|
W32/Bagle.AQ@mm, W32/Beagle.AC@mm, W32/Bagle.AO@mm, Backdoor/Bagle.AQ@mm
 |
Bagle.AQ es un gusano/backdor residente en memoria variante de la familia
Bagle, reportado el 10 de Agosto del 2004, de alta
propagación masiva en mensajes de correo con falsos Remitentes,
sin Asunto
y archivos Anexados de nombres aleatorios con extensiones ZIP.
También se difunde vía redes Peer to Peer. Termina los procesos de antivirus, firewalls y software de control, asi como de variantes de otros gusanos. |
El archivo con formato .ZIP contiene un archivo del mismo nombre, con extensión .EXE y otro con .HTML y libera un componente Backdoor, el cual a través de los puertos TCP y UDP 2480 (Deatlle de Lingwood) establece contacto con el autor del virus y recibe comandos en forma remota.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con una extensión de 19 KB y comprimido con el utilitario PeX:
http://protools.anticrack.de/packers.htm
El mensaje tiene las siguientes características:
Remitente: emplea la técnica Email
Spoofing con direcciones falsas.
Asunto: [en blanco]
Contenido: new price
Anexado, uno de los siguientes nombres:
Debido a un error de programación, aleatoriamente si el archivo está protegido con una contraseña, la misma no funciona y trunca su ejecución.
Al ser activado el gusano crea uno de los siguientes mutex (Exclusión Mutua) para evitar ser ejecutado en memoria más de una vez y para detener la ejecución de variantes del gusano Netsky, en caso existiesen:
'D'r'o'p'p'e'd'S'k'y'N'e't'
_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
[SkyNet.cz]SystemsMutex
AdmSkynetJklS003
____--->>>>U<<<<--____
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
Luego se copia a la carpeta %System% con el nombre de Widll.exe y libera los siguientes archivos:
Para ejecutarse la próxima vez que se re-inicie el sistema genera la siguiente llave de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"erthgdr" = "%System%\windll.exe"
Al siguiente re-inicio el gusano se activa en memoria y termina los procesos asociados a los siguientes archivos o procesos de otros gusanos:
El gusano posee su propio SMTP (Simple Mail Transfer Protocol) para auto-enviarse masivamente a los buzones de correo contenidos en los archivos con las extensiones:
Evitando enviarse a aquellas que tengan las siguientes cadenas:
Para propagarse a través de las redes Peer to Peer revisa las carpetas de descarga que tengan la cadena de texto shar, que corresponden a Kazaa, BearShare, eDonkey, Morpheus, Grokster, LimeWire., etc. en caso de estar instaladas, y se copia con los siguientes nombres:
Actuando como Backdoor el gusano abre y se conecta remotamente a través puertos TCP y UDP 2480 para recibir comandos del autor del virus intentado además conectarse a inumerables sitios web (muchos de ellos inválidos) para descargar un código mailigno, que aparentemente no existe.
Sus payloads son los
siguientes:
PER ANTIVIRUS® versión 8.8 con
registro de virus al 10 de Agosto del 2004 detecta y elimina
eficientemente este gusano/backdoor.
