木馬本質：必須運行才能作惡

RFC1244 定義：木馬提供表面功能，暗藏竊取密碼、複製檔案等惡意行為。既然必須運行，就會在**進程表、註冊表、網路端口、流量**留下痕跡。掌握「查、堵、殺」三步驟，即可完成從發現到清除的閉環。

一、查：四維度獵捕蹤跡

1. 系統進程分析

• 任務管理器 / Process Explorer / PsList 列出所有進程。
• 重點比對 **CPU 佔用率、句柄數、記憶體用量** 與已知正常進程基線。
• 可疑特徵：無簽章、路徑非標準目錄、名稱模仿系統進程（如 expl0rer.exe、svch0st.exe）。

2. 註冊表、INI、服務自啟動檢查

重點檢視：

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\...\RunOnce
HKLM\...\RunOnceEx
HKLM\...\RunServices
HKLM\...\RunServicesOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\...\RunOnce
Win.ini: run=, load=, shell=
System.ini: shell=

經典偽裝：將 Explorer 改為 Expl0rer（l→0）、Expl0rer（o→0）。WinNT/2000 還會註冊偽裝服務、劫持未啟動服務的 ImagePath。

3. 開放端口掃描

• netstat -an 查看所有監聽/連線埠口。
• 更推薦 **Fport**：直接顯示 PID、進程名、完整路徑、協議、埠口，一眼鎖定可疑進程。

4. 網路流量監控（針對 ICMP/無連接型木馬）

• 關閉所有合法網路程式。
• 啟動 Sniffer（Wireshark / Sniffer Pro）監聽。
• 若仍有大量異常封包（特別是 ICMP、UDP 異常流量），極大機率為木馬心跳/資料外洩。

二、堵：切斷命令與控制通道

1. 物理斷網：拔網線/禁用網卡/斷開撥號 → 觀察異常行為（彈窗、CPU 飆高、視窗閃爍）是否消失。若消失，確認為遠控木馬。
2. 防火牆封鎖：針對性封鎖木馬使用的 TCP/UDP/ICMP 埠口，或直接啟用「阻擋所有輸出」規則暫時隔離。
3. 殺掉可疑進程：用 PsKill 或 Process Explorer 終止可疑 PID，觀察系統是否恢復正常。若恢復，證實該進程為受控元件。

三、殺：手工清除與軟體查殺雙軌並行

1. 手工清除（進階用戶）

1. 備份：可疑檔案 + 相關註冊表分支（匯出 .reg）。
2. 靜態分析：UltraEdit 查看檔案頭（PE 特徵、明文字串）、W32Dasm/IDA Pro 反組譯分析 Import Table、Data Section，判斷核心功能（鍵盤記錄、螢幕擷取、下載執行、進程注入等）。
3. 清除動作：刪除病毒本體檔案、註冊表啟動鍵值、偽裝服務、劫持的檔案關聯、Hosts 檔案異常項、排程任務。
4. 修復：恢復 EXE 關聯、Shell 值、系統服務啟動類型。

2. 專業殺毒軟體查殺（普通用戶首選）

• 選用主流廠商（瑞星、金山、卡巴斯基、NOD32、Bitdefender 等）最新版。
• **務必先更新病毒碼至最新**。
• 關注廠商發布的「專殺工具」（如衝擊波、震盪波專殺）。
• 掃描模式建議：**安全模式 + 全盤深度掃描**。

進階技巧：映像劫持防禦

木馬常利用 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\target.exe\Debugger = malware.exe 實現持久化。定期檢查此鍵值下是否有非預期的 Debugger 字串值。

總結：標準化排查清單

階段	關鍵動作	推薦工具
查-進程	列出進程、比對基線、找異常	Process Explorer, PsList, Task Manager
查-自啟動	檢查 10+ 註冊表鍵 + INI + 服務	Autoruns (Sysinternals), regedit
查-端口	列出監聽/連線、對應進程	Fport, netstat -ano, TCPView
查-流量	空閒抓包、找異常協議/目的地	Wireshark, Microsoft Network Monitor
堵	斷網、防火牆封鎖、殺進程	PsKill, Windows Firewall, 硬體防火牆
殺-手工	備份→靜態分析→刪檔/註冊表→修復	UltraEdit, IDA Pro, Autoruns
殺-軟體	更新病毒碼→安全模式全盤掃描	主流殺毒軟體 + 專殺工具

結語

「查、堵、殺」不是一次性動作，而是**持續的安全運營流程**。建議企業將上述清單納入應急響應手冊，定期演練；個人用戶則養成「月度全盤掃描 + 異常即斷網 + 重要資料離線備份」習慣。木馬技術再進化，**「必須運行才能作惡」的物理法則不變**，掌握底層可見性，就掌握了主動權。