W32.Netsky.D@mm est un ver d’envoi en masse de courrier électronique, il s'agit d'une variante de W32.Netsky.C@mm. Le ver analyse les disques C à Z à la recherche d'adresses électroniques, puis s'expédie aux adresses trouvées.

L'objet, le corps du message et la pièce jointe varient.
 

Antivirus Gratuit en Ligne : K-OTik Antivirus

Lorsque W32.Netsky.D@mm s'exécute, il réalise les opérations suivantes :

Il crée un mutex appelé "[SkyNet.cz]SystemsMutex". Ce mutex ne permet que l'exécution d'une seule instance du ver.
 Il se copie comme %Windir%\winlogon.exe.

 

---

Remarque : %Windir% est une variable. Le ver détermine l'emplacement du dossier d'installation de Windows (C:\Windows ou C:\Winnt par défaut) et se copie à cet emplacement.

---

Il ajoute la valeur :

"ICQ Net" = "%Windir%\winlogon.exe -stealth"

à la clé de registre :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

de façon à ce que le ver s'exécute lorsque vous démarrez Windows.
 Il supprime les valeurs :
 

TaskmonExplorerWindows Services HostKasperskyAV

des clés de registre :
 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Remarques :

Ces valeurs de clés de registre sont habituellement associées aux versW32.Mydoom.A@mmet W32.Mydoom.B@mm. Il se peut que le verW32.Mimail.T@mmajoute la valeur de clé de registre "KasperskyAV."
 

System.msgsvr32DELETE MEserviceSentry

de la clé de registre :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 

d3dupdate.exeau.exeOLE

de la clé de registre :

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 

HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\PINFHKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WksPatch

 

---

Remarque : Les vers

W32.Mydoom.A@mmet W32.Mydoom.B@mmajoutent une valeur à cette clé, de façon à ce qu'explorer.exe télécharge leurs composants de porte dérobée.

.dhtm.cgi.shtm.msg.oft.sht.dbx.tbb.adb.doc.wab.asp.uin.rtf.vbs.html.htm.pl.php.txt.eml
 

145.253.2.171151.189.13.35193.141.40.42193.189.244.205193.193.144.12193.193.158.10194.25.2.129194.25.2.129194.25.2.130194.25.2.131194.25.2.132194.25.2.133194.25.2.134195.185.185.195195.20.224.234212.185.252.136212.185.252.73212.185.253.70212.44.160.8212.7.128.162212.7.128.165213.191.74.19217.5.97.13762.155.255.16
 

Re: Your websiteRe: Your productRe: Your letterRe: Your archiveRe: Your textRe: Your billRe: Your detailsRe: My detailsRe: Word fileRe: Excel fileRe: DetailsRe: ApprovedRe: Your softwareRe: Your musicRe: HereRe: Re: Re: Your documentRe: HelloRe: HiRe: Re: MessageRe: Your pictureRe: Here is the documentRe: Your documentRe: Thanks!Re: Re: Thanks!Re: Re: DocumentRe: Document

Corps du message : (L'un des suivants)
 Your file is attached.Please read the attached file.Please have a look at the attached file.See the attached file for details.Here is the file.Your document is attached.

Pièce jointe : (L'une des suivantes)your_website.pifyour_product.pifyour_letter.pifyour_archive.pifyour_text.pifyour_bill.pifyour_details.pifdocument_word.pifdocument_excel.pifmy_details.pifall_document.pifapplication.pifmp3music.pifyours.pifdocument_4351.pifyour_file.pifmessage_details.pifyour_picture.pifdocument_full.pifmessage_part2.pifdocument.pifyour_document.pif
 

skynetmessagelabsabusefbiortonf-proasperskycafeeormanitdefenderf-securavpspamymantecantiviicrosoft

Source :