W32/Mydoom.F

W32/Mydoom.F@MM

Nombre:	W32/Mydoom.F@MM Alias: W32/Mydoom.f@MM, W32/Mydoom.F.worm
Tipo:	Gusano
Tamaño:	34,568 bytes
Origen:	Internet
Destructivo:	SI (realiza ataques DoS)
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 5.6, Registro de Virus al 20/02/2004

Descripción

W32/MyDoom.F@MM es un gusano que se propaga vía E-mail en un adjunto con extensión .BAT, .CMD, .COM, .EXE, .PIF, .SCR o .ZIP. Busca direcciones de email en la libreta de direcciones de Windows y en archivos con las siguientes extensiones: ADB, ASP, DBX, EML, HTM, MBX, MHT, MMF, MSG, NCH, ODS, OFT, PHP, PL, RTF, SHT, TBB, TXT, UIN, VBS y WAB, para luego enviarse a estas utilizando su propio motor SMTP.

Características del mensaje de E-mail:

De: Dirección de E-mail falsa

Asunto: {Al azar entre: }

Re: Approved
Attention
Your request is being processed
[en blanco]
Please read
Re: Thank You
Recent news
IMPORTANT
Please reply
Read this
Your credit card
Unknown
EXPIRED ACCOUNT
Your request was registered
automatic responder
Recent news
Readme
Bug
You have 1 day left
ApprovedNews
Read it immediately
Announcement
=P Announcement
hi, it's me
You use illegal File Sharing... Your IP was logged
Your account is about to be expired
Love is Love is...
Undeliverable message
Re:
Your order was registered
Your order is being processed
Current Status
read now!
Something for you
For your information
Information Warning
hello
hi

Cuerpo: {Al azar entre: }

Kill the writer of this document!
Details are in the attached document. You need Microsoft Office to open it.
I'm waiting
We have received this document from your e-mail.
Here it is
I wait for your reply.
See you
I have your password :)
You are bad
Take it
Reply
Please, reply
Information about you
Greetings
See you Here it is
Something about you
You are a bad writer
Is that yours?
Is that from you?
I wait for your reply.
Here is the document.
Read the details.
I'm waiting Okay
OK Everything ok?
Check the attached document.
The document was sent in compressed format.
Please see the attached file for details
See the attached file for details

Archivo Adjunto:

El nombre puede ser:

- {caracteres al azar}
- paypal
- creditcard
- website
- textfile
- photo
- part1
- notes
- mail
- vpf
- details
- document

La extensión puede ser .cmd, .exe, .pif, .com, .scr o .zip
-------------------------------

Activación:

Si se abre el archivo adjunto el gusano:

- Se copia como "[nombre aleatorio].EXE" y "[nombre aleatorio].DLL" en la carpeta %System%

Crea las siguientes entradas en el registro para ejecutar el gusano en cada inicio del sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"nhch"="%System%/[nombre aleatorio].exe"

También realiza varias copias de si mismo como archivos .zip o .exe en diferentes carpetas del disco duro local y unidades mapeadas, los archivos copiados tienen nombres aleatorios.

Daño causado:

- Borra todos los archivos que tengan algunas de las siguientes extensiones: AVI, BMP, DOC, JPG, MDB, SAV y XLS.

- Finaliza todos los procesos activos que tengan los siguientes nombres:

reged
taskmo
taskmg
avp.
avp32
norton
navapw
navw3
intrena
mcafe

- Inicia ataques de denegación de servicio (DOS) contra los siguientes sitios web, www.microsoft.com y www.riaa.com