TR/Bagle.DG - Trojan

A voir aussi

Brève description

Description complète

Statistiques

Nom:	TR/Bagle.DG
La date de la découverte:	22/09/2005
Type:	Cheval de Troie
En circulation:	Oui
Infections signalées	Moyen
Potentiel de distribution:	Faible
Potentiel de destruction:	Moyen
Fichier statique:	Oui
Taille du fichier:	35.761 Octets
Somme de contrôle MD5:	2e5e131e4d5a6500b94f68d1c11ffcc5
Version VDF:	6.32.0.33

Général Méthode de propagation:
   • Il ne possède pas de propre routine de propagation

Les alias:
   • Symantec: Trojan.Tooso.Q
   • TrendMicro: TROJ_BAGLE.DA
   • F-Secure: W32/Mitglieder.FL
   • Bitdefender: Win32.Bagle.DG@mm

Plateformes / Systèmes d'exploitation:
   • Windows 96
   • Windows 99
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effets secondaires:
   • Arrêt les applications de sécurité
   • Il télécharge un fichier malveillant
   • Il crée un fichier malveillant
   • Il diminue les réglages de sécurité
   • Il modifie des registres

Immédiatement après l'exécution l'information suivante est affichée:

Fichiers Il s'autocopie dans l'emplacement suivant:
   • %SYSDIR%\winshost.exe

Le fichier suivant est créé:

– %SYSDIR%\winshost.exe Les investigations ultérieures ont prouvé que ce ficher est également un Malware. Détecté comme: TR/Bagle.DG.1

Il essaie de télécharger un ficher:

– Les emplacements sont les suivants:
   • http://www.**********.com/osa6.gif
   • http://www.**********.net/osa6.gif
   • http://www.**********.pl/osa6.gif
   • http://www.**********.at/osa6.gif
   • http://www.**********.ch/osa6.gif
   • http://www.**********.com.tw/osa6.gif
   • http://www.**********.cl/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.ee/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.cz/osa6.gif
   • http://www.**********.cz/osa6.gif
   • http://www.**********.net/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.net/osa6.gif
   • http://www.**********.be/osa6.gif
   • http://www.**********.be/osa6.gif
   • http://www.**********.org/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.at/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.it/osa6.gif
   • http://www.**********.sk/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com.tw/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.be/osa6.gif
   • http://www.**********.it/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.ac.in/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.at/osa6.gif
   • http://www.**********.nl/osa6.gif
   • http://www.**********.fi/osa6.gif
   • http://www.**********.pl/osa6.gif
   • http://www.**********.asn.au/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.co.za/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.cn/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com.cn/osa6.gif
   • http://www.**********.com.cn/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.org/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.org/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com.pt/osa6.gif
   • http://www.**********.at/osa6.gif
   • http://www.**********.com.hk/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com.pe/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.vn/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.hu/osa6.gif
   • http://www.**********.hu/osa6.gif
   • http://www.**********.be/osa6.gif
   • http://www.**********.hu/osa6.gif
   • http://www.**********.net/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com.cn/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.friko.pl/osa6.gif
   • http://www.**********.tv/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.pl/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.pl/osa6.gif
   • http://www.**********.net/osa6.gif
   • http://www.**********.sk/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.hu/osa6.gif
   • http://www.**********.com.cn/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.com.pl/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.cz/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.nl/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.cz/osa6.gif
   • http://www.**********.de/osa6.gif
   • http://www.**********.com/osa6.gif
   • http://www.**********.ch/osa6.gif
Il est sauvegardé sur le disque dur local à l'emplacement: %WINDIR%\_re_file.exe Ensuite, ce fichier est exécuté après avoir été completment téléchargé. Au moment de l'écriture, ce fichier n'était pas en ligne pour plus d'investigations.

Registre Les clés de registre suivantes sont ajoutées afin d'exécuter des processus après le redémarrage:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe" = "%SYSDIR%\winshost.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe" = "%SYSDIR%\winshost.exe"

Les valeurs des clés de registre suivantes sont supprimées:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • ccApp
   • NAV CfgWiz
   • SSC_UserPrompt
   • McAfee Guardian
   • APVXDWIN
   • KAV50
   • avg7_cc
   • avg7_emc
   • Zone Labs Client
   • Symantec NetDriver Monitor

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • McAfee.InstantUpdate.Monitor

La clé de registre suivante est ajoutée:

– [HKCU\Software\FirstRun]
   • "FirstRunRR"=dword:00000001

Email Il n'a pas sa propre routine de propagation mais il a été envoyé comme spam par l'intermédiaire de l'email. Les caractéristiques sont décrites ci-dessous:

Pièce jointe:
Le nom de fichier de l'attachement est un des suivants:
   • new__price.zip
   • new_price.zip
   • newprice.zip
   • price2.zip
   • 09_price.zip
   • price_09.zip

Hôtes Le fichier hôte est modifié, comme il est expliqué:

– Dans ce cas les entrées existantes sont écrasées

Le fichier hôte modifié ressemblera à ceci:

Arrêt de processus: La liste des processus qui sont terminés:
   • NUPGRADE.EXE; MCUPDATE.EXE; ATUPDATER.EXE; AUPDATE.EXE; AUTOTRACE.EXE;
      AUTOUPDATE.EXE; FIREWALL.EXE; ATUPDATER.EXE; LUALL.EXE; DRWEBUPW.EXE;
      AUTODOWN.EXE; NUPGRADE.EXE; OUTPOST.EXE; ICSSUPPNT.EXE; ICSUPP95.EXE;
      ESCANH95.EXE; AVXQUAR.EXE; ESCANHNT.EXE; UPGRADER.EXE; AVXQUAR.EXE;
      AVWUPD32.EXE; AVPUPD.EXE; CFIAUDIT.EXE; UPDATE.EXE

La liste des services qui sont désactivés:
   • wuauserv (Windows Automatic Updates); SharedAccess (Windows
      Firewall/Internet Connection Sharing); Alerter; PAVSRV; PAVFNSVR;
      PSIMSVC; Pavkre; PavProt; PREVSRV; PavPrSrv; SharedAccess; NPFMntor;
      Outpost; Firewall; SAVScan; SBService; Symantec Core LC; ccEvtMgr;
      SNDSrvc; ccPwdSvc; ccSetMgr.exe; SPBBCSvc; KLBLMain; avg7alrt;
      avg7updsvc; vsmon; CAISafe; avpcc; fsbwsys; backweb client - 4476822;
      fsdfwd; F-Secure Gatekeeper Handler Starter; FSMA; KAVMonitorService;
      navapsvc; NProtectService; Norton Antivirus Server; VexiraAntivirus;
      dvpinit; dvpapi; schscnt; BackWeb Client - 7681197; F-Secure;
      Gatekeeper Handler Starter; FSMA; AVPCC; KAVMonitorService; Norman;
      NJeeves; NVCScheduler; nvcoas; Norman ZANDA; PASSRV; SweepNet;
      SWEEPSRV.SYS; NOD32ControlCenter; NOD32Service; PCCPFW; Tmntsrv;
      AvxIni; XCOMM; ravmon8; SmcService; BlackICE; PersFW; McAfee Firewall;
      OutpostFirewall; NWService; NISUM; NISSERV; vsmon; wclnth; nwclntg;
      nwclnte; nwclntf; nwclntd; nwclntc; navapsvc; SAVScan; kavsvc;
      DefWatch; Symantec AntiVirus Client; NSCTOP; Symantec Core LC;
      SAVScan; SAVFMSE; ccEvtMgr; navapsvc; ccSetMgr; VisNetic AntiVirus;
      Plug-in; McShield; AlertManger; McAfeeFramework; AVExch32Service;
      AVUPDService; McTaskManager; Network Associates Log Service; Outbreak;
      Manager; MCVSRte; mcupdmgr.exe; AvgServ; AvgCore; AvgFsh; awhost32;
      Ahnlab task Scheduler; MonSvcNT; V3MonNT; V3MonSvc; FSDFWD

L'injection du code viral dans d'autres processus – Il injecte le fichier suivant dans un processus: %SYSDIR%\wiwshost.exe

Nom du processus:
• %WINDIR%\explorer.exe

Détails de fichier Logiciel de compression des fichiers exécutables:
Afin d'entraver la détection et de réduire la taille du fichier il est compressé avec un logiciel de compression des exécutables.

Voir la description brève ici.

Description inséré par Catalin Jora sur Thu, 22 Sep 2005 11:04 (GMT+1)
Description mise à jour par Catalin Jora sur Mon, 26 Sep 2005 12:11 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Retour