Worm/Mytob.MC.1 - Worm

Ver também

Sumário

Descrição completa

Estatísticas

Vírus	Worm/Mytob.MC.1
Data em que surgiu:	17/03/2006
Tipo:	Worm
Incluído na lista "In The Wild"	Sim
Nível de danos:	Baixo
Nível de distribuição:	De médio a elevado
Nível de risco:	Médio
Ficheiro estático:	Sim
Tamanho:	108.032 Bytes
MD5 checksum:	b9beb39484e6742f8d2a1825429e2ca4
Versão VDF:	6.34.00.64

Vulgarmente Meios de transmissão:
   • E-mail
   • Rede local

Alias:
   • Kaspersky: Backdoor.Win32.SdBot.xd
   • TrendMicro: WORM_MYTOB.NF
   • Sophos: W32/Dolebot-A
   • Bitdefender: Backdoor.SDBot.AHV

Identificado anteriormente como:
   • Worm/SdBot.108032

Sistemas Operativos:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Efeitos secundários:
   • Descarrega um ficheiro malicioso
   • Utiliza o seu próprio motor de E-mail
   • Baixa as definições de segurança
   • Altera o registo do Windows
   • Aproveita-se de vulnerabilidades do software
   • Possibilita acesso não autorizado ao computador

Ficheiros Autocopia-se para a seguinte localização:
• %WINDIR%\skype32.exe

Apaga a cópia executada inicialmente.

É criado o seguinte ficheiro:

– %SYSDIR%\rofl.sys Usado para esconder um processo. Detectado como: BDS/Aimbot.AF.5

Registry (Registo do Windows) Adiciona a seguinte chave ao registo do Windows para executar o serviço ao iniciar o sistema:

– HKLM\SYSTEM\CurrentControlSet\Services\Skype
   • "Type"=dword:00000110
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"=%WINDIR%\skype32.exe
   • "DisplayName"="Skype Messenger"
   • "ObjectName"="LocalSystem"
   • "FailureActions"=%valores hex%
   • "Description"="Skype Messenger Service"

É adicionada a seguinte chave de registo:

– HKLM\SYSTEM\CurrentControlSet\Control
   • "WaitToKillServiceTimeout"="7000"

Altera as seguintes chaves de registo do Windows:

– HKLM\SOFTWARE\Microsoft\Security Center
   Valor anterior:
   • "AntiVirusDisableNotify"=%definições do utilizador %
   • "FirewallDisableNotify"=%definições do utilizador %
   • "UpdatesDisableNotify"=%definições do utilizador %
   • "AntiVirusOverride"=%definições do utilizador %
   • "FirewallOverride"=%definições do utilizador %
   Valor recente:
   • "AntiVirusDisableNotify"=dword:00000001
   • "FirewallDisableNotify"=dword:00000001
   • "UpdatesDisableNotify"=dword:00000001
   • "AntiVirusOverride"=dword:00000001
   • "FirewallOverride"=dword:00000001

Desactiva a Firewall do Windows
– HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
   Valor anterior:
   • "EnableFirewall"=%definições do utilizador %
   Valor recente:
   • "EnableFirewall"=dword:00000000

Desactiva a Firewall do Windows
– HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
   Valor anterior:
   • "EnableFirewall"=%definições do utilizador %
   Valor recente:
   • "EnableFirewall"=dword:00000000

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\
   Auto Update
   Valor anterior:
   • "AUOptions"=%definições do utilizador %
   Valor recente:
   • "AUOptions"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Control\Lsa
   Valor anterior:
   • "restrictanonymous"=%definições do utilizador %
   Valor recente:
   • "restrictanonymous"=dword:00000001

– HKLM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
   Valor anterior:
   • "AutoShareWks"=%definições do utilizador %
   • "AutoShareServer"=%definições do utilizador %
   Valor recente:
   • "AutoShareWks"=dword:00000000
   • "AutoShareServer"=dword:00000000

– HKLM\SYSTEM\CurrentControlSet\Services\lanmanworkstation\parameters
   Valor anterior:
   • "AutoShareWks"=%definições do utilizador %
   • "AutoShareServer"=%definições do utilizador %
   Valor recente:
   • "AutoShareWks"=dword:00000000
   • "AutoShareServer"=dword:00000000

– HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
   Valor anterior:
   • "DoNotAllowXPSP2"=%definições do utilizador %
   Valor recente:
   • "DoNotAllowXPSP2"=dword:00000001

– HKLM\SOFTWARE\Microsoft\Ole
   Valor anterior:
   • "EnableDCOM"=%definições do utilizador %
   Valor recente:
   • "EnableDCOM"="N"

E-mail Tem um motor SMTP integrado para enviar emails.É criada uma ligação directa com o servidor de destino. Tem as seguintes características:

De:
O endereço do remetente é falsificado.
Endereços gerados. Não assuma que é intenção do remetente enviar este email para si. Ele pode não saber que tem o sistema infectado, pode mesmo não estar infectado. Além disso é provável que receba emails que digam que está infectado. Pode não ser o caso.

Para:
– Endereços de email encontrados em determinados ficheiros no sistema.
– Endereços de e-mail recolhidos do WAB (Windows Address Book).
– Endereços gerados

Assunto:
Um dos seguintes:
   • Notice of account limitation
   • Email Account Suspension
   • Security measures
   • Members Support
   • Important Notification
   • Warning Message: Your services near to be closed.
   • Your Account is Suspended For Security Reasons
   • *DETECTED* Online User Violation
   • Your Account is Suspended
   • Your new account password is approved
   • You have successfully updated your password
   • Your password has been successfully updated
   • Your password has been updated

O assunto pode, também, ter caracteres aleatórios.

Corpo:
O corpo do email é um dos seguintes:

   • Dear %nome de domínio do endereço de e-mail do destinatário% Member,
     We have temporarily suspended your email account %endereço de e-mail do destinatário%
     This might be due to either of the following reasons:
     1. A recent change in your personal information (i.e. change of address).
     2. Submiting invalid information during the initial sign up process.
     3. An innability to accurately verify your selected option of subscription due to an internal error within our processors.
     See the details to reactivate your %nome de domínio do endereço de e-mail do destinatário% account.
     Sincerely,The %nome de domínio do endereço de e-mail do remetente% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %nome de domínio do endereço de e-mail do remetente% Antivirus - www.%nome de domínio do endereço de e-mail do remetente%

   • Dear user % nome de utilizador do endereço de e-mail do destinatário% ,
     You have successfully updated the password of your %nome de domínio do endereço de e-mail do destinatário% account.
     If you did not authorize this change or if you need assistance with your account, please contact %nome de domínio do endereço de e-mail do remetente% customer service at: %endereço de e-mail do remetente%
     Thank you for using%nome de domínio do endereço de e-mail do remetente%!
     The %nome de domínio do endereço de e-mail do remetente% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %nome de domínio do endereço de e-mail do remetente% Antivirus - www.%nome de domínio do endereço de e-mail do remetente%

   • Dear%nome de domínio do endereço de e-mail do destinatário% Member,
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.

     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     Virtually yours,
     The %nome de domínio do endereço de e-mail do remetente% Support Team

     +++ Attachment: No Virus found
     +++%nome de domínio do endereço de e-mail do remetente% Antivirus - www.%nome de domínio do endereço de e-mail do remetente%

   • Dear user % nome de utilizador do endereço de e-mail do destinatário% ,
     It has come to our attention that your %nome de domínio do endereço de e-mail do remetente% User Profile ( x ) records are out of date. For further details see the attached document.
     Thank you for using %nome de domínio do endereço de e-mail do remetente% !
     The %nome de domínio do endereço de e-mail do remetente% Support Team

     +++ Attachment: No Virus (Clean)
     +++ %nome de domínio do endereço de e-mail do remetente% Antivirus - www.%nome de domínio do endereço de e-mail do remetente%

Atalho:
O ficheiro de atalho tem um dos seguintes nomes:
   • accepted-password.zip
   • account-details.zip
   • account-info.zip
   • account-password.zip
   • account-report.zip
   • approved-password.zip
   • document.zip
   • email-details.zip
   • email-password.zip
   • important-details.zip
   • new-password.zip
   • password.zip
   • readme.zip
   • updated-password.zip
   • %uma série de caracteres aleatórios%.zip

O ficheiro de atalho contém uma cópia do próprio malware.

O email pode ser parecido com o seguinte:

Mailing Pesquisa endereços:
Procura endereços de email nos seguintes ficheiros:
   • adb; asp; cfg; cgi; dbx; htm; html; jsp; mdb; msg; php; sht; tbb; txt;
      vbe; vbs; xml

Endereços gerados para o campo DE:
Utiliza o seguinte texto para gerar endereços:
   • webmaster
   • register
   • info
   • admin
   • service
   • mail
   • administrator
   • support

Endereços gerados para o campo PARA :
Utiliza o seguinte texto para gerar endereços:
   • adam; alex; andrew; anna; bill; bob; brenda; brent; brian; claudia;
      dan; dave; david; debby; frank; fred; george; helen; jack; james;
      jane; jerry; jim; jimmy; joe; john; jose; josh; julie; kevin; leo;
      linda; maria; mary; matt; michael; mike; paul; peter; ray; robert;
      sales; sam; sandra; serg; smith; stan; steve; ted; tom

Endereços evitados:
Não envia emails para endereços com os seguintes blocos de texto:
   • .edu; .gov; .mil; abuse; accoun; acketst; admin; ahn; antivi; anyone;
      arin.; avp; be_loyal:; berkeley; borlan; bsd; bugs; certific; contact;
      duba; example; fbi; fcnz; feste; fido; foo.; f-pro; freeav; f-secur;
      fsf.; gnu; gold-certs; google; gov.; help; hotmail; iana; ibm.com;
      icrosof; icrosoft; ietf; info; inpris; isc.o; isi.e; jiangmin;
      kaspersky; kernel; linux; listserv; master; math; mcafee; messagelabs;
      mit.e; mozilla; msn.; mydomai; nobody; nodomai; noone; norman; norton;
      not; nothing; ntivi; page; panda; pgp; postmaster; privacy; rating;
      rfc-ed; ripe.; rising; root; ruslis; samples; sdbot; secur; sendmail;
      service; site; slashdot; soft; somebody; someone; sopho; sourceforge;
      spm; submit; support; syma; symantec; tanford.e; the.bat; unix;
      usenet; utgers.ed; viruslis; webmaster; www; you; your

Adicinado texto MX ao início:
De forma a obter o endereço IP do servidor de email tem capacidade de adicionar (ao início) do nome de domínio os seguintes textos:
   • mx.
   • mail.
   • smtp.
   • mx1.
   • mxs.
   • mail1.
   • relay.
   • ns.
   • gate.

Infecção da rede Para assegurar a sua propagação o malware tenta ligar-se a outras máquinas como descrito abaixo.

Exploit:
Faz uso dos seguintes Exploits:
– MS03-026 (Buffer Overrun in RPC Interface)
– MS04-007 (ASN.1 Vulnerability)
– MS04-011 (LSASS Vulnerability)
– MS05-039 (Vulnerability in Plug and Play)

IRC Para enviar informações do sistema e permitir controlo remoto liga-se ao servidor de IRC:

Servidor: tx.ha**********
Porta: 43287
Canal #dfnctsc
Nickname: [P00|USA|%cinco caracteres aleatórios%]

– Este malware tem a capacidade de recolher e enviar a seguinte informação:
    • Informações sobre a rede
    • Informação sobre processos em execução

– Para além disso tem a capacidade de executar as seguintes acções:
    • Download de ficheiros
    • Executa o ficheiro
    • Termina processos
    • Executa pesquisas na rede
    • Desliga o sistema
    • Inicia a rotina de propagação
    • Termina o malware
    • Termina processos
    • Actualiza-se a ele próprio

Terminar o processo Lista de serviços desactivados:
   • Security Center
   • Telnet
   • Remote Registry
   • Messenger

Backdoor Contacta o servidor:
Seguintes:
   • http://test.anonproxies.com/cgi-bin/**********
   • http://www21.big.or.jp/~mana_/**********
   • http://www.motor21.net/**********
   • http://www.xyerror.x-y.net/**********
   • http://www21.tok2.com/home/sophia/cgi-bin/**********

Tecnologia de Rootkit É uma tecnologia malware-específica. O malware esconde-se de utilitários de sistema, aplicações de segurança e, do utilizador.

Oculta o seguinte:
– O seu próprio processo

Detalhes do ficheiro Empacotador de Runtime:
De forma a agravar a detecção e reduzir o tamanho do ficheiro é lançado com um empacotador de runtime.

Veja aqui uma breve descrição.

Descrição adicionada por Irina Boldea em Mon, 13 Mar 2006 17:06 (GMT+1)
Descrição adicionada por Irina Boldea em Mon, 20 Mar 2006 12:57 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back