發現異常

Maxthon 無法攔截某些廣告，右下角彈出類 QQ 廣告但**全區域手形鏈接、無外框**，懷疑中木馬。升級殺毒軟件無法查殺，網友提供方法無效，決定手工清除。

常規排查無果

任務管理器進程列表無明顯異常進程。

深入挖掘：鎖定註冊表啟動項

運行 Regedit → HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 發現新鍵 Advapi32，鍵值指向 C:\WINDOWS\Downloaded Program Files\_IS_0518\ 下的 **DLL 文件**。
刪除啟動項、嘗試刪除文件：目錄下文件**隱形不可見** (已開顯示隱藏)，重啟後啟動項**自動再生** → 木馬**監視註冊表、隱藏文件、具備備份再生機制**。

安全模式下三步剿滅 (關鍵順序不可顛倒)

進入安全模式 (F8/Ctrl 呼出啟動菜單)。

步驟 1：清除備份文件 — 批處理搶佔目錄名

發現 C:\Windows\Backup 目錄含啟動項加載的 DLL，但啟動項指向 Downloaded Program Files，**Backup 為備份庫**。刪除 Backup 目錄後 **1-2 秒自動重建** → 木馬在安全模式仍能自動加載並監視備份。
對策：用批處理搶在木馬前重建同名目錄 (Windows 禁止同目錄同名)。
創建 Kill.bat： ```bat move c:\windows\backup c:\windows\bak :: 重命名備份目錄 md c:\windows\backup :: 立即搶佔建立空 Backup 目錄 ``` 執行後，資源管理器刪除 c:\windows\bak (原備份內容)，再刪除 c:\windows\Backup (現為空目錄)，**備份徹底清除**。

步驟 2：清除木馬主體文件 — 批處理移動刪除

創建 Kill2.bat： ```bat cd c:\ cd C:\WINDOWS\Downloaded Program Files move _IS_0518 c:\bak :: 移動並重命名木馬目錄 ``` 資源管理器進入 C:\ 刪除 bak，再進 C:\Windows 刪除 Backup，**木馬文件徹底清除**。

步驟 3：清理註冊表殘留

刪除兩鍵：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advapi32
HKCU\Software\advapi32

關鍵順序說明

**必須先刪備份 (步驟1)，再刪主體 (步驟2)**。只有備份與主體同時不在，木馬才無法重建。若順序顛倒，木馬利用備份秒級恢復主體。

經驗總結

• 此木馬進程偽裝極深 (IceSword 判斷隱藏於 Svchost.exe 但 XP 多實例難定位)，**進程終結法失效**，文件/註冊表層面突破反而輕鬆。
• 驗證環境：**Windows XP Pro + SP2 測試通過**。
• 命名：未查到官方命名，以啟動項鍵名 Advapi32 代稱。