從電腦病毒發展趨勢觀察，蠕蟲與木馬類病毒日益增多。與傳統感染可執行檔的檔案型病毒不同，這類程式通常不感染正常系統檔案，而是將自身作為系統一部分安裝，隱蔽性更強，使用者更難發現。但無論何種病毒，感染系統時總會留下蛛絲馬跡。本文整理各類病毒可能修改的關鍵位置，助您快速排查。

一、修改系統相關設定檔（主要針對 Windows 95/98）

• autoexec.bat：在其中加入執行病毒程式的指令，即可在系統啟動時自動激活病毒。
• drive:\windows\win.ini：病毒常在 run= 後加入自身檔名。
• drive:\windows\system.ini：將 shell= 項目修改為病毒程式路徑。

二、修改登錄機碼值（主流蠕蟲/木馬通用手法）

目前新出現的蠕蟲/特洛伊類病毒幾乎都會修改系統登錄表，常見修改位置如下：

登錄路徑	說明
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce	系統啟動時自動執行一次的程式
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices	系統啟動時自動執行的系統服務程式
HKLM\Software\Microsoft\Windows\CurrentVersion\Run	系統啟動時自動執行的程式，病毒最常修改/新增處

範例： Win32.Swen.B 病毒新增：
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ucfzyojza = "cxsgrhcl.exe autorun"

其他關鍵機碼

• HKEY_CLASSES_ROOT\exefile\shell\open\command：使病毒在使用者執行任何 EXE 程式時被喚醒。同理，txtfile、comfile 等亦可被修改達到自動執行目的。
• HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools：修改此值可阻止使用者查看/修改登錄表。
• HKCR\regfile\shell\open\command\(Default)：修改為 cxsgrhcl.exe showerror，阻止使用者利用 .REG 檔修復登錄表，彈出記憶體存取錯誤視窗（如 Win32.Swen.B 所為）。

核心目的

病毒透過上述修改，主要目的是在系統啟動或程式執行過程中自動被執行，達到自動激活、持久駐留的目的。掌握這些關鍵檢查點，有助於快速發現並清除惡意程式。