Worm/Mytob.NC - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Mytob.NC
Обнаружен:	11/02/2006
Вид:	Червь
В реальных условиях:	Нет
Отмеченные факты заражения:	Низкий
Потенциал распространения:	Средний
Потенциал повреждений:	Средний
Файл статистики:	Да
Размер файла:	34.370 байт.
Контрольная сумма MD5:	21b53a54fafd4b98be3d7e5ddad2b759
Версия VDF:	6.33.00.221

Общее Метод распространения:
   • Email

Псевдонимы (аliases):
   • Symantec: W32.Mytob.FI@mm
   • Mcafee: W32/Sdbot.worm.gen.bz
   • Kaspersky: Net-Worm.Win32.Mytob.bi
   • TrendMicro: WORM_MYTOB.OD
   • Bitdefender: Win32.Worm.Mytob.X.Gen

Операционные системы:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Блокирует доступ к различным веб-сайтам
   • Блокирует доступ к веб-страницам IT-security компаний
   • Отключение приложений безопасности
   • Использует собственный почтовый движок
   • Снижает уровень настроек безопасности
   • Изменение реестра
   • Позволяет несанкционированно подключиться к компьютеру

Файлы Создается собственная копия:
• %SYSDIR%\winds.exe

Реестр Добавляются ключи реестра (бесконечный цикл) для повторного запуска процессов после перезагрузки системы.

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
   • "MICROSOFT WINDOWS SYSTEM 2" = "winds.exe"

– [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices]
   • "MICROSOFT WINDOWS SYSTEM 2" = "winds.exe"

Изменяется следующий ключ реестра:

Отключение Windows XP Firewall:
– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Прежнее значение:
   • "Start" = dword:%Настройки пользователя%
   Новое значение:
   • "Start" = dword:00000004

Email Программа располагает собственным SMTP ядром для рассылки электронных писем. Устанавливается прямое соединение с удаленным сервером. Подробности приводятся здесь:

От:
Адрес отправителя был фальсифицирован.
Генерированные адреса. Отправитель мог не иметь намерения отправлять это письмо. Он может ничего не знать об инфицировании свой системы. Вы можете получать письма с утверждением об инфицировании Вашей системы.

Кому:
– В определенных файлах системы были обнаружены электронные адреса.
– Полученные из WAB (адресная книга Windows) адреса электронной почты
– Сгенерированные адреса

Тема:
Одно из следующих:
   • *DETECTED* Online User Violation
   • Email Account Suspension
   • Important Notification
   • Members Support
   • Notice of account limitation
   • Security measures
   • Warning Message: Your services near to be closed.
   • Your Account is Suspended
   • Your Account is Suspended For Security Reasons
   • Your password has been updated
   • Your password has been successfully updated
   • You have successfully updated your password
   • Your new account password is approved

Тело:
– Содержит HTML код.
Тело письма имеет один из следующих видов:

   • Hiya,
     Welcome and thank you for joining our community portal. As a paid customer you will receive all the extras as well as up-to-date feedbacks and monthly newsletters.
     NOTE: Your PAYMENT and LOGIN details are included within the attached file.
     Services we offer Create your Profile, connect to your friends, upload your picture, and have it Rated by thousands of other network members.
     Kind Regards Support Team
     ++ Attachment: No Virus Found File is (Clean)
     ++ %доменная часть электронного адреса получателя% Antivirus Software 2006 - www.%receiver's domain%

   • Dear Member,
     You recently asked us to reset your password by e-mail. TO RESET YOUR PASSWORD see the attached document.
     NOTE: Please do not reply to this message, Mail sent to this address cannot be answered.
     Thank you for using %доменная часть электронного адреса получателя%!
     The %доменная часть электронного адреса получателя% Support Team
     ++ Attachment: No Virus Found File is (Clean)
     ++ %доменная часть электронного адреса получателя% Antivirus Software 2006 - www.%receiver's domain%

   • Dear Member,
     Your account has been activated and awaiting your approval %Электронный адрес получателя%.
     See attached document for payment details and login credentials.
     1. Paid members have 100% Download access, you can download unlimited MP3's and Software's for 6 Months!
     2. As a paid value member you have unlimited access to over 250,000 files
     3. Unlimited bandwith usage, there are no restrictions on the amount you download!
     See the details to activate your %доменная часть электронного адреса получателя% account today.
     Sincerely,The %доменная часть электронного адреса получателя% Support Team
     ++ Attachment: No Virus Found File is (Clean)
     ++ %доменная часть электронного адреса получателя% Antivirus Software 2006 - www.%receiver's domain%

   • Dear Member,
     Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.
     If you choose to ignore our request, you leave us no choice but to cancel your membership.
     Virtually yours,
     The %доменная часть электронного адреса получателя% Support Team
     ++ Attachment: No Virus Found File is (Clean)
     ++ %доменная часть электронного адреса получателя% Antivirus Software 2006 - www.%receiver's domain%

Прикрепленный файл:
Одно из следующих имен прикрепленного файла:
   • readme.zip
   • document.zip
   • account-report.zip
   • account-info.zip
   • email-details.zip
   • account-details.zip
   • important-details.zip
   • accepted-password.zip
   • account-password.zip
   • approved-password.zip
   • password.zip
   • new-password.zip
   • email-password.zip
   • updated-password.zip
   • %случайная
Краткое описание см. здесь.

Описание добавлено: Daniel Constantin Thu, 13 Apr 2006 11:04 (GMT+1)
Описание обновлено: Andrei Gherman Thu, 13 Apr 2006 13:31 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back