MYTOB.DW gusano/backdoor de Correo e IRC deshabilita antivirus firewalls toma control de sistemas, etc.  

© Jorge Machado  Lima-Perú

W32/Mytob.DW@mm, W32/Mytob.BV, I.worm.Mytob.DW@mm

Mytob.DW es un destructivo gusano/backdoor reportado el 07 de Junio del 2005, que se  propaga en mensajes de Correo con asuntos y archivos anexados aleatorios, con diversas extensiones y un contenido conminatorio.

Abre un Backdoor y se une a un canal de dos servidores IRC (Internet Relay Chat) desde el que recibirá instrucciones y comandos en forma remota y pudiendo tomar el control de los sistemas infectados.  

Termina procesos en ejecución de antivirus, firewall y programas de control, modifica el archivo HOSTS con el propósito de impedir el acceso a sitios web relacionados a software de seguridad.

Es un PE (Portable Ejecutable) e infecta Windows 2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en MS Visual C++, con una extensión de 41 KB y comprimido con los utilitarios FGS y Morphina:

Usando su propio SMTP (Simple Mail Transfer Protocol) extrae las direcciones de correo de la carpeta temporal de Internet o de los archivos con las siguientes extensiones:

también captura buzones de la Libreta de Direcciones de Windows o usando uno de los siguientes nombres:

con cualquiera de los dominios del sistema infectado.

evitando infectar direcciones de correo que tengan las siguientes cadenas:

o enviarse a los dominios con cualquiera de las cadenas:

Invoca los Servidores Exchange e integra los nombres de dominio a las siguientes cadenas, para usarlas como servidores SMTP:

También extrae dominios de los buzones de correo usando la siguiente llave:

[HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts]

Los mensajes tienen las siguientes características: 

Remitente, uno de los buzones extraídos del sistema infectado o direcciones falsas bajo la técnica Spoofing:

Asunto, uno de los siguientes:

Contenido:

Dear Valued Member,

According to our site policy you will have to confirm your account by the following link or else your account will be suspended within 24 hours for security reasons.

http://[dirección_IP]/confirm.php?email=[direción_falsa]

Thank you for your attention to this question. We apologize for any inconvenience.

Sincerely,Ti Security Department Assistant.

Anexado, uno de estos nombres:

seguido de cualquiera de las siguientes extensiones:

Al activarse el gusano se copia a la carpeta %System% como Test.exe y para ejecutarse la próxima vez que se inicie el equipo agrega las siguientes llaves:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Windows System" = "%System%\Test.exe"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
"Windows System" = "%System%\Test.exe"

libera además los siguientes archivos en las rutas:

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Al siguiente re-inicio termina los procesos de antivirus, firewalls o programas de control:

Actuando como Backdoor se conecta al servidor IRC irc.blackcarder.net e irc.foonet.com y se une al canal de Chat #html desde el cual recibirá comandos e instrucciones, pudiendo realizar entre otras, las siguientes acciones:

modifica el archivo HOSTS para impedir el acceso a las siguientes direcciones:

PER ANTIVIRUS® versión 9.3 con registro de virus al 07 de Junio del 2005 detecta y elimina eficientemente este gusano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS