Windows XP 安全防護：手動與工具移除 Sasser (震盪波) 蠕蟲完整指南

威脅概況：Sasser 蠕蟲特性

• 攻擊向量：利用 LSASS (本地安全性授權子系統服務) 緩衝區溢位漏洞 (MS04-011)
• 影響版本：Windows 2000、Windows XP (所有 32 位版本)；XP 64 位版免疫
• 行為特徵：掃描 TCP 445/5554/9996 連接埠傳播、導致系統不斷重啟 (關機倒數 60 秒)、變種已達 F 代以上
• 變種衍生：Dabber 蠕蟲透過 Sasser 後門入侵、建立隱藏伺服器

緊急止血：阻止系統不斷重啟，爭取修補時間

感染後系統每 60 秒強制重啟，無法下載修補程式。兩種暫停重啟方法：

方法 A：shutdown -i 圖形介面 (適用所有版本)

1. 斷開網路連線
2. 重新開機
3. 開機後**盡快**：「開始」→「執行」→ 輸入 cmd
4. 命令提示字元輸入 shutdown -i → Enter
5. 彈出「遠端關機」對話框 → 「新增」 → 輸入**本機電腦名稱** (控制台 → 系統可查)
6. 將「顯示警告時間」從 20 秒改為 9999 秒 → 確定
7. 系統將不再強制重啟，獲得數小時修補時間

方法 B：shutdown -a 命令列 (僅限 XP)

shutdown.exe -a

在命令提示字元執行即可中止當前關機序列，速度更快。

核心移除流程：四步驟徹底清除

1. 終結惡意程序

開啟工作管理員 (Ctrl+Shift+Esc)，尋找並結束下列程序：

• avserve.exe、avserve2.exe、skynetave.exe
• 命名模式：XXXXX_up.exe (如 12345_up.exe)
• 變種 E：SkynetNotice / lsasss.exe (登錄表顯示為 avserve)
• 變種 F：billgate / napatch.exe

2. 關閉系統還原 (防止備份受感染檔案)

控制台 → 系統 → 系統還原分頁 → 勾選「在所有磁碟機上關閉系統還原」→ 套用。清除完成後可重新開啟。

3. 刪除病毒檔案

依防毒軟體掃描結果，手動刪除所有被判定為 Sasser 相關的檔案 (通常位於 %Windir%\ 或 %SystemRoot%\)。

4. 清理登錄表啟動項

執行 regedit，刪除下列機碼的值：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

• 標準版：avserve2.exe = %Windir%\avserve2.exe
• 變種 E：avserve = %Windir%\lsasss.exe
• 變種 F：napatch.exe = %Windir%\napatch.exe

自動化移除工具 (強烈建議優先使用)

各大防毒廠商提供免費專殺工具，可一次完成：停止重啟、終結程序、刪除檔案、清理登錄表：

• Microsoft 安全性掃描器 / MSRT (含於 Windows Update)
• Symantec (Norton) Sasser Removal Tool
• F-Secure Sasser Removal Tool
• Trend Micro、Panda 等廠商專殺工具

注意：若系統因感染嚴重導致無法執行工具，仍需先手動執行上述「緊急止血」與「終結程序」步驟。

防止再次感染：永久免疫的三大鐵律

1. 安裝 MS04-011 修補程式 (KB835732)：唯一根治漏洞的方法。已知相容性問題：Win2K 可能關機異常、Oracle 衝突、XP 無法檢視特定 AI 圖檔，但安全性優先
2. 防火牆封鎖關鍵連接埠：TCP 445、5554、9996 (變種 E 另增 1022/1023)。XP SP2 防火牆預設即封鎖，舊版系統需手動設定或使用第三方防火牆
3. 啟用自動更新：確保後續所有安全性更新自動套用

變種差異快速查核表

結語

Sasser 雖屬經典蠕蟲，其利用的 LSASS 漏洞在未修補系統上仍具威脅。「修補漏洞 + 防火牆封鎖連接埠 + 自動更新」 三位一體才是永久解方。企業環境建議透過 SUS/WSUS 集中部署 MS04-011，並以群組原則強制啟用防火牆封鎖上述連接埠，從根源杜絕傳播管道。