針對 Windows 2000 的輕量級自查清單

僅針對常見簡單木馬慣用伎倆，不涉及 Rootkit/驅動級隱藏。發現可疑**先記錄、不動手**，綜合研判後再清除。

步驟 1：任務管理器看進程

• Ctrl+Shift+Esc 打開，查看進程列表；
• **陌生進程名、無描述、無簽名、路徑非 System32/Program Files、高 CPU/內存** 記錄下來，**暫不結束**；
• 對照 Win2K 核心進程白名單 排除正常項。

步驟 2：註冊表檢查 8 大啟動/關聯點

記錄異常，**暫不修改**。

步驟 3：端口與進程關聯 — netstat -an + Active Ports

• netstat -an 列出所有連接/監聽端口；
• 推薦下載 **Active Ports (aports.exe)**：圖形化顯示 **端口 ↔ 進程 PID ↔ 文件路徑**，一眼鎖定異常端口屬於哪個進程；
• 重點關注：非業務端口 LISTENING、大量 ESTABLISHED 連向單一外部 IP、高位端口 (>1024) 疑似後門/反彈 Shell。

步驟 4：資源管理器按時間排查 System32

• 打開 C:\WINNT、C:\WINNT\System32；
• 工具欄「查看」→「文件夾選項」→「查看」→ **勾選「顯示所有文件和文件夾」、取消勾選「隱藏受保護的作業系統文件」**；
• 按「修改時間」或「創建時間」降序排列；
• 近期（感染時間窗口內）新增/修改的 .exe/.dll/.sys/.drv/.ocx/.cpl 文件極度可疑，記錄清單。

步驟 5：開始菜單「啟動」組

• 開始 → 程序 → 啟動 中是否有不明快捷方式/批處理/可執行文件；
• 右鍵屬性查看目標路徑，記錄。

綜合研判 → 照單殺馬

將 5 步記錄的可疑項（進程、啟動項、端口、文件、服務）交叉比對，**能構成完整證據鏈的（如：某進程監聽異常端口、位於異常路徑、有啟動項拉起、文件創建時間匹配）即為木馬**。

清除順序（鐵律）

1. 先停止進程（任務管理器/Process Explorer/ taskkill /f /pid PID）；
2. 清理註冊表相關啟動項/服務/文件關聯/Shell 掛載點；
3. 刪除磁盤文件（Shift+Del）；
4. 重啟驗證，再次掃毒。

小技巧：EXE 關聯被劫持怎麼辦？

若雙擊 .exe 無反應/報錯（關聯被改）：

1. 複製 C:\WINNT\regedit.exe 為 regedit.com（.com 優先級高，不受 EXE 關聯影響）；
2. 運行 regedit.com，修復 HKCR\exefile\shell\open\command 為 "%1" %*；
3. 前提：系統中**無進程實時監控並恢復該鍵值**（如三線程守護木馬），否則改了即被改回。

autor.inf 變種補充

曾見木馬在**每個分區根目錄**放置 autorun.inf，內容指向木馬文件。只要雙擊打開該盤符（甚至在資源管理器樹狀視圖展開），即觸發 AutoRun 加載木馬。清除：顯示隱藏系統文件 → 各盤根目錄刪除 autorun.inf 及指向的木馬文件 → 禁用 AutoRun (TweakUI/註冊表 HKLM\SYSTEM\CurrentControlSet\Services\Cdrom\AutoRun=0)。

工具推薦：Norton Antivirus / Kaspersky / NOD32 / 專殺工具

手工排查適合學習/應急/無工具環境，**日常防護請部署專業殺毒軟件並開啟實時監控/自動更新/雲查殺/行為防禦**。