|
W32/Bagle.CL@mm, W32/Beagle.CL@mm
Bagle.CL es un destructivo gusano reportado el 03 de Febrero del 2006, de propagación masiva a través de mensajes de correo con Asuntos, Contenidos y archivos Anexados de nombres aleatorios.Se propaga a además vía las redes Peer to Peer, termina los procesos de antivirus y software de seguridad. Deshabilita la conexión compartida a Internet y los servicios del Firewall.
Borra los valores, en caso existieran, de las llaves de registro creadas por variantes del gusano Netsky y al ser ejecutado activa el Notepad.exe, mostrando una ventana con texto "basura".
Modifica el archivo HOSTS para impedir el acceso a sitios web relacionados a software antivirus, firewalls y de control e intenta infructuosamente descargar un archivo desde diversas URLs.
Es un PE (Portable Ejecutable) e infecta Windows 98/NT/Me/2000/XP ,y Server 2003, está escrito en MS Visual C++ con extensión variable y comprimido con rutinas propietarias.
Haciendo uso de su propio motor SMTP (Simple Mail Transfer Protocol) se auto-envía con las siguientes características:
Remitente: usa la Libreta de Direcciones de Windows (WAB) o las extraídas de archivos con las extensiones:
evitando enviarse a las direcciones con cualquiera de las cadenas:
Asunto, uno de los siguientes:
Contenido, uno de los siguientes:
Anexado, uno de los siguientes archivos:
Al activarse el gusano, ejecuta el Notepad.exe liberando un archivo de texto con caracteres "basura" en una carpeta temporal:
crea los siguientes mutex (Exclusión Mutua) para evitar infectar el sistema más de una vez e impedir la ejecución de variantes del gusano Netsky, en caso existiesen:
Luego se copia a la carpeta %System% con el nombre de Sysformat.exe y para ejecutarse la próxima vez que se re-inicie el sistema genera la siguiente llave de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"sysformat" = "%System%\Sysformat.exe"
Al siguiente inicio del equipo el gusano termina los siguientes procesos relacionados a antivirus y software de seguridad:
luego remueve los registros de las variantes del gusano Netsky, en caso existir, de las llaves de registro:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
borra además los siguientes valores de las llaves de registro:
para deshabilitar la conexión compartida a Internet (Internet Connection Sharing) y Firewall, cambia la llave de registro:
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess]
"Start" = "dword:00000004"
definida por defecto a:
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess]
"Start" = "00000003"
para infectar vía redes Peer to Peer libera una copia de sí mismo en las carpetas que tengan la cadena Share usando uno de los siguientes nombres de archivos:
En sistemas basados en Tecnologías NT modifica el archivo HOSTS para impedir el acceso a los siguientes sitios web:
Finalmente intenta descargar infructuosamente el archivo q.jpg, desde diversas direcciones en la web.
PER ANTIVIRUS® versión 9.6 con registro de virus al 03 de Febrero del 2006 detecta y elimina eficientemente este gusano.
