Bagle.AR

BAGLE.AR, gusano/backdoor de Correo y P2P de propagación masiva, recibe comandos vía puerto TCP, etc.

© Jorge Machado Lima-Perú

W32/Bagle.AR@mm, W32/Beagle.AR@mm, W32/Bagle.AZ@mm, Backdoor/Beagle.AS@mm

Bagle.AR es un gusano residente en memoria variante de la familia Bagle, reportado el 29 de Septiembre del 2004 de alta propagación masiva a través de mensajes de correo con archivos de nombres aleatorios con las extensiones .EXE, .COM, .CPL o .SCR. Además se difunde a la mayoría de redes de compartimiento de archivos Peer to Peer.

Abre un componente Backdoor que le permite recibir comandos del autor a través de los puertos TCP y UDP 81 y controlar los sistemas en forma remota.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con una extensión variable y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

El mensaje tiene las siguientes características:

Remitente: emplea la técnica Spoofing que disfraza las direcciones.
Asunto, elegido aleatoriamente de:

Re:
Re: Hello
Re: Hi
Re: Thank you!
Re: Thanks :)

Contenido, uno de los dos:

:)
:))

Anexado, uno de los siguientes archivos:

Price
price
Joke

con cualquiera de las extensiones .exe, .com, .cpl, o .scr

El gusano posee su propio SMTP (Simple Mail Transfer Protocol) para auto-enviarse masivamente a los buzones de correo contenidos en los archivos con las extensiones:

adb
asp
cfg
cgi
dbx
dhtm
eml
htm
jsp
mbx
mdx
mht
mmf
msg
nch
ods
oft
php
pl
sht
shtm
stm
tbb
txt
uin
wab
wsh
xls
xml

evita enviarse a direcciones con las siguientes cadenas:

Al ser activado para evitar ser ejecutado en memoria más de una vez y para impedir la ejecución de algunas variantes del gusano Netsky, el gusano crea los mutex (Exclusión Mutua):

MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
'D'r'o'p'p'e'd'S'k'y'N'e't'
_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
[SkyNet.cz]SystemsMutex
AdmSkynetJklS003
____--->>>>U<<<<--____
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

Luego see copia a la carpeta %System% con los nombres:

bawindo.exe
re_file.exe
bawindo.exeopen [copia del gusano con cadenas aleatorias agregables]
bawindo.exeopenopen [copia del gusano con cadenas aleatorias agregables]

para ejecutarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"bawindo" = "%System%\bawindo.exe"

Al siguiente re-inicio el gusano se activa en memoria y termina los siguientes procesos:

Luego borra los siguientes valores:

9XHtProtect
Antivirus
EasyAV
FirewallSvr
HtProtect
ICQ Net
ICQNet
Jammer2nd
KasperskyAVEng
MsInfo
My AV
NetDy
Norton Antivirus AV
PandaAVEngine
SkynetsRevenge
Special Firewall Service
SysMonXP
Tiny AV
Zone Labs Client Ex
service

de las llaves de registro:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

Para propagarse a través de las redes Peer to Peer se copia a las carpetas de descarga que tengan la cadena de texto shar, que corresponden a Kazaa, BearShare, eDonkey, Morpheus, Grokster, LimeWire., etc. en caso de estar instaladas, con los siguientes nombres:

Microsoft Office 2003 Crack, Working!.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Microsoft Office XP working Crack, Keygen.exe
Porno, sex, oral, anal cool, awesome!!.exe
Porno Screensaver.scr
Serials.txt.exe
KAV 5.0
Kaspersky Antivirus 5.0
Porno pics arhive, xxx.exe
Windows Sourcecode update.doc.exe
Ahead Nero 7.exe
Windown Longhorn Beta Leak.exe
Opera 8 New!.exe
XXX hardcore images.exe
WinAmp 6 New!.exe
WinAmp 5 Pro Keygen Crack Update.exe
Adobe Photoshop 9 full.exe
Matrix 3 Revolution English Subtitles.exe
ACDSee 9.exe

Actuando como Backdoor se conecta a través de los puertos TCP y UDP 81 y recibe instrucciones del autor del virus quien podrá ejecutar comandos o tomar control en forma remota de los sistemas infectados.

Intenta descargar un archivo inexistente de los siguientes sitios en la web:

Si bien no logra su cometido, estas rutinas causan conflictos en el funcionamiento de los equipos y lentitud en la ejecución de sus procesos.

Sus payloads son los siguientes:

Se propaga en mensajes de correo, con archivos de nombres aleatorios con las extensiones .EXE .COM, .CPL o .SCR

Posee su propio SMTP (Simple Mail Transfer Protocol) y se auto-envía haciendo uso de direcciones de correo extraídas de archivos de ciertas extensiones.

Evita enviarse a buzones de correo con determinadas cadenas.

Usa la técnica Spoofing que disfraza a los Remitentes.

Los Asuntos y archivos Anexados son elegidos aleatoriamente.

Al ser activado, el gusano crea varios mutex para evitar ser activado más de una vez e impedir la ejecución de variantes del gusano Netsky.

También se difunde a través de las redes Peer to Peer cuyos software se encuentren instalados en los sistemas infectados.

Actuando como backdoor se conecta a través de los puertos TCP y UDP 81 para recibir comandos del autor del virus.

Intenta descargar un archivo inexistente desde una larga relación de direcciones web.

Estas rutinas causan conflictos en el funcionamiento de los equipos y lentitud en la ejecución de sus procesos.

PER ANTIVIRUS® versiones 8.8 y 8.9 con registro de virus al 29 de Septiembre del 2004 detectan y eliminan eficientemente este gusano/backdoor.