案例背景：高配新機+WinXP+ADSL，上網<10分鐘必掉線

• 液晶兼容機 P4 1.8/256M/微星845PE
• 裝WinXP體驗良好，後現ADSL Modem指示燈異常常亮無法上網
• 網卡鬆動/機箱風扇震動導致接觸不良 → 固定網卡解決初期問題
• **核心故障**：上網<10分鐘必掉線，必須重啟電腦恢復，循環往複

排查鏈條：硬軟網病四維排除

1. 硬件：網卡固定良好，名牌配件兼容性佳
2. 軟件：XP剛裝、應用少、衝突可能性低
3. 網絡：電信檢查服務器/線路/系統設置均無異常
4. 病毒：用戶僅上固定大站、不下載不收發郵件 → 可能性低但**必須驗證**

關鍵破局：殺毒軟件病毒庫過舊掩蓋真凶

1. 攜帶殺毒軟件上門，全盤掃描**無毒報告**
2. 發現病毒庫是**2002年版本** → 連網趁未斷線前更新病毒庫
3. 再次掃描 → **發現 WORM_NACHI.A**
4. 病毒文件：C:\Windows\System32\wins\DLLHOST.EXE 和 SVCHOST.EXE
5. 任務管理器常見這兩進程名，**實為系統文件被偽裝**
6. 彈出倒計時重啟窗口(1分鐘無法阻止) → 確認為沖擊波類病毒特徵

病毒畫像：打著「清除沖擊波」旗號的破壞者

• 利用RPC漏洞攻擊Win2000/XP
• 生成偽裝系統文件的DLLHOST.EXE/SVCHOST.EXE隨系統啟動
• 連接microsoft.com檢測在線，隨機端口666-765偵聽接收遠程命令
• 掃描終止沖擊波進程、刪除MSBLAST.EXE，**偽裝清理者**
• 下載微軟補丁執行後自動重啟，**實為傳播機制**
• 繼續掃描RPC漏洞機器重複感染 → 導致大量機器連微軟網站造成網絡擁塞、異常

手動查殺五步曲（殺毒軟件無力時必殺技）

1. CMD執行：NET STOP "Network Connections Sharing" + NET STOP WINS Client
2. 註冊表刪除鍵值：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcPatch 和 RpcTftpd
3. 刪除偽裝文件：svchost.exe 和 dllhost.exe（無法刪除用DOS啟動盤）
4. 未打RPC補丁 → https://www.microsoft.com/china/security/Bulletins/MS03-026.asp 下載安裝
5. 升級病毒庫+下載專殺工具 → 徹底查殺

驗收：連續上網3小時零掉線，故障徹底解決

病毒偽裝系統進程、利用補丁機制傳播、癱瘓網絡連接，手動查殺+補丁修復是唯一出路。殺毒軟件**必須保持病毒庫最新**，否則零日變種將神不知鬼不覺地潛伏系統深處。