TR/Bagle.CS - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/Bagle.CS
Scoperto:	19/09/2005
Tipo:	Trojan
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Medio
Potenziale di propagazione:	Medio
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	35.577 Byte
Somma di controllo MD5:	61c65b52028ecb6e2d6a81fa69209e77
Versione VDF:	6.32.0.19
Euristico:	TR/Bagle.Gen.B

Generale Metodi di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Symantec: W32/Bagle.ck
   • Mcafee: Email-Worm.Win32.Bagle.db
   • Kaspersky: TROJ_BAGLE.DA
   • TrendMicro: W32/Mitglieder.FG
   • Eset: Win32.Bagle.CJ@mm

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica un file “maligno”
   • Clona un file “maligno”
   • Modifica del registro

File Si copia alla seguente posizione:
   • %SYSDIR%\winshost.exe

Rinomina i seguenti file:

    • AUPDATE.EXE in AUPD1ATE.EXE
    • av.dll in a5v.dll
    • Avconsol.exe in Avc1onsol.exe
    • avgcc.exe in avgc3c.exe
    • avgemc.exe in avg23emc.exe
    • Avsynmgr.exe in Av1synmgr.exe
    • cafix.exe in c6a5fix.exe
    • CMGrdian.exe in CM1Grdian.exe
    • isafe.exe in is5a6fe.exe
    • KAV.exe in K2A2V.exe
    • kavmm.exe in kav12mm.exe
    • LUALL.EXE in LUAL1L.EXE
    • LUINSDLL.DLL in LUI1NSDLL.DLL
    • Luupdate.exe in Luup1date.exe
    • Mcshield.exe in Mcsh1ield.exe
    • outpost.exe in outp1ost.exe
    • RuLaunch.exe in RuLa1unch.exe
    • Up2Date.exe in Up222Date.exe
    • vetredir.dll in ve6tre5dir.dll
    • Vshwin32.exe in Vshw1in32.exe
    • VsStat.exe in Vs1Stat.exe
    • vsvault.dll in vs6va5ult.dll
    • zatutor.exe in zatu6tor.exe
    • zlavscan.dll in zl5avscan.dll
    • zlclient.exe in zlcli6ent.exe
    • zonealarm.exe in zo3nealarm.exe

Viene creato il seguente file:

– %SYSDIR%\wiwshost.exe Riconosciuto come: TR/Bagle.CS.1

– Le posizioni sono le seguenti:
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.cn/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.nl/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com.pl/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.com.tw/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com.tw/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.cl/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.ch/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com.pe/osa6.gif
   • www.**********.ee/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.ch/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.nl/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.org/osa6.gif
   • www.**********.home.pl/osa6.gif
   • www.**********.at/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com.hk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.dehtdocs/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com.cn/osa6.gif
   • www.**********.de/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.com.pt/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.sk/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.hu/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.net/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.cz/osa6.gif
   • www.**********.be/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.com/osa6.gif
   • www.**********.co.za/osa6.gif
   • www.**********.sk/osa6.gif
Viene salvato in locale sotto: %WINDIR%\_re_file.exe Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/Bagle.CQ.5.1

Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe" = "%SYSDIR%\winshost.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe" = "%SYSDIR%\winshost.exe"

I valori delle seguenti chiavi di registro vengono rimossi:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "McAfee.InstantUpdate.Monitor"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "Zone Labs Client"
   • "avg7_emc"
   • "avg7_cc"
   • "KAV50"
   • "APVXDWIN"
   • "McAfee Guardian"
   • "SSC_UserPrompt"
   • "NAV CfgWiz"
   • "ccApp"
   • "Symantec NetDriver Monitor"

Le seguenti chiavi di registro che includono tutti i valori e le sottochiavi, vengono rimosse:
   • [HKLM\SOFTWARE\Zone Labs]
   • [HKLM\SOFTWARE\Panda Software]
   • [HKLM\SOFTWARE\Agnitum]
   • [HKLM\SOFTWARE\KasperskyLab]
   • [HKLM\SOFTWARE\McAfee]
   • [HKLM\SOFTWARE\Symantec]

Viene aggiunta la seguente chiave di registro:

– [HKCU\Software\FirstRun]
   • "FirstRunRR" = dword:00000001

Email Non possiede una propria procedura di propagazione, però si trasmette tramite email. Le caratteristiche sono descritte qui di seguito:

File allegato:
Il nome del file allegato è uno dei seguenti:
   • new__price.zip
   • new_price.zip
   • newprice.zip
   • price2.zip
   • 09_price.zip
   • price_09.zip

Host L'host del file viene modificato come spiegato:

– In questo caso i dati immessi già esistenti vengono cancellati.

L'host del file modificato sarà del tipo:

Processi terminati Lista dei processi che vengono terminati:
   • ATUPDATER.EXE; AUPDATE.EXE; AUTODOWN.EXE; AUTOTRACE.EXE;
      AUTOUPDATE.EXE; AVPUPD.EXE; AVWUPD32.EXE; AVXQUAR.EXE; CFIAUDIT.EXE;
      DRWEBUPW.EXE; ESCANH95.EXE; ESCANHNT.EXE; FIREWALL.EXE; ICSSUPPNT.EXE;
      ICSUPP95.EXE; LUALL.EXE; MCUPDATE.EXE; NUPGRADE.EXE; OUTPOST.EXE;
      UPDATE.EXE; UPGRADER.EXE

I seguenti servizi vengono disattivati:
   • Ahnlab task Scheduler; alerter; AlertManger; AVExch32Service;
      avg7alrt; avg7updsvc; AvgCore; AvgFsh; AvgServ; avpcc; AVUPDService;
      AvxIni; awhost32; backweb client - 4476822; BackWeb Client - 7681197;
      backweb client-4476822; BlackICE; CAISafe; ccEvtMgr; ccPwdSvc;
      ccSetMgr; ccSetMgr.exe; DefWatch; dvpapi; dvpinit; fsbwsys; fsdfwd;
      F-Secure Gatekeeper Handler Starter; KAVMonitorService; kavsvc;
      KLBLMain; McAfee Firewall; McAfeeFramework; McShield; McTaskManager;
      mcupdmgr.exe; MCVSRte; MonSvcNT; navapsvc; Network Associates Log
      Service; NISSERV; NISUM; NOD32ControlCenter; NOD32Service; Norman
      NJeeves; Norman ZANDA; Norton Antivirus Server; NPFMntor;
      NProtectService; NSCTOP; nvcoas; NVCScheduler; nwclntc; nwclntd;
      nwclnte; nwclntf; nwclntg; nwclnth; NWService; Outbreak Manager;
      Outpost Firewall; OutpostFirewall; PASSRV; PAVFNSVR; Pavkre; PavProt;
      PavPrSrv; PAVSRV; PCCPFW; PersFW; PREVSRV; PSIMSVC; ravmon8; SAVFMSE;
      SAVScan; SBService; schscnt; SharedAccess; SmcService; SNDSrvc;
      SPBBCSvc; SweepNet; SWEEPSRV.SYS; Symantec AntiVirus Client; Symantec
      Core LC; Tmntsrv; V3MonNT; V3MonSvc; VexiraAntivirus; VisNetic
      AntiVirus Plug-in; vsmon; wuauserv; XCOMM

Come il virus si inserisce nei processi – Inserisce il seguente file in un processo: %SYSDIR%\wiwshost.exe

Nome del processo:
• explorer.exe

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Razvan Olteanu il Tue, 20 Sep 2005 10:34 (GMT+1)
Descrizione aggiornata da Razvan Olteanu il Wed, 21 Sep 2005 16:02 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro