前言

木馬基於遠程控制，隱蔽性強、危害大，可在用戶不知情下控制/監視電腦。它不問歡迎與否，想方設法闖入。下文揭露 10 大潛伏詭招與對應絕招。

十大潛伏手法與對策

1. 集成到程序中 (捆綁)
   木馬與應用程序/系統文件捆綁。運行宿主程序即激活木馬，刪除木馬文件後再次運行宿主又會重新安裝。
   絕招：從可信來源獲取軟件、驗證數字簽名、使用應用程序白名單/完整性校驗工具。
2. 隱藏在配置文件
   利用 Autoexec.bat、Config.sys 等舊式啟動腳本 (現較少見但仍存風險)。
   絕招：定期檢查啟動腳本，禁用不必要的舊式啟動項。
3. 潛伏在 Win.ini
   [windows] 節下 load=、run= 後跟程序路徑 (正常為空)。
   絕招：用 msconfig 或手動編輯 Win.ini 清空異常項。
4. 偽裝成普通文件 (雙重後綴)
   將 EXE 改圖標為圖片/文本圖標，文件名 xxx.jpg.exe，Win 默認隱藏已知後綴顯示為 xxx.jpg，點擊即中招。
   絕招：資源管理器「文件夾選項」→ **取消勾選「隱藏已知文件類型的擴展名」**；不點擊不明來源文件。
5. 內置註冊表自啟動 (重點防區)
   檢查三大根鍵下所有以「Run」開頭的鍵值：
   HKLM\Software\Microsoft\Windows\CurrentVersion\
HKCU\Software\Microsoft\Windows\CurrentVersion\
HKU\.Default\Software\Microsoft\Windows\CurrentVersion\
   絕招：定期導出備份對比、使用啟動項管理工具 (Autoruns 等) 監控。
6. 藏身 System.ini
   [boot] 節 Shell=Explorer.exe virus.exe；[386Enh] driver=路徑\程序；[mic]/[drivers]/[drivers32] 載入驅動處亦可藏木馬。
   絕招：msconfig 檢查或手動編輯清理。
7. 隱形於啟動組
   文件夾：C:\Windows\Start Menu\Programs\Startup。註冊表：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders\Startup。
   絕招：定期清理啟動文件夾，禁用不必要啟動項。
8. 隱蔽在 Winstart.bat
   Win9x 下 Winstart.bat 在 Win.com 載入驅動後運行，可替代 Autoexec.bat 載入木馬。
   絕招：檢查並清理該文件。
9. 捆綁啟動配置文件
   上傳同名帶木馬啟動命令的配置文件覆蓋原文件。
   絕招：配置文件完整性校驗、寫保護關鍵配置文件。
10. 設置在超級鏈接 (Web 惡意代碼)
    網頁植入惡意代碼/鏈接，點擊即中招 (開門揖盜)。
    絕招：不隨意點擊不明鏈接、使用瀏覽器安全插件/網頁防護、保持瀏覽器修補。

總結：構建立體防禦體系

• 事前：系統/軟件及時補丁、最小權限原則、應用白名單、禁用非必要服務/組件。
• 事中：部署**主機級 HIPS/EDR + 網關級沙箱/流量分析**，實時監控進程注入、註冊表變更、異常網絡連接、文件異常寫入。
• 事後：日誌審計、威脅狩獵、應急響應預案、定期離線備份關鍵數據。
• 習慣：不信任、不點擊、不運行未驗證代碼；密碼分級、雙因子認證、定期審計賬號權限。

木馬詭招百出，但萬變不離其宗：**必須落地、必須自啟、必須通訊**。守住「落地掃描、啟動項管控、網絡行為分析」三關，木馬無所遁形。