基本屬性

詳細行為分析

1. 生成文件： a 改名 wgavm.exe，b 改名 wgareg.exe，均複製至 %SYSTEM%。
2. 服務自啟動：
   • a：服務名 wgavm，顯示名「Windows Genuine Advantage Validation Monitor」。
   • b：服務名 wgareg，顯示名「Windows Genuine Advantage Registration Service」。
   • 描述均偽裝為正版驗證服務，威脅停用會導致系統不穩。
3. 註冊表破壞 (降低安全等級)：

   HKLM\SOFTWARE\Microsoft\Security Center
     AntiVirusDisableNotify = 1
     AntiVirusOverride = 1
     FirewallDisableNotify = 1
     FirewallDisableOverride = 1
   
   HKLM\SOFTWARE\Microsoft\Ole
     EnableDCOM = "N"
   
   HKLM\SYSTEM\CurrentControlSet\Control\Lsa
     restrictanonymous = 1
   
   HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess
     Start = 4 (禁用防火牆服務)
   
   HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile/StandardProfile
     EnableFirewall = 0
   
   HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
     AutoShareWks = 0, AutoShareServer = 0

4. IRC C2 連線： 自動連接 ypgw.wallloan.com、bniu.househot.com 接受指令。
5. AIM 傳播： 發送含下載連結訊息給好友列表。
6. MS06-040 漏洞利用： 發送惡意 RPC 封包觸發 Server 服務緩衝區溢出，遠程執行代碼。
   補丁：MS06-040
7. 下載攜帶木馬： 自動下載 Trojan.Proxy.Ranky.awp (等級代理木馬)，在隨機 TCP 端口開後門。

防禦總結

• 補丁優先：MS06-040 為核心傳播向量，打補丁即斷傳播鏈。
• 防火牆封鎖 139/445 及異常出站 IRC 連線。
• 殺毒軟體升級至最新版 (瑞星 18.40.01+、江民、卡巴斯基等均已覆蓋)。
• 審計服務列表，刪除偽裝為「Windows Genuine Advantage」的異常服務。