MYTOB.AB gusano/backdoor de Correo e IRC explota vulnerabilidades bloquea acceso a sitios web, etc.  

© Jorge Machado  Lima-Perú

W32/Mytob.AB@mm, I.worm.Mytob.AB@mm

Mytob.AB es un destructivo gusano/backdoor residente en memoria, reportado el 08 de Abril del 2005, de propagación a través de mensajes de Correo con remitentes falsos, asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.

Aprovecha las vulnerabilidades RPC/DCOM y LSASS descritas en los Boletines MS03-026 y MS04-011 abre un Backdoor vía puertos TCP 445, 135 o aleatorios se une a un canal del IRC (Internet Relay Chat) desde el que recibe instrucciones y comandos.  

Libera copias de variantes de este gusano y el troyano/backdoor Rootkit.

Los intrusos podrán tomar el control de los sistemas infectados, en forma remota, pudiendo ejecutar acciones nocivas y hasta destructivas.

Es un PE (Portable Ejecutable) e infecta Windows 98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en MS Visual C++, con una extensión de 72 KB y comprimido con el utilitario MEW (desarrollado en C++ y Assembler por un grupo de hackers denominado Northfox):

http://www.softpedia.com/get/Programming/Packers-Crypters-Protectors/MEW-SE.shtml

Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows, la carpeta temporal de Internet o archivos con las siguientes extensiones:

también genera direcciones de correo usando uno de los siguientes nombres:

con cualquiera de los dominios capturados del sistema infectado y al que aleatoriamente puede agregar:

evitando infectar direcciones de correo que tengan las siguientes cadenas:

o enviarse a los dominios con cualquiera de las cadenas:

Integra los nombres de dominio a las siguientes cadenas para usarlas como servidores SMTP:

También extrae dominios de los buzones de correo usando la siguiente llave:

[HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts]

Los mensajes tienen las siguientes características: 

Remitente, uno de los buzones extraídos del sistema infectado o direcciones falsas bajo la técnica Spoofing:

Asunto, aleatoriamente uno de los siguientes:

Contenido, uno de los siguientes:

Anexado, uno de estos nombres:

seguido de cualquiera de las siguientes extensiones:

Si el archivo tiene extensión .ZIP la copia del gusano tiene una de las siguientes segundas extensiones:

Al activarse el gusano se copia a la carpeta %System% como COOLBOT.EXE y libera copias del gusano en el directorio raíz de C:\ con los nombres:

y otras variantes del gusano, con los archivos coolbot.exe y winsys.exe, éste último libera a su vez el archivo Msdirectx.sys que es un troyano/backdoor de nombre Rootkit.

Para ejecutarse la próxima vez que se inicie el equipo agrega el siguiente valor:

"HELLBOT3" = "%System%\coolbot.exe"

a las siguientes llaves de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Ole]
[HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Lsa]
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa]
[HKEY_CURRENT_USER\Software\Microsoft\Ole]
[HKEY_CURRENT_USER\System\CurrentControlSet\Control\Lsa]

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Inmediatamente ejecuta su rutina de propagación masiva de mensajes de correo y rastrea los sistemas con las vulnerabilidades DCOM RPC y LSASS, haciendo uso de los puertos TCP 445, 135 o aleatorio que se encuentre disponible y abierto.

Actuando como Backdoor se conecta al servidor IRC 19.xxor.biz y se une al canal de Chat #m-rl4 desde el cual descarga una copia del gusano/backdoor Spybot y recibirá comandos e instrucciones, pudiendo realizar entre otras, las siguientes acciones:

modifica el archivo HOSTS en la ruta %System%\drivers\etc\hosts para impedir el acceso a las siguientes direcciones:

La información y parches para las vulnerabilidades mencionadas pueden ser descargadas desde:

PER ANTIVIRUS® versión 9.2 con registro de virus al 08 de Abril del 2005 detecta y elimina eficientemente este gusano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS