木馬本質：Client/Server 架構遠端控制工具，極強隱蔽與危害

六大經典藏身處與檢查重點

1. 綁定正規程式：木馬與應用程式 (甚至系統檔) 綁定，啟動宿主程式即啟動木馬。檢查：關注異常檔案大小/時間戳、數位簽章驗證。
2. 藏於設定檔：Autoexec.bat、Config.sys 等舊式啟動腳本。現較少見但仍需檢查。
3. 潛伏 Win.ini：[windows] 區段下 load=、run= 後跟可疑路徑 (如 c:\windows\file.exe) 即為木馬啟動點。
4. 偽裝普通檔案：可執行檔改圖示為圖片/文字圖示、檔名 *.jpg.exe，利用「隱藏已知副檔名」預設值欺騙點擊。防範：資料夾選項 → 取消「隱藏已知副檔名」。
5. 內置註冊表啟動鍵：重點掃描三大根鍵下所有以 Run 開頭的鍵值：
   • HKLM\Software\Microsoft\Windows\CurrentVersion\Run*
   • HKCU\Software\Microsoft\Windows\CurrentVersion\Run*
   • HKU\.Default\Software\Microsoft\Windows\CurrentVersion\Run*
6. 藏身 System.ini：
   • [boot] shell=Explorer.exe malware.exe (第二個即木馬)
   • [386Enh] device=path\malware.exe
   • [mic]、[drivers]、[drivers32] 區段同理。

清除原則

• 先結束進程 (工作管理員/任務管理器/專用工具)。
• 刪除實體檔案 (安全模式/DOS 下避免鎖定)。
• 清除註冊表啟動項、檔案關聯、Winini/System.ini 啟動指令。
• 修復被劫持的 IE 設定、Hosts 檔等。
• 全盤掃毒驗證無殘留。

徹查六大藏身處，木馬無處遁形。