Bagle.AQ, también conocido como Bagle.AM, se
distribuye por correo electrónico y también a través de redes de
intercambio de archivos P2P, en un mensaje con el texto
price o new price y adjuntando un archivo ZIP de 5,94 kb,
que contiene un fichero EXE oculto y un html del mismo nombre.
Además, libera un componente de puerta trasera, el cual a través de
los puertos TCP y UDP 2480 (Deattle de Lingwood) establece contacto
con el autor del virus y recibe comandos en forma remota.
Esta versión de Bagle, además, crea y ejecuta una librería
DLL de 11.776 bytes de tamaño en '%systemdir%dll.exe', que se
encargará de deshabilitar todos los procesos con diferentes nombres.
Una saga que comenzó hace siete meses
Por otro lado, tratará de descargarse un falso fichero JPG de varias
URLs diferentes. En realidad se trata de otro fichero EXE
conteniendo el resto del gusano que, una vez ejecutado, procederá a
propagarse por correo electrónico a otros destinatarios, según
informa Panda Software, que ha declarado el nivel de alerta naranja.
Según Luis Corrons, director de PandaLabs, Bagle.AQ es la
continuación de una larga saga que comenzó hace siete meses. Además
de que utiliza la ingeniería social para intentar engañar al usuario
enviándole un fichero conteniendo, supuestamente, precios o
contraseñas, combina diferentes métodos de infección.
La consultora independiente de seguridad Hispasec recomienda a los
usuarios, como medida preventiva, y aprovechando que el gusano es
fácilmente reconocible por su aspecto más externo, eliminar
directamente cualquier mensaje de las características descritas.
|
|
|
