中毒現象

執行 exelinks.exe 後無反應，工作管理員發現同名進程，殺掉後發現註冊表 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 新增 svchoost.exe（偽裝系統服務）。刪除重開機又自動復活，推測另有啟動來源。

深挖啟動鏈

1. 檢查 .exe 檔案關聯：HKEY_CLASSES_ROOT\exefile\shell\open\command 預設值應為 "%1" %*，實際被改為 winnt/system32/exelinks.exe "%1" %* —— 任何執行 EXE 都會先拉起木馬。
2. 修正關聯值回預設。
3. 在 winnt/system32/start 目錄發現木馬原始檔 windowssend.exe，一併刪除。

驗證清除

重開機後檢查進程與註冊表啟動項，均無異常，木馬徹底清除。

關鍵教訓

• 木馬常偽裝成系統檔名（svchoost vs svchost、rundll vs rundll32），需細心比對。
• 檔案關聯劫持是隱蔽啟動常用手法，排查時必查 exefile\shell\open\command。
• 安全模式或 DOS 環境下操作可避免木馬進程鎖定檔案無法刪除。