Name:Worm/Bagz.D.3
Entdeckt am:22/10/2004
Art:Worm
In freier Wildbahn:Ja
Gemeldete Infektionen:Mittel bis hoch
Verbreitungspotenzial:Mittel
Schadenspotenzial:Niedrig bis mittel
Statische Datei:Nein
Dateigröße:~ 155.000 Bytes
VDF Version:6.28.00.32

 Allgemein Verbreitungsmethode:
   • Email


Aliases:
   •  Symantec: W32.Bagz.E@mm
   •  Mcafee: W32/Bagz.e@MM
   •  Kaspersky: Email-Worm.Win32.Bagz.d
   •  TrendMicro: WORM_BAGZ.D
   •  Sophos: W32/Bagz-D
   •  Grisoft: I-Worm/Bagz.D
   •  VirusBuster: I-Worm.Bagz.G


Betriebsysteme:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Auswirkungen:
   • Blockiert Zugriff auf verschiedene Webseiten
   • Blockiert Zugriff auf Webseiten von Sicherheitsfirmen
   • Erstellt Dateien
   • Erstellt schädliche Dateien
   • Verfügt über eigene Email Engine
   • Änderung an der Registry

 Dateien Kopien seiner selbst werden hier erzeugt:
   • %SYSDIR%\about.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\admin.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\archivator.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\archives.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\ataches.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\docs.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\documentation.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\help.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\inbox.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\manual.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\outbox.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\payment.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\photos.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\rar.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\readme.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\save.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\sysboot.doc%mehrere Leerzeichen%.exe
   • %SYSDIR%\zip.doc%mehrere Leerzeichen%.exe



Es werden folgende Dateien erstellt:

– Es werden folgende Archivdateien mit der Kopie der Malware erstellt:
   • %SYSDIR%\about.zip; %SYSDIR%\admin.zip; %SYSDIR%\archivator.zip;
      %SYSDIR%\archives.zip; %SYSDIR%\ataches.zip; %SYSDIR%\docs.zip;
      %SYSDIR%\documentation.zip; %SYSDIR%\help.zip; %SYSDIR%\inbox.zip;
      %SYSDIR%\manual.zip; %SYSDIR%\outbox.zip; %SYSDIR%\payment.zip;
      %SYSDIR%\photos.zip; %SYSDIR%\rar.zip; %SYSDIR%\readme.zip;
      %SYSDIR%\save.zip; %SYSDIR%\zip.zip

– %SYSDIR%\wdate.dll Diese Datei ist eine nicht virulente Textdatei mit folgendem Inhalt:
   • %aktuelles Datum% %aktuelle Stunde%

– %SYSDIR%\rpc32.exe Des weiteren wird sie ausgeführt nachdem sie vollständig erstellt wurde. Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Bagz.D.1

– %SYSDIR%\run32.exe Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist. Erkannt als: Worm/Bagz.D.2

– %SYSDIR%\ipdb.dll

 Registry Folgende Registryschlüssel werden hinzugefügt:

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32]
   • "Type"=dword:00000120
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"=%SYSDIR%\rpc32.exe
   • "DisplayName"="Network Explorer"
   • "ObjectName"="LocalSystem"
   • "Description"="Starts and configures accessibility tools from one window "

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32\Security]
   • "Security"=%Hex Werte%

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32\Enum]
   • "0"="Root\\LEGACY_RPC32\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

 Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:


Von:
Die Absenderadresse wurde gefälscht.


An:
– Email Adressen welche in ausgewählten Dateien auf dem System gefunden wurden.


Design der Emails:
 


Betreff: ASAP
Body:
   • Hi
     
     Did you get the previous document I attached for you?
     I resent it in this email just in case, because I
     really need you to check it out asap.
     
     Best Regards
 


Betreff: please responce
Body:
   • Hi
     
     I made a mistake and forgot to click attach
     on the previous email I sent you. Please give me
     your opinion on this opportunity when you get a chance.
     
     Best Regards
 


Betreff: Read this
Body:
   • Hi
     
     I was supposed to send you this document yesterday.
     Sorry for the delay, please forward this to your family if possible.
     It contains important info for both of you.
 


Betreff: urgent
Body:
   • Hi
     
     Sorry, I forgot to send an important
     document to you in that last email. I had an important phone call.
     Please checkout attached doc file when you have a moment.
     
     Best Regards
     
 


Betreff: toxic
Body:
   • Hi
     
     I was in a rush and I forgot to attach an important
     document. Please see attached doc file.
     
     Best Regards,
 


Betreff: contract
Body:
   • Sorry to bother you, but I am having a problem receiving your emails.
     I am responding to your last email in the attached file.
     Please get back to me if there is any problem reading the attachment.
 


Betreff: Money
Body:
   • I am responding to your last email in the attached file.
     I had a delivery problem with your inbox, so maybe you'll receive this now.
 


Betreff: office
Body:
   • Can you please check out the email I have attached?
     For some reason, I received only part of your last several emails.
     I want to make sure that there are no problems with either of our accounts.
 


Betreff: Have a nice day
Body:
   • This email is being sent as attachment because
     it was previously blocked by your email filters.
     Please view the attachment and respond.
     Thanks
 


Betreff: Hello
Body:
   • I resent this email as attachment because
     it was previously blocked by your email filters.
     Please read the attachment and respond.
     Thanks
 


Betreff: Russian's
Body:
   • I apologize, but I need you to verify
     that I have the correct contact info for you.
     My system crashed last weekend and
     I lost most of my friends and work contacts.
     Please check the attached (.pdf) and
     please let me know if your info is current.
 


Betreff: Amirecans
Body:
   • My last email to you was returned.
     The reason is that I am not currently
      added to your "allowed" contact list.
     Please add my updated contact info
     provided in the attached (.pdf) file
     so I can send you emails in the future.
     Sincerely
 


Betreff: attachments
Body:
   • I have updated my email address
     See the (.pdf) file attached and
     please respond if you have any questions.
     
 


Betreff: attach
Body:
   • We have made recent updates to our database.
     Please verify your mailing address on file is correct.
     We have attached a (.pdf) sheet for you to use for your response.
 


Betreff: waiting
Body:
   • Hello
     
     Our contact information has changed.
     See the attached (.pdf) sheet for details.
     
     Sincerely,
 


Betreff: best regards
Body:
   • ***URGENT: SERVICE SHUTDOWN NOTICE***
     Due to your failure to comply with our email
     Rules and Regulations, your email account has been
     temporarily suspended for 24 hours unless we are contacted regarding
     this situation.
     You must read the attached document for further
     instructions. Failure to comply will result in termination of your account.
     Regards,
     Net Operator
     ***URGENT: SERVICE SHUTDOWN NOTICE***
 


Betreff: Administrator
Body:
   • ***ATTENTION: YOUR EMAIL IS NOT BEING DELIVERED!***
     
     ,
     You are currently unable to send emails.
     This may be a billing issue.
     Please call the billing center.
     The
      for the billing office is located in the attached
     contact list for your convenience.
     ***ATTENTION: YOUR EMAIL IS NOT BEING DELIVERED!***
 


Betreff: Warning
Body:
   • ***YOUR MESSAGE HAS BEEN RECOGNIZED AS SPAM***
     Hello,
     
     The previous email you sent has been recognized as spam.
     This means your email was not delivered to your friend or client.
     You must open the attached file to receive more information.
     ***YOUR MESSAGE HAS BEEN RECOGNIZED AS SPAM***
 


Betreff: text
Body:
   • Hello,
     What version of windows you are using?
     This last document I received from you came out weird.
     Please see the attached word file and resend the file to me.
     Many thanks,
     User
 


Betreff: Vasia
Body:
   • Hello,
     My PC crashed while I was sending that last email.
     I have re-attached the document of yours that I discovered.
     Please read attached document and respond ASAP.
     Sincerely,
     User
 


Betreff: re: Andrey
Body:
   • Hello,
     Your email was sent in an INVALID format.
     To verify this email was sent from you,
     simply open the attached email (.eml) file
     and click yes in the sender options box.
     Thank You,
     User
 


Betreff: re: please
Body:
   • Hello,
      Your email was received.
     YOUR REPLY IS URGENT!
     Please view the attached text file for instructions.
     Regards,
     User
 


Betreff: re: order
Body:
   • Hello,
      I was in a hurry and I forgot to attach an important
      document. Please see attached.
      Best Regards,
     User
 


Betreff: Allert!
Body:
   • Hello,
      I resent this email as attachment because
      it was previously blocked by your email filters.
      Please read the attachment and respond.
     
     Thanks,User
     
 


Betreff: Att
Body:
   • Hello,
     Sorry, I forgot to attach the new contact information.
     Please view the attached (.pdf) contact sheet.
     Sincerely,
     User


Betreff:
Eine der folgenden:
   • Administrator; Allert!; Amirecans; Att; attach; attachments; best
      regards; contract; Have a nice day; Hello; Hi; Money; office; please
      responce; re: Andrey; re: order; re: please; Read this; Russian's;
      text; toxic; urgent; Vasia; waiting; Warning



Dateianhang:
Der Dateiname des Anhangs ist einer der folgenden:
   • about.zip; admin.zip; archivator.zip; archives.zip; ataches.zip;
      docs.zip; documentation.zip; help.zip; inbox.zip; manual.zip;
      outbox.zip; payment.zip; photos.zip; rar.zip; readme.zip; save.zip;
      zip.zip; about.doc%mehrere Leerzeichen%.exe;
      admin.doc%mehrere Leerzeichen%.exe; archivator.doc%mehrere
      Leerzeichen%.exe; archives.doc%mehrere Leerzeichen%.exe;
      ataches.doc%mehrere Leerzeichen%.exe; docs.doc%mehrere
      Leerzeichen%.exe; documentation.doc%mehrere
      Leerzeichen%.exe; help.doc%mehrere Leerzeichen%.exe;
      inbox.doc%mehrere Leerzeichen%.exe; manual.doc%mehrere
      Leerzeichen%.exe; outbox.doc%mehrere Leerzeichen%.exe;
      payment.doc%mehrere Leerzeichen%.exe; photos.doc%mehrere
      Leerzeichen%.exe; rar.doc%mehrere Leerzeichen%.exe;
      readme.doc%mehrere Leerzeichen%.exe; save.doc%mehrere
      Leerzeichen%.exe; zip.doc%mehrere Leerzeichen%.exe

Der Dateianhang ist eine Kopie der Malware.



Die Email könnte wie eine der folgenden aussehen.



 Versand Suche nach Adressen:
Es durchsucht folgende Dateien nach Emailadressen:
   • .tbb
   • .tbi
   • .dbx
   • .htm
   • .txt


Vermeidet Adressen:
Es werden keine Emails an Adressen verschickt, die eine der folgenden Zeichenketten enthalten:
   • @avp; @foo; @iana; @messagelab; @microsoft; abuse; admin;
      administrator@; all@; anyone@; bsd; bugs@; cafee; certific; certs@;
      contact@; contract@; feste; free-av; f-secur; gold-; gold-certs@;
      google; help@; hostmaster@; icrosoft; info@; kasp; linux; listserv;
      local; netadmin@; news; nobody@; noone@; noreply; ntivi; oocies;
      panda; pgp; postmaster@; rating@; root@; samples; sopho; spam;
      support; support@; unix; update; webmaster@; winrar; winzip

 Hosts Die hosts Datei wird wie folgt geändert:

– In diesem Fall werden die bestehenden Einträge gelöscht.

– Zugriffe auf folgende Domains wird erfolgreich unterbunden:
   • ad.doubleclick.net; ad.fastclick.net; ads.fastclick.net;
      ar.atwola.com; atdmt.com; avp.ch; avp.com; avp.ru; awaps.net;
      banner.fastclick.net; banners.fastclick.net; ca.com; click.atdmt.com;
      clicks.atdmt.com; dispatch.mcafee.com; download.mcafee.com;
      download.microsoft.com; downloads.microsoft.com; engine.awaps.net;
      fastclick.net; f-secure.com; ftp.f-secure.com; ftp.sophos.com;
      go.microsoft.com; liveupdate.symantec.com; mast.mcafee.com;
      mcafee.com; media.fastclick.net; msdn.microsoft.com; my-etrust.com;
      nai.com; networkassociates.com; office.microsoft.com;
      phx.corporate-ir.net; secure.nai.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; spd.atdmt.com;
      support.microsoft.com; symantec.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; vil.nai.com; viruslist.ru;
      windowsupdate.microsoft.com; www.avp.ch; www.avp.com; www.avp.ru;
      www.awaps.net; www.ca.com; www.fastclick.net; www.f-secure.com;
      www.kaspersky.ru; www.mcafee.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www.trendmicro.com; www.viruslist.ru; www3.ca.com




Die modifizierte Host Datei sieht wie folgt aus:


 Datei Einzelheiten Programmiersprache:
 Das Malware-Programm wurde in MS Visual C++ geschrieben.


Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit folgendem Laufzeitpacker gepackt:
   • UPX

Die Beschreibung wurde erstellt von Andrei Ivanes am Montag, 7. August 2006
Die Beschreibung wurde geändert von Andrei Ivanes am Montag, 7. August 2006

zurück . . . .