Bagle.Y est un virus qui se propage par email et via les
dossiers partagés. Il se présente sous la forme
d'un message dont le titre et le corps sont aléatoires,
accompagné d'un fichier joint avec une extension en
.COM, .CPL, .EXE, .HTA, .SCR, .VBS ou .ZIP (39 à 129
Ko) ainsi parfois d'une image. Si ce fichier est exécuté,
le virus s'envoie aux adresses présentes dans le carnet
d'adresses Windows ainsi que divers autres fichiers, tente
de désactiver certains antivirus et pare-feux personnels,
installe une porte dérobée, puis tente le cas
échéant de se copier dans les dossiers partagés.
PREVENTION :
Les utilisateurs concernés doivent mettre
à jour leur antivirus. D'une manière générale,
même si son nom est attrayant il ne faut pas exécuter
un fichier joint douteux sans avoir fait confirmer son
envoi par l'expéditeur du message.
DESINFECTION :
Avant de commencer la désinfection, il est impératif
de s'assurer avoir appliqué les mesures préventives
ci-dessus afin d'empêcher toute réinfection
de l'ordinateur par le virus. Les utilisateurs ne disposant
pas d'un antivirus peuvent utiliser gratuitement l'utilitaire
de désinfection FxBeagle pour rechercher
et éliminer le virus.
|
TYPE :
Ver
SYSTEME(S) CONCERNE(S) :
Windows 95
Windows 98
Windows Me
Windows NT
Windows 2000
Windows XP
Windows 2003
ALIAS :
I-Worm/Bagle.AA (Grisoft)
Bagle.Y (F-Secure)
I-Worm.Bagle.y (Kaspersky)
W32/Bagle.z@MM (McAfee)
W32/Bagle.AA.worm (Panda Software)
W32/Bagle-W (Sophos)
W32.Beagle.W@mm (Symantec)
PE_BAGLE.X (Trend Micro)
TAILLE :
39 à 129 Ko (variable)
DECOUVERTE :
26/04/2004
DESCRIPTION DETAILLEE :
Le virus Bagle.Y se présente sous la forme d'un
message dont le corps est vide et l'objet aléatoire
:
- Hello!
- Hey!
- Let's socialize, my friend!
- Let's talk, my friend!
- I'm bored with this life
- Notify from a known person ;-)
- I like you
- I just need a friend
- I'm a sad girl...
- Re: Msg reply
- Re: Hello
- Re: Yahoo!
- Re: Thank you!
- Re: Thanks :)
- RE: Text message
- Re: Document
- Incoming message
- Re: Incoming Message
- Re: Incoming Fax
- Hidden message
- Fax Message Received
- Protected message
- RE: Protected message
- Forum notify
- Request response
- Site changes
- Re: Hi
- Encrypted document
Le corps du message est variable, en anglais, et tente notamment
de faire passer pour une petite annonce :
- I study at school, I like to spend time cheerfully even
if not all so well, I hompe and trust, that all bad when
nibud will pass and necessarily nastanet there would be
a desire.
- I like to feel protected, to understand, that near to
me the man, which both in sex, and in life knows what to
do. It is possible to fall in love with such the man for
ever.
- Cometime I write a poem, play the gitar. I love a traveling,
I like a romantice and I want to meet, comeday, my big love!
- I am kind, fair, careful, gentle also want to create family.
I love animal (cats, dogs), the literature, theatre, cinema,
music, walks in park .
- I very much love productive leisure, to prepare for new
exotic dishes, at leisure to leave with friends on the nature,
to float, I like to go for a drive on mountain skiing, to
visit excursions, travel. Very easy going.
- I have recently got demobilize from army and also I am
going to act in a higher educational institution
- Searching for the right person,for real man, who will
really cares and love me.
- I am a honest, kind,loving,with good sense of humor...etc.,looking
for true love... or maybe for pen friend.I like cats.
- I am looking for a serious relationship. I am NOT interested
in flirt and short-term love adventure.
- I love, as the good company, and I dream about romantic
appointment at candles with loved. I still believe in love.
- I like an active life... and interesting people...
- i am honest, responsible, romantic person. iwould like
to find my only love,to find my destiny.
- I'm a young lady of 20 years old i'd like to find my second
part!!!
- I am simple girl who are looking for serious relation
with responsible and confident man. I am ready to give all
my love and carering for a right person who is going to
love and respect me
- I am a beautiful, sexual girl with very big ambitions
and dreams. I can make happy anyone man...
- I am a student. I'm studying international relationships.
I would like to find an interesting and active man for serious
relations. Sitting at home it is not for me. I like to go
out to the theater, cinema, and nightclubs.
- I love productive leisure, to travel, communicate with
friends.
- I very much love new acquaintances, I love music, meetings
with friends. I go on night clubs, except for parties I
sometimes visit theatres and I love cinema. In general I
only shall be glad to new acquaintance and class dialogue...
- I'm so bored, let me talk with you...
- You are my prince :-)
- You are cool :-)
Le fichier joint possède un nom aléatoire avec
une extension en .COM, .CPL, .EXE, .HTA, .SCR, .VBS ou .ZIP
et peut être accompagné d'une image. Les noms
de fichier possibles :
- Attach
- Information
- Readme
- Document
- Info
- TextDocument
- TextFile
- MoreInfo
- Message
Si ce fichier est exécuté, un message d'erreur
affiche "Can't find a viewer associated with the file.",
le virus se copie dans le répertoire système
sous le nom drvsys.exe, ainsi que les fichiers drvsys.exeopen
et drvsys.exeopenopen, modifie la base de registres afin d'être
exécuté à chaque démarrage de
l'ordinateur, puis s'envoie automatiquement aux contacts dont
les adresses figurent dans le carnet d'adresses Windows ainsi
que les fichiers .ADB, .ASP, .CFG, .CGI, .DBX, .DHTM, .EML,
.HTM, .JSP, .MBX, .MDX, .MHT, .MMF, .MSG, .NCH, .ODS, .OFT,
.PHP, .PL, .SHT, .STM, .TBB, .SHTM, .TXT, .UIN, .WSH, .XLS
et .XML présents sur le disque avec son propre moteur
SMTP, en utilisant une adresse d'expéditeur falsifiée.
Bagle.Y installe une porte dérobée qui ouvre
le port TCP 2535 de l'ordinateur infecté, puis tente
de terminer les processus suivants pour empêcher l'utilisation
ou la mise à jour des logiciels de sécurité
correspondants :
- AGENTSVR.EXE
- ANTI-TROJAN.EXE
- ANTIVIRUS.EXE
- ANTS.EXE
- APIMONITOR.EXE
- APLICA32.EXE
- APVXDWIN.EXE
- ATCON.EXE
- ATGUARD.EXE
- ATRO55EN.EXE
- ATUPDATER.EXE
- ATWATCH.EXE
- AUPDATE.EXE
- AUTODOWN.EXE
- AUTOTRACE.EXE
- AUTOUPDATE.EXE
- AVCONSOL.EXE
- AVGSERV9.EXE
- AVLTMAIN.EXE
- AVPUPD.EXE
- AVSYNMGR.EXE
- AVWUPD32.EXE
- AVXQUAR.EXE
- AVprotect9x.exe
- BD_PROFESSIONAL.EXE
- BIDEF.EXE
- BIDSERVER.EXE
- BIPCP.EXE
- BIPCPEVALSETUP.EXE
- BISP.EXE
- BLACKD.EXE
- BLACKICE.EXE
- BOOTWARN.EXE
- BORG2.EXE
- BS120.EXE
- CDP.EXE
- CFGWIZ.EXE
- CFIADMIN.EXE
- CFIAUDIT.EXE
- CFINET.EXE
- CFINET32.EXE
- CLEAN.EXE
- CLEANER.EXE
- CLEANER3.EXE
- CLEANPC.EXE
- CMGRDIAN.EXE
- CMON016.EXE
- CPD.EXE
- CPF9X206.EXE
- CPFNT206.EXE
- CV.EXE
- CWNB181.EXE
- CWNTDWMO.EXE
- DEFWATCH.EXE
- DEPUTY.EXE
- DPF.EXE
- DPFSETUP.EXE
- DRWATSON.EXE
- DRWEBUPW.EXE
- ENT.EXE
- ESCANH95.EXE
- ESCANHNT.EXE
- ESCANV95.EXE
- EXANTIVIRUS-CNET.EXE
- FAST.EXE
- FIREWALL.EXE
- FLOWPROTECTOR.EXE
- FP-WIN_TRIAL.EXE
- FRW.EXE
- FSAV.EXE
- FSAV530STBYB.EXE
- FSAV530WTBYB.EXE
- FSAV95.EXE
- GBMENU.EXE
- GBPOLL.EXE
- GUARD.EXE
- GUARDDOG.EXE
- HACKTRACERSETUP.EXE
- HTLOG.EXE
- HWPE.EXE
- IAMAPP.EXE
- IAMSERV.EXE
- ICLOAD95.EXE
- ICLOADNT.EXE
- ICMON.EXE
- ICSSUPPNT.EXE
- ICSUPP95.EXE
- ICSUPPNT.EXE
- IFW2000.EXE
- IPARMOR.EXE
- IRIS.EXE
- JAMMER.EXE
- KAVLITE40ENG.EXE
- KAVPERS40ENG.EXE
- KERIO-PF-213-EN-WIN.EXE
- KERIO-WRL-421-EN-WIN.EXE
- KERIO-WRP-421-EN-WIN.EXE
- KILLPROCESSSETUP161.EXE
- LDPRO.EXE
- LOCALNET.EXE
- LOCKDOWN.EXE
- LOCKDOWN2000.EXE
- LSETUP.EXE
- LUALL.EXE
- LUCOMSERVER.EXE
- LUINIT.EXE
- MCAGENT.EXE
- MCUPDATE.EXE
- MFW2EN.EXE
- MFWENG3.02D30.EXE
- MGUI.EXE
- MINILOG.EXE
- MOOLIVE.EXE
- MRFLUX.EXE
- MSCONFIG.EXE
- MSINFO32.EXE
- MSSMMC32.EXE
- MU0311AD.EXE
- NAV80TRY.EXE
- NAVAPW32.EXE
- NAVDX.EXE
- NAVSTUB.EXE
- NAVW32.EXE
- NC2000.EXE
- NCINST4.EXE
- NDD32.EXE
- NEOMONITOR.EXE
- NETARMOR.EXE
- NETINFO.EXE
- NETMON.EXE
- NETSCANPRO.EXE
- NETSPYHUNTER-1.2.EXE
- NETSTAT.EXE
- NISSERV.EXE
- NISUM.EXE
- NMAIN.EXE
- NORTON_INTERNET_SECU_3.0_407.EXE
- NPF40_TW_98_NT_ME_2K.EXE
- NPFMESSENGER.EXE
- NPROTECT.EXE
- NSCHED32.EXE
- NTVDM.EXE
- NUPGRADE.EXE
- NVARCH16.EXE
- NWINST4.EXE
- NWTOOL16.EXE
- OSTRONET.EXE
- OUTPOST.EXE
- OUTPOSTINSTALL.EXE
- OUTPOSTPROINSTALL.EXE
- PADMIN.EXE
- PANIXK.EXE
- PAVPROXY.EXE
- PCC2002S902.EXE
- PCC2K_76_1436.EXE
- PCCIOMON.EXE
- PCDSETUP.EXE
- PCFWALLICON.EXE
- PCIP10117_0.EXE
- PDSETUP.EXE
- PERISCOPE.EXE
- PERSFW.EXE
- PF2.EXE
- PFWADMIN.EXE
- PINGSCAN.EXE
- PLATIN.EXE
- POPROXY.EXE
- POPSCAN.EXE
- PORTDETECTIVE.EXE
- PPINUPDT.EXE
- PPTBC.EXE
- PPVSTOP.EXE
- PROCEXPLORERV1.0.EXE
- PROPORT.EXE
- PROTECTX.EXE
- PSPF.EXE
- PURGE.EXE
- PVIEW95.EXE
- QCONSOLE.EXE
- QSERVER.EXE
- RAV8WIN32ENG.EXE
- REGEDIT.EXE
- REGEDT32.EXE
- RESCUE.EXE
- RESCUE32.EXE
- RRGUARD.EXE
- RSHELL.EXE
- RTVSCN95.EXE
- RULAUNCH.EXE
- SAFEWEB.EXE
- SBSERV.EXE
- SD.EXE
- SETUPVAMEEVAL.EXE
- SETUP_FLOWPROTECTOR_US.EXE
- SFC.EXE
- SGSSFW32.EXE
- SH.EXE
- SHELLSPYINSTALL.EXE
- SHN.EXE
- SMC.EXE
- SOFI.EXE
- SPF.EXE
- SPHINX.EXE
- SPYXX.EXE
- SS3EDIT.EXE
- ST2.EXE
- SUPFTRL.EXE
- SUPPORTER5.EXE
- SYMPROXYSVC.EXE
- SYSEDIT.EXE
- TASKMON.EXE
- TAUMON.EXE
- TAUSCAN.EXE
- TC.EXE
- TCA.EXE
- TCM.EXE
- TDS-3.EXE
- TDS2-98.EXE
- TDS2-NT.EXE
- TFAK5.EXE
- TGBOB.EXE
- TITANIN.EXE
- TITANINXP.EXE
- TRACERT.EXE
- TRJSCAN.EXE
- TRJSETUP.EXE
- TROJANTRAP3.EXE
- UNDOBOOT.EXE
- UPDATE.EXE
- VBCMSERV.EXE
- VBCONS.EXE
- VBUST.EXE
- VBWIN9X.EXE
- VBWINNTW.EXE
- VCSETUP.EXE
- VFSETUP.EXE
- VIRUSMDPERSONALFIREWALL.EXE
- VNLAN300.EXE
- VNPC3000.EXE
- VPC42.EXE
- VPFW30S.EXE
- VPTRAY.EXE
- VSCENU6.02D30.EXE
- VSECOMR.EXE
- VSHWIN32.EXE
- VSISETUP.EXE
- VSMAIN.EXE
- VSMON.EXE
- VSSTAT.EXE
- VSWIN9XE.EXE
- VSWINNTSE.EXE
- VSWINPERSE.EXE
- W32DSM89.EXE
- W9X.EXE
- WATCHDOG.EXE
- WEBSCANX.EXE
- WGFE95.EXE
- WHOSWATCHINGME.EXE
- WINRECON.EXE
- WNT.EXE
- WRADMIN.EXE
- WRCTRL.EXE
- WSBGATE.EXE
- WYVERNWORKSFIREWALL.EXE
- XPF202EN.EXE
- ZAPRO.EXE
- ZAPSETUP3001.EXE
- ZATUTOR.EXE
- ZAUINST.EXE
- ZONALM2601.EXE
- ZONEALARM.EXE
Bagle.Y tente enfin de se propager via les dossiers dont
le nom comporte le mot "shar" (comme KaZaa, Bearshare,
etc.) en s'y copiant sous divers noms aguicheurs :
- ACDSee 9.exe
- Adobe Photoshop 9 full.exe
- Ahead Nero 7.exe
- Matrix 3 Revolution English Subtitles.exe
- Microsoft Office 2003 Crack, Working!.exe
- Microsoft Office XP working Crack, Keygen.exe
- Microsoft Windows XP, WinXP Crack, working Keygen.exe
- Opera 8 New!.exe
- Porno pics arhive, xxx.exe
- Porno Screensaver.scr
- Porno, sex, oral, anal cool, awesome!!.exe
- Serials.txt.exe
- WinAmp 5 Pro Keygen Crack Update.exe
- WinAmp 6 New!.exe
- Windown Longhorn Beta Leak.exe
- Windows Sourcecode update.doc.exe
- XXX hardcore images.exe
Le virus est conçu pour ne plus se propager voire
pour s'auto-supprimer lorsque la date du système est
égale ou supérieure au 25/01/05.
28/03/04 : une variante mineure
Bagle.Z (également nommée W32/Bagle-Z,
, I-Worm.Bagle.z, W32/Bagle.aa@MM, W32.Beagle.X@mm, PE_BAGLE.Z,
Win32.Bagle.Z ouW32/Bagle.AB.worm) a été identifiée.
Elle se distingue essentiellement par une taille de fichier
infectant d'environ 20 Ko, ainsi que le fait qu'elle se copie
sur le disque sous le nom DRVDDLL.EXE et n'envoie pas d'image.
Un utilitaire de désinfection gratuit est disponible
contre Bagle.Z.
INFORMATIONS COMPLEMENTAIRES :
-> Abonnement gratuit à la lettre Secuser Alerte pour être prévenu
de l'apparition des nouveaux hoax et virus
-> Identifier
les fausses alertes virus avec Hoaxkiller.fr
-> FAQ
: des dizaines de messages infectés envahissent ma boîte aux
lettres. Mon ordinateur est-il contaminé? Comment arrêter
ça?
-> FAQ
: une alerte m'indique qu'un virus a été trouvé dans un message
que j'ai envoyé. Mon ordinateur est-il infecté?
-> FAQ : comment
désinfecter le répertoire C:\RESTORE?
-> FAQ
: que faire dans le cas d'un fichier "uncleanable"
(non nettoyable)?
-> FAQ
: comment supprimer un fichier en cours d'utilisation?
-> FAQ
: qu'est-ce que le partage de fichiers et comment y mettre
fin?
-> Dossier
Secuser.com sur les virus
|