木馬病毒為了持久駐留、竊取資料，會藏在系統深處。Win7 下排查木馬，重點檢查以下**五大經典藏身處**，配合授權防毒軟體全盤掃描，能大幅提高發現率。

1. 綁定在正常程式/系統檔（檔案綁定/感染）

• 木馬將自身程式碼注入 explorer.exe、svchost.exe、winlogon.exe 等系統程序，或綁定常用軟體（QQ、瀏覽器）啟動項。
• 排查：授權防毒軟體深度掃描 + Process Explorer 檢查可疑 DLL 載入、驗證簽章。

2. 藏在設定檔/批次檔（舊式手法，仍存活）

• Autoexec.bat、Config.sys（Win7 實模式兼容）、Win.ini、System.ini。
• 檢查 Win.ini 的 [windows] 區段：load=、run= 後若有路徑（如 run=c:\windows\malware.exe）即為木馬啟動點。

3. 潛伏在 Win.ini 啟動指令

• 同上，load=、run= 非空即可疑。正常應為空值。

4. 偽裝成一般檔案（雙重副檔名、圖示偽裝）

• 檔名：photo.jpg.exe、document.txt.scr，資料夾選項預設「隱藏已知副檔名」導致顯示為 photo.jpg，使用者點擊即中毒。
• 圖示：將執行檔圖示改為圖片/文字/資料夾圖示。
• 防範：資料夾選項 → 檢視 → **取消勾選「隱藏已知副檔名」**；不點擊不明來源檔案。

5. 內建在登錄表自動啟動項（最核心持久化機制）

重點檢查下列登錄機碼下所有以 Run 開頭的值（Run、RunOnce、RunOnceEx、RunServices 等）：

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run*
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run*
• HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run*
• 此外：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run、...\Winlogon\Userinit、...\Winlogon\Shell（應為 explorer.exe，若後面多路徑即中毒）。

綜合清除建議

1. 進入**安全模式**或 **WinPE** 環境操作，防止木馬進程對抗。
2. 授權防毒軟體（卡巴斯基、ESET、Bitdefender、Windows Defender 完整掃描）全盤掃描。
3. 手動檢查上述五大藏身處，刪除可疑檔案、登錄值、排程任務、服務項目。
4. 檢查瀏覽器擴充功能、捷徑目標欄位是否被篡改。
5. 修改重要帳號密碼、啟用雙因子驗證。

五大藏身處逐一清查，木馬無處遁形！