Worm.W32/MyDoom.F@MM

Alias:
W32/Mydoom.F.worm (Panda Software), W32/MyDoom.F@mm (PerAntivirus), Win32/Mydoom.F (Enciclopedia Virus (Ontinent)), W32/Mydoom.f@MM (McAfee), W32.Mydoom.F@mm (Symantec)

Descripción:
Mydoom.F es un gusano con efectos destructivos que se propaga a través del correo electrónico en un mensaje escrito en inglés con características variables.

Mydoom.F borra todos los ficheros que tengan alguna de las siguientes extensiones: AVI, BMP, DOC, JPG, MDB, SAV y XLS.

Mydoom.F instala una librería de enlace dinámico (DLL) que contiene una puerta trasera. Esta DLL también permite finalizar procesos correspondientes a programas antivirus, lo que deja al ordenador afectado vulnerable frente a otros ataques.

Además, Mydoom.F realiza ataques de Denegación de Servicio Distribuida (DDoS) contra las páginas web www.microsoft.com y www.riaa.com.

Detalles:
Efectos

Mydoom.F realiza las siguientes acciones:

• Borra todos los ficheros que tengan alguna de las siguientes extensiones: AVI, BMP, DOC, JPG, MDB, SAV y XLS.
• Instala una librería de enlace dinámico (DLL) que contiene una puerta trasera.
• Esta DLL también permite finalizar procesos que contengan cualquiera de las siguientes cadenas de texto:
  avp., avp32, intrena, mcafe, navapw, navw3, norton, reged, taskmg, taskmo
  Estos procesos pertenecen a programas antivirus y herramientas de monitorización del sistema, y su finalización deja al ordenador afectado vulnerable frente a otros ataques.
• Además, Mydoom.F realiza ataques de Denegación de Servicio Distribuida (DDoS) contra las páginas web www.microsoft.com y www.riaa.com.
• Muestra en pantalla un mensaje de error cuando es ejecutado. Dicho mensaje es variable, y puede tener cualquiera de los siguientes textos:
  • File is corrupted
  • File cannot be opened
  • Unable to open specified file

Metodo de Infección

Mydoom.F crea los siguientes ficheros en el directorio de sistema de Windows:

• Un fichero con un nombre aleatorio y extensión EXE. Este fichero es una copia del gusano.
• Un fichero con nombre aleatorio y extensión DLL. Este fichero es la puerta trasera, y finaliza los procesos correspondientes a programas antivirus, entre otros.
• Además, Mydoom.F realiza copias de sí mismo en distintos directorios, utilizando un nombre de fichero aleatorio.

Mydoom.F crea las siguientes entradas en el Registro de Windows:

HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
%entry% = %sysdir%\llace.exe

Si no consigue crear esta entrada, crea la siguiente:

HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
%entry% = %sysdir%\ llace.exe

HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Shell

HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Shell

Método de Propagación

Mydoom.F se propaga a través del correo electrónico y de redes de ordenadores.

1.- Propagación a través del correo electrónico.

Mydoom.F realiza el siguiente proceso:

• Llega al ordenador afectado en un mensaje de correo de características variables:
  
  
  • Remitente:
    Mydoom.F falsifica la dirección que aparece como remitente del mensaje de correo que provoca la infección. Esto puede dar lugar a confusiones.
    
    
  • Asunto: puede ser uno de los siguientes:
    • (vacío)
    • =P Announcement
    • Announcement
    • ApprovedNews
    • Attention
    • automatic responder
    • Bug
    • Current Status
    • EXPIRED ACCOUNT
    • For your information
    • hello
    • hi
    • hi, it's me
    • IMPORTANT
    • Information Warning
    • Love is Love is...
    • Please read
    • Please reply
    • Re:
    • Re: Approved
    • Re: Thank You
    • Read it immediately
    • read now!
    • Read this
    • Readme
    • Recent news
    • Recent news
    • Something for you
    • Undeliverable message
    • Unknown
    • You have 1 day left
    • You use illegal File Sharing... Your IP was logged
    • Your account is about to be expired
    • Your credit card
    • Your order is being processed
    • Your order was registered
    • Your request is being processed
    • Your request was registered
      
      
  • Contenido: uno de los siguientes:
    • Check the attached document.
    • Details are in the attached document. You need Microsoft Office to open it.
    • Greetings
    • Here is the document.
    • Here it is
    • I have your password :)
    • I wait for your reply.
    • I wait for your reply.
    • I'm waiting
    • I'm waiting Okay
    • Information about you
    • Is that from you?
    • Is that yours?
    • Kill the writer of this document!
    • OK Everything ok?
    • Please see the attached file for details
    • Please, reply
    • Read the details.
    • Reply
    • See the attached file for details
    • See you
    • See you Here it is
    • Something about you
    • Take it
    • The document was sent in compressed format.
    • We have received this document from your e-mail.
    • You are a bad writer
      
      
    • You are bad
  • Fichero adjunto: el nombre del fichero es variable, y tiene extensión aleatoria:
    Posibles nombres de fichero: DETAILS, o un nombre de fichero aleatorio.
    Posibles extensiones: PIF, COM, SCR, EXE, CMD, BAT, ZIP.
    
  Cuando el fichero es ejecutado, el ordenador quedará afectado.
  
  
• Mydoom.F busca direcciones de correo en ficheros que tengan las siguientes extensiones: ADB, ASP, DBX, EML, HTM, MBX, MHT, MMF, MSG, NCH, ODS, OFT, PHP, PL, RTF, SHT, TBB, TXT, UIN, VBS y WAB.
  
  
• Mydoom.F se envía a sí mismo a todas las direcciones que encuentre y a todos los contactos de la Libreta de direcciones de Windows, utilizando su propio motor SMTP. Para ello, intenta abrir una sesión SMTP y conectarse a los posibles servidores de correo, que se componen añadiendo diversos prefijos al dominio de correo del destinatario.

2.- Propagación a través de redes.

Mydoom.F comprueba si el ordenador infectado se encuentra conectado a una red.

En caso afirmativo, realiza un inventario de todas las unidades de red mapeadas y crea una copia de sí mismo en cada una de ellas, utilizando para ello un nombre de fichero aleatorio y extensión ZIP.

Otros Detalles

Mydoom.F está escrito en lenguaje Ensamblador. El gusano tiene un tamaño de 34568 Bytes cuando se encuentra comprimido mediante UPX, y de 46344 Bytes una vez descomprimido.

Mydoom.F crea un mutex llamado jmydoat%smtx para asegurarse de que sólo se ejecutará una copia del gusano simultáneamente.

Solución:

1. Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la característica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración)

   Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea desactivar la Restauración del Sistema en Windows Me y desactivar la Restauración del Sistema en Windows XP.
   
   

2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus gratuitos. Repare o borre el fichero infectado.
   
   Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
   
   Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero. 
   
   
3. En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
   
   
4. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.

   Elimine las siguientes entradas del registro:

   HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
   %entry% = %sysdir%\llace.exe

   HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
   %entry% = %sysdir%\ llace.exe
   
   

5. Reinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.

Más información acerca de este virus en:

• McAfee
• Panda Software
• PER Antivirus
• Symantec

Fuente: red.es