|
W32/MyDoom.CI@mm, I.worm.MyDoom.CI@mm
|
MyDoom.CI es un gusano/backdoor reportado el 27 de Septiembre del 2005, de propagación masiva a través de mensajes de Correo con remitentes disfrazados bajo la técnica Spoofing,
asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.
Abre un Backdoor y se conecta un canal del IRC (Internet Chat Relay) por el puerto TCP 1034 y el intruso ejecutará acciones, pudiendo tomar el control en forma remota del sistema. |
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 40 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo de la Libreta de Direcciones de Windows (WAB) y la carpeta Temporal de Internet o de archivos con las siguientes extensiones:
Obtiene otras direcciones invocando y extrayéndolas de los motores de búsqueda:
En caso el gusano detectase una ventana abierta de MS Outlook la cerrará y se auto-enviará a las direcciones que capture.
El mensaje tiene las siguientes características:
Remitente, emplea la técnica Email spoofing que usa aleatoriamente los buzones extraídos del sistema, evitando enviarse a las direcciones que tengan las cadenas:
Asunto, aleatoriamente:
Contenido, uno de los siguientes:
Anexado, uno de los siguientes:
Con cualquiera de las extensiones:
Al activarse el gusano se copia al directorio %Windir% con los nombres Java.exe y Services.exe y para ejecutarse la próxima vez que se re-inicie el agrega los valores:
"Services" = "%Windir%\services.exe"
"JavaVM" = "%Windir%\java.exe"
a las llaves:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
Crea los archivos %Temp%\zincite.log o %Temp%\[Nombre_aleatorio].log para guardar las rutas de los archivos que el gusano genere.
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
%Temp% es la variable C:\Windows\Temp en Windows 95/98/Me, C:\Winnt\Temp en Windows NT\2000 y C:\Document and Settings\[nombre_de _usuario]\Local Settings\Temp en Windows XP/Server 2003.
Al siguiente inicio del sistema el gusano activa su rutina de envío masivo de mensajes de correo.
Intenta descargar desde un URL cifrado el Backdoor Zincite, el cual abre el puerto TCP 1034 para conectarse y y unirse a un canal del IRC, a través del cual los intrusos podrán ejecutar, entre otras las siguiente acciones:
PER ANTIVIRUS® versión 9.4 con registro de virus al 27 de Septiembre del 2005 detecta y elimina eficientemente este gusano/backdoor.
