Mytob (červ)

Aktuální verze stránky ještě nebyla zkontrolována zkušenými přispěvateli a může se výrazně lišit od verze recenzované 4. prosince 2012; kontroly vyžadují 6 úprav .
mytob
Celé jméno (Kaspersky) Net-Worm.Win32.Mytob
Typ internetový červ
Rok vzhledu 2005
Popis Symantec

Červ Mytob je počítačový virus , internetový červ , objevený v síti 26. února 2005 .

Další názvy

Net Worm.Win32.E77.a "Kaspersky Lab"
W32/Mydoom.bg@MM McAfee
W32.Mytob@mm Symantec
Win32.HLLM.MyDoom.19 Doktor Web
W32/Mytob-A Sophos
Win32/Mydoom.BG@mm RAV
WORM_MYTOB.E Trend Micro
Červ/Zusha.A H+BEDV
W32/Mytob.B@mm FRISK
I-Worm/Mytob.A Grisoft
Win32.Worm.Mytob.A SOFTWIN
Worm.Mytob.A ClamAV
W32/Mytob.A.worm Panda
Win32/Mytob.A Eset

Existují následující modifikace: .a, .be, .bi, .bk, .bt, .c, .cf, .ch, .dc, .h, .q, .r, .t, .u, .v, w, .x, .y

Technické detaily

Je to aplikace pro Windows ( soubor PE EXE ), o velikosti asi 43 kB (balena s FSG). Velikost rozbaleného souboru je asi 143 kB. Virus se šíří pomocí zranitelnosti ve službě Microsoft Windows LSASS (MS04-011 [1] ) a také prostřednictvím internetu jako přílohy infikovaných e-mailů. Odesílá se na všechny e-mailové adresy nalezené na infikovaném počítači.

Červ je založen na zdrojovém kódu Email-Worm.Win32.Mydoom a obsahuje funkci backdoor , která přijímá příkazy přes IRC kanály . Net-Worm.Win32.Mytob.a otevře TCP port 6667 na infikovaném počítači pro připojení k IRC kanálům pro příjem příkazů. To umožňuje útočníkovi mít plný přístup do systému přes IRC kanály, získávat informace z infikovaného počítače, stahovat libovolné soubory, spouštět je a mazat. Kromě toho blokuje přístup ke zdrojům antivirových vývojářů.

Instalace

Po spuštění se červ zkopíruje do systémového adresáře Windows pod názvem msnmsgr.exe:

%System%\msnmsgr.exe

Červ pak zaregistruje tento soubor v klíčích automatického spuštění v systémovém registru:

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] [HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices] [HKCU\SYSTEM\CurrentControlSet\Control\Lsa] [HKCU\Software\Microsoft\OLE] "MSN"="msnmsgr.exe"

Šíří se prostřednictvím zranitelnosti LSASS

Červ spustí procedury pro výběr IP adres k útoku a odešle požadavek na TCP port 445. Pokud vzdálený počítač odpoví na připojení, červ využije zranitelnost LSASS ke spuštění vlastního kódu na vzdáleném počítači.

Poznámky

  1. ↑ Bulletin zabezpečení společnosti Microsoft MS04-011: Aktualizace zabezpečení pro systém Microsoft Windows (835732) . Získáno 10. května 2008. Archivováno z originálu 2. ledna 2007.

Viz také

Odkazy