Nombre:Worm/Bagz.D.3
Descubierto:22/10/2004
Tipo:Gusano
En circulación (ITW):Sí
Número de infecciones comunicadas:Medio-alto
Potencial de propagación:Medio
Potencial dañino:Medio-bajo
Fichero estático:No
Tamaño:~ 155.000 Bytes
Versión del VDF:6.28.00.32

 General Método de propagación:
   • Correo electrónico


Alias:
   •  Symantec: W32.Bagz.E@mm
   •  Mcafee: W32/Bagz.e@MM
   •  Kaspersky: Email-Worm.Win32.Bagz.d
   •  TrendMicro: WORM_BAGZ.D
   •  Sophos: W32/Bagz-D
   •  Grisoft: I-Worm/Bagz.D
   •  VirusBuster: I-Worm.Bagz.G


Plataformas / Sistemas operativos:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Efectos secundarios:
   • Bloquea el acceso a ciertos sitios web
   • Bloquea el acceso a portales de seguridad
   • Suelta ficheros
   • Suelta ficheros dañinos
   • Contiene su propio motor para generar mensajes de correo
   • Modificaciones en el registro

 Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %SYSDIR%\about.doc%espacios libres%.exe
   • %SYSDIR%\admin.doc%espacios libres%.exe
   • %SYSDIR%\archivator.doc%espacios libres%.exe
   • %SYSDIR%\archives.doc%espacios libres%.exe
   • %SYSDIR%\ataches.doc%espacios libres%.exe
   • %SYSDIR%\docs.doc%espacios libres%.exe
   • %SYSDIR%\documentation.doc%espacios libres%.exe
   • %SYSDIR%\help.doc%espacios libres%.exe
   • %SYSDIR%\inbox.doc%espacios libres%.exe
   • %SYSDIR%\manual.doc%espacios libres%.exe
   • %SYSDIR%\outbox.doc%espacios libres%.exe
   • %SYSDIR%\payment.doc%espacios libres%.exe
   • %SYSDIR%\photos.doc%espacios libres%.exe
   • %SYSDIR%\rar.doc%espacios libres%.exe
   • %SYSDIR%\readme.doc%espacios libres%.exe
   • %SYSDIR%\save.doc%espacios libres%.exe
   • %SYSDIR%\sysboot.doc%espacios libres%.exe
   • %SYSDIR%\zip.doc%espacios libres%.exe



Crea los siguientes ficheros:

– Crea los siguientes archivos, que incluyen copias del programa dañino:
   • %SYSDIR%\about.zip; %SYSDIR%\admin.zip; %SYSDIR%\archivator.zip;
      %SYSDIR%\archives.zip; %SYSDIR%\ataches.zip; %SYSDIR%\docs.zip;
      %SYSDIR%\documentation.zip; %SYSDIR%\help.zip; %SYSDIR%\inbox.zip;
      %SYSDIR%\manual.zip; %SYSDIR%\outbox.zip; %SYSDIR%\payment.zip;
      %SYSDIR%\photos.zip; %SYSDIR%\rar.zip; %SYSDIR%\readme.zip;
      %SYSDIR%\save.zip; %SYSDIR%\zip.zip

– %SYSDIR%\wdate.dll Este es un fichero de texto que no presenta riesgo alguno e incluye el siguiente contenido:
   • %fecha actual% %hora actual%

– %SYSDIR%\rpc32.exe Además, el fichero es ejecutado después de haber sido creado. Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Bagz.D.1

– %SYSDIR%\run32.exe Los análisis adicionales indicaron que este fichero es también viral. Detectado como: Worm/Bagz.D.2

– %SYSDIR%\ipdb.dll

 Registro Añade las siguientes claves al registro:

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32]
   • "Type"=dword:00000120
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"=%SYSDIR%\rpc32.exe
   • "DisplayName"="Network Explorer"
   • "ObjectName"="LocalSystem"
   • "Description"="Starts and configures accessibility tools from one window "

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32\Security]
   • "Security"=%valores hex%

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32\Enum]
   • "0"="Root\\LEGACY_RPC32\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

 Correo electrónico Incluye un motor SMTP integrado para enviar mensajes. Establecerá una conexión con el servidor de destinación. Las características se describen a continuación:


De:
La dirección del remitente es falsa.


Para:
– Direcciones de correo encontradas en ficheros específicos del sistema.


El diseño de los mensajes de correo:



Asunto: ASAP
Cuerpo del mensaje:
   • Hi
     
     Did you get the previous document I attached for you?
     I resent it in this email just in case, because I
     really need you to check it out asap.
     
     Best Regards



Asunto: please responce
Cuerpo del mensaje:
   • Hi
     
     I made a mistake and forgot to click attach
     on the previous email I sent you. Please give me
     your opinion on this opportunity when you get a chance.
     
     Best Regards



Asunto: Read this
Cuerpo del mensaje:
   • Hi
     
     I was supposed to send you this document yesterday.
     Sorry for the delay, please forward this to your family if possible.
     It contains important info for both of you.



Asunto: urgent
Cuerpo del mensaje:
   • Hi
     
     Sorry, I forgot to send an important
     document to you in that last email. I had an important phone call.
     Please checkout attached doc file when you have a moment.
     
     Best Regards
     



Asunto: toxic
Cuerpo del mensaje:
   • Hi
     
     I was in a rush and I forgot to attach an important
     document. Please see attached doc file.
     
     Best Regards,



Asunto: contract
Cuerpo del mensaje:
   • Sorry to bother you, but I am having a problem receiving your emails.
     I am responding to your last email in the attached file.
     Please get back to me if there is any problem reading the attachment.



Asunto: Money
Cuerpo del mensaje:
   • I am responding to your last email in the attached file.
     I had a delivery problem with your inbox, so maybe you'll receive this now.



Asunto: office
Cuerpo del mensaje:
   • Can you please check out the email I have attached?
     For some reason, I received only part of your last several emails.
     I want to make sure that there are no problems with either of our accounts.



Asunto: Have a nice day
Cuerpo del mensaje:
   • This email is being sent as attachment because
     it was previously blocked by your email filters.
     Please view the attachment and respond.
     Thanks



Asunto: Hello
Cuerpo del mensaje:
   • I resent this email as attachment because
     it was previously blocked by your email filters.
     Please read the attachment and respond.
     Thanks



Asunto: Russian's
Cuerpo del mensaje:
   • I apologize, but I need you to verify
     that I have the correct contact info for you.
     My system crashed last weekend and
     I lost most of my friends and work contacts.
     Please check the attached (.pdf) and
     please let me know if your info is current.



Asunto: Amirecans
Cuerpo del mensaje:
   • My last email to you was returned.
     The reason is that I am not currently
      added to your "allowed" contact list.
     Please add my updated contact info
     provided in the attached (.pdf) file
     so I can send you emails in the future.
     Sincerely



Asunto: attachments
Cuerpo del mensaje:
   • I have updated my email address
     See the (.pdf) file attached and
     please respond if you have any questions.
     



Asunto: attach
Cuerpo del mensaje:
   • We have made recent updates to our database.
     Please verify your mailing address on file is correct.
     We have attached a (.pdf) sheet for you to use for your response.



Asunto: waiting
Cuerpo del mensaje:
   • Hello
     
     Our contact information has changed.
     See the attached (.pdf) sheet for details.
     
     Sincerely,



Asunto: best regards
Cuerpo del mensaje:
   • ***URGENT: SERVICE SHUTDOWN NOTICE***
     Due to your failure to comply with our email
     Rules and Regulations, your email account has been
     temporarily suspended for 24 hours unless we are contacted regarding
     this situation.
     You must read the attached document for further
     instructions. Failure to comply will result in termination of your account.
     Regards,
     Net Operator
     ***URGENT: SERVICE SHUTDOWN NOTICE***



Asunto: Administrator
Cuerpo del mensaje:
   • ***ATTENTION: YOUR EMAIL IS NOT BEING DELIVERED!***
     
     ,
     You are currently unable to send emails.
     This may be a billing issue.
     Please call the billing center.
     The
      for the billing office is located in the attached
     contact list for your convenience.
     ***ATTENTION: YOUR EMAIL IS NOT BEING DELIVERED!***



Asunto: Warning
Cuerpo del mensaje:
   • ***YOUR MESSAGE HAS BEEN RECOGNIZED AS SPAM***
     Hello,
     
     The previous email you sent has been recognized as spam.
     This means your email was not delivered to your friend or client.
     You must open the attached file to receive more information.
     ***YOUR MESSAGE HAS BEEN RECOGNIZED AS SPAM***



Asunto: text
Cuerpo del mensaje:
   • Hello,
     What version of windows you are using?
     This last document I received from you came out weird.
     Please see the attached word file and resend the file to me.
     Many thanks,
     User



Asunto: Vasia
Cuerpo del mensaje:
   • Hello,
     My PC crashed while I was sending that last email.
     I have re-attached the document of yours that I discovered.
     Please read attached document and respond ASAP.
     Sincerely,
     User



Asunto: re: Andrey
Cuerpo del mensaje:
   • Hello,
     Your email was sent in an INVALID format.
     To verify this email was sent from you,
     simply open the attached email (.eml) file
     and click yes in the sender options box.
     Thank You,
     User



Asunto: re: please
Cuerpo del mensaje:
   • Hello,
      Your email was received.
     YOUR REPLY IS URGENT!
     Please view the attached text file for instructions.
     Regards,
     User



Asunto: re: order
Cuerpo del mensaje:
   • Hello,
      I was in a hurry and I forgot to attach an important
      document. Please see attached.
      Best Regards,
     User



Asunto: Allert!
Cuerpo del mensaje:
   • Hello,
      I resent this email as attachment because
      it was previously blocked by your email filters.
      Please read the attachment and respond.
     
     Thanks,User
     



Asunto: Att
Cuerpo del mensaje:
   • Hello,
     Sorry, I forgot to attach the new contact information.
     Please view the attached (.pdf) contact sheet.
     Sincerely,
     User


Asunto:
Uno de los siguientes:
   • Administrator; Allert!; Amirecans; Att; attach; attachments; best
      regards; contract; Have a nice day; Hello; Hi; Money; office; please
      responce; re: Andrey; re: order; re: please; Read this; Russian's;
      text; toxic; urgent; Vasia; waiting; Warning



Archivo adjunto:
El nombre del fichero adjunto es uno de los siguientes:
   • about.zip; admin.zip; archivator.zip; archives.zip; ataches.zip;
      docs.zip; documentation.zip; help.zip; inbox.zip; manual.zip;
      outbox.zip; payment.zip; photos.zip; rar.zip; readme.zip; save.zip;
      zip.zip; about.doc%espacios libres%.exe; admin.doc%espacios
      libres%.exe; archivator.doc%espacios libres%.exe;
      archives.doc%espacios libres%.exe; ataches.doc%espacios
      libres%.exe; docs.doc%espacios libres%.exe;
      documentation.doc%espacios libres%.exe; help.doc%espacios
      libres%.exe; inbox.doc%espacios libres%.exe;
      manual.doc%espacios libres%.exe; outbox.doc%espacios
      libres%.exe; payment.doc%espacios libres%.exe;
      photos.doc%espacios libres%.exe; rar.doc%espacios
      libres%.exe; readme.doc%espacios libres%.exe;
      save.doc%espacios libres%.exe; zip.doc%espacios
      libres%.exe

El archivo adjunto es una copia del propio programa malicioso.



El mensaje de correo puede tener una de las siguientes formas:



 Envio de mensajes Busca direcciones:
Busca direcciones de correo en los siguientes ficheros:
   • .tbb
   • .tbi
   • .dbx
   • .htm
   • .txt


Evita las direcciones:
No envía mensajes de correo a las direcciones que incluyen las siguientes series de caracteres:
   • @avp; @foo; @iana; @messagelab; @microsoft; abuse; admin;
      administrator@; all@; anyone@; bsd; bugs@; cafee; certific; certs@;
      contact@; contract@; feste; free-av; f-secur; gold-; gold-certs@;
      google; help@; hostmaster@; icrosoft; info@; kasp; linux; listserv;
      local; netadmin@; news; nobody@; noone@; noreply; ntivi; oocies;
      panda; pgp; postmaster@; rating@; root@; samples; sopho; spam;
      support; support@; unix; update; webmaster@; winrar; winzip

 Ficheros host El fichero host es modificado de la siguiente manera:

– En este caso, las entradas existentes serán eliminadas.

– El acceso a los siguientes dominios está bloqueado:
   • ad.doubleclick.net; ad.fastclick.net; ads.fastclick.net;
      ar.atwola.com; atdmt.com; avp.ch; avp.com; avp.ru; awaps.net;
      banner.fastclick.net; banners.fastclick.net; ca.com; click.atdmt.com;
      clicks.atdmt.com; dispatch.mcafee.com; download.mcafee.com;
      download.microsoft.com; downloads.microsoft.com; engine.awaps.net;
      fastclick.net; f-secure.com; ftp.f-secure.com; ftp.sophos.com;
      go.microsoft.com; liveupdate.symantec.com; mast.mcafee.com;
      mcafee.com; media.fastclick.net; msdn.microsoft.com; my-etrust.com;
      nai.com; networkassociates.com; office.microsoft.com;
      phx.corporate-ir.net; secure.nai.com; securityresponse.symantec.com;
      service1.symantec.com; sophos.com; spd.atdmt.com;
      support.microsoft.com; symantec.com; update.symantec.com;
      updates.symantec.com; us.mcafee.com; vil.nai.com; viruslist.ru;
      windowsupdate.microsoft.com; www.avp.ch; www.avp.com; www.avp.ru;
      www.awaps.net; www.ca.com; www.fastclick.net; www.f-secure.com;
      www.kaspersky.ru; www.mcafee.com; www.my-etrust.com; www.nai.com;
      www.networkassociates.com; www.sophos.com; www.symantec.com;
      www.trendmicro.com; www.viruslist.ru; www3.ca.com




El fichero host modificado se verá así:


 Datos del fichero Lenguaje de programación:
 El programa de malware ha sido escrito en MS Visual C++.


Programa de compresión de ejecutables:
Para agravar la detección y reducir el tamaño del fichero, emplea el siguiente programa de compresión de ejecutables:
   • UPX

Descripción insertada por Andrei Ivanes el lunes 7 de agosto de 2006
Descripción actualizada por Andrei Ivanes el lunes 7 de agosto de 2006

Volver . . . .