|
W32/Bagle.I@mm, W32/Beagle.I@mm, Backdoor/Beagle.I@mm
Bagle.I es un gusano residente en memoria variante de la familia Bagle, reportado el 2 de Marzo del 2004, de alta propagación masiva a través de mensajes de correo con un archivo binario de nombre aleatorio con la extensión .ZIP y una contraseña, el mismo que contiene un archivo con extensión .EXE, además se difunde a la mayoría de redes de compartimiento de archivos Peer to Peer.
Su componente Backdoor le permite recibir comandos del autor a través del puerto TCP 2745 y se conecta a varias direcciones URL ubicadas en Alemania, intentando ocasionar un ataque DoS con el comando HTTP GET por el puerto TCP 80.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con extensiones que varían entre 18 y 22 KB y comprimido con el utilitario PeX (el mismo que ha sido modificado)
http://protools.anticrack.de/packers.htm
El mensaje tiene las siguientes características:
Remitente: emplea la técnica Spoofing
con direcciones falsas.
Asunto, elegido aleatoriamente de:
Contenido, elegido aleatoriamente de una extensa lista de frases:
El Contenido del mensaje incluye una de las siguientes líneas de texto:
Anexado, archivo binario de nombre aleatorio con extensión .ZIP protegido con una contraseña y con el icono de una carpeta de Windows:
Al ser activado el gusano crea un mutex (Exclusión Mutua) denominado imain_mutex para evitar ser ejecutado en memoria más de una vez.
Se copia a la carpeta %System% con el nombre de i11ru54n4.exe y libera los siguientes archivos:
Simultáneamente inserta el ejecutor de envío de correo go154o.exe en el archivo Explorer.exe con el propósito de permanecer residente en memoria y para ejecutarse la próxima vez que se re-inicie el sistema crea la siguiente llave de registro:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"rate.exe" = "%\System%\i11r54n4.exe"
Crea además la siguiente llave:
[HKEY_CURRENT_USER\Software\Winwor]
Al siguiente re-inicio el gusano se activa en memoria y termina con los procesos de cualquiera de los sistemas de seguridad que tengan los siguientes archivos:
El gusano posee su propio SMTP (Simple Mail Transfer Protocol) para auto-enviarse masivamente a los buzones de correo contenidos en los archivos con las extensiones:
Emplea la técnica Email spoofing, que disfraza a los Remitentes y tiene una rutina que evita auto-enviarse a direcciones con las siguientes cadenas:
Para propagarse a través de las redes Peer to Peer se copia a las carpetas de descarga que tengan la cadena de texto shar, que corresponden a Kazaa, BearShare, eDonkey, Morpheus, Grokster, LimeWire., etc. en caso de estar instaladas, con los siguientes nombres:
El gusano usa el IP 151.201.0.39 (actualmente deshabilitada) para resolver otras direcciones IP, en el caso que no pudiese encontrar un servidor DNS en las redes locales que infecte.
Actuando como Backdoor el gusano se conecta
remotamente a través del puerto TCP 2745
(TSB) para recibir comandos del autor del virus intentado además intenta
ocasionar ataques DoS por saturación, con comandos HTTP GET a través
del puerto TCP 80 a los siguientes
sitios web ubicados en Alemania:
Sus payloads son los
siguientes:
PER ANTIVIRUS® versión 8.5 con
registro de virus al 2 de Marzo del 2004 detecta y elimina
eficientemente este gusano/backdoor.
El gusano verifica si la fecha del sistema
es 25 de Marzo o superior y de serlo, se auto-elimina borrando sus llaves de
registro y archivo ejecutable.
