Worm-Backdoor.W32/Beagle.AQ@MM
Alias:
W32.Beagle.AO@mm (Symantec), W32/Bagle.AM.worm (Panda Software),
W32/Bagle.aq@MM (McAfee), WORM_BAGLE.AC (Trend Micro),
W32/Bagle.AQ@mm (PerAntivirus), Win32/Bagle.AI (Enciclopedia Virus
(Ontinent)), Win32.Bagle.AG (Computer Associates), Win32/Bagle.AI
(ESET (NOD32)), I-Worm.Bagle.al (AVP), W32/Bagle-AQ (Sophos),
I-Worm.Bagle.al (Kaspersky (viruslist.com)), HTML_BAGLE.AC (Trend
Micro), TROJ_BAGLE.AC (Trend Micro), Bagle.AL (F-Secure),
W32/Bagle.AI@mm (Norman), Win32.Bagle.ac (E-safe Aladdin),
Win32/Bagle.AI (ESET (NOD32)), W32/Bagle.aq (Sybari)
Descripción:
Gusano cuya propagación se realiza a traves del envío de correo
electrónico a direcciones encontradas en el equipo infectado, o
mediante redes de intercambio de ficheros (P2P).
Detiene la ejecución de varios procesos, muchos de ellos relativos
a aplicaciones de seguridad informática.
Abre una puerta trasera en el sistema atacado que puede ser
utilizada por el autor del gusano, por ejemplo, para convertir el
equipo en un emisor de correo.
Detalles:
Cuando Worm.W32.Beagle.AQ@MM es ejecutado, realiza las
siguientes acciones:
- Se copia a sí mismo como %System%\WINdirect.exe.
Nota: %System% es
variable. El troyano localiza el directorio System y se
replica en esa ubicación. Por defecto es C:\Windows\System (Windows
95/98/Me), C:\Winnt\System32 (Windows NT/2000), o
C:\Windows\System32 (Windows XP).
- Para ejecutarse automáticamente cada vez que el sistema es
reiniciado, añade el valor indicado a las siguientes claves del
registro de Windows:
Claves:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Valor: "win_upd.exe"="%System%\WINdirect.exe"
- Crea el fichero %System%\_dll.exe.
- Introduce este fichero como una tarea a ejecutar dentro un
proceso de nombre "Shell_TrayWnd.".
Si realiza esta acción con éxito, el fichero continua
ejecutandose en el proceso infectado.
Todas las acciones descritas a continuación pareceran
realizadas por el proceso que sirve de anfitrión al gusano, y
este no aparecerá en el listado de procesos activos del Administrador
de Tareas.
- Finaliza la ejecución de los siguientes procesos:
- ATUPDATER.EXE
- ATUPDATER.EXE
- AUPDATE.EXE
- AUTODOWN.EXE
- AUTOTRACE.EXE
- AUTOUPDATE.EXE
- AVPUPD.EXE
- AVWUPD32.EXE
- AVXQUAR.EXE
- AVXQUAR.EXE
- CFIAUDIT.EXE
- DRWEBUPW.EXE
- ESCANH95.EXE
- ESCANHNT.EXE
- FIREWALL.EXE
- ICSSUPPNT.EXE
- ICSUPP95.EXE
- LUALL.EXE
- MCUPDATE.EXE
- NUPGRADE.EXE
- NUPGRADE.EXE
- OUTPOST.EXE
- UPDATE.EXE
- sys_xp.exe
- sysxp.exe
- winxp.exe
- Intenta descargar ficheros de los siguientes sitios web,
guardarlos con el nombre %Windir%\~.exe y a continuación
ejecutarlos:
- 134.102.228.45
- 196.12.49.27
- 213.188.129.72
- 64.62.172.118
- abi-2004.org
- advm1.gm.fh-koeln.de
- alexey.pioneers.com.ru
- alfinternational.ru
- aus-Zeit.com
- binn.ru
- burn2k.ipupdater.com
- carabi.ru
- catalog.zelnet.ru
- cavalierland.5u.com
- celine.artics.ru
- change.east.ru
- colleen.ai.net
- controltechniques.ru
- dev.tikls.net
- diablo.homelinux.com
- dodgetheatre.com
- dozenten.f1.fhtw-berlin.de
- emnesty.w.interia.pl
- emnezz.e-mania.pl
- euroviolence.com
- evadia.ru
- fairy.dataforce.net
- financial.washingtonpost.com
- free.bestialityhost.com
- gutemine.wu-wien.ac.at
- herzog.cs.uni-magdeburg.de
- home.profootball.ru
- host.businessweek.com
- host.wallstreetcity.com
- host23.ipowerweb.com
- hsr.zhp.org.pl
- infokom.pl
- kafka.punkt.pl
- kooltokyo.ru
- kypexin.ru
- lars-s.privat.t-online.de
- lottery.h11.ru
- matzlinger.com
- megion.ru
- mmag.ru
- molinero-berlin.de
- momentum.ru
- niebo.net
- nominal.kaliningrad.ru
- omegat.ru
- ourcj.com
- packages.debian.or.jp
- pb195.slupsk.sdi.tpnet.pl
- photo.gornet.ru
- pixel.co.il
- pocono.ru
- polobeer.de
- porno-mania.net
- protek.ru
- przeglad-tygodnik.pl
- przeglad-tygodnik.pl
- quotes.barchart.com
- r2626r.de
- rausis.latnet.lv
- relay.great.ru
- republika.pl
- sacred.ru
- sbuilder.ru
- sec.polbox.pl
- shadkhan.ru
- silesianet.pl
- silesianet.pl
- slavarik.ru
- sovea.de
- spbbook.ru
- strony.wp.pl
- szm.sk
- tarkosale.net
- tdi-router.opola.pl
- terramail.pl
- thorpedo.us
- traveldeals.sidestep.com
- ultimate-best-hgh.0my.net
- vip.pnet.pl
- werel1.web-gratis.net
- www.5100.ru
- www.PlayGround.ru
- www.aannemers-nederland.nl
- www.abcdesign.ru
- www.airnav.com
- www.aktor.ru
- www.ankil.ru
- www.antykoncepcja.net
- www.aphel.de
- www.artics.ru
- www.astoria-stuttgart.de
- www.avant.ru
- www.baltmatours.com
- www.baltnet.ru
- www.biratnagarmun.org.np
- www.biysk.ru
- www.boglen.com
- www.bridesinrussia.com
- www.busheron.ru
- www.ccbootcamp.com
- www.chat4adult.com
- www.chelny.ru
- www.ciachoo.pl
- www.dami.com.pl
- www.ddosers.net
- www.dicto.ru
- www.dilver.ru
- www.dsmedia.ru
- www.dynex.ru
- www.elemental.ru
- www.elit-line.ru
- www.epski.gr
- www.forbes.com
- www.free-time.ru
- www.gamma.vyborg.ru
- www.gantke-net.com
- www.gin.ru
- www.glass-master.ru
- www.glavriba.ru
- www.gradinter.ru
- www.hack-gegen-rechts.com
- www.hbz-nrw.de
- www.hgr.de
- www.hgrstrailer.com
- www.ifa-guide.co.uk
- www.iluminati.kicks-ass.net
- www.infognt.com
- www.intellect.lvc
- www.interfoodtd.ru
- www.interrybflot.ru
- www.inversorlatino.com
- www.jewishgen.org
- www.k2kapital.com
- www.kefaloniaresorts.com
- www.lamatec.com
- www.landofcash.net
- www.laserbuild.ru
- www.math.kobe-u.ac.jp
- www.mcschnaeppchen.com
- www.mdmedia.org
- www.met.pl
- www.metacenter.ru
- www.milm.ru
- www.myrtoscorp.com
- www.nefkom.net
- www.neostrada.pl
- www.neprifan.ru
- www.netradar.com
- www.no-abi2003.de
- www.oldtownradio.com
- www.omnicom.ru
- www.oshweb.com
- www.pakwerk.ru
- www.perfectgirls.net
- www.perfectjewel.com
- www.peterstar.ru
- www.pgipearls.com
- www.phg.pl
- www.porsa.ru
- www.porta.de
- www.rafani.cz
- www.rastt.ru
- www.republika.pl
- www.republika.pl
- www.rollenspielzirkel.de
- www.rubikon.pl
- www.rumbgeo.ru
- www.rweb.ru
- www.scli.ru
- www.sdsauto.ru
- www.sensi.com
- www.silesianet.pl
- www.sjgreatdeals.com
- www.sposob.ru
- www.strefa.pl
- www.tanzen-in-sh.de
- www.taom-clan.de
- www.tayles.com
- www.teatr-estrada.ru
- www.teleline.ru
- www.thepositivesideofsports.com
- www.timelessimages.com
- www.tuhart.net
- www.vconsole.net
- www.vendex.ru
- www.virtmemb.com
- www.vivamedia.ru
- www.vrack.net
- www.wapf.com
- www.webpark.pl
- www.webronet.com
- www.webzdarma.cz
- www.yarcity.ru
- www.youbuynow.com
- www.zeiss.ru
- www.zelnet.ru
- www.zhp.gdynia.pl
- wynnsjammer.proboards18.com
- yaguark.h10.ru
Nota: %Windir% es
variable. El gusano localiza el directorio de Instalación de
Windows y guarda los ficheros descargados en esa ubicación. Por
defecto es C:\Windows o C:\Winnt.
Cuando el fichero que ha sido descargado se pone en ejecución,
realiza las siguientes acciones:
- Crea alguno de los siguientes mutex para evitar
ejecutarse más de una vez en memoria.
Como además, estos mutex tienen el mismo nombre que los creados
por algunas versiones de Netsky,
evita que este gusano pueda ejecutarse en el sistema:
- MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
- 'D'r'o'p'p'e'd'S'k'y'N'e't'
- _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
- [SkyNet.cz]SystemsMutex
- AdmSkynetJklS003
- ____--->>>>U<<<<--____
- _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
Nota: Un mutex es un objeto
utilizado para controlar el acceso a recursos (cualquier tipo de
programas y aplicaciones, etc.) y evitar que más de un proceso
acceda al mismo tiempo al mismo recurso. Esto previene la múltiple
carga del gusano en memoria.
- Crea los siguientes ficheros:
- %System%\windll.exe.
- %System%\windll.exeopen, copia del
gusano con datos aleatorios anexados.
- %System%\windll.exeopenopen, copia
del gusano con datos aleatorios anexados.
- %System%\re_file.exe
- Para ejecutarse automáticamente cada vez que el sistema es
reiniciado, añade el valor indicado a la siguiente clave del
registro de Windows:
Clave: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Valor: "erthgdr"="%System%\windll.exe"
- Elimina de las siguientes claves del registro, cualquier valor
que contenga las cadenas de texto indicadas. Muchas son
relativas a programas antivirus o de seguridad informática:
Claves:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Cadenas de texto:
"9XHtProtect"
"Antivirus"
"EasyAV"
"FirewallSvr"
"HtProtect"
"ICQ Net"
"ICQNet"
"Jammer2nd"
"KasperskyAVEng"
"MsInfo"
"My AV"
"NetDy"
"Norton Antivirus AV"
"PandaAVEngine"
"SkynetsRevenge"
"Special Firewall Service"
"SysMonXP"
"Tiny AV"
"Zone Labs Client Ex"
"service"
- Intenta crear copias de sí mismo en cualquier directorio cuyo
nombre contenga la cadena de texto "shar".
Con esto, consigue replicarse en muchos directorios de
intercambio de ficheros de aplicaciones P2P como KaZaA, Bearshare,
Morpheus, etc.
Los nombres de fichero con los que se replica, son los
siguientes:
- Microsoft Office 2003 Crack,
Working!.exe
- Microsoft Windows XP, WinXP Crack,
working Keygen.exe
- Microsoft Office XP working Crack,
Keygen.exe
- Porno, sex, oral, anal cool,
awesome!!.exe
- Porno Screensaver.scr
- Serials.txt.exe
- KAV 5.0
- Kaspersky Antivirus 5.0
- Porno pics arhive, xxx.exe
- Windows Sourcecode update.doc.exe
- Ahead Nero 7.exe
- Windown Longhorn Beta Leak.exe
- Opera 8 New!.exe
- XXX hardcore images.exe
- WinAmp 6 New!.exe
- WinAmp 5 Pro Keygen Crack Update.exe
- Adobe Photoshop 9 full.exe
- Matrix 3 Revolution English
Subtitles.exe
- ACDSee 9.exe
- Busca en el equipo infectado, direcciones de correo electrónico
contenidas en ficheros con alguna de las siguientes extensiones:
- .adb
- .asp
- .cfg
- .cgi
- .dbx
- .dhtm
- .eml
- .htm
- .jsp
- .mbx
- .mdx
- .mht
- .mmf
- .msg
- .nch
- .ods
- .oft
- .php
- .pl
- .sht
- .shtm
- .stm
- .tbb
- .txt
- .uin
- .wab
- .wsh
- .xls
- .xml
- Utiliza su propio motor SMTP (Simple Mail Transfer Protocol)
para enviar un mensaje a todas las direcciones recopiladas
mediante el método anterior.
Las características del mensaje enviado son las siguientes:
Remitente: - falsificado
-
Asunto: - vacío -
Cuerpo del mensaje: New
price
Fichero Anexo: alguno de los
siguientes:
- 08_price.zip
- new__price.zip
- new_price.zip
- newprice.zip
- price.zip
- price2.zip
- price_08.zip
- price_new.zip
Nota: El fichero .zip
contiene un ejecutable con el mismo nombre que el fichero
comprimido y el archivo Price.html.
A su vez, el ejecutable contiene una librería (dll) de
11.776 bytes que descarga de Internet la segunda parte del
gusano. El nuevo fichero descargado contiene el resto de la
funcionalidad del gusano Bagle.AM, y está empaquetado con PeX
modificado.
- Worm.W32.Beagle.AQ@MM evita enviarse a direcciones
electrónicas que contengan alguna de las siguientes cadenas de
texto:
- @avp.
- @foo
- @iana
- @messagelab
- @microsoft
- abuse
- admin
- anyone@
- bsd
- bugs@
- cafee
- certific
- contract@
- feste
- free-av
- f-secur
- gold-certs@
- google
- help@
- icrosoft
- info@
- kasp
- linux
- listserv
- local
- news
- nobody@
- noone@
- noreply
- ntivi
- panda
- pgp
- postmaster@
- rating@
- root@
- samples
- sopho
- spam
- support
- unix
- update
- winrar
- winzip
- Por último, abre una puerta trasera en los puertos TCP 80 y
en un puerto UDP aleatorio a través de los cuales puede
contactar con el autor del gusano.
Esto permite, por ejemplo, que el equipo infectado se utilice
como emisor de correo.
- Crea la siguiente clave en el registro de Windows:
Clave: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n
Solución:
- Si utiliza Windows Me o XP, y sabe cuándo se produjo la
infección, puede usar la característica de Restauración
del Sistema para eliminar el virus volviendo a un punto de
restauración anterior a la infección. (Tenga en cuenta que se
desharán los cambios de configuración de Windows y se eliminarán
todos los archivos ejecutables que haya creado o descargado
desde la fecha del punto de restauración)
Si esto no es posible o no funciona es recomendable
desactivar temporalmente la Restauración del Sistema antes de
eliminar el virus por otros medios, ya que podría haberse
creado una copia de seguridad del virus. Si necesita ayuda vea desactivar
la Restauración del Sistema en Windows Me y desactivar
la Restauración del Sistema en Windows XP.
- Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de
Antivirus Gratuitos. Repare o borre el fichero infectado.
Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
- En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
- A continuación hay que editar el registro para deshacer los
cambios realizados por el virus. Si necesita información sobre
cómo editar el registro puede ver esta guía
de edición del registro o este vídeo
de ayuda que ilustra el proceso. Sea
extremadamente cuidadoso al manipular el registro. Si modifica
ciertas claves de manera incorrecta puede dejar el sistema
inutilizable.
Para evitar que se ejecute automáticamente cada reinicio del
sistema, elimine los valores indicados de las siguientes claves
del registro de Windows:
Claves:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Valor:
"win_upd.exe"="%System%\WINdirect.exe"
Clave: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Valor:
"erthgdr"="%System%\windll.exe"
Del mismo modo, elimine la siguiente subclave del registro:
Clave: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n
- Reincie su ordenador y explore todo el disco duro con un
antivirus para asegurarse de la eliminación del virus. Si
desactivó la restauración del sistema, recuerde volver a
activarla.
Más Información sobre este virus en:
Fuente: red.es |
