TR/Bagle.DW.A.2 - Trojan

Siehe auch

Kurzfassung

Vollständig

Statistik

Name:	TR/Bagle.DW.A.2
Entdeckt am:	08/11/2005
Art:	Trojan
In freier Wildbahn:	Nein
Gemeldete Infektionen:	Niedrig
Verbreitungspotenzial:	Niedrig
Schadenspotenzial:	Niedrig bis mittel
Statische Datei:	Ja
Dateigröße:	19.076 Bytes
MD5 Prüfsumme:	c9e23c0724f610a3e3ce95fa69cc9b74
VDF Version:	6.32.00.163 - Thu, 10 Nov 2005 06:52 (GMT+1)

General Verbreitungsmethode:
   • Keine eigene Verbreitungsroutine

Aliases:
   • Symantec: Trojan.Lodav.A
   • Kaspersky: Email-Worm.Win32.Bagle.pac
   • TrendMicro: WORM_BAGLE.BV
   • Sophos: Troj/BagDl-Fam
   • Bitdefender: Trojan.Dropper.Bagle.PB@mm

Betriebsysteme:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Auswirkungen:
   • Blockiert Zugriff auf Webseiten von Sicherheitsfirmen
   • Setzt Sicherheitseinstellungen herunter
   • Änderung an der Registry

Dateien Eine Kopie seiner selbst wird hier erzeugt:
   • %SYSDIR%\antiav_exe.exe

Folgende Dateien werden umbenannt:

    • ashAvast.exe nach 1ashAvast.exe
    • ashDisp.exe nach 1ashDisp.exe
    • ashEnhcd.exe nach 1ashEnhcd.exe
    • ashPopWz.exe nach 1ashPopWz.exe
    • ashShA64.dll nach 1ashShA64.dll
    • ashSimpl.exe nach 1ashSimpl.exe
    • ashSkPck.exe nach 1ashSkPck.exe
    • ashWebSv.exe nach 1ashWebSv.exe
    • AUPDATE.EXE nach 1AUPDATE.EXE
    • Avconsol.exe nach 1Avconsol.exe
    • avgcc.exe nach 1avgcc.exe
    • AVGCMSG.DLL nach 1AVGCMSG.DLL
    • avgemc.exe nach 1avgemc.exe
    • AVGNT.EXE nach 1AVGNT.EXE
    • AVSCHED32.DLL nach 1AVSCHED32.DLL
    • AVSCHED32.EXE nach 1AVSCHED32.EXE
    • Avsynmgr.exe nach 1Avsynmgr.exe
    • AVWUPD32.EXE nach 1AVWUPD32.EXE
    • BCGCB59.dll nach 1BCGCB59.dll
    • bdmcon.exe nach 1bdmcon.exe
    • bdnews.exe nach 1bdnews.exe
    • bdsubmit.exe nach 1bdsubmit.exe
    • bdswitch.exe nach 1bdswitch.exe
    • cafix.exe nach 1cafix.exe
    • ccApp.exe nach 1ccApp.exe
    • CCEVTMGR.EXE nach 1CCEVTMGR.EXE
    • ccl30.dll nach 1ccl30.dll
    • CCSETMGR.EXE nach 1CCSETMGR.EXE
    • ccvrtrst.dll nach 1ccvrtrst.dll
    • ClamTray.exe nach 1ClamTray.exe
    • ClamWin.exe nach 1ClamWin.exe
    • CMGrdian.exe nach 1CMGrdian.exe
    • D2htls32.dll nach 1D2htls32.dll
    • drwadins.exe nach 1drwadins.exe
    • drweb32w.exe nach 1drweb32w.exe
    • drwebscd.exe nach 1drwebscd.exe
    • drwebupw.exe nach 1drwebupw.exe
    • FFJMPWEB.DLL nach 1FFJMPWEB.DLL
    • freshclam.exe nach 1freshclam.exe
    • GUARDEVT.DLL nach 1GUARDEVT.DLL
    • GUARDGUI.EXE nach 1GUARDGUI.EXE
    • GUARDMSG.DLL nach 1GUARDMSG.DLL
    • GuardNT.exe nach 1GuardNT.exe
    • IksysT32.dll nach 1IksysT32.dll
    • INETUPD.EXE nach 1INETUPD.EXE
    • InocIT.exe nach 1InocIT.exe
    • InoOEM.dll nach 1InoOEM.dll
    • InoOption.dll nach 1InoOption.dll
    • InoUpTNG.exe nach 1InoUpTNG.exe
    • isafe.exe nach 1isafe.exe
    • KAV.exe nach 1KAV.exe
    • kavmm.exe nach 1kavmm.exe
    • KAVPF.exe nach 1KAVPF.exe
    • LUALL.EXE nach 1LUALL.EXE
    • LUINSDLL.DLL nach 1LUINSDLL.DLL
    • Luupdate.exe nach 1Luupdate.exe
    • Mcshield.exe nach 1Mcshield.exe
    • NAVAPSVC.EXE nach 1NAVAPSVC.EXE
    • nod32.exe nach 1nod32.exe
    • nod32api.dll nach 1nod32api.dll
    • nod32kui.exe nach 1nod32kui.exe
    • NPFMNTOR.EXE nach 1NPFMNTOR.EXE
    • npfmsg.exe nach 1npfmsg.exe
    • Nvccf0D.dll nach 1Nvccf0D.dll
    • Nvcevlog.dll nach 1Nvcevlog.dll
    • Nvcod.exe nach 1Nvcod.exe
    • Nvcte.exe nach 1Nvcte.exe
    • Nvcut.exe nach 1Nvcut.exe
    • OCONNDLG.DLL nach 1OCONNDLG.DLL
    • OCOOKDLG.DLL nach 1OCOOKDLG.DLL
    • outpost.exe nach 1outpost.exe
    • pccguide.exe nach 1pccguide.exe
    • PcCtlCom.exe nach 1PcCtlCom.exe
    • python23.dll nach 1python23.dll
    • QHPF.EXE nach 1QHPF.EXE
    • Realmon.exe nach 1Realmon.exe
    • RuLaunch.exe nach 1RuLaunch.exe
    • schface.dll nach 1schface.dll
    • SNDSrvc.exe nach S1NDSrvc.exe
    • SPBBCSvc.exe nach S1PBBCSvc.exe
    • spiderml.exe nach s1piderml.exe
    • symlcsvc.exe nach s1ymlcsvc.exe
    • t2w32.dll nach T12w32.dll
    • Tmntsrv.exe nach T1mntsrv.exe
    • TmPfw.exe nach Tm1Pfw.exe
    • tmproxy.exe nach tm1proxy.exe
    • Up2Date.exe nach U1p2Date.exe
    • upgrepl.exe nach u1pgrepl.exe
    • Vba32ECM.exe nach V1ba32ECM.exe
    • Vba32ifs.exe nach V1ba32ifs.exe
    • vba32ldr.exe nach v1ba32ldr.exe
    • Vba32PP3.exe nach V1ba32PP3.exe
    • vbaifps.dll nach vb1aifps.dll
    • vetredir.dll nach v1etredir.dll
    • Vshwin32.exe nach Vs1hwin32.exe
    • VsStat.exe nach Vs1Stat.exe
    • vsvault.dll nach vs1vault.dll
    • XT1922.dll nach XT11922.dll
    • zatutor.exe nach za1tutor.exe
    • zlavscan.dll nach zla1vscan.dll
    • zlclient.exe nach zl1client.exe
    • zonealarm.exe nach zo1nealarm.exe

Es wird folgende Datei erstellt:

– %SYSDIR%\antiav_dll.dll Weitere Untersuchungen haben ergeben, dass diese Datei auch Malware ist.

Registry Die folgenden Registryschlüssel werden hinzugefügt um die Prozesse nach einem Neustart des Systems erneut zu starten.

– HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "auto__antiav__key" = "%SYSDIR%\antiav_exe.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "auto__antiav__key" = "%SYSDIR%\antiav_exe.exe"

Die Werte der folgenden Registry keys werden gelöscht:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • APVXDWIN
   • avg7_cc
   • avg7_emc
   • ccApp
   • KAV50
   • McAfee Guardian
   • NAV CfgWiz
   • SSC_UserPrompt
   • Symantec NetDriver Monitor
   • Zone Labs Client

– HKLM\SOFTWARE
   • Agnitum
   • KasperskyLab
   • McAfee
   • Panda Software
   • Trend Micro
   • Zone Labs
   • Symantec

– HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • McAfee.InstantUpdate.Monitor

Prozess Beendigung Es wird versucht folgende Prozesse zu beenden und die zugehörigen Dateien zu löschen:
   • ashAvast.exe; ashDisp.exe; ashEnhcd.exe; ashPopWz.exe; ashShA64.dll;
      ashSimpl.exe; ashSkPck.exe; ashWebSv.exe; AUPDATE.EXE; Avconsol.exe;
      avgcc.exe; AVGCMSG.DLL; avgemc.exe; AVGNT.EXE; AVSCHED32.DLL;
      AVSCHED32.EXE; Avsynmgr.exe; AVWUPD32.EXE; BCGCB59.dll; bdmcon.exe;
      bdnews.exe; bdsubmit.exe; bdswitch.exe; cafix.exe; ccApp.exe;
      CCEVTMGR.EXE; ccl30.dll; CCSETMGR.EXE; ccvrtrst.dll; ClamTray.exe;
      ClamWin.exe; CMGrdian.exe; D2htls32.dll; drwadins.exe; drweb32w.exe;
      drwebscd.exe; drwebupw.exe; FFJMPWEB.DLL; freshclam.exe; GUARDEVT.DLL;
      GUARDGUI.EXE; GUARDMSG.DLL; GuardNT.exe; IksysT32.dll; INETUPD.EXE;
      InocIT.exe; InoOEM.dll; InoOption.dll; InoUpTNG.exe; isafe.exe;
      KAV.exe; kavmm.exe; KAVPF.exe; LUALL.EXE; LUINSDLL.DLL; Luupdate.exe;
      Mcshield.exe; NAVAPSVC.EXE; nod32.exe; nod32api.dll; nod32kui.exe;
      NPFMNTOR.EXE; npfmsg.exe; Nvccf0D.dll; Nvcevlog.dll; Nvcod.exe;
      Nvcte.exe; Nvcut.exe; OCONNDLG.DLL; OCOOKDLG.DLL; outpost.exe;
      pccguide.exe; PcCtlCom.exe; python23.dll; QHPF.EXE; Realmon.exe;
      RuLaunch.exe; schface.dll; SNDSrvc.exe; SPBBCSvc.exe; spiderml.exe;
      symlcsvc.exe; T2w32.dll; Tmntsrv.exe; TmPfw.exe; tmproxy.exe;
      Up2Date.exe; upgrepl.exe; Vba32ECM.exe; Vba32ifs.exe; vba32ldr.exe;
      Vba32PP3.exe; vbaifps.dll; vetredir.dll; Vshwin32.exe; VsStat.exe;
      vsvault.dll; XT1922.dll; zatutor.exe; zlavscan.dll; zlclient.exe;
      zonealarm.exe

Liste der Dienste die beendet werden:
   • Ahnlab task Scheduler; alerter; AlertManger; AntiVir Service;
      aswUpdSv; Ati HotKey Poller; avast! Antivirus; AVEService;
      AVExch32Service; avg7alrt; avg7updsvc; AvgCore; AvgFsh; AvgServ;
      AVIRAMailService; AVIRAService; avpcc; AVUPDService; AVWUpSrv; AvxIni;
      awhost32; backweb client - 4476822; BackWeb Client - 7681197; backweb
      client-4476822; bdss; BlackICE; CAISafe; ccEvtMgr; ccPwdSvc; ccSetMgr;
      ccSetMgr.exe; DefWatch; dvpapi; dvpinit; F-Secure Gatekeeper Handler
      Starter; fsbwsys; fsdfwd; FSMA; Guard NT; InoRpc; InoRT; InoTask;
      KAVMonitorService; kavsvc; KLBLMain; McAfee Firewall; McAfeeFramework;
      McShield; McTaskManager; mcupdmgr.exe; MCVSRte; MonSvcNT; navapsvc;
      Network Associates Log Service; nipsvc; NISSERV; NISUM;
      NOD32ControlCenter; NOD32Service; Norman NJeeves; Norman Type-R;
      Norman ZANDA; Norton Antivirus Server; NPFMntor; NProtectService;
      NSCTOP; nvcoas; NVCScheduler; nwclntc; nwclntd; nwclnte; nwclntf;
      nwclntg; nwclnth; NWService; Outbreak Manager; Outpost Firewall;
      OutpostFirewall; PASSRV; PAVFNSVR; Pavkre; PavProt; PavPrSrv; PAVSRV;
      PCCPFW; PersFW; PREVSRV; PSIMSVC; ravmon8; SAVFMSE; SAVScan;
      SBService; schscnt; SharedAccess; SmcService; SNDSrvc; SPBBCSvc;
      SpiderNT; SweepNet; SWEEPSRV.SYS; Symantec AntiVirus Client; Symantec
      Core LC; Tmntsrv; V3MonNT; V3MonSvc; Vba32ECM; Vba32ifs; Vba32Ldr;
      Vba32PP3; VexiraAntivirus; VisNetic AntiVirus Plug-in; vsmon; vsserv;
      wuauserv; xcomm

Injektion – Es injiziert folgende Datei in einen Prozess: antiav_dll.dll

    Prozessname:
   • explorer.exe

Zweck:
Der Zugriff auf folgende Webseiten wird effektiv unterbunden:
   • ad.doubleclick.net; upgrade.bitdefender.com; report.bitdefender.com;
      ad.fastclick.net; ads.fastclick.net; ar.atwola.com; atdmt.com; avp.ch;
      avp.com; avp.ru; awaps.net; banner.fastclick.net;
      banners.fastclick.net; ca.com; www.ca.com; click.atdmt.com;
      clicks.atdmt.com; customer.symantec.com; dispatch.mcafee.com;
      download.mcafee.com; download.microsoft.com;
      downloads-eu1.kaspersky-labs.com; downloads-us1.kaspersky-labs.com;
      downloads-us2.kaspersky-labs.com; downloads-us3.kaspersky-labs.com;
      downloads.microsoft.com; downloads1.kaspersky-labs.com;
      downloads2.kaspersky-labs.com; downloads3.kaspersky-labs.com;
      downloads4.kaspersky-labs.com; engine.awaps.net; f-secure.com;
      fastclick.net; ftp.avp.ch; ftp.downloads2.kaspersky-labs.com;
      ftp.f-secure.com; ftp.kasperskylab.ru; ftp.sophos.com;
      go.microsoft.com; ids.kaspersky-labs.com; kaspersky-labs.com;
      kaspersky.com; liveupdate.symantec.com;
      liveupdate.symantecliveupdate.com; mast.mcafee.com; mcafee.com;
      media.fastclick.net; msdn.microsoft.com; my-etrust.com; nai.com;
      networkassociates.com; office.microsoft.com; phx.corporate-ir.net;
      rads.mcafee.com; secure.nai.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; spd.atdmt.com;
      support.microsoft.com; symantec.com; trendmicro.com;
      update.symantec.com; updates.symantec.com;
      updates1.kaspersky-labs.com; updates2.kaspersky-labs.com;
      updates3.kaspersky-labs.com; updates4.kaspersky-labs.com;
      updates5.kaspersky-labs.com; us.mcafee.com; vil.nai.com;
      viruslist.com; viruslist.ru; windowsupdate.microsoft.com; www.avp.ch;
      www.avp.com; www.avp.ru; www.awaps.net; www.ca.com; www.f-secure.com;
      www.fastclick.net; www.grisoft.com; www.kaspersky-labs.com;
      www.kaspersky.com; www.kaspersky.ru; www.mcafee.com;
      www.my-etrust.com; www.nai.com; www.networkassociates.com;
      www.sophos.com; www.symantec.com; www.trendmicro.com;
      www.viruslist.com; www.viruslist.ru; www3.ca.com; avp.ch; avp.com;
      avp.ru; awaps.net; ca.com; ca.com; ca.com; ca.com; ca.com; ca.com;
      f-secure.com; fastclick.net; grisoft.com; kaspersky-labs.com;
      kaspersky.com; kaspersky.ru; mcafee.com; my-etrust.com; nai.com;
      networkassociates.com; sophos.com; symantec.com; trendmicro.com;
      viruslist.com; viruslist.ru; www3.ca.com; 84.53.142.6; 84.53.142.22;
      63.210.193.12; 212.113.20.69; 216.200.68.152; update.symantec.com;
      ca.com; service1.symantec.com; www.antivir.de; antivir.de; drweb.com;
      ca.com; www.drweb.com; drweb.ru; www.ravantivirus.com;
      ravantivirus.com; bitdefender.com; www.bitdefender.com; ca.com;
      www.clamav.net; clamav.net; pandasoftware.com; www.pandasoftware.com;
      ftpav.ca.com; upgrade.bitdefender.com; www.bitdefender.ru;
      bitdefender.ru; open.by; vba32.de; www.open.by; sm12.avast.com;
      sm13.avast.com; rs18.avast.com; rs08.avast.com; sm17.avast.com;
      sm04.avast.com; sm09.avast.com; sm16.avast.com; rs03.avast.com;
      rs06.avast.com; sm21.avast.com; rs02.avast.com; rs10.avast.com;
      rs07.avast.com; sm25.avast.com; rs11.avast.com; sm22.avast.com;
      rs20.avast.com; sm23.avast.com; sm19.avast.com; sm05.avast.com;
      rs24.avast.com; sm15.avast.com; downloadhosting.core.ignum.cz;
      sm01.avast.com; sm14.avast.com; rs18.avast.com; download25.avast.com;
      www.avast.com; avast.com; avira.com; www.avira.com; zak.avira.com;
      downloads.avira.com; www.clamwin.com; clamwin.com; 213.219.245.4;
      files.referats.net; database.clamav.net; 213.248.60.121;
      gin.ba.euroweb.sk; www2.eset.com; esetsoftware.com; msk4.drweb.com;
      drweb.com; www.drweb.com; 62.146.66.181; www.hbedv.com; hbedv.com;
      www.hacksoft.com.pe; ikarus-software.at; download.ikarus.at;
      193.69.114.12; niutwo.norman.no; www.anti-virus.by; anti-virus.by;
      www.vba32.de; ftpav.ca.com

Datei Einzelheiten Laufzeitpacker:
Um eine Erkennung zu erschweren und die Größe der Datei zu reduzieren wurde sie mit einem Laufzeitpacker gepackt.

Kurzfassung hier.

Beschreibung erstellt von Irina Boldea am Tue, 08 Nov 2005 17:05 (GMT+1)
Beschreibung geändert von Irina Boldea am Tue, 15 Nov 2005 10:52 (GMT+1)

» Über Malware
» Über Phishing
» In-the-Wild-Viren

« zurück