W32.Sasser.B.Worm

W32.Sasser.B.Worm ist eine Variante von W32.Sasser.Worm. Der Wurm versucht, die im Microsoft Security Bulletin MS04-011 beschriebene LSASS-Sicherheitslücke auszunutzen, und verbreitet sich, indem er über willkürlich gewählte IP-Adressen nach anfälligen Systemen sucht. W32.Sasser.B.Worm unterscheidet sich folgendermaßen von W32.Sasser.Worm: Er verwendet eine andere Mutex: Jobaka3. Er verwendet einen anderen Dateinamen: avserve2.exe. Er hat einen anderen MD5-Wert. Er erstellt einen anderen Wert in der Registrierung: "avserve2.exe." Hinweise: Der MD5-Hash-Wert für diesen Wurm lautet 0x1A2C0E6130850F8FD9B9B5309413CD00. Blockieren Sie auf der Perimeter-Firewall die TCP-Ports 5554, 9996 und 445 und installieren Sie den entsprechenden Microsoft-Patch (MS04-011), um zu verhindern, dass diese Schwachstelle ausgenutzt wird. W32.Sasser.B.Worm kann auch auf Windows 95/98/Me-Computern ausgeführt werden (ohne diese jedoch zu infizieren). Obwohl diese Betriebssysteme nicht infiziert werden können, so können sie jedoch zur Weiterverbreitung des Wurms auf damit verbundene, anfällige Systeme verwendet werden. In diesem Fall verbraucht der Wurm sehr viele Ressourcen. Dadurch können Programme, so auch unser Entfernungsprogramm, nicht mehr richtig ausgeführt werden. (Auf Windows 95/98/Me-Computern sollte das Programm im abgesicherten Modus ausgeführt werden.) Security Response hat einige Informationen zur Verfügung gestellt, um Netzwerkadministratoren bei ihren fortwährenden Bemühungen zu helfen, mit W32.Sasser.Worm infizierte Computer in ihren Netzwerken aufzuspüren. Weitere Informationen finden Sie im englischsprachigen Dokument Detecting traffic due to LSASS worms.

Auch bekannt als:	WORM_SASSER.B [Trend], W32/Sasser.worm.b [McAfee], Worm.Win32.Sasser.b [Kaspersky], W32/Sasser-B [Sophos], Win32.Sasser.B [Computer Associates]
Varianten:	W32.Sasser.Worm
Typ:	Wurm
Infektionslänge:	15872 Byte
Betroffene Systeme:	Windows 2000, Windows XP
Nicht betroffene Systeme:	DOS, Linux, Macintosh, Novell Netware, OS/2, UNIX, Windows 3.x, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003
CVE-Referenzen:	CAN-2003-0533

Virusdefinitionen (LiveUpdate™ Weekly) 01.05.2004 Virusdefinitionen (Intelligent Updater) 01.05.2004

Im Umlauf Anzahl der Infektionen: Mehr als 1000 Anzahl der Sites: Mehr als 10 Geografische Verbreitung: Hoch Bekämpfungschance: Einfach Entfernung: Mittel

Bedrohungsdaten Im Umlauf: Mittel Schaden: Niedrig Verteilung: Hoch

Schaden

• Auslöser des destruktiven Auftrages: n/a
• Funktion: n/a
  • E-Mail-Versand in großem Maßstab: n/a
  • Löschen von Dateien: n/a
  • Ändern von Dateien: n/a
  • Herabsetzen der Systemleistung: Starke Beeinträchtigung der Systemleistung
  • Verursachen von Systeminstabilität: n/a
  • Verbreitung vertraulicher Informationen: n/a
  • Veränderung von Sicherheitseinstellungen: n/a

Verteilung

• Titel der E-Mail (Betreff-Zeile): n/a
• Name des Anhangs: n/a
• Größe des Anhangs: n/a
• Datum des Anhangs: n/a
• Anschlüsse: TCP-Ports 445, 5554, 9996
• Gemeinsame Laufwerke: n/a
• Ziel der Infektion: Systeme ohne Patches, die für die LSASS-Sicherheitslücke anfällig sind (Microsoft Bulletin MS04-011)

Bei Ausführung geht W32.Sasser.B.Worm folgendermaßen vor:

1. Er versucht, eine Mutex mit dem Namen JumpallsNlsTillt zu erstellen. Schlägt dies fehl, so wird der Wurm nicht ausgeführt. Hierdurch wird sichergestellt, dass immer nur eine Instanz des Wums zur selben Zeit auf dem Computer ausgeführt wird.
   
   
2. Er versucht, eine Mutex mit dem Namen Jobaka3 zu erstellen. Diese Mutex scheint keinen besonderen Zweck zu haben.
   
   
3. Er kopiert sich nach %Windir%\Avserve2.exe.
   
   

   ---

   Hinweis: %Windir% ist eine Variable. Der Wurm sucht den Windows-Installationsordner (üblicherweise C:\Windows oder C:\Winnt) und kopiert sich dorthin.

   ---

   
   
4. Er fügt den Wert
   
   "avserve2.exe"="%Windir%\avserve2.exe"
   
   dem folgenden Registrierungsschlüssel hinzu:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   
   Dadurch wird der Wurm ausgeführt, sobald Sie Windows starten.
   
   
5. Er verhindert mithilfe der API AbortSystemShutdown den Versuch, den Computer herunterzufahren und neu zu starten.
   
   
6. Er startet über den TCP-Port 5554 einen FTP-Server. Mithilfe dieses Servers kann sich der Wurm auf andere Hosts verbreiten.
   
   
7. Er beschafft sich die IP-Adressen des infizierten Computers über das Windows-API gethostbyname.
   
   

   ---

   Hinweis: Der Wurm ignoriert die folgenden Adressen:
   
   • 127.0.0.1
   • 10.x.x.x
   • 172.16.x.x - 172.31.x.x (einschließlich)
   • 192.168.x.x
   • 169.254.x.x

     ---

     
     
     
8. Auf der Grundlage einer dieser IP-Adressen vom infizierten Computer generiert der Wurm dann eine weitere IP-Adresse.
   
   • In 25 % der Fälle werden die letzten zwei Oktetts der IP-Adresse durch willkürliche Zahlen ersetzt. Wenn die unter Schritt 7 erhaltene IP-Adresse beispielsweise A.B.C.D ist, so werden C und D willkürlich gewählt.
   • In 23 % der Fälle werden die letzten drei Oktetts der Adresse durch willkürliche Zahlen ersetzt. Wenn die unter Schritt 7 erhaltene IP-Adresse beispielsweise A.B.C.D ist, so werden B, C und D willkürlich gewählt.
   • In 52 % der Fälle wird die IP-Adresse völlig willkürlich gewählt.
     
     

     ---

     Hinweise:
   • Da der Wurm in 52 % der Fälle völlig beliebige Adressen erstellen kann, können alle IP-Bereiche infiziert werden, also auch die unter Schritt 7 ignorierten.
   • Der Prozess besteht aus 128 Threads und beansprucht daher sehr viel CPU-Zeit. Daher kann ein infizierter Computer sehr stark verlangsamt oder gar kaum mehr benutzbar werden.

     ---

     
     
9. Er stellt über den TCP-Port 445 eine Verbindung zur generierten IP-Adresse her, um festzustellen, ob ein entfernter Computer online ist.
   
   
10. Wenn eine Verbindung zu einem Computer hergestellt werden konnte, sendet der Wurm Shellcode an diesen Computer, durch den der Wurm eine Remote-Shell auf dem TCP-Port 9996 öffnen kann.
    
    
11. Der Wurm verwendet die Shell auf dem Remote-Computer, um auf Port 5554 wieder eine Verbindung zum FTP-Server des infizierten Computers herzustellen und eine Kopie des Wurms abzurufen. Der Name dieser Kopie besteht aus vier oder fünf Ziffern und der angehängten Zeichenfolge _up.exe (z. B. 74354_up.exe).
    
    
12. Der Prozess Lsass.exe stürzt ab, nachdem der Wurm die LSASS-Schwachstelle von Windows ausgenutzt hat. Windows zeigt eine Warnmeldung an und schaltet das System dann innerhalb von einer Minute ab.
    
    
13. Er erstellt eine Datei unter C:\win2.log, die die IP-Adresse des Computers enthält, den der Wurm als letztes zu infizieren versucht hat. Außerdem enthält die Datei die Anzahl der infizierten Computer.

• Virenschutzkomponente: Es ist eine Aktualisierung für die Symantec Gateway Security AntiVirus-Engine verfügbar, die Ihr System vor W32.Sasser.B.Worm schützt. Benutzern der 5000-Serie von Symantec Gateway Security wird empfohlen, LiveUpdate auszuführen.
• IDS/IPS-Komponente: Eine Signatur für die 5400-Serie von Symantec Gateway Security, die Angriffe auf die Microsoft LSASS-Sicherheitslücke erkennt, ist in der am 14. April herausgebrachten Sicherheitsaktualisierung SU 8 enthalten.
  Außerdem wurde eine Signatur für SGS 1.0 herausgebracht, die Angriffe auf die Microsoft LSASS-Schwachstelle erkennt. Benutzern der 5000-Serie von Symantec Gateway Security wird empfohlen, LiveUpdate auszuführen.
• Vollständige Anwendungsinspektions-Firewall-Komponente: Die vollständige Anwendungsinspektions-Firewall-Technologie von Symantec schützt Sie standardmäßig vor dem Wurm W32.Sasser.B.Worm, indem Angreifern der Zugriff auf den TCP-Port 445 sowie die Hintertür-Ports (TCP-Ports 5554 und 9996) bei infizierten Computern verwehrt wird. Administratoren wird empfohlen, sicherzustellen, dass die Sicherheitsrichtlinien auf diesen Ports keinen eingehenden Verkehr zulassen.

Symantec Security Response bietet diese Vorschläge über die Einstellungen Ihrer Symantec-Produkte an, um die Folgen der Bedrohung zu mildern.

Symantec Gateway Security Führen Sie LiveUpdate auf der Appliance aus, um die aktuellsten Virusdefinitionen und IDS/IPS-Definitionen zu erhalten. Stellen Sie sicher, dass Ihre Sicherheitsrichtlinien keinen eingehenden Verkehr auf die TCP-Ports 445, 5554 und 9996 zulassen. Wenn Ihre Sicherheitseinstellungen es jedoch erfordern, dass Zugriff auf den TCP-Port 445 zugelassen wird (Microsoft-Netzwerke), stellen Sie sicher, dass Sie GATING (IPS) für die MS LSASS-Angrifffssignatur aktivieren. Symantec Enterprise Firewall Stellen Sie sicher, dass Ihre Sicherheitsrichtlinien keinen eingehenden Verkehr auf die TCP-Ports 445, 5554 und 9996 zulassen. Symantec Clientless VPN Stellen Sie sicher, dass der Zugriff auf internen Systemen auf die TCP-Ports 445, 5554 oder 9996 durch keine Regel zugelassen wird. Stellen Sie sicher, dass Ihre Benutzer auf ihren Computern LiveUpdate ausführen. Symantec Gateway Security 300 Appliance Stellen Sie sicher, dass Ihre Sicherheitsrichtlinien KEINE eingehenden Verbindungen auf die TCP-Ports 445, 5554 und 9996 zulassen (diese sind standardmäßig gesperrt). Konfigurieren Sie die AV Policy Enforcement-Funktion auf Ihren Gateways so, dass Ihre Symantec Antivirus Corporate Edition- und Symantec Client Security-Desktops über die aktuellsten Virusdefinitionen verfügen. Führen Sie LiveUpdate auf Ihren Desktop-AV-Clients aus und weisen Sie alle Ihre Benutzer an, eine vollständige Prüfung ihrer Arbeitsplatzcomputer durchzuführen. Symantec Firewall / VPN Appliance Stellen Sie sicher, dass Ihre Sicherheitsrichtlinien KEINE eingehenden Verbindungen auf die TCP-Ports 445, 5554 und 9996 zulassen (diese sind standardmäßig gesperrt). Führen Sie LiveUpdate auf Ihren Desktop-AV-Clients aus und weisen Sie alle Ihre Benutzer an, eine vollständige Prüfung ihrer Arbeitsplatzcomputer durchzuführen.

Symantec Security Response empfiehlt allen Anwendern und Administratoren, die folgenden grundlegenden Sicherheitsregeln einzuhalten:

• Beenden und entfernen Sie all nicht benötigten Dienste. Viele Betriebssysteme installieren automatisch Hilfsprogramme, die nicht kritisch sind, wie FTP-Clients, Telnet und einen Internetbrowser. Diese Dienste öffnen Angriffen Tür und Tor. Wenn Sie entfernt werden, bestehen weniger Angriffsflächen und Sie haben weniger Programme zu pflegen.
• Wenn eine komplexe Bedrohung über mehr als ein Netzwerkdienst verteilt wird, werden diese deaktiviert oder blockiert, bis ein Patch ausgeführt wurde.
• Halten Sie Ihre Patches immer auf dem neuesten Stand, besonders auf den Computern, auf denen öffentliche Dienste angeboten werden und auf die durch eine Firewall über z. B. http, FTP, E-Mail und DNS-Dienste zugegriffen werden kann.
• Richten Sie einen Passwortschutz ein. Komplexe Kennwörter erschweren den Einbruch in Kennwortdateien auf beschädigten Computern. Dies hilft Ihnen, die Folgen eines Computereinbruchs zu mindern.
• Stellen Sie Ihren E-Mail-Server so ein, dass E-Mails, die Dateianhänge enthalten, über die häufig Viren verbreitet werden, wie Dateien mit der Endung .vbs, .bat, .exe, .pif und .scr, blockiert oder entfernt werden.
• Isolieren Sie infizierte Computer schnell, um weiteren Schaden zu vermeiden. Führen Sie eine forensische Analyse durch und reparieren Sie den Computer mit Hilfe vertraulicher Medien.
• Schulen Sie Ihre Angestellten daraufhin, keine Anhänge zu öffnen, wenn diese unaufgefordert eingesendet werden. Führen Sie ebenfalls keine Software aus, die aus dem Internet geladen wurde, wenn die Dateien zuvor nicht auf Viren geprüft wurden. Schon der einfache Besuch einer beschädigten Internetseite kann eine Infektion hervorrufen, wenn bestimmte Browserschäden nicht repariert werden.

1. Trennen Sie die Internet-/Netzwerkverbindung des Computers. (Entfernen Sie ggf. das Kabel.)
2. Starten Sie den Computer neu.
3. Sobald Windows geöffnet ist und Sie den Windows-Desktop sehen, klicken Sie auf Start > Ausführen.
4. Geben Sie Folgendes ein:
   
   cmd
   
   und drücken Sie die Eingabetaste.
   
   
5. Geben Sie Folgendes ein:
   
   shutdown -i
   
   und drücken Sie die Eingabetaste.
   
   
6. Wenn das Dialogfeld Remotecomputer herunterfahren angezeigt wird, gehen Sie folgendermaßen vor:
   
   1. Klicken Sie auf Hinzufügen, geben Sie den Namen Ihres Computers im Dialogfeld Computer hinzufügen ein und klicken Sie auf OK.
   2. Geben Sie im Feld Warnung anzeigen für den Wert "9999" ein.
   3. Geben Sie folgenden Text unter Kommentar ein:
      
      Ausschalten durch Lsass.exe verzögern
      
   4. Klicken Sie auf OK.
      
      Dadurch erhalten Sie in etwa 3 Stunden Zeit, in denen Sie u. a. den Patch installieren und die Definitionen aktualisieren können.
      
7. Stellen Sie die Internetverbindung oder die Netzwerkverbindung wieder her.
8. Öffnen Sie Ihren Browser und laden Sie den Patch herunter. Fahren Sie mit den folgenden Schritten fort.
   

1. Beenden Sie den bösartigen Prozess.
2. Deaktivieren Sie die Systemwiederherstellung (Windows XP).
3. Aktualisieren Sie Ihre Virusdefinitionen.
4. Führen Sie eine vollständige Systemprüfung durch und löschen Sie alle Dateien, die als mit W32.Sasser.B.Worm infiziert erkannt werden.
5. Machen Sie die an der Registrierung vorgenommenen Änderungen rückgängig.

So beenden Sie den bösartigen Prozess:
1. Drücken Sie zugleich Strg+Alt+Entf.
2. Klicken Sie auf Task-Manager.
3. Klicken Sie auf die Registerkarte Prozesse.
4. Doppelklicken Sie auf die Spaltenüberschrift Name, um die Prozesse alphabetisch zu ordnen.
5. Durchsuchen Sie die Liste nach den folgenden Prozessen:
   • avserve.exe
   • Jeder Prozess, dessen Name aus 4 oder 5 Ziffern und der angehängten Zeichenfolge _up.exe besteht (z. B. 74354_up.exe)
6. Wenn Sie einen solchen Prozess finden, klicken Sie darauf und klicken Sie anschließend auf Prozess beenden.
7. Schließen Sie den Task-Manager.

• Das Ausführen von LiveUpdate ist die einfachste Methode, um Virusdefinitionen zu beziehen: Diese Virusdefinitionen werden einmal wöchentlich auf den LiveUpdate-Servern abgelegt (üblicherweise mittwochs), soweit kein größerer Virusausbruch vorliegt. Um festzustellen, ob über LiveUpdate Definitionen für diese Bedrohung verfügbar sind, klicken Sie auf den Link Virusdefinitionen (LiveUpdate).
• Laden Sie die Virusdefinitionen mit dem Intelligent Updater herunter. Virusdefinitionen des Intelligent Updaters werden an Geschäftstagen (montags bis freitags) veröffentlicht. Sie sollten von der Symantec Security Response-Website heruntergeladen und manuell installiert werden. Um festzustellen, ob über den Intelligent Updater Definitionen für diese Bedrohung verfügbar sind, klicken Sie auf den Link Virusdefinitionen (Intelligent Updater).
  
  Die Intelligent Updater-Virusdefinitionen sind verfügbar: Detaillierte Anweisungen erhalten Sie im Dokument Wie werden die Virusdefinitionsdateien mit dem Intelligent Updater aktualisiert.

1. Starten Sie Ihr Symantec Antivirus-Programm und stellen Sie sicher, dass es zur Überprüfung aller Dateien konfiguriert ist.
   • Für Norton AntiVirus-Privatanwenderprodukte: Lesen Sie das Dokument Norton AntiVirus zum Prüfen aller Dateien einstellen.
   • Für Symantec AntiVirus Enterprise-Produkte: Lesen Sie das Dokument Wie überprüfen Sie, ob ein Symantec AntiVirus Corporate Edition-Produkt zum Prüfen aller Dateien eingestellt ist.
2. Führen Sie eine vollständige Systemprüfung durch.
3. Wenn Dateien als mit W32.Sasser.B.Worm infiziert gemeldet werden, klicken Sie auf Löschen.

1. Klicken Sie auf Start > Ausführen. Das Dialogfeld Ausführen wird geöffnet.
2. Geben Sie regedit ein und klicken Sie auf OK. Der Registrierungseditor wird geöffnet.
3. Suchen Sie den Schlüssel
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   
   
4. Löschen Sie diesen Wert im rechten Teilfenster:
   
   "avserve2.exe"="%Windir%\avserve2.exe"
   
   
5. Schließen Sie den Registrierungseditor.

Bisherige Aktualisierungen:

• 27. Oktober 2004: Aufgrund der sinkenden Anzahl von Meldungen von Kategorie 3 auf Kategorie 2 herabgestuft.
• 26. Mai 2004: Aufgrund der sinkenden Anzahl von Meldungen von Kategorie 4 auf Kategorie 3 herabgestuft.
• 2. Mai 2004:
  • W32.Sasser.B.Worm auf Kategorie 4 hochgestuft.
  • Alias-Informationen hinzugefügt.
• 1. Mai 2004: Link zum Entfernungsprogramm hinzugefügt.

Zuletzt aktualisiert von: Heather Shannon