Warnung vor Worm.Win32.Mydoom.S!

Worm.Win32.Mydoom.S ist ein Wurm, der sich via Filesharing und eMail verbreitet. Der 37.888 Bytes große und mit UPX 1.24 gepackte Wurm, wurde in Visual C++ programmiert. Entpackt beträgt seine Größe 73.728 Bytes.

Sobald Worm.Win32.Mydoom.S gestartet wurde kopiert er sich unter dem Namen "tasker.exe" ins Windows System Verzeichnis. Um seinen automatischen Start sicher zu stellen wird folgender Registry Key erstellt:

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
 "Task"="%system%	asker.exe"

Sollte die Erstellung des Wertes fehlschlagen, versucht der Wurm folgenden Wert anzulegen:

[HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun]
 "Task"="%system%	asker.exe"

Um einen Mehrfachstart zu verhindern benutzt Worm.Win32.Mydoom.S einen Mutex mit dem Namen "EnD-Of-SkyNet".

Verbreitung

Worm.Win32.Mydoom.S durchsucht den Computer nach Dateien deren Endungen einen der folgenden Strings enthalten um aus ihnen eMail Adressen zu extrahieren:

txt
wab
adb
tbb
dbx
asp
php
sht
htm
pl

Mailbetreff und Texte werden zufällig gewählt. Zur Auswahl stehen unter anderem folgende Betreffzeilen:

RE:my .....
RE:test
Status
Server Report
Mail Transaction Failed
Mail Delivery System
hello

Sowie folgende Nachrichtentexte:

Mail transaction failed. Partial message is available.
sorry we can't send the mail try later , check the attachment for more information.
error , sorry we can't send the email so check the attachment.
hello check the attachment thx.
hello.
!!!!!!!!!!!, check the attachment!!!.
Try Later, Check the Attachment.
failed to send the email!, check the attachment for more information.
check.
check the attachment to get the lastest news.
come back my friend.
loooooool ;
hello :
failed,check the attachment for more information.
error, check the attachment for more information.
error to send the mail!!!!!.
you can check the attachment for more information.
Norton ANti Virus,Panda,Mcafee No Virusses Found
the attachment for more information.
here is what you need,thx.
your attachment , thx.
Check the attachment for more information!.
Norton Anti Virus : No Virusses Found , Check The Attachment For More Information.

Der Name der angehängten Datei wird aus verschiedenen Teilstücken zusammengesetzt und variiert somit ebenfalls.

Neben der Verbreitung über Mails nutzt Worm.Win32.Mydoom.S auch das Filesharing Programm KaZaA für seine Zwecke. Er kopiert sich mit folgenden Dateinamen in den Downloadordner von KaZaA:

Fixtool.exe
Vaho.exe
SeX.exe
cleaner.exe
mirc.exe
Wenrar.exe
kazz.exe
Winzip.exe
crack.exe
Upload.exe
Vahos.exe
netsky.exe
mydoom.exe
SoBig.exe
klez.exe
yahoo hacker.exe
Hotmail hacker.exe
ps2 emulator.exe
xbox emulator.exe
XXX Videos.exe
XXX Pictures.exe

Schadensfunktion

Worm.Win32.Mydoom.S startet eine DDoS Attacke auf www.microsoft.com. Dabei wird in einer Schleife innerhalb von kurzen Zeitabständen jeweils die Standardseite der Domain angefordert.

Andere Besonderheiten

Worm.Win32.Mydoom.S enthält folgende Textbotschaft:

MSG To SkyNet-Netsky: i know skynet is sucks so fuck off and i will complete my 
projects ok baby!,the second author for mydoom worms!!, he will complete the 
project, more is coming soon better than better,Kuwait.