病毒特徵與危害

「假警察」(Worm.Win32.Dabber.a) 利用「震盪波」後門及 MS04-011 漏洞傳播，嘗試清除震盪波、惡鷹、網絡天空等病毒，導致系統異常，佔用大量網路資源癱瘓局域網。感染 Win9X（無害）與 NT/2000/XP（有害）。

核心行為分析

• 自啟動：複製自身為 %SYSTEM%\package.exe、啟動資料夾同名文件，寫入註冊表 HKLM\Software\Microsoft\Windows\CurrentVersion\Run\Sassfix=%SYSTEM%\package.exe，互斥量 "sas4dab"。
• 清除競品：嘗試刪除 Run 鍵值中的 Video Process、TempCom、SkynetRevenge、MapiDrv、BagleAV 等數十項競對病毒啟動項。
• 四線程功能：
  1. 後門：監聽 9898 埠，支援執行文件、下載文件。
  2. TFTP 服務：監聽 69 埠，受害機從此下載病毒體實現傳播。
  3. 空線程：預留功能。
  4. 漏洞攻擊：掃描本地 IP 段，嘗試連接 5554 埠（震盪波後門）失敗則嘗試 9898 埠識別是否已感染，未感染則利用 MS04-011 攻擊並經 TFTP 傳播；若 5554 連接成功則利用震盪波後門傳播。

手工清除步驟

1. 刪除註冊表啟動項：打開 regedit，刪除 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 下 Sassfix=%SYSTEM%\package.exe 鍵值（若存在）。
2. 終止惡意進程：任務管理器查找 package.exe（路徑 %SYSTEM%\package.exe），結束進程。
3. 刪除病毒本體：刪除以下路徑下的 package.exe：
   • %SYSTEM%\system
   • C:\Documents and Settings\All Users\Main menu\Programs\StartUp
   • C:\Documents and Settings\All Users\Start Menu\Programs\Startup

   註：%SYSTEM% 為 9X/ME 下 C:\WINDOWS\SYSTEM，2000/XP 下 C:\WINNT\SYSTEM32。

防範建議

及時安裝 MS04-011 補丁，關閉 5554/9898/69 埠，部署防火牆與防毒軟體實時監控，定期檢查啟動項與服務異常。