Финская компьютерная фирма F-Secure предупредила, что в минувшие выходные до Эстонии добрался распространяющийся через операционную систему Windows новый сетевой вирус - червь Sasser, пишет газета Kauppalehti.

По предположению F-Secure, к 1 мая Sasser поразил во всем мире уже сотни тысяч компьютеров. далее читаем подробнее и советы по профилактике и лечению...

Sasser автоматически распростряняется в компьютерах, использующих операционную систему Windows, при этом на момент проникновения червя система не обязательно должна быть задействована. Затем червь распространяется в другие компьютеры.

Директор USA Symantec Альфред Гидер (Alfred Hyger) сообщил AFP, что вирус атакует компьютеры, использующие Microsoft Windows 2000, Windows Server 2003 и Windows XP. Вирус не проникает в системы Windows 95, Windows 98, Windows Me и Windows NT, а также Macintosh, Linux и UNIX.

По словам Гиндера, большого ущерба нынешний вирус компьютерам не наносит, однако замедляет работу.

Червь сканирует IP-адреса в поисках компьютеров, подверженных уязвимости MS04-011. Уязвимый компьютер на TCP-порту 9996 запускает командную оболочку "cmd.exe" и принимает команду на загрузку и запуск копии червя. Загрузка выполняется по протоколу FTP.

Для этого червь запускает FTP-сервер на TCP-порту 5554 и по запросу с уязвимого компьютера загружает туда свою копию. Загруженная копия имеет имя "_up.exe", где N - случайное число.

При запуске червь регистрирует себя в ключе автозапуска системного реестра:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
avserve2.exe = %WINDIR%\avserve2.exe
Червь написан на языке C/C++, с использованием компилятора Visual C. Имеет размер ок. 15 Кб, упакован ZiPack.

McAffee рекомендует такой порядок удаления вручную:
1. Перезагрузить систему в безопасном режиме (Hажать F8 при появлении стартового текста Windows и выбрать "безопасный режим" - "Safe Mode")
2. Удалить файл AVSERVE.EXE из директории WINDOWS (обычно c:\windows или c:\winnt)
3. Запустить regedit, удалить переменную "avserve" из
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. Перезагрузить компьютер в нормальный режим.

Полезные ссылки:

Патч Микрософт, закрывающий дыру в lsass :
http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx

Free утилиты для удаления. Полезны для лечения там, где не было антивируса:
- Утилита McAfee Avert Stinger (убивает много чего, добавлена и эта гадость).
http://download.nai.com/products/mcafee-avert/stinger.exe
- Утилита Symantec от этого червя:
http://securityresponse.symantec.com/avcenter/FxSasser.exe
(убивает процессы виря, удаляет его файлы, чистит реестр).