特洛伊木马也叫“Trojan”，其名称取自希腊神话的特洛伊木马记，它是一种基于远程控制的黑客工具。它通过在你的电脑系统隐藏一个会在Windows启动时悄悄运行的程序，采用服务器/客户机的运行方式，从而达到在你上网时监视和控制你的电脑的目的。黑客可以利用它窃取你的口令、浏览你的驱动器、修改你的数据文件和注册表甚至控制鼠标、键盘直至格式化硬盘等等。
查杀特洛伊木马最大的困扰是，木马常常具有很强的隐蔽性。木马的设计者为了防止木马被发现，会采用多种手段隐藏木马。因此有时你发现感染了木马程序，但由于不能确定其具体位置，也往往只能望“马”兴叹。对付特洛伊木马程序，我们可以采用LockDown等线上黑客监视程序加以防范，还可以配合使用Cleaner、Sudo99等工具软件。这里主要你介绍一些常见木马病毒的手动检查与清除方案。
键盘幽灵KeyboardGhost
这是一个有名的木马程序，许多用户的计算机都曾经感染过它。键盘幽灵客户端运行后在系统根目录下生成一文件名为KG.DAT的隐含文件，能记录下你从键盘上输入的各类帐号与密码（显示在屏幕上的是星号）。
清除方案：
1、在注册表中将HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows \Current Version\Run子键下的KG.EXE键值删除；
2、再将分别删除Windows\System目录下的文件KG.EXE和C:盘根目录的KG.DAT文件。
Netspy（网络精灵）
国产木马Netspy又名网络精灵，默认连接端口为7306。具备注册表编辑功能和浏览器监控功能，客户端通过IE或Navigate就可以进行远程监控！
清除方案：
进入注册表中的HKEY_LOCAL_MACHINE\Software\microsoft\
windows\CurrentVersion\Run\，删除Netspy项及其键值，然后重新启动计算机即可。
广外女生
广外女生是广东外语外贸大学“广外女生”网络小组编写的一种新出现的远程监控工具，能远程上传、下载、删除文件、修改注册表等，破坏性很大。服务端程序体积小，而且占用系统资源少，隐蔽性好。木马程序运行后，会自动终止“金山毒霸”、“防火墙”、“iparmor”、“tcmonitor”、“实时监控”、“lockdown”、“kill”、“天网”等防火墙，使基完全失去作用，并能在系统的SYSTEM目录下生成一份自己的拷贝（文件名DIAGCFG.EXE），并关联.EXE文件的打开方式。
清除方案：
1、启动到纯DOS模式下，删除System目录下的DIAGFG.EXE文件；
2、由于DIAGCFG.EXE文件已经被删除了，因此在Windows环境下任何.exe文件都将无法运行。我们找到Windows目录中的注册表编辑器“Regedit.exe”，将它改名为“”；
3、回
到Windows模式下，运行Windows目录下的程序（就是刚才改名的文件）；
4、找到HKEY_CLASSES_ROOT\exefile\shell\open\command，将其默认键值改成"%1" %*；
5、到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\ CurrentVersion\ RunServices，删除其中名称为“Diagnostic Configuration”的键值；
6、在Windows目录下将“”改回“Regedit.exe”，然后重启计算机即可。
木马蓝色火焰
这是一款没有客户端的木马，你的电脑中几乎任何和网络相关的程序如IE、Netscape、Opera、Flashget、Telnet、sterm、cterm、Ftp、Cuteftp等等，都可以用来控制它，并且可以在Unix、linux等系统下跨平台来操控。默认连接端口为19191（如果是微型版蓝色火焰端口为9191）。
清除方案：
1、在注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run下，删除串值Network Services及其键值C:\WINDOWS\SYSTEM\tasksvc.exe；
2、在注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command和HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\
command下，将C:\WINDOWS\SYSTEM\sysexpl.exe %1更改为NOTEPAD.exe %1
3、在C:\WINDOWS\SYSTEM下删除tasksvc.exe、sysexpl.exe、bfhook.dll文件即可。
网络神偷（Nethief）
网络神偷又名Nethief，是第一个反弹端口型木马！它会利用普通防火墙对于由外部发起的的连接请示验证严格，而对由本机连出的连接却疏于防范的特点假冒是系统的合法网络请求来获得对外的端口，然后再连接到木马的客户端，监视并远程控制你的计算机。
清除方案：
1、进入注册表的
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run分支下删除串值“internet”及其键值为"internet.exe /s"；
2、删除其自启动程序C:\WINDOWS\SYSTEM\INTERNET.EXE，然后重新启动计算机。
聪明基因
聪明基因默认连接端口7511。聪明基因的服务端文件genueserver.ex运行后会生成三个文件，分别是：C:\WINDOWS\MBBManager.exe和Explore32.exe以及C:\WINDOWS\system\editor.exe，这三个文件用的都是HTM文件图标。如果不小心运行了服务端文件genueserver.exe，它会装模作样的启动IE，并且还在运行之后生成GENUESERVER.htm文件，彻底迷惑你！聪明基因最大的危害是具有永久隐藏远程主机驱动器的功能。聪明基因是文件关联木马，Explore32.exe用来和HLP文件关联，MBBManager.exe用来在启动时加载运行，editor.exe用来和TXT文件关联。如果你发现并删除了MBBManager.exe，并不会真正清除了它。一旦你打开HLP文件或文本文件，Explore32.exe和editor.exe就被激活，并再次生成守护进程MBBManager.exe！
清除方法：
1.删除文件。删除C:\WINDOWS下的MBBManager.exe和Explore32.exe，再删除C:\
WINDOWS\system下的editor.exe文件。如果服务端已经运行，那么就得用进程管理软件终止MBBManager.exe这个进程，然后在windows下将它删除。也可到纯DOS下删除MBBManager.exe，editor.exe在windows下可直接删除。
2. 在注册表的
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run分支下，删除串值“MainBroad BackManager”及其键值C:\WINDOWS\MBBManager.exe；
3.恢复TXT文件关联。将注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由C:\WINDOWS\system\editor.exe %1更改为C:\WINDOWS\NOTEPAD.EXE %1，将注册表的HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下的默认键值由C:\WINDOWS\system\editor.exe %1改为C:\WINDOWS\NOTEPAD.EXE %1。
4.恢复HLP文件关联。将注册表HKEY_CLASSES_ROOT\hlpfile\shell\open\command下的默认键值由C:\WINDOWS\WINHLP32.EXE %1改为C:\WINDOWS\explore32.exe %1，同理，将注册表HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\command下的默认键值由C:\WINDOWS\explore32.exe %1改为C:\WINDOWS\WINHLP32.EXE %1。
WAY2.4（火凤凰、无赖小子）
WAY2.4又称火凤凰、无赖小子，是国产木马程序，默认连接端口是8011，具备强大的强大的注册表操控功能，危害很大。WAY2.4服务端被运行后在C:\windows\system下生成msgsvc.exe文件，图标是文本文件的图标，很隐蔽，冒充系统文件msgsvc32.exe。
清除方法：
删除注册表中HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run分支下的串值Msgtask及其键值C:\WINDOWS\SYSTEM\msgsvc.exe，然后再在C:\windows\system下删除msgsvc.exe就可以了。要注意在Windows下直接删除msgsvc.exe是删不掉的，你可以用进程管理工具终止它的进程或者到Dos下，再删除它。如果服务端已经和可执行文件捆绑在一起了，那就只有将那个可执行文件也删除了！
木马Funny Flash
Funny Flash的外形为FLASH图标，很容易使人以为它是个FLASH文件而运行。
清除方案：
1、到注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices下，删除串值“723”及其键值“c:\`.exe”；
2、分别到C盘根目录、C:\WINDOWS和C:\WINDOWS\SYSTEM文件夹下找到并删除“`.exe”文件，再到C:\WINDOWS\TEMP下删除木马文件“FunnyFlash.exe”即可清除。
冰 河
冰河可以说是最有名的木马了。虽然许多杀毒软件可以查杀它，但冰河还是创造了最多人使用、最多人中弹的奇迹！标准版冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。一旦运行G-server，那么该程序就会在C:\Windows\system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加载运行，sysexplr.exe和TXT文件关联。即使你
删除了Kernel32.exe，但只要你打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又回来了！这就是冰河屡删不止的原因。
清除方法：
1、删除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件；
2、 冰河会在注册表的
HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Run
分支下扎根，键值为C:\windows\system\Kernel32.exe，删除它。
3、 在注册表的HKEY_LOCAL_MACHINE\software\microsoft\
windows\ CurrentVersion\Runservices分支下，还有键值为C:\windows\system\Kernel32.exe的，也要删除。
4、最后，恢复注册表中的TXT文件关联功能。只要将注册表的HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认值，由中木马后的C:\windows\system\Sysexplr.exe %1改为正常情况下的C:\windows\notepad.exe %1，即可。
黑洞2001
黑洞2001是国产木马程序，默认连接端口2001。黑洞控制端可以随意终止被控端的某个进程，包括天网之类的防火墙。 黑洞2001服务端被执行后，会在c:\windows\system下生成两个文件，一个是S_Server.exe，是服务端的直接复制，虽然是个可执行文件但用的是文件夹的图标；另一个是windows.exe，用的是未定义类型的图标。黑洞2001是典型的文件关联木马， S_Server.exe文件和TXT文件打开方式连起来(即关联)！所以你发现自己中了木马而在DOS下把windows.exe文件删除后，只要当任何文本文件被运行时，隐蔽的S_Server.exe木马文件就又被击活了，再次生成windows.exe文件将木马中入！
清除方法：
1、将HKEY_CLASSES_ROOT\txtfile\shell\open\command下默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1；
2、将HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\
open\command下的默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1 ；
3、将HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServices\下的串值windows删除；
4、 HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\
Software\CLASSES下的Winvxd主键删除；
5、到C:\WINDOWS\SYSTEM下，删除windows.exe和S_Server.exe这两个木马文件。注意：windows.exe这个文件只能在DOS方式下才能将它删除，或者用进程管理软件终止windows.exe进程，然后再将它删除。
SubSeven
SubSeven默认连接端口27374，服务端只有54.5k，很容易被捆绑到其它软件而不被发现！服务器端程序为server.exe，客户端程序subseven.exe，木马被执行后，变化多端，每次启动的进程名都会发生变化，因此一般杀毒软件难以查到它。
清除方法：
1、在注册表RegeditHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和RunService下，如果有加载文件，就删除右边的项目：加载器="c:\windows\system\***"（注：加载器和文件
名是随意改变的）；
2、打开win.ini文件，如果“run=”后有可执行文件名则删除之；
3、打开system.ini文件，如果“shell=explorer.exe”后跟有某个文件就将它删除；
4、重新启动Windows，在c:\windows\system下删除相对应的木马程序。
网络公牛（Netbull）
网络公牛，又名Netbull，是国产木马，默认连接端口23444，很隐蔽且危害很大。服务端程序newserver.exe运行后，会自动脱壳成checkdll.exe，位于C:\WINDOWS\SYSTEM下，下次开机将自动运行。服务端运行后会自动捆绑Windows中的notepad.exe、write.exe，regedit.exe、reged32.exe 、winmine.exe、winhelp.exe等文件，或者捆绑在开机时自动运行的第三方软件如:realplay.exe、QQ、ICQ等上。
清除方案：
1、清除C:\WINDOWS\SYSTEM\下的网络公牛的自启动程序CheckDll.exe；
2、在注册表中分别进入
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\RunServices
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run
子键分支下删除串值CheckDll.exe及其键值"C:\WINDOWS\SYSTEM\CheckDll.exe"；
3、检查上面列出的文件，如果发现文件长度发生变化（通过与其它机子上的正常文件比较而知），就删除它们！然后点击“开始－>附件－>系统工具－>系统信息－>工具－>系统文件检查器”，在弹出的对话框中选中“从安装软盘提取一个文件(E)”，在框中填入要提取的文件(前面你删除的文件)，点“确定”按钮，然后按屏幕提示将这些文件恢复即可。如果是开机时自动运行的第三方软件如:realplay.exe、QQ、ICQ等被捆绑上了，那就得把这些文件删除，再重新安装。
木马BrainSpy
BrainSpy的清除方法为：
1、在注册表的HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run分支下，删除字符串值***="C:\WINDOWS\system\BRAINSPY.exe"，其中“***”是随意改变，但其键值“C:\WINDOWS\system\BRAINSPY.exe”不变，
2、到C:\WINDOWS\system文件夹下删除BRAINSPY.exe文件即可，不过要先用进程管理软件终止“BRAINSPY.exe”这个进程或重新启动电脑到纯DOS下才能将其删除。
木马QEyes潜伏者
QEyes潜伏者是个QQ密码窃取木马。
清除方案：
1、运行msconfig，找到Win.ini标签，删除“[windows]”字段下的“run=”下的字符串“c:\windows\thereadmsg.exe”；
2、在注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run下，分别删除字符串值netservice及其键值c:\windows\nesmsg.exe、字符串值system及其键值c:\windows\system\kerne132.exe、字符串值boot及键值c:\windows\system\kerne116.exe。
3、在Windows安装目
录下删除nesmsg.exe、thereadmsg.exe、wininet.ini、raddr.txt和addr.txt文件，并Windows\system文件夹下删除kerne116.exe、kerne132.exe文件，在C盘根目录下删除process.dll文件即可。
QQ密码侦探特别版
这也是一款QQ密码窃取工具，文件名为QQSPYSP.EXE。
清除方案：
重启电脑到DOS状态下，删除C:\WINDOWS\SYSTEM文件夹下的Internat.exe文件，再将该文件夹下的smaxinte.exe文件重命名Internat.exe，最后删除Windows文件夹下的Internat.exe和uttnskf.ini文件，重新启动电脑即可。
木马IEthief
IEthief的的外形与浏览器IE的图标相似，区别在于IEthief图标右端的“e”字开口处添加了一排“牙齿”。
清除方案：
1、启动计算机至DOS下，删除C:\WINDOWS\SYSTEM文件夹下的木马文件和相关的信息记录文件：IEthief.exe、firstrunIE.dat、Iecfg；
2、在注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run分支下，删除串值“ierun”及其键值“C:\WINDOWS\SYSTEM\IEthief.exe”即可。
木马ShareQQ
这是一款QQ密码窃取软件。清除方法如下：
1、删除文件。
用进程管理软件终止spolsv.exe这个进程(或到纯DOS下)，到windows\system文件夹下将spolsv.exe、debug.dll、MSIME5f594f58.dll三个文件删除，再到Windows目录下删除winin.exe文件。
2、到注册表HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\Current Version\Run下，删除“netconfig”字符串，并到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce下，删除“winin”字符串即可。
木马BO
这是一个文件图标为全透明的典型木马程序，它采用了一种与计算机无关的方法来隐藏自身，并将自己复制入硬盘后重命名为“空格.EXE”。由于Windows资源管理器默认不显示文件扩展名，所以只有在DOS方式下用Dir命令才可以查看到它。
清除方案：
1、进入注册表的HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\Current Version\Run子键下，如果其默认键值项的值为“.EXE”，说明已经感染了BO木马，你只要删除该键；
2、删除%SystemRoot%\systmem文件夹下的.exe和windll.dll，然后重新启动计算机。
超级黑客BO2000
BO 2000(Back Orifice)是功能最全的TCP/IP构架的木马工具。它除了具有NetSpy 2.0的全部功能外，还支持修改客户端的电脑的注册表、支持多媒体操作。黑客成了超级用户，你在电脑的所有操作，都可由BO 2000自带的“秘密摄像机”录制成“录像带”。非DOS的一切窗口中的键盘按键操作都会被分门别类地记录下来。
清除方案：
在注册表中，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunService或Run中的BOGUI.EXE和BOClient键值
，重新启动计算机即可