Geser
12.11.2004, 13:04
W32.Mydoom.AH@mm - это червь массовой рассылки, который эксплуатирует уязвимость удаленного переполнения буфера в Microsoft Internet Explorer в тэге IFRAME. Распространяется червь, рассылая себя по email адресам, которые найдет на зараженном компьютере.
При запуске W32.Mydoom.AH@mm выполняет следующие действия:
1. Создает файл %System%\[random name]32.exe.
2. Добавляет значение:
"Reactor5" = "%System%\[random name]32.exe"
в ключ реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run
3. Может создать следующие ключи реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\
Explorer\ComExplore
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\
Explorer\ComExplore\Version
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\
Explorer\ComExplore
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\
Explorer\ComExplore\Version
4. Удаляет следующие значения:
# center
# reactor
# Rhino
# Reactor3
# Reactor4
из ключа реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
5. Пытается внедрить свой код в качестве потока в любой процесс с window class name "Shell_TrayWnd" или в любой запущенный высокоприоритетный процесс. Если это червю удалось, то он продолжает выполняться внутри зараженного процесса. Все действия, описываемые в следующих пунктах выполняет зараженный процесс, а червь становится невидимым в списке процессов в Windows Task Manager. Если червю не удалось внедрить свой код, то он продолжает выполнятьтся как собственный процесс.
6. Собирает email адреса из Windows address book и из файлов с расширениями:
# .txt
# .htmb
# .shtl
# .phpq
# .aspd
# .dbxn
# .tbbg
# .adbh
# .pl
# .wab
7. Использует собственный SMTP механизм для того, чтобы разослать себя по найденным email адресам.
8. Открывает 1639 TCP порт для команд.
9. Пытается соединиться со следующими IRC серверами по 6667 TCP порту:
# broadway.ny.us.dal.net
# brussels.be.eu.undernet.org
# caen.fr.eu.undernet.org
# ced.dal.net
# coins.dal.net
# diemen.nl.eu.undernet.org
# flanders.be.eu.undernet.org
# graz.at.eu.undernet.org
# london.uk.eu.undernet.org
# los-angeles.ca.us.undernet.org
# lulea.se.eu.undernet.org
# ozbytes.dal.net
# qis.md.us.dal.net
# vancouver.dal.net
# viking.dal.net
# washington.dc.us.undernet.org
10. Прекращает работу 16-го декабря 2004 года.
securitylab.ru/49361.html
При запуске W32.Mydoom.AH@mm выполняет следующие действия:
1. Создает файл %System%\[random name]32.exe.
2. Добавляет значение:
"Reactor5" = "%System%\[random name]32.exe"
в ключ реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run
3. Может создать следующие ключи реестра:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\
Explorer\ComExplore
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\
Explorer\ComExplore\Version
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\
Explorer\ComExplore
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\
Explorer\ComExplore\Version
4. Удаляет следующие значения:
# center
# reactor
# Rhino
# Reactor3
# Reactor4
из ключа реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
5. Пытается внедрить свой код в качестве потока в любой процесс с window class name "Shell_TrayWnd" или в любой запущенный высокоприоритетный процесс. Если это червю удалось, то он продолжает выполняться внутри зараженного процесса. Все действия, описываемые в следующих пунктах выполняет зараженный процесс, а червь становится невидимым в списке процессов в Windows Task Manager. Если червю не удалось внедрить свой код, то он продолжает выполнятьтся как собственный процесс.
6. Собирает email адреса из Windows address book и из файлов с расширениями:
# .txt
# .htmb
# .shtl
# .phpq
# .aspd
# .dbxn
# .tbbg
# .adbh
# .pl
# .wab
7. Использует собственный SMTP механизм для того, чтобы разослать себя по найденным email адресам.
8. Открывает 1639 TCP порт для команд.
9. Пытается соединиться со следующими IRC серверами по 6667 TCP порту:
# broadway.ny.us.dal.net
# brussels.be.eu.undernet.org
# caen.fr.eu.undernet.org
# ced.dal.net
# coins.dal.net
# diemen.nl.eu.undernet.org
# flanders.be.eu.undernet.org
# graz.at.eu.undernet.org
# london.uk.eu.undernet.org
# los-angeles.ca.us.undernet.org
# lulea.se.eu.undernet.org
# ozbytes.dal.net
# qis.md.us.dal.net
# vancouver.dal.net
# viking.dal.net
# washington.dc.us.undernet.org
10. Прекращает работу 16-го декабря 2004 года.
securitylab.ru/49361.html