Worm.Win32_Mytob-AI

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: Inconnue

Détails techniques:

Lorsqu'il est exécuté, Mytob-AI se copie dans le répertoire %System% sous le nom "svchost32.exe" et crée dans le registre les entrées suivantes :

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
WINRUN
svchost32.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
WINRUN
svchost32.exe

HKCU\SYSTEM\CurrentControlSet\Control\Lsa
WINRUN
svchost32.exe

HKCU\Software\Microsoft\OLE
WINRUN
svchost32.exe

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
WINRUN
svchost32.exe

HKLM\SOFTWARE\Microsoft\Ole
WINRUN
svchost32.exe

HKLM\SYSTEM\CurrentControlSet\Control\Lsa
WINRUN
svchost32.exe

Mytob-AI se copie dans le dossier racine en prenant les noms suivants :
funny_pic.scr
my_photo2005.scr
see_this!!.scr

Mytob-AI crée dans le dossier racine un autre fichier nommé "hellmsn.exe".

Pour empêcher l'accès aux sites Web de sécurité correspondants, Mytob-AI ajoute aussi au fichier HOSTS les éléments suivants :
127.0.0.1 www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 avp.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 www.microsoft.com
127.0.0.1 www.trendmicro.com

Les courriels envoyés par Mytob-AI ont les caractéristiques suivantes :

Objet :
Error
Status
Server Report
Mail Transaction Failed
Mail Delivery System
hello
thanks!
Good day
{vierge}
{caractères aléatoires}


Corps du message :
Here are your banks documents.

The original message was included as an attachment.

The message cannot be represented in 7-bit ASCII encoding and has been sent as a
binary attachment.

The message contains Unicode characters and has been sent as a binary
attachment.

Mail transaction failed. Partial message is available.

Le fichier joint contient un nom de base suivi des extensions BAT, CMD, PIF, SCR, EXE ou ZIP. Le ver peut facultativement créer des doubles extensions avec DOC, TXT ou HTM comme première extension et PIF, SCR, EXE ou ZIP comme seconde extension.