W32.Mydoom.A@mm

En raison de la diminution des virus soumis, Symantec Security Response a réévalué cette menace qui passe du Niveau 3 au Niveau 2 à compter du 30 mars 2004.

W32.Mydoom.A@mm (également connu sous le nom W32.Novarg.A@mm) est un ver d'envoi en masse de courrier électronique qui se présente sous la forme d'une pièce jointe avec l'extension .bat, .cmd, .exe, .pif, .scr ou .zip.

Lorsqu'un ordinateur est infecté, le ver installe une porte dérobée (backdoor) sur le système en ouvrant les ports TCP 3127 à 3198. Ceci permet éventuellement à un pirate de se connecter à l'ordinateur et de l'utiliser comme proxy afin d'accéder à ses ressources réseau.

De plus, cette porte dérobée permet de télécharger et d'exécuter des fichiers arbitraires.

Dans 25% des cas, il est probable qu'un ordinateur infecté par le ver réalise une attaque de type Déni de Service (DoS) le 1er février 2004 à 16:09:18 UTC, en fonction de la date/heure système de la machine. Si le ver lance le déni de service, il ne s'expédiera pas en masse. Il contient également une date de déclenchement pour cesser de se propager et suspendre le déni de service le 12 février 2004. Tandis que le ver cessera de se propager le 12 février 2004, le composant de porte dérobée continuera de fonctionner après cette date.

---

Remarques :

• Les produits "grand public" Symantec prenant en charge la fonctionnalité de blocage des vers détectent cette menace automatiquement lorsqu'elle essaye de se propager.
• Symantec Security Response a créé un outil de suppression pour nettoyer toutes les infections de W32.Mydoom.A@mm.
• Les définitions de virus antérieures au 04.02.04 détectent ce ver comme W32.Novarg.A@mm.

---

Lorsque W32.Mydoom.A@mm envoie du courrier électronique, il évitera d'en envoyer aux domaines contenant l'une des chaînes suivantes :

• avp
• syma
• icrosof
• msn.
• hotmail
• panda
• sopho
• borlan
• inpris
• example
• mydomai
• nodomai
• ruslis
• .gov
• gov.
• .mil
• foo.
• berkeley
• unix
• math
• bsd
• mit.e
• gnu
• fsf.
• ibm.com
• google
• kernel
• linux
• fido
• usenet
• iana
• ietf
• rfc-ed
• sendmail
• arin.
• ripe.
• isi.e
• isc.o
• secur
• acketst
• pgp
• tanford.e
• utgers.ed
• mozilla

Ou aux comptes qui correspondent aux chaînes suivantes :

• root
• info
• samples
• postmaster
• webmaster
• noone
• nobody
• nothing
• anyone
• someone
• your
• you
• me
• bugs
• rating
• site
• contact
• soft
• no
• somebody
• privacy
• service
• help
• not
• submit
• feste
• ca
• gold-certs
• the.bat
• page

Ou aux comptes qui contiennent les chaînes suivantes :

• admin
• icrosoft
• support
• ntivi
• unix
• bsd
• linux
• listserv
• certific
• google
• accoun

Il fait suivre l'un des noms suivants au nom de domaine obtenu :

• adam
• alex
• alice
• andrew
• anna
• bill
• bob
• brenda
• brent
• brian
• claudia
• dan
• dave
• david
• debby
• fred
• george
• helen
• jack
• james
• jane
• jerry
• jim
• jimmy
• joe
• john
• jose
• julie
• kevin
• leo
• linda
• maria
• mary
• matt
• michael
• mike
• peter
• ray
• robert
• sam
• sandra
• serg
• smith
• stan
• steve
• ted
• tom