HTA 木馬運作原理

HTA（HTML Application）檔案由 mshta.exe 執行。惡意網頁植入 HTA 木馬代碼，利用瀏覽器自動下載並執行 .hta 檔案，繞過殺毒掃描（代碼常插入空格混淆）。

核心對策：切斷 .hta 與 mshta.exe 的關聯

1. 刪除 mshta.exe（位於 C:\WINDOWS\system32\）——徹底但可能影響合法 HTA 應用。
2. 修改註冊表（推薦）：
   • 開啟 regedit，搜尋 .hta。
   • 匯出相關鍵值備份，然後刪除 .hta 與 mshta.exe 的關聯鍵值。
   • 結果：瀏覽器下載 .hta 檔案後不再自動執行，僅存檔，木馬無法啟動。

同理可防 WMF 等其他格式木馬

原理相同：找出對應執行程式（如 WMF 由 shimgvw.dll 處理），切斷副檔名與執行程式的註冊表關聯，即可免疫此類攻擊。

此法無需殺毒軟體，適合緊急情況下的快速止血。