|
W32/Mytob.CP@mm, W32/Mytob.AN@mm, I.worm.Mytob.CP@mm
|
Mytob.CP es un destructivo gusano/backdoor reportado el 22 de Mayo del 2005, que se propaga a través de mensajes de Correo con remitentes falsos,
asuntos, contenidos y archivos anexados de nombres aleatorios, con diversas extensiones.
Aprovecha la vulnerabilidad LSASS descrita en el Boletín MS04-011. Abre un Backdoor usando el puerto TCP 10082 y se une a un canal del IRC (Internet Relay Chat) desde el que recibe instrucciones y comandos en forma remota. |
En caso de borrar en forma manual las llaves de registro creadas por el gusano, se regenerarán automáticamente. Modifica el archivo HOSTS para impedir el acceso a sitios web relacionados a software antivirus, firewalls y de control.
Es un PE (Portable Ejecutable) e infecta Windows 2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en MS Visual C++, con una extensión de 62 KB y comprimido con los utilitarios FGS y Morphina:
El gusano revisa las unidades de disco de la C: a a la Z: capturando las direcciones de las siguientes rutas:
así como las contenidas en los archivos con las siguientes extensiones:
también captura buzones de la Libreta de Direcciones de Windows o usando uno de los siguientes nombres:
con cualquiera de los dominios:
evitando infectar direcciones de correo que tengan las siguientes cadenas:
o enviarse a los dominios con cualquiera de las cadenas:
Invoca los Servidores Exchange e integra los nombres de dominio a las siguientes cadenas para usarlas como servidores SMTP:
Haciendo uso de su propio motor SMTP (Simple Mail Transfer Protocol) se envía masivamente en mensajes con las siguientes características:
Remitente, uno de los buzones extraídos del sistema o direcciones falsas con la técnica Spoofing usando uno de los siguientes nombres:
con uno de los dominios:
Asunto, aleatoriamente uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, uno de estos nombres:
seguido de cualquiera de las siguientes extensiones:
Si el archivo tiene extensión .ZIP la copia del gusano tiene una de las siguientes segundas extensiones:
Al activarse el gusano crea el Mutex W-I-N-M-S-O-T para evitar infectar un sistema más de una vez y se copia a las siguientes rutas y con los nombres de archivo:
luego libera al directorio raíz de C:\ el archivo hellmsn.exe, que es una variante de Mytob.
Para ejecutarse la próxima vez que se inicie el equipo agrega el siguiente valor:
"MS PLUS INC" = "wpad.exe"
a las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole]
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa]
[HKEY_CURRENT_USER\Software\Microsoft\Ole]
[HKEY_CURRENT_USER\System\CurrentControlSet\Control\Lsa]
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
En caso estas llaves de registro sean borradas manualmente, el gusano las regenerará automáticamente.
Al siguiente re-inicio inicia su rutina de auto-envío de mensajes de correo.
Actuando como Backdoor se conecta al servidor IRC mesa.peruvianpower.com y se une un canal de Chat desde el cual recibirá comandos e instrucciones, pudiendo realizar entre otras, las siguientes acciones:
modifica el archivo HOSTS en la ruta %System%\drivers\etc\hosts para impedir el acceso a las siguientes direcciones:
PER ANTIVIRUS® versiones 9.2 y 9.3 con registro de virus al 22 de Mayo del 2005 detectan y eliminan este gusano/backdoor.
