瑞星命名 Worm.IRC.WargBot.a/b 為「魔鬼波」，屬 IRCBot 後門蠕蟲新變種，利用 MS06-040 高危漏洞瘋狂傳播。

核心指標

• 生成文件： %system%\wgareg.exe
• 服務持久化： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\swgareg ImagePath 指向上述文件。
• 安全降級註冊表： 關閉防火牆/安全中心通知、禁用 DCOM、啟用 restrictanonymous、關閉管理共享。
• C2 通訊： 連接 ypgw.wallloan.com、bniu.househot.com IRC 頻道接受指令。
• 主動攻擊： 利用 MS06-040 掃描並攻擊局域網/互聯網未修補主機。
• b 變種新增： 注入 explorer.exe 進程隱藏；主體加密對抗靜態分析。

危害後果

• 系統 RPC 服務崩潰 → 無法上網、藍屏重啟。
• 淪為「肉雞」受控於黑客，竊取銀行卡、隱私數據。
• 網絡癱瘓、系統崩潰風險極高。

清除方案 (同魔波)

1. 防火牆封鎖 TCP 139/445。
2. 安裝 MS06-040 官方補丁。
3. 升級殺毒軟體 (瑞星 18.40.01+) 全盤查殺；手工清除因路徑不固定不推薦。

變種加密與進程注入顯示作者技術升級，補丁管理與行為防禦成關鍵。