案例背景：國產木馬 Evilotus 突破卡巴斯基防禦
Evilotus 為國產木馬，採用反彈連線、執行緒插入、服務啟動等成熟技術，獨創 SSDT 還原功能，可繞過卡巴斯基主動防禦，實現免疫。
核心技術：SSDT 表與主動防禦原理
- Windows 核心提供 SSDT (System Service Descriptor Table)，為應用層呼叫核心服務的通道。
- 主動防禦透過修改 SSDT 表攔截敏感呼叫（如註冊表寫入、程式啟動）。
- Evilotus 搜尋當前 SSDT 與原始 SSDT，以原始覆蓋當前，**直接還原核心攔截點，使主動防禦失效**。
溯源與清除實戰 (張醫生案例)
步驟 1：netstat 定位可疑連線
關閉所有網路程式，執行 `netstat -ano`，發現 PID 1872 正在對外連線。
步驟 2：進程監控鎖定木馬模組
用木馬輔助查找器 (或冰刃) 查看 PID 1872，發現為 `Svchost.exe` 進程，模組列表中有一無廠商資訊、無描述的可疑 DLL——即木馬服務端，採用執行緒插入技術寄生於系統進程。
步驟 3：SREng 查找啟動服務項
執行 System Repair Engineer (SRE) → 啟動項目 → 服務 → Win32 服務 → 勾選「隱藏 Microsoft 服務」，發現同名服務項，確為木馬啟動點。
步驟 4：清除木馬
- 進程監控中終止被插入的 `Svchost.exe` 進程。
- 服務管理中刪除木馬服務。
- 註冊表搜尋木馬檔名，刪除相關鍵值。
- 進入 `System32` 刪除木馬服務端檔案。
關鍵提醒
- 木馬突破主動防禦 ≠ 防毒軟體無用，特徵碼掃描仍為主力。
- SSDT 還原屬核心層對抗，一般 HIPS 難以防禦，需結合核心級防護驅動。
- 清除後務必修復防毒軟體 SSDT 狀態（重裝或啟用自我修復）。