Nome del virus:Worm/Mytob.KE
Scoperto:06/10/2005
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio
Potenziale di danni:Medio
File statico:Si
Dimensione del file:37.888 Byte
Somma di controllo MD5:39404d69f222a506ce60d260e8377a8d
Versione VDF:6.32.00.64

 Generale Metodo di propagazione:
   • Email


Alias:
   •  Kaspersky: Email-Worm.Win32.Fanbot.c
   •  TrendMicro: WORM_MYTOB.KV
   •  Sophos: W32/Mytob-FT
   •  Grisoft: I-Worm/Mytob.MC
   •  Eset: Win32/Mytob.KR
   •  Bitdefender: Backdoor.SDBot.BBD


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP


Effetti secondari:
   • Blocca l'accesso a siti web di sicurezza
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi


Giusto dopo l'esecuzione viene visualizzata la seguente informazione:


 File Si copia alla seguente posizione:
   • %SYSDIR%\Phantom.exe



Viene creato il seguente file:

– C:\Shell.sys Questo file contiene le battute di tastiera recuperate.

 Registro Viene cambiata la seguente chiave di registro:

– HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
   Valore precedente:
   • "Shell"=%impostazioni definite dell'utente%
     "Userinit"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Shell"="Explorer.exe Phantom.exe"
     "Userinit"="userinit.exe,Phantom.exe"

 Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:


Da:
L'indirizzo del mittente è falso.
Indirizzi generati. Non si presupponga che fosse intenzione del mittente inviare questa email. Potrebbe non essere a conoscenza della propria ”infezione” o addirittura potrebbe non essere “infetto”. In più si potrebbero ricevere email bounce che diranno che si è “infetti”. Questo potrebbe comunque non essere il caso.


A:
– Indirizzi email trovati in specifici file sul sistema.
– Indirizzi email raccolti da WAB (Windows Address Book)
– Indirizzi generati


Oggetto:
Uno dei seguenti:
   • Notice of account limitation
   • Email Account Suspension
   • Security measures
   • Members Support
   • Important Notification
   • Warning Message: Your services near to be closed.
   • Your Account is Suspended For Security Reasons
   • *DETECTED* Online User Violation
   • Your Account is Suspended
   • Your new account password is approved
   • You have successfully updated your password
   • Your password has been successfully updated
   • Your password has been updated



Corpo dell'email:
Il corpo dell’email è come uno dei seguenti:

   • Dear %nome a dominio del ricevente dall'indirizzo email% Member,
     We have temporarily suspended your email account %indirizzo email del ricevente%
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of subscription due to an internal error within our processors.
     See the details to reactivate your %nome a dominio del ricevente dall'indirizzo email% account.
     Sincerely,The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%

   • Dear user %nome utente dall'indirizzo email del ricevente% ,
     You have successfully updated the password of your %nome a dominio del ricevente dall'indirizzo email% account.
     If you did not authorize this change or if you need assistance with your account, please contact %nome a dominio del mittente dall'indirizzo email% customer service at: %indirizzo email del mittente%
     Thank you for using%nome a dominio del mittente dall'indirizzo email%!
     The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%

   • Dear%nome a dominio del ricevente dall'indirizzo email% Member,
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.
     
     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     Virtually yours,
     The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus found
     +++%nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%

   • Dear user %nome utente dall'indirizzo email del ricevente% ,
     It has come to our attention that your %nome a dominio del mittente dall'indirizzo email% User Profile ( x ) records are out of date. For further details see the attached document.
     Thank you for using %nome a dominio del mittente dall'indirizzo email% !
     The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%


File allegato:
Il nome del file allegato è uno dei seguenti:
   • accepted-password.zip
   • account-details.zip
   • account-info.zip
   • account-password.zip
   • account-report.zip
   • approved-password.zip
   • document.zip
   • email-details.zip
   • email-password.zip
   • important-details.zip
   • new-password.zip
   • password.zip
   • readme.zip
   • updated-password.zip

L'allegato è un archivio che contiene una copia del malware stesso.



L’email si presenta come di seguito:


 Invio di messaggi Cerca indirizzi:
Cerca i seguenti file per gli indirizzi email:
   • adb; asp; cfg; cgi; dbx; ht; htm; html; jsp; mdb; msg; php; sht; tbb;
      txt; vbe; vbs; xml


Generazione dell'indirizzo per il campo TO:
Per generare indirizzi utilizza le seguenti stringhe:
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom



Generazione dell'indirizzo per il campo FROM:
Per generare indirizzi utilizza le seguenti stringhe:
   • noreply
   • webmaster
   • register
   • info
   • admin
   • service
   • mail
   • administrator
   • support



Evita indirizzi:
Non invia email agli indirizzi che contengono una delle seguenti stringhe:
   • -._!; -._!@; .edu; .gov; .mil; abuse; accoun; acketst; admin; ahn;
      antivi; anyone; arin.; avp; be_loyal:; berkeley; borlan; bsd; bugs;
      certific; contact; duba; example; fbi; fcnz; feste; fido; foo.; f-pro;
      freeav; f-secur; fsf.; gnu; gold-certs; google; gov.; help; hotmail;
      iana; ibm.com; icrosof; icrosoft; ietf; info; inpris; isc.o; isi.e;
      jiangmin; kaspersky; kernel; linux; listserv; master; math; mcafee;
      messagelabs; mit.e; mozilla; msn.; mydomai; nobody; nodomai; noone;
      norman; norton; not; nothing; ntivi; page; panda; pgp; postmaster;
      privacy; rating; rfc-ed; ripe.; rising; root; ruslis; samples; sdbot;
      secur; sendmail; service; site; slashdot; soft; somebody; someone;
      sopho; sourceforge; spm; submit; support; syma; symantec; tanford.e;
      the.bat; unix; usenet; utgers.ed; viruslis; webmaster; www; you; your


Aggiunte alla stringa MX:
Per ottenere l'indirizzo IP del mail server, ha la capacità di aggiungere in testa al nome di dominio le seguenti stringhe:
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: small**********.3322.org
Porta: 5262
Canale: #xiaoyu
Nickname: %stringa casuale di cinque caratteri%



– Questo malware ha la capacità di recuperare ed inviare informazioni quali:
    • Velocità della CPU
    • Utente corrente
    • Spazio libero su disco
    • Memoria libera
    • Informazioni sulla rete
    • Dimensione della memoria
    • Directory di sistema
    • Nome Utente
    • Informazioni sul sistema operativo Windows


– In più ha la capacità di effettuare azioni quali:
    • Lanciare un attacco DdoS SYN
    • Lancia un attacco DdoS UDP
    • Download di file
    • Eseguire file
    • Terminare il processo
    • Aprire condivisione remota
    • Riavviare il sistema
    • Inviare email
    • Aggiornarsi
    • Carica un file
    • Visitare un sito web

 Host L'host del file viene modificato come spiegato:

– In questo caso i dati immessi già esistenti vengono cancellati.

– L'accesso ai seguenti domini è effettivamente bloccato:
   • jiangmin.com; www.jiangmin.com; Update2.JiangMin.com;
      Update3.JiangMin.com; rising.com.cn; www.rising.com.cn;
      online.rising.com.cn; iduba.net; www.iduba.net; kingsoft.com;
      db.kingsoft.com; scan.kingsoft.com; kaspersky.com.cn;
      www.kaspersky.com.cn; symantec.com.cn; www.symantec.com.cn;
      www.symantec.com; securityresponse.symantec.com; symantec.com;
      www.sophos.com; sophos.com; www.mcafee.com; mcafee.com;
      liveupdate.symantecliveupdate.com; www.viruslist.com; viruslist.com;
      viruslist.com; f-secure.com; www.f-secure.com; kaspersky.com;
      kaspersky-labs.com; www.avp.com; www.kaspersky.com; avp.com;
      www.networkassociates.com; networkassociates.com; www.ca.com; ca.com;
      mast.mcafee.com; my-etrust.com; www.my-etrust.com;
      download.mcafee.com; dispatch.mcafee.com; secure.nai.com; nai.com;
      www.nai.com; update.symantec.com; updates.symantec.com; us.mcafee.com;
      liveupdate.symantec.com; customer.symantec.com; rads.mcafee.com;
      trendmicro.com; www.pandaguard.com; pandasoftware.com;
      www.pandasoftware.com; www.trendmicro.com; www.grisoft.com;
      www.microsoft.com; microsoft.com; www.virustotal.com; virustotal.com;
      www.amazon.com; www.amazon.co.uk; www.amazon.ca; www.amazon.fr;
      www.paypal.com; paypal.com; moneybookers.com; www.moneybookers.com;
      www.ebay.com; ebay.com




L'host del file modificato sarà del tipo:


 Varie Mutex:
Crea il seguente Mutex:
   • [Phantom]


Stringa:
In più contiene le seguenti stringhe:
   • Play with The best Die like the rest.
   • HellBot3 have BackDoor in HellMsn.h. The HellBot3 author is an idiocy!!!
   • [Phantom] 2005 Made By Evil[xiaou]. Greetz to good friend x140d4n. Based On sdbot&&mydoom.

 Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Irina Boldea su venerdì 20 gennaio 2006
Descrizione aggiornata da Irina Boldea su venerdì 20 gennaio 2006

Indietro . . . .