
2. 養成閱讀 readme.txt 習慣： 任何下載的工具包務必先閱讀說明，切勿盲目執行 .exe 檔；特別警惕 readme.exe 這類偽裝說明檔的惡意程式。
3. 部署防毒軟體與即時監控： 選用具備反木馬引擎的防毒軟體（如 Kaspersky、Bitdefender、趨勢科技等），並啟用網路即時監控，攔截遠端執行嘗試。
4. 監控網路流量異常： 發現上傳頻寬異常佔用（1-3 KB/s 持續上傳），立即斷網，使用 netstat -ano 查詢可疑連線埠與對應 PID，鎖定木馬進程。
5. 定期稽核關鍵目錄： 定期檢查 C:\、C:\Windows、C:\Windows\System32 下無圖示、無版本資訊的可執行檔，並以文字編輯器檢視非執行檔是否含有鍵盤記錄資料。
6. 刪除前務必備份： 匯出登錄檔備份、備份可疑檔案以供分析，避免誤刪導致系統受損。

結語

特洛伊木馬雖隱蔽狡猾，但只要掌握其「必開埠、必自啟、必偽裝」三大特徵，配合良好安全習慣與專業工具，完全能將風險降至最低。網路世界危機四伏，唯有時刻保持警惕、持續更新知識，才能守護數位資產不被竊取。