|
W32/Mydoom.BK@mm
Mydoom.BK es un gusano reportado el 22 de Marzo del 2006 de alta propagación masiva en mensajes de correo con asuntos, contenidos y archivos anexados de nombres aleatorios.
Se propaga además vía la red de compartimiento de archivos Peer to Peer Kazaa.
Es un PE (Portable Ejecutable) e infecta Windows 98/NT/Me/2000/XP y Server 2003, escrito en MS Visual C++ con una extensión de 27.5 KB y está comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Antes de ejecutar cualquier proceso el gusano verifica que el sistema esté conectado a Internet, luego se conecta a su vez al servidor local DNS e invoca a los servidores Exchange que coincidan con el nombre del la dirección de correo del receptor.
Posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a todas las direcciones de correo del sistema infectado contenidas en la Libreta de Direcciones de Windows, la carpeta temporal de Internet o las contenidas en los archivos con las siguientes extensiones:
o usando uno de los siguientes nombres con el dominio del remitente:
evitando enviarse a las direcciones con cualquiera de las cadenas:
o a las cuentas con uno de los siguientes nombres:
El mensaje tiene las siguientes características:
Asunto, elegido aleatoriamente de uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, uno de los siguientes:
seguidos de una de las extensiones:
Al ser ejecutado el gusano se copia a la carpeta %System% con el nombre de wmedia16.exe y para activarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"WMedia16" = "%System%\wmedia16.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del equipo ejecuta sus rutinas de envío de mensajes masivos de correo.
Para propagarse a través de la red Peer to Peer Kazaa se copia a su carpeta de o buscando en la llave:
[HKEY_LOCAL_MACHINE\Software\Kazaa\Transfer]
luego copia a esta carpeta los siguientes nombres de archivo:
con una de las siguientes extensiones:
PER ANTIVIRUS® versión 9.6 con registro de virus al 22 de Marzo del 2006 detecta y elimina eficientemente este gusano.
