前言：木馬隱藏技術的「冰山下」

常見啟動項、Run 鍵值、服務註冊只是冰山一角。木馬為了生存，挖掘了大量鮮為人知的自啟動與隱藏位置。本文（上集）揭露四大隱蔽技術：組策略、冷門註冊表鍵值、AutoRun.inf、螢幕保護程式劫持。

一、組策略：企業級管理功能被惡用

操作路徑

1. Win+R → gpedit.msc 開啟「本機群組策略編輯器」。
2. 依序展開：本機電腦策略 → 使用者設定 → 系統管理範本 → 系統 → 登入。
3. 雙擊 「在使用者登入時執行這些程式」 → 「已啟用」 → 「顯示」 → 「新增」 → 輸入木馬完整路徑。
4. 重啟生效。

為何隱蔽？

• msconfig、HKLM\...\Run、HKCU\...\Run **完全看不到**。
• 實際寫入位置：HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run。
• 若寫入 HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run 則對所有用戶生效。

排查指令

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run"
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run"

二、冷門註冊表鍵值：HKCU\...\Windows\load

位置

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
值名稱：load (REG_SZ)
數據：木馬完整短檔名路徑 (如 C:\Progra~1\Trojan.exe)

特點

• 僅支援 **短檔名 (8.3 格式)**，不可帶參數。
• 若寫入 HKEY_USERS\\Software\Microsoft\Windows NT\CurrentVersion\Windows 可跨用戶生效。
• **僅對 Win2000/XP/2003 有效**，Win9x 無此機制。

排查

檢查上述鍵值是否存在非預期數值。

三、AutoRun.inf：不只光碟，硬碟也中招

原理

Cdvsd.vxd 偵測媒體插入 → 讀取根目錄 AutoRun.inf → 執行 Open= 指定程式。**硬碟分區根目錄同樣生效**。

標準格式

[AutoRun]
Icon=C:\Windows\System\Shell32.dll,21
Open=C:\Program Files\Trojan\trojan.exe

惡用手法

• 將木馬放入分區根目錄，建立 AutoRun.inf 指向木馬，設為**隱藏+系統屬性**。
• 用戶雙擊磁碟機圖示（或在總管樹狀展開）瞬間，木馬靜默執行。

防護：關閉磁碟 AutoRun

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
值：NoDriveTypeAutoRun (REG_BINARY)
9D 00 00 00  = 關閉硬碟 AutoRun
B5 00 00 00  = 關閉光碟 AutoRun
FF 00 00 00  = 全關閉

修改後需重啟或重新登入生效。

四、螢幕保護程式：.scr 其實就是 .exe

冷知識

• .scr 重命名為 .exe 仍可執行；反之亦然。
• .exe 改為 .com/.pif/.bat 同樣可執行（關聯機制）。

劫持鏈

1. 將木馬改名 trojan.scr 放入系統目錄。
2. 修改 system.ini [boot] 區段：SCRNSAVE.EXE=C:\Path\trojan.scr。
3. 修改註冊表：HKEY_USERS\.DEFAULT\Control Panel\Desktop\ScreenSaveTimeOut = 60（1 分鐘）。
4. 系統閒置 1 分鐘 → 啟動螢幕保護 → **木馬以 SYSTEM/當前用戶權限執行**。

防範

• 停用螢幕保護程式（設為「無」）。
• 監控 system.ini、ScreenSaveTimeOut、SCRNSAVE.EXE 異常變更。

小結

這四招共同特徵：**利用合法系統功能、繞過常規啟動項檢查、權限提升機會大**。下集將揭露「控制面板 .cpl 劫持」與「超長路徑隱藏目錄」兩大終極隱藏術。