Gusano Sasser infecta automáticamente sistemas Windows 2000 y XP vulnerables
Sasser es un nuevo gusano de red que aprovecha un desbordamiento de
buffer en el servicio LSASS de Windows para infectar a otros sistemas de
forma automática.
Síntomas y desinfección
Además de detectar la entrada en el registro, el archivo avserve.exe en
la carpeta de Windows, o el proceso avserve.exe en memoria, otro síntoma
que nos puede indicar que un sistema se encuentra infectado es una
ralentización general, que será provocada por el consumo de CPU que
provocan los 128 hilos de ejecución que el gusano lanza para realizar
los barridos de IPs.
Otras evidencias visibles a primera vista
son las ventanas de Windows alertando de problemas en LSA Shell o de
errores en lsass.exe y el reinicio del sistema, provocados por la
explotación del desbordamiento de buffer del servicio LSASS.
Como
indicamos al principio de la nota, como primera medida de prevención
para no volver a infectarnos por el gusano, debemos instalar el parche
MS04-011. A continuación podemos finalizar el proceso avserve.exe de la
memoria con el administrador de tareas, eliminar el ejecutable
avserve.exe de la carpeta de Windows, así como la entrada del registro
que hace referencia a él, comentada con anterioridad. Adicionalmente,
también puede borrarse el archivo win.log de la raíz de la unidad C:,
creado por el gusano.
