手法一：註冊表啟動項全景圖

木馬最愛掛載的 Run 系鍵值（含 RunOnce/RunServices/RunOnceEx）：

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• HKCU\...\RunOnce
• HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load (字串值)
• HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• HKLM\...\RunOnce
• HKLM\...\RunServices
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\load

排查工具：Autoruns (Sysinternals) → 「Logon」頁籤，勾選「Verify Signatures」→「Hide Signed Entries」，快速鎖定無簽名/異常路徑項目。

手法二：檔案關聯劫持 (.exe 為例)

1. HKCR\.exe → (預設) = exefile
2. HKCR\exefile\shell\open\command → (預設) = "%1" %*
3. 木馬將預設值改為 C:\Malware\server.exe "%1" %*
4. 結果：使用者雙擊任意 .exe，先啟動木馬，再由木馬啟動原程式，使用者無感。

修復指令 (以管理員 CMD 執行)

reg add "HKCR\exefile\shell\open\command" /ve /d "\"%1\" %*" /f
reg add "HKLM\Software\Classes\exefile\shell\open\command" /ve /d "\"%1\" %*" /f

或使用「控制台 → 預設程式 → 設定關聯 → 選擇 .exe → 變更程式 → 瀏覽選擇原本程式」。

延伸：其他高危關聯

.scr、.bat、.cmd、.pif、.com、.msi、.reg、.vbs、.js、.wsf 同理可被劫持，建議以腳本批次恢復所有可執行副檔名關聯。