W32.Scane là sâu có chức năng tấn công vào hệ điều hành Windows nhờ khai thác lỗi tràn bộ đệm LSASS. Hệ thống bị nhiễm loại sâu này sẽ tự khởi động sau 1 phút.

Hệ điều hành lây nhiễm: Windows 2000, Windows XP

Mô tả:

Khi thực thi, W32.Scane sẽ tiến hành các tác vụ sau:  

1. Tự nhân bản với cái tên Service.exe vào thư mục hệ thống: "%System%servicec.exe"
   
   Chú ý: %System% là một biến của thư mục hệ thống, theo mặc định: C:WinntSystem32 (Windows NT/2000), hoặc: C:WindowsSystem32 (Windows XP).

2. Bổ sung các giá trị:
   
   "WinLsass"="%System%servicec.exe" or
   "WinLsass"=""
   
   ... vào khoá registry để sâu có thể tự động chạy khi hệ thống khởi động:
   
   HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
   CurrentVersionRun

3. Tạo ra nhiều các thread có chức năng kết nối tới các địa chỉ IP ngẫu nhiên bằng cách khai thác lỗ hổng Microsoft Windows LSASS tại cổng TCP/445. Nếu thành công, hệ thống từ xa sẽ tải bản copy của sâu về máy kết nối.

Sau đây là một số khuyến nghị và hướng dẫn diệt trừ cho sâu W32.Scane của hãng bảo mật Symantec:

Khuyến nghị:

• Tắt và loại bỏ các dịch vụ không cần thiết trên hệ thống. Theo mặc định, rất nhiều hệ điều hành cài đặt những dịch vụ không cần thiết, chẳng hạn như máy chủ FTP, telnet, và máy chủ Web. Những dịch vụ này đã từ lâu bộc lộ nhiều điểm yếu để hacker lợi dụng tấn công vào máy tính. 

• Luôn cập nhật các bản patch mới nhất, đặc biệt đối với các máy tính chứa nhiều dịch vụ công cộng và có thể truy cập thông qua tường lửa, như dịch vụ: HTTP, FTP, mail, và DNS.

• Thắt chặt chính sách mật khẩu. Sử dụng mật khẩu phức tạp sẽ gây khó khăn cho các chương trình bẻ mật khẩu trên máy tính. Việc làm này cũng sẻ giảm bớt thiệt hại khi máy tính bị xâm hại. 

• Cấu hình máy chủ e-mail để khoá hoặc loại bỏ các e-mail chứa file đình kèm thường bị virus lợi dụng để phát tán như: .vbs, .bat, .exe, .pif và .scr.

• Cô lập máy tính bị lây nhiễm để ngăn chặn mức độ lây lan của virus trong tổ chức của bạn. Tiến hành thẩm định hệ thống và sao lưu dữ liệu.

• Thông báo cho nhân viên không được mở các file đính kèm theo e-mail trừ khi chúng có nguồn gốc an toàn và có thể thẩm định được. Ngoài ra, không thực thi phần mềm tải từ mạng Internet trừ khi nó đã được phần mềm chống virus kiểm tra mức độ an toàn. Các trình duyệt giờ đây đã không còn an toàn và đôi khi chỉ cần một tác vụ truy cập web bình thường cũng khiến máy tính của bạn nhiễm virus.

Hướng dẫn loại bỏ W32.Scane (Symantec)

1. Vô hiệu hoá chức năng System Restore (Windows Me/XP).

2. Nâng cấp phần mềm diệt virus.

3. Khởi động lại hệ thống ở chế độ "Safe Mode" hoặ "VGA mode".

4. Chạy phần mềm diệt virus ở chế độ quét toàn hệ thống (Full scan) và xoá tất cả các file có tên W32.Scane.

5. Xoá giá trị có liên quan tới sâu trong registry.