TR/Bagle.CR - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/Bagle.CR
Scoperto:	20/09/2005
Tipo:	Trojan
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Medio
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio
File statico:	Si
Dimensione del file:	35.554 Byte
Somma di controllo MD5:	858B2DA472870C591BF4D0CDE91AC53B
Versione VDF:	6.32.0.18

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Symantec: Trojan.Tooso.P
   • Mcafee: W32/Bagle.cj
   • Kaspersky: Email-Worm.Win32.Bagle.da
   • TrendMicro: TROJ_BAGLE.DA
   • F-Secure: W32/Mitglieder.FF
   • Bitdefender: Win32.Bagle.CJ@mm

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Disattiva le applicazioni di sicurezza
   • Scarica file “maligni”
   • Clona un file “maligno”
   • Modifica del registro

Giusto dopo l'esecuzione, avvia un'applicazione Windows che visualizzerà la seguente finestra:

File Si copia alla seguente posizione:
   • %SYSDIR%\winshost.exe

Rinomina i seguenti file:

    • CCSETMGR.EXE in C1CSETMGR.EXE
    • CCEVTMGR.EXE in CC1EVTMGR.EXE
    • NAVAPSVC.EXE in NAV1APSVC.EXE
    • NPFMNTOR.EXE in NPFM1NTOR.EXE
    • symlcsvc.exe in s1ymlcsvc.exe
    • SPBBCSvc.exe in SP1BBCSvc.exe
    • SNDSrvc.exe in SND1Srvc.exe
    • ccApp.exe in ccA1pp.exe
    • ccl30.dll in cc1l30.dll
    • ccvrtrst.dll in ccv1rtrst.dll
    • LUALL.EXE in LUAL1L.EXE
    • AUPDATE.EXE in AUPD1ATE.EXE
    • Luupdate.exe in Luup1date.exe
    • LUINSDLL.DLL in LUI1NSDLL.DLL
    • RuLaunch.exe in RuLa1unch.exe
    • CMGrdian.exe in CM1Grdian.exe
    • Mcshield.exe in Mcsh1ield.exe
    • outpost.exe in outp1ost.exe
    • Avconsol.exe in Avc1onsol.exe
    • Vshwin32.exe in Vshw1in32.exe
    • VsStat.exe in Vs1Stat.exe
    • Avsynmgr.exe in Av1synmgr.exe
    • kavmm.exe in kav12mm.exe
    • Up2Date.exe in Up222Date.exe
    • KAV.exe in K2A2V.exe
    • avgcc.exe in avgc3c.exe
    • avgemc.exe in avg23emc.exe
    • zonealarm.exe in zo3nealarm.exe
    • zatutor.exe in zatu6tor.exe
    • zlavscan.dll in zl5avscan.dll
    • zlclient.exe in zlcli6ent.exe
    • isafe.exe in is5a6fe.exe
    • cafix.exe in c6a5fix.exe
    • vsvault.dll in vs6va5ult.dll
    • av.dll in a5v.dll
    • vetredir.dll in ve6tre5dir.dll

Viene creato il seguente file:

– %SYSDIR%\wiwshost.exe Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/Bagle.CR.1

Prova a scaricare un file:

– Le posizioni sono le seguenti:
   • http://www.21ebu**********.com/osa6.gif
   • http://www.**********.net/osa6.gif
   • http://www.acs**********.com/osa6.gif
   • http://www.ag**********.hu/osa6.gif
   • http://www.a**********.com/.vn/osa6.gif
   • http://www.ang**********.de/osa6.gif
   • http://www.ascolf**********.com/osa6.gif
   • http://www.automobil**********.de/osa6.gif
   • http://www.ban**********.cn/osa6.gif
   • http://www.beall**********.com/osa6.gif
   • http://www.b**********.at/osa6.gif
   • http://www.bs-sec**********.de/osa6.gif
   • http://www.centroveste**********.it/osa6.gif
   • http://www.checko**********.nl/osa6.gif
   • http://www.**********project.com/osa6.gif
   • http://www.**********wanjia.com/osa6.gif
   • http://www.czwa**********.com/osa6.gif
   • http://www.**********net.hu/osa6.gif
   • http://www.design**********.org/osa6.gif
   • http://www.dgy.com/**********/osa6.gif
   • http://www.**********-fliesen.de/osa6.gif
   • http://www.discoteka-**********.com/osa6.gif
   • http://www.**********-invest.com/osa6.gif
   • http://www.ea**********.com/osa6.gif
   • http://www.**********club.com/osa6.gif
   • http://www.eh**********.hu/osa6.gif
   • http://www.elvis**********.ch/osa6.gif
   • http://www.engelhard**********.de/osa6.gif
   • http://www.exter**********.hu/osa6.gif
   • http://www.fahrschule**********.de/osa6.gif
   • http://www.**********-lesser.de/osa6.gif
   • http://www.ferme**********.com/osa6.gif
   • http://www.festivalteatro**********.com/osa6.gif
   • http://www.form**********.at/osa6.gif
   • http://www.foto**********.fi/osa6.gif
   • http://www.**********trox.com/.tw/osa6.gif
   • http://www.gepe**********.org/osa6.gif
   • http://www.gimex-**********.de/osa6.gif
   • http://www.**********home.com/.tw/osa6.gif
   • http://www.**********mzn.cz/osa6.gif
   • http://www.**********service.be/osa6.gif
   • http://www.id**********.de/osa6.gif
   • http://www.**********cs.be/osa6.gif
   • http://www.**********er.cl/osa6.gif
   • http://www.inside-**********.de/osa6.gif
   • http://www.**********oli.sk/osa6.gif
   • http://www.**********-american.com/osa6.gif
   • http://www.jeo**********.com/osa6.gif
   • http://www.jing**********.com/osa6.gif
   • http://www.**********-bo.com/osa6.gif
   • http://www.king**********.ch/osa6.gif
   • http://www.marke**********.com/osa6.gif
   • http://www.mega**********.net/osa6.gif
   • http://www.**********ild.at/osa6.gif
   • http://www.ni**********.de/osa6.gif
   • http://www.**********gmbh.com/osa6.gif
   • http://www.**********va.com/.pe/osa6.gif
   • http://www.**********24.ee/osa6.gif
   • http://www.**********link.net/osa6.gif
   • http://www.**********-alliance.de/osa6.gif
   • http://www.pre**********.ch/osa6.gif
   • http://www.renega**********.com/osa6.gif
   • http://www.repl**********.com/osa6.gif
   • http://www.**********buecher.de/osa6.gif
   • http://www.sanjin**********.com/osa6.gif
   • http://www.scvanra**********.nl/osa6.gif
   • http://www.slova**********.sk/osa6.gif
   • http://www.**********photo.com/osa6.gif
   • http://www.socie**********.de/osa6.gif
   • http://www.**********co.org/osa6.gif
   • http://www.soft**********.ru/osa6.gif
   • http://www.so**********.org/osa6.gif
   • http://www.spac**********.biz/osa6.gif
   • http://www.speedcom.**********.pl/osa6.gif
   • http://www.**********-in-steel.at/osa6.gif
   • http://www.spo**********.de/osa6.gif
   • http://www.sport**********.com/osa6.gif
   • http://www.**********y.az/osa6.gif
   • http://www.**********solutions.com/osa6.gif
   • http://www.st-paulus-**********.de/osa6.gif
   • http://www.st**********.com/osa6.gif
   • http://www.steri**********.com/osa6.gif
   • http://www.students.**********.ac.uk/osa6.gif
   • http://www.**********planet.com/osa6.gif
   • http://www.sun**********.com/osa6.gif
   • http://www.super**********.com/osa6.gif
   • http://www.**********eb.cz/osa6.gif
   • http://www.syd**********.com/osa6.gif
   • http://www.**********iheng.com/osa6.gif
   • http://www.**********campus.net/osa6.gif
   • http://www.tec**********.de/osa6.gif
   • http://www.**********-mutan.com/osa6.gif
   • http://www.thai**********.com/osa6.gif
   • http://www.**********venture.com/osa6.gif
   • http://www.**********funkiest.com/osa6.gif
   • http://www.**********step.tv/osa6.gif
   • http://www.thetexas**********.com/osa6.gif
   • http://www.tmhcsd1987.**********.pl/osa6.gif
   • http://www.tous**********.be/osa6.gif
   • http://www.tr**********.com/osa6.gif
   • http://www.travel**********.com/osa6.gif
   • http://www.**********.dobrcz.pl/osa6.gif
   • http://www.tri**********.cz/osa6.gif
   • http://www.**********tonic.ch/osa6.gif
   • http://www.tv-**********.com/osa6.gif
   • http://www.**********-cassinadepecchi.it/osa6.gif
   • http://www.uni**********.sk/osa6.gif
   • http://www.**********chair.com/osa6.gif
   • http://www.u**********.hu/osa6.gif
   • http://www.**********senelektro.be/osa6.gif
   • http://www.vet**********.com/osa6.gif
   • http://www.**********meloni.com/osa6.gif
   • http://www.**********nn.vn/osa6.gif
   • http://www.**********vjiet.ac.in/osa6.gif
   • http://www.vote2**********.com/osa6.gif
   • http://www.vw.**********-bank.pl/osa6.gif
   • http://www.wamba.**********.au/osa6.gif
   • http://www.wdlp.**********.za/osa6.gif
   • http://www.**********corp.com/osa6.gif
   • http://www.**********productions.com/osa6.gif
   • http://www.wilson**********.com/osa6.gif
   • http://www.wind**********.pl/osa6.gif
   • http://www.**********-industries.com/osa6.gif
   • http://www.**********old.pl/osa6.gif
   • http://www.womb**********.com/osa6.gif
   • http://www.**********reme.cz/osa6.gif
   • http://www.xian**********.net/osa6.gif
   • http://www.**********pie.com/osa6.gif
   • http://www.xm**********.com/osa6.gif
   • http://www.xo**********.com/osa6.gif
   • http://www.yannick-**********.be/osa6.gif
   • http://www.**********download.com/osa6.gif
   • http://www.yester**********.za
   • http://www.**********kj.com/osa6.gif
   • http://www.zakazcd.**********.ua/osa6.gif
   • http://www.**********ftware.com/osa6.gif
   • http://www.**********tek.co.za/osa6.gif
   • http://www.zor**********.az/osa6.gif
   • http://www.**********sala.edu.sk/osa6.gif
Viene salvato in locale sotto: %WINDIR%\_re_file.exe Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/Bagle.DE.3.A

Registro Le seguenti chiavi di registro vengono aggiunte per eseguire i processi dopo il riavvio:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe"="%SYSDIR%\winshost.exe"

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • "winshost.exe"="%SYSDIR%\winshost.exe"

I valori delle seguenti chiavi di registro vengono rimossi:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • Symantec NetDriver Monitor
   • ccApp
   • NAV CfgWiz
   • SSC_UserPrompt
   • McAfee Guardian
   • APVXDWIN
   • KAV50
   • avg7_cc
   • avg7_emc
   • Zone Labs Client

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • McAfee.InstantUpdate.Monitor

Le seguenti chiavi di registro che includono tutti i valori e le sottochiavi, vengono rimosse:
   • [HKLM\SOFTWARE\Symantec]
   • [HKLM\SOFTWARE\McAfee]
   • [HKLM\SOFTWARE\KasperskyLab]
   • [HKLM\SOFTWARE\Agnitum]
   • [HKLM\SOFTWARE\Panda Software]
   • [HKLM\SOFTWARE\Zone Labs]

Viene aggiunta la seguente chiave di registro:

– [HKCU\Software\FirstRun]
   • "FirstRunRR"=dword:00000001

Vengono cambiate le seguenti chiavi di registro:

– [HKLM\SYSTEM\CurrentControlSet\Services\wuauserv]
   Valore precedente:
   • "Start"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess]
   Valore precedente:
   • "Start"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

– [HKLM\SYSTEM\CurrentControlSet\Services\Alerter]
   Valore precedente:
   • "Start"=%impostazioni definite dell'utente%
   Nuovo valore:
   • "Start"=dword:00000004

Email Non possiede una propria procedura di propagazione, però si trasmette tramite email. Le caratteristiche sono descritte qui di seguito:

File allegato:
Il nome del file allegato è uno dei seguenti:
   • new__price.zip
   • new_price.zip
   • newprice.zip
   • price2.zip
   • 09_price.zip
   • price_09.zip

Host L'host del file viene modificato come spiegato:

– In questo caso i dati immessi già esistenti vengono cancellati.

L'host del file modificato sarà del tipo:

Processi terminati Lista dei processi che vengono terminati:
   • NUPGRADE.EXE; MCUPDATE.EXE; ATUPDATER.EXE; AUPDATE.EXE; AUTOTRACE.EXE;
      AUTOUPDATE.EXE; FIREWALL.EXE; ATUPDATER.EXE; LUALL.EXE; DRWEBUPW.EXE;
      AUTODOWN.EXE; NUPGRADE.EXE; OUTPOST.EXE; ICSSUPPNT.EXE; ICSUPP95.EXE;
      ESCANH95.EXE; AVXQUAR.EXE; ESCANHNT.EXE; UPGRADER.EXE; AVXQUAR.EXE;
      AVWUPD32.EXE; AVPUPD.EXE; CFIAUDIT.EXE; UPDATE.EXE

I seguenti servizi vengono disattivati:
   • wuauserv (Automatic updates); SharedAccess (Windows Firewall/Internet
      Connection Sharing); alerter; PAVSRV; PAVFNSVR; PSIMSVC; Pavkre;
      PavProt; PREVSRV; PavPrSrv; SharedAccess; navapsvc; NPFMntor; Outpost
      Firewall; SAVScan; SBService; Symantec Core LC; ccEvtMgr; SNDSrvc;
      ccPwdSvc; ccSetMgr.exe; SPBBCSvc; KLBLMain; avg7alrt; avg7updsvc;
      vsmon; CAISafe; avpcc; fsbwsys; backweb client - 4476822; backweb
      client-4476822; fsdfwd; F-Secure Gatekeeper Handler Starter; FSMA;
      KAVMonitorService; navapsvc; NProtectService; Norton Antivirus Server;
      VexiraAntivirus; dvpinit; dvpapi; schscnt; BackWeb Client - 7681197;
      F-Secure Gatekeeper Handler Starter; FSMA; AVPCC; KAVMonitorService;
      Norman NJeeves; NVCScheduler; nvcoas; Norman ZANDA; PASSRV; SweepNet;
      SWEEPSRV.SYS; NOD32ControlCenter; NOD32Service; PCCPFW; Tmntsrv;
      AvxIni; XCOMM; ravmon8; SmcService; BlackICE; PersFW; McAfee Firewall;
      OutpostFirewall; NWService; sharedaccess; NISUM; NISSERV; vsmon;
      nwclnth; nwclntg; nwclnte; nwclntf; nwclntd; nwclntc; navapsvc;
      Symantec Core LC; SAVScan; kavsvc; DefWatch; Symantec AntiVirus
      Client; NSCTOP; Symantec Core LC; SAVScan; SAVFMSE; ccEvtMgr;
      navapsvc; ccSetMgr; VisNetic AntiVirus Plug-in; McShield; AlertManger;
      McAfeeFramework; AVExch32Service; AVUPDService; McTaskManager; Network
      Associates Log Service; Outbreak Manager; MCVSRte; mcupdmgr.exe;
      AvgServ; AvgCore; AvgFsh; awhost32; Ahnlab task Scheduler; MonSvcNT;
      V3MonNT; V3MonSvc; FSDFWD

Come il virus si inserisce nei processi – Inserisce il seguente file in un processo: %SYSDIR%\wiwhosts.exe

Nome del processo:
• explorer.exe

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Gherman il Tue, 20 Sep 2005 14:42 (GMT+1)
Descrizione aggiornata da Andrei Gherman il Thu, 22 Sep 2005 16:57 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro