Mytob.SK. Se propaga por email, redes, P2P e IM

en Ultimas Amenazas de virus y sus variantes
TU PANEL DE CONTROL:
REGISTRAR
Wilkinsonpc Tienda Productos Servicios Recursos Gratuitos - Gratis Soporte Comunidad
Foros Qubitaria Ayuda de los Foros
Retroceder   Foros Comunidad : Seguridad, Spyware y Phishing : Ultimas Amenazas de virus y sus variantes
Ultimas Amenazas de virus y sus variantes Ultimas Amenazas de virus y sus variantes Conozca sobre las ultimas amenazas de virus, troyanos y gusanos a la seguridad de los sistemas operativos y programas del mundo informatico.

Mytob.SK. Se propaga por email, redes, P2P e IM

Compartir


Nombre: Mytob.SK
Nombre NOD32: Win32/Mytob.SK
Tipo: Gusano de Internet y caballo de Troya
Alias: Mytob.SK, BehavesLike:Win32.AV-Killer, I-Worm/Bagle.LB, Net-Worm.Win32.Mytob.ef, [email protected], W32/MyTob.EF!worm.im, W32/[email protected], W32/[email protected], W32/[email protected], Win32.HLLM.MyDoom.95, Win32/Mytob.SK, Win32:Mytob-QI, Worm.Mytob.ef, Worm/Mytob.EF.1, WORM_MYTOB.PX
Fecha: 18/abr/06
Plataforma: Windows 32-bit
Tamaño: 131,800 bytes

Gusano que se propaga por correo electrónico, recursos compartidos en redes, redes de intercambio de archivos entre usuarios (P2P), canales de IRC y programas de mensajería instantánea (IM).

Utiliza además, conocidas vulnerabilidades para infectar otros equipos.

Cuando se ejecuta por primera vez en un equipo infectado, crea la siguiente copia de si mismo:
c:\windows\system32\microupdate.exe

NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).

También crea copias de si mismo en archivos .RAR autoextraíbles, con nombres al azar y extensión .COM, en las carpetas compartidas de programas P2P:

[nombre].com

Crea la siguiente entrada para autoejecutarse en cada reinicio de Windows:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Microupdate = "c:\windows\system32\microupdate.exe"

También crea la siguiente clave que utiliza para su propia configuración:

HKCU\Software\Obsidium
\{FD7C1D34-48788261-D2586D31-13A8DB8B}

Para propagarse por correo electrónico, se vale de su propio motor SMTP para enviar mensajes con las siguientes características:

De: [remitente falso]

Asunto: [uno de los siguientes]

- [vacío]
- [caracteres al azar]
- error
- hello
- hi
- mail delivery system
- mail transaction failed
- server error
- server report
- status
- test

Texto del mensaje: [uno de los siguientes]

[caracteres al azar]

[vacío]

Mail Transaction failed. Partial Message is available.

The message contains Unicode characters [and has been
sent as a binary attachment.

The message cannot be represented in 7-bit ASCII and
has been sent as a binary attachment.

Datos aduntos: [uno de los siguientes archivos]

data.[ext1].[ext2]
doc.[ext1].[ext2]
document.[ext1].[ext2]
file.[ext1].[ext2]
message.[ext1].[ext2]
readme.[ext1].[ext2]
text.[ext1].[ext2]

Donde [ext1] es una de las siguientes extensiones:

.bat
.cmd
.exe
.pif
.scr
.txt
.htm
.doc

Y [ext2] una de las siguientes:

.bat
.cmd
.exe
.pif
.scr

En ocasiones, envía uno de esos mismos archivos dentro de un .ZIP (archivo comprimido). En esos casos, el gusano agrega una tercera extensión [.ZIP] al nombre del adjunto.

Algunos ejemplos:

data.txt.scr
message.cmd.scr.zip
file.bat.exe

Para obtener direcciones electrónicas a las cuáles enviarse, se vale de la libreta de direcciones de Windows. También genera direcciones al azar en el formato [usuario] @ [dominio], donde [usuario] puede ser uno de los siguientes nombres:

alice
andrew
brenda
brent
brian
claudia
david
debby
george
helen
james
jerry
jimmy
julie
kevin
linda
maria
michael
peter
robert
sandra
smith
steve

Y [dominio], uno de los siguientes:

aol.com
ayna.com
hotmail.com
maktoob.com
microsoft.com
msn.com
usa.com
usa.net
yahoo.com

Para seleccionar el servidor de envío, agrega al principio de los dominios de las direcciones seleccionadas, una de las siguientes cadenas:

gate.
mail.
mail1.
mx.
mx1.
mxs.
ns.
relay.
smtp.

El gusano evita enviarse a aquellas direcciones cuyos nombres contengan alguna de las siguientes cadenas:

abuse
accoun
acketst
admin
anyone
arin.
be_loyal:
berkeley
borlan
certific
contact
example
feste
gold-certs
google
hotmail
ibm.com
icrosof
icrosoft
inpris
isc.o
isi.e
kernel
linux
listserv
mit.e
mozilla
mydomai
nobody
nodomai
noone
nothing
ntivi
panda
postmaster
privacy
rating
rfc-ed
ripe.
ruslis
samples
secur
sendmail
service
somebody
someone
sopho
submit
support
tanford.e
the.bat
usenet
utgers.ed
webmaster

Para propagarse por redes P2P, busca las siguientes carpetas:

\my downloads
\eDonkey2000\Incoming
\Kazaa Lite\My Shared Folder
\kazaa\my shared folder
\LimeWire\Shared
\Morpheus\My Shared Folder
\My Shared Folder

Luego se copia en ellas con algunos de los siguientes nombres:

activation_crack.???
Alcohol_120%_patch.???
Angilina_Jolie_Sucks_a_Dick.???
Britney_Spears_sucks_someones_dick.scr.???
BritneySpears_SoSexy.???
DAP7.4.x.x_crack.???
DarkAngel_Lady_get_fucked_so_hardly.???
dcom_patch.???
icq2006-final.???
JenniferLopez_Film_Sexy_Enough.???
KAV2006_Crack.???
lcc-wiz_update.???
LimeWire_speed++.???
Madonna_the_most_sexiest_girl_in_the_world.com.???
Mariah_Carey_showering_in_bathroom.com.???
MSN7.0Loader.???
MSN7.0UniversalPatch.???
nice_big_asshole_fuck_Jennifer_Lopez.scr.???
NortonAV2006_Crack.???
notepad++.???
nuke2006.???
office_crack.???
Opera8.???
Outlook_hotmail+_fix.???
RealPlayer10.xx_crack.???
rootkitXP.???
strip-girl-3.0.???
TaskCatcher.???
winamp6.???
YahooMessenger_Loader.???
ZoneAlarmPro6.xx_Crack.???

Donde "???" puede ser una de las siguientes extensiones:

.bat
.exe
.pif
.scr

El gusano crea un servidor HTTP en la máquina infectada (utiliza para ello el puerto 2001 en lugar del 80). Luego, prepara las siguientes copias de si mismo para que sean descargadas desde dicho servidor:

crazy5.scr
crazyjump.scr
exposed.scr
funny2.scr
funny3.scr
haha.scr
lucky.scr
mjackson.scr
picture1.scr

Para explotar esta técnica de infección, el gusano intenta enviar mensajes a determinados canales de chat (IRC). Los mensajes contienen un enlace al servidor HTTP creado antes. Al hacer clic en dicho enlace, el usuario descarga una de las copias del propio gusano.

Esto también es utilizado para propagarse por cualquier aplicación de mensajería instantánea (IM), que el gusano encuentre activa en el equipo infectado.

El gusano intenta propagarse además, por recursos compartidos en redes que posean contraseñas débiles, en este último caso utilizando una serie de usuarios y contraseñas definidas en su código.

Por defecto se copia en el recurso compartido oculto IPC$. Este recurso se utiliza en las conexiones temporales entre clientes y servidores que permiten la comunicación entre programas de red. Está habilitado por defecto, y se utiliza principalmente para la administración remota de equipos.

También se aprovecha de las siguientes vulnerabiliades de Windows para infectar otros equipos:

Falla crítica en servidores Microsoft IIS 5.0 (MS03-007)

Vulnerabilidad RPC/DCOM: MS03-026

MS04-011 Actualización crítica de Windows (835732)

Utiliza además una vulnerabilidad en DameWare Remote Control Server, un programa de administración remota para entornos Windows.

El gusano también ejecuta un componente BOT que intenta conectarse a un canal de IRC en un servidor predeterminado, y queda a la espera de comandos de un usuario remoto.

Un atacante podrá realizar las siguientes acciones (entre otras posibles) en el equipo infectado:

- Actualizarse a si mismo
- Borrar archivos
- Descargar archivos
- Ejecutar archivos
- Ejecutar otros comandos de IRC
- Obtener información del equipo infectado
- Reiniciar la computadora

También intenta finalizar los siguientes procesos, algunos de ellos relacionados con determinadas aplicaciones de seguridad:

_avpcc.exe
_avpm.exe
_findviru.exe
ackwin32.exe
alogserv.exe
amon.exe
anti-trojan.exe
apvxdwin.exe
atguard.exe
ave32.exe
avkserv.exe
avnt.exe
avpcc.exe
avpm.exe
avwin95.exe
blackice.exe
claw95cf.exe
cmgrdian.exe
ecengine.exe
esafe.exe
f-prot95.exe
findviru.exe
fp-win.exe
fprot.exe
guarddog.exe
iamapp.exe
iomon98.exe
kavpf.exe
lookout.exe
navapsvc.exe
navapw32.exe
navnt.exe
navw32.exe
navwnt.exe
nod32.exe
nsplugin.exe
ogrc.exe
outpost.exe
outpostinstall.exe
outpostproinstall.exe
rav7.exe
rulaunch.exe
scan32.exe
spider.exe
vet95.exe
vettray.exe
vsmain.exe
zapro.exe
zapsetup3001.exe
zatutor.exe
zonalarm.exe
zonalm2601.exe
zonealarm.exe


---------------------------------------------------------------------------------------------------
REPARACION MANUAL

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.
---------------------------------------------------------------------------------------------------
Borrar manualmente archivos agregados por el virus

Desde el Explorador de Windows, localice y borre los archivos detectados por el Antivirus.
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro de Windows

Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.

1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER

2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_CURRENT_USER
\Software
\Obsidium

3. Haga clic en la carpeta "Obsidium" y bórrela.

4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:

HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run

5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".

6. Cierre el editor del registro.

7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Fuente: VSANTIVIRUS
[hr]


Archivo HOSTS | Antivirus NOD32 | Agnitum Outpost Firewall
Compartir
  #1  
Creado: 19-Apr-2006, a las 15:42 Vistas: 463
Categoria: Ultimas Amenazas de virus y sus variantes
Creado por: W-Bot W-Bot está desconectado (18-February-2005 | Colombia | 5.563 Mensajes.)
Respuesta

Etiquetas
email, p2p, propaga, redes


Temas Similares
» Mytob.UZ. Utiliza email y redes, instala BOT 0
» Mytob.HU. Se propaga por email y redes, instala BOT 0
» W32/Mytob.FI. Utiliza email y redes, instala BOT 0
» W32/Mytob.EH. Utiliza email y redes, instala BOT 0
» W32/Mytob.EG. Utiliza email y redes, instala BOT 0
» W32/Mytob.DA. Utiliza email y redes, instala BOT 0
» W32/Mytob.CW. Utiliza email y redes, instala BOT 0
» W32/Mytob.CQ. Se propaga por email y recursos de redes 0
» W32/Mytob.CK. Se propaga por email y recursos de redes 0
» W32/Mytob.CI. Se propaga por email y recursos de redes 0


Herramientas Buscar en Tema
Buscar en Tema:

Búsqueda Avanzada
Desplegado

Ir al Foro


» ComuniDAD
Inicio
Noticias de Actualidad
Apuntes, Monografias y Tareas
Telefonia, Celulares, TV, GPS, ISP, PDA
Programas Windows, Mac, Linux, etc.
Hardware, Electronica y Redes
Diseño Web y Programacion
Internet y Grandes Portales
Juegos, Consolas y Emuladores
Multimedia, Diseño y Animaciones
Peliculas, Series, Musica, Trailers, Videos, Parodias
Seguridad y Spyware
Salud, Bienestar, Familia y Esparcimiento
Economia, Negocios y Asuntos Legales
Hoteles, Viajes y Turismo
Mundo a Motor [Motos, Autos, etc]
Foros Generales (OFF TOPIC)
Calendario de Eventos
Administracion ComuniDAD



Ultimos Temas


La franja horaria es GMT -5. Ahora son las 23:51.


2010 ©
Powered by : vBulletin® Versión 3.8.8 Copyright ©2000 - 2019, Jelsoft Enterprises Ltd.
SEO by vBSEO 3.2.0
Sitemap 1 - Sitemap 2 - Sitemap 3 - Sitemap 4