Новая модификация червя Bagle, Интернет

Компьюлента. 17 февраля 2004 года, 22:16

"Лаборатория Касперского" сообщила об обнаружении новой модификации известного червя I-Worm.Bagle, получившей индекс I-Worm.Bagle.b. Компанией уже получено несколько сотен сообщений от пользователей по всему миру, получивших зараженную данным червем электронную корреспонденцию. В компании подчеркивают, что число зараженных писем стремительно увеличивается. И хотя эти показатели существенно скромнее масштабов охвата знаменитого червя Mydoom, темпы распространения Bagle.b также вызывают серьезные опасения.

Новая версия Bagle функционально во многом повторяет первый вариант червя. Вредоносная программа распространяется по электронной почте в виде вложений. Червь представляет собой исполняемый в среде Windows файл размером 11 Кб, приложенный к письму с заголовком "ID х... thanks" и текстом "Yours ID x: Thank", где х - произвольный набор символов.

После запуска червь копирует себя в системный каталог Windows и регистрирует себя в ключе автозапуска системного реестра. При этом для дезориентации пользователя червь инициирует запуск стандартной утилиты Windows, Sound Recorder. Затем Bagle.b пытается установить соединение с несколькими удаленными сайтами, так или иначе связанными с "троянским" прокси-сервером TrojanProxy.Win32.Mitglieder. В настоящее время ссылки на все сетевые источники загрузки Mitglieder удалены, и Bagle не может использовать данную технологию для увеличения темпов распространения.

Однако наибольшую опасность, по мнению специалистов "Лаборатории Касперского", представляет встроенная в тело червя троянская компонента. Она открывает на пораженной машине порт 8866, и в дальнейшем отслеживает его работу. Это дает злоумышленникам доступ к удаленному управлению компьютером, в частности, позволяет запускать на выполнение различные команды и загружать файлы по усмотрению автора червя.

Для размножения Bagle.b, как и его предшественник, использует следующую процедуру: он сканирует файловую систему пораженного компьютера в поисках файлов с расширениями wab, txt, htm, html и r1 и рассылает себя по всем найденных в них адресах электронной почты. Для отправки почты червь использует собственный SMTP-сервер. Активность данной вредоносной программы ограничена во времени: червь запрограммирован на прекращение саморазмножения после 25 февраля 2004 года.