基本屬性

• 類型：木馬程式
• 大小：7,695 位元組
• 危害等級：低
• 傳播速度：慢
• 開發語言：Delphi + UPX 壓縮
• 依賴：需目標機安裝 Delphi 動態庫才能執行

行為特徵

1. 複製自身至系統目錄 (%WinDir%\System) 並改名 Explorer.exe，與真正的 Explorer.exe (位於 %WinDir%) 同名迷惑使用者。
2. 修改註冊表 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 新增 Explorer="%WinDir%\System\Explorer.exe" 實現開機自啟。
3. 嘗試從 https://orchid.diy.163.com/ 下載額外檔案。

手工清除步驟

1. 工作管理員結束偽裝的 Explorer.exe 進程 (注意區分路徑：系統目錄下者為木馬)，刪除 %WinDir%\System\Explorer.exe；或重啟進入 DOS 直接刪除。
2. 開啟 regedit，刪除 HKLM\...\Run 下名為 Explorer 的鍵值。

特徵碼明確，清除輕鬆。