BAGLE.DK gusano de Correo infecta el EXPLORER.EXE intenta descargar un archivo desde diversos sitios web.  

© Jorge Machado  Lima-Perú

W32/Bagle.DK@mm, I.worm.Bagle.DI-WA@mm, W32/Lodear.A@mm

Bagle.DK es un gusano de Correo residente en memoria reportado el 02 de Noviembre del 2005 que se propaga en mensajes con un archivo de nombre aleatorio, con extensión .ZIP y que al desempaquetarse libera el archivo LOADER.EXE, el cual libera un DLL que se inserta en el ejecutable del programa EXPLORER de Windows.

Hace uso de su propio servidor SMTP (Simple Mail Transfer Protocol) y con su propia codificación MIME (Multipurpose Internet Mail Extensions) construirá el mensaje en memoria y enviará a todas las direcciones que encuentre en el sistema infectado.

Un componente del gusano intenta descargar a través del puerto TCP 80 desde diversas direcciones en la web un archivo infectado (actualmente removido de los mismos).

Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP y Server 2003, está escrito en MS Visual C++ con una extensión de 9.5KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

http://upx.sourceforge.net

El mensaje tiene las siguientes características: 

Remitente: emplea los buzones extraidos o falsas direcciones bajo la técnica Spoofing.
Asunto: ID [aleatorio]
Contenido: [aleatorio]

Anexado, uno de dos:

NOTA: los Asuntos y Contenidos aleatorios son construídos en memoria por el gusano tomando cualquiera de los mensajes encontrados en los previamente infectados.

El gusano usa su propio servidor SMTP (Simple Mail Transfer Protocol)  con su propia codificación MIME (Multipurpose Internet Mail Extensions) que construirá el mensaje en memoria y enviará a todas las direcciones que encuentre en el sistema infectado.

Al activase el archivo y se desempaqueta y copia a la carpeta %System% con los nombres;

y para ejecutarse la próxima vez que se re-inicie el sistema crea las siguientes llaves:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"auto__hloader__key" = "%System%\hloader_exe.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"auto__hloader__key" = "%System%\hloader_exe.exe"

Al siguiente inicio del equipo el gusano libera el archivo hleader_dll.dll de 5.5 KB de extesión el cual copia a carpeta %System% e inserta en el  programa EXPLORER.EXE cuando este sea procesado.

Crea el directorio %Windir% la carpeta exefld en la cual almacenará los archivos ejecutables que intentará descragar.

cuando el usuario establezca una conexión a Internet el gusano intentará descargar el archivo w.php desde cualquiera de estos URL:

después de este proceso el gusano se borrará así mismo.

PER ANTIVIRUS® versión 9.5 con registro de virus al 02 de Noviembre del 2005 detecta y elimina este gusano. 

Ir al menú anterior

Regresar al Portal de PER SYSTEMS