Hátsó kaput nyit titokban a megtámadott rendszeren a Mytob féreg E változata, minek következtében a távoli támadó akár állományokat is letörölhet.

A fertõzött e-mail jellemzõi

Feladó: hamis e-mailcím.

Tárgy: a következõk valamelyike:
– hello
– hi
– error
– status
– test
– Mail Transaction Failed
– Mail Delivery System
– SERVER REPORT
– [üres]
– [véletlenszerûen válogatott karakterek]

Tartalom: a következõk egyike

– The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
– Mail transaction failed. Partial message is available test.
– The message contains Unicode characters and has been sent as a binary attachment.
– [üres].
– [véletlenszerûen válogatott ka-rakterek].

Csatolmány: egy .bat, .cmd, .exe, .pif, .scr vagy .zip kiterjesztésû állomány, a következõ név valamelyikén:

– body
– data
– doc
– document
– file
– message
– readme
– test
– text
– [véletlenszerûen válogatott ka-rakterek]

Megjegyzés: ha a csatolmány ZIP állomány, akkor a file-nak van egy második kiterjesztése is: .doc, .txt, .htm vagy .html

A féreg paraméterei

Felfedezésének ideje: 2005. március 12.
Utolsó frissítés ideje: 2005. március 13.
Veszélyeztetett rendszerek: Windows 9x/Me/NT/2k/XP/2k3
Nem érintett rendszerek: Windows 3.x, Microsoft IIS, Macintosh, UNIX, Linux, OS/2
Mérete: 57.982 byte
Fertõzések száma: 0-49
Földrajzi elterjedtsége: alacsony
Terjedés megakadályozása: könnyû
Eltávolítása: könnyû

Aktiválódása esetén lezajló események

– felmásolja magát a System könyvtárba scvhost.exe néven
– hozzáadja az SVCHOST=scvhost.exe bejegyzést a következõ kulcsokhoz:
– HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run
– HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/RunServices
– HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
– HKEY_CURRENT_USER/Software/Microsoft/OLE
– HKEY_CURRENT_USER/SYSTEM/CurrentControlSet/Control/SVCHOST
– megkísérel csatlakozni az irc. blackcarder.net domainhez a 6667-es TCP porton át, és alkotójától érkezõ parancsokra várakozik, melyek a következõk lehetnek:
– file-ok letöltése, letörlése, lefuttatása
– önmaga frissítése
– a számítógép mûködési idejének megszerzése
– olyan számítógépek után kutat, melyek a Windows Local Security Authority Service Remote Buffer Overflow sebezhetõségnek ki vannak téve
– a következõ kiterjesztéssel bíró állományokban kutat e-mailcímek után: .wab, .adb, .tbb, .dbx, .asp, .php, .sht, .htm, .pl
– a System/drivers/etc/hosts állományban olyan módosításokat végez, aminek következtében számos antivírus technológiával foglalkozó cég website-ja elérhetetlenné válik
– a fent ismertetett karakterisztikában e-maileket küld saját SMTP-motorja révén az összegyûjtött címekre.

Forrás: www.terminal.hu