Aparece Bagle.FB., gusano de Internet y caballo de Troya

usano que se propaga por correo electrónico. Consta de al menos tres componentes diferentes: dos "downloader" y un "mass-mailer".

El primero es un "downloader", un troyano que probablemente es enviado en forma de spam, y que descarga otro de los componentes del gusano, un segundo downloader.

Cuando el segundo downloader se ejecuta, descarga un archivo de una dirección predeterminada de Internet, y lo almacena en la carpeta del sistema con un nombre al azar, para luego ejecutarlo.

Este archivo (el "mass-mailer"), se encarga de propagar al gusano a través de mensajes de correo electrónico.

Para ello, primero obtiene direcciones electrónicas de archivos de la máquina infectada que tengan las siguientes extensiones:

.adb
.asp
.cfg
.cgi
.dbx
.dhtm
.eml
.htm
.jsp
.mbx
.mdx
.mht
.mmf
.msg
.nch
.ods
.oft
.php
.pl
.sht
.shtm
.stm
.tbb
.txt
.uin
.wab
.wsh
.xls
.xml

Al hacer esto, evita aquellas direcciones cuyos nombres contengan las siguientes cadenas:

@avp.
@foo
@hotmail
@iana
@messagelab
@microsoft
@msn
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
google
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip

Los mensajes enviados tienen las siguientes características:

De: [remitente falso]

Asunto: [uno de los siguientes]

Gwd: crypted document
Gwd: Changes..
Gwd: Document
Gwd: Fax Message
Gwd: Forum notify
Gwd: Hello :-)
Gwd: Hi
Gwd: Incoming message
Gwd: Incoming Message
Gwd: Incoming Msg
Gwd: Message Notify
Gwd: Msg reply
Gwd: Notification
Gwd: Protected message
Gwd: Protected message
Gwd: Site changes
Gwd: Text message
Gwd: Thank you!
Gwd: Thanks :)
Gwd: Update
Gwd: Yahoo!!!

Texto del mensaje: [una de las siguientes líneas]

Ok. Attach tells everything.
Ok. Attached file tells everything.
Ok. Check attached file for details.
Ok. Check attached file.
Ok. Here is the file.
Ok. Message is in attach
Ok. More info is in attach
Ok. Pay attention at the attach.
Ok. Please, have a look at the attached file.
Ok. Please, read the document.
Ok. Read the attach.
Ok. See attach.
Ok. See the attached file for details.
Ok. Your document is attached.
Ok. Your file is attached.

Datos adjuntos: [1]+[2].[3].[4]

Donde el componente [1] puede ser uno de los siguientes:

Common
Details
fuck_her
Info
Message
MoreInfo
www.cumonherface
XXX_livebabes
XXX_PornoUpdates
xxxporno

[2] puede no existir, o consistir en hasta 5 letras al azar

[3] es una de las siguientes extensiones (utiliza una doble extensión):

cfg
def
dll
ini
txt
vxd

y la segunda extensión, [4], es una de las siguientes:

com
exe
scr

Ejemplos:

XXX_livebabes.txt.scr
MoreInfo.cfg.exe

El tamaño de los archivos adjuntos varía, porque el gusano agrega datos al azar al final de los mismos.

En ocasiones, también puede existir un segundo archivo adjunto con el siguiente nombre:

description.txt

Se trata de un simple archivo de texto, no malicioso, con el siguiente contenido:

you've got them already

Cuando el primer adjunto es abierto por el usuario y ejecutado, el mismo se copia en el sistema con el siguiente nombre:

c:windowssystem32windspl.exe

También se crean los siguientes archivos:

TEMPole320
TEMPole321
TEMPole322
TEMPole323
c:windows egisp32.exe
c:windowssystem32windspl.exeopen
c:windowssystem32windspl.exeopenopen
c:windowssystem32windspl.exeopenopenopenopen

También puede crear en los archivos temporales de Internet, un archivo HTML con nombre al azar.

Ejemplo:

ijj.t35[1].html

REGISP32.EXE es uno de los componentes downloaders usados por el gusano.

NOTA 1: "c:windowssystem32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:winntsystem32" en Windows NT y 2000 y "c:windowssystem" en Windows 9x y ME).

NOTA 2: La carpeta TEMP está ubicada en "c:windows emp", "c:winnt emp", o "c:documents and settings[usuario]local settings emp", de acuerdo al sistema operativo.

Para autoejecutarse en cada reinicio del sistema, crea la siguiente entrada en el registro:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun
DsplObjects = "c:windowssystem32windspl.exe"

Borra las siguientes entradas en el registro, bajo las claves HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Run y HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows CurrentVersion Run:

9XHtProtect
Antivirus
ICQNet
My AV
service
Special Firewall Service
Tiny AV
Zone Labs Client Ex

Para propagarse por redes P2P, el gusano se copia en todas las carpetas cuyo nombre contenga la cadena "SHAR", con uno de los siguientes nombres de archivos:

ACDSee 9.exe
Adobe Photoshop 9 full.exe
Ahead Nero 7.exe
Kaspersky Antivirus 5.0
KAV 5.0
Matrix 3 Revolution English Subtitles.exe
Microsoft Office 2003 Crack, Working!.exe
Microsoft Office XP working Crack, Keygen.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Opera 8 New!.exe
Porno pics arhive, xxx.exe
Porno Screensaver.scr
Porno, sex, oral, anal cool, awesome!!.exe
Serials.txt.exe
WinAmp 5 Pro Keygen Crack Update.exe
WinAmp 6 New!.exe
Windown Longhorn Beta Leak.exe
Windows Sourcecode update.doc.exe
XXX hardcore images.exe

El gusano también puede abrir una puerta trasera por el puerto TCP 6777, a través de la cuál queda a la espera de comandos de un usuario remoto. Algunos de los comandos aceptados, permiten la desinstalación del propio gusano, o descargar y ejecutar una actualización del mismo.

El "downloader" contiene una lista de direcciones de Internet desde donde descargará otros archivos (puerto TCP 80):

http: // debut .zoo .com/
http: // dook .zoo .by/
http: // ijj .t235 .com/
http: // ijj .t35 .com/
http: // myphotokool .t235 .com/
http: // noshit .fateback .com/

Si logra descargar un archivo, el mismo será copiado como un .EXE en la siguiente ubicación y luego ejecutado:

c:windowssystem32 e_file.exe

El Bagle también puede actualizarse a si mismo utilizando este método.

Crea los siguientes mutex, para evitar ejecutarse más de una vez en memoria:

MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
smtp_bagla_1000

Un mutex (mutual exclusion object), es un objeto utilizado para controlar el acceso a recursos (cualquier tipo de programas y aplicaciones, etc.) y evitar que más de un proceso acceda al mismo tiempo a él. Un caso concreto: si un mutex determinado (puede haber uno diferente para cada programa) está en memoria, el programa al que le corresponda ese mutex, asume que existe una sesión anterior de él mismo ejecutándose actualmente, negándose por lo tanto a hacerlo por segunda vez. Esto previene la múltiple carga del programa en memoria.

El gusano tiene fecha de desactivación. Si se intenta ejecutar en una fecha superior al 13 de febrero de 2013, el gusano se desactiva.

También se desactiva si detecta la presencia de una herramienta debugger. Un debugger es una utilidad usada por programadores o por investigadores para depurar o examinar un código, ejecutándolo paso a paso mientras se muestran sus instrucciones.

El gusano contiene el siguiente texto oculto en su código:

In a difficult world
In a nameless time
I want to survive
So, you will be mine!!
-- Bagle Author, 29.04.04, Germany.

Reparación manual

NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.