Worm.Win32_Mytob-BA

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: Inconnue

Détails techniques:

Lorsqu'il est exécuté pour la première fois, Mytob-BA se copie dans le répertoire %System% sous le nom de taskgamr.exe et crée dans le registre les entrées suivantes :

HKCU\Software\Microsoft\OLE
WINTASK
taskgamr.exe

HKCU\System\CurrentControlSet\Control\Lsa
WINTASK
taskgamr.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
WINTASK
taskgamr.exe

HKLM\Software\Microsoft\OLE
WINTASK
taskgamr.exe

HKLM\System\CurrentControlSet\Control\Lsa
WINTASK
taskgamr.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
WINTASK
taskgamr.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
WINTASK
taskgamr.exe

Mytob-BA se copie à la racine sous le nom de :
my_photo2005.scr
see_this!!.scr
funny_pic.scr

Le ver injecte par ailleurs un composant d'aide dans C:\hellmsn.exe.

Les courriels envoyés par Mytob-BA ont les caractéristiques suivantes :

Objet :
Error
Status
Server Report
Mail Transaction Failed
Mail Delivery System
hello
Good day

Corps du message :
Here are your banks documents.

The original message was included as an attachment.

The message cannot be represented in 7-bit ASCII encoding and has been sent as a
binary attachment.

The message contains Unicode characters and has been sent as a binary
attachment.

Mail transaction failed. Partial message is available.

Le fichier joint contient un nom de base suivi des extensions BAT, CMD, PIF, SCR, EXE ou ZIP. Le ver peut facultativement créer des doubles extensions où la première extension est DOC, TXT ou HTM et la seconde est PIF, SCR, EXE ou ZIP.

Mytob-BA collecte des adresses électroniques dans des fichiers présents sur l'ordinateur infecté et dans le carnet d'adresses Windows

Pour refuser l'accès aux sites Web de sécurité correspondants, Mytob-BA ajoute au fichier HOSTS aussi les éléments suivants :
127.0.0.1 www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.microsoft.com
127.0.0.1 www.trendmicro.com