BARDIEL, destructivo gusano de redes P2P ICQ Redes compartidas, deshabilita antivirus, borra archivos, etc. 

© Jorge Machado  Lima-Perú

Win32/Bardiel@mm, Worm/ElBardie, I-worm.Bardie

Bardiel es un gusano extremadamente infeccioso y destructivo, reportado el 13 de Agosto del 2003 de alta propagación masiva a través de la mayoría de redes Peer to Peer, MSN Messenger y el ICQ.

Este gusano deshabilita el REGEDIT y al siguiente re-inicio lo borra, conjuntamente con otras importantes herramientas del sistema, para después infectar archivos de múltiples extensiones, tales como documentos de MS Word, Excel, Scripts, etc. y que pueden extenderse a Redes con recursos compartidos. 

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está desarrollado en Visual Basic 6.0 y requiere que la librería MSVBVM60.DLL se encuentre instalada en los sistemas que infecte.

Tiene una extensión de 108 KB y está comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

Ha sido creado en Perú por MachineDramon, miembro del grupo internacional de creadores de virus GEDZAC 2003.

Al ejecutar el archivo infectado, el gusano muestra la siguiente caja de dialogo:



Luego se auto-copia a la carpeta %System% con nombres de archivos compuestos por 7 caracteres aleatorios y las siguientes extensiones:

Para ejecutarse la próxima vez que se inicie el sistema, el gusano crea la siguiente llave de registro:

 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 
 "MicroLoad" = "%System%\[7_caracteres_aleatorios.scr]"

También agrega una línea de comando al final del archivo AUTOEXEC.BAT: 

 @win\%System%\[7_caracteres_aleatorios.com]

En Windows Windows 95/98/Me, el gusano modifica los archivos WIN.INI y SYSTEM.INI en : 

 WIN.INI
[windows]
run=%System%\[7_ caracteres_aleatorios.scr]

 SYSTEM.INI
[windows]
shell=Explorer.exe %System%\[7_ caracteres_aleatorios.pif]

%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.

Luego crea la siguiente llave en el registro del sistema, que indica que el equipo ya se encuentra infectado: 

 [HKEY_LOCAL_MACHINE\Software\GEDZAC LABS]

Una vez activado, el gusano terminará los procesos de los siguientes antivirus, firewalls, software de control y archivos asociados que se encuentren instalados en el sistema infectado:

Para vulnerar los sistemas, el gusano modifica diversas llaves en el registro del sistema. Para deshabilitar el uso de cualquiera de las Herramientas del Registro de Windows modifica:

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools" = dword:00000001

Para que poder ejecutar archivos de extensión .VBS y .JS sin mensaje de confirmación:

 [HKEY_CURRENT_USER\Software\Microsoft\Windows Scripting Host\Settings]
 "Timeout" = dword:00000000

Para que se ejecuten los documentos de Word Y Excel, con macros sin mensaje de confirmación:

 [HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Excel\Security]
 "Level" = dword:00000001
"AccessVBOM" = dword:00000001

 [HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Excel\Security]
 "Level" = dword:00000001

 [HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\Security]
 "Level" = dword:00000001
"AccessVBOM" = dword:00000001

 [HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Word\Security]
 "Level"=dword:00000001

Para infectar a través de las redes Peer to Peer, el gusano se auto-copia a las carpetas: 

Con los siguientes nombres:

La próxima vez que nuevamente se reinicie el sistema, el gusano mostrará la siguiente caja de dialogo:



Sus payloads son los siguientes:

PER ANTIVIRUS® versión 8.2 con registro de virus al 13 de Agosto del 2003 detecta y elimina eficientemente este gusano.

Ir al menú anterior

Regresar al Portal de PER SYSTEMS