Sasser
Sasserの動作原理は、eEye Digital Securityによって2004年5月1日時点でその詳細が明かされている。
対象OSはWindows 2000、2003 Server、XP。感染すると、システム起動時に自動実行するプログラム群に自動登録される。2重感染は行われない。初回感染時および起動時にはTCPポート5554(亜種Eでは1023)でFTPサーバーを起動し、128(亜種Cは1024)のスレッドを立ち上げ、それぞれが感染動作を行う。
感染先はIPv4ベースでランダムに決定されるが、大きく規則性がある。52%はランダムに決定され、23%は最初のオクテットが一致するもの、残りの27%は前半の2つのオクテットが一致するものを新たな感染先の候補とする。感染先が決まると、亜種DはICMPエコーを用いた死活確認を行った後、本家や他の亜種は死活確認なく、TCPポート445への接続の後、脆弱性「MS04-011」を用いた攻撃を行う。攻撃が成功すると、攻撃対象のマシンのTCPポート9996(亜種Eでは1022)にリモートシェルを実行可能なバックドアが設置されることになり、このバックドア経由でSasserプログラムが感染元のFTPサーバーからダウンロードされ、そのダウンロードされたプログラムが実行されることで、感染動作が完了する。