Form.Visible=False、ShowInTaskbar=False，任務欄無圖標。Windows 啟動時自動加載服務端，覆蓋所有啟動向量：
| 位置 | 鍵值/文件 | 識別要點 |
|---|---|---|
| win.ini | [Windows] run= / load= | 等號後為空為正常；有路徑即可疑 |
| system.ini | [Boot] shell=explorer.exe 惡意程序 | 正常僅 explorer.exe；多出程序即木馬 |
| 註冊表 Run | HKLM\Software\Microsoft\Windows\CurrentVersion\Run | 偽裝系統文件名（如 exp**l**orer.exe vs exp**i**orer.exe） |
| 註冊表 Run (用戶) | HKCU\Software\Microsoft\Windows\CurrentVersion\Run | 當前用戶登錄時啟動 |
| 啟動資料夾 | Start Menu\Programs\Startup | 快捷方式/腳本/可執行文件 |
| 服務 | HKLM\SYSTEM\CurrentControlSet\Services | 新增服務項，啟動類型為 Auto |
| 計劃任務 | at / schtasks | 系統/用戶上下文定時執行 |
| WMI 事件訂閱 | __EventFilter/Consumer/Binding | 無文件落地，極隱蔽 |
掌握原理，方能在海量日志中精準定位異常：異常啟動項、異常服務、異常網絡連接、異常進程行為。