trojan/bagle.i
troj_bagle.gi, worm.win32.bagle.fb, troj/bagledi-ap, w32/bagle.gen, trojan.lodear.g
tipo: trojan
tama?o: variable
origen: internet
destructivo: no en la calle (in the wild): si detección y eliminación: the hacker 5.9, registro de virus al 20/12/2005.
trojan/bagle.i, es un troyano que se difunde a trav?s de envi? masivos de e-mail utilizando su propio motor smtp
caracter?sticas del mensaje de email:
asunto: [en blanco]
cuerpo: [variable]
archivo adjunto: [variable, uno de los siguientes]
thomas.zip henry.zip william.zip nicholaus.zip edward.zip katheryne.zip nathanyell.zip michael.zip anthonye.zip mychaell.zip danyell.zip nota.- el archivo .zip contiene el archivo s3700026.exe
-----------------------
cuando el troyano se ejecuta se copia a si mismo como:
system \anti_troj.exe nota:
system representa la carpeta system dentro de windows (ej. c:\windows\system, c:\winnt\system32)
adem?s crea las siguientes entradas en el registro:
hkey_local_machine\software\microsoft\windows\currentversion\run
anti_troj= system \anti_troj.exe
hkey_current_user\software\microsoft\windows\currentversion\run
anti_troj= system \anti_troj.exe
tambi?n crea la siguiente entrada en el registro como marca de su infecci?n
hkey_current_user\software\firstrrrun
firstrrrun=1
finalmente el troyano crea una carpeta de nombre exefld dentro de la carpeta windows , en dicha carpeta descarga un archivo remoto desde uno de los siguientes sitios web:
[http://]www.150m.com/[removido] [http://]www.encansbelec.com/[removido] [http://]www.bakelit.hu/[removido] [http://]www.nuclear.com.pl/[removido] [http://]www.batlground.com/[removido] [http://]www.bbrealservis.sk/[removido] [http://]www.befag.ru/[removido] [http://]www.benininfo.com/[removido] [http://]www.bennylife.com/[removido] [http://]www.bestcheapdomainregistration.info/[removido] [http://]www.bidsforbaby.com/[removido] [http://]www.binhaigolf.com/[removido] [http://]www.biotenk.com/[removido] [http://]www.bitsolution.ro/[removido] [http://]www.nmtltd.com/[removido] [http://]www.vnettools.com/[removido] [http://]www.boldrussell.com/[removido] [http://]www.bronko-m.ru/[removido] [http://]www.bulkemailservicenow.com/[removido] [http://]www.bulkemaildirectmarketing.com/[removido] [http://]www.calidad.biz/[removido] [http://]www.cansew.ca/[removido] [http://]www.cansultdubai.ae/[removido] [http://]www.casaquecanta.com/[removido] [http://]www.chilotitomarino.cl/[removido] [http://]www.chinaculturedpearl.com/[removido] [http://]www.casino-malibu.ru/[removido] [http://]www.colin18.com/[removido] [http://]www.khonkaenpoc.com/[removido] [http://]www.connectesl.com/[removido] [http://]abtechsafety.com/[removido] [http://]acentrum.pl/[removido] [http://]www.adamant-np.ru/[removido] [http://]furdoszoba.info/[removido] [http://]adavenue.net/[removido] [http://]ccooaytomadrid.org/[removido] [http://]abtechsafety.com/[removido] [http://]80.146.233.41/[removido] [http://]www.barth.serwery.pl/[removido] [http://]www.leap.co.il/[removido] [http://]virt33.kei.pl/[removido] [http://]www.bmswijndepot.com/[removido] [http://]209.126.128.203/[removido] [http://]www.timecontrol.com.pl/[removido] [http://]adoptionscanada.ca/[removido] [http://]65.108.195.73/[removido] [http://]tkdami.net/[removido] [http://]www.ubu.pl/[removido] [http://]adventecgroup.com/[removido] [http://]sacafterdark.net/[removido] [http://]agenciaspublicidadinternet.com/[removido] [http://]www.agroturystyka.artneo.pl/[removido] [http://]kepter.kz/[removido] [http://]ahava.cafe24.com/[removido] [http://]mijusungdo.net/[removido] [http://]aibsnlea.org/[removido] [http://]aikidan.com/[removido] [http://]202.44.52.38/[removido] [http://]drinkwater.ru/[removido] [http://]ala-bg.net/[removido] [http://]allinfo.com.au/[removido] [http://]eleceltek.com/[removido] [http://]alevibirligi.ch/[removido] [http://]alfaclassic.sk/[removido] [http://]allanconi.it/[removido] [http://]www.americarising.com/[removido] [http://]americasenergyco.com/[removido] [http://]amerykaameryka.com/[removido] [http://]amistra.com/[removido] [http://]analisisyconsultoria.com/[removido] [http://]calamarco.com/[removido]
1992/2005