TR/Bagle.DH - Trojan

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	TR/Bagle.DH
Scoperto:	21/09/2005
Tipo:	Trojan
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Basso
Potenziale di danni:	Medio-Basso
File statico:	Si
Dimensione del file:	30.878 Byte
Somma di controllo MD5:	a52e2715a253b1f53b9cffdd11d4e0d0
Versione VDF:	6.32.0.34

Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione

Alias:
   • Symantec: W32.Beagle.CG@mm
   • Kaspersky: Email-Worm.Win32.Bagle.dh
   • Bitdefender: Win32.Bagle.DM@mm

Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Scarica un file
   • Utilizza un proprio motore SMTP per l'invio di email
   • Modifica del registro

File Si copia alla seguente posizione:
   • %SYSDIR%\windll2.exe

Prova a scaricare dei file:

– Le posizioni sono le seguenti:
   • http://localhost/sss.php
   • http://localhost/script2.php
   • http://localhost/script3.php
   • http://**********.com/images/web.php
   • http://amerikansk**********.dk/images/web.php
   • http://**********.com/help/web.php
   • http://**********.com/lyra/web.php
   • http://**********.cl/images/web.php
   • http://**********.com/images/web.php
   • http://**********.nl/images/web.php
   • http://**********.com/bovedas/web.php
Viene salvato in locale sotto: %WINDIR%\eml.exe Al momento dell'analisi questo file non era più disponibile.

Registro I valori delle seguenti chiavi di registro vengono rimossi:

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n]
   • "ICQ Net"
   • "SkynetsRevenge"
   • "KasperskyAVEng"
   • "Norton Antivirus AV"
   • "PandaAVEngine"
   • "EasyAV"
   • "SysMonXP"
   • "MsInfo"
   • "FirewallSvr"
   • "Jammer2nd"
   • "NetDy"
   • "HtProtect"
   • "ICQNet"
   • "Tiny AV"
   • "service"
   • "Special Firewall Service"
   • "Antivirus"
   • "9XHtProtect"
   • "Zone Labs Client Ex"
   • "My AV"

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n]
   • "ICQ Net"
   • "SkynetsRevenge"
   • "KasperskyAVEng"
   • "Norton Antivirus AV"
   • "PandaAVEngine"
   • "EasyAV"
   • "SysMonXP"
   • "MsInfo"
   • "FirewallSvr"
   • "Jammer2nd"
   • "NetDy"
   • "HtProtect"
   • "ICQNet"
   • "Tiny AV"
   • "service"
   • "Special Firewall Service"
   • "Antivirus"
   • "9XHtProtect"
   • "Zone Labs Client Ex"
   • "My AV"

Viene aggiunta la seguente chiave di registro:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Ru1n]
   • "%SYSDIR%\windll2.exe"

Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:

Da:
L'indirizzo del mittente è falso.

A:
– Indirizzi recuperati da internet.

Oggetto:
La riga dell'oggetto è vuota.

Corpo dell'email:
Il corpo dell’email è come uno dei seguenti:
   • price
   • new price

File allegato:
Il contenuto del file non è una copia di se stesso ma un altro malware. Una descrizione può essere trovata qui: TR/Bagle.CW

Il nome del file allegato è uno dei seguenti:
   • 09_price.zip
   • new__price.zip
   • new_price.zip
   • newprice.zip
   • price.zip
   • price_09.zip
   • price_new.zip
   • price2.zip

L’email si presenta come di seguito:

Invio di messaggi Non invia email agli indirizzi che contengono una delle seguenti stringhe:
   • @eerswqe; @derewrdgrs; @microsoft; rating@; f-secur; update; anyone@;
      bugs@; contract@; feste; gold-certs@; help@; info@; nobody@; noone@;
      admin; icrosoft; support; ntivi; linux; listserv; certific; sopho;
      @iana; free-av; @messagelab; winzip; google; winrar; samples; abuse;
      panda; cafee; @avp.; noreply; local; root@; postmaster@

Server MX:
Non utilizza il server MX standard.
Ha la capacità di contattare il server MX:
   • smtp.mail.ru

Risoluzione dei nomi (DNS):
Se la richiesta tramite il DNS standard fallisce, continua con la seguente:
Ha la capacità di contattare il server DNS:
   • 194.190.195.66

Backdoor Viene aperta la seguente porta:

– %file eseguiti% sulla porta TCP 80 con lo scopo di procurarsi un server proxy.

Varie Mutex:
Crea i seguenti Mutex:
   • vMuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
   • 'D'r'o'p'p'e'd'S'k'y'N'e't'
   • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
   • [SkyNet.cz]SystemsMutex
   • AdmSkynetJklS003
   • ____--->>>>U<<<<--____
   • _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Razvan Olteanu il Thu, 22 Sep 2005 10:35 (GMT+1)
Descrizione aggiornata da Razvan Olteanu il Mon, 26 Sep 2005 12:46 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro