木馬生存核心在於「隨系統啟動而啟動」。掌握其五大經典駐留手法，才能徹底清除並防範復發。

1. 登錄檔啟動項（最常見）

重點檢查：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\...\RunOnce
HKLM\...\RunServices
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKCU\...\RunOnce
所有含「Run」關鍵字的鍵值均需逐一核對。

2. 系統初始化檔案

Win.ini、System.ini、Autoexec.bat、Config.sys 仍可被舊版相容性機制載入，木馬常在 [Windows] run= / load= 或 [Boot] shell=explorer.exe malware.exe 處掛載。

3. 使用者啟動資料夾

路徑：
Win10/11: C:\Users\{User}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
全域: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
對應登錄：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup

4. 檔案關聯劫持

修改 HKCR\exefile\shell\open\command 預設值，使雙擊任何 .exe 先啟動木馬。修復：將值還原為 "%1" %*，或透過「控制台 → 預設程式 → 設定關聯」重置。

5. 服務註冊

木馬安裝為系統服務（sc create / net start），以 SYSTEM 權限運行且隱藏於服務管理員中。排查：services.msc、sc query state= all、Autoruns「Services」頁籤，刪除可疑服務鍵值並移除檔案。

清除黃金法則

1. 進入安全模式或 WinPE 離線掛載磁碟操作，避免木馬自我保護。
2. 備份登錄檔後再刪除惡意鍵值。
3. 結合檔案時間戳、數位簽章、VT 多引擎掃描判斷惡意檔案。
4. 清除後重啟驗證，並持續監控啟動項變更。