BAGLE.CYZ gusano/backdoor de Correo deshabilita valores de gusano Netsky libera y descarga troyanos, etc.  

© Jorge Machado  Lima-Perú

W32/Bagle.CYZ@mm, W32/Beagle.CYZ@mm

Bagle.CYZ es un gusano/backdoor reportado el 21 de Diciembre del 2005, de propagación masiva en mensajes de correo con Remitentes falsos, Asuntos, Contenidos y archivos Anexados de nombres aleatorios que liberan un troyano..

Borra los valores, en caso existieran, de las llaves de registro creadas por variantes del gusano Netsky.

A través del puerto TCP 80 abre un Backdoor que usa como servidor Proxy, luego intenta descargar de diversos sitios web y copiar al directorio %Windir% el archivo Eml.exe que es un troyano.

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con extensión variable y comprimido con el utilitario FSG:

http://www.exetools.com/compressors.htm

El mensaje tiene las siguientes características: 

Remitente: emplea la técnica Email Spoofing usando uno de los siguientes nombres:

con el dominio del sistema previamente infectado. 

evitando enviarse a las direcciones con cualquiera de las cadenas:

Asunto, uno de los siguientes:

Contenido, uno de los siguientes: 

Anexado, uno de los siguientes archivos:

Al ser activado el gusano crea el siguiente mutex (Exclusión Mutua) para evitar ser ejecutado en memoria más de una vez y para detener la ejecución de variantes del gusano Netsky, en caso existiesen: 

MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D 
'D'r'o'p'p'e'd'S'k'y'N'e't' 
_-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_ 
[SkyNet.cz]SystemsMutex 
AdmSkynetJklS003 
____--->>>>U<<<<--____ 
_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

Luego se copia a la carpeta %System% con el nombre de Wind2ll2.exe y para ejecutarse la próxima vez que se re-inicie el sistema genera las siguientes llaves de registro:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n]
"erfgddfk" = "%System%\wind2ll2.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n]
"erfgddfk" = "%System%\wind2ll2.exe"

Al siguiente inicio del equipo el gusano libera el archivo S3700026.exe, que es una copia del troyano Troj/Bagle.CD y borra los valores creados por variantes del gusano Netsky, en caso éstos existieran:

de las siguientes llaves:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru1n]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n]

también, en caso de existir, borra las sub-llaves:

[HKEY_CURRENT_USER\Software\ewrdds]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru1n\"erfgddfk"]

El gusano, a través del puerto TCP 80 abre un Backdoor que usa como servidor Proxy y para verificar la conexión a Internet intenta contactar el servidor SMTP smtp.mail.ru a través del puerto TCP 25 y se conecta al motor de búsqueda Google y a la dirección IP:

194.190.195.66 (perteneciente a Telekom, Rusia)

y luego intenta descargar de diversos sitios web y copiar al directorio %Windir% el archivo Eml.exe, que es un destructivo troyano.

PER ANTIVIRUS® versión 9.5 con registro de virus al 21 de Diciembre del 2005 detecta y elimina eficientemente este gusano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS