案例背景：同事電腦中毒，發現大寫 WINLOGON.EXE 進程

正常 winlogon.exe（小寫）位於 %SystemRoot%\System32，使用者名稱為 SYSTEM，且系統中有且僅有一個。若出現 大寫 WINLOGON.EXE、路徑在 %SystemRoot%\ (非 System32)、使用者名稱為當前登入使用者，即可判定為木馬偽裝。本案中木馬名為「落雪」，專盜《傳奇》、《傳奇世界》遊戲帳號，並破壞防毒軟體運行。

木馬佈局與持久化機制

檔案佈局 (均為隱藏+系統屬性)

• D:\ autorun.inf、pagefile.com (雙擊 D 槽即觸發)
• C:\Program Files\Internet Explorer\ iexplore.com
• C:\Program Files\Common Files\ iexplore.com
• C:\Windows\ 1.com、iexplore.com、finder.com、Exeroud.exe (傳奇世界圖示)
• C:\Windows\Debug\ *** Programme.exe (同傳奇圖示)
• C:\Windows\System32\ command.com、msconfig.com、regedit.com、dxdiag.com、rundll32.com、finder.com、a.exe (利用 .com 優先於 .exe 執行特性劫持系統指令)
• C:\Windows\WINLOGON.EXE (核心木馬主體，大寫，進程中終止不了，偽裝關鍵進程)

登錄檔持久化

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Torjan pragramme" = "C:\Windows\WINLOGON.EXE"  (明目張膽命名)

並修改 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 的 Shell 值為 Explorer.exe 1 (掛載 1.com)，導致開機報錯「找不到檔案 1」。

完整手工清除流程 (需在安全模式/WinPE 下操作)

1. 準備： 關閉所有可關閉程式，開啟資源管理器 → 工具 → 資料夾選項 → 檢視 → 「顯示所有檔案和資料夾」、「取消勾選隱藏受保護的作業系統檔案」。
2. 註冊檔清理： regedit 刪除上述 Run 鍵值 Torjan pragramme；修正 Winlogon\Shell 為 Explorer.exe。
3. 註銷/重啟進入安全模式 (木馬進程仍在，但無法重新植入檔案)。
4. 刪除 D 槽觸發檔： 右鍵 D 槽 →「開啟」 (勿雙擊) → 刪除 autorun.inf、pagefile.com。
5. 刪除 C 槽所有列表檔案 (參考上方檔案佈局)，過程中嚴禁雙擊/執行任意可疑檔案，否則木馬自我修復全部重來。
6. 處理 .com 劫持導致 .exe 無法執行：
   1. 複製 C:\Windows\System32\cmd.exe 至桌面，重命名為 cmd.com。
   2. 執行 cmd.com 進入命令列。
   3. 輸入：assoc .exe=exefile (assoc 與 .exe 有空格) → Enter。
   4. 輸入：ftype exefile="%1" %* → Enter。
   5. .exe 執行關聯恢復正常。
7. 修復 IE 設定： 使用「超級兔子魔法優化」、「Windows 優化大師」或手動重設 IE 進階選項。
8. 最終驗證： 正常模式開機，確認無大寫 WINLOGON.EXE 進程、無異常啟動項、無 .com 劫持、網路正常。

舉一反三：查殺偽裝系統進程木馬的通用邏輯

1. 進程異常三徵： 名稱大小寫異常、路徑非標準目錄、使用者名稱非 SYSTEM/LOCAL SERVICE/NETWORK SERVICE。
2. 檔案特徵三無： 無數位簽章、無版本資訊、無公司名稱 (右鍵內容 → 詳細資料/版本頁籤全空)。
3. 持久化三查： 登錄檔 Run/RunOnce/RunServices、服務 (services.msc)、排程工作、啟動資料夾、WMI 事件訂閱、檔案關聯劫持 (.com/.exe/.bat/.scr)。
4. 清除鐵律： 斷網 → 安全模式/WinPE → 先清持久化 → 再刪檔案 → 修復關聯/登錄 → 打補丁 → 掃毒 → 改密。

結語

「落雪」木馬雖屬歷史案例，但其偽裝關鍵進程、.com 劫持系統指令、雙重備援自我修復、破壞防毒軟體等技術，至今仍是高階木馬 (如 Rootkit、Bootkit、UEFI 僵蟲) 的核心邏輯。掌握「進程異常三徵、檔案特徵三無、持久化三查、清除鐵律」通用方法論，才能應對層出不窮的變種威脅。