W32.Sasser.B.Worm

---

A versão mais recente deste documento pode ser encontrada em:
http://www.symantec.com/region/br/techsupp/avcenter/venc/data/br-w32.sasser.worm.html

---

O W32.Sasser.B.Worm é uma variante do W32.Sasser.Worm. Ela tenta explorar a vulnerabilidade LSASS descrita no Microsoft Security Bulletin MS04-011, e se propaga verificando endereços IP selecionados aleatoriamente de sistemas vulneráveis.


O W32.Sasser.B.Worm difere do W32.Sasser.Worm no seguinte:

• Utiliza um mutex diferente: Jobaka3.
• Utiliza um nome de arquivo diferente: avserve2.exe.
• Possui um MD5 diferente.
• Cria um valor diferente no registro: "avserve2.exe."

---

Notas:

• O valor de hash MD5 para este worm é 0x1A2C0E6130850F8FD9B9B5309413CD00.
• O Symantec Security Response desenvolveu uma ferramenta para remover infecções do W32.Sasser.
• Bloqueie as portas TCP 5554, 9996 e 445 no firewall de perímetro e instale a correção apropriada da Microsoft (MS04-011) para evitar a exploração remota da vulnerabilidade.

---

O W32.Sasser.B.Worm pode ser executado, mas não pode infectar, computadores baseados no Windows 95/98/Me. Embora estes sistemas operacionais não sejam infectados, eles podem ser usados para infectar sistemas vulneráveis aos quais eles possuem conexão. Neste caso, o worm irá consumir muitos recursos de forma que programas não poderão ser executados corretamente, incluindo a ferramenta de remoção do vírus.

Proteção

• Versão de lançamento rápido inicial 1 de Maio de 2004
• Última versão de lançamento rápido 20 de Agosto de 2008 revisão 017
• Versão diária certificada inicial 1 de Maio de 2004
• Última versão diária certificada 20 de Janeiro de 2009 revisão 048
• Data inicial para o lançamento certificado semanal 1 de Maio de 2004

Clique aqui para obter uma descrição mais detalhada das definições de vírus diárias certificadas e de lançamento rápido.

Avaliação da ameaça

Potencial

• Nível de gravidade: Médio
• Número de infecções: More than 1000
• Número de sites: More than 10
• Distribuição geográfica: Alto
• Contenção da ameaça: Fácil
• Remoção: Moderado

Dano

• Nível do dano: Baixo
• Reduz o desempenho: Causes significant degradation in performance

Distribuição

• Nível de distribuição: Alto
• Portas: TCP 445, 5554, 9996
• Alvo da infecção: Unpatched systems vulnerable to LSASS exploit - MS04-011