Глобальная эпидемия червя «Bagle.b»

комментировать
версия для печати

«Лаборатория Касперского» сообщает об обнаружении новой модификации Bagle.b, который является модернизированным вариантом известного сетевого червя Bagle.a.

В данный момент в глобальном почтовом трафике стремительно увеличивается количество писем, содержащих Bagle.b в виде аттачмента. Впрочем, темпы роста существенно скромнее, чем у знаменитого червя Mydoom.a.

Новая версия Bagle функционально во многом повторяет свою предшественницу. Вредоносная программа распространяется через электронную почту в виде вложений в электронные письма. Червь представляет собой исполняемый в среде Windows файл размером 11 КБ, приложенный к письму с заголовком «ID х… thanks» и текстом «Yours ID x: Thank», где х — произвольный набор символов.

После запуска червь копирует себя в системный каталог Windows и регистрирует себя в ключе автозапуска системного реестра. Затем Bagle.b пытается установить соединение с несколькими удаленными сайтами, так или иначе связанными с «троянским» прокси-сервером TrojanProxy.Win32.Mitglieder. В настоящее время ссылки на все сетевые источники загрузки Mitglieder удалены, поэтому Bagle неспособен использовать данную технологию для увеличения темпов самораспространения.

Червь Bagle открывает на пораженной машине порт 8866. Это дает злоумышленникам доступ к удаленному управлению компьютером, в частности, позволяет запускать на выполнение различные команды и загружать файлы.

Для размножения Bagle.b использует стандартную процедуру. Он сканирует файловую систему пораженного компьютера в поисках файлов с расширениями wab, txt, htm, html, r1 и рассылает себя по всем найденных в них адресах электронной почты. Червь использует собственный SMTP-сервер.

Другие