1. /
  2. Security Response/
  3. W32.Sasser.B.Worm
  4. W32.Sasser.B.Worm
  • Ajouter

W32.Sasser.B.Worm

Niveau de risque2 : Faible

Découvert :
1 Mai 2004
Mis à jour :
13 Février 2007 12:24:04 PM
Egalement appelé :
WORM_SASSER.B [Trend], W32/Sasser.worm.b [McAfee], Worm.Win32.Sasser.b [Kaspersky, W32/Sasser-B [Sophos], Win32.Sasser.B [Computer Assoc, Sasser.B [F-Secure], W32/Sasser.B.worm [Panda], Win32/Sasser.B.worm [RAV], W32/Sasser.B [F-Prot]
Type :
Worm
Etendue de l'infection :
15 872 octets
Systèmes affectés :
Windows 2000, Windows XP
Références CVE :
CAN-2003-0533

W32.Sasser.B.Worm est une variante de W32.Sasser.Worm. Il tente d'exploiter la vulnérabilité LSASS décrite dans le Bulletin de sécurité MS04-011 de Microsoft et se propage en scannant des adresses IP de systèmes vulnérables, choisies de façon aléatoire.

W32.Sasser.B.Worm se distingue de W32.Sasser.Worm par les éléments suivants :
  • Il utilise un mutex différent : Jobaka3.
  • Il utilise un nom de fichier différent : avserve2.exe.
  • Son MD5 est différent.
  • Il crée dans le registre une valeur différente : "avserve2.exe."


Remarques :
  • L'algorithme hash MD5 de ce ver est 0x1A2C0E6130850F8FD9B9B5309413CD00.
  • Bloquez les ports TCP 5554, 9996 et 445 au niveau du pare-feu et installez le correctif de Microsoft approprié (MS04-011) afin d'empêcher l'exploitation à distance de cette vulnérabilité.


W32.Sasser.B.Worm s'exécute sur les postes Windows 95/98/Me, sans les infecter. Ces systèmes d'exploitation ne peuvent pas être infectés mais ils peuvent être utilisés pour infecter des systèmes vulnérables auxquels ils peuvent se connecter. Dans ce cas, le ver utilisera de nombreuses ressources afin d'empêcher l'exécution normale des programmes, y compris notre outil de suppression. (Sur les postes Windows 95/98/Me, l'outil doit être exécuté en mode sans échec.)

Security Response propose des informations complémentaires destinées aux administrateurs réseau, afin de les aider à détecter sur leur réseau les machines infectées par W32.Sasser.Worm. Pour en savoir plus, veuillez consulter le document (en anglais) Detecting traffic due to LSASS worms.

Dates de la protection antivirus

  • Version initiale des définitions Rapid Release1 Mai 2004
  • Dernière version des définitions Rapid Release28 Septembre 2010 révision 054
  • Version initiale des définitions Daily Certified1 Mai 2004
  • Dernière version des définitions Daily Certified28 Septembre 2010 révision 036
  • Date de la version initiale des définitions Weekly Certified1 Mai 2004
Cliquez ici si vous souhaitez une description plus détaillée des définitions de virus Rapid Release et Daily Certified.

Evaluation de la menace

Virulence

  • Niveau de virulence :Medium
  • Nombre d'infections :More than 1000
  • Nombre de sites :More than 10
  • Répartition géographique :High
  • Contrôle de la menace :Easy
  • Suppression :Moderate

Dommages

  • Niveau de dommages :Low
  • Elément déclencheur :Ne s'applique pas
  • Résultat d'activation :Ne s'applique pas
  • Envoi de courrier électronique en masse :Ne s'applique pas
  • Supprime des fichiers :Ne s'applique pas
  • Modifie des fichiers :Ne s'applique pas
  • Diffuse des informations confidentielles :Ne s'applique pas
  • Dégrade les performances :Dégrade notablement les performances
  • Cause l'instabilité du système :Ne s'applique pas
  • Compromet les paramètres de sécurité :Ne s'applique pas

Distribution

  • Niveau de distribution :High
  • Objet du courrier électronique :Ne s'applique pas
  • Nom de la pièce jointe :Ne s'applique pas
  • Taille de la pièce jointe :Ne s'applique pas
  • Ports :TCP 445, 5554, 9996
  • Lecteurs partagés :Ne s'applique pas
  • Cible d'infection :Systèmes sur lesquels le correctif n'a pas été appliqué, vulnérables à l'exploit LSASS - MS04-011
  • Date de la pièce jointe :Ne s'applique pas
Rédigé par :Heather Shannon