BAGLE.DW, gusano/backdoor de Correo y P2P descarga archivo maligno, recibe comandos vía TCP, etc.  

© Jorge Machado  Lima-Perú

W32/Bagle.DW@mm, W32/Beagle.DW@mm, Backdoor/Beagle.DW@mm

Bagle.DW es un gusano/backdoor reportado el 02 de Marzo del 2006 de alta propagación masiva a través de mensajes de correo con remitentes falsos, asuntos, contenidos y archivos anexados de nombre aleatorios.

Además se difunde vía la mayoría de redes de compartimiento de archivos Peer to Peer.

Abre un Backdoor a través de un puerto TCP aleatorio y disponible que permite recibir órdenes y ejecutar comandos del autor, en forma remota en los sistemas infectados. 

Intenta descargar de diversas direcciones URL un archivo con código maligno.

Es un PE (Portable Ejecutable) e infecta Windows 98/NT/Me/2000/XP y Server 2003, está escrito en MS Visual C++ de extensiones variables con un promedio de 20 KB y doblemente comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

y el utilitario UPolyX:

http://www.frame4.net/mdpro/index.php?cmd=files&file=5531

Posee su propio SMTP (Simple Mail Transfer Protocol) y se envía a todas las direcciones de correo del sistema infectado contenidas en archivos con las siguientes extensiones:

Evitando enviarse a las direcciones con cualquiera de las cadenas:

Las direcciones extraídas son almacendas en la ruta %Windir%\vcremoval.dll.

El mensaje tiene las siguientes características: 

Remitente: emplea la técnica Spoofing.

Asunto, uno de los siguientes:

Contenido, elegido aleatoriamente de uno de los siguientes:

Anexado, uno de los siguientes nombres:

En forma aleatoria agrega una segunda extensión report.txt que tiene este contenido:

++++ Attachment: No Virus found
++++ Norton AntiVirus - www.symantec.com

Luego se copia a la carpeta %System% como windll32lib.exe y libera en esa misma carpteta los archivos:

Y para ejecutarse la próxima vez que se re-inicie el sistema crea las siguientes llaves de registro:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"winshell" = "%System%\windll32lib.exe"

Al siguiente re-inicio el gusano activa su rutina de envío masivo de mensajes de correo.

Para propagarse a través de las redes Peer to Peer se copia a las carpetas de descarga que tengan la cadena de texto shar, que corresponden a Kazaa, BearShare, eDonkey, Morpheus, Grokster, LimeWire., etc. en caso de estar instaladas, con los siguientes nombres:

Luego el gusano intenta descargar el archivo zo2.jpg de las siguientes direcciones en la web:

Actuando como Backdoor el gusano se conecta remotamente a través del puerto del puerto TCP 2535 para recibir comandos del autor y ejecutar comandos. Borra además la llave de registro:

[HKEY_CURRENT_USER\Software\windows shell]

intenta conectares a determinadas direcciones URL con el siguiente formato:

http:\\a[números_aleatorio].[dominio].com/?id0

El dominio puede ser uno de los siguientes:

en caso de hacerlo satisfactoriamente, descarga y ejecuta en el directorio %Windir% el archivo [números_aleatorios].exe

Dentro de su código se lee el siguiente texto:

In a difficult world
In a nameless time
I want to survive
So, you will be mine!!
-- Bagle Author, 29.04.04, Germany.

PER ANTIVIRUS® versión 9.6 con registro de virus al 02 de Marzo del 2006 detecta y elimina eficientemente este gusano/backdoor. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS