Win32.Bagle.{J-K}@mm

( Bagle, Beagle )
Ausbreitung : medium
Schaden : low
Size: 12888
Entdeckt : 2005 May 31

SYMPTOMS:

Symptoms:
- The registry keys
HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ssate.exe with value
\"C:\\Windows\\System\\irun4.exe\"
HKCU\\Software\\DateTime\\frun with value \"1\"
- Listening on port 2745.
- Presence of the following files:
C:\\Windows\\System\\irun4.exe, 12888 bytes
C:\\Windows\\System\\irun4.exeopen, 12888 to 12500 bytes

TECHNICAL DESCRIPTION:

The mass-mailer is aproximately 12888 bytes in length, comes as attachement in zip
form with \"store\" method and password protected or (with a 50% chance)
as an attachement with .pif or .exe extension. It is packed with UPX.

It arrives in an email in the following format:

From: [forged email address, starts with one of the following:]
management@
administration@
staff@
noreply@
support@
Subject: [one of the following]
E-mail account security warning.
Notify about using the e-mail account.
Warning about your e-mail account.
Important notify about your e-mail account.
Email account utilization warning.
Notify about your e-mail account utilization.
E-mail account disabling warning.
Body:

Part1: [one of the following]
Dear user of %s,
Dear user of %s gateway e-mail server,
Dear user of e-mail server \"%s\",
Hello user of %s e-mail server,
Dear user of \"%s\" mailing system,
Dear user, the management of %s mailing system wants to let you know that,

Part2: [one of the following]
Your e-mail account has been temporary disabled because of unauthorized access.
Our main mailing server will be temporary unavaible for next two days,
to continue receiving mail in these days you have to configure our free
auto-forwarding service.
Your e-mail account will be disabled because of improper using in next
three days, if you are still wishing to use it, please, resign your
account information.
We warn you about some attacks on your e-mail account. Your computer may
contain viruses, in order to keep your computer and e-mail account safe,
please, follow the instructions.
Our antivirus software has detected a large ammount of viruses outgoing
from your email account, you may use our free anti-virus tool to clean up
your computer software.
Some of our clients complained about the spam (negative e-mail content)
outgoing from your e-mail account. Probably, you have been infected by
a proxy-relay trojan server. In order to keep your computer safe,
follow the instructions.

Part3: [one of the following]
For more information see the attached file.
Further details can be obtained from attached file.
Advanced details can be found in attached file.
For details see the attach.
For details see the attached file.
For further details see the attach.
Please, read the attach for further details.
Pay attention on attached file.

Part4: [one of the following]

The %name% team
http://www.%name%
The Management,
Sincerely,
Best wishes,
Have a good day,
Cheers,
Kind regards,

Please note that %name% will be replaced with the recepient\'s mail
server name.

Example: if the message will be send to someone@yahoo.com, then the
message will end with something like this:

The Yahoo.com team.

Part5: [optional, if the attachement will be in zip form, one of the
following]

For security reasons attached file is password protected. The password
is \"%pass%\".
For security purposes the attached file is password protected.
Password is \"%pass%\".
Attached file protected with the password for security reasons.
Password is %pass%.
In order to read the attach you have to use the following password:
%pass%.

Please note that %pass% is variable, 5 characters in length and
numeric only.

Attachment: [one of the following].[zip, exe or pif]
Attach
Information
Readme
Document
Info
TextDocument
TextFile
MoreInfo
Message

Upon execution, it drops only two files in the Windows\\System
directory (as opposed to the previous variants):

- irun4.exe is the virus in UPX form.

- irun4.exeopen, may be the archived and password protected version of
the virus or a copy of iru4.exe.

The virus will not inject itself in the \"explorer.exe\" process anymore
in this strain.

The worm checks the date and if the date is after 25 April 2005 the
worm will exit, deleting all registry entries and killing itself from
memory.

The worm will create the registry keys described in the \"Symptoms\"
sections, and starts a backdoor that will listen for commands on the
port 2745.

The worm will create a mutex and create a series
of threads, performing various functions:

- every 100 milliseconds kill all proces with the name:
ATUPDATER.EXE
AVWUPD32.EXE
AVPUPD.EXE
LUALL.EXE
DRWEBUPW.EXE
ICSSUPPNT.EXE
ICSUPP95.EXE
UPDATE.EXE
NUPGRADE.EXE
ATUPDATER.EXE
AUPDATE.EXE
AUTODOWN.EXE
AUTOTRACE.EXE
AUTOUPDATE.EXE
AVXQUAR.EXE
CFIAUDIT.EXE
MCUPDATE.EXE
NUPGRADE.EXE
OUTPOST.EXE
AVLTMAIN.EXE

- every 2000 milliseconds check if connected to internet.

- every aproximately 28 hours the worm will connect to the
following addresses under the name \"li\":

http://postertog.de
http://www.gfotxt.net
http://www.maiklibis.de

The worm will search the host computer for the filenames with the
following extensions, extracting email addresses from them:

.wab
.txt
.htm
.html
.dbx
.mdx
.eml
.nch
.mmf
.ods
.cfg
.asp
.php
.adb
.sht

The worm will not send itself to addresses containing the following
strings:

@hotmail.com
@msn.com
@microsoft
@avp.
noreply
local
root@
postmaster@

The virus will search for directories on the harddisk whose names
start with \"shar\" and then copy itself to those directories under the
following names:

Microsoft Office 2003 Crack, Working!.exe
Microsoft Office XP working Crack, Keygen.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Porno Screensaver.scr
Porno, sex, oral, anal cool, awesome!!.exe
Porno pics arhive, xxx.exe
Serials.txt.exe
Windown Longhorn Beta Leak.exe
Windows Sourcecode update.doc.exe
XXX hardcore images.exe
Opera 8 New!.exe
WinAmp 5 Pro Keygen Crack Update.exe
WinAmp 6 New!.exe
Matrix 3 Revolution English Subtitles.exe
Adobe Photoshop 9 full.exe
Ahead Nero 7.exe
ACDSee 9.exe

Thus, the worm threatens the P2P networks as well.

Update: just received news about a new strain, Win32.Bagle.K@mm. The only difference at this time seems to be the user name that connects to the mentioned sites, from \"li\" to \"beagle2_proclivity\" and the name of the dropped file, that changed from \"irun4.exe\" to \"winsys.exe\" (of course, irun4.exeopen changed too to winsys.exeopen).

Removal instructions:

Automatic removal
Let BitDefender delete infected files

ANALYZED BY:

Daniel IonitaVirus Researcher
Bitdefender Security Center
Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.

Die E-​Guides-​Reihe von Bitdefender

Die E-​Guides-​Reihe von Bitdefender ist eine Lerninitiative, deren Ziel es ist, die Leser-​ und Anwendergemeinschaft von Bitdefender mit wertvollen Informationen über Bedrohungen aus dem Internet und IT-​Sicherheitsfragen zu versorgen und zudem praktische Ratschläge und machbare Lösungen für alle Anforderungen rund um den Online-​Schutz bereitzustellen.​ Die Sicherheitanalysten von Bitdefender teilen ihr Wissen um die Identifizierung und Abwehr von Malware-​Bedrohungen und legen dabei besonderen Wert auf Online-​Datenschutz und verschiedene Technologien, Gegenmaßnahmen und Methoden zur Abwehr von Cyber-​Kriminalität.​

Die E-Guides-Reihe behandelt verschiedenste Themen vom Online-Schutz für Kinder und Familien über die Sicherheit in sozialen Netzwerken und den Schutz vor Datendiebstahl bis hin zur Absicherung von ganzen Unternehmensumgebungen und richtet sich daher an ein breites Publikum aus mittelständischen Unternehmen und Privatanwendern, die sich für die Sicherheit und Integrität ihrer Netzwerke und Systeme interessieren. Die E-Guides enthalten zudem nützliche Informationen für die tägliche Arbeit von IT-Sicherheitsmanagern, System- und Netzwerkadministratoren, Entwicklern von Sicherheitstechnologien, Analysten und Forschern.

Anleitung zum sicheren Blogging

Wie Sie Ihr Blog und Ihre Identität vor Missbrauch schützen können

Safe Blogging Guide

Blogging ist eine der beliebtesten Möglichkeiten, sich im Internet einer breiten Öffentlichkeit zu präsentieren und mittlerweile gibt es bereits mehr als 150 Millionen registrierte Blogs weltweit. Während der durchschnittliche Leser dieser Blogs nur auf der Suche nach Informationen und Artikeln ist, hegen Internet-Kriminelle ein ganz anderes Interesse. Sie dursuchen Blogs nach persönlichen Informationen oder nutzen sie als billigen Speicherplatz für ihre Malware-Kampagnen, um nur zwei Beispiele aus einer Vielzahl von Missbrauchsmöglichkeiten zu nennen.

Diese Anleitung enthält Richtlinien für sicheres Blogging und konzentriert sich dabei auf individuelle Blogs, die entweder vom Blogger selbst oder von kommerziellen Blog-Anbietern als Hosting-Dienstleistung betrieben werden.



Anleitung zum Schutz drahtloser Netzwerke

Wie Sie Ihr Heimnetzwerk vor Eindringlingen schützen können

Securing Wireless Networks Guide

Dieses Dokument richtet sich an Anwender, die zuhause bereits ein drahtloses Netzwerk eingerichtet haben oder beabsichtigen, dies zu tun. Heutztage ist die drahtlose Kommunikation aus dem täglichen Leben kaum noch wegzudenken. Internet-Kriminelle wissen jedoch jede Schwachstelle in der Konfiguration von Drahtlosnetzwerken auszunutzen, um Datenverkehr abzufangen oder die Internet-Verbindung für illegale Zwecke zu nutzen.

In dieser Anleitung erfahren Sie alles Wissenswerte über die Nutzung von ungesicherten Drahtlosnetzwerken und die richtige Konfiguration Ihres Heim-Routers oder Zugangspunkts, damit Sie Ihr Netzwerk vor Missbrauch schützen können.



Online-Leitfaden zum Jugendschutz

Wie Sie die digitalen Welten Ihrer Kinder nachhaltig schützen können


Dieses Dokument richtet sich an Familien, Eltern und Lehrer uns soll ihnen dabei helfen, die digitalen Ausflüge von Kindern und Jugendlichen möglichst sicher zu gestalten. Heute haben sich Computer durch Massenproduktion und ständige Verfügbarkeit zu einem täglichen Begleiter entwickelt und Kinder machen sich mit PC und Internet schon sehr früh vertraut. Doch trotz der unbestrittenen Vorteile im Bereich der Kommunikation kann das Internet auch ein gefährlicher Ort für Kinder sein. Es lauern E-Threats, die speziell auf diese Altersgruppe zugeschnitten sind.

Dieser E-Guide behandelt die häufigsten Risiken und Gefahren für Kinder und Jugendliche im Internet, so z.B. Cyber-Mobbing, nicht jugendfreie Inhalte, Internet-Sucht und andere schädliche Internet-Einflüsse. Gleichzeitig werden Themen wie Malware, Phishing-Attacken, Identitätsdiebstahl und Spam-Nachrichten behandelt, die Teenager heutzutage genau wie jeden anderen Internet-Nutzer betreffen. Ein Bereich mit Sicherheitstipps hilft Eltern und Lehrern diese Themen besser zu verstehen und in Angriff zu nehmen ohne dabei die Kinder außer Acht zu lassen.



Ein Leitfaden zur Online-Sicherheit für Silver Surfer

Wie man wertvolle Ideen und Anlagen gegen Cyber-Angriffe schützen kann


Dieses Dokument richtet sich an Familien und ältere Mitbürger und soll ihnen dabei helfen, sicher im Internet zu surfen und ihre Online-Aktivitäten zu genießen.

Auf den ersten Blick könnte man meinen, dass Online-Kriminalität altersunabhängig ist und unsere älteren Mitbürger im gleichen Maße bedroht wie jeden anderen unerfahrenen Internet-Nutzer. Dieser E-Guide zeigt jedoch anhand verschiedener Fallstudien, dass speziell Silver Surfer von einer Vielzahl von Bedrohungen betroffen sind, so zum Beispiel Betrugsversuche bei Rentenzahlungen, betrügerische Methoden zur Steuerzahlung oder andere Betrugsmaschen, die es auf ihr Geld abgesehen haben. Neben den Fallstudien gibt es Beispiele, Tipps und Infos, um ihnen wertvolle Handlungsempfehlungen für ihre täglichen Internet-Aktivitäten an die Hand zu geben.



Leitfaden zum Schutz vor Datendiebstahl von Unternehmensdaten

Wie Unternehmen sich vor Datendiebstahl schützen


Der E-​Guide widmet sich den möglichen wunden Punkten bei der Sicherung von Unternehmensdaten, angefangen von Fragen der physischen Integrität des Netzwerks bis hin zu den komplexen Mechanismen der Cyber-​Kriminalität, die sich speziell gegen Unternehmen richtet (z.​B.​ Banking-​Trojaner, Phishing-​Attacken).​ Die enthaltenen Materialien sind zwar nicht so detailliert wie eine vollwertige technische Beschreibung, sollen jedoch IT-​Administratoren den praktischen Nutzen der Funktionen der Bitdefender-​Lösungen für Privat-​ und Geschäftskunden anhand von Situationsbeispielen aufzeigen.​

Dieses Dokument unterstützt Sie bei der Entscheidung, welche Sicherheitstrategie für kleine und mittelgroße Netzwerke am sinnvollsten ist, und bietet eine gute Grundlage für weiterführende Vergleiche in diesem Bereich.

Premium Virus & Spyware Removal
One shot malware cleanup by our certified professionals
Bitdefender Security Center
Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.

Bitdefender-​Berichte zur Online-​Bedrohungslage


Dieser Bericht soll einen umfassenden Einblick in die Bedrohungslandschaft geben. Die Sicherheitsexperten bei Bitdefender® analysieren und untersuchen die Bedrohungen eines jeden neuen Semesters gründlich und konzentrieren sich dabei auf Schwachstellen und Sicherheitlücken in Software-Produkten, die verschiedenen Malware-Typen, möglichen Gegenmaßnahmen, Vorbeugung gegen Internet-Kriminalität und Gesetztesvollzug. Der E-Threats Landscape Report richtet seine Aufmerksamkeit hauptsächlich auf die neuesten Trends, enthält aber auch Fakten und Daten über zuvor untersuchte Zeiträume und gibt zudem Prognosen für kommende Semester ab. Das Dokument richtet sich vornehmlich an Sicherheitsverantwortliche in der ITK-Branche, System- und Netzwerkadministratoren, Entwickler von Sicherheitstechnologien, Analysten und Forscher, spricht aber auch Themen an, die für ein breiteres Publikum von Interesse sind, so zu Beispiel kleinere Unternehmen und einzelne Anwender, die sich um die Sicherheit und Integrität ihrer Netzwerke und Systeme sorgen.

Bericht zur Online-Bedrohungslage 2. Halbjahr 2011 - Übersicht

VOr zwanzig Jahren wurde eine vollkommen revolutionäre Form der elektronischen Kommunikation geboren. Mit den Jahren wurde sie bei Menschen aller Alters- und Einkommensklassen so beliebt, dass sie selbst heute noch das am häufigsten genutzte Kommunikationsmedium ist: die SMS, kurz für Short Message Service.

Die mobilen Telefone von heute sind nicht mehr länger nur unhandliche Geräte, mit denen man telefonieren und Nachrichten verschicken kann: in der Welt 2.0 gehören sie zur Grundausstattung - sie sind leistungsfähig und komplex und haben ihre eigenen Betriebssysteme. Damit werden sie natürlich auch anfällig für digitale Schädlinge. Standen die ersten sechs Monate 2011 noch im Zeichen von Software-Sicherheitslücken und spektakulären Datenpannen, wurde das Augenmerk in der zweiten Jahreshälfte verstärkt auf eine neue Art von Schadprogrammen gerichtet. Darüber hinaus wurde ein Skandal aufgedeckt, bei dem eine Reihe von Mobilfunkanbietern und der umstrittene Software-Anbieter CarrierIQ in die Ausspähung von Benutzerdaten verwickelt waren.

Die Malware-Landschaft wurde von Trojan.Autorun.Inf und Win32.Worm.Downadup dominiert. Diese Malware-Kandidaten haben ihre Wurzeln noch in der Zeit von Windows XP, konnten ihre Stellung aber dennoch behaupten, auch wenn Betriebssystem-Upgrades und das Einspielen von Patches die von ihnen ausgenutzten Sicherheitslücken hätten schließen können. Die wichtigsten Kandidaten für die zweite Hälfte 2011 waren Trojan.AutorunInf, Win32.Worm.Downadup und Exploit.CplLnk.

Die Datenpannen, die den Aktivitäten der Hacker-Aktivisten rund um die Anonymous-Gruppe zugeschrieben werden, haben auch in der zweiten Hälfte 2011 weiter für Aufsehen gesorgt. Die wichtigsten Ziele waren dabei Mitsubishi Heavy Industries, Adidas, RIM, die Tiroler Gebietskrankenkasse, Nexon und die Vereinten Nationen. Das Vertrauen in große Unternehmen wurde zudem im 1. Halbjahr 2011 durch den DigiNotar-Skandal erschüttert, der unbedarfte Benutzer massiven Phishing-Versuchen aussetzte, bei denen gestohlene digitale Zertifikate zum Einsatz kamen, die ursprünglich für renommierte Institutionen und Regierungsstellen wie zum Beispiel Google, Tor, die CIA und den israelischen Geheimdienst Mossad generiert wurden.

Auch soziale Netzwerke hatten entscheidenden Anteil an der Verbreitung von Malware und von Falschmeldungen im Zusammenhang mit dem Tod berühmter Persönlichkeiten wie Muammar al-Gaddafi oder Steve Jobs. Dabei kam den Malware-Kampagnen rund um die angeblichen Filmaufnahmen von der Hinrichtung Gaddafis und der Geschenkaktion in Gedenken an den kürzlich verstorbenen Steve Jobs besondere Bedeutung zu.

Laden Sie jetzt die Vollversion herunter Bericht zur Online-Bedrohungslage 2. Halbjahr 2011 (PDF)
Laden Sie die Zusammenfassung jetzt herunter Bericht zur Online-Bedrohungslage 2. Halbjahr 2011 - Zusammenfassung (PDF)

Archive

2011
Jetzt herunterladen Bericht zur Online-Bedrohungslage 1. Halbjahr 2011 - Zusammenfassung (PDF)

2010
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2010 - Zusammenfassung (PDF)
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2010 (pdf)
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2010 - Zusammenfassung (pdf)
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2010 (pdf)

2009
Jetzt herunterladen Zusammenfassung des Malware- und Spam-Berichts 1. Halbjahr 2009 (pdf)
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2009 (pdf)
Jetzt herunterladen Malware- und Spam-Bericht 2. Halbjahr 2009 (pdf)
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2009 - Zusammenfassung (pdf)

2008
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2008 (pdf)
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2008 (pdf)

Bitdefender Security Center
Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.
Bitdefender Security Center
Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.

Wer sind Ihre Ansprechpartner? Unten finden Sie eine Liste mit unseren Medienvertretern, die Ihre Fragen gerne beantworten werden.



Matt Hicks
Global PR Manager


Anfrei Taflan
Global PR Coodinator
Asien, Pacific & Nordamerika


Alina Anton
Global PR Coordinator
LATAM & CEMEA


Bitdefender Security Center
Sicherheit im Netz. Klicken Sie hier, um die aktuellsten Meldungen und Nachrichten über Cyber-Bedrohungen, Viren und Betrugsversuche zu erhalten.