冰河木馬 (Glacier Trojan) 曾於 2000 年代中後期在國內大規模流行，以「屢刪不除、重啟自啟、文件關聯劫持」著稱。雖屬早期木馬，其持久化技術 (註冊表 Run 鍵 + 文件關聯劫持) 仍具教學價值。本文提供標準版清除全流程，並延伸通用木馬查殺方法論。

冰河木馬標準版技術特徵

組件	檔案名	路徑	功能
伺服器端 (Server)	G-server.exe	用戶手動執行目錄	安裝器，執行後自刪，釋放核心組件
客戶端 (Client)	G-client.exe	攻擊者控制端	GUI 控制面板，連接埠 7626 (預設)
核心後門	Kernel32.exe (偽裝系統檔)	C:\Windows\System\ (Win9x/Me) 或 C:\Windows\System32\ (NT/2K/XP/2003)	註冊表 Run 鍵自啟，監聽埠 7626，提供完全控制 (檔案/進程/註冊表/螢幕/鍵盤/攝像頭/音訊/Shell)
劫持載體	sysexplr.exe	同目錄	劫持 .txt 文件關聯 (HKEY_CLASSES_ROOT\txtfile\shell\open\command)，雙擊任意 .txt 觸發執行，再次釋放 Kernel32.exe 實現「屢刪不除」

手動徹底清除步驟 (需安全模式/PE 環境執行)

1. 終止惡意進程：
   • 任務管理器 / Process Explorer / taskkill /f /im Kernel32.exe /im sysexplr.exe。
   • 若無法終止，使用 PsKill 或 PE 環境下刪除檔案。
2. 刪除惡意檔案：
   • del /f /a "C:\Windows\System\Kernel32.exe" (或 System32)
   • del /f /a "C:\Windows\System\sysexplr.exe"
   • 搜尋並刪除其他位置同名檔案 (攻擊者可能改名/移動)。
3. 清理註冊表自啟動項 (以管理員身分執行 regedit)：
   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run → 刪除值名為任意、數據指向 C:\Windows\System\Kernel32.exe 的項目。
   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices → 同理刪除。
   • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run → 檢查並刪除。
   • 其他常見自啟動位置：RunOnce、RunOnceEx、Winlogon\Userinit、Winlogon\Shell、Policies\Explorer\Run、Services (偽裝服務)。
4. 修復 .txt 文件關聯：
   • 定位 HKEY_CLASSES_ROOT\txtfile\shell\open\command (或 HKEY_CURRENT_USER\Software\Classes\txtfile\shell\open\command 覆蓋項)。
   • 將 (預設) 值從 C:\Windows\System\sysexplr.exe %1 修正為：

     C:\Windows\System32\notepad.exe %1
             # 或
             "C:\Program Files\Notepad++\notepad++.exe" %1
             # 視實際安裝路徑而定

5. 檢查並修復其他被劫持文件關聯：.exe、.com、.bat、.cmd、.pif、.scr、.hta、.html、.url 等。使用 assoc/ftype 命令或「預設程式」控制台恢復預設。
6. 清理網路連接殘留：
   • netstat -ano | findstr :7626 確認埠已釋放。
   • 檢查防火牆規則是否有針對 7626 埠的允許規則，刪除之。
7. 全盤掃描：使用更新至最新病毒庫的殺毒軟體 (Windows Defender / 火綠/卡巴斯基/ESET 等) 執行完整掃描，清理殘留變種、下載器、Rootkit 組件。
8. 修補系統漏洞：安裝所有安全更新 (特別是 MS03-026、MS08-067、MS17-010 等 RPC/SMB 遠程執行漏洞)，防止再次被遠程利用植入。

通用木馬查殺方法論 (適用於冰河及所有已知/未知木馬)

1. 靜態特徵掃描 (已知威脅)

• 多引擎掃描：VirusTotal (上傳可疑檔案)、Metadefender、Jotti。
• 本地殺毒全盤掃描 + 關鍵目錄 (啟動項、Temp、AppData、ProgramData、System32/Tasks) 深度掃描。

2. 動態行為監控 (未知/無檔案威脅)

• EDR/XDR 代理：記錄進程樹、命令列、網路連線、檔案/註冊表變更、模組載入、記憶體操作 (OpenProcess/WriteProcessMemory/CreateRemoteThread)、WMI 事件訂閱、排程任務創建、服務安裝、COM 物件實例化。
• Sysmon + 檢測規則：SwiftOnSecurity/sysmon-config、Neo23x0/sigma 規則集 (映射 MITRE ATT&CK TTPs)。
• 行為蜜罐/欺騙技術：部署偽造高價值目標 (假資料庫、假憑證、假共享)，誘捕側向移動。

3. 自動啟動項全景審計 (持久化檢查)

工具：Autoruns (Sysinternals) — 掃描 20+ 類別自啟動點，重點檢查：

• 無簽名/簽名驗證失敗 項目 (紅色高亮)。
• 路徑異常：%Temp%、%AppData%、%ProgramData%、C:\Windows\Temp、C:\Program Files\Common Files (非廠商目錄)。
• 描述/公司名稱為空或亂碼。
• 檔案時間異常：系統安裝時間後大量新增、時間戳竄改 (Time Stomping)。
• Image Hijacking (IFEO)：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\\Debugger 指向惡意程式。

4. 記憶體取證與 Rootkit 檢測

• 獲取記憶體映像：WinPMEM、DumpIt、FTK Imager (Live)。
• Volatility3 分析：windows.pslist/psscan (隱藏進程)、windows.netscan (隱藏連接)、windows.malfind (VAD 掃描注入/空洞)、windows.svcscan (偽裝服務)、windows.driverirp (驅動掛鉤)、windows.registry.hivelist/printkey (註冊表 Rootkit)。
• 專用 Rootkit 掃描器：GMER、TDSSKiller、aswMBR、Sophos Anti-Rootkit、Kaspersky TDSSKiller。

5. 網路流量分析 (C2 通訊溯源)

• Wireshark/Zeek (Bro)/Suricata 捕獲異常流量：非標準埠、異常協定 (DNS Tunnel、HTTP 異常 Header、ICMP Tunnel)、定期信標、大量外連、已知惡意 IP/域名 (威脅情報匹配)。
• 防火牆/代理日誌回溯：識別首次感染時間、下載源、橫向移動目標。

預防勝於治療：個人/企業端點免疫清單

1. 啟用 Windows Defender 完整功能集 (即時防護、雲端保護、ASR、受控資料夾存取、網路防護、漏洞利用防護)。
2. 部署 WDAC/AppLocker 白名單執行控制 (企業環境強制)。
3. 應用程式微隔離 / 最小權限原則 (標準用戶 + UAC + JIT 提權)。
4. 瀏覽器強化：uBlock Origin、HTTPS Everywhere、禁用不必要擴充套件、啟用 Click-to-Play。
5. 郵件/網關沙箱爆破附件與連結；DMARC/DKIM/SPF 防偽造。
6. 定期修補 (OS/Office/瀏覽器/驅動/韌體/第三方軟體) — 修補是最高 ROI 的防禦動作。
7. 3-2-1-1-0 不可變備份，定期演練恢復。
8. 安全意識訓練：釣魚模擬、社交工程識別、事件報告流程。

冰河木馬雖已成歷史，但其「註冊表自啟 + 文件關聯劫持雙重持久化」設計思想，在現代惡意軟體 (如 Emotet、Trickbot、Qakbot、Cobalt Strike Beacon、Ransomware) 中依然大量借鑑。掌握手動清除技能固然重要，建立上述系統化免疫體系，才能在攻防對抗中立於不敗之地。