Worm-Backdoor.W32/Beagle.DN@P2P+MM

Alias:
W32.Beagle.DN@mm (Symantec), WORM_BAGLE.EF (Trend Micro), W32/Bagle.dq@MM (McAfee), W32/Bagle-CF (Sophos), Email-Worm.Win32.Bagle.fk (Kaspersky (viruslist.com)), WORM_BAGLE.CL (Trend Micro)

Descripción:

Gusano que se propaga a través del envío masivo de correo electrónico a direcciones recopiladas del sistema afectado.

Además, se replica en los directorios de intercambio de ficheros de varias aplicaciones P2P, propándose también por esta vía.

Abre una puerta trasera a través del puerto TCP 6777 y espera de recibir comandos procedentes de un atacante remoto.

Reduce el nivel de protección del sistema al deshabilitar varias aplicaciones de seguridad, entre ellas, algún antivirus.

Puede conectarse a determinados sitios web para descargarse actualizaciones de sí mismo.

Detalles:

1. Crea los siguientes ficheros:
   • %System%\windspl.exe
   • %System%\windspl.exeopen
   • %System%\windspl.exeopenopen
   • %Windir%\regisp32.exe
   
   Notas:
   • %System% es una variable que hace referencia al directorio del sistema de Windows.
     Por defecto es C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).
   • %Windir% es una variable que hace referencia al directorio de instalación de Windows.
     Por defecto es C:\Windows (Windows 95/98/Me/XP) o C:\Winnt (Windows NT/2000).
   
   
2. El gusano crea los siguientes mutex para no ejecutarse más de una vez en memoria.
   • "MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D"
   • "smtp_bagla_1000"
   
   Nota: Un mutex es un objeto utilizado para controlar el acceso a recursos (cualquier tipo de programas y aplicaciones, etc.) y evitar que más de un proceso acceda al mismo tiempo al mismo recurso. Esto previene la múltiple carga del gusano en memoria.
   
   
3. Para ejecutarse automáticamente cada vez que el sistema es reiniciado, añade el valor indicado a la siguiente clave del registro de Windows:

   Clave: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   Valor: "DsplObjects" = "%System%\windspl.exe"

4. Abre una puerta trasera a través del puerto TCP 6777 y permanece en espera de recibir comandos procedentes de un atacante remoto.
   
   
5. Para deshabilitar varias aplicaciones de seguridad, intenta eliminar los valores indicados de las siguientes claves del registro de Windows:

   Claves: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
           HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   Valores: "My AV"
            "Zone Labs Client Ex"
            "9XHtProtect"
            "Antivirus"
            "Special Firewall Service"
            "service"
            "Tiny AV"
            "ICQNet"
            "HtProtect"
            "NetDy"
            "Jammer2nd"
            "FirewallSvr"
            "MsInfo"
            "SysMonXP"
            "EasyAV"
            "PandaAVEngine"
            "Norton Antivirus AV"
            "KasperskyAVEng"
            "SkynetsRevenge"
            "ICQ Net"

6. Worm-Backdoor.W32/Beagle.DN@MM recopila direcciones de correo electrónico incluidas en ficheros del equipo afectado que tengan alguna de las siguientes extensiones:
   • .wab
   • .txt
   • .msg
   • .htm
   • .shtm
   • .stm
   • .xml
   • .dbx
   • .mbx
   • .mdx
   • .eml
   • .nch
   • .mmf
   • .ods
   • .cfg
   • .asp
   • .php
   • .pl
   • .wsh
   • .adb
   • .tbb
   • .sht
   • .xls
   • .oft
   • .uin
   • .cgi
   • .mht
   • .dhtm
   • .jsp
   
   
7. Para el envío de los mensaje que contienen copias del gusano como fichero anexo, utiliza su propio motor SMTP (Simple Mail Transfer Protocol), lo que le permite el envío independientemente del cliente de correo instalado en el sistema.
   
   Los correos enviados tienen las siguientes características:
   
   Remitente: - falsificado -
   
   Asunto: - alguno de los siguientes -
   • Gwd: Msg reply
   • Gwd: Hello :-)
   • Gwd: Yahoo!!!
   • Gwd: Thank you!
   • Gwd: Thanks :)
   • Gwd: Text message
   • Gwd: Document
   • Gwd: Incoming message
   • Gwd: Incoming Message
   • Gwd: Incoming Msg
   • Gwd: Message Notify
   • Gwd: Notification
   • Gwd: Changes..
   • Gwd: Update
   • Gwd: Fax Message
   • Gwd: Protected message
   • Gwd: Protected message
   • Gwd: Forum notify
   • Gwd: Site changes
   • Gwd: Hi
   • Gwd: crypted document
   
   Cuerpo del mensaje: - alguno de los siguientes -
   • Ok. Read the attach.
   • Ok. Your file is attached.
   • Ok. More info is in attach
   • Ok. See attach.
   • Ok. Please, have a look at the attached file.
   • Ok. Your document is attached.
   • Ok. Please, read the document.
   • Ok. Attach tells everything.
   • Ok. Attached file tells everything.
   • Ok. Check attached file for details.
   • Ok. Check attached file.
   • Ok. Pay attention at the attach.
   • Ok. See the attached file for details.
   • Ok. Message is in attach
   • Ok. Here is the file.
   
   Fichero Anexo: [- nombre -][- aleatorio -].[EXT1].[ETX2] donde:
   • [- nombre -] es uno de los siguientes:
     • www.cumonherface
     • Details
     • XXX_livebabes
     • XXX_PornoUpdates
     • xxxporno
     • fuck_her
     • Info
     • Common
     • MoreInfo
     • Message
     
     
   • [- aleatorio -] consiste en una cadena de entre 0 y 5 caracteres aleatorios.
     
     
   • [EXT1] es una de las siguientes:
     • ini
     • cfg
     • txt
     • vxd
     • def
     • dll
     
     
   • [EXT2] es una de las siguientes:
     • exe
     • com
     • scr
   Nota: El gusano añade datos aleatorios al final del fichero anexo, lo que produce una variación en el tamaño del fichero.
   
   
8. El gusano evita enviarse a direcciones de correoque contengan alguna de las siguientes cadenas de texto:
   • @hotmail
   • @msn
   • @microsoft
   • rating@
   • f-secur
   • news
   • update
   • anyone@
   • bugs@
   • contract@
   • feste
   • gold-certs@
   • help@
   • info@
   • nobody@
   • noone@
   • kasp
   • admin
   • icrosoft
   • support
   • ntivi
   • unix
   • bsd
   • linux
   • listserv
   • certific
   • sopho
   • @foo
   • @iana
   • free-av
   • @messagelab
   • winzip
   • google
   • winrar
   • samples
   • abuse
   • panda
   • cafee
   • spam
   • pgp
   • @avp.
   • noreply
   • local
   • root@
   • postmaster@
   
   
9. Intenta copiarse a sí mismo en todos los directorios cuyo nombre contenga la cadena de texto 'SHAR', utilizada por algunas aplicaciones P2P como directorios de intercambio de ficheros.
   Los nombres que utiliza el gusano para copiarse son los siguientes:
   • ACDSee 9.exe
   • Adobe Photoshop 9 full.exe
   • Ahead Nero 7.exe
   • Kaspersky Antivirus 5.0
   • KAV 5.0
   • Matrix 3 Revolution English Subtitles.exe
   • Microsoft Office 2003 Crack, Working!.exe
   • Microsoft Office XP working Crack, Keygen.exe
   • Microsoft Windows XP, WinXP Crack, working Keygen.exe
   • Opera 8 New!.exe
   • Porno pics arhive, xxx.exe
   • Porno Screensaver.scr
   • Porno, sex, oral, anal cool, awesome!!.exe
   • Serials.txt.exe
   • WinAmp 5 Pro Keygen Crack Update.exe
   • WinAmp 6 New!.exe
   • Windown Longhorn Beta Leak.exe
   • Windows Sourcecode update.doc.exe
   • XXX hardcore images.exe
   
   
10. Intenta descargarse y actualizarse con copias de sí mismo traidas desde las siguientesw URLs:
    • http://debut.zoo.com/[- eliminado -]
    • http://dook.zoo.by/[- eliminado -]
    • http://ijj.t235.com/[- eliminado -]
    • http://ijj.t35.com/[- eliminado -]
    • http://myphotokool.t235.com/[- eliminado -]
    • http://noshit.fateback.com/[- eliminado -]

Solución:

1. Si utiliza Windows Me o XP, y sabe cuándo se produjo la infección, puede usar la característica de Restauración del Sistema para eliminar el virus volviendo a un punto de restauración anterior a la infección. (Tenga en cuenta que se desharán los cambios de configuración de Windows y se eliminarán todos los archivos ejecutables que haya creado o descargado desde la fecha del punto de restauración)

   Si esto no es posible o no funciona es recomendable desactivar temporalmente la Restauración del Sistema antes de eliminar el virus por otros medios, ya que podría haberse creado una copia de seguridad del virus. Si necesita ayuda vea desactivar la Restauración del Sistema en Windows Me y desactivar la Restauración del Sistema en Windows XP.
   
   

2. Con un antivirus actualizado, localice todas las copias del virus en el disco duro de su PC. Si no dispone de antivirus, visite nuestra página de Antivirus Gratuitos. Repare o borre el fichero infectado.

   Si el antivirus no puede reparar la infección o borrar los ficheros, puede ser debido a que el fichero está en uso por estar el virus en ejecución (residente en memoria).
   
   Nota: A Menudo los antivirus informan de que 'no puede reparar un fichero' en el caso de gusanos o troyanos debido a que no hay nada que reparar, simplemente hay que borrar el fichero.
   
   

3. En el caso de que no se pueda eliminar el fichero del virus, debe terminar manualmente el proceso en ejecución del virus. Abra el Administrador de tareas (presione Control+Mayúsculas+Esc). En Windows 98/Me seleccione el nombre del proceso y deténgalo. En Windows 2000/XP, en la pestaña 'Procesos' haga clic derecho en el proceso y seleccione 'Terminar Proceso'. A continuación vuelva a intentar el borrado o reparación del fichero.
   
   
4. A continuación hay que editar el registro para deshacer los cambios realizados por el virus. Si necesita información sobre cómo editar el registro puede ver esta guía de edición del registro o este vídeo de ayuda que ilustra el proceso. Sea extremadamente cuidadoso al manipular el registro. Si modifica ciertas claves de manera incorrecta puede dejar el sistema inutilizable.

   Para evitar que el gusano sea ejecutado automáticamente cada vez que el sistema es reiniciado, elimine de la siguiente clave del registro de Windows, el valor indicado:

   Clave: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   Valor: "DsplObjects" = "%System%\windspl.exe"
   
   

5. Alerta-Antivirus.es Detalles del virus Beagle.DNReinicie su ordenador y explore todo el disco duro con un antivirus para asegurarse de la eliminación del virus. Si desactivó la restauración del sistema, recuerde volver a activarla.

Más Información sobre este virus en:

• Trend Micro
• Symantec

Fuente: red.es