Doomjuice nutzt MyDoom-Backdoor für neue MS-Attacke

Gestern Montag wurde ein weiterer MyDoom-Nachfolger entdeckt. Doomjuice nutzt die von den beiden MyDoom-Würmern geöffneten Hintertüren, um sich darüber selbsttätig zu verbreiten. Doomjuice hat es, im Gegensatz zum Vorgänger MyDoom.B, der neben der Site von Microsoft auch die von SCO angriff, nur noch auf Redmond abgesehen. Die Site soll bereits seit dem 8. Februar 2004 von einer DDoS-Attacke betroffen sein, die bisher jedoch offenbar erfolglos verläuft. Zur Verbreitung generiert Doomjuice zufällige IP-Adressen und versucht über den durch den MyDoom-Wurm geöffneten TCP-Port 3127 auf andere Rechner zu gelangen. Nach der Ausführung legt der Wurm neben den üblichen Registry-Einträgen, die ein Laden bei Neustart ermöglichen, auch eine Datei namens sync-src-1.00.tbz in das Windows-, Temp- und Profile-Verzeichnis des Anwenders ab. Dieses tar-Archiv enthält den Quellcode von MyDoom.A. Einige Antiviren-Hersteller haben ihre Virensignaturen bereits aktualisiert. Microsoft hat sein Removal-Tool zur Entfernung von MyDoom.A und MyDoom.B erweitert, auch Doomjuice wird erkannt und vernichtet.