BAGLE.AZ gusano/backdoor de Correo y Peer to Peer residente en memoria con múltiples efectos nocivos.  

© Jorge Machado  Lima-Perú

W32/Bagle.AZ@mm, W32/Beagle.AZ@mm

Bagle.AZ es un gusano/backdoor, residente en memoria reportado el 28 de Enero del 2005, de propagación masiva en mensajes de correo con falsos remitentes, asuntos, contenidos y archivos anexados de nombres aleatorios y diversas extensiones.

También se difunde vía redes Peer to Peer. Termina los procesos de antivirus, firewalls y software de control, descarga un Backdoor de diversos sitios en la web que permiten a un intruso controlar los sistemas en forma remota.

En Windows 95/98/me manipula una API y en Windows 2000/XP el Administrador de Tareas para evitar su ejecución en memoria.

Aleatoriamente entra en una ejecución infinita (loop) en intervalos de 100 milisegundos, con el propósito de evitar ser eliminado al estar activo en la memoria. 

Borra valores de llaves de registro creadas por las variantes del gusano Netsky.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con una extensión de 19 KB y comprimido con el utilitario PeX:

http://xtreeme.prv.pl/

Posee su propio SMTP (Simple Mail Transfer Protocol) para auto-enviarse masivamente a los buzones de correo contenidos en los archivos con las extensiones:

Evitando enviarse a aquellos que tengan las siguientes cadenas:

El mensaje tiene las siguientes características:

Remitente: emplea la técnica Email Spoofing con direcciones falsas.
Asunto, uno de los siguientes:

Contenido, uno de los siguientes:

Anexado, uno de los siguientes nombres:

Las extensiones pueden ser:

Crea los siguientes mutex (Exclusión Mutua) para evitar ser activado en memoria más de una vez y para detener la ejecución de variantes del gusano Netsky, en caso existiesen:

luego se copia a la carpeta %System% con los nombres:

Para ejecutarse la próxima vez que se re-inicie el sistema genera la siguiente llave de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"sysformat" = "%System%\sysformat.exe"

crea además la llave:

HKEY_CURRENT_USER\Software\Microsoft\Params
"Riga" = "[información_de_la_fecha_de_primera_ejecución]"

para determinar el tiempo de ejecución en un sistema infectado y en caso de ejecutarse después de 25 días de su primera activación, el gusano se auto-desinstalará.

también tiene una rutina de desactivación para el 25 de Abril del 2006 o fecha posterior.

En Windows 95/98/Me manipula el API RegisterService para permanecer en memoria bajo cualquier instancia.

En Windows 2000/XP modifica los derechos de control de acceso o privilegios en su proceso, impidiendo que a través de la Administración de Tareas no se pueda terminar con su proceso de activación en memoria.

también libera una copia de sí mismo con el nombre de CJECTOR.EXE dentro de la carpeta donde se ejecute cualquier archivo con extensión .CPL (Panel de Control).

Al siguiente re-inicio el gusano se activa en memoria y termina los procesos de los siguientes antivirus, firewalls y archivos de control:

aleatoriamente entrar en una ejecución infinita (loop) en intervalos de 100 milisegundos, con el propósito de evitar ser eliminado al estar activo en la memoria.

luego borra las siguientes llaves de registro asociadas al variantes del gusano Neysky:

[HKEY_CURRENT_USER\Software\Microsoft Windows\CurrentVersion\Run]
My AV 

[HKEY_LOCAL_MACHINE\Software\Microsoft Windows\CurrentVersion\Run]
ICQ Net

Para propagarse a través de las redes Peer to Peer revisa las carpetas de descarga que tengan la cadena de texto shar, que corresponden a Kazaa, BearShare, eDonkey, Morpheus, Grokster, LimeWire., etc. en caso de estar instaladas, se copia a las mismas con los siguientes nombres:

El gusano intenta conectarse a uno de los siguientes dominios:

para descargar un archivo, el mismo que se auto-copia a la carpeta %System% con el nombre de re_file.exe y actuará como Backdoor vía el puerto TCP 81 a través del cual enviará información del sistema y recibirá y ejecutará comandos en forma remota.

finalmente intenta conectarse a la dirección IP 17.5.97.137 (actualmente desactivada) perteneciente al servidor de Apple Computer Inc., ubicado en Asia, con el objeto de ejecutar peticiones DNS.

PER ANTIVIRUS® versión 9.0 y 9.1 con registro de virus al 28 de Enero del 2005 detecta y elimina eficientemente este gusano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS