Jest to robak internetowy, który otwiera na komputerze ofiary "tylną furtkę" dla hakerów. Jest przy tym bardzo trudny do rozpoznania, ponieważ w zaden sposób nie informuje o infekcji - poinformowowała wwe wtorek nad ranem firma PANDA SOFTWARE POLSKA.
Mydoom.N tworzy następujące pliki w folderze Windows:
JAVA.EXE. Jest to kopia robaka.
SERVICES.EXE
Aby zapewnić sobie aktywację przy każdym uruchomieniu systemu Windows,
Mydoom.N modyfikuje też rejestr w sposób następujący:
HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion Run
JavaVM = %windir% java.exe
HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion Run
Services = %windir% services.exe
gdzie %windir% to folder Windows.
Mydoom.N rozprzestrzenia się za pomocą wiadomości e-mail o poniższej
charakterystyce:
Nadawca:
Mydoom.M fałszuje adres nadawcy.
Może także dodać jeden z poniższych tekstów do adresu nadawcy:
"Automatic Email Delivery Software"
"Bounced mail"
"Mail Delivery Subsystem"
"MAILER-DAEMON"
"Post Office"
"Returned mail"
"The Post Office"
"Mail Administrator"
"Postmaster"
MAILER-DAEMON
noreplypostmaster
Temat: jeden z poniższych:
click me baby, one more time
delivery failed
Delivery reports about your e-mail
error
hello
report
say helo to my litl friend
status
Wiadomość: może być pusta, złożona z przypadkowych znaków lub
jedna z poniższych:
Wiadomość 1:
The original message was received at <czas i data>
from <url> [<adres IP>]
----- The following addresses had permanent fatal errors -----
<url>
Wiadomość 2:
The original message was received at <czas i data>
from <url> [<adres IP>]
----- The following addresses had permanent fatal errors -----
<adres email>
----- Transcript of session follows -----
while talking to <serwer>.:
>>> MAIL From: <adres email>
<<< 501 <adres email>... Refused
Wiadomość 3:
This Message was undeliverable due to the following reason:
Your message was not delivered because the destination computer was
not reachable within the allowed queue period. The amount of time
a message is queued before it is returned depends on local configura-
tion parameters.
Most likely there is a network problem that prevented delivery, but
it is also possible that the computer is turned off, or does not
have a mail system running right now.
Your message was not delivered within 7 days:
Host <adres IP> is not responding.
The following recipients did not receive this message:
<adres email>
Please reply to <adres email>
if you feel this message to be in error.
Wiadomość 4:
Message could not be delivered
Wiadomość 5:
The original message was included as attachment
Załącznik: o zmiennej nazwie i rozszerzeniu:
Występujące nazwy plików: przypadkowa nazwa lub jedna z
następujących: ATTACHMENT, DOCUMENT, FILE, LETTER, MAIL, MESSAGE,
README, TEXT, TRANSCRIPT.
Występujące rozszerzenia: BAT, CMD, COM, EXE, PIF, SCR, ZIP.
# Komputer zostaje zainfekowany po otwarciu załącznika.
# Mydoom.M poszukuje adresów e-mail w plikach o następujących
rozszerzeniach: DOC, HTM, HTML oraz TXToraz w Książce Adresowej systemu
Windows.
# Mydoom.I przesyła się pod wszystkie pozyskane adresy wykorzystując
własny mechanizm SMTP.
# Nie rozsyła się pod adresy email których:
- Nazwa domeny zawiera jeden z ciągów znakowych: gov, mil, arin, avp,
bar, domain, example, foo, gmail, gnu, google, gov, hotmail, labs, math,
mcrosoft, msn., ophos, panda, rarsoft, ripe, sarc, seclist, secure,
sf.net, sourceforge, spersk, syma, update, uslis and winzip.
- Nazwa odbiorcy jest następująca: root, info, samples, noone, nobody,
nothing, anyone, someone, your, you, me, rating, site, contact, soft,
no, service, help, not, feste, ca, gold-certs, the.bat, page.
- Nazwa zawiera tekst: admi, crosoft, suppor, ntivi, submit,
listserv, bug, secure, priacycertific, accoun, sample, contact, master,
abus, spam.
