A.) Symptome:

a.) Bei allen Varianten:

1. Es erscheint eine Meldung, dass das System heruntergefahren werden muss ("System herunterfahren"). Dies kann auch geschehen, ohne dass später eine Wurmdatei auf dem System gefunden wird!

2. Ggf. wird die Info ausgegeben: "lsass.exe - Fehler in Anwendung".

3. Oder: "LSA Shell (Export Version) hat einen Fehler ermittelt und musste beendet werden".

4. Sasser nutzt die AbortSystemShutdown-API, um Versuche zu unterbinden, das System herunterzufahren oder neu zu starten.

b.) Unterschiedlich, je nach Wurmvariante:

1. Sasser.a
   Folgende Dateien werden erzeugt:
   avserve.exe im Windows-Verzeichnis ("WINNT" bei Windows 2000 und "Windows" bei Windows XP);
   xxxxx_up.exe im Windows-Verzeichnis, wobei xxxxx für eine zufällig generierte vier- oder fünfstellige Zahl steht;
   win.log im Rootverzeichnis (C:), also C:win.log;
   
   In die Registry erfolgt dieser Eintrag:
   Pfad zur avserve.exe in HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
   
   

2. Sasser.b
   Folgende Dateien werden erzeugt:
   avserve2.exe im Windows-Verzeichnis ("WINNT" bei Windows 2000 und "Windows" bei Windows XP);
   xxxxx_up.exe im Windows-Verzeichnis, wobei xxxxx für eine zufällig generierte vier- oder fünfstellige Zahl steht;
   win2.log im Rootverzeichnis (C:), also C:win2.log;
   
   In die Registry erfolgt dieser Eintrag:
   Pfad zur avserve2.exe in HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
   
   

3. Sasser.c
   Siehe Sasser.b. Die bestehenden Unterschiede sind an dieser Stelle (hinsichtl. Schutz und Entfernung) nicht relevant.
   
   

4. Sasser.d
   Folgende Dateien werden erzeugt:
   skynetave.exe im Windows-Verzeichnis ("WINNT" bei Windows 2000 und "Windows" bei Windows XP);
   win2.log im Rootverzeichnis (C:), also C:win2.log;
   xxxxx_up.exe im Windows-Verzeichnis, wobei xxxxx für eine zufällig generierte vier- oder fünfstellige Zahl steht;
   
   In die Registry erfolgt dieser Eintrag:
   Pfad zur skynetave.exe in HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
   
   

5. Sasser.e
   Folgende Dateien werden erzeugt:
   lsasss.exe im Windows-Verzeichnis ("WINNT" bei Windows 2000 und "Windows" bei Windows XP);
   xxxxx_up.exe im Windows-Verzeichnis, wobei xxxxx für eine zufällig generierte vier- oder fünfstellige Zahl steht;
   ftplog.txt im Rootverzeichnis (C:), also C:ftplog.txt;
   
   In die Registry erfolgt dieser Eintrag:
   Pfad zur lsasss.exe in HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
   
   

6. Sasser.f
   Folgende Dateien werden erzeugt:
   napatch.exe im Windows-Verzeichnis ("WINNT" bei Windows 2000 und "Windows" bei Windows XP);
   xxxxx_up.exe im Windows-Verzeichnis, wobei xxxxx für eine zufällig generierte vier- oder fünfstellige Zahl steht;
   winlog2 im Rootverzeichnis (C:), also C:winlog2;
   
   In die Registry erfolgt dieser Eintrag:
   Pfad zur napatch.exe in HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
   

C.) Vorgehen beim Auftreten der Symptome:

1. Ein durch den Wurm verursachter Systemshutdown kann wie folgt abgebrochen werden: Start, Ausführen aufrufen, dort shutdown -a eingeben und Enter drücken.

2. Den passenden Patch für das Betriebssystem laden (siehe oben).

3. Ein passendes Entfernungstool laden:
   - SSRCLEAN von Eset für Sasser.a bis .e
   - Stinger von NAI für Sasser.a bis .e
   - Antisasser-EN von Bitdefender für Sasser.a bis .f

4. Die Internetverbindung beenden.

5. Das Entfernungstool ausführen (dazu die Datei SSRCLEAN.exe, stinger.exe bzw. sassgui.com doppelklicken). Zudem bitte die Hinweise zur manuellen Entfernung unter C.) 8. und C.) 9. auf dieser Seite beachten, sowie die wichtigen Hinweise zum Neuaufsetzen des Systems nach einer Kompromittierung durch Schadsoftware!

6. Windows im abgesicherten Modus neu starten.

7. Für Windows XP: Systemwiederherstellung deaktivieren. Dieser Schritt entfällt bei Windows 2000.

8. Trotzdem das Entfernungstool bereits ausgeführt wurde, empfehle ich dennoch: Auf dem System nach den oben erwähnten Dateien avserve.exe, avserve2.exe, skynetave.exe, lsasss.exe, napatch.exe, win.log bzw. win2.log, ftplog.txt, winlog2 sowie xxxxx_up.exe suchen und diese, falls sie gefunden werden, löschen.
   Hinweis: Eine Suche nach xxxx_up.exe erfolgt in Windows über die Sucheingabe: *_up.exe. Das kleine Sternchen ersetzt also die zufällig generierten Zahlen.)
   Falls sich avserve.exe, avserve2.exe, skynetave.exe oder lsasss.exe nicht löschen lassen, muss zuvor mittels Strg + Alt + Entf der Taskmanager aufgerufen werden. Dort kann man diese Prozesse markieren und beenden, um die Dateien anschliessend per Hand aus dem Windows-Ordner herauszulöschen.

9. Die Registry-Einträge unter HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun, die auf avserve.exe, avserve2.exe, skynetave.exe, lsasss.exe oder napatch.exe verweisen, müssen ebenfalls gelöscht werden. Dies ist z.B. mit HijackThis komfortabel möglich. HijackThis ist dazu gemäss Anleitung auszuführen, dann wird der entsprechenden Registry-Eintrag markiert und mittels "Fix checked" entfernt.

10. Nun die Patchdatei Windows2000-KB835732-x86-DEU.EXE (für Windows 2000) bzw. WindowsXP-KB835732-x86-DEU.EXE (für Windows XP) ausführen (doppelklicken), um dem Patch zu installieren.

11. Windows neu starten.

12. Dienste sicher konfigurieren gemäss Anleitung auf http://www.ntsvcfg.de, wobei ein Script zur Verfügung steht, welches einen Grossteil der Konfigurationsarbeit übernimmt - der Rest muss von Hand erledigt werden. Wie das geht, ist auf der Seite erläutert.

13. Ins Internet einwählen und sofort http://windowsupdate.microsoft.com aufsuchen, um alle weiteren aktuellen Patches zu installieren.