Worm/Bagle.FK - Worm

это описание доступно в

Резюме

Подробное описание

Статистика

Имя:	Worm/Bagle.FK
Обнаружен:	09/02/2006
Вид:	Червь
В реальных условиях:	Да
Отмеченные факты заражения:	Низкий
Потенциал распространения:	От среднего до высокого
Потенциал повреждений:	Низкий
Файл статистики:	Нет
Размер файла:	~ 26.000 байт.
Версия VDF:	6.33.00.215

Общее Метод распространения:
   • Email
   • Одноранговая сеть

Псевдоним (alias):
   • Bitdefender: Trojan.Downloader.Bagle.EO

Операционные системы:
   • Windows 2000
   • Windows XP
   • Windows 2003

Последствия:
   • Создает вредоносные файлы
   • Использует собственный почтовый движок
   • Изменение реестра

После запуска выдается следующая информация:

Файлы Создается собственная копия:
   • %SYSDIR%\regmaping.exe

Создаются копии вредоносной программы. К файлам добавляются случайные байты. Это делает их отличными от оригинала:
   • %SYSDIR%\regmaping.exeopen
   • %SYSDIR%\regmaping.exeopenopen

Создается файл:

– %WINDIR%\winresw.exe После полного завершения процесса создания он запускается на выполнение. Дальнейшие исследования выявили, что данный файл является вредоносной программой. Определен как: Worm/Bagle.FJ.2

Реестр Добавляется ключ реестра для повторного запуска процесса после перезагрузки системы.

– [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "Regmonitor"="%SYSDIR%\regmaping.exe"

Удаляются значения следующих ключей реестра:

– [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • 9XHtProtect
   • Antivirus
   • EasyAV
   • FirewallSvr
   • HtProtect
   • ICQ Net
   • ICQNet
   • Jammer2nd
   • KasperskyAVEng
   • MsInfo
   • My AV
   • NetDy
   • Norton Antivirus AV
   • PandaAVEngine
   • service
   • SkynetsRevenge
   • Special Firewall Service
   • SysMonXP
   • Tiny AV
   • Zone Labs Client Ex

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
   • 9XHtProtect
   • Antivirus
   • EasyAV
   • FirewallSvr
   • HtProtect
   • ICQ Net
   • ICQNet
   • Jammer2nd
   • KasperskyAVEng
   • MsInfo
   • My AV
   • NetDy
   • Norton Antivirus AV
   • PandaAVEngine
   • service
   • SkynetsRevenge
   • Special Firewall Service
   • SysMonXP
   • Tiny AV
   • Zone Labs Client Ex

Email Программа располагает собственным SMTP ядром для рассылки электронных писем. Устанавливается прямое соединение с удаленным сервером. Подробности приводятся здесь:

Кому:
– В определенных файлах системы были обнаружены электронные адреса.

Тема:
Одно из следующих:
   • Your Receipt %множестов случайных чисел от 0 до 9%
   • Billing department, order %множестов случайных чисел от 0 до 9%
   • Order reminder: ID %множестов случайных чисел от 0 до 9%

Тело:
Тело письма имеет один из следующих видов:

   • ******************************************************************

     Details about your reciept attached with this email. You have to use Adobe Acrobat Reader to open it.

     Transaction Number: %множестов случайных чисел от 0 до 9%
     This is your receipt for your $1490 purchase of a 1.0 months
     subscription which will appear on your statement as %множестов случайных чисел от 0 до 9%.
     Your membership will automatically renew per the terms and conditions.

     Should you ever have any
     problems whatsoever, please don't hesitate to contact our live technical support staff - available 24 hours a day 7 days a week. We can be reached by phone toll free in the US at 800-534-8593. Rather use email?
     Drop us a line at bill@gmail.com and we'll always get back to you within an hour.

     Enjoy the service?
     Support

     ******************************************************************

   • Your email %Электронный адрес получателя% has exceeded its
bandwidth quota in the period beginning on 2006-01-01.
Your quota is set to 10485760 bytes (10.0 MB), and
your email has consumed 559189702 bytes (533.285 MB) beyond that quota.

Our over-bandwidth charges are
Additional Bandwidth/Month Monthly Cost
100 Mb $200.00
200 MB $360.00
300 MB $480.00
400 MB $624.00
500 Mb $740.00 <- your over-usage
600 Mb $850.00

Our automatically generated bill is attached with this email.

Sincerely,
Sales Manager.



   • Dear Sir or Madam,

     This notification is just a friendly reminder (not a bill or a second charge) that on 15-JAN-06, you placed an order from Symantec Store. This order was paid using your Visa, whose last 4 digits are ************2346, and will be appearing on your billing statement shortly. The charge will appear as DR *Symantec. This is just a reminder to help you recognize the charge. You will not be charged again.
     You antivirus definition file is attached to this email, please install it to be perfectly protected from the latest viruses and other internet threats.

Прикрепленный файл:
Одно из следующих имен прикрепленного файла:
   • Order_details.exe
   • Service_receipt.exe
   • Generated_bill.exe

Прикрепленный файл является копией вредоносной программы:

Отправка Поиск адресов:
Проверка следующих файлов на наличие в них электронных адресов:
   • .wab; .txt; .msg; .htm; .shtm; .stm; .xml; .dbx; .mbx; .mdx; .eml;
      .nch; .mmf; .ods; .cfg; .asp; .php; .wsh; .adb; .tbb; .sht; .xls;
      .oft; .uin; .cgi; .mht; .dhtm; .jsp

Избегает обращение по адресу:
Не отправляются письма на адреса с одной из следующих последовательностей символов:
   • @hotmail; @msn; @microsoft; rating@; f-secur; news; update; anyone@;
      bugs@; contract@; feste; gold-certs@; help@; info@; nobody@; noone@;
      kasp; admin; icrosoft; support; ntivi; unix; bsd; linux; listserv;
      certific; sopho; @foo; @iana; free-av; @messagelab; winzip; google;
      winrar; samples; abuse; panda; cafee; spam; pgp; @avp.; noreply;
      local; root@; postmaster@

P2P Предпринимаемые для инфицирования других систем в одноранговой сети действия:   Производится поиск содержащих следующую последовательность знаков папок
   • shar

   При успешном завершении поиска создаются следующие файлы:
   • Adobe Photoshop 9 full.exe; Ahead Nero 10.exe; anna benson sex
      video.exe; barrett jackson nude photos, movies, porn video.exe;
      Britney Spears sex photos.exe; IE beta 7.exe; jenna elfman sex anal
      deepthroat; kate beckinsale nude pictures.exe; miss america Porno,
      sex, oral, anal cool, awesome!!.exe; paris hilton Porno pics arhive,
      xxx.exe; Porno Screensaver.scr; Serials 2005 database.exe;
      Serials.txt.exe; Windown Vista Beta Leak.exe; Windows Sourcecode
      update.doc.exe; XXX hardcore images.exe

   Файлы являются копиями потенциально опасной программы

Backdoor Открывается порт:

– %SYSDIR%\regmaping.exe по TCP порту 6777

Устанавливает соединение с сервером
Следующий:
• http://ijj.t**********

В результате может пересылаться информация.

Передает информацию о:
• Текущий malware статус.

Разное Мьютекс:
Создаются мьютексы:
   • MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
   • 'D'r'o'p'p'e'd'S'k'y'N'e't'
   • _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
   • [SkyNet.cz]SystemsMutex
   • AdmSkynetJklS003
   • ____--->>>>U<<<<--____
   • _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
   • smtp_bagla_1000

Строка:
Здесь содержится следующая последовательность:
   • In a difficult world
In a nameless time
I want to survive
So, you will be mine!!
-- Bagle Author, 29.04.04, Germany.

Данные файла Паковщик:
Для осложнения определения и сокращения размера файла он был запакован следующим паковщиком:
• UPX

Краткое описание см. здесь.

Описание добавлено: Andrei Ivanes Thu, 09 Feb 2006 14:59 (GMT+1)
Описание обновлено: Andrei Ivanes Fri, 10 Feb 2006 10:35 (GMT+1)

» About Malware
» About Phishing
» Viruses In the Wild

« back