一、修改文件打開方式實現自啟動

除了 Run 鍵，修改文件關聯也能自啟動。例：HKEY_CLASSES_ROOT\exefile\shell\open\command 默認值 "%1" %*，改為 Trojan.exe "%1" %*，每次運行 exe 即執行木馬。灰鴿子用此法關聯 exe，冰河關聯 txt。

對策

定期檢查關鍵關聯鍵值（exe、inf、txt 等），發現異常立即恢復。最佳做法：定期備份註冊表，出問題直接恢復。

二、利用 Windows 設備名漏洞隱藏文件/目錄

Windows 保留設備名：aux, com1, com2, prn, con, nul 等不可作文件名。但 Win2000/XP 存在漏洞可繞過：

cmd → md c:\con\  (建立 con 目錄)
md c:\aux\  (建立 aux 目錄)
md c:\prn\  (建立 prn 目錄)
md c:\com1\ (建立 com1 目錄)
md c:\nul\  (建立 nul 目錄)

資源管理器嘗試打開 aux 或 com1 會無響應。木馬利用此特性隱藏自身。復制文件需在 CMD 下：copy muma.exe \\.\c:\aux\。運行：開始→運行→c:\aux\muma.exe。資源管理器無法刪除（提示找不到文件）。

清除方法

需在 CMD 下用 rd \\.\c:\aux\ /s /q 強制刪除。