Du brauchst Hilfe? Frage die Community oder wende dich an einen Experten.
Zu Avira Answers
Name:Worm/Mytob.61440
Entdeckt am:03/05/2005
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Niedrig
Verbreitungspotenzial:Mittel bis hoch
Schadenspotenzial:Mittel
Statische Datei:Ja
Dateigre:58.368 Bytes
MD5 Prfsumme:d4be7b51dee132f5814a3c7df7c5a464
IVDF Version:6.30.00.154 - Dienstag, 3. Mai 2005

 General Verbreitungsmethoden:
   • Email
   • Lokales Netzwerk


Aliases:
   •  Mcafee: W32/Mytob.gen@MM
   •  Kaspersky: Net-Worm.Win32.Mytob.gen
   •  TrendMicro: WORM_MYDOOM.DM
   •  F-Secure: Net-Worm.Win32.Mytob.gen
   •  Sophos: W32/Mytob-BT
   •  Panda: W32/Mytob.CD.worm
   •  Eset: Win32/Mytob.BL worm
   •  Bitdefender: Win32.Worm.Mytob.LM


Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Blockiert Zugriff auf Webseiten von Sicherheitsfirmen
   • Verfgt ber eigene Email Engine
   • Ermglicht unbefugten Zugriff auf den Computer

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %SYSDIR%\taskgmrs.exe
   • c:\funny_pic.scr
   • c:\see_this!!.scr
   • c:\my_photo2005.scr



Es wird folgende Datei erstellt:

c:\hellmsn.exe Des weiteren wird sie ausgefhrt nachdem sie vollstndig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Mytob.F.1

 Registry Die folgenden Registryschlssel werden hinzugefgt um die Prozesse nach einem Neustart des Systems erneut zu starten.

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "WINDRUN"="taskgmrs.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "WINDRUN"="taskgmrs.exe"



Die folgenden Registryschlssel werden hinzugefgt um den Service nach einem Neustart des Systems erneut zu laden.

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
   • "WINDRUN"="taskgmrs.exe"



Folgende Registryschlssel werden hinzugefgt:

[HKCU\Software\Microsoft\OLE]
   • "WINDRUN"="taskgmrs.exe"

[HKCU\SYSTEM\CurrentControlSet\Control\Lsa]
   • "WINDRUN"="taskgmrs.exe"

[HKLM\SOFTWARE\Microsoft\Ole]
   • "EnableDCOM"="Y"
   • "WINDRUN"="taskgmrs.exe"

[HKLM\SYSTEM\CurrentControlSet\Control\Lsa]
   • "WINDRUN"="taskgmrs.exe"

 Email Die Malware verfgt ber eine eigene SMTP engine um Spam Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgefhrt:


Von:
Generierte Adressen. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist mglich, dass er nichts ber seine Infektion wei oder sogar nicht infiziert ist. Des Weiteren ist es mglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was mglicherweise auch nicht stimmt.
Der Absender der Email ist einer der folgenden:
   • sandra
   • lolita
   • britney
   • bush
   • linda
   • julie
   • jimmy
   • jerry
   • helen
   • debby
   • claudia
   • brenda
   • anna
   • madmax
   • brent
   • adam
   • ted
   • fred
   • jack
   • bill
   • stan
   • smith
   • steve
   • matt
   • dave
   • dan
   • joe
   • jane
   • bob
   • robert
   • peter
   • tom
   • ray
   • mary
   • serg
   • brian
   • jim
   • maria
   • leo
   • jose
   • andrew
   • sam
   • george
   • david
   • kevin
   • mike
   • james
   • michael
   • alex
   • john


An:
– Email Adressen welche in ausgewhlten Dateien auf dem System gefunden wurden.


Betreff:
Eine der folgenden:
   • hello
   • Error
   • Status
   • Good day
   • SERVER REPORT
   • Mail Transaction Failed
   • Mail Delivery System

Manchmal kann die Betreffzeile auch leer sein.
Des Weiteren kann die Betreffzeile zufllige Zeichen enthalten.


Body:
–  Kann unter Umstnden zufllige Daten beinhalten.
Der Body der Email ist einer der folgenden:
   • Mail transaction failed. Partial message is available.
   • The message contains Unicode characters and has been sent as a binary attachment.
   • The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
   • The original message was included as an attachment.
   • Here are your banks documents.


Dateianhang:
Der Dateiname des Anhangs wird aus folgenden zusammengesetzt:

–  Es beginnt mit einer der folgenden:
   • doc
   • file
   • text
   • data
   • body
   • readme
   • message
   • document
   • %zufllige Buchstabenkombination%

    Die Dateierweiterung ist eine der folgenden:
   • .zip
   • .scr
   • .pif
   • .bat
   • .exe
   • .cmd



Die Email sieht wie folgt aus:


 Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • wab
   • adbh
   • tbbg
   • dbxn
   • aspd
   • phpq
   • shtl
   • htmb


Vermeidet Adressen:
Es werden keine Emails an Adressen verschickt, die eine der folgenden Zeichenketten enthalten:
   • accoun; certific; listserv; ntivi; support; icrosoft; admin; page;
      the.bat; gold-certs; feste; submit; not; help; service; privacy;
      somebody; soft; contact; site; rating; bugs; you; your; someone;
      anyone; nothing; nobody; noone; webmaster; postmaster; samples; info;
      root; be_loyal:; mozilla; utgers.ed; tanford.e; pgp; acketst; secur;
      isc.o; isi.e; ripe.; arin.; sendmail; rfc-ed; ietf; iana; usenet;
      fido; linux; kernel; google; ibm.com; fsf.; gnu; mit.e; bsd; math;
      unix; berkeley; foo.; .mil; gov.; .gov; ruslis; nodomai; mydomai;
      example; inpris; borlan; sopho; panda; icrosof; syma; avp; .edu;
      abuse; www

 Infektion ber das Netzwerk Exploit:
Folgende Sicherheitslcke wird ausgenutzt:
– MS04-011 (LSASS Vulnerability)


IP Adressen Erzeugung:
Es werden zufllige IP Adressen generiert wobei die ersten beiden Zahlen die der eigenen Addresse sind. Es wird dann versuche eine Verbindung mit diesen Adressen aufzubauen.


Ablauf der Infektion:
Auf dem bernommenen Computer wird ein FTP Skript erstellt. Dieses ldt die Malware auf den entfernten Computer.

 IRC Um Systeminformationen zu bermitteln und Fernsteuerung sicherzustellen wird eine Verbindung mit folgendem IRC Server hergestellt:

Server: irc.beast**********
Port: 8080
Channel: #hell
Nickname: [I]%zufllige Buchstabenkombination%
Passwort: hellabot


 Des Weiteren besitzt die Malware die Fhigkeit folgende Aktionen durchzufhren:
     vom IRC Server abmelden
    • Gesharte Netzlaufwerke aktivieren
    • Datei ausfhren
    • IRC Chatraum betreten
    • Prozess abbrechen
    • Datei Hinaufladen

 Hosts Die hosts Datei wird wie folgt gendert:

In diesem Fall bleiben bestehende Eintrge erhalten.

Zugriffe auf folgende Domains wird erfolgreich unterbunden:
   • www.symantec.com; securityresponse.symantec.com; symantec.com;
      www.sophos.com; sophos.com; www.mcafee.com; mcafee.com;
      liveupdate.symantecliveupdate.com; www.viruslist.com; viruslist.com;
      viruslist.com; f-secure.com; www.f-secure.com; kaspersky.com;
      www.avp.com; www.kaspersky.com; avp.com; www.networkassociates.com;
      networkassociates.com; www.ca.com; ca.com; mast.mcafee.com;
      my-etrust.com; www.my-etrust.com; download.mcafee.com;
      dispatch.mcafee.com; secure.nai.com; nai.com; www.nai.com;
      update.symantec.com; updates.symantec.com; us.mcafee.com;
      liveupdate.symantec.com; customer.symantec.com; rads.mcafee.com;
      trendmicro.com; www.microsoft.com; www.trendmicro.com




Die modifizierte Host Datei sieht wie folgt aus:


 Hintertr Der folgende Port wird geffnet:

taskgmrs.exe am TCP Port 10082 um einen FTP Server zur Verfgung zu stellen.

 Diverses Mutex:
Es wird folgender Mutex erzeugt:
   • H-E-L-L-B-O-T

 Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Gre der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
   • Upack

Die Beschreibung wurde erstellt von Gabriel Mustata am Freitag, 5. Oktober 2007
Die Beschreibung wurde geändert von Gabriel Mustata am Freitag, 5. Oktober 2007

zurück . . . .