 |
|||||||||
|
|||||||||
| SYMBOLIC Antivirus Security Division |
| 3 Marzo 2004 |
| NOME: Bagle.K |
| ALIAS: I-Worm.Bagle.j, W32.Beagle.K@mm, W32/Bagle.K@mm |
| DIMENSIONE: 12288 bytes |
|
ftp://ftp.f-secure.com/anti-virus/tools/f-bagle.exe ftp://ftp.f-secure.com/anti-virus/tools/f-bagle.zip Istruzioni per la disinfezione: ftp://ftp.f-secure.com/anti-virus/tools/f-bagle.txt Tool per amministrazioni centralizzate: http://www.europe.f-secure.com/tools/f-bagle.jar ftp://ftp.europe.f-secure.com/anti-virus/tools/f-bagle.jar Descrizione breve Una delle tante varianti di Bagle - Bagle.K è stata scoperta in the wild il 2 Marzo 2004. Questa variante si diffonde per mezzo di e-mail attraverso un file eseguibile. Le seguenti stringhe di testo sono scritte nel corpo del worm: Hey, NetSky, f*ck off you b*tch! Questo indica una competizione in corso tra i creatori dei worm Bagle e NetSky. Questa variante non tenta di rimuovere il worm NetKy se trova la macchina infetta. Descrizione Dettagliata Il file del worm è un PE eseguibile di circa 13 Kilobytes pacchettizzato con UPX. Il file decompresso è circa 22 Kilobytes. Il worm aggiunge dati inutili alla fine del suo corpo per ingannare i sistemi di rilevazione. La vita del worm è di circa un anno. La data esatta è il 25 Aprile 2005. Quel giorno provvede a rimuovere la chiave del registro e a cancellare l'eseguibile. Il worm possiede una backdoor. Quando è attivo, il worm ascolta sulla porta 2745 in attesa di comandi remoti.
Quando il file del worm viene eseguito, si copia come WINSYS.EXE nella directory di sistema di windows e crea una chiave di registro per eseguirsi all'avvio del sistema:
dove %winsysdir%rappresenta la directory di sistema di Windows. Il worm crea altri due file:
Questi file sono altre due copie del worm.
Per trovare indirizzi e-mail il worm ricerca, su tutti i drive disponibili, file con queste estensioni:
Il worm non invia mail ad indirizzi contenenti una di queste stringhe:
Il worm si diffonde all'interno delle mail come allegato con estensione PIF o EXE oppure in un file ZIP compresso con password che contiene un eseguibile con nome generato random. Il worm sceglie casualmente un subject, un corpo ed un allegato scelto dalla sua lista interna. Il worm genera password casuali che usa per crittare i file ZIP inviati. Il From del messaggio è creato da una serie di stringhe tra cui:
Utilizza i seguenti Subject:
Il corpo del messaggio è composto da differenti parti. Il messaggio inizia con:
continua con uno dei seguenti:
continua con uno dei seguenti:
continua con uno dei seguenti:
continua con uno dei seguenti:
Se il worm si diffonde in uno ZIP protetto, aggiunge le informazioni riguardanti la password nel corpo della mail. Utilizza una delle seguenti stringhe:
dove <pass> è la password generata casualmente A seguito ci sono delle varianti utilizzate dal worm per il nome dell'allegato infetto:
L'allegato può avere estensioni EXE, PIF or ZIP.
Il worm si diffonde nelle cartelle infette della macchina. Quando il worm cerca in tutti i drive disponibili, per collezionare e-mail, si copia in qualsiasi cartella che contentenga la stringa 'shar'. Si copia in queste cartelle con uno dei seguenti nomi:
Anche il worm NetSky usa una tecnica simile, infatti cerca all'interno di tutti i drive ad eccezione del CD-ROM.
Il worm uccide i processi di anti-viris o softwrae di sicurezza associati ai seguenti file:
Il worm periodicamente si connette ai seguenti siti web:
Il worm apre una pagina PHP con determinati parametri. Serve a far saper al creatore del worm l'indirizzo ip, il numero della porta della backdoor e l' id di versione. In questo momento le pagine in questi web server non sono più disponibili. E' comunque consigliato bloccarne l'accesso.
Questa variante ha un nuovo messaggio per i creatori di NEtSky nel suo corpo:
Rilevazione F-Secure Anti-Virus rileva Bagle.K con gli aggiornamenti pubblicati il 3 Marzo 2004: [FSAV_Database_Version] Version=2004-03-03_04
F-Secure Corporation |