Erkannt: May 01, 2004
Aktualisiert: February 13, 2007 11:35:30 AM
Typ: Removal Information


Symantec Security Response hat ein Programm zur Entfernung der folgenden Varianten des W32.Sasser-Wurms entwickelt:



Die verschiedenen Varianten des W32.Sasser-Wurms können auch auf Windows 95/98/Me-Computern ausgeführt werden (ohne diese jedoch zu infizieren). Obwohl diese Betriebssysteme nicht infiziert werden können, so können sie jedoch zur Weiterverbreitung des Wurms auf damit verbundene, anfällige Systeme verwendet werden. In diesem Fall verbraucht der Wurm sehr viele Ressourcen. Dadurch können Programme, so auch unser Entfernungsprogramm, nicht mehr richtig ausgeführt werden. (Auf Windows 95/98/Me-Computern sollte das Programm im abgesicherten Modus ausgeführt werden.)


Hinweis: Durch die Ausführung des Wurms stürzt der Prozess LSASS.EXE auf einigen Systemen ab. Dadurch wird das System möglicherweise neu gestartet. Das Entfernungsprogramm kann erst dann erfolgreich ausgeführt werden, wenn der Neustart des Systems abgeschlossen ist.


Was bewirkt das Programm?

Das W32.Sasser-Entfernungsprogramm funktioniert wie folgt:
  1. Es beendet den Virusprozess von W32.Sasser.
  2. Es löscht die mit W32.Sasser infizierten Dateien.
  3. Es löscht die durch den Wurm hinzugefügten Registrierungseinträge.

Verfügbare Befehlzeilenparameter für dieses Programm


Parameter

Beschreibung

/HELP, /H, /?

Zeigt die Hilfsnachricht an.

/NOFIXREG

Deaktiviert das Reparieren der Registrierung (die Anwendung dieses Parameters wird nicht empfohlen).

/SILENT, /S

Deaktiviert Rückmeldungen.

/LOG=[Pfadname]

Erstellt eine Protokolldatei, wobei der [Pfadname] den Bereich darstellt, in dem das Ergebnis des Programms gespeichert wird. Standardmäßig erstellt dieser Parameter die Protokolldatei FxSasser.log in demselben Ordner, von dem aus das Entfernungsprogramm ausgeführt wurde.

/MAPPED

Prüft zugeordnete Netzlaufwerke (die Anwendung dieses Parameters wird nicht empfohlen. Beachten Sie den folgenden Hinweis).

/START

Erzwingt das unmittelbare Starten des Prüfvorgangs.

/EXCLUDE=[Pfad]

Schließt den angegebenen [Pfad] von der Prüfung aus (die Anwendung dieses Parameters wird nicht empfohlen. Beachten Sie den folgenden Hinweis).

/NOFILESCAN

Unterbindet die Prüfung des Dateisystems.


Hinweis: Bei der Verwendung des Parameters /MAPPED ist die vollständige Entfernung des Virus vom Remote-Computer aus folgenden Gründen nicht gewährleistet:
    • Die Prüfung zugeordneter Laufwerke betrifft ausschließlich zugeordnete Ordner. Dazu gehören möglicherweise nicht alle Ordner auf dem Remote-Computer, so dass Viren in diesen Ordnern eventuell nicht erkannt werden.
    • Wenn eine Virusdatei auf einem zugeordneten Laufwerk entdeckt wird, kann die Datei nur entfernt werden, wenn kein Programm auf dem Remote-Computer diese Datei verwendet.

Aus diesen Gründen sollten Sie das Programm auf jedem einzelnen Computer ausführen.


Der Parameter /EXCLUDE kann nur mit einem einzelnen und nicht mit mehreren Pfaden verwendet werden. Eine Alternative hierzu wäre der Parameter /NOFILESCAN, gefolgt von einer manuellen Prüfung mit Ihrem Symantec Antivirus-Produkt. Das Programm kann dadurch die Registrierung ändern.

Prüfen Sie im Anschluss den Computer mit AntiVirus mit den aktuellen Virusdefinitionen. Über diese Schritte sollte es möglich sein, das Dateisystem zu säubern.

Das folgende Beispiel einer Befehlszeile dient dem Ausschluss eines einzelnen Laufwerks:

>"C:\Dokumente und Einstellungen\Benutzer1\Desktop\FxSasser.exe" /EXCLUDE=M:\ /LOG=c:\FxSasser.txt

Die folgende Befehlszeile überspringt dagegen die Prüfung des Dateisystems, repariert jedoch die Änderungen an der Registrierung. Sie sollten daraufhin eine normale Systemprüfung mit den entsprechenden Ausnahmen durchführen:

>"C:\Dokumente und Einstellungen\Benutzer1\Desktop\FxSasser.exe" /NOFILESCAN /LOG=c:\FxSasser.txt


Hinweise:
  • Das Zeichen ">" gehört nicht zum Pfad.
  • Der Name der Protokolldatei ist beliebig wählbar. Der hier angegebene Name dient nur dem Beispiel.



Bezug und Ausführung des Programms


Hinweis: Sie müssen für die Ausführung dieses Programms unter Windows NT 4.0, Windows 2000 oder Windows XP über Administratorrechte verfügen.


WARNUNG: Für Netzwerkadministratoren: Wenn Sie mit MS Exchange 2000 Server arbeiten, empfiehlt es sich, das Laufwerk M: von der Prüfung auszuschließen. Starten Sie hierzu das Programm mit dem Parameter /Exclude von der Befehlszeile aus.

Weitere Informationen finden Sie im Microsoft Knowledge Base-Artikel XADM: Do Not Back Up or Scan Exchange 2000 Drive M (Artikel 299046, englischsprachig).

  1. Laden Sie die Datei FxSasser.exe hier herunter: http://securityresponse.symantec.com/avcenter/FxSasser.exe.

    Hinweis: Version 1.0.1 (Versionsnummer in der Titelleiste des Dialogfensters des Entfernungsprogramms) entfernt sowohl W32.Sasser.B.Worm als auch W32.Sasser.Worm.
  2. Speichern Sie die Datei in einem geeigneten Bereich, z. B. in Ihrem Download-Ordner oder auf dem Windows-Desktop (oder auf Wechselmedien, die nicht infiziert sind).
  3. Um die Echtheit der digitalen Unterschrift zu überprüfen, beachten Sie den Abschnitt "Die digitale Unterschrift" weiter unten in diesem Dokument.
  4. Schließen Sie vor der Ausführung des Programms alle laufenden Anwendungen.
  5. Wenn Sie in einem Netzwerk arbeiten oder eine ständige Internetverbindung haben, trennen Sie die Verbindungen zum Netzwerk und zum Internet.
  6. Wenn Sie mit Windows Me oder XP arbeiten, deaktivieren Sie die Option "Systemwiederherstellung". Zusätzliche Informationen finden Sie im Abschnitt "Systemwiederherstellungsoption in Windows Me/XP" weiter unten in diesem Dokument.


    Achtung: Wenn Sie mit Windows Me/XP arbeiten, empfehlen wir Ihnen dringend, diesen Schritt nicht zu überspringen.

  7. Führen Sie einen der folgenden Schritte durch:
  8. Doppelklicken Sie auf die Datei FxSasser.exe, um das Entfernungsprogramm zu starten.
  9. Klicken Sie auf "Start", um den Vorgang zu starten, und führen Sie das Programm aus.
  10. Starten Sie den Computer neu.
  11. Führen Sie das Entfernungsprogramm noch einmal aus, um sicherzugehen, dass das System gesäubert ist.
  12. Wenn Sie mit Windows Me/XP arbeiten, aktivieren Sie die Option "Systemwiederherstellung".
  13. Führen Sie LiveUpdate aus, um sicherzustellen, dass Sie über die aktuellsten Virusdefinitionen verfügen.


Hinweis : Die Infektion kann möglicherweise nicht erfolgreich entfernt werden, wenn die Systemwiederherstellung in Windows Me/XP nicht wie oben beschrieben deaktiviert wird, da Windows die Systemwiederherstellung gegen Modifikationen von außerhalb des Programms schützt.


Nach Abschluss des Programms wird Ihnen in einer Nachricht gemeldet, ob der Computer von W32.Sasser infiziert war oder nicht. Falls der Wurm tatsächlich entfernt wurde, zeigt das Programm folgende Ergebnisse an:
  • Anzahl der insgesamt geprüften Dateien
  • Anzahl der gelöschten Dateien
  • Anzahl der reparierten Dateien
  • Anzahl der beendeten Virusprozesse
  • Anzahl der reparierten Registrierungseinträge


Die digitale Unterschrift

FxSasser.exe ist mit einer digitalen Unterschrift versehen. Wir empfehlen Ihnen, ausschließlich Kopien von FxSasser.exe zu verwenden, die direkt von der Website von Symantec Security Response heruntergeladen wurden. Um die Echtheit der digitalen Unterschrift zu überprüfen, befolgen Sie diese Schritte:
  1. Öffnen Sie die Internetseite http://www.wmsoftware.com/free.htm.
  2. Laden Sie die Datei chktrust.exe herunter und speichern Sie sie im selben Ordner, in dem Sie die Datei FxSasser.exe gespeichert haben (z. B. im Ordner C:\Downloads).
  3. Führen Sie je nach Betriebssystem einen der folgenden Schritte aus:
    • Klicken Sie auf "Start", zeigen Sie auf "Programme", und klicken Sie auf "MS-DOS-Eingabeaufforderung".
    • Klicken Sie auf "Start", zeigen Sie auf "Programme", klicken Sie auf "Zubehör" und anschließend auf "Eingabeaufforderung".
  4. Wechseln Sie zum Ordner, in dem FxSasser.exe und Chktrust.exe gespeichert sind, und geben Sie Folgendes ein: chktrust -i FxSasser.exe.

    Wenn die Datei z. B. im Ordner C:\Downloads gespeichert ist, geben Sie die folgenden Befehle ein:

    cd\
    cd downloads
    chktrust -i FxSasser.exe

    Drücken Sie nach jedem Befehl die Eingabetaste. Wenn die digitale Unterschrift gültig ist, sehen Sie folgende Anzeige:

    "Installieren und Ausführen von "W32.Sasser Removal Tool", signiert am 11.05.2004 00:45 und herausgegeben von: Symantec Corporation"


    Hinweise:
    • Das Datum und die Uhrzeit im Dialogfeld werden Ihrer Zeitzone angepasst.
    • Wenn Sie die Sommerzeit eingestellt haben, wird die angezeigte Zeit genau eine Stunde früher sein.
    • Wenn dieses Dialogfeld nicht angezeigt wird, kann dies zwei Gründe haben:
      • Das Programm stammt nicht von Symantec. Sofern Sie nicht absolut sicher sind, dass das Programm echt ist und Sie es von der echten Symantec Website heruntergeladen haben, sollten Sie es nicht ausführen.
      • Dieses Dienstprogramm ist von Symantec und ist echt. Sie haben Ihr Betriebssystem jedoch zuvor schon einmal angewiesen, Inhalten von Symantec zu vertrauen. Informationen hierzu und dazu, wie Sie das Bestätigungsdialogfeld erneut anzeigen können, finden Sie im englischsprachigen Dokument How to restore the Publisher Authenticity confirmation dialog box.
  5. Klicken Sie auf "Ja", um das Dialogfeld zu schließen.
  6. Geben Sie exit ein und drücken Sie die Eingabetaste. Die MS-DOS-Sitzung wird damit geschlossen.


Systemwiederherstellungsoption in Windows Me/XP
Anwender von Windows Me und Windows XP sollten die Systemwiederherstellung zeitweilig ausschalten. Diese standardmäßig aktivierte Funktion wird in Windows Me und XP verwendet, um auf Ihrem Computer beschädigte Dateien wiederherzustellen. Wenn ein Virus, Wurm oder Trojaner einen Computer infiziert, werden diese durch die Systemwiederherstellung möglicherweise mitgesichert.

Windows verhindert standardmäßig, dass die Systemwiederherstellung durch fremde Programme (einschließlich Virenschutzprogramme) verändert wird. Daher können Bedrohungen im Systemwiederherstellungsordner nicht durch Virenschutzprogramme entfernt werden. Als Ergebnis kann die Systemwiederherstellung eine infizierte Datei auf Ihrem Computer wiederherstellen, nachdem Sie die infizierten Dateien aus allen anderen Bereichen entfernt haben.

Außerdem kann bei einer Virenprüfung eine Bedrohung im Systemwiederherstellungsordner entdeckt werden, selbst wenn Sie die Bedrohung entfernt haben.


Bitte beachten Sie die folgenden Artikel oder Ihre Windows-Dokumentation, um die Systemwiederherstellung zu deaktivieren:
Weitere Informationen und eine Alternative zur Deaktivierung der Systemwiederherstellung in Windows Me finden Sie im Microsoft Knowledge Base-Artikel Antivirenprogramme können infizierte Dateien im Ordner "_Restore" nicht bereinigen (Artikelnummer 263455).