¿Necesita ayuda? Pregunte a la comunidad o contrate a un experto.
Ir a Avira Answers
Nombre:Worm/Mytob.LZ
Descubierto:28/11/2005
Tipo:Gusano
En circulacin (ITW):S
Nmero de infecciones comunicadas:Bajo
Potencial de propagacin:Medio-alto
Potencial daino:Medio
Fichero esttico:S
Tamao:94.689 Bytes
Suma de control MD5:2f172aa5095904316ae33e5d04edffb5
Versin del VDF:6.32.00.233

 General Mtodos de propagacin:
   • Correo electrnico
   • Red local


Alias:
   •  Symantec: W32.Mytob@mm
   •  Kaspersky: Net-Worm.Win32.Mytob.cu
   •  TrendMicro: WORM_MYTOB.NB
   •  F-Secure: Net-Worm.Win32.Mytob.cu
   •  Sophos: W32/Mytob-FZ
   •  Panda: W32/Mydoom.CA.worm
   •  VirusBuster: I-Worm.Mytob.OP
   •  Eset: Win32/Mytob.NE
   •  Bitdefender: Win32.Worm.MyTob.DL


Plataformas / Sistemas operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Contiene su propio motor para generar mensajes de correo
   • Modificaciones en el registro
   • Emplea vulnerabilidades de software
   • Roba informaciones
   • Posibilita el acceso no autorizado al ordenador

 Ficheros Se copia a s mismo en la siguiente ubicacin:
   • %SYSDIR%\msconfgh.exe

 Registro Las siguientes claves del registro se encuentran en un bucle infinito, aadido para ejecutar los procesos al reiniciar el sistema.

  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "Win32 Cnfg32" = "msconfgh.exe"

  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
   • "Win32 Cnfg32" = "msconfgh.exe"

  HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "Win32 Cnfg32" = "msconfgh.exe"

  HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
   • "Win32 Cnfg32" = "msconfgh.exe"



Aade las siguientes claves del registro para ejecutar el servicio al iniciar el sistema:

HKLM\SYSTEM\CurrentControlSet\Services\Win32 Cnfg32
   • "Type"=dword:00000020
   • "Start"=dword:00000004
   • "ErrorControl"=dword:00000001
   • "ImagePath"="%SYSDIR%\msconfgh.exe"
   • "DisplayName"="Win32 Cnfg32"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valores hex%
   • "DeleteFlag"=dword:00000001

 Correo electrnico Incluye un motor SMTP integrado para enviar mensajes. Establecer una conexin con el servidor de destinacin. Las caractersticas se describen a continuacin:


De:
La direccin del remitente es falsa.
Direcciones generadas. Por favor no piense que ha sido la intencin del remitente enviarle este mensaje de correo. Es posible que dicho remitente no est al tanto de la infeccin o no est infectado. Adems, es posible que usted reciba mensajes devueltos, indicndole que est infectado. Esto tambin podra ser falso.


Para:
– Direcciones de correo encontradas en ficheros especficos del sistema.
 Direcciones de correo recolectadas de WAB (La libreta de direcciones de Windows - Windows Address Book)
– Direcciones generadas


Asunto:
Uno de los siguientes:
   • Notice of account limitation
   • Email Account Suspension
   • Security measures
   • Members Support
   • Important Notification
   • Warning Message: Your services near to be closed.
   • Your Account is Suspended For Security Reasons
   • *DETECTED* Online User Violation
   • Your Account is Suspended
   • Your new account password is approved
   • You have successfully updated your password
   • Your password has been successfully updated
   • Your password has been updated

Adems, el campo del asunto podra incluir caracteres aleatorios.


El cuerpo del mensaje:
El cuerpo del mensaje es uno de los siguientes:

   • Dear %el dominio del destinatario desde la direccin de correo% Member,
     We have temporarily suspended your email account %direccin de correo del destinatario%
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of subscription due to an internal error within our processors.
     See the details to reactivate your %el dominio del destinatario desde la direccin de correo% account.
     Sincerely,The %el dominio del remitente desde la direccin de correo% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %el dominio del remitente desde la direccin de correo% Antivirus - www.%el dominio del remitente desde la direccin de correo%

   • Dear user %el nombre de usuario desde la direccin de correo del destinatario% ,
     You have successfully updated the password of your %el dominio del destinatario desde la direccin de correo% account.
     If you did not authorize this change or if you need assistance with your account, please contact %el dominio del remitente desde la direccin de correo% customer service at: %direccin de correo del remitente%
     Thank you for using%el dominio del remitente desde la direccin de correo%!
     The %el dominio del remitente desde la direccin de correo% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %el dominio del remitente desde la direccin de correo% Antivirus - www.%el dominio del remitente desde la direccin de correo%

   • Dear%el dominio del destinatario desde la direccin de correo% Member,
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.
     
     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     Virtually yours,
     The %el dominio del remitente desde la direccin de correo% Support Team
     
     +++ Attachment: No Virus found
     +++%el dominio del remitente desde la direccin de correo% Antivirus - www.%el dominio del remitente desde la direccin de correo%

   • Dear user %el nombre de usuario desde la direccin de correo del destinatario% ,
     It has come to our attention that your %el dominio del remitente desde la direccin de correo% User Profile ( x ) records are out of date. For further details see the attached document.
     Thank you for using %el dominio del remitente desde la direccin de correo% !
     The %el dominio del remitente desde la direccin de correo% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %el dominio del remitente desde la direccin de correo% Antivirus - www.%el dominio del remitente desde la direccin de correo%


Archivo adjunto:
El nombre del fichero adjunto es uno de los siguientes:
   • accepted-password.zip
   • account-details.zip
   • account-info.zip
   • account-password.zip
   • account-report.zip
   • approved-password.zip
   • document.zip
   • email-details.zip
   • email-password.zip
   • important-details.zip
   • new-password.zip
   • password.zip
   • readme.zip
   • updated-password.zip
   • %serie de caracteres aleatorios%.zip

El adjunto es un archivo que contiene una copia del programa viral.



El mensaje de correo se ve as:


 Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • wab; adb; tbb; dbx; asp; php; sht; htm; html; xml; cgi; jsp; txt; tmp


Creacin de direcciones para el campo DE (remitente):
Para generar direcciones, emplea los siguientes textos:
   • webmaster
   • register
   • info
   • admin
   • service
   • mail
   • administrator
   • support



Creacin de direcciones para el campo A (destinatario):
Para generar direcciones, emplea los siguientes textos:
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom



Evita las direcciones:
No enva mensajes de correo a las direcciones que incluyen las siguientes series de caracteres:
   • .edu; .gov; .mil; abuse; accoun; acketst; admin; ahn; antivi; anyone;
      arin.; avp; be_loyal:; berkeley; borlan; bsd; bugs; certific; contact;
      duba; example; fbi; fcnz; feste; fido; foo.; f-pro; freeav; f-secur;
      fsf.; gnu; gold-certs; google; gov.; help; hotmail; iana; ibm.com;
      icrosof; icrosoft; ietf; info; inpris; isc.o; isi.e; jiangmin;
      kaspersky; kernel; linux; listserv; master; math; mcafee; messagelabs;
      mit.e; mozilla; msn.; mydomai; nobody; nodomai; noone; norman; norton;
      not; nothing; ntivi; page; panda; pgp; postmaster; privacy; rating;
      rfc-ed; ripe.; rising; root; ruslis; samples; sdbot; secur; sendmail;
      service; site; slashdot; soft; somebody; someone; sopho; sourceforge;
      spm; submit; support; syma; symantec; tanford.e; the.bat; unix;
      usenet; utgers.ed; viruslis; webmaster; www; you; your


Prefijar los dominios de las direcciones de correo:
Para obtener la direccin IP del servidor de correo, aade los siguientes prefijos al nombre del dominio:
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

 Infeccin en la red Para asegurar su propagacin, el programa viral intenta conectarse a otros sistemas, tal como se describe a continuacin.


Exploit:
Emplea las siguientes brechas de seguridad:
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)


Creacin de direcciones IP:
Crea direcciones IP aleatorias y guarda los primeros dos octetos de su propia direccin. Luego intenta establecer una conexin con las direcciones generadas.


Proceso de infeccin:
Crea un script FTP en el sistema afectado, para descargar el programa viral en la ubicacin remota.

 IRC Para enviar informaciones y proporcionar control remoto, se conecta al siguiente servidor IRC:

Servidor: f00r.dy**********
Puerto: 6667
Canal: #tob
Contrasea: (null)



 Este programa malicioso puede obtener y enviar informaciones tales como:
    • Contraseas guardadas
    • Velocidad del procesador
     Informaciones acerca de los controladores de dispositivos
    • Espacio libre en el disco
    • Memoria disponible
    • Tiempo de trabajo del programa viral
    • Informaciones acerca de la red
    • Informaciones acerca de los procesos del sistema
    • Tamao de la memoria
    • Nombre de usuario
    • Informaciones acerca del sistema operativo Windows


 Adems puede efectuar las siguientes operaciones:
     Iniciar ataques DDoS por desbordamiento de SYN
     Iniciar ataques DDoS por desbordamiento de UDP
    • Descargar fichero
    • Ejecutar fichero
    • Terminar proceso
     Realizar un anlisis de la red
    • Redirigir puertos
    • Reiniciar sistema
    • Enviar mensajes de correo
    • Apagar sistema
     Iniciar la captura de pulsaciones de teclado
     Iniciar la rutina de propagacin
    • Terminar proceso viral
    • Terminar proceso
     Se actualiza solo
    • Cargar fichero en Internet

 Ficheros host El fichero host es modificado de la siguiente manera:

En este caso, las entradas existentes quedan sin modificar.

El acceso a los siguientes dominios est bloqueado:
   • www.symantec.com; securityresponse.symantec.com; symantec.com;
      www.sophos.com; sophos.com; www.mcafee.com; mcafee.com;
      liveupdate.symantecliveupdate.com; www.viruslist.com; viruslist.com;
      viruslist.com; f-secure.com; www.f-secure.com; kaspersky.com;
      kaspersky-labs.com; www.avp.com; www.kaspersky.com; avp.com;
      www.networkassociates.com; networkassociates.com; www.ca.com; ca.com;
      mast.mcafee.com; my-etrust.com; www.my-etrust.com;
      download.mcafee.com; dispatch.mcafee.com; secure.nai.com; nai.com;
      www.nai.com; update.symantec.com; updates.symantec.com; us.mcafee.com;
      liveupdate.symantec.com; customer.symantec.com; rads.mcafee.com;
      trendmicro.com; pandasoftware.com; www.pandasoftware.com;
      www.trendmicro.com; www.grisoft.com; www.microsoft.com; microsoft.com;
      www.virustotal.com; virustotal.com; www.amazon.com; www.amazon.co.uk;
      www.amazon.ca; www.amazon.fr; www.paypal.com; paypal.com;
      moneybookers.com; www.moneybookers.com; www.ebay.com; ebay.com




El fichero host modificado se ver as:


 Backdoor (Puerta trasera) Abre el siguiente puerto:

%SYSDIR%\msconfgh.exe en un puerto TCP aleatorio para funcionar como servidor FTP.

 Robo de informaciones  Monitoriza la red mediante un sniffer y busca las siguientes series de caracteres:
   • :.login
   • :!login
   • :.secure
   • :!advscan
   • :.advscan
   • :.ipscan
   • :!ident
   • :.ident

Inicia una rutina de creacin de ficheros log despus de visitar un sitio web que contiene las siguientes subseries de caracteres en su URL:
   • paypal
   • PAYPAL
   • paypal.com
   • PAYPAL.COM

 Captura:
     Trfico en Internet
     Informaciones para iniciar sesin

 Datos del fichero Lenguaje de programacin:
El programa de malware ha sido escrito en MS Visual C++.


Programa de compresin de ejecutables:
Para agravar la deteccin y reducir el tamao del fichero, emplea el siguiente programa de compresin de ejecutables:
   • MEW

Descripción insertada por Irina Boldea el viernes 31 de marzo de 2006
Descripción actualizada por Irina Boldea el miércoles 19 de abril de 2006

Volver . . . .
https:// Esta ventana está cifrada para su seguridad.