Mytob (féreg)

Az oldal jelenlegi verzióját még nem ellenőrizték tapasztalt hozzászólók, és jelentősen eltérhet a 2012. december 4-én felülvizsgált verziótól ; az ellenőrzések 6 szerkesztést igényelnek .
mytob
Teljes név (Kaspersky) Net-Worm.Win32.Mytob
Típusú internetes féreg
Megjelenés éve 2005
Symantec leírás

A Mytob féreg egy számítógépes vírus , internetes féreg , amelyet 2005. február 26-án fedeztek fel a hálózaton .

Egyéb címek

Net Worm.Win32.E77.a "Kaspersky Lab"
W32/Mydoom.bg@MM McAfee
W32.Mytob@mm Symantec
Win32.HLLM.MyDoom.19 Doktor Web
W32/Mytob-A Sophos
Win32/Mydoom.BG@mm RAV
WORM_MYTOB.E Trend Micro
Worm/Zusha.A H+BEDV
W32/Mytob.B@mm CSÓVÁL
I-Worm/Mytob.A Grisoft
Win32.Worm.Mytob.A SOFTWIN
Worm.Mytob.A ClamAV
W32/Mytob.A.féreg Panda
Win32/Mytob.A Eset

A következő módosítások léteznek: .a, .be, .bi, .bk, .bt, .c, .cf, .ch, .dc, .h, .q, .r, .t, .u, .v, .w, .x, .y

Technikai részletek

Ez egy Windows alkalmazás ( PE EXE fájl), körülbelül 43 KB méretű (FSG-vel csomagolva). A kicsomagolt fájl mérete körülbelül 143 KB. A vírus a Microsoft Windows LSASS szolgáltatás (MS04-011 [1] ) sérülékenysége révén, valamint az interneten keresztül, a fertőzött levelek mellékleteként terjed. A fertőzött számítógépen található összes e-mail címre elküldésre kerül.

A féreg az Email-Worm.Win32.Mydoom forráskódon alapul, és tartalmaz egy hátsó ajtó funkciót, amely IRC csatornákon keresztül fogadja el a parancsokat . A Net-Worm.Win32.Mytob.a megnyitja a 6667-es TCP - portot a fertőzött gépen, hogy csatlakozzon az IRC-csatornákhoz a parancsok fogadása érdekében. Ez lehetővé teszi a támadó számára, hogy IRC-csatornákon keresztül teljes hozzáférést kapjon a rendszerhez, információkat szerezzen a fertőzött számítógépről, letöltse a fájlokat, futtassa és törölje azokat. Ezenkívül blokkolja a hozzáférést a víruskereső fejlesztők erőforrásaihoz.

Telepítés

Az indítás után a féreg bemásolja magát a Windows rendszerkönyvtárába msnmsgr.exe néven:

%System%\msnmsgr.exe

A féreg ezután regisztrálja ezt a fájlt a rendszerleíró adatbázis automatikus futtatási kulcsaiban:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKCU\SYSTEM\CurrentControlSet\Control\Lsa] [HKCU\Software\Microsoft\OLE] "MSN"="msnmsgr.exe"

Az LSASS sebezhetőségén keresztül terjed

A féreg elindítja a támadandó IP-címek kiválasztására szolgáló eljárásokat, és kérést küld a 445-ös TCP-portra. Ha a távoli számítógép válaszol a kapcsolatra, a féreg az LSASS biztonsági rést használja, hogy saját kódját futtassa a távoli számítógépen.

Jegyzetek

  1. ↑ Microsoft MS04-011 biztonsági közlemény: Biztonsági frissítés a Microsoft Windows rendszerhez (835732) . Letöltve: 2008. május 10. Az eredetiből archiválva : 2007. január 2..

Lásd még

Linkek