Worm-Backdoor.W32/Bagle.AT@P2P+MM
Alias:
WORM_BAGLE.AT (Trend Micro), Bagle.AT (F-Secure), W32/Bagle-AU
(Sophos), I-Worm.Bagle.at (Kaspersky (viruslist.com)),
Win32/Bagle.AS (Enciclopedia Virus), W32/Bagle.bb@mm (McAfee),
Win32.Bagle.AQ (Computer Associates), W32/Bagle.AQ@mm (Norman),
W32.Beagle.AV@mm (Symantec), W32/Bagle.BC.worm (Panda Software),
Worm.Bagle.AT (ClamAV), Worm.Bagle.Gen-1 (ClamAV)
Descripción:
Instalación y Técnica de Autoarranque
Cuando Worm.W32/Bagle.AT@P2P+MM es ejecutado, deposita las
siguientes copias de sí mismo en el directorio de Sistema de
Windows:
- WINGO.EXE
- WINGO.EXEOPEN
- WINGO.EXEOPENOPEN
Para ejecutarse automáticamente cada vez que el sistema es
reiniciado, añade el valor indicado a la siguiente clave del
registro de Windows:
Clave:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Valor: wingo = “%System%\wingo.exe”
Nota: %System% es una
variable que hace referencia al directorio de sistema de Windows.
Por defecto es C:\Windows\System (Windows 95/98/Me),
C:\WINNT\System32 (Windows 2000/NT) y C:\Windows\System32 (Windows
XP).
Propagación por la red
de intercambio de ficheros (P2P)
El gusano busca en las unidades del equipo infectado aquellos
directorios cuyo nombre contenga la cadena shared. Estos son
utilizados por ejemplo Bearshare, KaZaA, Limewire,
Morpheus, etc.
A continuación deja copias de sí mismo en esos directorios,
utilizando alguno de los siguientes nombres:
- ACDSee 9.exe
- Adobe Photoshop 9 full.exe
- Ahead Nero 7.exe
- Kaspersky Antivirus 5.0
- KAV 5.0
- Matrix 3 Revolution English
Subtitles.exe
- Microsoft Office 2003 Crack,
Working!.exe
- Microsoft Office XP working Crack,
Keygen.exe
- Microsoft Windows XP, WinXP Crack,
working Keygen.exe
- Opera 8 New!.exe
- Porno pics arhive, xxx.exe
- Porno Screensaver.scr
- Porno, sex, oral, anal cool,
awesome!!.exe
- Serials.txt.exe
- WinAmp 5 Pro Keygen Crack Update.exe
- WinAmp 6 New!.exe
- Windown Longhorn Beta Leak.exe
- Windows Sourcecode update.doc.exe
- XXX hardcore images.exe
Propagación por correo
electrónico
Bagle.AT utiliza su propio motor SMTP (Simple Mail Transfer
Protocol) para propagarse, lo que le hace independiente del cliente
de correo que se tenga.
Busca direcciones en ficheros ubicados en el sistema que tengan
alguna de las siguientes extensiones:
- ADB
- ASP
- CFG
- CGI
- DBX
- DHTM
- EML
- HTM
- JSP
- MBX
- MDX
- MHT
- MMF
- MSG
- NCH
- ODS
- OFT
- PHP
- PL
- SHT
- SHTM
- STM
- TBB
- TXT
- UIN
- WAB
- WSH
- XLS
- XML
Evita enviar el mensaje a direcciones que contengan cualquiera de
las siguientes cadenas:
- avp.
- hotmail
- iana
- messagelab
- microsoft
- buse
- dmin
- nyone@
- ugs@
- afee
- ertific
- ontract@
- este
- ree-av
- -secur
- old-certs@
- oogle
- elp@
- crosoft
- nfo@
- inux
- istserv
- ocal
- obody@
- oone@
- oreply
- tivi
- anda
- ostmaster@
- ating@
- oot@
- amples
- opho
- upport
- pdate
- inrar
- inzip
A continuación consulta los registros MX del dominio de las
direcciones electrónicas capturadas para determinar el servidor
SMTP a utilizar.
El correo electrónico podría tener las siguientes características:
Remitente: - falsificado -
Asunto: alguno de los
siguientes:
- Re Hello
- Re Hi
- Re Thank you!
- Re Thanks :)
Cuerpo del mensaje: Uno de los
siguientes:
Fichero Anexo: alguno de los
siguientes:
- PRICE.CPL
- PRICE.COM
- PRICE.EXE
- PRICE.SCR
- JOKE.CPL
- JOKE.COM
- JOKE.EXE
Finalización de
Procesos
El gusano finaliza la ejecución de los siguiente programas
antivirus y de seguridad informática:
- ALOGSERV.EXE
- APVXDWIN.EXE
- ATUPDATER.EXE
- ATUPDATER.EXE
- AUPDATE.EXE
- AUTODOWN.EXE
- AUTOTRACE.EXE
- AUTOUPDATE.EXE
- AVCONSOL.EXE
- AVENGINE.EXE
- AVPUPD.EXE
- AVSYNMGR.EXE
- AVWUPD32.EXE
- AVXQUAR.EXE
- AVXQUAR.EXE
- BAWINDO.EXE (nombre utilizado po Bagle.AR.)
- BLACKD.EXE
- CCAPP.EXE
- CCEVTMGR.EXE
- CCPROXY.EXE
- CCPXYSVC.EXE
- CFIAUDIT.EXE
- DEFWATCH.EXE
- DRWEBUPW.EXE
- ESCANH95.EXE
- ESCANHNT.EXE
- FIREWALL.EXE
- FRAMEWORKSERVICE.EXE
- ICSSUPPNT.EXE
- ICSUPP95.EXE
- LUALL.EXE
- LUCOMS~1.EXE
- MCAGENT.EXE
- MCSHIELD.EXE
- MCUPDATE.EXE
- MCVSESCN.EXE
- MCVSRTE.EXE
- MCVSSHLD.EXE
- NAVAPSVC.EXE
- NAVAPSVC.EXE
- NAVAPSVC.EXE
- NAVAPW32.EXE
- NISUM.EXE
- NOPDB.EXE
- NPROTECT.EXE
- NPROTECT.EXE
- NUPGRADE.EXE
- NUPGRADE.EXE
- OUTPOST.EXE
- PAVFIRES.EXE
- PAVPROXY.EXE
- PAVSRV50.EXE
- RTVSCAN.EXE
- RULAUNCH.EXE
- SAVSCAN.EXE
- SHSTAT.EXE
- SNDSRVC.EXE
- SYMLCSVC.EXE
- UPDATE.EXE
- UPDATERUI.EXE
- VSHWIN32.EXE
- VSSTAT.EXE
- VSTSKMGR.EXE
Efectos
Bagle.AT intenta descargar un fichero llamado g.jpg de los
siguientes sitios web:
- http://www.24-7-transportation.com
- http://www.adhdtests.com
- http://www.aegee.org
- http://www.aimcenter.net
- http://www.alupass.lu
- http://www.amanit.ru
- http://www.andara.com
- http://www.angelartsanctuary.com
- http://www.anthonyflanagan.com
- http://www.approved1stmortgage.com
- http://www.argontech.net
- http://www.asianfestival.nl
- http://www.atlantisteste.hpg.com.br
- http://www.aviation-center.de
- http://www.bbsh.org
- http://www.bga-gsm.ru
- http://www.boneheadmusic.com
- http://www.bottombouncer.com
- http://www.bradster.com
- http://www.buddyboymusic.com
- http://www.bueroservice-it.de
- http://www.calderwoodinn.com
- http://www.capri-frames.de
- http://www.celula.com.mx
- http://www.ceskyhosting.cz
- http://www.chinasenfa.com
- http://www.cntv.info
- http://www.compsolutionstore.com
- http://www.coolfreepages.com
- http://www.corpsite.com
- http://www.couponcapital.net
- http://www.cpc.adv.br
- http://www.crystalrose.ca
- http://www.cscliberec.cz
- http://www.curtmarsh.com
- http://www.customloyal.com
- http://www.DarrkSydebaby.com
- http://www.deadrobot.com
- http://www.dontbeaweekendparent.com
- http://www.dragcar.com
- http://www.ecofotos.com.br
- http://www.elenalazar.com
- http://www.ellarouge.com.au
- http://www.esperanzaparalafamilia.com
- http://www.eurostavba.sk
- http://www.everett.wednet.edu
- http://www.fcpages.com
- http://www.featech.com
- http://www.fepese.ufsc.br
- http://www.firstnightoceancounty.org
- http://www.flashcorp.com
- http://www.fleigutaetscher.ch
- http://www.fludir.is
- http://www.freeservers.com
- http://www.FritoPie.NET
- http://www.gamp.pl
- http://www.gci-bln.de
- http://www.gcnet.ru
- http://www.generationnow.net
- http://www.gfn.org
- http://www.giantrevenue.com
- http://www.glass.la
- http://www.handsforhealth.com
- http://www.hartacorporation.com
- http://www.himpsi.org
- http://www.idb-group.net
- http://www.immonaut.sk
- http://www.ims-i.com
- http://www.innnewport.com
- http://www.irakli.org
- http://www.irinaswelt.de
- http://www.jansenboiler.com
- http://www.jasnet.pl
- http://www.jhaforpresident.7p.com
- http://www.jimvann.com
- http://www.jldr.ca
- http://www.justrepublicans.com
- http://www.kencorbett.com
- http://www.knicks.nl
- http://www.kps4parents.com
- http://www.kps4parents.com
- http://www.kradtraining.de
- http://www.kranenberg.de
- http://www.kranenberg.de
- http://www.lasermach.com
- http://www.leonhendrix.com
- http://www.magicbottle.com.tw
- http://www.mass-i.kiev.ua
- http://www.mepbisu.de
- http://www.mepmh.de
- http://www.metal.pl
- http://www.mexis.com
- http://www.mongolische-renner.de
- http://www.mtfdesign.com
- http://www.oboe-online.com
- http://www.ohiolimo.com
- http://www.onepositiveplace.org
- http://www.oohlala-kirkland.com
- http://www.orari.net
- http://www.pankration.com
- http://www.pe-sh.com
- http://www.pfadfinder-leobersdorf.com
- http://www.pipni.cz
- http://www.polizeimotorrad.de
- http://www.programmierung2000.de
- http://www.pyrlandia-boogie.pl
- http://www.raecoinc.com
- http://www.realgps.com
- http://www.redlightpictures.com
- http://www.reliance-yachts.com
- http://www.relocationflorida.com
- http://www.rentalstation.com
- http://www.rieraquadros.com.br
- http://www.scanex-medical.fi
- http://www.sea.bz.it
- http://www.selu.edu
- http://www.sigi.lu
- http://www.sljinc.com
- http://www.sljinc.com
- http://www.smacgreetings.com
- http://www.soloconsulting.com
- http://www.spadochron.pl
- http://www.srg-neuburg.de
- http://www.ssmifc.ca
- http://www.sugardas.lt
- http://www.sunassetholdings.com
- http://www.szantomierz.art.pl
- http://www.the-fabulous-lions.de
- http://www.tivogoddess.com
- http://www.tkd2xcell.com
- http://www.topko.sk
- http://www.transportation.gov.bh
- http://www.travelchronic.de
- http://www.traverse.com
- http://www.uhcc.com
- http://www.ulpiano.org
- http://www.uslungiarue.it
- http://www.vandermost.de
- http://www.vbw.info
- http://www.velezcourtesymanagement.com
- http://www.velocityprint.com
- http://www.vikingpc.pl
- http://www.vinirforge.com
- http://www.wecompete.com
- http://www.worest.com.ar
- http://www.woundedshepherds.com
- http://www.wwwebad.com
- http://www.wwwebmaster.com
Represalia contra Netsky
El gusano elimina varias entradas del registro de Windows asociados
con Netsky y sus variantes:
- 9XHtProtect
- Antivirus
- EasyAV
- FirewallSvr
- HtProtect
- ICQ Net
- ICQNet
- Jammer2nd
- KasperskyAVEng
- MsInfo
- My AV
- NetDy
- Norton Antivirus AV
- PandaAVEngine
- service
- SkynetsRevenge
- Special Firewall Service
- SysMonXP
- Tiny AV
- Zone Labs Client Ex
Támbién crea los siguientes mutex para evitar que Netsky y
sus variantes se puedan ejecutar en el equipo infectado:
- MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
- 'D'r'o'p'p'e'd'S'k'y'N'e't'
- _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
- [SkyNet.cz]SystemsMutex
- AdmSkynetJklS003
- ____--->>>>U<<<<--____
- _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
Nota: Un mutex es un objeto
utilizado para controlar el acceso a recursos (cualquier tipo de
programas y aplicaciones, etc.) y evitar que más de un proceso
acceda al mismo tiempo al mismo recurso. Esto previene la múltiple
carga del gusano en memoria.
Solución:
- Si utiliza Windows Me o XP, y sabe cuándo se produjo la
infección, puede usar la característica de Restauración
del Sistema para eliminar el virus volviendo a un punto de
restauración anterior a la infección. (Tenga en cuenta que se
desharán los cambios de configuración de Windows y se eliminarán
todos los archivos ejecutables que haya creado o descargado
desde la fecha del punto de restauración)
Si esto no es posible o no funciona es recomendable
desactivar temporalmente la Restauración del Sistema antes de
eliminar el virus por otros medios, ya que podría haberse
creado una copia de seguridad del virus. Si necesita ayuda vea desactivar
la Restauración del Sistema en Windows Me y desactivar
la Restauración del Sistema en Windows XP.
- Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de
Antivirus Gratuitos.
En esta variante de Bagle los ficheros que debe borrar son:
- wingo.exe
- wingo.exeopen
- wingo.exeopenopen
en la carpeta de sistema de Windows (por defecto
C:\WINDOWS\System32 en WindowsXP)
Si no se pueden borrar los ficheros, puede ser debido a que el
fichero está en uso por estar el virus en ejecución (residente
en memoria).
- En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
o bien:
Reinicie Windows en modo seguro, Para ello presione F8
repetidamente durante el arranque del PC hasta que aparezca el
menú de inicio de Windows, donde hay que elejir la opción
"Modo Seguro" o "Modo a prueba de fallos",
según la versión de Windows.
- A continuación hay que editar el registro para deshacer los
cambios realizados por el virus. Si necesita información sobre
cómo editar el registro puede ver esta guía
de edición del registro o este vídeo
de ayuda que ilustra el proceso. Sea
extremadamente cuidadoso al manipular el registro. Si modifica
ciertas claves de manera incorrecta puede dejar el sistema
inutilizable.
Para evitar que sea ejecutado automáticamente cada vez que
el sistema es reiniciado, elimine de la siguiente clave del
registro de Windows, el valor indicado:
Clave: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Valor: wingo =
“%System%\wingo.exe”
- Reincie su ordenador y explore todo el disco duro con un
antivirus para asegurarse de la eliminación del virus. Si
desactivó la restauración del sistema, recuerde volver a
activarla.
Más Información sobre este virus en:
Fuente: red.es |
