特洛伊木马程序防范方法与技巧

特洛伊木马程序，作为黑客圈中经久不衰的经典手段，其运作原理并不复杂：它会在你的电脑中悄然植入一个隐藏程序，随Windows系统启动自动加载，并通过客户端/服务器模式，让攻击者在你联网时实现远程操控。窃取密码、浏览文件、篡改注册表，甚至将你的电脑沦为“肉鸡”参与攻击，都是这类木马的常见行为。

为抵御这些潜伏的威胁，市面上已有不少成熟的防护工具，例如LockDown等实时监控软件，以及Cleaner、Sudo99这类专门针对木马查杀的安全清理工具。当然，若你手头暂时没有这些工具，或者希望亲自深入排查，下述手工检测与清除方法同样值得尝试。

手工检测与清除指南

1. Back Orifice（BO）

检查注册表路径：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices，确认是否存在名为“.exe”的键值。若发现，直接删除该键值。随后进入MS-DOS命令行，将Windows\System目录下的“.exe”文件一并移除。

2. Back Orifice 2000（BO2000）

同样在上述注册表路径中，查找是否包含“Umgr32.exe”这个键值。若存在，删除之，重启电脑，再从Windows\System目录中清除Umgr32.exe文件。

3. Netspy

检查注册表路径：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run，留意是否有“Spynotify.exe”或“Netspy.exe”等可疑键值。如有，删除后重启系统，并将Windows\System下对应的文件删除。

4. Happy99

这款木马颇具迷惑性——首次运行时，屏幕上会弹出“Happy new year 1999”的烟花窗口。就在你欣赏动画之际，它已悄然将自身复制到Windows\System目录，改名为Ska.exe，同时创建Ska.dll，并修改了Wsock32.dll（原文件被备份为Wsock32.ska），注册表也被暗中篡改。

检查注册表路径：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce，确认是否存在“Ska.exe”键值。若存在，删除之，接着删除Windows\System下的Ska.exe和Ska.dll，最后将Wsock32.ska重命名为Wsock32.dll，恢复原始文件。

5. Picture

打开Win.ini系统配置文件，找到“load=”这一行。如果该行指向了一个可疑程序，请将该项内容清空。重启电脑后，再将被指向的程序文件彻底删除。

6. Netbus

在命令行下输入netstat -an，检查12345端口是否处于开放状态。同时，查看注册表对应位置是否存在可疑文件。先清除注册表中的Netbus主键，然后重启电脑，删除对应的可执行文件即可。

最后，需要特别强调几个关键安全建议：

• 切勿轻易运行来源不明的软件，尤其是从网络下载的程序。即使通过了常规杀毒软件的扫描，也不要掉以轻心，最好再用Cleaner、Sudo99这类专用工具进行二次扫描。
• 保持警惕：即便是熟人发送的邮件附件也可能携带木马——例如Happy99木马会自动附加在邮件附件中传播。
• 不要在聊天室中公开你的邮箱地址，来历不明的邮件应直接删除，不要打开。
• 不要随意下载软件，尤其是那些不可靠的FTP站点或非官方渠道。
• 重要密码与敏感资料，尽量不要存放在联网的电脑上，避免被远程窃取。