木馬為達到持久化，除常見 Run 鍵外，還濫用文件關聯、設備名目錄、Auto.inf 等冷門技巧。

1. 文件關聯劫持

修改 HKCR\exefile\shell\open\command 預設值 "%1" %* 為 Trojan.exe "%1" %*，用戶每執行 .exe 即觸發木馬。灰鴿子劫持 .exe，冰河劫持 .txt。

對策： 定期檢查關鍵關聯鍵值；備份註冊表便於一鍵還原。

2. 設備名目錄隱藏 (Win2k/XP 漏洞)

Windows 保留設備名 aux, com1, com2, prn, con, nul 不允許建立同名文件/目錄，但 CMD 下 md c:\con 可繞過創建。木馬藏入此類目錄，資源管理器無法進入/刪除，explorer.exe 甚至假死。

植入示例：

copy muma.exe \\.\c:\aux
copy muma.exe \\.\c:\con.exe  (改名為 con.exe 無法普通刪除)
cmd /c \\.\c:\con  (隱蔽啟動)

清除： del \\.\c:\con.exe → rd \\.\c:\aux。

3. 硬盤 AutoRun.inf 惡用

根目錄放置 AutoRun.inf：

[AutoRun]
Icon=C:\Windows\System\Shell32.dll,21
Open=C:\Trojan.exe

用戶雙擊磁碟機圖標即觸發木馬。設為隱藏屬性更隱蔽。

禁用 AutoRun： 註冊表 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun 設為 9D 00 00 00 (禁用硬盤) 或 B5 00 00 00 (禁用光盤)，重啟生效。

綜合防禦

• 啟用「顯示隱藏文件/系統文件」，定期巡檢根目錄 AutoRun.inf。
• 使用「安全刪除硬體」圖標正規卸載 USB 裝置，防止 AutoRun 傳播。
• 部署 HIPS/行為防禦監控關鍵註冊表寫入、異常目錄創建、AutoRun 修改。