一、檔案關聯劫持自啟動

木馬修改註冊表 HKEY_CLASSES_ROOT\exefile\shell\open\command 預設值 "%1" %* 為 Trojan.exe "%1" %*，導致用戶每次運行 EXE 檔案都會先執行木馬。「灰鴿子」劫持 EXE 關聯，「冰河」劫持 TXT 關聯。防範：定期檢查檔案打開方式是否被篡改，備份註冊表以便快速恢復。

二、利用 Windows 設備名漏洞隱藏目錄

Windows 禁止用 aux、com1、com2、prn、con、nul 等設備名命名檔案/資料夾，但 Win2000/XP 存在漏洞可繞過：

cmd 下執行：md c:\con\  → 建立 con 目錄
copy muma.exe \\.\c:\aux\  → 複製木馬至 aux 目錄並改名 con.exe
啟動：cmd /c \\.\c:\con

這類目錄在資源管理器中無法正常打開/刪除，極佳隱藏效果。刪除方法：del \\.\c:\con.exe 刪除檔案，rd \\.\c:\aux 刪除目錄。

三、AutoRun.inf 硬碟自動運行植入

在磁碟根目錄放置 AutoRun.inf，內容指向木馬程式：

[AutoRun]
Open=C:\Path\Trojan.exe
Icon=Shell32.dll,21

用戶雙擊磁碟即中毒。防範：修改註冊表 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun 為 9D 00 00 00 禁用硬碟 AutoRun，B5 00 00 00 禁用光碟 AutoRun。