演進脈絡：從替換 wsock32.dll 到進程掛鉤

早期 DLL 木馬替換系統 wsock32.dll/WS2_32.dll 攔截 Socket API，後因 Windows 檔案保護 (WFP/WRP) 與數位簽章機制失效。現代主流為 動態嵌入式：將惡意 DLL 注入 explorer.exe、svchost.exe、lsass.exe 等關鍵長駐進程，實現無獨立進程、無異常埠口、繞過防火牆、實現端口復用/無埠通訊。

偵測三板斧

1. System32 基線比對法：
   dir %windir%\system32\*.exe > exeback.txt && dir %windir%\system32\*.dll > dllback.txt
   定期重複並用 fc exeback.txt exeback_new.txt > diff.txt 比對新增/變更檔案，結合建立時間、數位簽章、PE 區段熵值判斷異常。
2. 進程模組枚舉：tasklist /m /fi "imagename eq explorer.exe" 或 Process Explorer 查看載入模組，發現非簽名/路徑異常/熵值高的 DLL 即為疑似注入模組。
3. 記憶體掃描與 YARA：Volatility/WinPMEM 導出記憶體映像，套用 YARA 規則掃描已知 DLL 木馬特徵（如反射式注入殼碼、特定加密常數）。

清除流程

1. 隔離主機（斷網、快照）。
2. WinPE/安全模式掛載磁碟，刪除惡意 DLL、修復被修改的系統檔（sfc /scannoffline）。
3. 清除持久化機制（註冊表 Run/服務/排程/映像劫持/COM 劫持）。
4. 重啟驗證，提交樣本至廠商/威脅情報平台。

防禦重點：啟用「任意程式碼防護 (ACG)」、「控制流程防護 (CFG)」、「封鎖未簽名 DLL 載入」（AppLocker/WDAC 規則），從根源阻斷 DLL 注入生存空間。