Microsoft Windows -käyttöjärjestelmän lsass-haavoittuvuuttaa hyväksikäyttävä Sasser-mato alkoi levitä vapunpäivän aamuna Suomen aikaa. Mato leviää suoraan verkon välityksellä Windows-koneisiin automaattisesti, vaikka konetta ei käytettäisi, varoittavat muun muassa CERT-FI ja F-Secure.
Mato tunkeutuu kohdejärjestelmään tcp-portin 445 kautta. Sen jälkeen mato aloittaa leviämisen muihin koneisiin etsimällä haavoittuvia järjestelmiä satunnaisesti valitsemistaan ip-osoitteista. Saastuneissa järjestelmissä Sasser-mato käynnistää takaportin TCP-porttiin 9996 ja FTP-palvelun porttiin 5554. Saastunut järjestelmä lataa haittaohjelmakoodin tartunnan aiheuttaneen järjestelmän FTP-palvelusta.
Sasserin saastuttamien koneiden määrän arvellaan jo olevan satoja tuhansia ympäri maailmaa, ja se jatkanee rajua leviämistään kun työviikko alkaa. "Tämä tapaus muistuttaa hyvin paljon Blasteria, verkkomatoa joka levisi elokuussa 2003", sanoo Mikko Hyppönen, F-Securen tutkimusjohtaja. "Molemmat ovat automaattisia verkkomatoja, jotka käyttävät hyödykseen kohtalaisen uutta haavoittuvuutta Windows-järjestelmissä. Tästä turva-aukosta johtuen saastuneet koneet uudelleenkäynnistyvät jatkuvasti."
Mato onkin alkanut levitä odotusten mukaisesti maanantaiaamun aikana, kertoo Ylen tv-uutiset.
Sasser-madosta on liikkeellä kaksi erilaista versiota, jotka molemmat havaittiin 1. toukokuuta. Molemmat leviävät LSASS -nimisen haavoittuvuuden kautta, joka löydettiin huhtikuun puolivälissä. Microsoft julkisti tähän haavoittuvuuteen korjauksen 18 päivää ennen Sasserin ilmestymistä. Mato kohdistuu Windows 2000- ja XP -järjestelmiin, jotka ovat tällä hetkellä yleisimmät käyttöjärjestelmät. Madon aiheuttama liikenne saattaa kuitenkin hidastaa myös muita järjestelmiä, mukaan lukien muita kuin Windows-pohjaisia.
Mato lisää Windows-hakemistoon tiedoston avserve.exe ja rekisteriin asetuksen
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Run "avserve.exe" = C:\WINDOWS\avserve.exe.
Tietojärjestelmän saastuessa Sasser-mato aiheuttaa LSASS- palvelun kaatumisen, joka oletusarvoisesti aiheuttaa tietojärjestelmän uudelleenkäynnistymisen.
Sasser-madosta on ilmestynyt myös B-variantti. Sasser.B- variantti lisää Windows-hakemistoon avserve2.exe nimisen tiedoston.
Yritysten järjestelmien pitäisi olla suojassa Sasserilta ja sen versioilta, koska niiden palomuurit erottavat sisäisen verkon julkisesta. "Siksi olemme eniten huolissamme maanantai-aamusta, kun kannettavien tietokoneiden käyttäjät palaavat työpaikoilleen. Mato voi tällöin olla jo koneessa ja päästä siten palomuurin ohitse", Hyppönen kommentoi.
Päivitä järjestelmä, rajoita liikennettä
Kotikäyttäjien turvaamiseksi ohjeistus on yksinkertainen: Jos koneessa on Windows 2000- tai XP -käyttöjärjestelmä, jota ei ole päivitetty viimeisen kahden viikon aikana, konetta ei saa kytkeä verkkoon ilman palomuuria.
Jos kone on jo saastunut, on lsass-turvareikä paikattava ensin, ja mato poistettava sen jälkeen. Muuten kone voi saastua välittömästi uudelleen.
F-Securen viruslaboratorion tietoja voi lukea osoitteesta http://www.f-secure.com/weblog/ . Tekninen kuvaus madosta löytyy osoitteesta http://www.f-secure.com/v-descs/sasser.shtml F-Secure on myös julkistanut ilmaisen työkalun, jolla Sasserin saa poistettua jo saastuneesta koneelta. Työkalu on ladattavissa yllä mainitusta osoitteesta.
Microsoftin sivuilta http://www.microsoft.com/security/incident/sasser.asp löytyy myös lisää tietoa Sasser-tapauksesta.
CERT-FI suosittelee niin ikään käyttöjärjestelmän välitöntä päivittämistä. Lisäksi CERT-FI:n mukaan käyttäjän kannattaa estää internet-liikenne tcp-porttiin 445 sekä rajoittaa liikennettä myös tcp-portteihin 9996 ja 5554.