除修改 exe 文件關聯，木馬還利用註冊表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 劫持程序啟動。

原理

在該鍵下新建項，項名為目標程序（如 A.exe，無需路徑），下建字符串值 Debugger，值為木馬程序 B.exe 全路徑。系統會在啟動 A.exe 時先啟動指定的調試器 B.exe，木馬借此隨程序啟動。

特點

• 目標程序無需指定路徑，極其隱蔽。
• 利用系統合法調試機制，殺毒軟件難以區分正常調試與惡意劫持。

排查建議

檢查該註冊表分支下所有項的 Debugger 值。結合全註冊表搜索更直接。本文旨在提高用戶安全意識，嚴禁用於入侵破壞。