Mytob (vierme)

Versiunea actuală a paginii nu a fost încă examinată de colaboratori experimentați și poate diferi semnificativ de versiunea revizuită la 4 decembrie 2012; verificările necesită 6 modificări .
mytob
Nume complet (Kaspersky) Net-Worm.Win32.Mytob
Tip de vierme de internet
Anul apariției 2005
Descriere Symantec

Viermele Mytob este un virus de computer , vierme de Internet , descoperit în rețea la 26 februarie 2005 .

Alte titluri

Net Worm.Win32.E77.a „Kaspersky Lab”
W32/Mydoom.bg@MM McAfee
W32.Mytob@mm Symantec
Win32.HLLM.MyDoom.19 Doctor Web
W32/Mytob-A Sophos
Win32/Mydoom.BG@mm RAV
WORM_MYTOB.E Trend Micro
Vierme/Zusha.A H+BEDV
W32/Mytob.B@mm FRISK
I-Worm/Mytob.A Grisoft
Win32.Worm.Mytob.A SOFTWIN
Vierme.Mytob.A ClamAV
W32/Mytob.A.worm urs panda
Win32/Mytob.A Eset

Există următoarele modificări: .a, .be, .bi, .bk, .bt, .c, .cf, .ch, .dc, .h, .q, .r, .t, .u, .v, .w, .x, .y

Detalii tehnice

Este o aplicație Windows ( fișier PE EXE ), cu o dimensiune de aproximativ 43KB (ambalată cu FSG). Dimensiunea fișierului despachetat este de aproximativ 143KB. Virusul se răspândește folosind o vulnerabilitate în serviciul Microsoft Windows LSASS (MS04-011 [1] ), precum și prin Internet ca atașamente la e-mailurile infectate. Este trimis la toate adresele de e-mail găsite pe computerul infectat.

Viermele se bazează pe codul sursă Email-Worm.Win32.Mydoom și conține o funcție backdoor care acceptă comenzi prin canale IRC . Net-Worm.Win32.Mytob.a deschide portul TCP 6667 pe mașina infectată pentru a se conecta la canalele IRC pentru a primi comenzi. Acest lucru permite unui atacator să aibă acces complet la sistem prin canale IRC, să obțină informații de la computerul infectat, să descarce orice fișiere, să le execute și să le ștergă. În plus, blochează accesul la resursele dezvoltatorilor de antivirus.

Instalare

După lansare, viermele se copiază în directorul de sistem Windows sub numele msnmsgr.exe:

%System%\msnmsgr.exe

Viermele înregistrează apoi acest fișier în cheile de rulare automată ale registrului de sistem:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKCU\SYSTEM\CurrentControlSet\Control\Lsa] [HKCU\Software\Microsoft\OLE] "MSN"="msnmsgr.exe"

Răspândire prin vulnerabilitatea LSASS

Viermele lansează proceduri pentru alegerea adreselor IP de atacat și trimite o solicitare către portul TCP 445. Dacă computerul de la distanță răspunde la conexiune, viermele folosește vulnerabilitatea LSASS pentru a rula propriul cod pe computerul de la distanță.

Note

  1. ↑ Buletinul de securitate Microsoft MS04-011: Actualizare de securitate pentru Microsoft Windows (835732) . Consultat la 10 mai 2008. Arhivat din original pe 2 ianuarie 2007.

Vezi și

Link -uri