|
W32/Bagle@mm, Backdoor/Bbeagle, I.worm.bagle@mm
Bagle es un gusano reportado el 19 de Enero del 2004, de alta propagación masiva a través de un mensaje de correo con un archivo Anexado, elegido aleatoriamente, con la extensión .EXE. Tiene un componente backdoor que le permite recibir comandos del autor a través del puerto TCP 6777 e intenta conectarse a varias direcciones URL.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con 15.5 KB de extensión y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
El mensaje tiene las siguientes características:
| Asunto: Hi Contenido: Test =) [caracteres_aleatorios] -- Test, yep. Anexado: [nombre_aleatorio].EXE |
Al ser activado el gusano ejecuta la calculadora de Windows calc.exe y en forma simultánea se auto-copia a la carpeta %System% con el nombre de Bbeagle.exe y para ejecutarse la próxima vez que se re-inicie el sistema genera la siguiente llave de registro en los sistemas basados en tecnología NT:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"d3updates.exe" = "%System%\Bbeagle.exe"
Para ejecutarse en Windows 98 crea en forma adicional dos llaves:
[HKEY_CURRENT_USER\Software\Windows98 "frun"
= "1"
[HKEY_CURRENT_USER\Software\Windows98 "uid" =
"[valor_aleatorio]"
El gusano posee su propio SMTP (Simple Mail Transfer Protocol) para auto-enviarse masivamente a todos los buzones de correo contenidos en los archivos con las extensiones:
A excepción de las direcciones de correo con los siguientes dominios:
Actuando como backdoor el gusano se conecta remotamente a través del puerto TCP 6777 (sin asignación) para recibir comandos del autor del virus e intenta conectarse a varios sitios web (la mayoría de ellos ubicados en Alemania):
Sus payloads son los siguientes:
PER ANTIVIRUS® versión 8.4 y 8.5 con registro de virus al 19 de Enero del 2004 detecta y elimina eficientemente este gusano/backdoor.
