| 位置 | 鍵值/檔案 | 典型偽裝 |
|---|
| Win.ini | [Windows] run= / load= | command.exe、winlogon.exe |
| System.ini | [Boot] shell=explorer.exe malware.exe | 空格分隔掛載多程式 |
| 註冊表 Run 鍵 | HKLM/HKCU\...\Run, RunOnce, RunServices | Explorer → expIorer.exe (I/l 混淆) |
| 啟動資料夾 | Start Menu\Programs\Startup | 捷徑指向惡意檔 |
| 服務 | HKLM\SYSTEM\CurrentControlSet\Services\ | ImagePath 指向惡意 exe/dll |
| 排程任務 | Task Scheduler Library / at / schtasks | 觸發條件：登入/閒置/事件 |
| 映像劫持 (IFEO) | HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\\Debugger | 劫持合法程式啟動流程 |
偽裝藝術
檔名拼寫變體（svch0st.exe、expl0rer.exe）、資源區塊竄改（版權資訊、圖示）、數位簽章竊用/偽造、時間戳竄改（Timestomp）、加殼/免殺（UPX/VMProtect/Themida/自製加密殼）。
排查實務
- Autoruns 全掃描 → 驗證簽章 → 可疑項提交 VirusTotal/混合分析沙箱。
- Process Explorer → 檢查無簽名進程、命令列異常、網路連線異常。
- 網路連線
netstat -ano / TCPView 對應 PID，追蹤可疑遠端連線。
- 記憶體導出分析（Volatility）發現 Rootkit/DKOM 隱藏進程。
copyright ©
萬盛學電腦網 all rights reserved