Motori di ricerca paralizzati da MyDoom, vediamo perchè

Lunedì scorso una nuova variante del worm MyDoom ha iniziato ad infettare decine di migliaia di computer, compromettendo le performance dei principali motori di ricerca, Google, Yahoo, Altavista e Lycos.

La precedente versione del worm, apparso per la prima volta a Gennaio, eseguiva ricerche di indirizzi e-mail sulla macchina infetta per poi autopropagarsi, sotto forma di attachment, tramite il proprio sistema SMTP.
Ma questa variante sembra essere molto più pericolosa, perché continua le ricerche di possibili indirizzi e-mail mediante query ai principali Internet search engines, realizzando così una sorta di attacco DDoS (Distributed Denial-of-Service).

Nelle macchine infette il worm si insedia come "JAVA.EXE" e come "SERVICES.EXE" nella directory principale di Windows ed aggiunge i valori "Services" = "%Windir%\services.exe" e
"JavaVM" = "%Windir%\java.exe" alla chiave di registro "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run", in modo da poter essere eseguito allo startup del sistema.
Inoltre vengono aggiunte altre due chiavi di registro, "HKEY_LOCAL_MACHINE\Software\Daemon" e
"HKEY_CURRENT_USER\Software\Daemon" che consentono di aprire la backdoor Zincite-A sulla porta TCP 1034.

Il worm, conosciuto come W32/Mydoom.o@MM [McAfee], W32/MyDoom-O [Sophos], WORM_MYDOOM.M [Trend], Win32.Mydoom.O [Computer Associates] e W32.Mydoom.M@mm [Symantec], è tuttora sotto stretta osservazione ed è stato classificato a rischio medio-alto da McAfee ed elevato a livello 4 (il massimo è il livello 5) da Symantec.

I principali laboratori di sicurezza consigliano di visitare i loro siti Internet e di seguire le indicazioni proposte per la ricerca e l'eventuale rimozione del virus dai propri sistemi.

News tratta da Programmazione.it