MYDOOM.AD complejo gusano de Correo P2P ICQ IRC, deshabilita antivirus firewalls descarga Backdoors, etc.  

© Jorge Machado  Lima-Perú

W32/MyDoom.AD@mm, I.worm.MyDoom.AD@mm

MyDoom.AD es un gusano de efectos sumamente variados y complejos, reportado el 06 de Octubre del 2004, de propagación masiva a través de mensajes de Correo con Remitentes disfrazados bajo la técnica Spoofing, con Asuntos, Contenidos y archivos Anexados aleatorios. 

Se propaga además vía redes Peer to Peer, el ICQ e IRC (Internet Chat Relay), deshabilita las claves de la mayoría de antivirus y sistemas de seguridad, impide el acceso a los portales de software antivirus y descarga Backdoors desde determinados sitios  en la web. 

Debido a la gran cantidad de acciones y efectos nos vamos a excusar que brindar los detalles completos de este gusano.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 36 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows (WAB) o de archivos con una extensa lista de determinadas extensiones. Así mismo evita enviarse a direcciones con determinadas cadenas de texto.

El mensaje tiene las siguientes características:

Remitente, emplea la técnica Spoofing que disfraza a los verdaderos remitentes.

Asunto, aleatoriamente uno de los siguientes:

Contenido, uno de los siguientes:

Al final de los contenidos se muestra uno de los siguientes pies de mensajes:

Anexado, uno de los siguientes:

con cualquiera de las extensiones .CMD, .CPL, .EXE, .PIF, .SCR o .ZIP

Al activarse el gusano, para evitar activarse en memoria más de una vez e impedir la ejecución de algunas variantes del gusano Netsky crea el mutex:  

MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D 
'D'r'o'p'p'e'd'S'k'y'N'e't' 
_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_ 
[SkyNet.cz]SystemsMutex 
AdmSkynetJklS003 
____--->>>>U<<<<--____ 
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

Y muestra en pantalla una falsa caja de diálogo:

 

Luego se copia al directorio %Windir% y a las carpetas %System% y %Temp% como patch31345.exe y crea varias llaves de registro. 

Al siguiente inicio del sistema borra muchos valores:

de la llave de registro: 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

con lo cual deshabilita a los antivirus y software de seguridad que estuviesen instalados dejando a los sistemas infectados totalmente vulnerables a los virus y ataques de intrusos.

El gusano manipula la ruta %System%\drivers\etc\hosts, para impedir el acceso a diversos portales de antivirus y software de seguridad: 

descarga dos archivos de un sitio web con nombre cifrado y los copia a cualquiera de estas rutas:

Para infectar vía las redes P2P y el ICQ genera copias de sí mismo en las carpetas de descarga correspondientes con atractivos nombres de archivo.

Modifica el archivo Script.ini en caso de que el software mIRC estuviese instalado en el sistema e infectará a todos los usuarios que se conecten a una misma sesión de Chat.

También intenta copiarse a sí mismo a las siguientes rutas en caso éstas existan:

Luego muestra una segunda falsa caja de diálogo:

Termina los procesos de la mayoría de antivirus, firewalls y software de control.

Sus payloads son los siguientes:

PER ANTIVIRUS® versión 8.9 con registro de virus al 06 de Octubre del 2004 detecta y eliminan eficientemente este gusano, sus variantes existentes y por crearse debido a su tecnología WiseHeuristics. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS