Tweede MyDoom-virus valt Microsoft aan

Virus blokkeert toegang tot sites van virusbestrijders

29 januari 2004 | Jamie Biesemans Slechts enkele dagen na het verschijnen van het MyDoom-virus is een net zo gevaarlijke variant opgedoken, MyDoom.b. Dit virus doet in grote lijnen hetzelfde als MyDoom.a. Het grote verschil is dat de b-variant het heeft gemunt op de website van Microsoft. Volgens de Amerikaanse overheidsdienst CERT verspreidt deze MyDoom-variant zich razendsnel.

Qua opbouw lijkt MyDoom.b niet veel te verschillen van de eerste MyDoom-worm (ook bekend onder de naam ?Novarg?). De b-variant arriveert in een mail die van een bekende afkomstig kan zijn, met wisselende onderwerpen en inhoud.

MyDoom.b waart op het Kazaa -netwerk rond onder verschillende namen. Het CERT noemt onder andere attackXP-1.26, BlackIce_Firewall_Enterpriseactivation_crack, MS04-01_hotfix, NessusScan_pro, icq2004-final, winamp5, xsharez_scanner en zapSetup_40_148.

Wellicht het belangrijkste verschil tussen de a- en b-variant is dat de laatste een Denial-of-Service-aanval uitvoert op de site Microsoft.com, terwijl MyDoom.a zijn pijlen richt op softwarebedrijf SCO. Het is mogelijk dat een met MyDoom.b besmette pc ook SCO.com zal bombarderen. Volgens het Roemeense antivirusbedrijf BitDefender zal het nieuwe virus wellicht een dubbele DoS-aanval uitvoeren.

Het nieuwe virus blokkeert de toegang tot de sites van antivirus- en softwarefirma's. Zo wordt het moeilijker om oplossingen te vinden die het virus van je pc verwijderen. Onder meer de sites van F-Secure, Kasperksky, McAfee, Microsoft, Sophos en Trend Micro worden door een aanpassing van de hostfile onbereikbaar, rapporteert AVERT van Network Associates.

MyDoom.b kopieert zich als explorer.exe en dtfmon.dll naar de System-folder van Windows. Het Trojaans paard-gedeelte van het virus opent dezelfde poorten als MyDoom.a maar opent daarnaast poort 10.080. Wellicht heeft de auteur dit element toegevoegd om beveiligingsmaatregelen te omzeilen. Beheerders en sommige providers hebben immers de poorten die door MyDoom.a werden geopend, preventief geblokkeerd. Dit houdt de verspreiding van het virus niet tegen, maar zorgt er wel voor dat het achterdeurcomponent niet kan worden uitgebuit.

Voorlopig zijn er geen cijfers over de verspreiding van de MyDoom-variant bekend BitDefender-onderzoeker Mihai Neagu vreest het ergste: "Het heeft er alle schijn van, gezien de snelheid waarmee de eerste variant zich verspreidde, dat vele gebruikers onbewust een nieuwe grote uitbarsting zullen veroorzaken." Lees meer artikels over : virus, mydoom, novarg

bron: ZDNet