|
|
|
|
| Enciclopedia de virus |  |
Alertas | |
Análisis | |
Noticias | |
Glosario |
 |
| ||||||
|
| ||||||
|
| ||||||||||
| ||||||||||
Home / Virus / Enciclopedia de virus
Net-Worm.Win32.Mytob.wOtras versiones: .be, .bi, .bk, .r
Este gusano de red infecta ordenadores con Windows. El gusano en sí es un archivo PE EXE escrito en C++. El archivo empaquetado es de un tamaño de 49281 bytes, y sin empaquetar es de 240 KB. El gusano se propaga usando la vulnerabilidad de LSASS, detallada en el boletín de seguridad de Microsoft (Microsoft Security Bulletin MS04-011). El virus también se extiende por Internet como un anexo a los mensajes infectados. Se envía a direcciones de correo electrónico recolectadas del ordenador de la víctima. El gusano contiene una puerta trasera (backdoor) que recibe instrucciones vía IRC. InstalaciónUna vez ejecutado, el gusano se copia a sí mismo al directorio del sistema de Windows como "wincfg32.exe". %System%\XpFirewall.exe El gusano también crea copias de sí mismo en el directorio raíz de C: con los siguientes nombres: C:\funny_pic.scr C:\my_photo2005.scr C:\see_this!!.scr Luego el gusano se inscribe a sí mismo en el registro del sistema. [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKCU\SYSTEM\CurrentControlSet\Control\Lsa] [HKLM\SYSTEM\CurrentControlSet\Control\Lsa] [HKCU\Software\Microsoft\OLE] [HKLM\Software\Microsoft\OLE] "Windows Service XP"="XpFirewall.exe" El gusano también crea un archivo llamado hellmsn.exe (que tiene un tamaño aproximado de 6 KB) en el directorio raiz de C:. Este archivo será detectado por Kaspersky Anti-Virus como Net-Worm.Win32.Mytob.f. El gusano escoge direcciones IP para atacar. Si detecta las vulnerabilidades LSASS o el DCOM RPC en el ordenador de la víctima potencial, ataca esta máquina. Propagación por correo electrónicoEl gusano recolecta direcciones de la libreta de direcciones de Windows y también de los archivos con las siguientes extensiones: adb asp dbx htm php pl sht tbb wab El gusano ignora las direcciones que contienen las siguientes cadenas de texto: .gov .mil abuse accoun acketst admin anyone arin. avp berkeley borlan bsd bsd bugs ca certific contact example fcnz feste fido foo. fsf. gnu gold-certs google google gov. help iana ibm.com icrosof icrosoft ietf info inpris isc.o isi.e kernel linux linux listserv math me mit.e mozilla mydomai no nobody nodomai noone not nothing ntivi page panda pgp postmaster privacy rating rfc-ed ripe. root ruslis samples secur secur sendmail service site soft somebody someone sopho spm submit support syma tanford.e the.bat unix unix usenet utgers.ed webmaster www you your Cuando envía el mensaje infectado el gusano establece una conexión directa con el servidor SMTP del destinatario. Mensajes infectados Remitente (incluye uno de los siguientes nombres):
Asunto del mensaje (elegido al azar de la lista de abajo)
Cuerpo del mensaje (elegido al azar de la lista de abajo)
Nombre del archivo adjunto (elegido al azar de la lista de abajo)
El archivo adjunto puede tener una o dos extensiones, elegidas de la lista de abajo:
Administración a distanciaNet-Worm.Win32.Mytob.w abre un puerto TCP en la máquina de la víctima para recibir órdenes vía IRC. Esto da al usuario malicioso un acceso completo al equipo de la víctima por IRC, para recibir información del ordenador, descargar archivos, iniciarlos y eliminarlos. OtrosEl gusano modifica el archivo para añadir el siguiente texto "%System%\drivers\etc\hosts”: Esto significa que el equipo de la víctima no podrá conectarse a los siguientes sitios: 127.0.0.1 www.symantec.com 127.0.0.1 securityresponse.symantec.com 127.0.0.1 symantec.com 127.0.0.1 www.sophos.com 127.0.0.1 sophos.com 127.0.0.1 www.mcafee.com 127.0.0.1 mcafee.com 127.0.0.1 liveupdate.symantecliveupdate.com 127.0.0.1 www.viruslist.com 127.0.0.1 viruslist.com 127.0.0.1 viruslist.com 127.0.0.1 f-secure.com 127.0.0.1 www.f-secure.com 127.0.0.1 kaspersky.com 127.0.0.1 www.avp.com 127.0.0.1 www.kaspersky.com 127.0.0.1 avp.com 127.0.0.1 www.networkassociates.com 127.0.0.1 networkassociates.com 127.0.0.1 www.ca.com 127.0.0.1 ca.com 127.0.0.1 mast.mcafee.com 127.0.0.1 my-etrust.com 127.0.0.1 www.my-etrust.com 127.0.0.1 download.mcafee.com 127.0.0.1 dispatch.mcafee.com 127.0.0.1 secure.nai.com 127.0.0.1 nai.com 127.0.0.1 www.nai.com 127.0.0.1 update.symantec.com 127.0.0.1 updates.symantec.com 127.0.0.1 us.mcafee.com 127.0.0.1 liveupdate.symantec.com 127.0.0.1 customer.symantec.com 127.0.0.1 rads.mcafee.com 127.0.0.1 trendmicro.com 127.0.0.1 www.microsoft.com 127.0.0.1 www.trendmicro.com | ||||||||||
Copyright © 1996 - 2010
Kaspersky Lab
Todos los derechos reservados
Correo electrónico: webmaster@viruslist.com
