Worm/Bagle.DX - Worm

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	Worm/Bagle.DX
Entdeckt am:	08/11/2005
Art:	Worm
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Mittel
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	21.287 Bytes
MD5 Prüfsumme:	1F7D7F4943ABD61EC01EDB2A9F1EA7CD
VDF Version:	6.32.00.143 - Fri, 04 Nov 2005 07:01 (GMT+1)

General Verbreitungsmethode:
   • Email

Aliases:
   • Symantec: W32.Beagle.CO@mm
   • Kaspersky: Email-Worm.Win32.Bagle.ek
   • Sophos: W32/Bagle-AR

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Auswirkungen:
   • Lädt Dateien herunter
   • Verfügt über eigene Email Engine
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\windll2.exe

Es wird folgende Datei erstellt:

– Eine Datei welche gesammelte Email Adressen enthält:
   • %WINDIR%\eml.exe

Es wird versucht folgende Datei herunterzuladen:

– Die URLs sind folgende:
   • http://clickhare.com/**********/w3eb.php
   • http://amerikansk-bulldog.dk/**********/w3eb.php
   • http://eventpeopleforyou.com/**********/w3eb.php
   • http://ekshrine.com/**********/w3eb.php
   • http://www.familia-sanchez.net/**********/w3eb.php
   • http://www.asymchem.com/**********/w3eb.php
   • http://www.baku-xeber.com/**********/w3eb.php
   • http://www.abmedical.pl/**********/w3eb.php
   • http://www.cellphonemadeinchina.com/**********/w3eb.php
Diese wird lokal gespeichert unter: %WINDIR%\eml.exe

Registry Die Werte der folgenden Registry keys werden gelöscht:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Ru1n]
   • "My AV"
   • "Zone Labs Client Ex"
   • "9XHtProtect"
   • "Antivirus"
   • "Special Firewall Service"
   • "service"
   • "Tiny AV"
   • "ICQNet"
   • "HtProtect"
   • "NetDy"
   • "Jammer2nd"
   • "FirewallSvr"
   • "MsInfo"
   • "SysMonXP"
   • "EasyAV"
   • "PandaAVEngine"
   • "Norton Antivirus AV"
   • "KasperskyAVEng"
   • "SkynetsRevenge"
   • "ICQ Net"

– [HKLM\Software\Microsoft\Windows\CurrentVersion\Ru1n]
   • "My AV"
   • "Zone Labs Client Ex"
   • "9XHtProtect"
   • "Antivirus"
   • "Special Firewall Service"
   • "service"
   • "Tiny AV"
   • "ICQNet"
   • "HtProtect"
   • "NetDy"
   • "Jammer2nd"
   • "FirewallSvr"
   • "MsInfo"
   • "SysMonXP"
   • "EasyAV"
   • "PandaAVEngine"
   • "Norton Antivirus AV"
   • "KasperskyAVEng"
   • "SkynetsRevenge"
   • "ICQ Net"

Folgender Registryschlüssel wird hinzugefügt:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Ru1n]
   • "erthegdr"="%SYSDIR%\windll2.exe"

Email Die Malware verfügt über eine eigene SMTP engine um Emails zu versenden. Hierbei wird die Verbindung mit dem Zielserver direkt aufgebaut. Die Einzelheiten sind im Folgenden aufgeführt:

Von:
Gesammelte Adressen aus dem Internet. Bitte vermuten Sie nicht, dass es des Absenders Absicht war diese Email zu schicken. Es ist möglich, dass er nichts über seine Infektion weiß oder sogar nicht infiziert ist. Des Weiteren ist es möglich, dass Sie Emails bekommen in denen die Rede davon ist, dass Sie infiziert sind was möglicherweise auch nicht stimmt.

An:
– Gesammelte Adressen aus dem Internet.

Betreff:
Die Betreffzeile ist leer.

Body:
Der Body der Email ist einer der folgenden:
   • info
   • texte

Dateianhang:
Der Ihnalt dieser Datei ist keine Kopie seiner selbst aber enthält anderen Schadcode. Eine Beschreibung findet sich hier: TR/Bagle.DW

Der Dateiname des Anhangs ist einer der folgenden:
   • text_sms.zip
   • sms_text.zip
   • The_new_prices.zip
   • Info_prices.zip
   • Business_dealing.zip
   • Business.zip

Die Email sieht wie folgt aus:

Versand Sammeln von Adressen:
Es sammelt Adressen indem folgende Webseiten kontaktiert werden:
   • http://clickhare.com/**********/w3eb.php
   • http://amerikansk-bulldog.dk/**********/w3eb.php
   • http://eventpeopleforyou.com/**********/w3eb.php
   • http://ekshrine.com/**********/w3eb.php
   • http://www.familia-sanchez.net/**********/w3eb.php
   • http://www.asymchem.com/**********/w3eb.php
   • http://www.baku-xeber.com/**********/w3eb.php
   • http://www.abmedical.pl/**********/w3eb.php
   • http://www.cellphonemadeinchina.com/**********/w3eb.php

Vermeidet Adressen:
Es werden keine Emails an Adressen verschickt, die eine der folgenden Zeichenketten enthalten:
   • @eerswqe; @derewrdgrs; @microsoft; rating@; f-secur; news; update;
      anyone@; bugs@; contract@; feste; gold-certs@; help@; info@; nobody@;
      noone@; kasp; mdmin; icrosoft; support; ntivi; unix; bsd; linux;
      listserv; certific; sopho; @foo; @iana; free-av; @messagelab; inzip;
      google; winrar; samples; abuse; panda; cafee; spam; pgp; @avp.;
      noreply; local; root@; postmaster@

Kontaktiert DNS:
Es wird nicht versucht den standard DNS Server zu verwenden.
Es besitzt die Fähigkeit folgenden DNS Server zu kontaktieren:
   • 194.190.195.66

Prozess Beendigung Liste der Prozesse die beendet werden:
• 1t1epad.exe
• t1es1t.exe

Diverses Mutex:
Es werden folgende Mutexe erzeugt:
   • vMuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
   • 'D'r'o'p'p'e'd'S'k'y'N'e't'
   • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
   • [SkyNet.cz]SystemsMutex
   • AdmSkynetJklS003
   • ____--->>>>U<<<<--____
   • _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

Datei Einzelheiten Programmiersprache:
Das Malware-Programm wurde in MS Visual C++ geschrieben.

Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Andrei Gherman am Tue, 08 Nov 2005 14:19 (GMT+1)
Beschreibung geändert von Andrei Ivanes am Wed, 16 Nov 2005 10:36 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück