Не прошло и дня с тех пор как Microsoft предупредила своих клиентов об обнаружении критической уязвимости в библиотеке SSL, как обнаружился вирус, использующий предыдущую обнаруженную дыру.
Злонамеренный код может быть использован для удаленной атаки. Его действия основаны на ошибке переполнения буфера в системе LSASS. К настоящему моменту Microsoft уже выпустила патч MS04-011, который устраняет эту и другие проблемы.
К сожалению, в отличие от вирусов и червей распространяющихся через электронную почту, для запуска нового вируса не требуется участия человека.

http://www.km.ru/news/view.asp?id=04EB2 ... DEDA2C91E7

СРЕДА, 28.04.2004

По мнению Кевина Хогана (Kevin Hogan), представляющего антивирусную компанию Symantec, количество зараженных компьютеров по всему миру пока исчисляется лишь «сотнями тысяч». Интересно, что автору червя, надумавшему заработать себе лавры очередного герострата, удалось добиться весьма противоречивых результатов. С одной стороны, как отмечает господин Хоган, Sasser распространяется гораздо медленнее приснопамятного «Бластера» и это – явный провал. С другой стороны, (пока) неизвестному автору все же удалось заразить гораздо большее (с точки зрения выбранного временного интервала, разумеется) количество персональных компьютеров. Именно последнее обстоятельство заставило экспертов Symantec повысить рейтинг опасности червя с третьей до четвертой позиции.

http://internet.ru/index.php?itemid=9401

The Lsass.exe process will crash after the worm exploits the Windows LSASS vulnerability. Windows will display the alert and shut down the system in one minute.

И вообще, какое-то у Каспера на сайте убогое описание работы червя. У Симантека куда подробнее.
Так правда, что вирус комп ребутит один/пару раз?

Так если в процессах висит lsass.exe - это не вирь, это служба, уязвимость которой вирь и использует.

Как и оригинальный червь, три новые программы — Sasser.B, Sasser.C и Sasser.D — используют брешь в защите непропатченных версий Windows XP и Windows 2000. Заражая уязвимые системы, червь организет дистанционное соединение с целевым компьютером, устанавливает сервер File Transfer Protocol (FTP), а затем загружает в новый хост собственную копию.
http://www.securityLab.ru/45034.html

Так если в процессах висит lsass.exe - это не вирь, это служба, уязвимость которой вирь и использует. Если заплатка стоит, то все ОК. В процессах может висеть avserve.exe (avserve2.exe). Тогда это вирусяка! В реестре также можно ключик проверить

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

есть там запуск avserve.exe или нет. А так же, если есть вирус, то будет файл C:\win.log (C:\win2.log) и еще в процессах будет имя #####_up.exe (например, 74354_up.exe - это номер открытого порта ftp-сервера вируса). У симантека признаки подробнее описаны.

ya eti lsass.exe vse poudalyal nafig

ну вот.. вроде починился %) вечно эти винды через зад восстанавливать приходится