 |
|||||||||
|
|||||||||
| SYMBOLIC Antivirus Security Division |
| 3 Marzo 2004 |
| NOME: Bagle.J |
| ALIAS: I-Worm.Bagle.j, W32.Beagle.K@mm, W32/Bagle.K@mm |
| DIMENSIONE: 12288 bytes |
Descrizione breve Una delle tante varianti di Bagle - Bagle.J è stata scoperta in the wild il 2 Marzo 2004. Questa variante si propga come file eseguibile o come archivio ZIP protetto da password. L'allegato eseguibile si presenta con l'icona di Wordpad
Il worm si propaga con un messaggio ingannevole, facendo riferimento al dominio di posta o al nome della societa' Ad esempio, se si lavorasse per ACME Corp, l'email inviata da Bagle.J potrebbe essere la seguente:
Descrizione Dettagliata L'eseguibile con cui il worm si propaga ha dimensioni 12288 byte compresso in UPX. il pacchetto decompresso supera i 49 kilobyte. Il ciclo di vita di questo worm è di circa un anno. Se la data del sistema è 25 Aprile 2005, il worm si disinstalla dal sistema eliminando le sue chiavi dal registro ed i suoi eseguibili. Inoltre questo worm ha funzionalita' di Backdoor.Una volta attivato, rimane in ascolto sulla porta 2745 in attesa di comandi da remoto.
Quando l'allegato viene eseguito, il worm crea il file IRUN4.EXE nella directory di sistema di Windows e aggiunge la seguente chiave nel registro di configurazione: [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] dove %winsysdir% rappresenta la directory di sistema di Windows
Per trova indirizzi email a cui spedirsi, il worm ricerca tutti, in dischi disponibili, i file con queste estensioni:
Inoltre evita di inviarsi ad indirizzi email che contengono:
Il worm si propaga con un allegato di posta elettrica che puo' avere estensione o PIF o EXE oppure in archivi ZIP protetti da password conteneti file PIF o EXE con nomi casuali. Il subjects, body del messaggio e nome dell'allegato sono casuali cosi' come le password con cui vengono protetti gli archivi ZIP. Il From viene generato utilizzando il dominio di posta del PC infetto e con user preso tra i seguenti:
Allo stesso modo utilizza Subject casuali scelti tra:
e body del messaggio composti tra diverse parti. Il messaggio inizia: Dear user of <recipient's domain>, ed il resto del messaggio può essere uno dei seguenti: Your e-mail account has been temporary disabled
because of unauthorized access.
seguito da uno dei seguenti:
seguito da uno dei seguenti:
seguito da uno dei seguenti:
Se il worm si propaga come archivio ZIP protetto da password, la password con cui è stato protetto il messaggio viene inserita nel testo dell'email, come ad esempio:
dove <pass> è la password casuale. Il nome che può essere dato all'allegato è:
L'allegato può avere estensione EXE, PIF o ZIP.
Bagle.J è in grado di propagarsi sugli share condivisi. Mentre ricerca indirizzi email sui dischi disponibili, il worm ricerca che le cartelle con nome 'shar' nelle substringhe, all'interno delle quali crea file che possono avere uno dei seguenti nome:
ICome si può notare il worm NetSky utilizza una tecnica simile, tuttavia esso effettua la sua ricerca in tutti i dischi disponibili ad eccezione del CD.
Questo worm è in grado di terminare i processi dei seguenti anti-virus e security software che utilizzano i seguenti file:
Bagle.J è in grado di connettersi ad uno dei seguenti siti Internet:
Il worm lancia uno script PHP presente in queste pagine con alcuni parametri. Questa operazione viene fatta per fornire a questi siti l'indirizzo IP del computer infetto e la porta su cui è in ascolta la backdoor. Sfortunatamente al momento non sono disponibili ulteriori informazioni in merito a questi siti, è comunque consigliabile bloccare l'accesso ad essi. Messaggio agli autori di NetSky Il worm contiene un messaggio per gli autori di NetSky: (mostrato come appare, con errori):
Rilevazione F-Secure Anti-Virus rileva Bagle.J con gli aggiornamenti pubblicati il 3 Marzo 2004: [FSAV_Database_Version] Version=2004-03-03_01
F-Secure Corporation |
