W32.Sasser.Worm

別名： W32/Sasser.worm.a [McAfee], WORM_SASSER.A [Trend], Worm.Win32.Sasser.a [Kaspersky], W32/Sasser-A [Sophos], Win32.Sasser.A [Computer Assoc], Sasser [F-Secure], W32/Sasser.A.worm [Panda]

感染長度： 15,872 bytes

受感染的系統： Windows 2000, Windows XP

CVE 參考： CAN-2003-0533

W32.Sasser.Worm 是一個會嘗試探測 MS04-011漏洞的蠕蟲(如 Microsoft 安全公告 MS04-011文件中介紹)。 它會藉由掃描隨機選取的 IP 地址，進而散佈至未防護的系統上。

注意：

* 版本 30/04/04 rev 70 (20040430.070) 的快速發佈定義可以偵測到此威脅。

* 它具有一個 MD5 散列值 0xA73C16CCD0B9C4F20BC7842EDD90FC20。

* Symantec 安全響應中心已開發出可清除 W32.Sasser.Worm 感染的殺毒工具。

W32.Sasser.Worm 可在 Windows 95/98/Me 的計算機上執行 (但無法加以感染)。雖然這些操作系統不會受到感染，但它們仍會被用來連接至未防護的系統並加以感染。在這種情況下，該蠕蟲將浪費大量資源，因而使程序無法正確執行,包括我們的殺毒工具。(在 Windows 95/98/Me 的計算機漫上,殺毒工具應該在「安全模式」下執行。)

* 病毒定義（每週 LiveUpdate™） 2004 年 5 月 1 日

* 病毒定義（智能更新程序） 2004 年 5 月 1 日

* 廣度級別： Low

* 感染數量： 50 - 999

* 站點數量： More than 10

* 地理位置分佈： High

* 威脅抑制： Easy

* 清除： Moderate

* 損壞級別： Low

* 降低性能： Causes significant performance degradation.

* 分發級別： Medium

* 端口： TCP 445, 5554, 9996

* 感染目標： Unpatched systems vulnerable to LSASS exploit - MS04-011.

W32.Sasser.Worm 運行時會執行下列操作：

1. 嘗試創建一個名為Jobaka3l 的互斥體並在嘗試失敗時退出。這樣可確保任何時候計算機上都只有一個蠕蟲在執行。

2. 將自己複製為 %Windir%\avserve.exe。

注意: %Windir% 是一個變數。該蠕蟲會找到 Windows 安裝文件夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。

3. 增下列值：

加入註冊表鍵:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

因此,當您啓動 Windows 時,蠕蟲就會執行。

4. 使用 AbortSystemShutdown API 來妨礙試圖關閉或重新啓動計算機的動作。

5. 在 TCP 埠 5554 上啓動 FTP 服務器。該服務器是用來將蠕蟲傳播至其它主機上。

6. 重複於被控端 IP 地址,尋找不含以下列舉的其它地址：

* 127.0.0.1

* 10.x.x.x

* 172.16.x.x - 172.31.x.x (inclusive)

* 192.168.x.x

* 169.254.x.x

7. 由蠕蟲產生之 IP 地址,其散佈方式如下：

* 52% 完全是隨機的

* 23% 八位字節的最後3個數字為隨機數目

* 25% 八位字節的最後2個數字為隨機數目

注意:

*八位字節是 IP 地址的8個位。例如：如果 A.B.C.D. 是一個 IP 地址，那 A 就是第1個八位字節，B 就是第2個，C 就是第3個，D 就是第4個。

* 因為此蠕蟲會建立隨機 IP 地址，任何 IP 地址範圍都有可能被感染。

* 蠕蟲會啓動 128 個執行緒以掃描隨機選取的 IP 地址。這樣將會佔用大量 CPU 時間，因而導致受感染的計算機幾乎無法使用。

8. 試圖通過 TCP 埠 445 連接至隨機產生的 IP 地址，以檢測遠程計算機是否聯機中。

9. 如果成功與計算機建立聯機，該蠕蟲便會發送 shellcode 至該計算機上，使其在 TCP 埠 9996 上執行遠程的 Shell。

10. 然後，蠕蟲會使用該 Shell 使計算機通過端口5554 連接至 FTP 服務器並擷取蠕蟲的副本。這個副本的名稱包含 4 或 5 位數，然後接着 _up.exe (例如 74354_up.exe)。

11. 在蠕蟲嘗試探測 LSASS 漏洞後，會導致 Lsass.exe 程序當機。Windows 將會在顯示警訊後關機一分鐘。

12. 在感染和其它受感染的計算機 IP 地址上的 C:\win.log 創建一個文件。

Symantec Gateway Security 5400 系列以及 Symantec Gateway Security v1.0

*防病毒組件： Symantec Gateway Security AntiVirus 引擎的更新程序已可供下載，能防護 W32.Sasser.Worm 的威脅。建議 Symantec Gateway Security 5000 系列的用户運行 LiveUpdate。

* IDS/IPS 組件：Symantec Gateway Security 5400 系列可偵測針對 Microsoft LSASS 漏洞攻擊的攻擊特徵已包含在 4 月 14 日發行的 SU 8 中。在 SGS v1.0 上偵測針對 Microsoft LSASS 漏洞攻擊的攻擊特徵已經發行。建議 Symantec Gateway Security 5000 系列的用户執行 LiveUpdate。

* 全面的應用程序檢查防火牆組件：默認情況下，Symantec 的全面應用程序檢查防火牆技術通過阻止 W32.Sasser.Worm 的入侵，並禁止攻擊者訪問 TCP/445 和受感染系統的後門通信端口 (TCP/5554、TCP/9996)。建議系統管理員驗證安全策略不允許通信端口的入站通信通過。

Symantec Enterprise Firewall 8.0

Symantec Enterprise FIrewall 7.0.x 和 Symantec VelociRaptor 1.5

Symantec Clientless VPN Gateway 4400 系列

Symantec Gateway Security 300 系列

建議系統管理員驗證安全策略不允許TCP/445、TCP/5554、TCP/9996 通信端口的入站通信通過。請使用 SGS 300系列的 AVpe 功能，以確保所有AntiVirus 客户端有最新病毒定義。

Symantec Firewall/VPN 100/200 系列

Symantec Client Security

Symantec 已發行 Symantec Client Security 1.x 及 2.0 的修補程序，可利用感染嘗試中出現的 MS_Windows_LSASS_RPC_DS_Request 攻擊特徵，識別出 LSASS 探測。如果 Sasser蠕蟲應用程序已存在系統上，則使用默認防火牆策略的所有 Symantec Client Security 版本都會在它試圖啓動 FTP 服務器並傳播出站數據端口時，提示用户“允許/禁止/配置規則”。能防護蠕蟲的病毒定義文件可於 2004 年 5 月 1 日透過 LiveUpdate 或 Intelligent Updater 獲得。

建議

賽門鐵克安全響應中心建議所有用户和管理員遵循以下基本安全“最佳實踐”：

* 禁用並刪除不需要的服務。 默認情況下，許多操作系統會安裝不必要的輔助服務，如 FTP 服務器、telnet 和 Web 服務器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程序更新即可完成。

* 如果混合型威脅攻擊了一個或多個網絡服務，則在應用補丁程序之前，請禁用或禁止訪問這些服務。

* 始終安裝最新的補丁程序，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公佈的安全更新，也要及時應用。

* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼文件難以破解。這樣會在計算機被感染時防止或減輕造成的損害。

* 配置電子郵件服務器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附件的郵件，這些文件常用於傳播病毒。

* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。

* 教育員工不要打開意外收到的附件。 並且只在進行病毒掃描後才執行從互聯網下載的軟件。如果未對某些瀏覽器漏洞應用補丁程序，那麼訪問受感染的網站也會造成病毒感染。

使用 W32.Sasser 殺毒工具殺毒

Symantec 安全響應中心開發了一種殺毒工具，可用來清除 W32.Sasser.Worm 感染。這是消除此威脅最簡易的方法，請先使用此方法殺毒。

以下指導適用於所有當前和最新的賽門鐵克防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。

1. 結束惡意程序 ( Windows NT/2000/XP)。

2. 關閉「系統還原」(Windows XP)。

3. 更新病毒定義文件。

4. 執行完整的系統掃描，並修復所有偵測到的 W32.Sasser.Worm文件。

5. 還原對註冊表所做的更改。

如需關於這些步驟的詳細信息，請閲讀下列指示。

1. 結束惡意程序

注意 : Windows NT/2000/XP 的用户必須先結束惡意程序。

1. 單擊 “Ctrl+Alt+Delete” 。

2. 單擊"任務管理器" 。

3. 單擊 “進程” 選項卡。

4. 雙擊 “映像名稱” 列標題，按字母順序對進行排序。

5. 滾動列表並查找以下程序:

* avserve.exe

* 任何程序的名稱包含 4 或 5 位數，後接着 _up.exe (例如 74354_up.exe)。

6. 如果您找到任何類似的程序，請單擊它並單擊"結束進程"。

7. 結束"任務管理器"。

2. 禁用系統還原（Windows XP）

如果您運行的是 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啓用的，一旦計算機中的文件被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。

Windows 禁止包括防病毒程序在內的外部程序修改系統還原。因此，防病毒程序或工具無法刪除 System Restore 文件夾中的威脅。這樣，系統還原就可能將受感染文件還原到計算機上，即使您已經清除了所有其他位置的受感染文件。

此外，病毒掃描可能還會檢測到 System Restore 文件夾中的威脅，即使您已將該威脅刪除。

有關如何關閉系統還原功能的指導，請參閲 Windows 文檔或文章：如何禁用或啓用 Windows XP 系統還原。

注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設置。

3. 更新病毒定義

賽門鐵克安全響應中心在我們的服務器上發佈任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：

* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每週一次（通常在星期三）發佈到 LiveUpdate 服務器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。

* 使用智能更新程序下載病毒定義：智能更新程序病毒定義會在工作日（美國時間，星期一至星期五）發佈。應該從賽門鐵克安全響應中心網站下載病毒定義並手動進行安裝。要確定是否可通過智能更新程序獲取此威脅的定義，請參考病毒定義（智能更新程序）。

提供智能更新程序病毒定義：有關詳細説明，請參閲如何使用智能更新程序更新病毒定義文件。

4. 掃描和刪除受感染文件

1. 啓動 Symantec防病毒程序，並確保已將其配置為掃描所有文件。

* Norton AntiVirus 單機版產品：請閲讀文檔：如何配置 Norton AntiVirus 以掃描所有文件。

* 賽門鐵克企業版防病毒產品：請閲讀 如何確定 Symantec 企業版防病毒產品被設置為掃描所有文件。

2. 運行完整的系統掃描。

3. 如果檢測到任何文件被 W32.Sasser.Worm 感染，請單擊“刪除”。

5. 還原對註冊表所做的更改

注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閲讀「如何備份 Windows 註冊表」文件。

1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）

2. 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）

3. 導航至以下鍵：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

4. 在右窗格中，刪除值：

"avserve.exe"="%Windir%\avserve.exe"

5. 退出註冊表編輯器。