Интернет магазин китайских планшетных компьютеров



Компьютеры - Mytob (червь)

02 апреля 2011





Другие названия
Net-Worm.Win32.E77.a «Лаборатория Касперского»
W32/Mydoom.bg@MM McAfee
W32.Mytob@mm Symantec
Win32.HLLM.MyDoom.19 Doctor Web
W32/Mytob-A Sophos
Win32/Mydoom.BG@mm RAV
WORM_MYTOB.E Trend Micro
Worm/Zusha.A H+BEDV
W32/Mytob.B@mm FRISK
I-Worm/Mytob.A Grisoft
Win32.Worm.Mytob.A SOFTWIN
Worm.Mytob.A ClamAV
W32/Mytob.A.worm Panda
Win32/Mytob.A Eset

Существуют следующие модификации: .a, .be, .bi, .bk, .bt, .c, .cf, .ch, .dc, .h, .q, .r, .t, .u, .v, .w, .x, .y

Технические детали

Является приложением Windows, имеет размер около 43КБ. Размер распакованного файла около 143КБ. Вирус распространяется, используя уязвимость в сервисе LSASS Microsoft Windows, а также через интернет в виде вложений в зараженные электронные письма. Рассылается по всем найденным на зараженном компьютере адресам электронной почты.

Червь основан на исходных кодах Email-Worm.Win32.Mydoom, содержит в себе функцию бэкдора, принимающего команды по каналам IRC. Net-Worm.Win32.Mytob.a открывает на зараженной машине TCP порт 6667 для соединения с IRC-каналами для приема команд. Это позволяет злоумышленнику через IRC-каналы иметь полный доступ к системе, получать информацию с зараженного компьютера, загружать любые файлы, запускать и удалять их.

Инсталляция

После запуска червь копирует себя в системный каталог Windows под именем msnmsgr.exe:

%System%\msnmsgr.exe

Затем червь регистрирует этот файл в ключах автозапуска системного реестра:






"MSN"="msnmsgr.exe"

Распространение через LSASS-уязвимость

Червь запускает процедуры выбора IP-адресов для атаки и отсылает на порт TCP 445 запрос. В случае если удаленный компьютер отвечает на соединение, то червь, используя уязвимость LSASS, запускает на удаленной машине свой код.



Просмотров: 615


<<< Mydoom
Neshta >>>