Nume:Worm/Mydoom.L.2
Descoperit pe data de:19/07/2004
Tip:Vierme
ITW:Da
Numar infectii raportate:Scazut
Potential de raspandire:Mediu spre ridicat
Potential de distrugere:Mediu
Fisier static:Da
Marime:78.756 Bytes
MD5:a3026f698ac9b0c575f7ac39f1082e01
Versiune VDF:6.26.00.35

 General Metode de raspandire:
   • Email
   • Peer to Peer


Alias:
   •  Symantec: W32.Mydoom.L@mm
   •  Mcafee: W32/Mydoom.n@MM
   •  Kaspersky: Email-Worm.Win32.Mydoom.m
   •  TrendMicro: WORM_MYDOOM.L
   •  Sophos: W32/MyDoom-N
   •  Grisoft: I-Worm/Mydoom.N
   •  VirusBuster: I-Worm.Mydoom.Q
   •  Eset: Win32/Mydoom.Q
   •  Bitdefender: Win32.Mydoom.L@mm


Sistem de operare:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efecte secundare:
   • Utilizeaza propriul motor de email
   • Modificari in registri
   • Sustrage informatii

 Fisiere Se copiaza in urmatoarea locatie:
   • %WINDIR%\lsass.exe



Este creat fisierul:

– Un fisier care contine adrese de e-mail:
   • %TEMPDIR%\%combinatie de caractere aleatoare%.txt

 Registrii sistemului Urmatoarea cheie este adaugata in registri pentru a rula procesul la repornirea sistemului:

– HKLM\Software\Microsoft\Windows\CurrentVersion\Run
   • "Traybar" = "%WINDIR%\lsass.exe"

 Email Are un motor SMTP integrat. Va fi facuta o conexiune directa cu serverul destinatar. Iata caracteristicile lui:


De la:
Adresa este falsificata.
Adrese generate. Va rugam nu presupuneti ca a fost intentia expeditorului sa va trimita acest email. Este posibil ca el sa nu stie ca este infectat sau chiar sa nu aiba sistemul infectat. In plus, este posibil sa primiti email-uri returnate care sa va indice ca sunteti infectat, lucru care poate fi de asemenea fals.


Catre:
– Adrese de email gasite pe sistem.
– Adrese de email obtinute din WAB (Windows Address Book)


Subiect:
Unul din urmatoarele:
   • say helo to my litl friend
   • click me baby, one more time
   • hello
   • hi
   • error
   • status
   • test
   • report
   • delivery failed
   • Message could not be delivered
   • Mail System Error - Returned Mail
   • Delivery reports about your e-mail
   • Returned mail: see transcript for details
   • Returned mail: Data format error

In plus, subiectul email-ului ar putea contine litere aleatoare.


Corpul email-ului:
Corpul email-ului este unul din textele:

   • The original message was included as attachment

   • This Message was undeliverable due to the following reason:
     
     Your message was not delivered because the destination computer was
     not reachable within the allowed queue period. The amount of time
     a message is queued before it is returned depends on local configura-
     tion parameters.
     
     Most likely there is a network problem that prevented delivery, but
     it is also possible that the computer is turned off, or does not
     have a mail system running right now.
     
     Your message was not delivered within %cateva cifre aleatoare% days:
     Host %adresa IP aleatoare% is not responding.
     
     The following recipients did not receive this message:
     %adresa destinatarului%
     
     Please reply to postmaster@%domeniul expeditorului%
     if you feel this message to be in error.

   • The original message was received at Tue, %data curenta% %ora curenta%
     from %domeniul destinatarului% [%adresa IP aleatoare%]
     
     ----- The following addresses had permanent fatal errors -----
     %adresa destinatarului%
     
     ----- Transcript of session follows -----
      while talking to %domeniul destinatarului%.:
     >>> MAIL From:%adresa expeditorului%
     <<< 501 %adresa expeditorului%... Refused

   • The original message was received at Tue, %data curenta% %ora curenta%
     from %domeniul destinatarului% [%adresa IP aleatoare%]
     
     ----- The following addresses had permanent fatal errors -----
     %adresa destinatarului%


Atasament:
Numele fisierelor atasate este alcatuit dupa cum urmeaza:

–  Incepe cu unul din urmatoarele:
   • readme
   • transcript
   • mail
   • letter
   • file
   • text
   • attachment
   • document
   • message

    Extensia fisierului este una din urmatoarele:
   • bat
   • cmd
   • com
   • exe
   • pif
   • scr
   • zip

Atasamentul este o copie malware.

Atasamentul este o arhiva ce contine chiar o copie malware.



Email-ul arata astfel:


 Email Cautare adrese:
Cauta adrese de email in urmatoarele fisiere:
   • doc
   • txt
   • htm
   • html


Genereaza adrese pentru campul expeditorului:
Pentru a genera adrese foloseste urmatoarele texte:
   • Postmaster
   • Mail Administrator
   • Automatic Email Delivery Software
   • Post Office
   • The Post Office
   • Bounced mail
   • Returned mail
   • MAILER-DAEMON
   • Mail Delivery Subsystem



Adrese evitate:
Nu trimite email-uri la adrese care contin unul din urmatoarele siruri de caractere:
   • .gov; .mil; abus; accoun; admi; anyone; arin.; avp; bar.; bug;
      contact; crosoft; domain; example; feste; foo.; gmail; gnu.;
      gold-certs; google; gov.; help; hotmail; info; labs; listserv; master;
      math; microsoft; msn.; nobody; noone; not; nothing; ntivi; ophos;
      page; panda; privacycertific; rarsoft; rating; ripe.; root; sample;
      sarc.; seclist; secur; service; sf.net; site; soft; someone;
      sourceforge; spam; spersk; spm; submit; suppor; syma; the.bat; update;
      uslis; winzip; you; your


Prefixeaza domeniile adreselor de email:
Pentru a afla IP-ul serverului de mail, poate adauga inaintea domeniului urmatoarele siruri de caractere:
   • mx.
   • mail.
   • smtp.

 P2P  Pentru a infecta alte sisteme din retele Peer-to-Peer, efectueaza urmatarele operatii:  


–   Cauta directoarele care au in numele lor unul din urmatoarele texte:
   • incoming
   • ftproot
   • download
   • shar

   Daca reuseste, sunt create urmatoarele fisiere:
   • Kazaa Lite
   • Harry Potter
   • ICQ 4 Lite
   • WinRAR.v.3.2.and.key
   • Winamp 5.0 (en) Crack
   • Winamp 5.0 (en)

   Aceste fişiere sunt copii ale malware-ului.

 Terminarea proceselor Procesele ce contin unul din urmatoarele nume de clasa de fereastra sunt oprite:
   • IEFrame
   • ATH_Note
   • rctrl_renwnd32


 Backdoor Deschide portul

– %directorul de activare malware%\%fisier executat% pe portul TCP 1042 pentru a oferi functionalitate de backdoor.

 Detaliile fisierului Limbaj de programare:
 Limbaj de programare folosit: C (compilat cu Microsoft Visual C++).

Die Beschreibung wurde erstellt von Irina Boldea am Dienstag, 28. Februar 2006
Die Beschreibung wurde geändert von Robert Harja Iliescu am Dienstag, 5. September 2006

zurück . . . .