McAfee for Small Businesses

以下の症状が見られる場合、このウイルスに感染している可能性があります。

TOPへ戻る

・W32/Sasser.wormはavserve.exe として自身をウィンドウズディレクトリにコピーし、スタートアップ時に自身がロードされるようにレジストリランキーを作成します。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Run "avserve.exe" = C:\WINDOWS\avserve.exe ・W32/Sasser.wormはランダムなIPアドレスをスキャンし、1068で始まる接続に成功したTCPポートの受信待機をします。またTCPポート5554上でFTPサーバを稼動させ、TCPポート9996にリモートシェルを作成します。 ・win.logという名前のファイルがCドライブに作成されます。このファイルにはローカルホストのIPアドレスが含まれています。 ・このウイルスのコピーが#_up.exeとしてウィンドウズシステムディレクトリに作成されます。 例: c:\WINDOWS\system32\11583_up.exe c:\WINDOWS\system32\16913_up.exe c:\WINDOWS\system32\29739_up.exe ・W32/Sasser.wormの副作用として、LSASS.EXEファイルをクラッシュさせます。クラッシュが起きると、以下のウィンドウが表示され、システムが再起動する場合があります。

感染方法

TOPへ戻る

・W32/Sasser.wormはマイクロソフトウィンドウズのセキュリティホールを利用することで繁殖し、ユーザによる干渉がなくてもマシンからマシンへとウイルスを広げていきます。 ・W32/Sasser.wormはIPアドレスをランダムにスキャンし、利用可能なシステムを探します。該当するシステムを発見すると、LSASS.EXE内のバッファをオーバーフローさせることでセキュリティホールのあるシステムを利用します。W32/Sasser.wormはTCPポート9996上にリモートシェルを作成します。次にcmd.ftpという名前でFTPスクリプトをリモートホストに作成し実行します。このFTPスクリプトは、標的となるマシンに、ウイルスに感染したホストからW32/Sasser.wormを上述の#_up.exeファイルと共にダウンロードするように指示します。このウイルスに感染したホストはTCPポート5554上のFTPトラフィックを受け入れます。 ・W32/Sasser.wormは複数のスレッドを発生させます。スレッドにはローカルのクラスAサブネットをスキャンするもの、クラスBサブネットをスキャンするもの、完全にランダムなサブネットをスキャンするものがあります。 このワームがローカルサブネットに存在する場合、サブネットが10.0.0.0や192.168.0.0のようなパブリックで無い場合でもスキャンを行います。攻撃の対象となるポートはTCP445です。

駆除方法

TOPへ戻る

■指定のエンジンとウイルス定義ファイルを使用して、検出・駆除して下さい。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 Windows ME/XPでの駆除についての補足 ・感染したシステムは、W32/Sasser.wormによるセキュリティホールを利用した攻撃を防ぐためにマイクロソフトアップデートをインストールする必要があります。 http://www.microsoft.com/japan/technet/security/bulletin/ms04-011.asp ■Stinger 駆除ツールStingerがW32/Sasser.wormに対応しています。ダウンロードはこちら ■手動による駆除方法 システムをセーフモードで再起動します。 （電源を入れて、Windows開始の文章が画面に現れたらすぐにF８キーを押し、そこでセーフモードを選びます。） Windowsのディレクトリ（通常はc:\windows か c:\winntです。）からAVSERVE.EXEファイルを削除します。 レジストリキーを編集します。 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\CurrentVersion\Runから 「avserve」の値を 削除します。 システムを再起動します。 ■Snifferをお使いの方へ 以下のSnifferフィルタでW32/Sasserウイルスのトラフィックを探すことができます。 [Sniffer Distributed 4.1/4.2/4.3, Sniffer Portable 4.7/4.7.5, and Netasyst用] SnifferFilter - W32_SasserWorm.zip ■McAfee IntruShield センサに最新のシグネチャセット(1.5.37.5, 1.8.25.4, 1.9.6.4以降)が適用されているIntruShieldでこのワームは検知されます。Sasser ワームが検知されると、以下のような警告がなされます。 DCERPC: Microsoft Windows LSASS Buffer Overflow (0x47601c00) センサがin-lineモードである場合は、検知したパケットをブロックするよう、センサのレスポンスアクションを設定してください。 ■McAfee Desktop Firewall McAfee Desktop Firewallユーザは受信TCPポート5554、9996をブロックすることで不正なリモートアクセスを防げます。