Tema: Bagle.BS. Se propaga por correo electrónico

[Danae]

Bagle.BS. Se propaga por correo electrónico

Nombre: Bagle.BS
Nombre NOD32: Win32/Bagle.BS
Tipo: Gusano de Internet
Alias: Bagle.BS, W32.Beagle.CD@mm, Win32/Bagle.BS
Plataforma: Windows 32-bit
Tamaño: 12,800 bytes
Puerto: TCP 80

Gusano escrito en Visual C, que se propaga por correo electrónico. Puede enviarse a todas las direcciones de correo obtenidas de diferentes archivos de la máquina infectada. En todos los casos el remitente que figura en el mensaje es falso.

Posee además un componente de acceso por puerta trasera (backdoor).

Los mensajes que utiliza para su propagación tienen las siguientes características:

De: [una dirección falsa]

Asunto: [en blanco]

Texto del mensaje: [uno de los siguientes]
The password is

Password:
Datos adjuntos: [nombre variable]

El archivo adjunto puede tener doble extensión, o también puede ser un ".ZIP" conteniendo el ejecutable y protegido con una contraseña aleatoria indicada en el texto del mensaje.

Cuando se ejecuta, crea el siguiente archivo en la carpeta System de Windows:
c:\windows\system32\windll.exe

Crea la siguiente entrada en el registro:
HKCU\Software\Microsoft\Windows\CurrentVersion\Ru1n
erthgdr = c:\windows\system\windll.exe
Un error en el nombre de esta clave, hace que el gusano no se ejecute en los próximos reinicios.

Crea también la siguiente entrada para almacenar valores de su configuración actual:
HKCU\Software\ert
Las direcciones que utiliza para propagarse, son obtenidas de archivos de la máquina infectada con las siguientes extensiones:
.adb
.asp
.cfg
.cgi
.dbx
.dhtm
.eml
.htm
.html
.jsp
.mbx
.mdx
.mht
.mmf
.msg
.nch
.ods
.oft
.php
.sht
.shtm
.stm
.tbb
.txt
.uin
.wab
.wsh
.xls
.xml
Ignora direcciones de correo que contengan las siguientes cadenas:
@avp.
@derewrdgrs
@eerswqe
@foo
@iana
@messagelab
@microsoft
abuse
admin
anyone@
bsd
bugs@
cafee
certific
contract@
feste
free-av
f-secur
gold-certs@
google
help@
icrosoft
info@
kasp
linux
listserv
local
news
nobody@
noone@
noreply
ntivi
panda
pgp
postmaster@
rating@
root@
samples
sopho
spam
support
unix
update
winrar
winzip
Intenta descargar un archivo de Internet para grabarlo con el siguiente nombre y ubicación:
c:\windows\system32\re_file.exe
También intenta descargar otro archivo, que graba con el siguiente nombre y ubicación:
c:\windows\eml.exe
Abre una puerta trasera por el puerto TCP/80, usándolo como proxy para un usuario remoto.

Mientras se está ejecutando, intenta finalizar los siguientes procesos:
no1t1epad.exe
t1es1t.exe
El gusano puede crear diferentes mutex para evitar la ejecución del gusano W32.Netsky.

También intenta borrar algunas claves del registro correspondientes a versiones anteriores del propio gusano.

Reparación Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. Borre los archivos detectados como infectados.

Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los siguientes archivos (no todos ellos pueden estar presentes):
c:\windows\eml.exe
c:\windows\system32\windll.exe
c:\windows\system32\re_file.exe
Pinche con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".

Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Ru1n
3. Pinche en la carpeta "Ru1n" y bórrela
4. En el panel izquierdo del editor, pinche en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\ert
5. Pinche en la carpeta "ert" y bórrela.
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).

Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema"
Más información: http://www.vsantivirus.com/bagle-bs.htm