MYDOOM.W gusano de Correo e ICQ intenta descargar un Backdoor de diversos sitios en la web.  

© Jorge Machado  Lima-Perú

W32/MyDoom.W@mm, I.worm.MyDoom.W@mm

MyDoom.W es un gusano reportado el 14 de Septiembre del 2004, última variante de Mydoom, de propagación masiva a través de mensajes de Correo con Remitentes disfrazados bajo la técnica Spoofing, con archivos anexados de nombres aleatorios con extensiones .EXE, .ZIP o de doble extensión .JPG.PIF.

Intenta conectarse a diversos portales en la web desde donde descargará un gusano/backdoor, el cual se propagará entre los contactos del ICQ (portal comunitario y de mensajería instantánea). 

Esta es una evidencia muy preocupante de que el código fuente del gusano Mydoom se ha venido distribuyendo en foros y algunos portales de codificadores de virus desde el mes de Febrero del 2004 y se esperan mucho más variantes más.  

Debido a su constante uso de los puertos 25 y 80 las conexiones y navegación en Internet se volverá muy lenta en los sistemas infectados. 

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 18 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows (WAB), la carpeta Temporal de Internet o de archivos con las siguientes extensiones:

Evitando infectar direcciones de correo que tengan las siguientes cadenas:

El mensaje tiene las siguientes características:

Remitente, emplea la técnica Email spoofing que usa aleatoriamente los buzones extraídos de la Libreta de Direcciones de Windows o uno de los siguientes primeros nombres:

aleatoriamente con uno de los siguientes apellidos:

con cualquiera de los siguientes dominios: 

Asunto, aleatoriamente uno de los siguientes:

Contenido, uno de los siguientes:

Al final de los contenidos se muestran uno de los siguientes pies de mensajes: 

Anexado, uno de los siguientes:

Si tiene la extensión .ZIP, contiene los archivos:

Al activarse el gusano se copia a la carpeta %System% con el nombre de Win32s.exe y para ejecutarse la próxima vez que se re-inicie el sistema genera la siguiente llave de registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Win32System" = "%System%\win32s.exe" 

A continuación se copia a:

C:\Documents and Settings\[nombre_de_usuario]\Menú Inicio\Programas\Inicio\autorun.exe 

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Al siguiente inicio del sistema el gusano intenta descargar un gusano/backdoor de los siguientes URL:

Si el backdoor es descargado, cambia la llave de registro y se propaga a través del ICQ. 

Sus payloads son los siguientes:

PER ANTIVIRUS® versiones 8.8 y 8.9 con registro de virus al 14 de Septiembre del 2004 detectan y eliminan eficientemente este gusano, sus variantes existentes y por crearse por su tecnología WiseHeuristics. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS