Имя:Worm/Bagz.D.3
Обнаружен:22/10/2004
Вид:Червь
В реальных условиях:Да
Отмеченные факты заражения:От среднего до высокого
Потенциал распространения:Средний
Потенциал повреждений:От низкого до среднего
Файл статистики:Нет
Размер файла:~ 155.000 байт.
Версия VDF:6.28.00.32

 Общее Метод распространения:
   • Email


Псевдонимы (аliases):
   •  Symantec: W32.Bagz.E@mm
   •  Mcafee: W32/Bagz.e@MM
   •  Kaspersky: Email-Worm.Win32.Bagz.d
   •  TrendMicro: WORM_BAGZ.D
   •  Sophos: W32/Bagz-D
   •  Grisoft: I-Worm/Bagz.D
   •  VirusBuster: I-Worm.Bagz.G


Операционные системы:
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Последствия:
   • Блокирует доступ к различным веб-сайтам
   • Блокирует доступ к веб-страницам IT-security компаний
   • Создает файлы
   • Создает вредоносные файлы
   • Использует собственный почтовый движок
   • Изменение реестра

 Файлы Создаются собственные копии:
   • %SYSDIR%\about.doc%знаки пробела%.exe
   • %SYSDIR%\admin.doc%знаки пробела%.exe
   • %SYSDIR%\archivator.doc%знаки пробела%.exe
   • %SYSDIR%\archives.doc%знаки пробела%.exe
   • %SYSDIR%\ataches.doc%знаки пробела%.exe
   • %SYSDIR%\docs.doc%знаки пробела%.exe
   • %SYSDIR%\documentation.doc%знаки пробела%.exe
   • %SYSDIR%\help.doc%знаки пробела%.exe
   • %SYSDIR%\inbox.doc%знаки пробела%.exe
   • %SYSDIR%\manual.doc%знаки пробела%.exe
   • %SYSDIR%\outbox.doc%знаки пробела%.exe
   • %SYSDIR%\payment.doc%знаки пробела%.exe
   • %SYSDIR%\photos.doc%знаки пробела%.exe
   • %SYSDIR%\rar.doc%знаки пробела%.exe
   • %SYSDIR%\readme.doc%знаки пробела%.exe
   • %SYSDIR%\save.doc%знаки пробела%.exe
   • %SYSDIR%\sysboot.doc%знаки пробела%.exe
   • %SYSDIR%\zip.doc%знаки пробела%.exe



Создаются следующие файлы:

– Создаются следующие архивные файлы с копией вредоносной программы:
   • %SYSDIR%\about.zip; %SYSDIR%\admin.zip; %SYSDIR%\archivator.zip;
      %SYSDIR%\archives.zip; %SYSDIR%\ataches.zip; %SYSDIR%\docs.zip;
      %SYSDIR%\documentation.zip; %SYSDIR%\help.zip; %SYSDIR%\inbox.zip;
      %SYSDIR%\manual.zip; %SYSDIR%\outbox.zip; %SYSDIR%\payment.zip;
      %SYSDIR%\photos.zip; %SYSDIR%\rar.zip; %SYSDIR%\readme.zip;
      %SYSDIR%\save.zip; %SYSDIR%\zip.zip

– %SYSDIR%\wdate.dll Файл является безвредным текстовым файлом со следующим содержимым:
   • %актуальная дата% %актуальное время (часы)%

– %SYSDIR%\rpc32.exe После полного завершения процесса создания он запускается на выполнение. Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: Worm/Bagz.D.1

– %SYSDIR%\run32.exe Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: Worm/Bagz.D.2

– %SYSDIR%\ipdb.dll

 Реестр Добавляются следующие ключи реестра:

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32]
   • "Type"=dword:00000120
   • "Start"=dword:00000002
   • "ErrorControl"=dword:00000000
   • "ImagePath"=%SYSDIR%\rpc32.exe
   • "DisplayName"="Network Explorer"
   • "ObjectName"="LocalSystem"
   • "Description"="Starts and configures accessibility tools from one window "

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32\Security]
   • "Security"=%шестнадцатиричное значение%

– [HKLM\SYSTEM\CurrentControlSet\Services\RPC32\Enum]
   • "0"="Root\\LEGACY_RPC32\\0000"
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001

 Email Программа располагает собственным SMTP ядром для рассылки электронных писем. Устанавливается прямое соединение с удаленным сервером. Подробности приводятся здесь:


От:
Адрес отправителя был фальсифицирован.


Кому:
– В определенных файлах системы были обнаружены электронные адреса.


Дизайн писем:
Тема: ASAP
Текст письма:
   • Hi
     
     Did you get the previous document I attached for you?
     I resent it in this email just in case, because I
     really need you to check it out asap.
     
     Best Regards
Тема: please responce
Текст письма:
   • Hi
     
     I made a mistake and forgot to click attach
     on the previous email I sent you. Please give me
     your opinion on this opportunity when you get a chance.
     
     Best Regards
Тема: Read this
Текст письма:
   • Hi
     
     I was supposed to send you this document yesterday.
     Sorry for the delay, please forward this to your family if possible.
     It contains important info for both of you.
Тема: urgent
Текст письма:
   • Hi
     
     Sorry, I forgot to send an important
     document to you in that last email. I had an important phone call.
     Please checkout attached doc file when you have a moment.
     
     Best Regards
     
Тема: toxic
Текст письма:
   • Hi
     
     I was in a rush and I forgot to attach an important
     document. Please see attached doc file.
     
     Best Regards,
Тема: contract
Текст письма:
   • Sorry to bother you, but I am having a problem receiving your emails.
     I am responding to your last email in the attached file.
     Please get back to me if there is any problem reading the attachment.
Тема: Money
Текст письма:
   • I am responding to your last email in the attached file.
     I had a delivery problem with your inbox, so maybe you'll receive this now.
Тема: office
Текст письма:
   • Can you please check out the email I have attached?
     For some reason, I received only part of your last several emails.
     I want to make sure that there are no problems with either of our accounts.
Тема: Have a nice day
Текст письма:
   • This email is being sent as attachment because
     it was previously blocked by your email filters.
     Please view the attachment and respond.
     Thanks
Тема: Hello
Текст письма:
   • I resent this email as attachment because
     it was previously blocked by your email filters.
     Please read the attachment and respond.
     Thanks
Тема: Russian's
Текст письма:
   • I apologize, but I need you to verify
     that I have the correct contact info for you.
     My system crashed last weekend and
     I lost most of my friends and work contacts.
     Please check the attached (.pdf) and
     please let me know if your info is current.
Тема: Amirecans
Текст письма:
   • My last email to you was returned.
     The reason is that I am not currently
      added to your "allowed" contact list.
     Please add my updated contact info
     provided in the attached (.pdf) file
     so I can send you emails in the future.
     Sincerely
Тема: attachments
Текст письма:
   • I have updated my email address
     See the (.pdf) file attached and
     please respond if you have any questions.
     
Тема: attach
Текст письма:
   • We have made recent updates to our database.
     Please verify your mailing address on file is correct.
     We have attached a (.pdf) sheet for you to use for your response.
Тема: waiting
Текст письма:
   • Hello
     
     Our contact information has changed.
     See the attached (.pdf) sheet for details.
     
     Sincerely,
Тема: best regards
Текст письма:
   • ***URGENT: SERVICE SHUTDOWN NOTICE***
     Due to your failure to comply with our email
     Rules and Regulations, your email account has been
     temporarily suspended for 24 hours unless we are contacted regarding
     this situation.
     You must read the attached document for further
     instructions. Failure to comply will result in termination of your account.
     Regards,
     Net Operator
     ***URGENT: SERVICE SHUTDOWN NOTICE***
Тема: Administrator
Текст письма:
   • ***ATTENTION: YOUR EMAIL IS NOT BEING DELIVERED!***
     
     ,
     You are currently unable to send emails.
     This may be a billing issue.
     Please call the billing center.
     The
      for the billing office is located in the attached
     contact list for your convenience.
     ***ATTENTION: YOUR EMAIL IS NOT BEING DELIVERED!***
Тема: Warning
Текст письма:
   • ***YOUR MESSAGE HAS BEEN RECOGNIZED AS SPAM***
     Hello,
     
     The previous email you sent has been recognized as spam.
     This means your email was not delivered to your friend or client.
     You must open the attached file to receive more information.
     ***YOUR MESSAGE HAS BEEN RECOGNIZED AS SPAM***
Тема: text
Текст письма:
   • Hello,
     What version of windows you are using?
     This last document I received from you came out weird.
     Please see the attached word file and resend the file to me.
     Many thanks,
     User
Тема: Vasia
Текст письма:
   • Hello,
     My PC crashed while I was sending that last email.
     I have re-attached the document of yours that I discovered.
     Please read attached document and respond ASAP.
     Sincerely,
     User
Тема: re: Andrey
Текст письма:
   • Hello,
     Your email was sent in an INVALID format.
     To verify this email was sent from you,
     simply open the attached email (.eml) file
     and click yes in the sender options box.
     Thank You,
     User
Тема: re: please
Текст письма:
   • Hello,
      Your email was received.
     YOUR REPLY IS URGENT!
     Please view the attached text file for instructions.
     Regards,
     User
Тема: re: order
Текст письма:
   • Hello,
      I was in a hurry and I forgot to attach an important
      document. Please see attached.
      Best Regards,
     User
Тема: Allert!
Текст письма:
   • Hello,
      I resent this email as attachment because
      it was previously blocked by your email filters.
      Please read the attachment and respond.
     
     Thanks,User
     
Тема: Att
Текст письма:
   • Hello,
     Sorry, I forgot to attach the new contact information.
     Please view the attached (.pdf) contact sheet.
     Sincerely,
     User


Тема:
Одно из следующих:
   • Administrator; Allert!; Amirecans; Att; attach; attachments; best
      regards; contract; Have a nice day; Hello; Hi; Money; office; please
      responce; re: Andrey; re: order; re: please; Read this; Russian's;
      text; toxic; urgent; Vasia; waiting; Warning



Прикрепленный файл:
Одно из следующих имен прикрепленного файла:
   • about.zip; admin.zip; archivator.zip; archives.zip; ataches.zip;
      docs.zip; documentation.zip; help.zip; inbox.zip; manual.zip;
      outbox.zip; payment.zip; photos.zip; rar.zip; readme.zip; save.zip;
      zip.zip; about.doc%знаки про
Описание добавил Andrei Ivanes в(о) понедельник, 7 августа 2006 г.
Описание обновил Andrei Ivanes в(о) понедельник, 7 августа 2006 г.

Назад . . . .
 
 
 
 

© 2012 Avira Operations GmbH & Co. KG. Все права защищены.