Resultados 1 al 4 de 4

Tema: Nueva variante del gusano Bagle se distribuye junto a fotografías

  1. #1 Nueva variante del gusano Bagle se distribuye junto a fotografías 
    Moderador HH
    Fecha de ingreso
    Oct 2002
    Ubicación
    Between angels and insects
    Mensajes
    2.334
    Descargas
    0
    Uploads
    0
    Detectada en las últimas horas una importante propagación de la nueva variante del gusano Bagle que, entre otras formas de envío, puede simular ser un mensaje de una mujer, contando con diferentes fotografías que incluye en los e-mails para dotarlos de mayor realismo.


    Además de autoenviarse desde los sistemas infectados por e-mail e intentar propagarse por las redes de intercambio P2P, el gusano incluye una puerta trasera que permite a un atacante acceder de forma remota a los ordenadores afectados.

    Desde su detección existe cierta confusión en su denominación, ya que según la casa antivirus puede aparecer con el sufijo W, X, Y, Z o AA:

    eTrustAV -> Win32/Bagle.W.Worm
    Kaspersky -> I-Worm.Bagle.y
    McAfee -> W32/Bagle.z@MM
    NOD32 -> Win32/Bagle.X
    Norman -> Bagle.AA@mm
    Panda -> W32/Bagle.AA.worm
    Sophos -> W32/Bagle-W
    Sybari -> I-Worm.Bagle.Y
    Symantec -> W32.Beagle.W@mm
    TrendMicro -> WORM_BAGLE.X

    Por si los diferentes sufijos no fueran suficiente, hay que añadir además que esta variante de Bagle se puede presentar de diversas formas, como por ejemplo un dropper en un archivo .VBS, o en un
    .ZIP protegido con contraseña, lo que a su vez origina nuevas
    denominaciones como "Win32/Bagle.X.dropper" o "W32/Bagle.z!vbs", entre otras.

    A modo de resumen, esta nueva versión de Bagle se propaga a través del correo electrónico con diferentes textos y tipos de archivo, además se copia en las carpetas del sistema que contengan la cadena "shar" en su nombre, que coincide con los directorios de archivos compartidos de varias aplicaciones P2P como KaZaa, Bearshare o Limewire.

    En su faceta como troyano, el gusano instala una puerta trasera en el puerto TCP 2535 para permitir la entrada al ordenador de forma remota.


    Desinfección manual

    En caso de infección, es posible desinfectar el sistema con unos sencillos pasos:

    * Reiniciar el sistema en Modo Seguro (pulsando la tecla F8 antes de que comience la carga de Windows).

    * Borrar del directorio sistema de Windows (por defecto c:\Windows\system o c:\Winnt\system32) los siguientes archivos:

    drvsys.exe
    drvsys.exeopen
    drvsys.exeopenopen

    * Borrar la entrada "drvsys.exe" en la siguiente clave del registro de Windows (con la utilidad regedit.exe):
    HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run


    Así nos llega por e-mail

    El mensaje, en el que se propaga a través del correo electrónico, tiene las siguientes características:


    Remitente (puede ser uno de los siguientes):

    lizie@[dominio]
    annie@[dominio]
    ann@[dominio]
    christina@[dominio]
    secretGurl@[dominio]
    jessie@[dominio]
    christy@[dominio]


    Asunto (puede ser uno de los siguientes):

    Hello!
    Hey!
    Let's socialize, my friend!
    Let's talk, my friend!
    I'm bored with this life
    Notify from a known person ;-)
    I like you
    I just need a friend
    I'm a sad girl...
    Re: Msg reply
    Re: Hello
    Re: Yahoo!
    Re: Thank you!
    Re: Thanks
    RE: Text message
    Re: Document
    Incoming message
    Re: Incoming Message
    Re: Incoming Fax
    Hidden message
    Fax Message Received
    Protected message
    RE: Protected message
    Forum notify
    Request response
    Site changes
    Re: Hi
    Encrypted document
    Hello [nombre],
    Dear [nombre],
    Dear [nombre], It's me ;-)
    Hi [nombre],
    Hey [nombre], It's me ->
    Hi, It's me
    [nombre],
    Hey [nombre],
    Hey,
    Hello,
    Hi,
    I Like You!
    Don't you remember me?
    Kewl :-)
    I need a friend...
    I just want to talk with someone...
    I like reading the books and socializing, let me talk with you...
    It's time to find a friend!


    cuerpo:

    Está compuesto por varias secciones en las que puede seleccionar
    diferentes textos, si bien los omitimos por espacio, ya que listar
    todas las opciones sería muy extenso y no se considera información
    estrictamente necesaria. Como muestra un ejemplo de los diferentes
    cuerpos que puede componer el gusano:

    Hey [nombre destinatario],

    It's me -> [fotografía JPG de una mujer]

    Searching for the right person,for real man, who will really cares and love me.

    For details see the attach.

    Cheers, Christy


    Adjunto:

    Formado por alguno de los siguientes nombres:

    Information
    Details
    Readme
    Document
    Info
    Details
    MoreInfo
    Message


    Con alguna de las siguientes extensiones:

    .hta
    .vbs
    .exe
    .scr
    .com
    .cpl
    .zip (protegido con contraseña)

    El archivo comprimido con contraseña puede contener en su interior, además del ejecutable del gusano con un nombre al azar, otros archivos con extensión .txt, .doc, .vxd, .bat o .dll, en un intento de modificar el tamaño y aspecto del .ZIP para dificultar la labor de detección por parte de los antivirus.

    La contraseña, que permite al usuario descomprimir el archivo .ZIP protegido, se encuentra en el cuerpo del mensaje infectado.


    Infección y propagación

    Si un usuario ejecuta el archivo infectado, aparecerá una ventana con el siguiente texto: "Can't find a viewer associated with the file."

    A continuación el gusano se copia con los nombres drvsys.exe, drvsys.exeopen y drvsys.exeopenopen en la carpeta de sistema de Windows. Además incluye una entrada en el registro de Windows, descrita anteriormente en el apartado de desinfección manual, para asegurarse la ejecución del gusano en cada inicio de sistema.

    El gusano contiene una larga lista de nombres (omitida por su extensión) correspondientes a procesos de antivirus, firewalls personales, y otras soluciones de seguridad, que podrían poner trabas a su misión. Si encuentra alguno de estos procesos en memoria procede a finalizarlos.

    Para propagarse por e-mail, el gusano recolecta las direcciones de correo electrónico que encuentra en los archivos del sistema infectado con extensión .adb .asp .cfg .cgi .dbx .dhtm .eml .htm .jsp .mbx .mdx
    .mht .mmf .msg .nch .ods .oft .php .pl .sht .stm .tbb .shtm .txt .uin
    .wab .wsh .xls .xml

    A la hora de enviarse, evita hacerlo a direcciones que contengan algunas de las siguientes cadenas: @hotmail @msn @microsoft rating@
    f-secur news update anyone@ bugs@ contract@ feste gold-certs@ help@
    info@ nobody@ noone@ kasp admin icrosoft support ntivi unix bsd linux
    listserv certific sopho @foo @iana free-av @messagelab winzip google
    winrar samples abuse panda cafee spam pgp @avp. noreply local root@
    postmaster@

    En un intento de propagarse a través de las redes P2P, el gusano se copia en las carpetas que contengan la cadena "shar" con los siguientes nombres de archivos:

    Microsoft Office 2003 Crack, Working!.exe
    Microsoft Windows XP, WinXP Crack, working Keygen.exe
    Microsoft Office XP working Crack, Keygen.exe
    Porno, sex, oral, anal cool, awesome!!.exe
    Porno Screensaver.scr
    Serials.txt.exe
    KAV 5.0
    Kaspersky Antivirus 5.0
    Porno pics arhive, xxx.exe
    Windows Sourcecode update.doc.exe
    Ahead Nero 7.exe
    Windown Longhorn Beta Leak.exe
    Opera 8 New!.exe
    XXX hardcore images.exe
    WinAmp 6 New!.exe
    WinAmp 5 Pro Keygen Crack Update.exe
    Adobe Photoshop 9 full.exe
    Matrix 3 Revolution English Subtitles.exe
    ACDSee 9.exe

    De forma que estos ejecutables, que simulan diversos programas y utilidades, y que en realidad contienen el código del gusano, pasarán a ser compartidos en las redes P2P y podrán ser descargados por otros usuarios que se infectarán si los llegan a ejecutar.


    Puerta trasera

    Como ya comentamos, el gusano instala una puerta trasera en los sistemas infectados a través del puerto TCP 2535. En lo que parece un intento de notificar al creador del gusano las direcciones de los sistemas infectados, el gusano llama a un script PHP en diferentes sitios webs.


    Fuente: Hispasec
    "Prefiero estar en silencio y parecer idiota que abrir la boca y despejar toda clases de dudas"
    Citar  
     

  2. #2  
    Avanzado
    Fecha de ingreso
    Jan 2002
    Mensajes
    779
    Descargas
    0
    Uploads
    0
    je je je es cierto, el otro dia me llego uno de estos... la tia no estaba mal (debo decir que como llevaba ropa no pude juzgar demasiado bien XDDDDDDDDDDDDDDD) aunque eso de dotar de mayor realismo... bueno, te llega un mail en ingles (diciendote algo asi como que busca a alguien que la haga caso de verdad... o algo parecido), de la direccion de una secretaria de la universidad, con una foto y un adjunto .zip no, sé a mi no me parecio demasiado creible... xDDDDDDDDDDD
    Citar  
     

  3. #3  
    Avanzado
    Fecha de ingreso
    Oct 2003
    Ubicación
    México, QRO.
    Mensajes
    251
    Descargas
    0
    Uploads
    0
    A mi de = manera me han llegado estos mensajes con la direccion de una chica y con unas fotos de ella pero de = manera me llegan mensajes adjuntos que dice segun el emnsaje que son mas fotos de esta chica xD
    Tengo el peor de los cansancios......el cansancio de mi mismo.

    ¦¦lH░▒░₪نקηی۱h٤r₪░▒░Hl¦¦
    Citar  
     

  4. #4  
    Avanzado
    Fecha de ingreso
    Jan 2002
    Mensajes
    779
    Descargas
    0
    Uploads
    0
    Pues mira a ver... abrelos, que seguro que son mas fotos...
    Citar  
     

Temas similares

  1. Necesito ayuda con BAGLE!!
    Por jonavafe en el foro MALWARE
    Respuestas: 9
    Último mensaje: 07-03-2008, 13:50
  2. Detectan nueva variante del virus Mimail
    Por .Yok3R. en el foro NOTICIAS
    Respuestas: 0
    Último mensaje: 17-01-2004, 01:29
  3. Respuestas: 0
    Último mensaje: 18-11-2003, 05:43
  4. Respuestas: 14
    Último mensaje: 24-08-2003, 21:04
  5. Respuestas: 0
    Último mensaje: 15-03-2003, 12:37

Marcadores

Marcadores

Permisos de publicación

  • No puedes crear nuevos temas
  • No puedes responder temas
  • No puedes subir archivos adjuntos
  • No puedes editar tus mensajes
  •