|
W32/MyDoom.AT@mm, I.worm.MyDoom.AT@mm
MyDoom.AT es un gusano reportado el 21 de Marzo del 2005, de propagación masiva a través de mensajes de Correo con remitentes disfrazados bajo la técnica Spoofing, asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.Hace uso de la "ingeniería social" ya que simula ser enviado por el sistema de Alerta de Virus de Symantec, conteniendo una supuesta utilidad de remoción de un virus.
El gusano contiene una instrucción para descargar un Backdoor pero no logra tener éxito debido a un posible error de programación (bug).
Se propaga además a través de diversas redes Peer to Peer.
Al ser ejecutado muestra un falsa caja de diálogo.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 15KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows (WAB), carpeta Temporal de Internet o de los archivos con las siguientes extensiones:
Evitando enviarse a las direcciones que tengan una de las siguientes cadenas:
El mensaje tiene las siguientes características:
Remitente: VirusAlert@symantec.com <VirusAlert@symantec.com>. Emplea la técnica Email spoofing disfraza los buzones extraídos del sistema o de los archivos detallados anteriormente.
Asunto: Virus Alert id: [cinco_dígitos_aleatorios]
Contenido:
You received this message as a valuableAl activarse muestra esta falsa caja de diálogo:
luego se copia a la carpeta %System% con el nombre debugmonitor.exe y para ejecutarse la próxima vez que se re-inicie el sistema crea y modifica las llaves de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
DebugMonitor = "%System%\debugmonitor.exe"
también agrega las llaves de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Explorer\ComDlg32\Driver32]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\Driver32]
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del sistema verifica si el sistema está conectado a Internet y activa su rutina de envío masivo de mensajes de correo.
Para propagarse vía redes Peer to Peer Kazaa, Morpheus, iMesh, eDonkey y LimeWire, se copia a sus carpetas de descarga, con los siguientes nombres:
seguidos de cualquiera de las extensiones .scr o .exe.
PER ANTIVIRUS® versiones 9.1 y 9.2 con registro de virus al 21 de Marzo del 2005 detectan y eliminan este gusano.
