作者在已打補丁、啟用 KV 即時監控的 Win2000 系統上，因執行一個「免費電話全球打」程式而中了「灰鴿子」變種。該木馬採用「組裝合成法」綁定合法程式，且修改代碼逃避特徵碼掃描。

清除過程曲折

• KV 偵測到 Winserverhook.dll 但無法刪除，掃描到該檔案即導致系統自動重啟並藍屏檢測硬碟。
• 註冊表、Win.ini、System.ini 均無異常啟動項，木馬疑似採用 DLL 注入與反彈端口技術，隱藏於系統進程中。
• 進入安全模式（開機按 F8）後，系統未載入 Winserverhook.dll，可正常刪除、備份該檔。
• 安全模式下運行 KV 成功清除，但正常模式重啟後木馬復活。
• 嘗試從其他 Win2000 複製 Winserverhook.dll 發現該檔原本不存在於系統中，確認其為木馬偽裝的惡意 DLL。

關鍵知識

• DLL 動態連結庫技術： 以木馬 DLL 替換或修改系統常用 DLL，隨系統啟動自動載入內存，進程檢視器中隱形，查殺風險高。
• 反彈端口木馬： 利用防火牆對出站連線防範較弱，由被控端主動連接控制端，常用合法端口（HTTP/FTP）封裝數據，防火牆形同虛設。

最終在安全模式下徹底刪除相關檔案並清理啟動項才解決問題。