木馬善於隱藏：任務列不顯示（Visible=False, ShowInTaskBar=False）、偽裝成系統服務、利用啟動群組、win.ini、system.ini、登錄等多重自啟動機制。掌握其自啟動原理，查殺便不再困難。

木馬常見自啟動藏身處

1. win.ini：[WINDOWS] 區段的 run=、load=

正常應為空值。若後接非熟悉路徑，極可能中馬。注意偽裝成 command.exe 等系統檔名的木馬（如 AOL Trojan）。

2. system.ini：[BOOT] 區段的 shell=

正確值為 explorer.exe。若為 shell=explorer.exe 程式名，後者即為木馬。

3. 登錄機碼：最複雜、最常用

重點檢查：

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_USERS\****\Software\Microsoft\Windows\CurrentVersion\Run

木馬常偽裝成系統檔名（如 expiorer.exe 仿冒 explorer.exe）。最佳做法：在首個位置找到木馬檔名，再全域搜尋替換。

標準清除流程

1. 斷網防止駭客遠端控制；
2. 編輯 win.ini 清空 run/load 值；
3. 編輯 system.ini 恢復 shell=explorer.exe；
4. 登錄編輯器搜尋刪除所有木馬鍵值；
5. 特殊木馬（如 BladeRunner）刪除鍵值會自動重建，需記錄檔名路徑，重啟進 DOS 模式刪除實體檔，再回登錄清理殘留鍵值；
6. 重開機驗證。