Windows XP 手動清除特洛伊木馬全流程：八大藏身點排查與通用清除技術

木馬藏身八大熱點區域

1. win.ini / system.ini 启动项

[Windows]
load=C:\Windows\malware.exe
run=C:\Windows\malware.exe

[boot]
shell=explorer.exe malware.exe

正常情況 load= run= 為空，shell=explorer.exe 單獨存在。

2. 註冊表文件關聯劫持

修改 HKEY_CLASSES_ROOT\*\shell\open\command 或 txtfile\shell\open\command 等，將默認程序（如 notepad.exe）替換為木馬路徑。
經典案例：「冰河」木馬將 txtfile\shell\open\command 指向 Sysexplr.exe。

3. 合法程序捆綁（綁定/感染）

控制端使用綁定器將木馬附加到正常程序（如 QQ.exe、Notepad.exe），上傳覆蓋。運行宿主程序即重新釋放木馬。系統文件被綁定則開機自啟。

4. system.ini [386Enh] / [drivers] 等驅動節點

driver=malware.sys

利用驅動加載機制實現內核級持久化。

5. 註冊表 Run/RunOnce 等自啟動鍵值

重點檢查：

HKCU\Software\Microsoft\Windows\CurrentVersion\Run*
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run*

所有以 Run 開頭的鍵值（Run、RunOnce、RunServices、RunOnceEx 等）。

6. autoexec.bat / config.sys / winstart.bat

DOS 兼容層啟動腳本，木馬覆蓋後隨系統早期加載。

7. 計劃任務

at 命令或「計劃任務」界面創建的定時任務，可繞過常規啟動項檢查。

8. 服務

偽裝為合法服務名（如 Windows Update、Print Spooler 類似名），通過 services.msc 或 sc query 排查非標簽服務。

通用清除流程（發現中毒後）

1. 立即斷網（拔網線/禁用網卡），阻斷控制端連接。
2. 編輯 win.ini、system.ini 恢復默認值。
3. 註冊表全局搜索木馬文件名（含路徑），刪除所有鍵值。
   頑固自復制木馬： 記錄路徑 → 重啟進入安全模式/PE/DOS → 物理刪除文件 → 回註冊表清理殘留鍵值。
4. 檢查計劃任務、服務、啟動文件夾、瀏覽器加載項。
5. 全盤掃描（安全模式下），修復系統文件 sfc /scannow。
6. 修改所有賬戶密碼，檢查是否有異常賬戶創建。

預防加固

• 啟用軟件限制策略（SRP）/ AppLocker 僅允許白名單程序運行。
• 部署 HIPS（主機入侵防禦）監控關鍵註冊表/文件/進程變更。
• 定期離線備份系統分區（Ghost/Clonezilla），中毒秒級還原。