常見啟動方式（易被發現）

• 「開始」→「程式集」→「啟動」資料夾。
• 註冊表 HKCU\Software\Microsoft\Windows\CurrentVersion\Run / RunOnce。
• 註冊表 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run / RunOnce / RunServices。
• 註冊為系統服務。
• 以上皆可在 Msconfig「啟動」/「服務」頁籤看見。

隱形啟動新手法：群組原則腳本

1. 執行 Gpedit.msc 開啟「群組原則」。
2. 展開：本地電腦原則 → 用戶設定 → 系統管理範本 → 系統 → 登入。
3. 雙擊「在使用者登入時執行這些程式」 → 已啟用 → 顯示 → 新增 → 輸入木馬程式完整路徑。
4. 確定離開，重開機即自動以當前使用者身分執行木馬。

為何隱形？

• Msconfig 看不到：不在常見啟動項清單。
• 常見註冊表鍵值找不到：實際寫入 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run，而非 Run/RunOnce。

排查與清除

1. 懷疑中毒卻找不到蹤跡時，檢查 HKCU\...\Policies\Explorer\Run。
2. 或直接開 Gpedit.msc 檢查「登入時執行程式」清單。
3. 刪除對應路徑/登錄值即可清除。

防禦建議

• 定期稽核群組原則設定（gpedit.msc / rsop.msc）。
• 使用 Autoruns 等工具掃描所有啟動點（含 Policies 路徑）。
• 啟用 AppLocker/軟體限制原則，僅允許簽名/白名單程式執行。

圖示說明