Megújult erővel fertőz a Mytob féreg
Hír küldése
Az elektronikus leveleken régóta terjedő Mytob féreg egy újabb variáns formájában bukkant fel.
A Mytob.SA féreg - hasonlóan, mint az eddigi variánsai - elektronikus leveleken keresztül próbál terjedni. A hagyományos emailes férgek közé sorolható, hiszen a levelek mellékeltében elhelyezett fájlok megnyitásakor aktivizálódik. Ezt követően számtalan módosítást végez a rendszereken. Elérhetetlenné teszi a fertőzött PC-kről a biztonsági cégek weboldalait, valamint leállítja a védelmi szoftverekhez tartozó folyamatokat. Ezzel jelentős mértékben képes meggyengíteni a számítógépeket.
A féreg egy IRC szerverhez csatlakozik, amelyen keresztül fogadja a támadók parancsait. Ők a következő tevékenységeket tudják végrehajtani a kártevő segítségével:
- fájlok futtatása
- állományok Interneten keresztüli letöltése
- IRC parancsok végrehajtása
- a fertőzött számítógép újraindítása
Amikor a Mytob.SA féreg elindul, akkor az alábbi műveleteket hajtja végre:
1. Létrehozza a következő fájlt:
%System%\wldmgr.exe
2. A regisztrációs adatbázishoz hozzáadja az alábbi bejegyzéseket:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"wldmgr" = "wldmgr.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\"wldmgr" = "wldmgr.exe"
3. A regisztrációs adatbázisban módosítja a következő értéket:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\"Start" = "4"
4. Email címeket gyűjt össze a Windows címjegyzékéből és különböző fájlokból.
5. A saját SMTP komponensének segítségével továbbküldi saját magát.
A fertőzött levelek tárgya lehet:
*IMPORTANT* Information
Account Information
Account Status Updated
Critical Information
Important Data
Important Information
Important Notice
Important Notification
Information about your account
Information about your account
Notification regarding your account
Security Information
Warning: Read ASAP
A fertőzött levelek mellékletéhez tartozó fájlok neve lehet:
document
important-details
important-doc
important-document
information
info-doc
readme.t
Ezekhez a féreg .bat, .cmd, .exe, .pif vagy .scr kiterjesztésű állományokat rendel hozzá.
6. A 8080-as TCP porton keresztül csatlakozik egy IRC szerverhez, és várakozik a támadók parancsaira.
7. A hosts fájl módosításával a fertőzött számítógépekről elérhetetlenné teszi egyes biztonsági cégek weboldalait.
8. Leállítja a biztonsági szolgáltatásokhoz tartozó folyamatokat.
Hozzászólások