Worm/Bagle.FK - Worm

Vedi anche

In breve

Descrizione completa

Statistiche

Nome del virus:	Worm/Bagle.FK
Scoperto:	09/02/2006
Tipo:	Worm
In circolazione (ITW):	Si
Numero delle infezioni segnalate:	Basso
Potenziale di propagazione:	Medio-Alto
Potenziale di danni:	Basso
File statico:	No
Dimensione del file:	~ 26.000 Byte
Versione VDF:	6.33.00.215

Generale Metodo di propagazione:
   • Email
   • Peer to Peer

Alias:
   • Bitdefender: Trojan.Downloader.Bagle.EO

Piattaforme / Sistemi operativi:
   • Windows 2000
   • Windows XP
   • Windows 2003

Effetti secondari:
   • Duplica file “maligni”
   • Utilizza un proprio motore SMTP per l'invio di email
   • Modifica del registro

Giusto dopo l'esecuzione viene visualizzata la seguente informazione:

File Si copia alla seguente posizione:
   • %SYSDIR%\regmaping.exe

Copia se stesso nelle seguenti posizioni. Questi file hanno dei byte casuali aggiunti in coda, pertanto possono differire dall'originale:
   • %SYSDIR%\regmaping.exeopen
   • %SYSDIR%\regmaping.exeopenopen

Viene creato il seguente file:

– %WINDIR%\winresw.exe Viene eseguito ulteriormente dopo che è stato completamente creato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: Worm/Bagle.FJ.2

Registro Viene aggiunta nel registro la seguente chiave con lo scopo di eseguire il processo dopo il riavvio:

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Regmonitor"="%SYSDIR%\regmaping.exe"

I valori delle seguenti chiavi di registro vengono rimossi:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • 9XHtProtect
   • Antivirus
   • EasyAV
   • FirewallSvr
   • HtProtect
   • ICQ Net
   • ICQNet
   • Jammer2nd
   • KasperskyAVEng
   • MsInfo
   • My AV
   • NetDy
   • Norton Antivirus AV
   • PandaAVEngine
   • service
   • SkynetsRevenge
   • Special Firewall Service
   • SysMonXP
   • Tiny AV
   • Zone Labs Client Ex

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • 9XHtProtect
   • Antivirus
   • EasyAV
   • FirewallSvr
   • HtProtect
   • ICQ Net
   • ICQNet
   • Jammer2nd
   • KasperskyAVEng
   • MsInfo
   • My AV
   • NetDy
   • Norton Antivirus AV
   • PandaAVEngine
   • service
   • SkynetsRevenge
   • Special Firewall Service
   • SysMonXP
   • Tiny AV
   • Zone Labs Client Ex

Email Contiene un motore SMTP integrato per inviare le email. Verrà stabilita una connessione diretta con il server di destinazione. Le caratteristiche sono descritte di seguito:

A:
– Indirizzi email trovati in specifici file sul sistema.

Oggetto:
Uno dei seguenti:
   • Your Receipt %vari numeri casuali da 0 a 9%
   • Billing department, order %vari numeri casuali da 0 a 9%
   • Order reminder: ID %vari numeri casuali da 0 a 9%

Corpo dell'email:
Il corpo dell’email è come uno dei seguenti:

   • ******************************************************************

     Details about your reciept attached with this email. You have to use Adobe Acrobat Reader to open it.

     Transaction Number: %vari numeri casuali da 0 a 9%
     This is your receipt for your $1490 purchase of a 1.0 months
     subscription which will appear on your statement as %vari numeri casuali da 0 a 9%.
     Your membership will automatically renew per the terms and conditions.

     Should you ever have any
     problems whatsoever, please don't hesitate to contact our live technical support staff - available 24 hours a day 7 days a week. We can be reached by phone toll free in the US at 800-534-8593. Rather use email?
     Drop us a line at bill@gmail.com and we'll always get back to you within an hour.

     Enjoy the service?
     Support

     ******************************************************************

   • Your email %indirizzo email del ricevente% has exceeded its
bandwidth quota in the period beginning on 2006-01-01.
Your quota is set to 10485760 bytes (10.0 MB), and
your email has consumed 559189702 bytes (533.285 MB) beyond that quota.

Our over-bandwidth charges are
Additional Bandwidth/Month Monthly Cost
100 Mb $200.00
200 MB $360.00
300 MB $480.00
400 MB $624.00
500 Mb $740.00 <- your over-usage
600 Mb $850.00

Our automatically generated bill is attached with this email.

Sincerely,
Sales Manager.



   • Dear Sir or Madam,

     This notification is just a friendly reminder (not a bill or a second charge) that on 15-JAN-06, you placed an order from Symantec Store. This order was paid using your Visa, whose last 4 digits are ************2346, and will be appearing on your billing statement shortly. The charge will appear as DR *Symantec. This is just a reminder to help you recognize the charge. You will not be charged again.
     You antivirus definition file is attached to this email, please install it to be perfectly protected from the latest viruses and other internet threats.

File allegato:
Il nome del file allegato è uno dei seguenti:
   • Order_details.exe
   • Service_receipt.exe
   • Generated_bill.exe

L'allegato è una copia del malware stesso.

Invio di messaggi Cerca indirizzi:
Cerca i seguenti file per gli indirizzi email:
   • .wab; .txt; .msg; .htm; .shtm; .stm; .xml; .dbx; .mbx; .mdx; .eml;
      .nch; .mmf; .ods; .cfg; .asp; .php; .wsh; .adb; .tbb; .sht; .xls;
      .oft; .uin; .cgi; .mht; .dhtm; .jsp

Evita indirizzi:
Non invia email agli indirizzi che contengono una delle seguenti stringhe:
   • @hotmail; @msn; @microsoft; rating@; f-secur; news; update; anyone@;
      bugs@; contract@; feste; gold-certs@; help@; info@; nobody@; noone@;
      kasp; admin; icrosoft; support; ntivi; unix; bsd; linux; listserv;
      certific; sopho; @foo; @iana; free-av; @messagelab; winzip; google;
      winrar; samples; abuse; panda; cafee; spam; pgp; @avp.; noreply;
      local; root@; postmaster@

P2P Per “infettare” altri sistemi della comunità della rete Peer to Peer, viene eseguita la seguente azione:   Cerca le directory che contengono la seguente sottostringa:
   • shar

   Se riuscito, i seguenti file vengono creati:
   • Adobe Photoshop 9 full.exe; Ahead Nero 10.exe; anna benson sex
      video.exe; barrett jackson nude photos, movies, porn video.exe;
      Britney Spears sex photos.exe; IE beta 7.exe; jenna elfman sex anal
      deepthroat; kate beckinsale nude pictures.exe; miss america Porno,
      sex, oral, anal cool, awesome!!.exe; paris hilton Porno pics arhive,
      xxx.exe; Porno Screensaver.scr; Serials 2005 database.exe;
      Serials.txt.exe; Windown Vista Beta Leak.exe; Windows Sourcecode
      update.doc.exe; XXX hardcore images.exe

   Questi file sono copie del malware stesso.

Backdoor Viene aperta la seguente porta:

– %SYSDIR%\regmaping.exe sulla porta TCP 6777

Contatta il server:
Il seguente:
• http://ijj.t**********

Come risultato può inviare alcune informazioni.

Invia informazioni riguardanti:
• Stato corrente del malware

Varie Mutex:
Crea i seguenti Mutex:
   • MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
   • 'D'r'o'p'p'e'd'S'k'y'N'e't'
   • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
   • [SkyNet.cz]SystemsMutex
   • AdmSkynetJklS003
   • ____--->>>>U<<<<--____
   • _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
   • smtp_bagla_1000

Stringa:
In più contiene la seguente stringa:
   • In a difficult world
In a nameless time
I want to survive
So, you will be mine!!
-- Bagle Author, 29.04.04, Germany.

Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con il seguente software di compressione:
• UPX

Per la descrizione "in breve" clicca qui.

Descrizione inserita da Andrei Ivanes il Thu, 09 Feb 2006 14:59 (GMT+1)
Descrizione aggiornata da Andrei Ivanes il Fri, 10 Feb 2006 10:35 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« Indietro