W32.Sasser.Worm是一種病毒，感染長度： 15,872 bytes。
基本介紹
- 外文名：W32.Sasser.Worm
- 發現：2004 年 4 月 30 日
- 更新：2007 年 2 月 13 日 12:24:56 PM
- 類型： Worm
概要,防護,威脅評估,廣度,損壞,分發,防毒工具,手動防毒,
概要
別名： W32/Sasser.worm.a [McAfee], WORM_SASSER.A [Trend], Worm.Win32.Sasser.a [Kaspersky, W32/Sasser-A [Sophos], Win32.Sasser.A [Computer Assoc, Sasser [F-Secure], W32/Sasser.A.worm [Panda]
感染長度： 15,872 bytes
受感染的系統： Windows 2000, Windows XP
CVE 參考： CAN-2003-0533
W32.Sasser.Worm 是一個會嘗試探測 MS04-011漏洞的蠕蟲(如 Microsoft 安全公告 MS04-011檔案中介紹)。 它會藉由掃描隨機選取的 IP 地址，進而散布至未防護的系統上。
注意：
* 版本 30/04/04 rev 70 (20040430.070) 的快速發布定義可以偵測到此威脅。
* 它具有一個 MD5 散列值 0xA73C16CCD0B9C4F20BC7842EDD90FC20。
* Symantec 安全回響中心已開發出可清除 W32.Sasser.Worm 感染的防毒工具。
W32.Sasser.Worm 可在 Windows 95/98/Me 的計算機上執行 (但無法加以感染)。雖然這些作業系統不會受到感染，但它們仍會被用來連線至未防護的系統並加以感染。在這種情況下，該蠕蟲將浪費大量資源，因而使程式無法正確執行,包括我們的防毒工具。(在 Windows 95/98/Me 的計算機漫上,防毒工具應該在「安全模式」下執行。)
防護
* 病毒定義（每周 LiveUpdate™） 2004 年 5 月 1 日
* 病毒定義（智慧型更新程式） 2004 年 5 月 1 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： 50 - 999
* 站點數量： More than 10
* 地理位置分布： High
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Low
* 降低性能： Causes significant performance degradation.
分發
* 分發級別： Medium
* 連線埠： TCP 445, 5554, 9996
* 感染目標： Unpatched systems vulnerable to LSASS exploit - MS04-011.
W32.Sasser.Worm 運行時會執行下列操作：
2. 將自己複製為 %Windir%\avserve.exe。
注意: %Windir% 是一個變數。該蠕蟲會找到 Windows 安裝資料夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。
3. 增下列值：
加入註冊表鍵:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
因此,當您啟動 Windows 時,蠕蟲就會執行。
4. 使用 AbortSystemShutdown API 來妨礙試圖關閉或重新啟動計算機的動作。
6. 重複於被控端 IP 地址,尋找不含以下列舉的其它地址：
* 127.0.0.1
* 10.x.x.x
* 172.16.x.x - 172.31.x.x (inclusive)
* 192.168.x.x
* 169.254.x.x
7. 由蠕蟲產生之 IP 地址,其散布方式如下：
* 52% 完全是隨機的
* 23% 八位位元組的最後3個數字為隨機數目
* 25% 八位位元組的最後2個數字為隨機數目
注意:
* 因為此蠕蟲會建立隨機 IP 地址，任何 IP 地址範圍都有可能被感染。
* 蠕蟲會啟動 128 個執行緒以掃描隨機選取的 IP 地址。這樣將會占用大量 CPU 時間，因而導致受感染的計算機幾乎無法使用。
8. 試圖通過 TCP 埠 445 連線至隨機產生的 IP 地址，以檢測遠程計算機是否在線上中。
9. 如果成功與計算機建立在線上，該蠕蟲便會傳送 shellcode 至該計算機上，使其在 TCP 埠 9996 上執行遠程的 Shell。
10. 然後，蠕蟲會使用該 Shell 使計算機通過連線埠5554 連線至 FTP 伺服器並擷取蠕蟲的副本。這個副本的名稱包含 4 或 5 位數，然後接著 _up.exe (例如 74354_up.exe)。
11. 在蠕蟲嘗試探測 LSASS 漏洞後，會導致 Lsass.exe 程式當機。Windows 將會在顯示警訊後關機一分鐘。
12. 在感染和其它受感染的計算機 IP 地址上的 C:\win.log 創建一個檔案。
防毒工具
Symantec Gateway Security 5400 系列以及 Symantec Gateway Security v1.0
*防病毒組件： Symantec Gateway Security AntiVirus 引擎的更新程式已可供下載，能防護 W32.Sasser.Worm 的威脅。建議 Symantec Gateway Security 5000 系列的用戶運行 LiveUpdate。
* IDS/IPS 組件：Symantec Gateway Security 5400 系列可偵測針對 Microsoft LSASS 漏洞攻擊的攻擊特徵已包含在 4 月 14 日發行的 SU 8 中。在 SGS v1.0 上偵測針對 Microsoft LSASS 漏洞攻擊的攻擊特徵已經發行。建議 Symantec Gateway Security 5000 系列的用戶執行 LiveUpdate。
* 全面的應用程式檢查防火牆組件：默認情況下，Symantec 的全面應用程式檢查防火牆技術通過阻止 W32.Sasser.Worm 的入侵，並禁止攻擊者訪問 TCP/445 和受感染系統的後門通信連線埠 (TCP/5554、TCP/9996)。建議系統管理員驗證安全策略不允許通信連線埠的入站通信通過。
Symantec Enterprise Firewall 8.0
Symantec Enterprise FIrewall 7.0.x 和 Symantec VelociRaptor 1.5
Symantec Clientless VPN Gateway 4400 系列
Symantec Gateway Security 300 系列
建議系統管理員驗證安全策略不允許TCP/445、TCP/5554、TCP/9996 通信連線埠的入站通信通過。請使用 SGS 300系列的 AVpe 功能，以確保所有AntiVirus 客戶端有最新病毒定義。
Symantec Firewall/VPN 100/200 系列
Symantec Client Security
Symantec 已發行 Symantec Client Security 1.x 及 2.0 的修補程式，可利用感染嘗試中出現的 MS_Windows_LSASS_RPC_DS_Request 攻擊特徵，識別出 LSASS 探測。如果 Sasser蠕蟲應用程式已存在系統上，則使用默認防火牆策略的所有 Symantec Client Security 版本都會在它試圖啟動 FTP 伺服器並傳播出站數據連線埠時，提示用戶“允許/禁止/配置規則”。能防護蠕蟲的病毒定義檔案可於 2004 年 5 月 1 日透過 LiveUpdate 或 Intelligent Updater 獲得。
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
使用 W32.Sasser 防毒工具防毒
Symantec 安全回響中心開發了一種防毒工具，可用來清除 W32.Sasser.Worm 感染。這是消除此威脅最簡易的方法，請先使用此方法防毒。
手動防毒
1. 結束惡意程式 ( Windows NT/2000/XP)。
2. 關閉「系統還原」(Windows XP)。
3. 更新病毒定義檔案。
4. 執行完整的系統掃描，並修復所有偵測到的 W32.Sasser.Worm檔案。
5. 還原對註冊表所做的更改。
如需關於這些步驟的詳細信息，請閱讀下列指示。
1. 結束惡意程式
注意 : Windows NT/2000/XP 的用戶必須先結束惡意程式。
1. 單擊 “Ctrl+Alt+Delete” 。
2. 單擊"任務管理器" 。
3. 單擊 “進程” 選項卡。
4. 雙擊 “映像名稱” 列標題，按字母順序對進行排序。
5. 滾動列表並查找以下程式:
* avserve.exe
* 任何程式的名稱包含 4 或 5 位數，後接著 _up.exe (例如 74354_up.exe)。
6. 如果您找到任何類似的程式，請單擊它並單擊"結束進程"。
7. 結束"任務管理器"。
2. 禁用系統還原（Windows XP）
如果您運行的是 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。
有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或文章：如何禁用或啟用 Windows XP 系統還原。
注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。
3. 更新病毒定義
賽門鐵克安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從賽門鐵克安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。
提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。
4. 掃描和刪除受感染檔案
1. 啟動 Symantec防病毒程式，並確保已將其配置為掃描所有檔案。
* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
* 賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果檢測到任何檔案被 W32.Sasser.Worm 感染，請單擊“刪除”。
5. 還原對註冊表所做的更改
注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。
1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）
2. 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）
3. 導航至以下鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，刪除值：
"avserve.exe"="%Windir%\avserve.exe"
5. 退出註冊表編輯器。
