Worm.Win32.Sasser.D

該病毒只感染Windows XP系統及某些Win2000系統，某些Win2000系統會受到攻擊，但從源感染主機下載下來的病毒程式在這些系統下無法正常運行，會彈出一個出錯視窗(附屬檔案20040504_Worm.Win32.Sasser.D.jpg)，所以這些機器不會再成為新的感染源。

基本介紹

• 中文名：震盪波
• 外文名：Worm.Win32.Sasser.D
• 處理時間：2004-05-04
• 病毒類型：蠕蟲

基本信息

病毒別名：W32.Sasser.D.Worm [Symantec]

處理時間：2004-05-04

威脅級別：★

中文名稱：震盪波

病毒類型：蠕蟲

影響系統：Win2000/WinXP

編寫工具:Microsoft Visual C++ 6.0

傳染條件

該自運行的蠕蟲通過使用Windows的一個漏洞來傳播[MS04-011 vulnerability (CAN-2003-0907)]，關於該漏洞的更多信息請訪問：

系統修改

A、將自身複製到%SystemRoot%skynetave.exe (通常為C:WinNT或C:Windows)

B、在註冊表主鍵：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

下添加如下鍵值:

"skynetave.exe" = %SystemRoot%skynetave.exe

C、拷貝其本身至系統目錄：%System%<4或5位隨機數字>_up.exe (通常為WinNTSystem32或WindowsSystem32)

D、在C糟根目錄下建立檔案win2.log，記錄最近試圖攻擊的IP及攻擊成功的主機的數目

發作現象:

A、它開啟TCP連線埠5554來建立一個FTP伺服器，用來當作感染其他機器的伺服器。

B、開啟128執行緒掃描隨機IP，跳過如下保留IP：

127.0.0.1

10.x.x.x

172.x.x - 172.31.x.x (保留IP)

192.168.x.x

169.254.x.x

在確定目標可達後會試圖連線目標的的TCP 445連線埠.

C、如果連線成功，則被感染計算機向被連線機器發動溢出攻擊，溢出成功則會在被連線機器上打開一個shell，並打開9995連線埠。然後，被攻擊的計算機將會自動連線被感染計算機的5554連線埠並通過FTP下載蠕蟲的副本，名稱一般為4到5個數字加上"_up"的組合，如(78456_up.exe).

特別說明

和最近出現的大部分蠕蟲病毒不同，該病毒並不通過郵件傳播，而是windows漏洞攻擊目標機器，通過命令易受感染的機器下載特定檔案並運行，來達到感染的目的。

這次的變種又將掃描的執行緒數改為128個，並且在連線目標機器之前，會先傳送一個ICMP數據包測試目標機器是否可達。所以比C變種傳播效率更高。但這將導致它在某些版本的win2000系統上無法運行。