|
W32/MyDoom.F@mm, W32/Mimail.T, I.worm.MyDoom.F@mm
MyDoom.F es un destructivo gusano reportado el 20 de Febrero del 2004, variante de Mydoom, de alta propagación masiva a través de mensajes de Correo con Remitente disfrazado bajo la técnica Spoofing, Asuntos, Contenidos y archivos Anexados elegidos en forma aleatoria de una relación contenida dentro del código del virus. También se difunde en redes con recursos compartidos.
Posee su propio servidor SMTP que construye los mensajes combinando nombres o cadenas de texto contenidas en su código viral, contiene un componente Backdoor que transmite información al autor del virus vía puertos TCP, termina procesos en ejecución y borra archivos.
A diferencia de las versiones previas de Mydoom intenta ocasionar un ataque DoS de Negación de Servicio a:
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Assembler con una extensión de 34 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
A través de su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en los archivos con las siguientes extensiones:
Para su envío emplea la técnica Email spoofing, consistente en encubrir o disfrazar las verdaderas direcciones de los Remitentes. El mensaje tiene las siguientes características:
Remitente: [dirección_disfrazada@dominio_de_la_víctima]
Asunto, entre su larga lista se encuentran:
Etc.
Contenido, uno de los siguientes:
Anexado, cualquiera de los siguientes:
Con las extensiones:
En forma aleatoria el archivo puede tener la extensión ZIP y el icono que representa al archivo simula ser uno de formato texto:
El gusano evita infectar direcciones de correo que tengan las siguientes cadenas:
Envía mensajes usando de forma preferencial como Remitentes disfrazados, los siguientes nombres:
Al ejecutar el anexado, el gusano muestra la siguiente caja de diálogo:
Luego se
auto-copia a la carpeta %System% usando
nombres aleatorios con extensión .EXE
y para ejecutarse la próxima vez que se re-inicie el sistema crea la
siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"nkch" = "%System%\[nombre_aleatorio].exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al mismo tiempo libera en la carpeta %System% el archivo vppu.dll, de 8 KB de extensión, el cual actuará como Backdoor.
Al siguiente re-inicio el gusano revisa todos los procesos que estuviesen en ejecución en el sistema infectado y termina cualquiera de los siguientes:
También borra los archivos que tengan las extensiones:
Para propagarse en Redes con recursos compartidos el gusano genera copias de sí mismo con extensiones .EXE o .ZIP que tienen una extensión de 34 KB e intenta ingresar haciendo uso de los puertos abiertos por el Backdoor o a través de una relación de direcciones IP aleatorias.
Actuando como Backdoor el gusano abre el puerto TCP 1080 o indistintamente puertos TCP desde el 3000 al 5000, a través del cual realiza transmisiones entre el sistema infectado y el equipo del autor del virus. La información es almacenada en un archivo temporal y después de ser enviada, este archivo es borrado.
El gusano intentará ocasionar un ataque DoS o de Negación de Servicio a los siguientes dominios:
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.5 con registro de virus al 20 de Febrero del 2004 detecta y elimina este gusano.
