Worm.Sasser.b

WinNT/Win2000/WinXP/Win2003

系統修改:

A、拷貝自身到：

%Windir%avserve2.exe

在註冊表主鍵：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

下添加如下鍵值:

"avserve2.exe" = %SystemRoot%avserve2.exe

B、拷貝其本身至系統目錄：

%System%<5位隨機數字>_up.exe

C、在C盤根目錄創建以下文件：

C:win.log(該文件用以記錄本地主機的IP地址)

發作現象:

A、使用AbortSystemShutdown API來防止系統重啓或關機。

B、它開啓TCP端口5554來建立一個FTP服務器，用來當作感染其他機器的服務器。

C、通過TCP445端口掃描隨機的IP地址，當連接成功時，被感染的計算機向被連接機器發動溢出攻擊，被攻擊的計算機將會自動連接被感染計算機的5554端口並通過FTP下載蠕蟲的副本，名稱一般為4到5個數字加上"_up"的組合，如(78456_up.exe).

D、由於該病毒本身編寫的漏洞存在，它運行一段時間後會導致LSASS.EXE的崩潰，當LSASS.EXE崩潰時系統默認會重啓。

以下是LSASS.EXE崩潰時可能回彈出的窗口：,；

和最近出現的大部分蠕蟲病毒不同，該病毒並不通過郵件傳播，而是通過命令易受感染的機器下載特定文件並運行，來達到感染的目的。