Einige AV-Hersteller schreiben Sasser keine eigenen Schadfunktionen zu, das mag großteils stimmen. Allerdings gibt es einen unschönen Nebeneffekt.
Ich war gerade im Rechenzentrum zwecks Lagebesprechung und es gab interessante Informationen als bestätigung dessen, was ich in einem anderen Posting unten schon vermutet hatte:
Phatbot ist unterwegs und schleicht sich auch auf Sasser infizierte Rechner ein. Die (un)schöne nebenwirkung ist, daß Phatbot die Backdoor, die Sasser installiert in Form eines TFTP wieder schließt und Sasser unschädlich macht. In mehreren Studentenwohnheimen wurden Rechner untersucht, deren Besitzer nichts von einer Infektion merkten aus einem einfachen Grund:
Ursprünglich war eine erfolgreiche Sasser-Infektion. Wenn Sasser erfolgreich einen Rechner korrumpiert, so stürzt der LSASS-Dienst nicht ab, das passiert nur bei einer erfolglosen Infektion, wenn der Wurm den falschen Offset für den Exploit gewählt hat, da dieser bei 2000, XP und 2003 unterschiedlich liegt. Zielmlich direkt nach der Infektion schleuste sich ein Phatbot ein (der auch noch andere Einfallstore nutzt außer Backdoors von Sasser). Phatbot besietigte die Hintertür, es konnten keine weiteren Sasser-Angriffe mehr erfolgen, der User bemerkte also nichts von einer Infektion.
Also auch bei Leuten, die keinerlei Infektion bemerken und bei denen Stinger oder ihr Antivirentool nicht angeschlagen haben können nicht sicher sein, daß ihr System sauber ist, wenn sie den Patch von Microsoft nicht vor dem Wochenende eingespielt hatten.
REPI
xafford
