背景

2004 年「五一」首日，「震盪波」(Worm.Sasser) 利用 LSASS 漏洞 (MS04-011) 爆發。微軟 4 月 13 日發布嚴重級公告，瑞星 4 月 29 日發布一級警報。

快速識別六大跡象

1. 系統錯誤對話框： LSA Shell 服務異常 → 1 分鐘後「系統關機」倒計時。
2. 系統日誌記錄： 事件查看器中出現對應錯誤日誌。
3. 系統資源耗盡： CPU 佔用 100%，運行極慢。
4. 內存進程： 任務管理器見 avserve.exe。
5. 病毒文件： 系統目錄 (預設 C:\WINNT) 下出現 avserve.exe。
6. 註冊表自啟： HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 建立 "avserve.exe"="%WINDOWS%\avserve.exe"。

「震盪波」與「衝擊波」四大區別

維度	衝擊波 (Worm.Blaster)	震盪波 (Worm.Sasser)
利用漏洞	RPC DCOM (MS03-026)	LSASS (MS04-011)
產生文件/進程	msblast.exe	avserve.exe
利用端口	69 (TFTP)、135 (RPC)	5554 (FTP 後門)、445 (攻擊傳播)
攻擊目標	所有 RPC 漏洞機器 + 微軟升級站	所有 LSASS 漏洞機器 (暫未攻擊其他站點)

技術分析

• 攻擊遠程 445 端口導致系統文件崩潰、反覆重啟。
• 成功後在 C:\WINDOWS\avserve.exe 生成病毒體。
• 隨機掃描 IP，開 FTP 5554 端口上傳病毒文件。
• 註冊表 Run 項自啟動。
• 導致 LSASS.exe 崩潰，引發重啟與安全認證相關程序錯誤。

防範指南

1. 首要：迅速安裝微軟 MS04-011 補丁。
2. 瑞星用戶：升級最新版 → 開啟個人防火牆 → 設置中/高安全級 → 封堵端口攻擊。
3. 非瑞星用戶：下載瑞星免費專殺工具。
4. 已中毒：立即斷網 → 手工刪除 C:\WINDOWS\avserve.exe → 上網下載補丁與專殺工具 → 升級殺毒軟體。