zurück zur Übersicht

W32.Mydoom.A (W32.Novarg.A@mm, I-Worm.Mydoom)

• 28.01.2004: bösartigere Variante "W32.Mydoom.B" im Umlauf!

W32.Mydoom.A ist ein Massen-Mail-Wurm, der als Anhang einer eMail mit der Dateierweiterung .bat, .cmd, .exe, .pif, .scr oder .zip kommt und durch Öffnen des Attachments gestartet wird.

Wenn ein Computer infiziert wird, richtet der Wurm eine Hintertür ("Backdoor") im System ein, indem er die TCP-Ports 3127 bis 3198 öffnet. Dadurch könnte ein Angreifer eine Verbindung zum Computer herstellen und ihn verwenden, um Zugriff auf dessen Netzwerkressourcen zu erhalten.

Außerdem können über die Hintertür beliebige Dateien heruntergeladen und ausgeführt werden.

Der Wurm wird ab dem 1. Februar 2004 einen Denial-of-Service (Dos)-Angriff durchführen.
Betroffen ist (derzeit) die Ziel-Domain www.sco.com indem er mehrere gleizeitige Anfragen an den Port 80 sendet.

Der Wurm ist so programmiert, dass er am 12. Februar 2004 aufhört, sich zu verbreiten.

W32.Mydoom.A überschreibt die Datei Taskmon.exe im Systemverzeichnis
Aber Achtung:
Taskmon.exe ist eine legitime Datei in den Betriebssystemen Windows 95/98/Me, die im Systemverzeichnis gespeichert ist. (Standardmäßig ist dies das Verzeichnis C:\Windows oder C:\Winnt.) Sie sollten diese Datei nicht versehentlich löschen!

W32.Mydoom.A benützt zur Verbreitung auch eMailadressen, die er auf der Festplatte (zB: in temporären oder gespeicherten Datein besuchter Webseiten) eines befallenen Rechners findet, und fälscht dann die Absenderadresse.
Antworten - an den vermeintlichen Absender haben also keinen Sinn.

Da sich W32.Mydoom.A hauptsächlich per eMail (eigene SMTP-Engine) verbreitet, wird der infizierte Rechner nach eMail-Adressen in den Dateien .htm, .sht, .php, .asp, .dbx, .tbb, .adb, .pl, .wab und .txt durchsucht an welche er sich versendet. Sollten Adressen mit der Top-Level-Domain .edu gefunden werden so versendet sich der Wurm nicht an diese.

Folgende Betreffzeilen deuten auf ein infiziertes eMail hin:

test
hi
hello
Mail Delivery System
Mail Transaction Failed
Server Report
Status
Error

Folgende Attachments deuten auf ein infiziertes eMail hin:

document
readme
doc
text
file
data
test
message
body

Das Attachment kann zwei Erweiterungen haben. - zB: "data.txt.zip"
Ist dies der Fall, so ist die erste Dateierweiterung eine der folgenden:
Die letzte Dateierweiterung ist in jedem Fall eine der folgenden:
.pif
.scr
.exe
.cmd
.bat
.zip

Der Wurm kopiert sich auch in das KaZaA-Download-Verzeichnis - falls das installiert wurde.

Die Nachricht selbst kann so aussehen:

Mail transaction failed. Partial message is available.

The message contains Unicode characters and has been sent as a binary attachment.

The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

test

W32.Mydoom.A "verschont" - dh. sendet nicht an bestimmte Empfänger-Domais, welche u.a. diese Zeichenfolgen enthalten:

avp , syma , icrosof , msn. , hotmail , panda , sopho , borlan , inpris , example , mydomai , nodomai , ruslis , .gov , gov. , .mil , foo. , berkeley , unix , math , bsd , mit.e , gnu , fsf. , ibm.com , google , kernel , linux , fido , usenet , iana , ietf , rfc-ed , sendmail , arin. , ripe. , isi.e , isc.o , secur , acketst , pgp , tanford.e , utgers.ed , mozilla

W32.Mydoom.A "verschont" auch Webmaster und Serverbetreiber - dh. sendet nicht an bestimmte email-Konten, welche mit den folgenden Zeichenfolgen übereinstimmten:

root , info , samples , postmaster , webmaster , nobody , your , you , me , site , contact , privacy , service , help , page

Aber: office@.... ist nicht in der Ausnahmeliste und wird beschickt !!

Und auch an Adressen mit folgenden Teilen versendet sich der Wurm nicht:
Er mag "Microsoft" und "google" ... ;-))

admin, icrosoft , support , ntivi , unix , bsd , linux , listserv , certific , google , accoun

W32.Mydoom.A kann auch anhand folgender Registryeinträge *) erkannt werden:

1. HKEY_CURRENT_USER\ Software\ Microsft\ Windows\ CurrentVersion\ Run
   Eintrag: "TaskMon = %System%\taskmon.exe"
    
2. HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
   Eintrag: "TaskMon = %System%\taskmon.exe"
    
3. HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ ComDlg32\ Version
    
4. HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Explorer\ ComDlg32\ Version
    
   

*) Warnung:
Wenn Sie sich mit dem Registry-Editor nicht auskennen, lassen Sie die Finger davon!

Folgende aktive Tasks deuten auf eine Infektion hin:

Task der Datei "shimgapi.dll" beenden und die Datei löschen!

Die Entfernung bzw. Anwendung von Removal-Tools wird von uns nicht supportet und erfolgt auf Ihre eigene Gefahr!

Ikarus-Software (EXE-Datei)

zurück zur Übersicht