W32/Bagle-K - Mi van a kulisszák mögött?
Más néven : I-Worm.Bagle.j, W32.Beagle.A@mm, WORM_BAGLE.GEN
Fajta: Win32 worm
Mint megszokhattuk, saját SMTP protokollal küldi tovább a merevlemezek WAB, TXT, HTM, XML, DBX, MDX, EML, NCH, MMF, ODS, CFG, ASP, PHP, PL, ADB, TBB és HHT állományaiból kikeresett címekre, és címekről. Egyebekben minor variáns féregről van szó, ezért értelmetlennek tartom a már ismert analízist megismételni. Kiemelendő, hogy féreg levelezési tulajdonságai levélszövegei különbözhetnek kissé elődeitől. Egyebekben mind terjedésük, mind alaptulajdonságai megegyeznek a többi variánssal. Igaz, hogy elsősorban e-mail féreg, de képes hátsóajtót nyitni a 2745 porton, ahol várja az utasításokat.
A levéltest szövege a megszokottnál kiterjedtebb, "bőbeszédűbb". Elvileg ténykedését 2005 áprilisában hagyja abba, amikor uninstallálja magát a fertőzött gépekről. Üzenetet a Netsky íróinak természetesen tartalmaz, mely üzenet elég tömörnek tűnik:
Hey, NetSky, fuck off you bitch!
Azért, mert minor variánsuk az architektúrájuk hasonlít, nem kell külön eltávolító hozzájuk: W32/Bagle-A, W32/Bagle-C, W32/Bagle-D, W32/Bagle-E, W32/Bagle-F, W32/Bagle-G, W32/Bagle-H, W32/Bagle-I, W32/Bagle-J and W32/Bagle-K . Innen letölthetnek két eltávolítót, - de szinte minden cég lapján találnak - a felsorolt férgeket észlelik. Az egyik a baglegui.com, a másik a baglesfx.exe - mely önkitömörítő állomány. Mindkét alkalmazás parancssorból indítható. Ez előtt frissítsük antivírus programunkat, majd futtassuk le e gépen on-demond módban. Ezután csökkentett módban futtassuk le a removalokat - mert így a memóriát is megtisztítja - reboot, és normál módban ismételjük meg mindezt. Majd a futtat - regedit paranccsal nyissuk meg a registry editort, és a leírás alapján keressük meg az esetleges bejegyzéseket.
A napokban a Sophos jelzése szerint az alábbi férgek jelentek meg:
Name: W32/Agobot-DQ
Alias: Backdoor.Agobot.3.gen, W32/Gaobot.worm.gen.d
Type: Win32 worm
Date: 9 March 2004
Name: Troj/Cidra-D
Type: Trojan
Date: 10 March 2004
Name: Troj/Domwis-A
Alias: BackDoor-AOZ, BKDR_DOMWIS.A
Type: Trojan
Date: 10 March 2004
Ismert backdoor trojánok új verziói, és természetesen régi ismerősünk:
Name: W32/Netsky-L
Type: Win32 worm
Date: 10 March 2004
A vírusleírások helyett egy sokkal érdekesebbet ajánlok: Ma kaptam W32/Bagle.H, ill - K példányokat vizsgálatra, és a "misztikus" W32/Bagle.zip férgek részint tömörített, részint tömörítetlen állományait. Adatbázis-frissítés nélkül férgeket mind a VirusBuster, mind a NOD32 heurisztikája felismerte.
W32/Bagle.H:
Hálózati féreg, mely levelek mellékleteként jelszóval védett zip fájlban rejtett. A féreg addig ártalmatlan, amíg az unzip nem történik meg. Ekkor tűnik elő egy .exe, mely a féreg. Esetünkben vyykre.exe, mely azonnal fertőz. Mérete: 20 520 b. A néhány lépésben "kicsomagolt" féreg üzenetet nem tartalmaz.
BagleH_1, _2
A W32/Bagle.K leírását az írás elején olvashatják. Kiválóan látszik a preparátumon a féreg parancssora. Neve: itxufyby.exe fertőző állomány. Kb: 12 509 b. Kiválóan olvasható az "ellenfélnek" küldött üzenete...
A W32/Bagle.zip: Zip állományban terjed. A féreg ezen a képen zip tömörítésben látható, (30.547 b.) majd a tömörítés megszüntetése után ( 21. 155 B) feltűnnek a legfontosabb sorok: parancsok zip állományok létrehozására, ill. jelszavak alkotására.
Hozzájutottam még a Bagle-J egy levélváltozatához - azt hiszem itt semmi magyarázat nem szükséges, minden érthető. (from: full disclosure)
Elvem az, hogy láttassuk, amitől óvakodni kell. Azt hiszem elég sok, érdekes képet tudtam bemutatni vírusok analíziséről, üzeneteiről - szóval ezek megnyitásától óvja mindenki Önöket - én is... Nem engedhetjük meg, hogy néhány kb. méretű állomány megbénítsa a netet, és terjesszék fertőzésüket... Egyszer véget kell vetni ennek: közösen.
Kapcsolódó cikkek
- Hangüzenet kíséretében pusztít a BotVoice.A trójai
- Az AIDS veszélyeire hívja fel a figyelmet egy új vírus
- Vírust terjeszt a hamis Adobe letöltőoldal
- Az adathalászat növekedést, a botok előfordulása csökkenést mutat
- Totális háború: egymillió vírus készenlétben
- Májusi kémprogram toplista
- Terjed a YouTube-os vírus
- 10 antivírus-szoftver megbukott a júniusi VB 100 teszten
- Sophos biztonsági megoldás a General Electric 350.000 gépén
- Piacvezető itthon a NOD32
Biztonságtechnika ROVAT TOVÁBBI HÍREI
Az ESET HOME Security legújabb verziója új és továbbfejlesztett funkciókkal véd a személyazonosságlopás, az adathalászat és más fenyegetések ellen
Megérkezett az ESET otthoni kiberbiztonsági megoldások új verziója, amely olyan új funkciókkal bővült, mint az ESET Folder Guard, mellyel a felhasználók védett mappákat tudnak létrehozni, vagy a Dark Web Vizsgálat, amely képes riasztani, ha a személyes adataink felbukkannak a dark webes piactereken, fórumokon. Ez az új személyazonosságvédelmi modul mostantól globálisan elérhető.
Az ESET Magyarországon is elérhetővé tette az ESET Servicest, amely többek között biztosítja a gyors, felügyelt EDR (XDR) szolgáltatást is
A különböző méretű vállalkozásoknak egyre nehezebb lépést tartani, védekezni a gyorsan változó, nagy számú kibertámadással szemben. A szakképzett emberi erőforráshiány miatt sokan nehezen tudják egyedül, házon belül kezelni online biztonságukat. A nem megfelelő biztonsági intézkedések, vagy ezek teljes hiánya gyakran megakasztja, vagy akár le is állíthatja az üzletmenetet, illetve a kritikus informatikai erőforrásokhoz és adatokhoz való hozzáférést. Az ESET szakértői most ezekre a kihívásokra kínálnak megoldást, lehetővé téve a vállalatok számára, hogy erőforrásaikat fő üzleti tevékenységeikre összpontosítsák. Az ESET a kiberbiztonság egyik legfontosabb szereplőjeként elindította az év 365 napján, a nap 24 órájában angol nyelven elérhető ESET Servicest.
NFC adatokat továbbító Androidos kártevőt fedezett fel az ESET kutatócsoportja
Az ESET kutatói felfedtek egy vadonatúj számítógépes kártevő programmal végrehajtott, úgynevezett crimeware kampányt, amely három cseh bank ügyfeleit vette célba. Az ESET által NGate-nek elnevezett Android alapú kártékony szoftver újszerű módon képes az áldozatok bankkártyáinak adatait a támadók telefonjára továbbítani. A támadók elsődleges célja az volt, hogy ATM-eken keresztül készpénzt vegyenek fel az áldozatok bankszámláiról. Ezt úgy érték el, hogy a fizikai bankkártyák NFC-adatait a támadó készülékére továbbították az NGate malware segítségével. Amennyiben ez a módszer sikertelen volt, a tettesnek még arra is volt egy tartalék terve, hogy az áldozatok számláiról más bankszámlákra utaljon át pénzösszegeket.
Hogyan védhetjük ki a gyakori Booking.com átveréseket?
A Booking.com a szálláshelyeket kereső utazók egyik legfontosabb platformja, de mára olyan szolgáltatások, mint az autóbérlés és a repülőjegy vásárlás is elérhetővé váltak az oldalon keresztül. Ez a világ leglátogatottabb utazási és turisztikai honlapja, amely 2023-ban több mint egymilliárd foglalást bonyolított le, ami kétszerese a 2016-ban regisztrált számnak. Az ESET kiberbiztonsági szakértői most megmutatják, hogyan vadásznak ránk a csalók az adathalász e-mailek küldésétől a hamis hirdetések közzétételéig, miközben a megérdemelt nyaralásunkat tervezzük – és ahhoz is tanácsokat kapunk, miként lehet védekezni ez ellen a csalásforma ellen.
A kék halál képernyőn túl: miért ne hagyjuk figyelmen kívül a szoftverfrissítéseket?
A hibás CrowdStrike-frissítés okozta széleskörű informatikai leállások előtérbe helyezték a szoftverfrissítések kérdését. Frissítsünk vagy inkább ne? Az ESET kiberbiztonsági szakértői most elmondják, miért fontosak a hibajavítások, és miért nem jó megoldás, ha ezeket elmulasztjuk.