Mydoom.M
PeligrosidadDañoPropagación

Efectos 

Mydoom.M realiza las siguientes acciones:

• Instala una librería de enlace dinámico (DLL) que abre el puerto TCP 1042 y permanece a la escucha, actuando como backdoor. De este modo, permite el acceso remoto al ordenador afectado, para realizar en el mismo acciones que comprometen la confidencialidad del usuario o dificultan su trabajo.
• Finaliza cualquier proceso que contenga alguna de las siguientes cadenas de texto:
  
  avp., avp32, intrena, mcafe, navapw, navw3, norton, reged, taskmg y taskmo.
  
  Estas cadenas están relacionadas con programas antivirus y herramientas de monitorización del sistema. La finalización de dichos procesos deja al ordenador afectado vulnerable frente al ataque de otros malware.

Metodo de Infección 

Mydoom.M crea los siguientes archivos:

• LSASS.EXE en el directorio de Windows. Este archivo es una copia del gusano.
• Un archivo de texto, con nombre aleatorio y extensión TXT, en el directorio temporal de Windows. Mydoom.M emplea este archivo como apoyo para realizar sus acciones.

Mydoom.M crea las siguientes entradas en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  Traybar = %windir%\ lsass.exe
  donde %windir% es el directorio de Windows.
  Con esta entrada, Mydoom.M consigue ejecutarse cada vez que se inicia Windows.
  
  Si no consigue crear esta entrada, crea la siguiente:
  
  HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  Traybar = %windir%\ lsass.exe
• HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ POSIX
• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ POSIX
  Mydoom.M emplea estas dos entradas como marca de infección, para comprobar si el ordenador ha sido ya afectado.

Método de Propagación 

Mydoom.M se propaga a través del correo electrónico y de programas de intercambio de archivos punto a punto (P2P).

1.- Propagación a través del correo electrónico.

Mydoom.M realiza el siguiente proceso:

• Llega al ordenador afectado en un mensaje de correo escrito en inglés de características variables:
  
  Remitente:
  Mydoom.M falsifica la dirección que aparece como remitente del mensaje de correo que provoca la infección. Esto puede dar lugar a confusiones. Si desea más información al respecto, pulse aquí.
  Mydoom.M puede añadir cualquiera de los siguientes textos a la dirección falsificada del remitente:
  "Automatic Email Delivery Software"
  "Bounced mail"
  "Mail Delivery Subsystem"
  "MAILER-DAEMON"
  "Post Office"
  "Returned mail"
  "The Post Office"
  “Mail Administrator”
  “Postmaster”
  MAILER-DAEMON
  noreplypostmaster
  
  Asunto: puede ser uno de los siguientes:
  click me baby, one more time
  delivery failed
  Delivery reports about your e-mail
  error
  hello
  report
  say helo to my litl friend
  status
  
  Contenido: puede estar en blanco, ser un conjunto ilegible de caracteres o uno de los siguientes:
  Mensaje 1:
  The original message was received at <hora y fecha>
  from <dirección página web> [<dirección IP>]
  
  ----- The following addresses had permanent fatal errors -----
  <dirección página web>
  
  Mensaje 2:
  The original message was received at <hora y fecha>
  from <dirección página web> [<dirección IP>]
  
  ----- The following addresses had permanent fatal errors -----
  <dirección correo electrónico>
  
  ----- Transcript of session follows -----
  while talking to <servidor>.:
  >>> MAIL From:<dirección correo electrónico>
  <<< 501 <dirección correo electrónico>... Refused
  
  Mensaje 3:
  This Message was undeliverable due to the following reason:
  
  Your message was not delivered because the destination computer was
  not reachable within the allowed queue period. The amount of time
  a message is queued before it is returned depends on local configura-
  tion parameters.
  
  Most likely there is a network problem that prevented delivery, but
  it is also possible that the computer is turned off, or does not
  have a mail system running right now.
  
  Your message was not delivered within 7 days:
  Host <dirección IP> is not responding.
  
  The following recipients did not receive this message:
  <dirección correo electrónico>
  
  Please reply to <dirección correo electrónico>
  if you feel this message to be in error.
  
  Mensaje 4:
  Message could not be delivered
  
  Mensaje 5:
  The original message was included as attachment
  
  
  Archivo adjunto: es variable:
  Posibles nombres de archivo: puede ser completamente aleatorio, o ser alguno de los siguientes: ATTACHMENT, DOCUMENT, FILE, LETTER, MAIL, MESSAGE, README, TEXT, TRANSCRIPT.
  Posibles extensiones: PIF, SCR, EXE, CMD, BAT, ZIP, COM.
  
• Cuando el archivo es ejecutado, el ordenador quedará afectado.
• Mydoom.M busca direcciones de correo en ficheros que tengan las siguientes extensiones: DOC, HTM, HTML y TXT.
• Mydoom.M se envía a sí mismo a todas las direcciones que encuentre, utilizando su propio motor SMTP.
  Para ello, intenta abrir una sesión SMTP y conectarse a los posibles servidores de correo, que se componen añadiendo una serie de prefijos al dominio de correo del destinatario.
• Sin embargo, Mydoom.M evita enviarse a direcciones que cumplan alguna de las siguientes características:
  - El dominio de la dirección contiene alguna de estas cadenas: .gov, .mil, arin., avp, bar., domain, example, foo., gmail, gnu., google, gov., hotmail, labs, math, mcrosoft, msn., ophos, panda, rarsoft, ripe., sarc., seclist, secure, sf.net, sourceforge, spersk, syma, update, uslis y winzip.
  - El nombre de destinatario es alguno de los siguientes: anyone, ca, contact, feste, gold-certs, help, info, me, no, nobody, noone, not, nothing, page, rating, root, samples, service, site, soft, someone, the.bat, you y your.
  - El nombre de destinatario contiene alguna de las siguientes cadenas: abus, accoun, admi, bug, contact, crosoft, listserv, master, ntivi, priacycertific, sample, secure, spam, submit y suppor.
  

2.- Propagación a través de programas de intercambio de archivos P2P.

Mydoom.M realiza el siguiente proceso:

• Crea copias de sí mismo en directorios que contengan alguna de las siguientes cadenas de texto: download, ftproot, incoming, shar. De este modo, intenta copiarse en los directorios compartidos de programas de intercambio de archivos.
• Las copias de Mydoom.M realizadas tienen nombre variable, que consiste en un nombre de archivo y extensión aleatorios:
  Posibles nombres de archivo: Harry Potter, ICQ 4 Lite, index, Kazaa Lite, Winamp 5.0 (en), Winamp 5.0 (en) Crack, WinRAR.v.3.2.and.key.
  Posibles extensiones: SCR, COM, EXE, SHAREREACTOR.COM.
• Otros usuarios de este programa podrán acceder de manera remota a este directorio compartido. Así, se descargarán voluntariamente en su ordenador alguno de los archivos creados por Mydoom.M, pensando que se trata de aplicaciones informáticas interesantes, etc. En realidad, se estarán descargando en sus ordenadores una copia del gusano.
• Al ejecutar el archivo descargado, esos otros ordenadores quedarán afectados por Mydoom.M.

Otros Detalles  

Mydoom.M tiene un tamaño de aproximadamente 33 KBytes. Por su parte, la librería de enlace dinámico instalada tiene un tamaño de 8776 Bytes y está comprimida mediante UPX.

Mydoom.M crea el mutex jmydoat%smtx, para asegurarse de que no haya más de una copia del gusano ejecutándose al mismo tiempo.