Alerte jaune pour Mytob-AR

Par Grégory Le Bras le Lundi 30 Mai 2005 à 23:30:32

Trend Micro vient de déclencher l'alerte jaune pour cette nouvelle variante du ver Mytob - jugée à risque "modéré" - qui se propage actuellement très rapidement dans plusieurs pays pour y déposer des composants spyware et adware.

Selon l'éditeur plus de 100 variantes du ver Mytob seraient aujourd'hui en circulation sur l'Internet. Pareillement aux versions précédentes, Mytob-AR est un ver résident en mémoire qui se propage en s'envoyant via son propre moteur SMTP sous forme de pièce jointe aux adresses électroniques récoltées sur l'ordinateur infecté.

De plus, après son exécution, le ver télécharge un logiciel espion qui dépose un adware sur la machine de la victime. Le ver possède également des fonctionnalités de porte dérobée qui permettent à un attaquant de commander à distance via un salon de discussion IRC la machine compromise.

Pour se propager, Mytob-AR utilise la classique technique de l'ingénierie sociale : il fait croire au destinataire du message infecté que celui-ci provient d'un administrateur et qu'il est "important" de lire son contenu sous peine de voir son compte de messagerie supprimé ou suspendu.

Lorsqu'il est exécuté, le ver dépose une copie de lui-même dans le dossier System de Windows sous le nom d'une célébrité Belge "Lien Van de Kelder.exe". Il s'ajoute ensuite à la base de registre afin d'être exécuté à chaque démarrage d'une session utilisateur.