木馬隱藏技術歷經多代演進，了解其手法才能及時發現、將損失最小化。

第0代：基本隱藏 — 無視窗體 + 隱藏屬性

Win32應用程式隱藏視窗、檔案屬性設隱藏。任務管理器+資料夾選項「顯示所有檔案」即可發現。

第一代：Windows 98 RegisterServiceProcess 服務進程隱藏

利用未公開API將進程註冊為服務進程，Win98任務管理器不顯示服務進程。第三方進程工具可查殺，Win2000/XP不支援此機制自動失效。

第二代：進程注入

原理

打破進程私有記憶體空間隔離，將木馬DLL注入目標進程（如QQ）成為其執行緒，竊取鍵盤輸入（密碼）、操作目標進程資源。

三種注入手法

1. 登錄檔AppInit_DLLs：修改HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs，需重開機生效，非即時
2. Hook（掛鉤）注入：呼叫SetWindowsHookEx掛鉤系統訊息/特定API，隱蔽性高、技術門檻高，盜QQ/鍵盤記錄木馬常用
3. CreateRemoteThread遠端執行緒：Win2000+支援，跨進程建立執行緒注入DLL，缺乏Win98相容性

偵測對策

使用支援「進程模組檢視」的工具（如Windows優化大師進程查看）可見木馬DLL模組。

第2.5代：進程蒸發 — Hook EnumProcesses 抹除自身蹤跡

木馬HookEnumProcesses等列舉API，任務管理器/防毒軟體呼叫時，木馬在結果返回前移除自身進程資訊。極難偵測，唯有運行前由防毒軟體攔截檔案。早期嘗試從進程鏈表移除，因相容性問題未普及。

第三代：全方位立體隱藏 — 檔案與進程雙重隱形

將Hook技術應用於檔案相關API（FindFirstFile等），資源管理器與防毒軟體均無法枚舉木馬檔案。灰鴿子等木馬已實戰應用。最佳對策：防毒軟體運行前攔截。

第四代：反防毒外殼 — 主動對抗與保護

• 被動加殼：壓縮/加密木馬本體，繞過特徵碼掃描，部分防毒可脫殼查殺
• 主動反殺毒殼：運行時外殼先取得控制權，以各種手段破壞系統中防毒軟體防護，確認安全後釋放執行木馬本體

面對日益精進的隱藏與對抗技術，單一防禦失效。纵深防禦策略：應用程式白名單、行為分析/EDR、記憶體保護（DEP/ASLR）、核心級防護驅動、網路流量分析、定期滲透測試，才能在無絕對安全的環境中持續降低風險。