作者分享一次真實的手動清除木馬經驗：Maxthon 瀏覽器攔截失效、右下角出現全螢幕連結式廣告，防毒軟體掃描無果，最終在安全模式下結合批次檔技巧，成功清除藏匿於 C:\Windows\Downloaded Program Files\_IS_0518 並具備註冊表監控、備份自動重建能力的 Advapi32 木馬。

清除關鍵步驟回顧

1. 常規檢查無果

工作管理器未見異常進程，木馬可能偽裝為 Svchost.exe 執行緒，難以直接判別。

2. 註冊表發現啟動項

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advapi32 指向 C:\Windows\Downloaded Program Files\_IS_0518\xxx.dll，且檔案隱藏（已開啟顯示隱藏檔仍不見）。

3. 安全模式下清除備份機制（關鍵突破）

發現 C:\Windows\Backup 為木馬備份目錄，刪除後秒級自動重建。靈感來自「以彼之道還施彼身」：

:: Kill.bat
move c:\windows\backup c:\windows\bak   // 重命名備份目錄
md c:\windows\backup                    // 搶先建立同名空目錄（Windows 不允許同名）

執行後在檔案總管刪除 c:\windows\bak，木馬失去備份來源。

4. 清除本體檔案

:: Kill2.bat
cd /d c:\
cd "C:\WINDOWS\Downloaded Program Files"
move _IS_0518 c:\bak

再於檔案總管刪除 c:\bak 及 c:\windows\Backup（此時已無自動重建）。

5. 清理註冊表殘留

• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advapi32
• HKCU\Software\advapi32

經驗總結與防護啟示

1. 順序嚴禁顛倒： 必須先破壞備份機制，再刪除本體，否則木馬會從備份復活。
2. 進程終結法失效時： 木馬隱藏於多重 Svchost.exe 中，難以精準結束；檔案層面切入更直接。
3. 批次檔搶佔目錄技巧 可推廣至其他具備「監控並自動重建」特性的惡意程式。
4. 驗證環境： Windows XP Pro SP2 測試通過。

後記： 手動查毒核心在於「觀察行為→定位檔案→破壞持久化機制→清除本體→清理登錄」，冷靜分析勝過盲目掃描。