震盪波蠕蟲利用 LSASS 服務緩衝區溢位漏洞攻擊 Windows 2000/XP（含 32 位元版），導致系統反覆重開機，嚴重干擾修補作業。雖然作者已被緝捕，但變種持續流傳，未修補系統仍極高風險。

緊急止捷：停止重開機爭取修補時間

1. 立即斷網隔離。
2. 重開機，快速點選【執行】輸入 CMD 開啟命令提示字元。
3. 輸入 shutdown -i 開啟遠端關機對話框，新增本機電腦名稱。
4. 將警告延遲時間從 20 秒改為 9999 秒，暫緩關機序列。
5. 或直接執行 shutdown.exe -a 中止關機（XP 支援）。

關鍵：提前記錄電腦名稱（控制台 → 系統），否則 20 秒內難以完成操作。

自動清除工具（首選）

• Symantec、F-Secure、趨勢科技、Panda 等廠商提供免費專殺工具。
• 微軟線上掃描工具可偵測並清除。
• 工具會自動終止惡意程序、刪除檔案、清理登錄、修復系統設定。

手動清除步驟（輔助/無工具環境）

1. 結束惡意程序：工作管理員結束 avserve.exe、avserve2.exe、skynetave.exe、*_up.exe 等可疑程序。
2. 關閉系統還原：控制台 → 系統 → 系統還原 → 勾選「關閉系統還原」，防止備份受感染狀態。
3. 刪除病毒檔案：依防毒軟體報告刪除所有相關檔案。
4. 清理登錄啟動項：刪除 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 下的 avserve2.exe 等值。
5. 套用修補程式：安裝 MS04-011 (KB835732) 修補 LSASS 漏洞，並開啟防火牆封鎖 TCP 445、5554、9996 埠。

主要變種特徵對照表

變種	程序名稱	檔案名稱	登錄值名稱	額外連接埠
E	SkynetNotice	lsasss.exe	avserve	TCP 1022、1023
F	billgate	napatch.exe	napatch.exe	—

後續威脅：Dabber 蠕蟲

Dabber (package.exe) 利用震盪波建立的後門入侵，清除震盪波後在系統植入自己的後門服務。同樣有專殺工具可用。

根本防護

安裝 MS04-011 修補程式、啟用防火牆封鎖 445/139/135 等高危埠、保持自動更新開啟、部署防毒軟體並定期更新病毒碼。修補漏洞是唯一永久解方。