TR/Bagle.CS - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Bagle.CS
La date de la découverte:	19/09/2005
Type:	Cheval de Troie
En circulation:	Oui
Infections signalées	Moyen
Potentiel de distribution:	Moyen
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	35.577 Octets
Somme de contrôle MD5:	61c65b52028ecb6e2d6a81fa69209e77
Version VDF:	6.32.0.19
L'heuristique:	TR/Bagle.Gen.B

Général Méthodes de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Symantec: W32/Bagle.ck
   • Mcafee: Email-Worm.Win32.Bagle.db
   • Kaspersky: TROJ_BAGLE.DA
   • TrendMicro: W32/Mitglieder.FG
   • Eset: Win32.Bagle.CJ@mm

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Il télécharge un fichier malveillant
   • Il crée un fichier malveillant
   • Il modifie des registres

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\winshost.exe

Il renom les fichiers suivants:

    • AUPDATE.EXE en AUPD1ATE.EXE
    • av.dll en a5v.dll
    • Avconsol.exe en Avc1onsol.exe
    • avgcc.exe en avgc3c.exe
    • avgemc.exe en avg23emc.exe
    • Avsynmgr.exe en Av1synmgr.exe
    • cafix.exe en c6a5fix.exe
    • CMGrdian.exe en CM1Grdian.exe
    • isafe.exe en is5a6fe.exe
    • KAV.exe en K2A2V.exe
    • kavmm.exe en kav12mm.exe
    • LUALL.EXE en LUAL1L.EXE
    • LUINSDLL.DLL en LUI1NSDLL.DLL
    • Luupdate.exe en Luup1date.exe
    • Mcshield.exe en Mcsh1ield.exe
    • outpost.exe en outp1ost.exe
    • RuLaunch.exe en RuLa1unch.exe
    • Up2Date.exe en Up222Date.exe
    • vetredir.dll en ve6tre5dir.dll
    • Vshwin32.exe en Vshw1in32.exe
    • VsStat.exe en Vs1Stat.exe
    • vsvault.dll en vs6va5ult.dll
    • zatutor.exe en zatu6tor.exe
    • zlavscan.dll en zl5avscan.dll
    • zlclient.exe en zlcli6ent.exe
    • zonealarm.exe en zo3nealarm.exe

Le fichier suivant est créé:

– %SYSDIR%\wiwshost.exe Détecté comme: TR/Bagle.CS.1

– Les emplacements sont les suivants:
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.cn/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.nl/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com.pl/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.com.tw/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com.tw/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.cl/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.ch/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com.pe/osa6.gif
   • www.**********.ee/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.ch/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.nl/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.home.pl/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com.hk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.dehtdocs/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.com.pt/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.sk/osa6.gif
Il est sauvegardé sur le disque dur local à l'emplacement: %WINDIR%\_re_file.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Bagle.CQ.5.1

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe" = "%SYSDIR%\winshost.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe" = "%SYSDIR%\winshost.exe"

Les valeurs des clés de registre suivantes sont supprimées:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "McAfee.InstantUpdate.Monitor"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Zone Labs Client"
   • "avg7_emc"
   • "avg7_cc"
   • "KAV50"
   • "APVXDWIN"
   • "McAfee Guardian"
   • "SSC_UserPrompt"
   • "NAV CfgWiz"
   • "ccApp"
   • "Symantec NetDriver Monitor"

Les clés de registre suivantes, y compris toutes les valeurs et les sous-clés, sont enlevées.
   • [HKLM\SOFTWARE\Zone Labs]
   • [HKLM\SOFTWARE\Panda Software]
   • [HKLM\SOFTWARE\Agnitum]
   • [HKLM\SOFTWARE\KasperskyLab]
   • [HKLM\SOFTWARE\McAfee]
   • [HKLM\SOFTWARE\Symantec]

La clé de registre suivante est ajoutée:

– [HKCU\Software\FirstRun]
   • "FirstRunRR" = dword:00000001

Email Il n'a pas sa propre routine de propagation mais il a été envoyé comme spam par l'intermédiaire de l'email. Les caractéristiques sont décrites ci-dessous:

Pièce jointe:
Le nom de fichier de l'attachement est un des suivants:
   • new__price.zip
   • new_price.zip
   • newprice.zip
   • price2.zip
   • 09_price.zip
   • price_09.zip

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées existantes sont écrasées

Le fichier hôte modifié ressemblera à ceci:

Arrêt de processus: La liste des processus qui sont terminés:
   • ATUPDATER.EXE; AUPDATE.EXE; AUTODOWN.EXE; AUTOTRACE.EXE;
      AUTOUPDATE.EXE; AVPUPD.EXE; AVWUPD32.EXE; AVXQUAR.EXE; CFIAUDIT.EXE;
      DRWEBUPW.EXE; ESCANH95.EXE; ESCANHNT.EXE; FIREWALL.EXE; ICSSUPPNT.EXE;
      ICSUPP95.EXE; LUALL.EXE; MCUPDATE.EXE; NUPGRADE.EXE; OUTPOST.EXE;
      UPDATE.EXE; UPGRADER.EXE

La liste des services qui sont désactivés:
   • Ahnlab task Scheduler; alerter; AlertManger; AVExch32Service;
      avg7alrt; avg7updsvc; AvgCore; AvgFsh; AvgServ; avpcc; AVUPDService;
      AvxIni; awhost32; backweb client - 4476822; BackWeb Client - 7681197;
      backweb client-4476822; BlackICE; CAISafe; ccEvtMgr; ccPwdSvc;
      ccSetMgr; ccSetMgr.exe; DefWatch; dvpapi; dvpinit; fsbwsys; fsdfwd;
      F-Secure Gatekeeper Handler Starter; KAVMonitorService; kavsvc;
      KLBLMain; McAfee Firewall; McAfeeFramework; McShield; McTaskManager;
      mcupdmgr.exe; MCVSRte; MonSvcNT; navapsvc; Network Associates Log
      Service; NISSERV; NISUM; NOD32ControlCenter; NOD32Service; Norman
      NJeeves; Norman ZANDA; Norton Antivirus Server; NPFMntor;
      NProtectService; NSCTOP; nvcoas; NVCScheduler; nwclntc; nwclntd;
      nwclnte; nwclntf; nwclntg; nwclnth; NWService; Outbreak Manager;
      Outpost Firewall; OutpostFirewall; PASSRV; PAVFNSVR; Pavkre; PavProt;
      PavPrSrv; PAVSRV; PCCPFW; PersFW; PREVSRV; PSIMSVC; ravmon8; SAVFMSE;
      SAVScan; SBService; schscnt; SharedAccess; SmcService; SNDSrvc;
      SPBBCSvc; SweepNet; SWEEPSRV.SYS; Symantec AntiVirus Client; Symantec
      Core LC; Tmntsrv; V3MonNT; V3MonSvc; VexiraAntivirus; VisNetic
      AntiVirus Plug-in; vsmon; wuauserv; XCOMM

L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: %SYSDIR%\wiwshost.exe

Nom du processus :
• explorer.exe

Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Razvan Olteanu sur Tue, 20 Sep 2005 10:34 (GMT+1)
Description mise à jour par Razvan Olteanu sur Wed, 21 Sep 2005 16:02 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour