I-Worm/Sasser.f

病毒类型：网络蠕虫

病毒大小：74752字节

传播方式：网络

该病毒为I-Worm/Sasser.a的第三方改造版本。与该病毒以前的版本相同，也是通过微软的最新LSASS漏洞进行传播。如果在纯DOS环境下执行病毒文件，会显示出谴责美国大兵的英文语句。

具体技术特征如下：

1.感染系统为：Windows 2000、Windows XP

2.利用微软的漏洞：MS04-011

补丁下载地址:www.microsoft.com/technet/security/bulletin/MS04-011.mspx

3.病毒运行后，将自身复制为%WinDir%\apatch.exe

4.在注册表启动项HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\Current Version\\Run下创建：

"napatch.exe" = %WinDir%\apatch.exe

这样，病毒在Windows启动时就得以运行。

5.在TCP端口5554建立FTP服务，用以将自身传播给其他计算机。

6.随机在网络上搜索机器，向远程计算机的445端口发送包含后门程序的非法数据，远程计算机如果存在MS04-011漏洞，将会自动运行后门程序，打开后门端口9996。病毒利用后门端口9996，使得远程计算机连接病毒打开的FTP端口5554，下载病毒体并运行，从而遭到感染。

7.病毒还会利用漏洞攻击LSASS.EXE进程，被攻击计算机的LSASS.EXE进程会瘫痪，Windows系统将会有1分钟倒计时关闭的提示。

8.病毒在C:\\win2.log中记录其感染的计算机数目和IP地址。

江民KV系列用户处理对策:

(1)KV用户5月1日的病毒库即可查杀。专杀工具用户请访问http://www.jiangmin.com，下载最新的震荡波病毒专杀工具。

(2)安装系统补丁程序:www.microsoft.com/technet/security/bulletin/MS04-011.mspx，或下载江民公司的内存补丁程序。

(3)利用江民黑客防火墙关闭TCP端口445，5554，9996;

(4)删除病毒增加的注册表键值。

(5)开启KV系列杀毒软件的各项监视开关来预防病毒的入侵。

注：%System%为变量，一般为C:\\Windows\\System (Windows 95/98/Me),

C:\\Winnt\\System32 (Windows NT/2000), 或

C:\\Windows\\System32 (Windows XP)。