Mydoom.Z

MYDOOM.Z gusano de Correo KaZaa e ICQ deshabilita mayoría de antivirus firewalls descarga Backdoor, etc.

© Jorge Machado Lima-Perú

W32/MyDoom.Z@mm, W32/Mydoom.AB, I.worm.MyDoom.Z@mm

MyDoom.Z es un gusano reportado el 17 de Septiembre del 2004, última variante de Mydoom, de propagación masiva a través de mensajes de Correo con Remitentes disfrazados bajo la técnica Spoofing, que emplea los dominios de servicios de correo gratuito basados en la web.

Los Asuntos, Contenidos y archivos Anexados son aleatorios.

También infecta vía la red P2P KaZaa, el ICQ y descarga un Backdoor desde determinados sitios en la web.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 68 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows (WAB) o de archivos con las siguientes extensiones:

wab
xls
uin
txt
tbb
stm
sht
php
msg
mht
mbx
jsp
htm
eml
dht
dbx
cgi
cfg
asp

Evitando infectar direcciones que tengan las siguientes sub-cadenas:

El mensaje tiene las siguientes características:

Remitente, emplea la técnica Spoofing usando cualquiera de las siguientes direcciones cTmail, que es el sistema servicios de envío de correo gratuito basado en la web:

Asunto, aleatoriamente uno de los siguientes:

Contenido, uno de los siguientes:

-----Original Message-----
From: Jeny K.
Sent: Monday, September 13, 2004 8:57 PM
To: Morpheus
check my new photos
:))
miss you, jeny k
-----Original Message-----
From: Jena K.
Sent: Monday, September 13, 2004 5:23 AM
To: friends
Check Out Archive.. So.. What Do You Think... Am I Hot? :)
Waining For Your Answer
Jena Key
-----Original Message-----
From: jenny k.
Sent: Monday, September 13, 2004 10:23 AM
To: My Tiger (e-mail)
new fotos(archived) you asked
jenny k
-----Original Message-----
From: jenna k. (e-mail)
Sent: Monday, September 13, 2004 11:38 AM
To: Cat
my new fotos archived ))
kiss, jenna k
-----Original Message-----
From: Jeny
Sent: Monday, September 13, 2004 8:57 PM
To: Neo
see the photos in attached archive
:))
kiss you, jeny
-----Original Message-----
From: Jena
Sent: Monday, September 13, 2004 5:23 AM
To: friend
Photos in archive.. So.. Am I Hot? :)
Waining For Your Answer
Jena
-----Original Message-----
From: Jenna Knukles
Sent: Monday, September 13, 2004 9:05 AM
To: Friends Group
in self-extracting archive my photos
Jenna :)
-----Original Message-----
From: jenna (e-mail)
Sent: Monday, September 13, 2004 11:38 AM
To: ma kittie
my photos archived ))
kiss, jenna
fun flash game!
fun flash!
game!
fun game!
Print money at home!
look at atach
-----Original Message-----
From: Jeny K.
Sent: Monday, September 13, 2004 8:57 PM
To: Morpheus
check out the new photos
:))
miss you, jeny k
-----Original Message-----
From: Jena K.
Sent: Monday, September 13, 2004 5:23 AM
To: friends
So.. What Do You Think... Am I Hot? :)
Waining For Your Answer
Jena Key
-----Original Message-----
From: Jenna Knukles
Sent: Monday, September 13, 2004 9:05 AM
in archive my new fotos
Jenna K :)
-----Original Message-----
From: jenny k.
Sent: Monday, September 13, 2004 10:23 AM
To: My Tiger (e-mail)
new fotos you asked
jenny k
-----Original Message-----
From: jenna k. (e-mail)
Sent: Monday, September 13, 2004 11:38 AM
To: Cat
my new fotos zipped ))
kiss, jenna k
-----Original Message-----
From: Jeny
Sent: Monday, September 13, 2004 8:57 PM
To: Neo
see the photos
:))
kiss you, jeny
-----Original Message-----
From: Jena
Sent: Monday, September 13, 2004 5:23 AM
To: friend
So.. Am I Hot? :)
Waining For Your Answer
Jena
-----Original Message-----
From: Jenna Knukles
Sent: Monday, September 13, 2004 9:05 AM
To: Friends Group
in archive my photos
Jenna :)
-----Original Message-----
From: jenny
Sent: Monday, September 13, 2004 10:23 AM
To: Mr.X (e-mail)
photos you asked
jenny
-----Original Message-----
From: jenna (e-mail)
Sent: Monday, September 13, 2004 11:38 AM
To: ma kittie
my photos zipped ))
kiss, jenna k

Al final de los contenidos se muestra uno de los siguientes pies de mensajes:

Attachment: No Virus found
Norton AntiVirus - www.symantec.de
Attachment: No Virus found
F-Secure AntiVirus - www.f-secure.com
Attachment: No Virus found
Norman AntiVirus - www.norman.com
Attachment: No Virus found
Panda AntiVirus - www.pandasoftware.com
Attachment: No Virus found
Kaspersky AntiVirus - www.kaspersky.com
Attachment: No Virus found
MC-Afee AntiVirus - www.mcafee.com
Attachment: No Virus found
Bitdefender AntiVirus - www.bitdefender.com
Attachment: No Virus found
MessageLabs AntiVirus - www.messagelabs.com

Anexado, uno de los siguientes:

Los anexados de extensión .ZIP contienen archivos de doble extensión:

Photos.zip
Myphotos.zip
My.photos.zip
Fotos.zip
Images.zip
New.photos.zip
Pic.zip
New.pic.zip
Arhive.zip

Al activarse el gusano crea el mutex "ertglddfgd" para evitar activarse en memoria más de una vez. Luego se copia a la carpeta %System% con cualquiera de los siguientes nombres de archivos:

smss.exe
csrss.exe
winlogon.exe
services.exe

Y para ejecutarse la próxima vez que se re-inicie el sistema agrega cualquiera de estos archivos como clave a la siguiente llave de registro:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Win32System]

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Al siguiente inicio del sistema termina los procesos activos de los siguientes antivirus, firewalls, software de control, etc.:

Para infectar vía la red P2P KaZaa genera copias de sí mismo en su carpeta de archivos compartidos, con los siguientes nombres:

dap53 crack.exe
iMeshV4 crack.exe
icqpro2003b crack.exe
wrar330 crack.exe
WinZip 9.0 crack.exe
dap71.exe
trillian-v2.74h.exe
wrar330.exe
LimeWireWin.exe
Morpheus.exe
zlsSetup_45_538_001.exe
icqpro2003b.exe
iMeshV4.exe
WinZip 9.0.exe
icqlite.exe
kmd.exe
trillian 2.0 crack.exe
dap53.exe
dvdplayer.exe
opera7.x crack.exe
crazzygirls.scr
childporno.pif
opera7.7.exe
winamp6.exe
eroticgirls2.0.exe
tropicallagoonss.scr
nicegirlsshowv12.scr
icq2004-final.exe
winamp5.exe

También envía mensajes ICQ a los usuarios que se encuentren conectados, con los siguientes asuntos:

funn http://64.40.98.94/icon/game.exe :-):-):-)
http://64.40.98.94/icon/game.exe :-):-)
http://64.40.98.94/icon/game.exe funny :-);-)
http://65.110.51.150/icon/game.exe ;-);-);-);-)
best game http://65.110.51.150/icon/game.exe ;-);-);-)
http://65.110.51.150/icon/game.exe LOL!! ;-);-);-)
http://www.llc.unibo.it/claroline142/photo.exe i cried :-)
http://www.llc.unibo.it/claroline142/photo.exe lol :-):-)
my photos (archived) http://www.llc.unibo.it/claroline142/photo.exe
i now play in game http://www.scionicmusic.com/ajr/game.exe :-):-)
funy game http://www.scionicmusic.com/ajr/game.exe ;-);-);-)
fun game http://www.scionicmusic.com/ajr/game.exe :-):-):-)

el gusano intenta descargar un gusano/backdoor de los siguientes URL:

www.masteratwork.com
www.professionals-active.com
www.il-legno.it
www.mercyships.de
www.llc.unibo.it
www.scionicmusic.com
64.40.98.94

Sus payloads son los siguientes:

Se propaga masivamente en mensajes de correo usando su propio SMTP con Remitentes disfrazados bajo la técnica Spoofing, usando dominios de servicios de correo gratuito basados en la web.
Evita enviarse a direcciones con ciertas cadenas de texto.
Los contenidos de mensajes tienen un pie de página con falsos reportes de antivirus.
Termina los procesos en ejecución de la mayoría de antivirus, firewalls y software de control.
Intenta conectarse a diversos sitios en la web desde los cuales descargará un gusano/backdoor,
Las conexiones y navegación en Internet se volverán muy lentas en los sistemas infectados.

PER ANTIVIRUS® versiones 8.8 y 8.9 con registro de virus al 17 de Septiembre del 2004 detectan y eliminan eficientemente este gusano, sus variantes existentes y por crearse debido a su tecnología WiseHeuristics.