灰鴿子遠控木馬運作原理與手動清除全攻略

灰鴿子遠控木馬的架構與運作機制

灰鴿子是一款經典的遠程控制木馬，採用「客戶端/服務端」雙端架構。攻擊者透過客戶端生成服務端程式（預設名為 G_Server.exe），再利用捆綁圖片、網頁掛馬、偽裝軟體下載等手法誘導受害者執行，從而植入木馬。本文旨在協助受害者理解其運作邏輯，並提供手動檢測與清除步驟。

核心檔案與自我保護機制

服務端執行後，會將自身複製至 Windows 系統目錄（Win98/XP 為 C:\Windows，Win2K/NT 為 C:\Winnt），並釋放 G_Server.dll、G_Server_Hook.dll 兩個核心模組；部分配置還會產生 G_ServerKey.dll 記錄鍵盤輸入。檔案命名並非固定，若自訂服務端為 A.exe，則對應生成 A.dll、A_Hook.dll。

• G_Server.exe：註冊為系統服務（Win9x 寫入啟動項），開機自動運行，啟動 DLL 後自我退出。
• G_Server.dll：實現後門通訊，與控制端交換指令。
• G_Server_Hook.dll：透過 API Hook 隱藏檔案、進程、服務與註冊表項，使木馬在正常模式下完全不可見。

手動檢測灰鴿子服務端

由於 Hook 機制導致正常模式下無法看見木馬檔案與服務，檢測必須在安全模式下進行。進入方式：開機時連按 F8 或按住 Ctrl，選擇「安全模式」。

步驟 1：顯示所有隱藏檔案

開啟「我的電腦」→「工具」→「資料夾選項」→「檢視」，取消勾選「隱藏受保護的作業系統檔案」，並選擇「顯示所有檔案和資料夾」。

步驟 2：搜尋特徵檔案

在 Windows 安裝目錄（不含子目錄）搜尋 *_hook.dll。灰鴿子無論如何改名，幾乎都會產生一個以 _hook.dll 結尾的檔案（如 Game_Hook.dll）。

步驟 3：確認關聯檔案

同目錄下若同時存在同前綴的 .exe、.dll，以及可能的 Key.dll（如 Game.exe、Game.dll、GameKey.dll），即可確認為灰鴿子服務端。

手動清除灰鴿子

清除同樣需在安全模式下操作，分兩階段：刪除服務、刪除檔案。操作前請備份重要資料。

一、清除服務註冊

Windows 2000 / XP

1. 執行 regedit 開啟註冊表編輯器。
2. 定位至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services。
3. 使用「編輯」→「尋找」，輸入服務端主檔名（如 game.exe），找到對應服務項（如 Game_Server）。
4. 刪除整個服務項鍵值。

Windows 98 / Me

1. 開啟註冊表編輯器，展開 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run。
2. 找到以木馬主檔名命名的啟動項（如 Game.exe），直接刪除。

二、刪除木馬程式檔案

在安全模式下，於 Windows 目錄中刪除所有關聯檔案（如 Game.exe、Game.dll、Game_Hook.dll、GameKey.dll），完成後重新開機即可徹底清除。

提醒：現代殺毒軟體已能自動查殺灰鴿子及其變種，建議優先使用正規安全軟體全盤掃描，手動清除僅供緊急或學習參考。