Infection par le Ver Issas.exe

Utilisateurs de Windows XP : Marche à suivre en cas d'infection de votre ordinateur par Sasser
Date de première publication : 6 mai 2004

Imprimez cette page afin d'avoir toujours une copie des instructions à disposition, pour vous-même (si votre ordinateur n'arrête pas de redémarrer) ou pour un ami.

Si vous utilisez Microsoft Windows XP ou Windows XP Service Pack 1 (SP1) et que votre ordinateur a été infecté par le ver Sasser, vous pouvez suivre les étapes ci-dessous pour mettre à jour votre logiciel, détruire le ver et vous protéger contre de nouvelles infections.

Étape 1 : Déconnexion d'Internet
Pour éviter de nouveaux problèmes, déconnectez-vous d'Internet.

Utilisateurs d'une connexion haut débit : localisez le câble qui relie le modem DSL/câble externe à votre prise de téléphone, et débranchez-le d'un côté ou de l'autre.
Utilisateurs d'une connexion commutée : localisez le câble qui relie le modem interne de votre ordinateur à votre prise téléphonique, et débranchez-le d'un côté ou de l'autre.

Étape 2 : Arrêt du cycle de redémarrage
En entraînant le blocage de LSASS.EXE, ce ver contraint le système d'exploitation à redémarrer au bout de 60 secondes. Si votre ordinateur rencontre ce problème, suivez les étapes ci-dessous pour empêcher tout redémarrage du système.

Dans la barre des tâches en bas de votre écran, cliquez sur Démarrer puis Exécuter.
Saisissez « cmd », puis cliquez sur OK.
A l'invite de commande, saisissez « shutdown.exe -a », puis appuyez sur ENTRÉE.

Étape 3 : Résolution temporaire du problème de vulnérabilité
Vous pouvez résoudre temporairement le problème de vulnérabilité à l'origine de l'infection de votre ordinateur. Pour ce faire, il vous faut créer un fichier journal :

Dans la barre des tâches en bas de votre écran, cliquez sur Démarrer puis Exécuter.
Saisissez « cmd », puis cliquez sur OK.
A l'invite de commande, saisissez « echo dcpromo >%systemroot%\debug\dcpromo.log » puis appuyez sur ENTRÉE.

Mise en lecture seule du fichier journal :
A l'invite de commande, saisissez « attrib +R %systemroot%\debug\dcpromo.log », puis appuyez sur ENTREE.

Étape 4 : Amélioration des performances système
Si votre ordinateur met du temps à réagir ou que votre connexion Internet est lente, il se peut que le ver ait infecté votre connexion au réseau local. Si tel est le cas, vous ne pourrez peut-être pas télécharger et installer la mise à jour logicielle requise. Pour améliorer les performances système :

Appuyez sur CTRL+ALT+SUPP, puis cliquez sur « Gestionnaire des tâches ».
Sélectionnez chacune des tâches ci-dessous qui apparaît dans la liste lorsque vous cliquez dessus, puis cliquez sur « Fin de tâche ».
Tâche dont le nom se termine par _up.exe (exemple : 12345_up.exe).
Tâche dont le nom commence par avserve (exemple : avserve.exe).
Tâche dont le nom commence par avserve2 (exemple : avserve2.exe).
Tâche dont le nom commence par skynetave (exemple : skynetave.exe).
hkey.exe
msiwin84.exe
wmiprvsw.exe

Remarque : Ne mettez pas fin à la tâche intitulée wmiprvse.exe, il s'agit d'une tâche système légitime.

Étape 5 : Activation d'un pare-feu
Un pare-feu est un élément logiciel ou matériel qui crée une barrière protectrice entre votre ordinateur et Internet. Si votre ordinateur a été infecté, mais qu'il dispose d'un pare-feu, les effets du ver seront limités. Windows XP intègre un pare-feu de connexion Internet. Pour activer ce dernier :

Dans la barre des tâches en bas de votre écran, cliquez sur Démarrer puis sur Panneau de configuration.
Cliquez sur Connexions réseau et Internet.
(Si la catégorie Connexions réseau et Internet n'apparaît pas à l'écran, cliquez sur Basculer vers l'affichage des catégories, dans la partie gauche de la fenêtre Panneau de configuration.)
Cliquez sur Connexions réseau.
Effectuez un clic droit sur la connexion haut débit, réseau local ou commutée que vous souhaitez utiliser pour vous connecter à Internet, puis cliquez sur Propriétés dans le menu qui s'affiche.
Dans l'onglet Avancé, sous Pare-feu de connexion Internet, cochez l'option « Protéger mon ordinateur et le réseau en limitant ou interdisant l'accès à cet ordinateur à partir d'Internet », puis cliquez sur OK. Le pare-feu de Windows XP est désormais activé.

Remarque : Avec certains kits de connexion à Internet, l'onglet Avancé n'apparait pas ! Veuillez vous adresser à votre fournisseur d'accès pour connaitre la procédure spécifique d'activation du pare-feu.

Étape 6 : Reconnexion à Internet
Branchez de nouveau le câble (voir étape 1) à votre ordinateur, votre prise téléphonique ou votre modem.

Étape 7 : Installation de la mise à jour requise
Afin de protéger votre ordinateur contre ce ver dans le futur, vous devez télécharger et installer la mise à jour de sécurité 835732, publiée avec le bulletin de sécurité Microsoft MS04-011. Pour ce faire, rendez-vous à l'adresse suivante : http://go.microsoft.com/?LinkID=526067

Étape 8 : Recherche et suppression de Sasser
Une fois la mise à jour installée et votre ordinateur redémarré, rendez-vous sur la page Internet « Ce que vous devez savoir sur le ver Sasser et ses variantes » à l'adresse suivante : http://www.microsoft.com/france/securite/incident/sasser.asp.
Utilisez l'outil de suppression du ver Sasser pour analyser votre disque dur et supprimer Sasser.A, Sasser.B, Sasser.C et Sasser.D.

A propos du pare-feu de connexion Internet
Le pare-feu de connexion Internet de Windows XP peut bloquer des tâches utiles comme le partage de fichiers ou d'imprimantes en réseau, le transfert de fichiers au sein d'applications ou l'hébergement de jeux multijoueurs. Cependant, Microsoft recommande vivement son utilisation pour protéger votre ordinateur.

Si, après avoir activé le pare-feu de connexion Internet, vous ne pouvez pas effectuer des tâches dont vous avez besoin, consultez l'article « Ouverture de ports dans le pare-feu de connexion Internet de Windows XP » à l'adresse suivante : http://www.microsoft.com/france/securite/protection/ports.asp.

Si vous possédez plus d'un ordinateur, si vous désirez davantage d'informations techniques, ou si vous désirez tout simplement en savoir plus sur les pare-feu, consultez l'article « Questions fréquemment posées concernant les pare-feu Internet » à l'adresse suivante : http://www.microsoft.com/france/securite/protection/firewall.asp.

Salut
Tu n'as pas sasser mais sober comme virus si ton virus s'écrit bien LSSAS.EXE
http://securityresponse.symantec.com/avcenter/venc/data/w32.­sober@mm.html
le processus normal est Windows/system32/lsass.exe tu remarquera la position des "ss"; voilà pour fixer sober:
http://securityresponse.symantec.com/avcenter/FixSober.exe
Bonne chasse, et termine en refaissant un scan virus en ligne pour contrôle ici:
http://security.symantec.com/sscv6/home.asp?j=1&langid=ie&venid=sym&plfid=23&pkj=AZLEDTKJBTVISBYWWYP
a+

coucou,
j'ai acheté un pc il y a un an et voilà que au bout de 10 minutes d'utilisation il s'éteint en me parlant d'un problème isass.exe
Apparemment ce n'est pas Sasser (contôle anti-virus de sasser effectué)
Si quelqu'un a le même problème ou connait la solution qu'il me fasse signe, merci.