Prezado amigo Recebi esta matéria, e creio que provavelmente você possa estar infectado Foi anunciada neste ultimo sábado,dia 1 de maio, a descoberta do primeiro worm projectado exclusivamente para se aproveitar de falhas em componentes do Windows, divulgadas (e corrigidas) no mais recente boletim de segurança da Microsoft, o MS04-011, um dos mais críticos dos últimos meses. Batizado de W32/Sasser.A, o código distribui-se automaticamente em redes de computadores aproveitando-se de uma falha no serviço LSASS (Local Security Authority Subsystem Service), que controla várias tarefas de segurança do Windows, incluindo o acesso ao sistema. O worm Sasser tem várias semelhanças com o Blaster, surgido em agosto do ano passado. O aparecimento de ambos era esperado após a divulgação de falhas no Windows. Assim como o Blaster, o Sasser afecta o Windows 2000 e XP e pode bloquear ou reiniciar os sistemas com um aviso na tela. Uma cópia deste aviso pode ser vista no site da empresa antivírus F-Secure. Sasser é um código escrito em Visual C++ que se envia por redes usando três portas TCP no processo: 445, 9996 e 5554. Pela porta 445, o worm varre a rede, a partir de uma máquina infectada, em busca de outras máquinas cuja vulnerabilidade do serviço LSASS não tenha sido corrigida. É nesta fase que os sistemas vulneráveis, ao serem atingidos, podem bloquear e desligar. Se o ataque for bem-sucedido, o worm inicia comando shell (tela de acesso) na porta 9996, através da qual o sistema é instruído a fazer uma conexão FTP (transferência de arquivos) para baixar e executar o código final do worm. Este servidor FTP fica disponível na porta 5554 em todas as máquinas infectadas e é usado para distribuir o código maléfico para outras máquinas que estão sendo contaminadas. Toda a actividade do servidor FTP é guardada no arquivo C:win.log, que serve como indício de que um sistema foi infectado pelo worm. Ao se instalar no sistema, o Sasser cria uma cópia de si mesmo no diretório do Windows, com o nome "avserve.exe". Este mesmo nome é adicionado à seguinte chave do registro: HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun. O worm também cria um mutex com nome de "Jobaka3l". Mutex é a sigla de mutual exclusion object e se refere a um programa que serve para controlar o acesso a recursos do sistema e evitar que mais de um processo utilize o mesmo recurso ao mesmo tempo. Segundo um aviso criado pela F-Secure para actualização de informações sobre vírus, a incidência de casos de infecção pelo Sasser ainda é considerada baixa, talvez por causa do final de semana. Para se proteger do worm, utilizadores do Windows devem actualizar seus sistemas no site Windows Update Apesar de o Sasser ser considerado o primeiro worm -- isto é, um programa maléfico (malware) que possui rotinas para se auto-reproduzir sem o auxílio de outros arquivos -- criado especificamente para explorar as falhas do Windows divulgadas recentemente, outros tipos de malware já vinham se aproveitando das mesmas falhas. Nesta linha, a Symantec divulgou esta semana a existência de ferramentas hackers classificadas como cavalos de Tróia (geralmente, sem capacidade de auto-reprodução), de nomes Hacktool.THCIISLame e Hacktool.LsassSba O update para remoção do vírus pode ser encontrado em: http://www.microsoft.com/technet/security/bulletin/MS04-011.mspx Atenciosamente Luiz Cezar Projeto - Consultoria em Segurança Virtual