殺毒軟體無效時，手把手教你從註冊表、檔案系統徹底根除隱形木馬

Maxthon 無法攔截廣告、右下角彈出類 QQ 廣告但無邊框、滑鼠懸停皆為手型——判定中木馬。殺毒軟體升級後仍查殺無果，網友提供方法也失效，只能自行手工清除。以下為完整實戰過程（木馬自啟動項鍵值為 Advapi32，以此代稱）。

一、常規排查無果

工作管理器進程列表無異常。

二、深入挖掘：鎖定啟動項與檔案位置

註冊表 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 發現新增 Advapi32，鍵值指向 C:\WINDOWS\Downloaded Program Files\_IS_0518\xxx.dll。該目錄在資源管理器隱藏檔案顯示開啟下仍不可見，重啟後啟動項自動復原 —— 木馬具備「監視註冊表 + 隱藏檔案 + 自我備份」三重保護。

三、進入安全模式，破解自我備份機制

嘗試直接刪除木馬檔案失敗（重啟復活），推測存在備份目錄。安全模式下發現 C:\Windows\Backup 含同樣 DLL，但啟動項指向的非此目錄。刪除 Backup 目錄後 1-2 秒自動重建 —— 木馬在安全模式仍能運行並監控備份。

反制策略： 利用 Windows 同目錄不允許同名檔案/目錄特性，批次檔搶先重建目錄阻止木馬重建。

:: Kill.bat
move C:\Windows\Backup C:\Windows\Bak   :: 重命名備份目錄
md C:\Windows\Backup                    :: 立即建立同名空目錄，木馬無法重建

執行後在資源管理器刪除 Bak 目錄，完成備份檔清除。

四、清除木馬主體檔案

:: Kill2.bat
cd /d C:\
cd "C:\WINDOWS\Downloaded Program Files"
move _IS_0518 C:\Bak

資源管理器刪除 C:\Bak 及 C:\Windows\Backup，木馬主體徹底清除。

五、清理註冊表殘留

刪除以下鍵值：

• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advapi32
• HKCU\Software\advapi32

關鍵心得

1. 順序不可顛倒： 先刪備份、再刪主體，雙重斷點防止復活。
2. 進程隱藏太深： IceSword 僅能判斷藏於 Svchost.exe 群組中，難以精準定位，反而「刪備份→刪主體→清註冊表」路徑更穩健。
3. 環境驗證： Windows XP Pro + SP2 測試通過。

面對無進程可見、檔案隱藏、自我備份的高階木馬，批次檔搶佔目錄名稱配合安全模式操作，是不依賴專殺工具的通用解法。