{ATTENZIONE!!!} W32/Sasser.worm

[ntc_silver]

Descrizione :

W32/Sasser.worm (McAfee)
Identificato il 30 aprile 2004
Alias :
W32.Sasser.Worm (Symantec)
W32/Sasser.A (F-Secure)
W32/Sasser-A (Sophos)

OS interessati : Windows 2000, XP , 2003


Il worm sfrutta una vulnerabilità dei sistemi operativi non aggiornati, che tramite un sovraccarico di buffer permette l'esecuzione di codice ostile sulla macchina bersaglio.
Non si diffonde via mail nè ha bisogno di alcuna azione da parte dell'utente vittima : il worm si propaga mediante scansione casuale di indirizzi IP sulla porta TCP 445. Non appena identifica un sistema non aggiornato e non protetto adeguatamente da firewall crea un ftp script sulla macchina vittima : servirà ad attivare un semplice server ftp che permetterà il download e l'esecuzione del worm.
L'host infetto accetterà il traffico sulla porta TCP 5554.

Sintomi principali :

# Errori nel processo LSASS.EXE (con conseguente riavvio del sistema)
Arresto invocato da NT AUTHORITYSYSTEM col messaggio "Il processo di sistema C:WINDOWSsystem32lsass.exe" è terminato in modo non previsto...

# Presenza del file avserve.exe nella directory di Windows

# Presenza di questa chiave di registro :

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
Run "avserve.exe" = C:WINDOWSavserve.exe

Sasser si replica nella directory di sistema creando eseguibili col nome di una sequenza numerica di 4 o 5 cifre seguita da _up.exe ( ad esempio c:WINDOWSsystem3211583_up.exe ).


Terminare dal task manager i processi avserve.exe e quelli denominati da sequenza numerica, eliminare la chiave di registro ed applicare subito la patch Microsoft, avendo cura di attivare innanzitutto un firewall ( ICF per gli utenti di XP).
Usate un removal tool per rimuovere Sasser, disabilitando prima l'utilità di ripristino di configurazione.

Aggiornamento della protezione per Windows (KB835732)

Windows 2000
http://download.microsoft.com/download/ ... 86-ITA.EXE

Windows XP
http://download.microsoft.com/download/ ... 86-ITA.EXE

Windows Server 2003
http://download.microsoft.com/download/ ... 86-ITA.EXE

Removal tools :
McAfee Stinger 2.23
http://vil.nai.com/vil/stinger


Grazie a BlackDragon di un altro forum dal quale ho "scopiazziato" questo post

[SicurAUTO]

Bravo ntc_silver

Consiglio anche questo link:
http://news.swzone.it/swznews-10987.php

Io, che oggi ho preso servizio per un contratto a tempo presso ENEL Information Technology, ho combattutto tutto il giorno con questo Worm del cavolo!!

Una rete di migliaia di server buttati giù... ho lavorato sino a quasi le 8... come primo giorno non c'è male!

E ci sono stati colleghi che sono a lavoro da sta notte alle 2!

Ps: cmq la colpa è sempre degli ADMIN che non si preoccupano proprio della sicurezza... basterebbe un bel SMS o SUS gestito bene per evitare tutto questo... io per fortuna sono diverso...

[docmad]

Ps: cmq la colpa è sempre degli ADMIN che non si preoccupano proprio della sicurezza... basterebbe un bel SMS o SUS gestito bene per evitare tutto questo... io per fortuna sono diverso...

Evviva la modestia

[luca comandini]

thanks very much

[SicurAUTO]

Scherzi a parte... la patch Microsoft era disponibile già dal 14/04!
Il discorso è che in reti geograficamente ENORMI è molto difficile implementare delle politiche di sicurezza valide. Più che altro non è proprio una sciocchezza gestire la distribuzione delle patch per circa 10/15.000 PC...

Certo andando a vedere i dettagli del bulletin Microsoft si vede che le porte usate dal Worm sono ben definite e quindi era bene bloccarle già da subito... ma questo non è stato fatto, peccato

Cmq sia domani mi aspetta un'altra maratona

[alex_ander1979]

Win ME è immune ?

[ntc_silver]

Pare di si, WinME di base ha Win98

[SicurAUTO]

Sono attaccati 2000 ed XP... 2003 Server sembra immune... gli altri di sicuro...

Su questo ottimo sito un articolo che spiega come rimuoverlo o provvedere alla risoluzione del problema:
http://news.swzone.it/swznews-11012.php

[marko]

sempre e cmq WIN98 sui nostri computer

[SicurAUTO]

sempre e cmq WIN98 sui nostri computer

Non pensare che sia molto meglio... solo che per adesso sotto i riflettori ci sono XP/2003... ma anche il 98 ha avuto i suoi bei problemucci...

Cmq l'importante è:

- Eseguire sempre e constantemente il Windows update: http://windowsupdate.microsoft.com
- Tenere sempre aggiornato l'antivirus, io consiglio Norton 2003 e non il 2004...
- Abilitare su XP il firewall integrato che, per quanto se ne dica, è già una discreta protezione (rende il PC più o meno "invisibile" sulla rete)
- Eliminare dal Binding dei protocolli relativi alla connessione internet: "Condivisione File e stampanti per reti Microsoft" e "Client per reti Microsoft". Andate nelle proprietà della connessione ad internet e dove vedete i vari protocolli togliete il segno di spunta nei due protocolli sopra riportati. Dovrebbe rimanere solo il TCP/IP ed in caso il QoS se installato.

Con questa ultima modifica vi mettete al sicuro da facili ingressi sul PC
Certo non c'è solo questo da fare ma è già abbastanza