病毒留下的蛛絲馬跡

蠕蟲/木馬不感染正常執行檔，而是將自身植入系統自啟動機制。掌握常見竄改位置可加速排查。

一、舊系統設定檔（Win9x/Me）

• autoexec.bat 添加執行病毒指令。
• win.ini 中 run= 後加入病毒檔名。
• system.ini 修改 shell= 項目。

二、註冊表啟動鍵值（主流標的）

鍵值路徑	說明
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce	系統啟動一次性執行程式
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices	啟動時自動執行的系統服務
HKLM\Software\Microsoft\Windows\CurrentVersion\Run	病毒最愛修改/添加處。例：ucfzyojza="cxsgrhcl.exe autorun"
HKEY_CLASSES_ROOT\exefile\shell\open\command	使病毒在用戶執行任何 EXE 時同步運行；同理可竄改 txtfile、comfile 等關聯。

三、特殊功能鍵值

• 阻擋用戶查看/修改註冊表：
  HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools
• 阻擋 .REG 檔匯入（顯示記憶體存取錯誤）：
  HKCR\regfile\shell\open\command\(Default) 改為 "cxsgrhcl.exe showerror"（Win32.Swen.B 手法）。

以上修改目的皆為達到「開機自啟」或「程式執行時附帶執行」，實現持久化駐留。