A Mydoom.T augusztus 20-án felfüggeszti tevékenységét

forrás Prim Online, 2004. augusztus 16. 18:05

2004. augusztus 16-án, budapesti idő szerint 7:43-kor a Canon System Solutions (a NOD32 Antivirus System képviselete Japánban) egy rohamosan terjedő, új Mydoom variánsra hívta fel a figyelmet.

Az új Mydoom (a NOD32 elnevezése szerint Win32/Mydoom.T, más elnevezése, mint arról korábban hírt adtunk: Mydoom.S) e-mailben terjed, meghamisított feladóval. A tárgy: "photos", a levél törzse: "LOL!;))))", a levél csatolmánya egy "photos_arc.exe" nevű, UPX-szel tömörített, 27.136 bájt hosszú futtatható fájl.

Ha valaki rákattint a csatolmányra és ezáltal futtatja azt, a féreg a %windir% könyvtárba rasor38a.dll néven, a %system% könyvtárba winpsd néven másolja be magát, majd létrehozza a rendszerindításkor való betöltődéshez szükséges kulcsot a regisztrációs adatbázisban (HKCU\Software\Microsoft\Windows\CurrentVersion\Run ill. HKLM\Software\Microsoft\Windows\CurrentVersion\Run)

A Win32/Mydoom.T féreg egy backdoort is tartalmaz, mely proxyként képes működni, valamint néhány antivírusprogram működését is leállítja.

A Mydoom.T férget a NOD32 képes a kiterjesztett heurisztikus keresőmotorjának segítségével is felismerni, név szerint az 1.843-as adatbázistól fölfelé tudja azonosítani a kártevőt. A Mydoom.T féreg 2004. augusztus 20-án, este 9:11:11-kor függeszti fel tevékenységét.