 |
|||||||||
|
|||||||||
| SYMBOLIC Antivirus Security Division |
| 5 Giugno 2003 |
| NOME: Bugbear.B |
| ALIAS: W32/Bugbear.B@mm, W32/Kijmo.A, I-Worm.Tanatos.B, Win32.Bugbear.B |
Descrizione Breve Una nuova variante polimorfica del worm Bugbear si e' diffusa il 5 Giugno
2003. Tool di disinfezione F-Secure ha creato un tool per la rimozione di Bugbear.B. Le istruzioni sono contenute all'interno del file zip. Il tool e' disponibile al seguente link: Download Descizione dettagliata Il file del worm e' un eseguibile Windows PE compresso con UPX e criptato
con un semplice algoritmo. Installazione sul computer Quando e' eseguito il worm si installa nel sistema infettando varie utility del sistema e applicazioni largamente diffuse. I seguenti programmi vengono infettati: %ProgramFilesDir%\winzip\winzip32.exe dove %ProgramFilesDir% e' la cartella di instalalzione di default delle applicazioni (Programmi) e %WinDir% e' la cartella di Windows. IL worm puo' anche copiare i propri file nella cartella di Avvio Automatico
con un nome scelto a caso oppure Setup.exe; in questo modo viene eseguito
in automatico al prossimo riavvio. Diffusione via Email Il worm si diffonde per mezzo di e-mail infette. Ha un suo motore SMTP
interno. .ODS Alcuni di questi file sono database contenenti svariati indirizzi e-mail. Il worm si autoinvia a tutti gli indirizzi trovati evitando quelle che contengono le seguenti stringhe: remove Il soggetto dei messaggi infetti e' preso casualmente da file del computer infetto oppure viene scelto tra i seguenti: Greets! Il corpo del messaggio infetto puo' essere vuoto oppure puo' contenere un testo estratto da un file scelto casualmente dal computer infetto. Il body del messaggio puo' contenere l'exploit I-Frame. Quest'ultimo permette al worm di eseguirsi automaticamente su alcuni computer quando una e-mail infetta viene aperta (ad esempio, con Outlook e IE 5.0 or 5.01). Questa vulnerabilita' viene corretta dalla patch reperibile sul sito di Microsoft all'indirizzo: http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-020.asp Il nome dell'allegato puo' essere SETUP.EXE o puo' contenere una delle seguenti parole: readme Il worm puo' inoltre scegliere il nome dell'allegato con cui si invia, scegliendo in modo casuale tra i file presenti sul computer infetto. L'estensione dell'allegato e' scelta fra le seguenti: exe Nel caso in cui il worm usi il nome di un file presente sul computer infetto l'allegato potrebbe avere due o più estensioni, ad esempio DOCUMENT.DOC.EXE. Il worm controlla l'estensione del file e setta il content type dell'allegato in modo appropriato. Le estensioni controllate sono: reg I content type utilizzati sono: image/gif Il worm falsifica l'indirizzo del mittente della mail. Diffusione nelle Reti Locali \winzip\winzip32.exe Inoltre il worm prova a localizzare la directory di Avvio Automatico sui computer remoti e si copia con il nome SETUP.EXE o con un nome casuale ed estensione .EXE. Il risultato di questa azione e' che i computer remoti saranno infettati al riavvio delle macchine oppure dopo l'esecuzione di uno dei file infetti. Processi Fermati Il worm uccide i processi di alcuni anti-virus, di progammi di sicurezza ed di altri progammi generici. Crea una lista dei processi attivi ogni 20 secondi e termina processi il cui nome coincide con uno dei seguenti: _AVP32.EXE Il worm ha routine distinte per fermare i processi. Queste routine dipendono dal sistema operativo. Banche l computer contiene una ampia lista di domini che per la maggior parte appartengono a banche. All'avvio verifica se il dominio del computer infettato appartiene ad uno di quelli presenti nella lista e se il controllo e' positico avvia la funzione di AutoDial modificando la chiave del registro: [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet
Settings] I domini presenti nella lista appartengono a banche di differenti nazioni fra le quali: Italia,Francia, Regno Unito, Germania, Australia, Grecia, Danimarca, Nuova Zelanda, Spagna, Brasile, Romania, Polonia, Argentina, Svizzera, Finlandia, Taiwan, Turchia, Islanda, Slovenia, Corea, USA, Sud Africa, Repubbliche Baltiche, Austria, Ungheria, Norvegia, Repubblica Ceca e altre. Effetti collaterali In base ai report le stampanti di rete possono stampare pagine contenenti caratteri senza senso quando il worm inizia a diffondersi in rete. Questo puo' essere un effetto del tentativo di infezione della rete. Backdoor Il worm contiene una componente di backdoor simile a quella usata nella versione precedente. La backdoor ascolta sulla porta TCP 1080 ed e' possibile inviare i seguenti comandi: * informazioni sul computer infettato L'interfaccia Web di Bugbear e' la seguente:
La backdoor presente in Bugbear.B non usa, a differenza della variante precedente, un sistema di autenticazione e quindi puo' essere usato da chiunque e non solo dall'autore del worm. Rilevazione F-Secure Anti-Virus rileva e disinfetta il worm Bugbear.B con le impronte rilasciate il 6 Giugno 2003: [FSAV_Database_Version] Version=2003-06-06_02 F-Secure Corporation |
