|
W32/MyDoom.FP@mm, I.worm.MyDoom.FP@mm
MyDoom.FP es un gusano reportado el 26 de Octubre del 2005, de propagación masiva a través de mensajes de Correo con falsos remitentes asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.Aunque no tiene efectos nocivos, satura servidores de correo.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 25KB de promedio y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Usando su motor SMTP (Simple Mail Transfer Protocol) se envía a los buzones de correo de la Libreta de Direcciones de Windows (WAB) o las contenidas en los archivos temporales de Internet o de los archivos con las siguientes extensiones:
o usando uno de los nombres:
con cualquiera de los dominios extraídos del sistema del remitente, evitando enviarse a las direcciones con cualquiera de las cadenas:
invoca a los Servidores Exchange e integra los nombres de dominio a las siguientes cadenas para usarlas como servidores SMTP:
El mensaje tiene las siguientes características:
Remitente, uno de los buzones extraídos del sistema o direcciones falsas con la técnica Spoofing.
Asunto, uno de los siguientes:
Contenido:
Adjunto, uno de los siguientes:
con una de las extensiones:
Al activarse se copia a la carpeta %System% con el nombre mstasks.exe y para ejecutarse la próxima vez que se re-inicie el sistema modifica la llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"MSTASKS" = "%System%\mstasks.exe"
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente inicio del sistema verifica si el sistema está conectado a Internet y activa su rutina de envío masivo de mensajes de correo.
PER ANTIVIRUS® versiones 9.4 y 9.5 con registro de virus al 26 de Octubre del 2005 detectan y eliminan este gusano.
