Worm.Sasser.c

病毒别名：

处理时间：2004-05-02

威胁级别：★★★

中文名称：震荡波变种C

病毒类型：蠕虫

影响系统：WinNT/Win2000/WinXP/Win2003

病毒行为:

这是一个恶性网络蠕虫，利用WINDOWS平台的 Lsass 漏洞进行广泛传播，开启上百个线程不停攻击其它网上其它系统，严重堵塞网络，病毒的攻击行为可让系统不停的倒计时重启。

和最近出现的大部分蠕虫病毒不同，该病毒并不通过邮件传播，而是通过命令易受感染的机器下载特定文件并运行，来达到感染的目的。文件名为：avserve2.exe。

1、拷贝自身到：

%Windir%avserve2.exe

2、在注册表主键：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

下添加如下键值:

"avserve2.exe" = %SystemRoot%avserve2.exe

3、拷贝其本身至系统目录：

%System%<5位随机数字>_up.exe

4、在C盘根目录创建以下文件：

C:win.log(该文件用以记录本地主机的IP地址)

5、使用AbortSystemShutdown API来防止系统重启或关机。

6、它开启TCP端口5554来建立一个FTP服务器，用来当作感染其他机器的服务器。

7、通过TCP 445端口扫描随机的IP地址，当连接成功时，被感染的计算机向被连接机器发动溢出攻击，被攻击的计算机将会自动连接被感染计算机的5554端口并通过FTP下载蠕虫的副本，名称一般为4到5个数字加上"_up"的组合，如(78456_up.exe)。

8、由于该病毒本身编写的漏洞存在，它运行一段时间后会导致LSASS.EXE的崩溃，当LSASS.EXE崩溃时系统默认会重启。

9、同时开启1027个线程攻击。

10、该自运行的蠕虫通过使用Windows的一个漏洞来传播[MS04-011 vulnerability (CAN-2003-0907)]，关于该漏洞的更多信息请访问：

http://www.microsoft.com/china/technet/security/bulletin/MS04-011.mspx