MYTOB.AP gusano/backdoor de Correo e IRC explota vulnerabilidades bloquea acceso a sitios web, etc.  

© Jorge Machado  Lima-Perú

W32/Mytob.AP@mm, I.worm.Mytob.AP@mm

Mytob.AP es la última variante de la familia de gusanos/backdoors Mytob, reportada el 12 de Abril del 2005, de propagación a través de mensajes de Correo con remitentes falsos, asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.

Explota la vulnerabilidad LSASS descrita en el Boletín MS04-011 abre un Backdoor en redes con recursos compartidos configuradas con contraseñas débiles y se une a un canal del IRC (Internet Relay Chat) desde el que recibe instrucciones y comandos.  

Libera copias del troyano/backdoor Rootdrop.

Los intrusos podrán tomar el control de los sistemas infectados, en forma remota, pudiendo ejecutar acciones nocivas y hasta destructivas.

Es un PE (Portable Ejecutable) e infecta Windows 2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en MS Visual C++, con una extensión de 73 KB y comprimido con el utilitario MEW (desarrollado en C++ y Assembler por un grupo de hackers denominado Northfox):

http://www.softpedia.com/get/Programming/Packers-Crypters-Protectors/MEW-SE.shtml

Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows, la carpeta temporal de Internet o archivos con las siguientes extensiones:

también genera direcciones de correo usando uno de los siguientes nombres:

con cualquiera de los dominios capturados del sistema infectado y al que aleatoriamente puede agregar:

evitando infectar direcciones de correo que tengan las siguientes cadenas:

o enviarse a los dominios con cualquiera de las cadenas:

Integra los nombres de dominio a las siguientes cadenas para usarlas como servidores SMTP:

También extrae dominios de los buzones de correo usando la siguiente llave:

[HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts]

Los mensajes tienen las siguientes características: 

Remitente, uno de los buzones extraídos del sistema infectado o direcciones falsas bajo la técnica Spoofing:

Asunto, aleatoriamente uno de los siguientes:

Contenido, uno de los siguientes:

Anexado, uno de estos nombres:

seguido de cualquiera de las siguientes extensiones:

Si el archivo tiene extensión .ZIP la copia del gusano tiene una de las siguientes segundas extensiones:

Al activarse el gusano se copia a las siguientes rutas con los nombres:

libera además el troyano/backdoor Rootdrop copiándolos al directorio raíz con los nombres:

Para ejecutarse la próxima vez que se inicie el equipo agrega el siguiente valor:

"Windows USB Service = "%System%\666.exe"

a las siguientes llaves de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
[HKEY_LOCAL_MACHINE\Software\Microsoft\Ole
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
[HKEY_CURRENT_USER\Software\Microsoft\Ole
[HKEY_CURRENT_USER\System\CurrentControlSet\Control\Lsa

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Al siguiente re-inicio ejecuta su rutina de propagación masiva de mensajes de correo y rastrea los sistemas con la vulnerabilidad LSASS, haciendo uso de los puertos TCP 445, 135 o aleatorio que se encuentre disponible y abierto.

Actuando como Backdoor se conecta al servidor IRC 19.xxor.biz y se une al canal de Chat #m-rl4 desde el cual descarga una copia del gusano/backdoor Spybot y recibirá comandos e instrucciones, pudiendo realizar entre otras, las siguientes acciones:

modifica el archivo HOSTS en la ruta %System%\drivers\etc\hosts para impedir el acceso a las siguientes direcciones:

La información y parche para la vulnerabilidad LSASS puede ser descargada desde:

PER ANTIVIRUS® versión 9.2 con registro de virus al 12 de Abril del 2005 detecta y elimina eficientemente este gusano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS