кому исходники MyDoom?
jammer // 10.02.04 11:02
Служба мониторинга вирусной активности ЗАО "ДиалогНаука" сообщает о начале распространения по сети интернет нового червя, использующего компьютеры, ранее зараженные почтовым червем MyDoom.
[Не забывайте при копировании материала указывать полный адрес источника: //bugtraq.ru/rsn/archive/2004/02/13.html]
Он использует редкий, если не сказать уникальный способ для своего размножения - сканирование глобальной сети в поисках компьютеров, у которых открыт порт 3127, что в подавляющем большинстве случаев является признаком заражения червем Win32.HLLM.MyDoom.32768.
Используя уязвимость пораженных первым вариантом MyDoom систем, новый червь проникает туда и первым делом обеспечивает свой автоматический запуск при последующих стартах системы, прописывая в реестр ссылку на свою копию (%winsys%\intrenat.exe длиной 36 864 байта).
Самым курьезным в истории с этим червем является то, что он аккуратно раскладывает в нескольких местах - в корне диска C:\ и в директории Windows файл-архив с именем sync-src-1.00.tbz, в котором упакованы исходники почтового червя массовой рассылки Win32.HLLM.MyDoom.32768. Жалко только, что те, у кого на компьютере эти исходники появятся, не смогут по достоинству оценить такой подарок.
У червя есть и одна серьезная деструктивная особенность - будучи запущенным на пораженном компьютере, он предпринимает DoS-атаку на сайт microsoft.com. В период с 8 по 12 февраля эти атаки идут довольно робко - червь отводит только одну-две нити на это занятие, но стоит дате перешагнуть за 12 февраля, как червь начнет атаковать всеми любимый сайт бесчисленным количеством потоков с каждого пораженного компьютера, что наверняка заставит сервера корпорации Microsoft работать, мягко выражаясь, с повышенной нагрузкой.
