事件摘要
2005 年 4 月 11 日，江民反病毒中心截獲「高波」病毒新變種 aqc（Backdoor/Agobot.aqc）。該變種不僅具備竊取機密、DoS 攻擊、開啟 SOCKS4 代理等功能，更會釋放「麥濤」蠕蟲變種，雙毒合擊危害倍增。
技術剖析
「高波」aqc（後門程式）
- 利用 MS03-026 (DCOM RPC) 漏洞傳播。
- 在系統目錄與 C 槻建立隱藏唯讀檔案。
- 釋放「麥濤」變種至 C 槻，修改登錄檔實現開機自啟。
- 破壞 DCOM 服務、修改/刪除共享目錄。
- 終止殺毒軟體與防火牆程序。
- 修改
hosts 檔封鎖殺毒廠商網站。
- 開啟 TCP 113 埠，連接指定 IRC 伺服器接收指令：下載執行檔案、發送封包、記錄鍵擊、DoS 攻擊等。
「麥濤」蠕蟲（郵件群發型）
- 利用 MS04-011 漏洞傳播。
- 搜尋通訊錄獲取大量有效郵件位址。
- 內建 SMTP 引擎群發帶毒郵件。
防護對策
- 立即升級 KV2005 至 4 月 11 日病毒庫，開啟「木馬/登錄檔監視」。
- KV2005 新增「木馬一掃光」組件，有效防範隱身後門。
- 下載江民官網「雙波疫苗」程式，預防利用 DCOM RPC 等漏洞傳播的病毒。
- 及時修補 MS03-026、MS04-011 等關鍵漏洞。
結語
「高波」+「麥濤」雙毒聯動，展現病毒作者模組化、組合式攻擊趨勢。單一防毒點已不足，需「修補漏洞+即時監控+行為阻擋+網關掃毒」多層次防禦。