RSS-каналы
Уровень опасности: 1
Email-Worm.Win32.Bagle.n
| Время детектирования | 18 мар 2004 17:54 MSK |
| Время выпуска обновления | 27 фев 2010 03:19 MSK |
| Описание опубликовано | 18 мар 2004 17:54 MSK |
Технические детали
Вирус-червь, распространяющийся через интернет в виде вложений в зараженные электронные письма, а также через файлообменные сети. Червь обладает функцией заражения исполняемых файлов.
Червь представляет собой PE EXE-файл, размером около 20-22KB. Червь упакован при помощи UPX. Размер распакованного файла — около 44KB.
Данный файл является полиморфным дроппером, который осуществляет рассылку зараженных писем и заражение файлов. Из-за применяемого алгоритма шифрования его размер непостоянен.
Характеристики зараженных писем
Адрес отправителя:
Выбирается из списка:
- administration
- noreply
- management
- staff
- support
В качестве домена отправителя используется домен получателя зараженного письма.
Тема письма:
Выбирается из списка:
- Account notify
- E-mail account disabling warning.
- E-mail account security warning.
- Email account utilization warning.
- Email report
- E-mail technical support message.
- E-mail technical support warning.
- E-mail warning
- Encrypted document
- Fax Message Received
- Forum notify
- Hidden message
- Important notify
- Important notify about your e-mail account.
- Incoming message
- Notify about using the e-mail account.
- Notify about your e-mail account utilization.
- Notify from e-mail technical support.
- Protected message
- Re: Document
- Re: Hello
- Re: Hi
- Re: Incoming Fax
- Re: Incoming Message
- Re: Msg reply
- RE: Protected message
- RE: Text message
- Re: Thank you!
- Re: Thanks :)
- Re: Yahoo!
- Request response
- Site changes
Текст письма:
Выбирается из списка и формируется из нескольких частей.
Часть 1:
- Dear user of ,
- Dear user of gateway e-mail server gateway,
- Dear user of e-mail server,
- Hello user of e-mail server,
- Dear user of mailing system,
- Dear user, the management of mailing system wants to let you know that,
Часть 2:
- Our antivirus software has detected a large ammount of viruses outgoing from your email account, you may use our free anti-virus tool to clean up your computer software.
- Our main mailing server will be temporary unavaible for next two days, to continue receiving mail in these days you have to configure our free auto-forwarding service.
- Some of our clients complained about the spam (negative e-mail content) outgoing from your e-mail account. Probably, you have been infected by a proxy-relay trojan server. In order to keep your computer safe, follow the instructions.
- We warn you about some attacks on your e-mail account. Your computer may contain viruses, in order to keep your computer and e-mail account safe, please, follow the instructions.
- Your e-mail account has been temporary disabled because of unauthorized access.
- Your e-mail account will be disabled because of improper using in next three days, if you are still wishing to use it, please, resign your account information.
Часть 3:
- Advanced details can be found in attached file.
- Find the white rabbit.
- Follow the wabbit.
- For details see the attach.
- For details see the attached file.
- For further details see the attach.
- For more information see the attached file.
- Further details can be obtained from attached file.
- Here is the file.
- Message is in attach
- More info in attach
- Pay attention on attached file.Read the attach.
- Please, have a look at the attached file.
- Please, read the attach for further details.
- See attach.
- See the attached file for details.
- Your file is attached.
Часть 4:
- The team http:/ /www.домен получателя
Часть 5:
- Best wishes,
- Cheers,
- Have a good day,
- Kind regards,
- Sincerely,
- The Management,
Имя вложенного файла:
- [произвольное имя с расширением EXE или PIF]
- [произвольное имя с расширением ZIP или RAR]
- Attach
- Details
- details
- Document
- Encrypted
- first_part
- Gift
- Info
- Information
- Message
- MoreInfo
- pub_document
- Readme
- Text
- text_document
- TextDocument
Данный архив может быть защищен паролем. В таком случае червь вставляет в текст письма картинку в формате BMP, GIF или JPG с изображением пароля к данному архиву. Такие письма будут иметь дополнительный вариант текста (выбирается из списка):
- Archive password:
- Attached file is protected with the password for security reasons. Password is
- For security reasons attached file is password protected. The password is
- For security purposes the attached file is password protected. Password --
- In order to read the attach you have to use the following password:
- Note: Use password to open archive.
- Password -
- Password:
Инсталляция
После запуска червь копирует себя и свои компоненты в системный каталог Windows, под именами:
- winupd.exe
- winupd.exeopen
- winupd.exeopenopen [копия червя в запароленном архиве]
- winupd.exeopenopenopen [BMP, GIF или JPG файл с паролем от архива]
Червь регистрирует winupd.exe в ключе автозапуска системного реестра:
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "winupd.exe" = "%System%\winupd.exe"
Червь ищет в системном реестре и удаляет некоторые ключи, принадлежащие другим почтовым червям (например, NetSky):
9XHtProtect Antivirus HtProtect ICQ Net ICQNet My AV service Special Firewall Service Tiny AV Zone Labs Client Ex
Размножение
Червь ищет на диске файлы с расширениями из списка:
adb asp cfg cgi dbx dhtm eml htm jsp mbx mdx mht mmf msg nch ods oft php pl sht shtm stm tbb txt uin wab wsh xls xml
Затем червь рассылает себя по всем найденных в них адресам электронной почты. Для отправки почты червь использует собственный SMTP-сервер.
Червь не посылает себя на адреса, если они содержат в себе следующие словарные группы:
@avp. @foo @hotmail.com @iana @messagelab @microsoft @msn abuse admin anyone@ bsd bugs@ cafee certific contract@ f-secur feste free-av gold-certs@ google help@ icrosoft info@ kasp linux listserv local nobody@ noone@ noreply ntivi panda pgp postmaster@ rating@ root@ samples sopho spam support unix winrar winzip
Размножение через P2P
Червь ищет на диске каталоги, в которых встречается строка «shar», и копирует себя в найденные в нескольких экземплярах под следующими именами:
ACDSee 9.exe Adobe Photoshop 9 full.exe Ahead Nero 7.exe Matrix 3 Revolution English Subtitles.exe Microsoft Office 2003 Crack, Working!.exe Microsoft Office XP working Crack, Keygen.exe Microsoft Windows XP, WinXP Crack, working Keygen.exe Opera 8 New!.exe Porno Screensaver.scr Porno pics arhive, xxx.exe Porno, sex, oral, anal cool, awesome!!.exe Serials.txt.exe WinAmp 5 Pro Keygen Crack Update.exe WinAmp 6 New!.exe Windown Longhorn Beta Leak.exe Windows Sourcecode update.doc.exe XXX hardcore images.exe
Заражение файлов
Червь ищет на всех доступных дисках файлы с расширением EXE и заражает их, дописывая свой полиморфный код в конец файлов.
Удаленное администрирование
Червь открывает и затем отслеживает порт 2556. Функции бэкдора позволяют злоумышленнику осуществлять следующие операции:
- запуск команд;
- загрузка файлов.
Прочее
Червь пытается противодействовать работе антивирусных программ и файрволлов, пытаясь прекратить работу следующих процессов в памяти:
AGENTSVR.EXE ANTI-TROJAN.EXE ANTIVIRUS.EXE ANTS.EXE APIMONITOR.EXE APLICA32.EXE APVXDWIN.EXE ATCON.EXE ATGUARD.EXE ATRO55EN.EXE ATUPDATER.EXE ATWATCH.EXE Au.exe AUPDATE.EXE AUTODOWN.EXE AUTOTRACE.EXE AUTOUPDATE.EXE AVCONSOL.EXE AVGSERV9.EXE AVLTMAIN.EXE AVprotect9x.exe AVPUPD.EXE AVSYNMGR.EXE AVWUPD32.EXE AVXQUAR.EXE BD_PROFESSIONAL.EXE BIDEF.EXE BIDSERVER.EXE BIPCP.EXE BIPCPEVALSETUP.EXE BISP.EXE BLACKD.EXE BLACKICE.EXE BOOTWARN.EXE BORG2.EXE BS120.EXE CDP.EXE CFGWIZ.EXE CFIADMIN.EXE CFIAUDIT.EXE CFINET.EXE CFINET32.EXE CLEAN.EXE CLEANER.EXE CLEANER3.EXE CLEANPC.EXE CMGRDIAN.EXE CMON016.EXE CPD.EXE CPF9X206.EXE CPFNT206.EXE CV.EXE CWNB181.EXE CWNTDWMO.EXE D3dupdate.exe DEFWATCH.EXE DEPUTY.EXE DPF.EXE DPFSETUP.EXE DRWATSON.EXE DRWEBUPW.EXE ENT.EXE ESCANH95.EXE ESCANHNT.EXE ESCANV95.EXE EXANTIVIRUS-CNET.EXE FAST.EXE FIREWALL.EXE FLOWPROTECTOR.EXE FP-WIN_TRIAL.EXE FRW.EXE FSAV.EXE FSAV530STBYB.EXE FSAV530WTBYB.EXE FSAV95.EXE GBMENU.EXE GBPOLL.EXE GUARD.EXE HACKTRACERSETUP.EXE HTLOG.EXE HWPE.EXE IAMAPP.EXE IAMSERV.EXE ICLOAD95.EXE ICLOADNT.EXE ICMON.EXE ICSSUPPNT.EXE ICSUPP95.EXE ICSUPPNT.EXE IFW2000.EXE IPARMOR.EXE IRIS.EXE JAMMER.EXE KAVLITE40ENG.EXE KAVPERS40ENG.EXE KERIO-PF-213-EN-WIN.EXE KERIO-WRL-421-EN-WIN.EXE KERIO-WRP-421-EN-WIN.EXE KILLPROCESSSETUP161.EXE LDPRO.EXE LOCALNET.EXE LOCKDOWN.EXE LOCKDOWN2000.EXE LSETUP.EXE LUALL.EXE LUCOMSERVER.EXE LUINIT.EXE MCAGENT.EXE MCUPDATE.EXE MFW2EN.EXE MFWENG3.02D30.EXE MGUI.EXE MINILOG.EXE MOOLIVE.EXE MRFLUX.EXE MSCONFIG.EXE MSINFO32.EXE MSSMMC32.EXE MU0311AD.EXE NAV80TRY.EXE NAVAPW32.EXE NAVDX.EXE NAVSTUB.EXE NAVW32.EXE NC2000.EXE NCINST4.EXE NDD32.EXE NEOMONITOR.EXE NETARMOR.EXE NETINFO.EXE NETMON.EXE NETSCANPRO.EXE NETSPYHUNTER-1.2.EXE NETSTAT.EXE NISSERV.EXE NISUM.EXE |
NMAIN.EXE NORTON_INTERNET_SECU_3.0_407.EXE NPF40_TW_98_NT_ME_2K.EXE NPFMESSENGER.EXE NPROTECT.EXE NSCHED32.EXE NTVDM.EXE NUPGRADE.EXE NVARCH16.EXE NWINST4.EXE NWTOOL16.EXE OSTRONET.EXE OUTPOST.EXE OUTPOSTINSTALL.EXE OUTPOSTPROINSTALL.EXE PADMIN.EXE PANIXK.EXE PAVPROXY.EXE PCC2002S902.EXE PCC2K_76_1436.EXE PCCIOMON.EXE PCDSETUP.EXE PCFWALLICON.EXE PCIP10117_0.EXE PDSETUP.EXE PERISCOPE.EXE PERSFW.EXE PF2.EXE PFWADMIN.EXE PINGSCAN.EXE PLATIN.EXE POPROXY.EXE POPSCAN.EXE PORTDETECTIVE.EXE PPINUPDT.EXE PPTBC.EXE PPVSTOP.EXE PROCEXPLORERV1.0.EXE PROPORT.EXE PROTECTX.EXE PSPF.EXE PURGE.EXE PVIEW95.EXE QCONSOLE.EXE QSERVER.EXE RAV8WIN32ENG.EXE REGEDIT.EXE REGEDT32.EXE RESCUE.EXE RESCUE32.EXE RRGUARD.EXE RSHELL.EXE RTVSCN95.EXE RULAUNCH.EXE SAFEWEB.EXE SBSERV.EXE SD.EXE SETUP_FLOWPROTECTOR_US.EXE SETUPVAMEEVAL.EXE SFC.EXE SGSSFW32.EXE SH.EXE SHELLSPYINSTALL.EXE SHN.EXE SMC.EXE SOFI.EXE SPF.EXE SPHINX.EXE SPYXX.EXE SS3EDIT.EXE ST2.EXE SUPFTRL.EXE SUPPORTER5.EXE SYMPROXYSVC.EXE SYSEDIT.EXE TASKMON.EXE TAUMON.EXE TAUSCAN.EXE TC.EXE TCA.EXE TCM.EXE TDS2-98.EXE TDS2-NT.EXE TDS-3.EXE TFAK5.EXE TGBOB.EXE TITANIN.EXE TITANINXP.EXE TRACERT.EXE TRJSCAN.EXE TRJSETUP.EXE TROJANTRAP3.EXE UNDOBOOT.EXE UPDATE.EXE VBCMSERV.EXE VBCONS.EXE VBUST.EXE VBWIN9X.EXE VBWINNTW.EXE VCSETUP.EXE VFSETUP.EXE VIRUSMDPERSONALFIREWALL.EXE VNLAN300.EXE VNPC3000.EXE VPC42.EXE VPFW30S.EXE VPTRAY.EXE VSCENU6.02D30.EXE VSECOMR.EXE VSHWIN32.EXE VSISETUP.EXE VSMAIN.EXE VSMON.EXE VSSTAT.EXE VSWIN9XE.EXE VSWINNTSE.EXE VSWINPERSE.EXE W32DSM89.EXE W9X.EXE WATCHDOG.EXE WEBSCANX.EXE WGFE95.EXE WHOSWATCHINGME.EXE WINRECON.EXE WNT.EXE WRADMIN.EXE WRCTRL.EXE WSBGATE.EXE WYVERNWORKSFIREWALL.EXE XPF202EN.EXE ZAPRO.EXE ZAPSETUP3001.EXE ZATUTOR.EXE ZAUINST.EXE ZONALM2601.EXE ZONEALARM.EXE |
Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению по каналам электронной почты. В процессе размножения червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, URL на зараженный файл, расположенный на взломанном или хакерском веб-сайте).
В первом случае код червя активизируется при открытии (запуске) заражённого вложения, во втором — при открытии ссылки на заражённый файл. В обоих случаях эффект одинаков — активизируется код червя.
Для отправки зараженных сообщений почтовые черви используют различные способы. Наиболее распространены:
- прямое подключение к SMTP-серверу, используя встроенную в код червя почтовую библиотеку;
- использование сервисов MS Outlook;
- использование функций Windows MAPI.
Различные методы используются почтовыми червями для поиска почтовых адресов, на которые будут рассылаться зараженные письма. Почтовые черви:
- рассылают себя по всем адресам, обнаруженным в адресной книге MS Outlook;
- считывает адреса из адресной базы WAB;
- сканируют «подходящие» файлы на диске и выделяет в них строки, являющиеся адресами электронной почты;
- отсылают себя по всем адресам, обнаруженным в письмах в почтовом ящике (при этом некоторые почтовые черви «отвечают» на обнаруженные в ящике письма).
Многие черви используют сразу несколько из перечисленных методов. Встречаются также и другие способы поиска адресов электронной почты.
Email-Worm.
- I-Worm.
Bagle. n («Лаборатория Касперского») - Virus:
W32/Bagle. n@MM (McAfee) - W32/Bagle-N (Sophos)
- Worm.
Bagle. N-1 (ClamAV) - W32/Bagle.
N. worm (Panda) - W32/Bagle.
N@mm (FPROT) - Worm:
Win32/Bagle. O@mm (MS(OneCare)) - Win32.
HLLM. Beagle. based (DrWeb) - Win32/Bagle.
M worm (Nod32) - Win32.
Bagle. M@mm (BitDef7) - Win32.
Bagle. N (VirusBuster) - Win32:
Beagle-N [Wrm] (AVAST) - Email-Worm.
Win32. Bagle (Ikarus) - I-Worm/Bagle.
N (AVG) - W32.
Beagle. M@mm (NAV) - NseCheckFile2() returned 0x00010018 (Norman)
- Worm.
Mail. Bagle. lp (Rising) - PE_BAGLE.
N-O (TrendMicro) - Trojan.
Win32. Generic!BT (Sunbelt) - Win32.
Bagle. N (VirusBusterBeta)
© ЗАО «Лаборатория Касперского», 1997-2013
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
Зарегистрированные товарные знаки и знаки обслуживания являются собственностью их правообладателей.
Мнение авторов может не совпадать с официальной позицией «Лаборатории Касперского».