Ha bisogno di assistenza? Chieda alla community oppure consulti un esperto.
Vai ad Avira Answers
Nome del virus:Worm/Mytob.MC.1
Scoperto:17/03/2006
Tipo:Worm
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Medio-Alto
Potenziale di danni:Medio
File statico:Si
Dimensione del file:108.032 Byte
Somma di controllo MD5:b9beb39484e6742f8d2a1825429e2ca4
Versione VDF:6.34.00.64

 Generale Metodi di propagazione:
   • Email
   • Rete locale


Alias:
   •  Kaspersky: Backdoor.Win32.SdBot.xd
   •  TrendMicro: WORM_MYTOB.NF
   •  Sophos: W32/Dolebot-A
   •  Bitdefender: Backdoor.SDBot.AHV

Precedentemente individuato come:
     Worm/SdBot.108032


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Clona un file maligno
   • Utilizza un proprio motore SMTP per l'invio di email
   • Abbassa le impostazioni di sicurezza
   • Modifica del registro
   • Sfrutta la vulnerabilit del software
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %WINDIR%\skype32.exe



Cancella la copia di se stesso eseguita inizialmente.



Viene creato il seguente file:

%SYSDIR%\rofl.sys Riconosciuto come: BDS/Aimbot.AF.5

 Registro Le seguenti chiavi di registro vengono aggiunte per caricare il servizio dopo il riavvio:

HKLM\SYSTEM\CurrentControlSet\Services\Skype
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"=%WINDIR%\skype32.exe
   • "DisplayName"="Skype Messenger"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valori esadecimali%
   • "Description"="Skype Messenger Service"



Viene aggiunta la seguente chiave di registro:

HKLM\SYSTEM\CurrentControlSet\Control
   • "WaitToKillServiceTimeout"="7000"



Vengono cambiate le seguenti chiavi di registro:

HKLM\SOFTWARE\Microsoft\Security Center
   Valore precedente:
   • "AntiVirusDisableNotify"=%impostazioni definite dell'utente%
   • "FirewallDisableNotify"=%impostazioni definite dell'utente%
   • "UpdatesDisableNotify"=%impostazioni definite dell'utente%
   • "AntiVirusOverride"=%impostazioni definite dell'utente%
   • "FirewallOverride"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "AntiVirusDisableNotify"=dword:00000001
   • "FirewallDisableNotify"=dword:00000001
   • "UpdatesDisableNotify"=dword:00000001
   • "AntiVirusOverride"=dword:00000001
   • "FirewallOverride"=dword:00000001

Disattiva il firewall di Windows:
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
   Valore precedente:
   • "EnableFirewall"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "EnableFirewall"=dword:00000000

Disattiva il firewall di Windows:
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
   Valore precedente:
   • "EnableFirewall"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "EnableFirewall"=dword:00000000

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\
   Auto Update
   Valore precedente:
   • "AUOptions"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "AUOptions"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Valore precedente:
   • "restrictanonymous"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "restrictanonymous"=dword:00000001

HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
   Valore precedente:
   • "AutoShareWks"=%impostazioni definite dell'utente%
   • "AutoShareServer"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "AutoShareWks"=dword:00000000
   • "AutoShareServer"=dword:00000000

HKLM\SYSTEM\CurrentControlSet\Services\lanmanworkstation\parameters
   Valore precedente:
   • "AutoShareWks"=%impostazioni definite dell'utente%
   • "AutoShareServer"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "AutoShareWks"=dword:00000000
   • "AutoShareServer"=dword:00000000

HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
   Valore precedente:
   • "DoNotAllowXPSP2"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "DoNotAllowXPSP2"=dword:00000001

HKLM\SOFTWARE\Microsoft\Ole
   Valore precedente:
   • "EnableDCOM"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "EnableDCOM"="N"

 Email Contiene un motore SMTP integrato per inviare le email. Verr stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:


Da:
L'indirizzo del mittente falso.
Indirizzi generati. Non si presupponga che fosse intenzione del mittente inviare questa email. Potrebbe non essere a conoscenza della propria infezione o addirittura potrebbe non essere infetto. In pi si potrebbero ricevere email bounce che diranno che si infetti. Questo potrebbe comunque non essere il caso.


A:
– Indirizzi email trovati in specifici file sul sistema.
 Indirizzi email raccolti da WAB (Windows Address Book)
– Indirizzi generati


Oggetto:
Uno dei seguenti:
   • Notice of account limitation
   • Email Account Suspension
   • Security measures
   • Members Support
   • Important Notification
   • Warning Message: Your services near to be closed.
   • Your Account is Suspended For Security Reasons
   • *DETECTED* Online User Violation
   • Your Account is Suspended
   • Your new account password is approved
   • You have successfully updated your password
   • Your password has been successfully updated
   • Your password has been updated

Inoltre la riga delloggetto pu contenere delle lettere casuali.


Corpo dell'email:
Il corpo dellemail come uno dei seguenti:

   • Dear %nome a dominio del ricevente dall'indirizzo email% Member,
     We have temporarily suspended your email account %indirizzo email del ricevente%
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of subscription due to an internal error within our processors.
     See the details to reactivate your %nome a dominio del ricevente dall'indirizzo email% account.
     Sincerely,The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%

   • Dear user %nome utente dall'indirizzo email del ricevente% ,
     You have successfully updated the password of your %nome a dominio del ricevente dall'indirizzo email% account.
     If you did not authorize this change or if you need assistance with your account, please contact %nome a dominio del mittente dall'indirizzo email% customer service at: %indirizzo email del mittente%
     Thank you for using%nome a dominio del mittente dall'indirizzo email%!
     The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%

   • Dear%nome a dominio del ricevente dall'indirizzo email% Member,
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.
     
     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     Virtually yours,
     The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus found
     +++%nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%

   • Dear user %nome utente dall'indirizzo email del ricevente% ,
     It has come to our attention that your %nome a dominio del mittente dall'indirizzo email% User Profile ( x ) records are out of date. For further details see the attached document.
     Thank you for using %nome a dominio del mittente dall'indirizzo email% !
     The %nome a dominio del mittente dall'indirizzo email% Support Team
     
     +++ Attachment: No Virus (Clean)
     +++ %nome a dominio del mittente dall'indirizzo email% Antivirus - www.%nome a dominio del mittente dall'indirizzo email%


File allegato:
Il nome del file allegato uno dei seguenti:
   • accepted-password.zip
   • account-details.zip
   • account-info.zip
   • account-password.zip
   • account-report.zip
   • approved-password.zip
   • document.zip
   • email-details.zip
   • email-password.zip
   • important-details.zip
   • new-password.zip
   • password.zip
   • readme.zip
   • updated-password.zip
   • %stringa di caratteri casuale%.zip

L'allegato un archivio che contiene una copia del malware stesso.



Lemail si presenta come di seguito:


 Invio di messaggi Cerca indirizzi:
Cerca i seguenti file per gli indirizzi email:
   • adb; asp; cfg; cgi; dbx; htm; html; jsp; mdb; msg; php; sht; tbb; txt;
      vbe; vbs; xml


Generazione dell'indirizzo per il campo FROM:
Per generare indirizzi utilizza le seguenti stringhe:
   • webmaster
   • register
   • info
   • admin
   • service
   • mail
   • administrator
   • support



Generazione dell'indirizzo per il campo TO:
Per generare indirizzi utilizza le seguenti stringhe:
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom



Evita indirizzi:
Non invia email agli indirizzi che contengono una delle seguenti stringhe:
   • .edu; .gov; .mil; abuse; accoun; acketst; admin; ahn; antivi; anyone;
      arin.; avp; be_loyal:; berkeley; borlan; bsd; bugs; certific; contact;
      duba; example; fbi; fcnz; feste; fido; foo.; f-pro; freeav; f-secur;
      fsf.; gnu; gold-certs; google; gov.; help; hotmail; iana; ibm.com;
      icrosof; icrosoft; ietf; info; inpris; isc.o; isi.e; jiangmin;
      kaspersky; kernel; linux; listserv; master; math; mcafee; messagelabs;
      mit.e; mozilla; msn.; mydomai; nobody; nodomai; noone; norman; norton;
      not; nothing; ntivi; page; panda; pgp; postmaster; privacy; rating;
      rfc-ed; ripe.; rising; root; ruslis; samples; sdbot; secur; sendmail;
      service; site; slashdot; soft; somebody; someone; sopho; sourceforge;
      spm; submit; support; syma; symantec; tanford.e; the.bat; unix;
      usenet; utgers.ed; viruslis; webmaster; www; you; your


Aggiunte alla stringa MX:
Per ottenere l'indirizzo IP del mail server, ha la capacit di aggiungere in testa al nome di dominio le seguenti stringhe:
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

 Infezione della rete Per assicurarsi la propria propagazione, il malware tenta di connettersi ad altre macchine come descritto qui sotto:


Exploit:
Sfrutta le seguenti vulnerabilit:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)

 IRC Per inviare informazioni sul sistema e per fornire il controllo remoto, si connette al seguente server IRC:

Server: tx.ha**********
Porta: 43287
Canale: #dfnctsc
Nickname: [P00|USA|%stringa casuale di cinque caratteri%]



 Questo malware ha la capacit di recuperare ed inviare informazioni quali:
    • Informazioni sulla rete
    • Informazioni sui processi in corso


 In pi ha la capacit di effettuare azioni quali:
    • Download di file
    • Eseguire file
    • Terminare il processo
     Effettuare scansione della rete
    • Arrestare il sistema
     Iniziare procedura di diffusione
    • Terminare il malware
    • Terminare il processo
     Aggiornarsi

 Processi terminati  I seguenti servizi vengono disattivati:
   • Security Center
   • Telnet
   • Remote Registry
   • Messenger

 Backdoor Contatta il server:
Tutti i seguenti:
   • http://test.anonproxies.com/cgi-bin/**********
   • http://www21.big.or.jp/~mana_/**********
   • http://www.motor21.net/**********
   • http://www.xyerror.x-y.net/**********
   • http://www21.tok2.com/home/sophia/cgi-bin/**********


 Tecnologia Rootkit  una tecnologia specifica del malware. Il malware si nasconde dalle utilit di sistema, dalle applicazioni di sicurezza e, alla fine, dall'utente.


Nasconde il seguente:
– Il proprio processo

 Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Irina Boldea su lunedì 13 marzo 2006
Descrizione aggiornata da Irina Boldea su lunedì 20 marzo 2006

Indietro . . . .
https:// Questa finestra è criptata per tua sicurezza.