|
W32/MyDoom.L@mm, I.worm.MyDoom.L@mm
 |
MyDoom.L es un destructivo gusano/backdoor reportado el 21 de Julio del 2004, variante de Mydoom, de alta propagación masiva a través de mensajes de Correo con Remitentes disfrazados bajo la técnica Spoofing, Asuntos, Contenidos y archivos Anexados elegidos en forma aleatoria. También se propaga vía las redes de compartimiento Peer to Peer y otros servicios de Internet de descarga de archivos. |
Posee su propio servidor SMTP que construye los mensajes combinando nombres o cadenas de texto contenidas en su código viral.
Contiene un componente Backdoor que envía información al autor del virus vía el puerto TCP 1042 (no asignado) pudiendo capturar teclas digitadas, incluyendo nombres de usuarios, contraseñas y controlar los sistemas en forma remota.
Se copia al directorio de Windows con el nombre de Lsass.exe, que es un servicio real del sistema (Local Security Authority Service) el cual autentica la identidad de los usuarios que acceden a una PC de uso personal, estación de trabajo o a una red local.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 21 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
A través de su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en los archivos con las siguientes extensiones:
El gusano evita infectar direcciones de correo que tengan las siguientes cadenas:
El mensaje tiene las siguientes características:
Remitente: emplea la técnica Email spoofing que disfraza las verdaderas direcciones de los Remitentes con uno de los siguientes nombres:
seguido de las siguientes direcciones:
con el nombre del dominio de Correo del destinatario
Asunto, uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, uno de los siguientes:
Con cualquiera de estas extensiones:
El gusano se copia al directorio %Windir% con el nombre Lsass.exe y crea un archivo de nombre aleatorio con extensión .TXT en la carpeta %Temp% del sistema, para almacenar la información extraída. Luego crea la llave de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\POSIX]
Con esta llave se aprovecha una vulnerabilidad POSIX que permitiría a un intruso ejecutar códigos maliciosos.
Para activarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Traybar" = "%Windir%\lsass.exe"
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
%Temp% es la variable C:\Windows\Temp en Windows 95/98/Me, C:\Winnt\Temp en Windows NT\2000 y C:\Document and Settings\[nombre_de _usuario]\Local Settings\Temp en Windows XP/Server 2003.
Al siguiente re-inicio del sistema el gusano se copia a las carpetas cuyas nombres tengan las cadenas:Con los siguientes nombres:
y cualquiera de estas extensiones:
Actuando como Backdoor abre el puerto TCP 1042 a través del cual realiza transmisiones entre el sistema infectado y el autor del virus. La información es almacenada en un archivo temporal y después de ser enviada, este archivo es borrado.
El parche para la vulnerbilidad POSIX puede ser descargado desde este enlace:
http://www.microsoft.com/technet/security/bulletin/MS04-020.mspx
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.7 y 8.8 con registro de virus al 21 de Julio del 2004 detecta y elimina eficientemente este gusano/backdoor.
