MYDOOM.H, gusano/backdoor de Correo termina procesos abre puerto TCP ocasiona ataque DoS, etc.  

© Jorge Machado  Lima-Perú

W32/MyDoom.H@mm, I.worm.MyDoom.H@mm

MyDoom.H es un destructivo gusano/backdoor reportado el 04 de Marzo del 2004, variante de Mydoom, de alta propagación masiva a través de mensajes de Correo con Remitente disfrazado bajo la técnica Spoofing, Asuntos, Contenidos y archivos Anexados elegidos en forma aleatoria.  

Posee su propio servidor SMTP que construye los mensajes combinando nombres o cadenas de texto contenidas en su código viral, contiene un componente Backdoor que transmite información al autor del virus vía el puerto TCP 1080, termina procesos en ejecución. 

Sobre-escribe archivos de ciertas extensiones a los cuales agrega una segunda extensión. Finalmente intenta ocasionar un ataque DoS de Negación de Servicio al portal:

http://www.symantec.com

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Assembler con una extensión de 31.5 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

A través de su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en los archivos con las siguientes extensiones:

Contiene instrucciones para evitar enviarse a las direcciones que tengas estas cadenas de texto:

Para su envío emplea la técnica Email spoofing, consistente en encubrir o disfrazar las verdaderas direcciones de los Remitentes. El mensaje tiene las siguientes características:

Remitente: usa uno de los siguientes nombres:

con una de los siguientes dominios:

Asunto, entre su larga lista se encuentran:

Contenido, uno de los siguientes:

Anexado, uno de los siguientes:

Con cualquiera de estas extensiones:

En forma aleatoria el archivo puede tener la extensión ZIP y el icono que siempre representa al archivo simula ser uno con formato de MS Word:

El gusano evita infectar direcciones de correo que tengan las siguientes cadenas:

Al ser activado el gusano crea el mutex (Exclusión Mutua) [función_aleatoria_del_sistema_theta] para evitar ser ejecutado en memoria más de una vez e inmediatamente después activa el archivo Notepad.exe, sin contenido, mostrando en pantalla: 

Luego se auto-copia a la carpeta %System% usando nombres generados sin sentido lógico, en forma aleatoria con las extensiones .EXE y .DLL: 

Los nombres generados tienen caracteres compuestos en forma aleatoria por una letra mayúscula seguida de minúsculas y eventualmente pueden ser todas minúsculas. 

Para ejecutarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
 "[caracteres_aleatorios]" = "%System%\[caracteres_aleatorios].exe" 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
 "[caracteres_aleatorios]" = "%System%\[caracteres_aleatorios].exe" 

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Asimismo agrega el valor:

"default" = "%System%\[caracteres_aleatorios].dll"

a las llaves de registro:

[HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InprocServer32]
[HKEY_CLASSES_ROOT\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524153}\InprocServer32]

con el propósito de que el archivo Explorer.exe ejecute el componente Backdoor .DLL

Al siguiente re-inicio el gusano revisa todos los procesos que estuviesen en ejecución en el sistema infectado y termina cualquiera de los siguientes:

Y cualquier otro proceso que tenga las siguientes cadenas:

Entre 10 y 20 minutos después de que el gusano es ejecutado por primera vez, éste verifica la existencia del archivo Feedlist en el directorio raíz de C:\ y en caso de no encontrarlo ejecuta un ataque DoS o de Negación de Servicio con peticiones GET vía el puerto TCP 80 (HTTP) al dominio:

El gusano revisa las unidades de C: a la Z: buscando archivos con las extensiones:

Lego crea copias de sí mismo usando los archivos que encuentre con las extensiones anteriores a las cuales le sobre-escribe una segunda extensión .EXE o .SCR así como también puede sobre-escribir las extensiones .PIF con su código viral. 

Actuando como Backdoor el componente DLL abre el puerto TCP 1080 a través del cual realiza transmisiones entre el sistema infectado y el autor del virus. La información es almacenada en un archivo temporal y después de ser enviada, este archivo es borrado. 

En su código se puede leer 

"to netsky's creator(s): imho, skynet is a decentralized peer-to-peer neural network. we have seen P2P in Slapper in Sinit only. they may be called skynets, but not your shitty app."

Sus payloads son los siguientes:

PER ANTIVIRUS® versión 8.5 con registro de virus al 04 de Marzo del 2004 detecta y elimina eficientemente este gusano/backdoor.

Ir al menú anterior

Regresar al Portal de PER SYSTEMS