時刻監控 Windows 啟動資料夾與註冊表：木馬病毒最愛的五大自啟動據點

Windows 自啟動機制是病毒木馬駐留重灌不死的關鍵。本文梳理五大核心自啟動據點，教你如何檢查與清理。

1. 「啟動」資料夾（最直觀）

• 路徑：C:\Documents and Settings\用戶名\「開始」選單\程式集\啟動
• 註冊表：HKCU\Software\Microsoft\Windows\CurrentVersion\Run

2. Msconfig 系統設定公用程式

• System.ini：shell=explorer.exe 後若掛載其他程式即為異常。
• Win.ini：load=、run= 可掛載程式。
• 「啟動」標籤： 幾乎所有可見自啟動項目彙總地，可逐項檢查路徑、參數、註冊表位置，勾選「停用」禁止載入。

3. 註冊表核心啟動鍵值（木馬最愛）

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run（機器層級）
• HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
• HKCU\Software\Microsoft\Windows\CurrentVersion\Run（用戶層級）
• 建議使用註冊表監視工具即時偵測變更，安裝新軟體後必查。

4. Wininit.ini / Wininit.hak（隱蔽）

Windows 安裝程式用於安裝後刪除暫存檔，木馬可利用它刪除被感染的原始檔案達到隱藏目的。位於 C:\Windows\，以記事本開啟檢查可疑刪除指令。

5. DOS 時代遺產：Config.sys、Autoexec.bat、*.bat

雖屬舊制，但特定編程仍可實現載入程式，不容忽視。

防護原則： 定期備份註冊表、安裝軟體前建立還原點、使用啟動項管理工具（如 Autoruns）定期巡檢、異常立即隔離處理。