為何需要手工檢測？

灰鴿子版本眾多、變種快，殺毒軟體病毒碼更新滯後，且許多用戶未安裝/更新防毒軟體，導致灰鴿子高發。掌握手工檢測技巧，不靠殺毒軟體也能快速發現蹤跡。

核心工具：HijackThis + KillBox

• HijackThis：掃描啟動項、瀏覽器劫持、服務項（O23 項），能分析出灰鴿子服務名稱與路徑。
• KillBox：強力刪除鎖定檔案，支援安全模式刪除。

掃描關鍵：O23 服務項特徵

灰鴿子在 HijackThis 日誌中固定表現為 O23 服務項，共同特徵：

• 服務名含 Gray_Pigeon 或類似變體（RpcSo、Generic_Save_Server、system、4444 等偽裝名）。
• 擁有者顯示 Unknown owner。
• 路徑指向系統盤 C:\WINDOWS\ 或 D:\WINDOWS\ 下的可疑 EXE（如 G_Server.exe、svchost.exe、system.exe、Game.exe、Caopng.exe、smss.exe、RpcSs.exe 等）。

標準清除流程（六大實戰案例）

1. 停用服務：控制台 → 管理工具 → 服務，找到對應服務名 → 停用並設為「停用」。
2. 刪除檔案：用 KillBox 在安全模式（建議關閉系統還原、清理暫存檔）強力刪除主程式及伴隨的 .dll、hook.dll、key.dll、.bat 等衍生檔。
3. 修復 HijackThis：勾選對應 O23 項 → Fix checked。
4. 重開機驗證：日誌中該項變為 (file missing) 即清除成功。

典型變體檔案清單（需全刪）

G_Server*.exe / .dll / hook.dll / key.dll
svchost.exe / .dll / hook.dll / key.dll  (非系統真檔)
system.exe / .dll / Hook.dll / key.dll
RpcSs.exe / .dll / hook.dll / key.dll
Game.exe / Caopng.exe 及其衍生檔
smss.exe / .dll / .bat / hook.dll / key.dll

掌握此法，灰鴿子無所遁形。