特洛伊木馬隱蔽性強、危害大，殺毒軟體未必能全查殺。掌握木馬常見藏身處與手動清除流程，關鍵時刻自己動手救系統。
| 藏身位置 | 典型特徵 | 檢查/清除要點 |
|---|---|---|
| WIN.INI [Windows] 區段 | load=惡意程式、run=惡意程式 | 編輯 WIN.INI，清空 load=、run= 後的值。 |
| 檔案關聯劫持 (註冊表) | 修改 HKEY_CLASSES_ROOT\xxxfile\shell\open\command 預設值指向木馬 (如冰河將 .txt 指向 Sysexplr.exe) | 檢查所有常見副檔名關聯鍵值，恢復正常啟動程式 (如 notepad.exe %1)。 |
| 綁定系統/應用程式 | 木馬與正常程式綁定封裝，覆蓋原檔；啟動正常程式即重裝木馬 | 檢查系統檔案大小/校驗和 (FCIV/SFC)；可疑檔以 PE 工具分析區段異常。 |
| SYSTEM.INI [boot] shell= | shell=explorer.exe 木馬.exe | 修正為 shell=explorer.exe；並檢查 [386enh]、[mic]、[drivers]、[drivers32] 區段 driver= 項。 |
| 註冊表 Run 類鍵值 | HKCU\...\Run、HKLM\...\Run、RunOnce、RunServices 等所有以 Run 開頭的鍵 | 逐一檢查數據指向的檔案，刪除可疑項；若刪後自動重現，記錄路徑進 DOS/PE 刪除檔體再清註冊表。 |
| AUTOEXEC.BAT / CONFIG.SYS | 舊式啟動腳本植入命令 | 編輯檔案刪除可疑行；較不隱蔽但仍需檢查。 |
| WINSTART.BAT | Win9x/Me 專用，驅動載入後執行 | 同樣編輯清理可疑命令。 |
WIN.INI 清空 load=/run=。SYSTEM.INI 修正 shell=explorer.exe。HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 刪除木馬項。HKLM\...\Run 下 Kernel32.exe、Sysexplr.exe → DOS 下刪除同名檔 → 重開機。command.exe、Buddyl~1.exe、Regist~1.exe → 清 WIN.INI run/load → 刪註冊表 WinProfile 項 → 重開機。tsk.sys、mstask.exe、Mdm.exe → 清 WIN.INI load → 刪 HKCU\...\Run Mstask、HKCU\...\ss 全鍵、HKU\.DEFAULT\...\Run Mstask → 清 AUTOEXEC.BAT 兩行拷貝命令。Msgsrv16 → 重開機 DOS 刪 msgserv16.exe。System.ini 項 → WIN.INI run=kernel16.dl 清空 → SYSTEM.INI shell=explorer.exe kernel32.dl 修正 → 重開機刪 kernel16.dl。diagcfg.exe → 因關聯 .exe 需先修復關聯才能執行後續清理。手動清除需耐心與細心，建議平時養成「不執行不明程式、保持防毒即時監控、定期備份」習慣，將中毒風險降至最低。