Page d'accueil
encyclopedie-enligne.com en page d'accueil| Page d'accueil |
encyclopedie-enligne.com en page d'accueil |
|||||
| Liste Articles: [0-A] [A-C] [C-F] [F-J] [J-M] [M-P] [P-S] [S-Z] | Liste Catégories | Une page au hasard | Pages liées | ||||||
 |
| Cet article fait partie de la série Vers et virus informatiques |
| Virus |
| Tchernobyl |
| Vers |
| Bagle - Code Red I love you - Nimda Sasser - NetSky Slammer |
| Canulars |
| Alerte au virus Personne disparue Lettre nigériane |
| Voir aussi |
| Sécurité informatique Programmation |
Sasser est un ver informatique qui se propage de manière différente des classiques MyDoom.A et dérivés. Les premières infections ont eu lieu le 30 avril 2004 sur les machines sur lesquelles le correctif de sécurité fourni par Microsoft depuis le 13 avril 2004 n'avait pas été appliqué.
Ce ver se propage automatiquement par le port 445 sur toute machine connectée en réseau, si elle est équipée du système d'exploitation Microsoft Windows 2000, Windows XP ou Windows Server 2003 et sans le correctif nécessaire (ou si elle n'est pas protégée par un pare-feu correctement configuré).
Une machine infectée télécharge un programme qu'elle exécute automatiquement à l'insu de l'utilisateur. Ce programme cherche ensuite dans le réseau les machines suceptibles d'être contaminées et s'y propage si cela s'avère possible. Parmi les effets secondaires induits par l'exécution du virus, on note des redémarrages intempestifs de la machine ainsi que des messages d'erreurs.
D'une taille de 15 872 octets (pour la version initiale), il profite d'une faille LSASS de Windows pour télécharger sur la machine infectée un fichier nommé avserve.exe dans le répertoire Windows via FTP et le port TCP 5554 et lance son exécution à distance sans aucune intervention de l'utilisateur.
Ensuite, le ver se copie dans le répertoire System avec un nom aléatoire se terminant par _up.exe. Il modifie la base de registres pour se lancer à chaque démarrage. Il lance alors cent vingt-huit processus simultanés afin de balayer le réseau et trouver de nouveaux hôtes. Le système est enfin rendu instable, d'où un plantage de lsass.exe et un redémarrage automatique accompagné du message d'erreur : LSA Shell has encountered a problem and needs to close. We are sorry for the inconvenience.
Selon les premières estimations, ce sont plusieurs millions de machines qui ont été atteintes par Sasser dès les premiers jours.
Comme le Blaster (Lovesan), il est apparu peu de temps après la publication par Microsoft du correctif MS04-011 de la vulnérabilité qu'il exploite.
Les systèmes d'exploitation de type GNU/Linux, Mac OS, Unix ou autres ne sont pas sensibles à ce virus.
Un allemand de 18 ans, auteur présumé du ver, a été arrêté par la police de son pays le 7 mai 2004, soit quelques jours à peine après la sortie du ver. Il aurait avoué avoir également créé le ver Netsky pour s'opposer aux vers MyDoom et Bagle. Malgré cette arrestation, la variante E de Sasser est apparue sur Internet.
En fonction des éditeurs d'antivirus, le nom d'identification du ver est différent : W32/Sasser.x@MM, W32.Sasser.X@mm, WORM_SASSER.X, W32/Sasser-X ou Win32.Sasser.X. « X » étant une nouvelle variante :
