Nombre Común: Sasser
Tambien conocido como: W32/Sasser.worm
Tipo: Worm
Tamaño: 15,872 bytes
Peligrosidad: Muy Alta
Fecha de Aparición: 1/5/2004
Sistemas Afectados:
Microsoft Windows NT Workstation 4.0
Microsoft Windows NT Server 4.0
Microsoft Windows NT Server 4.0 Terminal
Microsoft Windows 2000 SP2, SP3 y SP4
Microsoft Windows XP y Microsoft Windows XP Service Pack 1
Microsoft Windows XP 64-Bit Edition Service Pack 1
Microsoft Windows XP 64-Bit Edition Version 2003
Microsoft Windows Server 2003
Microsoft Windows Server 2003 64-Bit Edition
Microsoft NetMeeting
Sistemas No Afectados: Linux, Macintosh, Novell Netware, OS/2, UNIX, Windows 95, Windows 98, Windows Me
Descripción
Sasser.B es un gusano que se reproduce creando una copia de si mismo en el directorio de windows bajo el nombre de
AVSERVE2.EXE.
De igual forma crea la siguiente entrada de registro para asegurar su ejecución en cada inicio del sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
avserve2.exe = %windir%\avserve2.exe
Por otro lado, Sasser.B aprovecha la vulnerabilidad de LSASS para acceder a otros sistemas.Se puede obtener información sobre dicha vulnerabilidad en la siguiente dirección:
En castellano
http://www.microsoft.com/spain/technet/seguridad/boletines/MS04-011-IT.asp
En ingles
http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx
Para llevar a cabo su acción, el gusano lanza 128 hilos en busca de diferentes direcciones IP aleatorias. Si consigue acceder a un sistema por el puerto TCP 445, comprueba si este es vulnerable. si lo es, abre un shell en el puerto TCP 9996 con el que lanza una serie de comandos por el puerto TCP 5554 para descargar el gusano por FTP al sistema vulnerable. La copia del gusano tendrá el nombre %numero%_up.exe, donde %numero% es un nº aleatorio. Adicionalmente, la vulnerabilidad provocará un desbordamiento de buffer que dará lugar a un fallo en la aplicación LSASS.EXE. Esto puede provocar, a su vez, el fallo del sistema.
Para saber si tienes el Sasser
En Windows XP, se muestra una ventana con un mensaje muy similar al siguiente:
LSA Shell (Export Version) ha encontrado un problema
y debe cerrarse. Sentimos los inconvenientes ocasionados.
En Windows 2000 puede aparecer una ventana casi idéntica a la provocada en Windows XP por el gusano Blaster (Lovsan):
Apagar el sistema
Se está apagando el sistema. Guarde todo
trabajo en curso y cierre la sesión. Se perderá
cualquier cambio que no haya sido guardado.
El apagado ha sido iniciado por NT
AUTORITHY\SYSTEM
Tiempo restante
para el apagado: xx:xx:xx
Mensaje
El proceso del sistema
C:\WINNT\system32\lsass.exe terminó
de forma inesperada indicando código 0
Windows debe reiniciar ahora.
Crea el fichero win.log en el directorio raíz de la unidasd C:. Este archivo contiene la dirección IP del equipo.
Las copias del gusano se crean en el directorio System con el nombre #_up.exe.
Ejemplos:
C:\WINDOWS\system32\11583_up.exe
C\WINDOWS\system32\16913_up.exe
C:\WINDOWS\system32\29739_up.exe
Como solucionar
IMPORTANTE:
Instalar parches para la vulnerabilidad LSASS (MS04-011) antes de cualquier otra acción a tomar para la limpieza del gusano.
Parches:
Los parches pueden descargarse de los siguientes enlaces:
Microsoft Windows NT Workstation 4.0 Service Pack 6a
http://www.microsoft.com/downloads/details.aspx?FamilyId=7F1713FC-F95C-43E5-B825-3CF72C1A0A3E&displaylang=es
Microsoft Windows NT Server 4.0 Service Pack 6a
http://www.microsoft.com/downloads/details.aspx?FamilyId=67A6F461-D2FC-4AA0-957E-3B8DC44F9D79&displaylang=es
Microsoft Windows NT Server 4.0 Terminal Server Edition SP6
http://www.microsoft.com/downloads/details.aspx?FamilyId=Ç62CBA527-A827-4777-8641-28092D3AAE4F&displaylang=es
Microsoft Windows 2000 SP2, SP3 y SP4
http://www.microsoft.com/downloads/details.aspx?FamilyId=0692C27E-F63A-414C-B3EB-D2342FBB6C00&displaylang=es
Microsoft Windows XP and Microsoft Windows XP Service Pack 1
http://www.microsoft.com/downloads/details.aspx?FamilyId=3549EA9E-DA3F-43B9-A4F1-AF243B6168F3&displaylang=es
Microsoft Windows XP 64-Bit Edition Service Pack 1
http://www.microsoft.com/downloads/details.aspx?FamilyId=C6B55EF2-D9FE-4DBE-AB7D-73A20C82FF73&displaylang=en
Microsoft Windows XP 64-Bit Edition Version 2003
http://www.microsoft.com/downloads/details.aspx?FamilyId=C207D372-E883-44A6-A107-6CD2D29FC6F5&displaylang=en
Microsoft Windows Server 2003
http://www.microsoft.com/downloads/details.aspx?FamilyId=EAB176D0-01CF-453E-AE7E-7495864E8D8C&displaylang=es
Microsoft Windows Server 2003 64-Bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=C207D372-E883-44A6-A107-6CD2D29FC6F5&displaylang=en
Es muy recomendable actulizar tu antivirus hasta la fecha, lo mismo con el firewall.
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos:
c:\win.log
c:\windows\avserve2.exe
c:\windows\system32\#_up.exe (varias copias)
Donde # es un número de cinco dígitos, ejemplos:
c:\windows\system32\15643_up.exe
c:\windows\system32\12383_up.exe
c:\windows\system32\21730_up.exe
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre todas las entradas que aparecen en la siguiente lista:
avserve2.exe
avserve.exe
4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
The Ghost 
Foro de soporte y ayuda 
Nuevo usuario
TheGhost
Desconectado
