|
W32/MyDoom.@Q@mm, W32/Mydoom.S, W32/Ratos@mm, I.worm.MyDoom.Q@mm
MyDoom.Q es un gusano reportado el 17 de Agosto del 2004, variante de Mydoom, de propagación masiva a través de mensajes de Correo con Remitentes disfrazados bajo la técnica Spoofing, con un archivo anexado de nombre photos_arc.exe.
Intenta descargar un archivo Backdoor de 2 sitios en la web (actualmente desactivados), pero a causa de su alta propagación masiva disminuye la velocidad del tráfico en muchas conexiones a Internet.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 26.5 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direciones de Windows (WAB), la carpeta Temporal de Internet o de archivos con las siguientes extensiones:
Evitando infectar direcciones de correo que tengan las siguientes cadenas:
El mensaje tiene las siguientes características:
Remitente: emplea la técnica Email spoofing que usa aleatoriamente uno de los siguientes nombres:
con cualquiera de los dominios:
Asunto: photos
Contenido: LOL!;))))
Anexado: photos_arc.exe
Al activarse el archivo infectado éste libera un archivo de texto con caracteres "basura" en la carpeta temporal llamada Message y ejecuta el archivo Notepad.exe con dicho contenido:
Luego crea el Mutex "43jfds93872" para evitar ejecutarse en memoria más de una vez y se asegura generando la siguiente llave que marca al sistema como ya infectado:
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer]
"InstaledFlashhMx" = "1"
El gusano se copia al directorio %Windir% y la carpeta %System% respectivamente como:
Para ejecutarse la próxima vez que se re-inicie el sistema genera la siguiente llave de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"winpsd" = "%System%\winpsd.exe"
%Windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP/Server 2003 y C:\Winnt en Windows NT\2000.
%Temp% es la variable C:\Windows\Temp en Windows 95/98/Me, C:\Winnt\Temp en Windows NT\2000 y C:\Document and Settings\[nombre_de _usuario]\Local Settings\Temp en Windows XP/Server 2003.
Después de ejecutar su rutina de propagación masiva de mensajes de correo, el gusano intenta conectarse a dos direcciones en la web para descargar el Backdoor Winvpn32.exe y copiarlo a la carpeta %System% desde:
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.8 con registro de virus al 17 de Agosto del 2004 detecta y elimina eficientemente este gusano/backdoor.
