前言

2004 年木馬攻擊性大增，進程隱藏技術重大變革：不再用獨立 EXE，改用**內核嵌入、遠程線程插入、掛接 PSAPI** 等插入式技術，成最難對付木馬。本文傳授查找清除插入式木馬實戰四步法。

步驟一：通過自動運行機制查木馬 — 經典啟動項排查

1. 註冊表 Run 鍵：HKCU\Software\Microsoft\Windows\CurrentVersion\ 及 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ 下所有以「Run」開頭的項，檢查可疑鍵值及指向路徑。
   特殊鍵：HKLM\Software\Classes\exefile\shell\open\command 被修改為 "X:/windows/system/ABC.exe "%1"%" 亦可載入木馬。
2. 系統服務：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 及 HKLM\SYSTEM\CurrentControlSet\Services\ 查可疑主鍵。
   禁用/刪除：運行 Services.msc 找到木馬服務 → 啟動類型改「已禁用」；或註冊表修改 Start 值為 4 (禁用)；最佳直接刪除整個主鍵 (平時導出備份以便對照)。
3. 開始菜單啟動組：雖少用但不可輕忽。HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders 中 Startup 鍵值。發現新增項右鍵「查找目標」看路徑，系統目錄下的多加小心。
4. 系統 INI 文件：運行 msconfig 檢查 Win.ini [Windows] 節 load/run (正常為空)；System.ini [boot] 節 Shell=Explorer.exe 後無額外內容。
5. 批處理文件 (Win9x)：C:\AUTOEXEC.BAT、C:\WINDOWS\WinStart.bat。語句前加 @echo off 隱藏命令本身，木馬常用此法隱蔽運行。

步驟二：通過文件對比查木馬 — 針對 DLL 注入木馬

新型木馬：主程序加載後將自身線程插入 SPOOLSV.EXE，刪除病毒文件與註冊表啟動項，監視關機/重啟操作，關機前重建文件與啟動項。四招破解：

1. 對照備份常用進程列表：開機後其它操作前備份。cmd → tasklist /svc > X:/processlist.txt。對比異常時重新生成列表對比。
2. 對照系統 DLL 文件列表：cd %systemroot%\system32 → dir *.dll > X:/listdll.txt。懷疑入侵時再生成 listdll2.txt，用 UltraEdit 或 fc listdll.txt listdll2.txt 對比，發現新增/變更 DLL。
3. 對照已加載模塊：運行 msinfo32.exe →「軟件環境/加載的模塊」→ 導出文本備份。頻繁安裝軟件導致 system32 變化大時，此法縮小範圍。
4. 查看可疑端口：netstat -an 顯示所有連接/偵聽端口。XP 新增 -O 參數可關聯端口與進程。分析開放端口縮小至具體進程，再用進程分析工具 (如 Windows 優化大師 WinProcess.exe) 查找嵌入木馬。注意端口劫持/重用 (常用 139、80)。網絡嗅探工具 (CommView) 可見數據內容。

結語

插入式木馬隱蔽性極強，單一手段難奏效。**啟動項排查 + 文件/DLL/模塊多維對比 + 端口進程關聯分析** 四步法結合，配合專業殺毒軟件實時防護，方能有效應對。平時養成備份基線 (進程、DLL、模塊) 習慣，異常時快速對比，是發現高隱蔽木馬的關鍵。