Újabb Sasser variáns terjed

A féreg paraméterei

Felfedezésének ideje: 2004. augusztus 23.
Utolsó frissítés ideje: 2004. augusztus 24.
Veszélyeztetett rendszerek: Windows 2k/XP/2k3
Nem érintett rendszerek: Windows 3.x/9x/Me/NT, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 58.880 byte
Fertőzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Károkozás mértéke: alacsony
Eltávolítása: könnyű

Aktiválódása esetén lezajló események

– létrehozza a PinaasoSky és a Jobaka3 mutexeket, és kilép, ha ez nem sikerül; így csak egyszer töltődik be a memóriába
– felmásolja magát a Windows könyvtárba avserve3.exe és wserver.exe néven, ugyanitt létrehozza a skynet.cpl és a comp.cpl állományokat
– hozzáadja a HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Registry kulcshoz a következő két bejegyzés valamelyikét:
. avserve3.exe=[Windows elérési útvonala]/avserv3.exe
. wserver=[Windows elérési útvonala]/wserver.exe
– megkísérel minden olyan próbálkozást megakadályozni, mely a számítógép leállítására vagy újraindítására irányul
– FTP-szervert indít az 5554-es TCP porton, ennek révén terjeszti majd magát
– megszerzi a megfertőzött számítógép IP-címét, melynek alapján generál egy másik IP-címet
– megkísérel a 445-ös TCP porton csatlakozni az ehhez a címhez tartozó számítógéphez, hogy meghatározza, létezik-e egyáltalán ilyen
– amennyiben sikerrel járt, elküldi saját shell kódját, aminek révén a távoli PC-n megnyílik a 9996-os TCP port, ezt követően az visszacsatlakozik az eredeti számítógéphez, s lemásolja onnan a férget (négy vagy öt szám után _up.exe formában)
– létrehozza a C meghajtó gyökerében a win2.log állományt, ami azokat az IP-címeket tartalmazza, amiket a féreg már megpróbált megfertőzni, illetve egy számot arról, hogy mennyinél járt sikerrel