TR/Bagle.DA - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Bagle.DA
La date de la découverte:	22/09/2005
Type:	Cheval de Troie
En circulation:	Oui
Infections signalées	Moyen
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	35.579 Octets
Somme de contrôle MD5:	3713c5a204da99721fb5fe4ea7021ced
Version VDF:	6.32.0.28

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Symantec: Trojan.Tooso.Q
   • Kaspersky: Email-Worm.Win32.Bagle.dg
   • TrendMicro: TROJ_BAGLE.DA
   • Bitdefender: Win32.Bagle.DF@mm

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows 2000
   • Windows XP

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il télécharge un fichier malveillant
   • Il crée un fichier malveillant
   • Il diminue les réglages de sécurité
   • Il modifie des registres

Juste après l'exécution il lance une application windows qui affiche le fenêtre suivante:

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\winshost.exe

Il renom les fichiers suivants:

    • CCSETMGR.EXE en C1CSETMGR.EXE
    • CCEVTMGR.EXE en CC1EVTMGR.EXE
    • NAVAPSVC.EXE en NAV1APSVC.EXE
    • NPFMNTOR.EXE en NPFM1NTOR.EXE
    • symlcsvc.exe en s1ymlcsvc.exe
    • SPBBCSvc.exe en SP1BBCSvc.exe
    • SNDSrvc.exe en SND1Srvc.exe
    • ccApp.exe en ccA1pp.exe
    • ccl30.dll en cc1l30.dll
    • ccvrtrst.dll en ccv1rtrst.dll
    • LUALL.EXE en LUAL1L.EXE
    • AUPDATE.EXE en AUPD1ATE.EXE
    • Luupdate.exe en Luup1date.exe
    • LUINSDLL.DLL en LUI1NSDLL.DLL
    • RuLaunch.exe en RuLa1unch.exe
    • CMGrdian.exe en CM1Grdian.exe
    • Mcshield.exe en Mcsh1ield.exe
    • outpost.exe en outp1ost.exe
    • Avconsol.exe en Avc1onsol.exe
    • Vshwin32.exe en Vshw1in32.exe
    • VsStat.exe en Vs1Stat.exe
    • Avsynmgr.exe en Av1synmgr.exe
    • kavmm.exe en kav12mm.exe
    • Up2Date.exe en Up222Date.exe
    • KAV.exe en K2A2V.exe
    • avgcc.exe en avgc3c.exe
    • avgemc.exe en avg23emc.exe
    • zonealarm.exe en zo3nealarm.exe
    • zatutor.exe en zatu6tor.exe
    • zlavscan.dll en zl5avscan.dll
    • zlclient.exe en zlcli6ent.exe
    • isafe.exe en is5a6fe.exe
    • cafix.exe en c6a5fix.exe
    • vsvault.dll en vs6va5ult.dll
    • av.dll en a5v.dll
    • vetredir.dll en ve6tre5dir.dll

Le fichier suivant est créé:

– %SYSDIR%\wiwshost.exe Ensuite, il est exécuté après avoir été completment crée. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Bagle.DA.1

Il essaie de télécharger des fichiers:

– Les emplacements sont les suivants:
   • http://www.21ebu**********.com/osa6.gif
   • http://www.**********.net/osa6.gif
   • http://www.acs**********.com/osa6.gif
   • http://www.ag**********.hu/osa6.gif
   • http://www.a**********.com/.vn/osa6.gif
   • http://www.ang**********.de/osa6.gif
   • http://www.ascolf**********.com/osa6.gif
   • http://www.automobil**********.de/osa6.gif
   • http://www.ban**********.cn/osa6.gif
   • http://www.beall**********.com/osa6.gif
   • http://www.b**********.at/osa6.gif
   • http://www.bs-sec**********.de/osa6.gif
   • http://www.centroveste**********.it/osa6.gif
   • http://www.checko**********.nl/osa6.gif
   • http://www.**********project.com/osa6.gif
   • http://www.**********wanjia.com/osa6.gif
   • http://www.czwa**********.com/osa6.gif
   • http://www.**********net.hu/osa6.gif
   • http://www.design**********.org/osa6.gif
   • http://www.dgy.com/**********/osa6.gif
   • http://www.**********-fliesen.de/osa6.gif
   • http://www.discoteka-**********.com/osa6.gif
   • http://www.**********-invest.com/osa6.gif
   • http://www.ea**********.com/osa6.gif
   • http://www.**********club.com/osa6.gif
   • http://www.eh**********.hu/osa6.gif
   • http://www.elvis**********.ch/osa6.gif
   • http://www.engelhard**********.de/osa6.gif
   • http://www.exter**********.hu/osa6.gif
   • http://www.fahrschule**********.de/osa6.gif
   • http://www.**********-lesser.de/osa6.gif
   • http://www.ferme**********.com/osa6.gif
   • http://www.festivalteatro**********.com/osa6.gif
   • http://www.form**********.at/osa6.gif
   • http://www.foto**********.fi/osa6.gif
   • http://www.**********trox.com/.tw/osa6.gif
   • http://www.gepe**********.org/osa6.gif
   • http://www.gimex-**********.de/osa6.gif
   • http://www.**********home.com/.tw/osa6.gif
   • http://www.**********mzn.cz/osa6.gif
   • http://www.**********service.be/osa6.gif
   • http://www.id**********.de/osa6.gif
   • http://www.**********cs.be/osa6.gif
   • http://www.**********er.cl/osa6.gif
   • http://www.inside-**********.de/osa6.gif
   • http://www.**********oli.sk/osa6.gif
   • http://www.**********-american.com/osa6.gif
   • http://www.jeo**********.com/osa6.gif
   • http://www.jing**********.com/osa6.gif
   • http://www.**********-bo.com/osa6.gif
   • http://www.king**********.ch/osa6.gif
   • http://www.marke**********.com/osa6.gif
   • http://www.mega**********.net/osa6.gif
   • http://www.**********ild.at/osa6.gif
   • http://www.ni**********.de/osa6.gif
   • http://www.**********gmbh.com/osa6.gif
   • http://www.**********va.com/.pe/osa6.gif
   • http://www.**********24.ee/osa6.gif
   • http://www.**********link.net/osa6.gif
   • http://www.**********-alliance.de/osa6.gif
   • http://www.pre**********.ch/osa6.gif
   • http://www.renega**********.com/osa6.gif
   • http://www.repl**********.com/osa6.gif
   • http://www.**********buecher.de/osa6.gif
   • http://www.sanjin**********.com/osa6.gif
   • http://www.scvanra**********.nl/osa6.gif
   • http://www.slova**********.sk/osa6.gif
   • http://www.**********photo.com/osa6.gif
   • http://www.socie**********.de/osa6.gif
   • http://www.**********co.org/osa6.gif
   • http://www.soft**********.ru/osa6.gif
   • http://www.so**********.org/osa6.gif
   • http://www.spac**********.biz/osa6.gif
   • http://www.speedcom.**********.pl/osa6.gif
   • http://www.**********-in-steel.at/osa6.gif
   • http://www.spo**********.de/osa6.gif
   • http://www.sport**********.com/osa6.gif
   • http://www.**********y.az/osa6.gif
   • http://www.**********solutions.com/osa6.gif
   • http://www.st-paulus-**********.de/osa6.gif
   • http://www.st**********.com/osa6.gif
   • http://www.steri**********.com/osa6.gif
   • http://www.students.**********.ac.uk/osa6.gif
   • http://www.**********planet.com/osa6.gif
   • http://www.sun**********.com/osa6.gif
   • http://www.super**********.com/osa6.gif
   • http://www.**********eb.cz/osa6.gif
   • http://www.syd**********.com/osa6.gif
   • http://www.**********iheng.com/osa6.gif
   • http://www.**********campus.net/osa6.gif
   • http://www.tec**********.de/osa6.gif
   • http://www.**********-mutan.com/osa6.gif
   • http://www.thai**********.com/osa6.gif
   • http://www.**********venture.com/osa6.gif
   • http://www.**********funkiest.com/osa6.gif
   • http://www.**********step.tv/osa6.gif
   • http://www.thetexas**********.com/osa6.gif
   • http://www.tmhcsd1987.**********.pl/osa6.gif
   • http://www.tous**********.be/osa6.gif
   • http://www.tr**********.com/osa6.gif
   • http://www.travel**********.com/osa6.gif
   • http://www.**********.dobrcz.pl/osa6.gif
   • http://www.tri**********.cz/osa6.gif
   • http://www.**********tonic.ch/osa6.gif
   • http://www.tv-**********.com/osa6.gif
   • http://www.**********-cassinadepecchi.it/osa6.gif
   • http://www.uni**********.sk/osa6.gif
   • http://www.**********chair.com/osa6.gif
   • http://www.u**********.hu/osa6.gif
   • http://www.**********senelektro.be/osa6.gif
   • http://www.vet**********.com/osa6.gif
   • http://www.**********meloni.com/osa6.gif
   • http://www.**********nn.vn/osa6.gif
   • http://www.**********vjiet.ac.in/osa6.gif
   • http://www.vote2**********.com/osa6.gif
   • http://www.vw.**********-bank.pl/osa6.gif
   • http://www.wamba.**********.au/osa6.gif
   • http://www.wdlp.**********.za/osa6.gif
   • http://www.**********corp.com/osa6.gif
   • http://www.**********productions.com/osa6.gif
   • http://www.wilson**********.com/osa6.gif
   • http://www.wind**********.pl/osa6.gif
   • http://www.**********-industries.com/osa6.gif
   • http://www.**********old.pl/osa6.gif
   • http://www.womb**********.com/osa6.gif
   • http://www.**********reme.cz/osa6.gif
   • http://www.xian**********.net/osa6.gif
   • http://www.**********pie.com/osa6.gif
   • http://www.xm**********.com/osa6.gif
   • http://www.xo**********.com/osa6.gif
   • http://www.yannick-**********.be/osa6.gif
   • http://www.**********download.com/osa6.gif
   • http://www.yester**********.za
   • http://www.**********kj.com/osa6.gif
   • http://www.zakazcd.**********.ua/osa6.gif
   • http://www.**********ftware.com/osa6.gif
   • http://www.**********tek.co.za/osa6.gif
   • http://www.zor**********.az/osa6.gif
   • http://www.**********sala.edu.sk/osa6.gif
Il est sauvegardé sur le disque dur local à l'emplacement: %WINDIR%\_RE_FILE.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Bagle.DE.3.A

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– HKCU\Software\Microsoft\Windows\CurrentVersion\Run
   • "winshost.exe"="%SYSDIR%\winshost.exe"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • "winshost.exe"="%SYSDIR%\winshost.exe"

Les valeurs des clés de registre suivantes sont supprimées:

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • APVXDWIN
   • avg7_cc
   • avg7_emc
   • ccApp
   • KAV50
   • McAfee Guardian
   • NAV CfgWiz
   • SSC_UserPrompt
   • Symantec NetDriver Monitor
   • Zone Labs Client

– HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • McAfee.InstantUpdate.Monitor

– HKLM\SOFTWARE
   • Agnitum
   • KasperskyLab
   • McAfee
   • Panda Software
   • Symantec
   • Zone Labs

La clé de registre suivante est ajoutée:

– HKCU\Software\FirstRun
   • "FirstRunRR"=dword:00000001

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées existantes sont écrasées

Le fichier hôte modifié ressemblera à ceci:

Arrêt de processus: La liste des processus qui sont terminés:
   • ATUPDATER.EXE; ATUPDATER.EXE; AUPDATE.EXE; AUTODOWN.EXE;
      AUTOTRACE.EXE; AUTOUPDATE.EXE; AVPUPD.EXE; AVWUPD32.EXE; AVXQUAR.EXE;
      AVXQUAR.EXE; CFIAUDIT.EXE; DRWEBUPW.EXE; ESCANH95.EXE; ESCANHNT.EXE;
      FIREWALL.EXE; ICSSUPPNT.EXE; ICSUPP95.EXE; LUALL.EXE; MCUPDATE.EXE;
      NUPGRADE.EXE; NUPGRADE.EXE; OUTPOST.EXE; UPDATE.EXE; UPGRADER.EXE

La liste des services qui sont désactivés:
   • Ahnlab task Scheduler; alerter; AlertManger; AntiVirus Plug-in;
      AVExch32Service; avg7alrt; avg7updsvc; AvgCore; AvgFsh; AvgServ;
      avpcc; AVPCC; AVUPDService; AvxIni; awhost32; backweb client -
      4476822; BackWeb Client - 7681197; backweb client-4476822; BlackICE;
      CAISafe; ccEvtMgr; ccEvtMgr; ccPwdSvc; ccSetMgr; ccSetMgr.exe;
      DefWatch; dvpapi; dvpinit; fsbwsys; FSDFWD; fsdfwd; F-Secure;
      F-Secure; FSMA; FSMA; Gatekeeper; Gatekeeper; Handler; Handler;
      KAVMonitorService; KAVMonitorService; kavsvc; KLBLMain; McAfee
      Firewall; McAfeeFramework; McShield; McTaskManager; mcupdmgr.exe;
      MCVSRte; MonSvcNT; navapsvc; navapsvc; navapsvc S; Network Associates
      Log Service; Outbreak Manager; NISSERV; NISUM; NJeeves;
      NOD32ControlCenter; NOD32Service; Norman; Norman; Norton Antivirus
      Server; NProtectService; NSCTOP; nvcoas; NVCScheduler; nwclntc;
      nwclntd; nwclnte; nwclntf; nwclntg; nwclnth; NWService;
      OutpostFirewall; PASSRV; PCCPFW; PersFW; ravmon8; SAVFMSE; SAVScan;
      SAVScan; SBService; schscnt; sharedaccess; SmcService; SNDSrvc;
      SPBBCSvc; Starter; Starter; SweepNet; SWEEPSRV.SYS; Symantec AntiVirus
      Client; Symantec Core LC; Symantec Core LC; Tmntsrv; V3MonNT;
      V3MonSvc; VexiraAntivirus; VisNetic; VScan; vsmon; vsmon; wuauserv;
      XCOMM; ymantec Core LC; ZANDA

L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: %SYSDIR%\wiwshost.exe

Nom du processus :
• %WINDIR%\Explorer.exe

Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Irina Boldea sur Thu, 22 Sep 2005 16:11 (GMT+1)
Description mise à jour par Irina Boldea sur Mon, 26 Sep 2005 11:52 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour