Registrirana je pojačana aktivnost crva W32/Blaster-A za koji je Sophos Plc primio veći broj prijava otkrivanja. Qubis d.o.o. do sada je također primio veći broj dojava otkrivanja ovog crva u Hrvatskoj. Crv W32/Blaster-A prepoznavat će Sophos Anti-Virus za listopad 2003. (v3.74).

Instalacije svih korisnika koji koriste Enterprise Manager, Sophosov alat za automatizirano dograđivanje putem Interneta, dograđene su automatski 11. kolovoza 2003., kada je objavljena prva verzija ove dogradnje ili nakon toga, ovisno o tome kako je podešena učestalost dograđivanja.

Svim korisnicima preporučujemo da, ako već nisu, svoje programe Sophos Anti-Virus odmah dograde hitnom dogradnjom za prepoznavanje ovog crva, koju možete naći na http://www.sophos.com/downloads/ide/.

Vrsta

Win32 crv

Alias

W32/Lovsan.worm, W32.Blaster.Worm, WORM_MSBLAST.A, Win32.Poza, Worm/Lovsan.A

Način širenja

Crv napada operativne sustave Microsoft Windows (NT, 2000, XP, 2003). Širi se korištenjem sigurnosnog propusta opisanog u Microsoftovom biltenu MS03-026. Problem s ovim crvom nije moguće kvalitetno riješiti bez primjene ove zakrpe.

Aktivnosti / Simptomi / Posljedice

Po pokretanju virus će kreirati datoteke:

• %WindowsSystem%\msblast.exe
• %WindowsSystem%\penis32.exe

U registry-ju dodaje stavku

• HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Run \ windows auto update

Korištenjem navedenog sigurnosnog propusta crv se na udaljeno računalo kopira i pokrene. Ponekad prilikom pokretanja uzrokuje restart računala uz poruku:

Na dan 16. kolovoza 2003. i nakon njega počinje DDoS napad na server windowsupdate.com.

Uklanjanje

• onemogućite System restore ako ga OS podržava
• uklonite inficirano računalo s mreže
• primijenite navedenu zakrpu (bez tog koraka nije moguće kvalitetno rješenje problema)
• pokrenite Sophosov program za uklanjanje ovog crva
• provjerite da li su uklonjene datoteke koje crv kreira
• provjerite da li su uklonjene stavke iz registry-ja koje dodaje drv
• pokrenite Sophos Anti-Virus i skenirajte računalo
• omogućite System restore

Zaštita od infekcije

• primjena zakrpa za ranjivost koje crv iskorištava (bez toga nije moguće kvalitetno riješiti problem)
• zatvaranje portova 69, 135 i 4444 tamo gdje nije potrebno da budu aktivni
• preimenujte ili uklonite datoteku tftp.exe ako nije neophodna na računalima

Ostalo

Crv u sebi sadrži poruku (koja se ne prikazuje):

I just want to say LOVE YOU SAN!! billy gates why do you make this possible ?
Stop making money and fix your software!!

Još podataka možete pronaći na sljedećim stranicama:

• Sophos - Podaci o crvu
• Sophos - Uklanjanje

Sažetak svojstava