作者首次接觸木馬 exelinks.exe，記錄查殺過程供參考。

1. 運行木馬無反應，查看進程殺掉 exelinks 進程，啟動 regedit 搜尋無果。
2. 懷疑 EXE 關聯被破壞，發現 exelinks.exe 文件丟失（對方電腦未丟，無共性）。
3. 改用 regedt32.exe，發現 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下多出「網絡服務」啟動項 svchoost.exe，刪除。
4. 重啟後 Run 又出現，殺進程、刪文件。推測還有其他啟動源，想起剛運行過 regedt32.exe（EXE 文件）。
5. 查看 .exe 關聯正常，但 exefile\shell\open\command 值為 winnt/system32/exelinks.exe %1 %*，確被劫持。修正為 %1 %*。
6. 據提示原名 windowssend.exe，在 winnt/system32/start 找到並刪除。
7. 重啟檢查進程與註冊表均正常，木馬清除完畢。

關鍵點：木馬劫持 EXE 文件關聯、在 Run 與啟動目錄雙重駐留、偽裝系統服務名。