BAGLE.QU troyano Rootkit infecta ejecutables dejándolos inutilizables descarga archivos infectados.  

© Jorge Machado  Lima-Perú

Troj/Bagle.QU

Bagle.QU es un troyano reportado el 18 de Marzo del 2008 que se propaga a través de servicios de Internet visitando páginas web con archivos infectados. 

Su componente Rootkit oculta archivos, procesos y entradas de llaves de registro. 

Sobre escribe su código viral en la cabecera de archivos ejecutables, dejándole inutilizables.

Infecta Windows 98/Me/NT/2000/XP y Server 2003, desarrollado en Assembler, con una extensión de 647,168 Bytes y solo está compilado más no encriptado. 

Al ingresar a un sistema crea una carpeta en la ruta:

y libera los siguientes archivos en la ruta:

Para ejecutarse la próxima vez que se re-incie el sistema crea la llave:: 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"drvsyskit" = "%System%\drivers\hldrrr.exe"

Y se registra a sí mismo como un servicio del sistema, como parte de su rutina de activación, con la siguiente llave:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa]
Nombre Mostrado = "Megadrv3" 
IRuta de imagen = "\??\%system%\drivers\srosa.sys" 
Start = "1" 

Al siguiente inicio del equipo el gusano crea la llaves:

Activa su componente Rootkit que oculta archivos, procesos y entradas de llaves de registro. 

Sobre escribe su código viral en la cabecera de archivos ejecutables, dejándole inutilizables.

Finalmente se conecta los siguientes URL intentando descargar archivos infectados que corrompen a los ejecutables: 

PER ANTIVIRUS® versión X4 con registro de virus al 18 de Marzo del 2008 detecta y elimina este troyano. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS