SERVICIO ASISTENCIA TECNICA INFORMATICA
|
|
|
|
SERVICIO ASISTENCIA TECNICA INFORMATICA |
|||
| www.satinfo.es | |||
Propagación Media de nuevas variantes del gusano mass mail w32/Bagle@MM.
Los pasados días 01 y 17 de Febrero de 2004 enviamos sendas notas informativas sobre la propagación de nuevos gusanos mass mail, w32/Bagle@MM y su variante w32/Bagle.b@MM.
El pasado fin de semana se ha reportado de manera masiva la presencia de nuevas versiones de este gusano, y debido a su importante propagación se han publicado nuevas versiones de archivos DAT. En estos momentos disponemos de DAT 4330 en web.
W32/Bagle.c@MM: es un gusano mass-mailing con las siguientes
características:
Los mensajes son construidos de la siguiente forma: From : (dirección falsa)
Body : (cuerpo del mensaje vacio)
Subject :
Anexo: nombre aleatorio como fichero ZIP (~16KB)
El fichero EXE que se encuentra dentro del zip tiene el siguiente icono simulando ser un archivo de MS Excel
El gusano verifica la fecha del sistema y si es 14 de Marzo 2004 o posterior, simplemente no se propaga.
Una vez ejecutado el fichero, abre el Bloc de Notas con una hoja en blanco, también se copia en el directorio del sistema como README.EXE.
Ejemplo:
C:\WINNT\SYSTEM32\README.EXE
También genera otros ficheros en este directorio para crear sus funciones:
Añade la siguiente llave en el registro de sistema:
Adicionalmente, añade las siguientes llaves:
El gusano intenta finalizar los procesos de aplicaciones de seguridad con los siguientes nombres:
Método de propagación:
Construye mensajes que envía utilizando su propio motor SMTP, y las direcciones que utiliza como destinatarios las recoge del los siguientes ficheros del equipo infectado:
- .ADB
- .ASP
- .CFG
- .DBX
- .EML
- .HTM
- .HTML
- .MDX
- .MMF
- .NCH
- .ODS
- .PHP
- .PL
- .SHT
- .TXT
- .WAB
la dirección del remitente también la extrae de uno de los ficheros anteriores.
El gusano no se envía a las direcciones que contengan lo siguiente:
El gusano abre una conexión remota en el puerto 2745 y notifica al autor indicando que el equipo infectado ya está preparado para recibir sentencias, para contactar a diversos sitios web, llamar a scripts PHP en sitios remotos.
w32/Bagle.d@MM: igual que el anterior pero con pequeñas modificaciones en el código w32/Bagle.e@MM: igual que los anteriores pero deja de funcionar el 25 de Marzo 2004, y el fichero anexo tiene el siguiente icono:
Detección y eliminación
Todas las variantes mencionadas se
controlan desde los DAT 4330 , para su
eliminación se recomienda ejecutar nuestra utilidad ELIBAGLA (versión 1.3 de fecha 1/3/2004).
SATINFO, VIRUSCAN SPAIN SERVICE 02 de Marzo de 2004
