CERT-FI on julkaissut Sasser-madon poisto-ohjeet. Sasser on Windows-käyttöjärjestelmän lsass-haavoituvutta hyväksikäyttävä, suoraan verkon välityksellä leviävä verkkomato.
Tarkempi kuvaus Sasser-haittaohjelmasta löytyy CERT-FI:n varoituksesta 32/2004:
http://www.ficora.fi/suomi/tietoturva/varoitukset/varoitus-2004-32.htm
Ennen madon poistamista päivitä tietojärjestelmä MS04-011 -turvatiedotteen mukaisesti.
Sasser-madon poistaminen automaattisilla poistotyökaluilla
Microsoft on julkaissut madon poistotyökalun, mikä on saatavilla ilmaiseksi
osoitteesta:
http://www.microsoft.com/security/incident/sasser.asp
Sasser-madon poistotyökaluja on ladattavissa ilmaiseksi useiden virustorjuntaohjelmistoja valmistavien yritysten sivuilta, esim.
ftp://ftp.f-secure.com/anti-virus/tools/f-sasser.zip
http://securityresponse.symantec.com/avcenter/venc/data/w32.sasser.removal.tool.html
http://vil.nai.com/vil/stinger/
Sasser-madon poisto manuaalisesti:
- Valitse start (käynnistä)-valikko -> settings (asetukset) -> control-panel (ohjauspaneeli) -> System (järjestelmä) -> System Restore (järjestelmän palauttaminen) ja valitse Turn off System Restore (poista järjestelmän palauttaminen käytöstä). Valitse sen jälkeen näyttöön tulevassa valintaikkunassa "Yes" (kyllä).
- Sulje haittaohjelmaprosessi seuraavasti: Paina Ctrl+Alt+Del-näppäimiä -> valitse Task Manager (tehtävienhallinta) -> Valitse processes (prosessit) -> etsi listasta avserve.exe tai avserve2.exe -niminen prosessi ja lopeta se napsauttamalla hiiren oikeaa painiketta ja valitsemalla End Process- (lopeta prosessi)-painiketta.
- Poista avserve.exe tai avserve2.exe-tiedosto. Tiedoston voi paikallistaa käyttämällä esimerkiksi Windows-käyttöjärjestelmän Search (etsi)-ominaisuutta.
- Käynnistä rekisterieditori valitsemalla start (käynnistä)-valikosta -> Run (suorita), kirjoittamalla avautuvaan ikkunaan regedit ja valitsemalla "OK" (kyllä). Rekisterieditorissa etene hakemistorakennetta pitkin hakemistoon HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run ja poista sieltä arvo "avserve.exe" = C:\WINDOWS\avserve.exe tai "avserve2.exe" = C:\WINDOWS\avserve2.exe.
- Käynnistä tietojärjestelmä uudelleen
- Aktivoi System Restore (järjestelmän palauttaminen) päälle poistamalla Turn off System Restore (poista järjestelmän palauttaminen käytöstä, kts. kohta 1).