Nombre Común:             Sasser
Tambien conocido como: W32/Sasser.worm
Tipo:                             Worm
Tamaño:                    15,872 bytes
Peligrosidad:                  Muy Alta
Fecha de Aparición:        1/5/2004
Sistemas Afectados:
Microsoft Windows NT Workstation 4.0
Microsoft Windows NT Server 4.0
Microsoft Windows NT Server 4.0 Terminal
Microsoft Windows 2000 SP2, SP3 y SP4
Microsoft Windows XP y Microsoft Windows XP Service Pack 1
Microsoft Windows XP 64-Bit Edition Service Pack 1
Microsoft Windows XP 64-Bit Edition Version 2003
Microsoft Windows Server 2003
Microsoft Windows Server 2003 64-Bit Edition
Microsoft NetMeeting
Sistemas No Afectados: Linux, Macintosh, Novell Netware, OS/2, UNIX, Windows 95, Windows                         98, Windows Me

Descripción
Sasser.B es un gusano que se reproduce creando una copia de si mismo en el directorio de windows bajo el nombre de AVSERVE2.EXE.

De igual forma crea la siguiente entrada de registro para asegurar su ejecución en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

avserve2.exe = %windir%\avserve2.exe

Por otro lado, Sasser.B aprovecha la vulnerabilidad de LSASS para acceder a otros sistemas.Se puede obtener información sobre dicha vulnerabilidad en la siguiente dirección:

En castellano

http://www.microsoft.com/spain/technet/seguridad/boletines/MS04-011-IT.asp

En ingles

http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx

Para llevar a cabo su acción, el gusano lanza 128 hilos en busca de diferentes direcciones IP aleatorias. Si consigue acceder a un sistema por el puerto TCP 445, comprueba si este es vulnerable. si lo es, abre un shell en el puerto TCP 9996 con el que lanza una serie de comandos por el puerto TCP 5554 para descargar el gusano por FTP al sistema vulnerable. La copia del gusano tendrá el nombre %numero%_up.exe, donde %numero% es un nº aleatorio. Adicionalmente, la vulnerabilidad provocará un desbordamiento de buffer que dará lugar a un fallo en la aplicación LSASS.EXE. Esto puede provocar, a su vez, el fallo del sistema.

Para saber si tienes el Sasser
En Windows XP, se muestra una ventana con un mensaje muy similar al siguiente:

LSA Shell (Export Version) ha encontrado un problema
y debe cerrarse. Sentimos los inconvenientes ocasionados.

En Windows 2000 puede aparecer una ventana casi idéntica a la provocada en Windows XP por el gusano Blaster (Lovsan):

Apagar el sistema

Se está apagando el sistema. Guarde todo
trabajo en curso y cierre la sesión. Se perderá
cualquier cambio que no haya sido guardado.
El apagado ha sido iniciado por NT
AUTORITHY\SYSTEM

Tiempo restante
para el apagado: xx:xx:xx

Mensaje
El proceso del sistema
C:\WINNT\system32\lsass.exe terminó
de forma inesperada indicando código 0
Windows debe reiniciar ahora.

Crea el fichero win.log en el directorio raíz de la unidasd C:. Este archivo contiene la dirección IP del equipo.

Las copias del gusano se crean en el directorio System con el nombre #_up.exe.
Ejemplos:
C:\WINDOWS\system32\11583_up.exe
C\WINDOWS\system32\16913_up.exe
C:\WINDOWS\system32\29739_up.exe

Como solucionar

IMPORTANTE:

Instalar parches para la vulnerabilidad LSASS (MS04-011) antes de cualquier otra acción a tomar para la limpieza del gusano.
Parches:

Los parches pueden descargarse de los siguientes enlaces:

Microsoft Windows NT Workstation 4.0 Service Pack 6a
http://www.microsoft.com/downloads/details.aspx?FamilyId=7F1713FC-F95C-43E5-B825-3CF72C1A0A3E&displaylang=es

Microsoft Windows NT Server 4.0 Service Pack 6a
http://www.microsoft.com/downloads/details.aspx?FamilyId=67A6F461-D2FC-4AA0-957E-3B8DC44F9D79&displaylang=es

Microsoft Windows NT Server 4.0 Terminal Server Edition SP6
http://www.microsoft.com/downloads/details.aspx?FamilyId=Ç62CBA527-A827-4777-8641-28092D3AAE4F&displaylang=es

Microsoft Windows 2000 SP2, SP3 y SP4
http://www.microsoft.com/downloads/details.aspx?FamilyId=0692C27E-F63A-414C-B3EB-D2342FBB6C00&displaylang=es

Microsoft Windows XP and Microsoft Windows XP Service Pack 1
http://www.microsoft.com/downloads/details.aspx?FamilyId=3549EA9E-DA3F-43B9-A4F1-AF243B6168F3&displaylang=es

Microsoft Windows XP 64-Bit Edition Service Pack 1
http://www.microsoft.com/downloads/details.aspx?FamilyId=C6B55EF2-D9FE-4DBE-AB7D-73A20C82FF73&displaylang=en

Microsoft Windows XP 64-Bit Edition Version 2003
http://www.microsoft.com/downloads/details.aspx?FamilyId=C207D372-E883-44A6-A107-6CD2D29FC6F5&displaylang=en

Microsoft Windows Server 2003
http://www.microsoft.com/downloads/details.aspx?FamilyId=EAB176D0-01CF-453E-AE7E-7495864E8D8C&displaylang=es

Microsoft Windows Server 2003 64-Bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=C207D372-E883-44A6-A107-6CD2D29FC6F5&displaylang=en

Es muy recomendable actulizar tu antivirus hasta la fecha, lo mismo con el firewall.

Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los siguientes archivos:

c:\win.log
c:\windows\avserve2.exe
c:\windows\system32\#_up.exe (varias copias)

Donde # es un número de cinco dígitos, ejemplos:

c:\windows\system32\15643_up.exe
c:\windows\system32\12383_up.exe
c:\windows\system32\21730_up.exe

Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".


Editar el registro

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

3. Pinche en la carpeta "Run" y en el panel de la derecha, bajo la columna "Nombre", busque y borre todas las entradas que aparecen en la siguiente lista:

avserve2.exe
avserve.exe

4. Use "Registro", "Salir" para salir del editor y confirmar los cambios.

5. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

The Ghost