|
W32/Mytob.B@mm, I.worm.Mytob.B@mm
|
Mytob.B es un destructivo gusano/backdoor reportado el 28 de Febrero del 2005, de propagación a través de mensajes de Correo con remitentes falsos,
asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.
Aprovecha la vulnerabilidad de desbordamiento del buffer descritas en el Boletín de Microsoft MS04-011 y abre un Backdoor a través del IRC (Internet Relay Chat), y desde el cual recibirá instrucciones y comandos, en forma remota. |
Los intrusos poseedores del programa Cliente del Backdoor podrán tomar el control de los sistemas infectados, en forma remota, pudiendo ejecutar acciones nocivas y hasta destructivas.
Es un PE (Portable Ejecutable) e infecta Windows NT/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual C++, con una extensión de 48 KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Usando su propio SMTP (Simple Mail Transfer Protocol) se auto-envía a las direcciones de correo contenidas en la Libreta de Direcciones de Windows (WAB) o de archivos con las siguientes extensiones:
Evitando infectar direcciones de correo que tengan las siguientes cadenas:
El gusano agrega los siguientes nombres a los dominios extraídos de los sistemas infectados para generar nuevas direcciones de correo:
luego inserta prefijos a los nombres de dominio, para encontrar los correspondientes servidores SMTP:
De ese modo incrementará su propagación masiva a través de mensajes de correo, los cuales tienen las siguientes características:
Remitente, uno de los buzones de la Libreta de Direcciones de Windows o emplea la técnica Email spoofing con nombres falsos:
con los dominios de los sistemas infectados.
Asunto, aleatoriamente uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, uno de estos nombres:
seguida de cualquiera de las siguientes extensiones:
pudiendo tener una segunda extensión elegida de:
En caso que el archivo anexado sea uno de formato .ZIP éste contendrá una segunda extensión elegida entre las siguientes:
Al activarse el gusano se copia a la carpeta %System% con el nombre de msnmsgr.exe y para ejecutarse la próxima vez que se inicie el sistema agrega el siguiente valor:
"MSN" = "msnmsgr.exe"
a las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\OLE]
[HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Control\Lsa]
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
Al siguiente re-inicio del sistema, el gusano ejecuta su rutina de propagación masiva de mensajes de correo y aprovechando las vulnerabilidades de desbordamiento del buffer descritas en el Boletín de Microsoft MS04-011,
se conecta al canal de IRC irc.blackcarder.net a través del puerto TCP 6667 desde donde podrá recibir comandos e instrucciones del intruso, el cual puede ejecutar entre otras, las siguientes acciones:
Los intrusos poseedores del Cliente del Backdoor tomarán el control de los sistemas infectados, en forma remota, pudiendo ejecutar acciones nocivas y hasta destructivas.
La información y parche para esta vulnerabilidad se puede leer y descargar desde este enlace:
Microsoft Security Bulletin MS04-011
PER ANTIVIRUS® versión 9.1 con registro de virus al 28 de Febrero del 2005 detecta y elimina eficientemente este gusano/backdoor.
