---

Fra Freefiles.dk er modtaget følgende

Navn: Win32.Bagle.B@mm
Aliases: Ingen - endnu
Type: Executable Mass Mailer
Størrelse: 11,264 (packed)
Første udbrud: 17.02.2004
Opdaget: 17.02.2004
Spredning: Medium
Risikogruppe: HØJ
Oprindelse: Ukendt
Symptomer:
- Tilstedeværelse af flg. fil i din %SYSTEM% mappe i Windows:

AU.EXE (11,264 bytes)

- Tilstedeværelse af flg. nøgler i registreringsdatabasen:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"au.exe"="%SYSTEM%\au.exe"

[HKEY_CURRENT_USER\Software\Windows2000]
med strengværdierne gid og frn

hvor %WINDOWS% refererer til Windows mappen (eller WinNT på Windows NT baserede systemer)
%SYSTEM% refererer til "System" mappen på Windows 9x systemer og "System32" mappen på WinNT systems.

Teknisk beskrivelse:
Ormen ankommer typisk i en email med denne formattering :

Fra: (spoofed/ikke eksisterende adresse, kan være hvad som helst)
Emne : ID Tilfældige bogstaver%... thanks
Body:
Yours ID %Tilfældige bogstaver%
--
Thank
Vedhæftet fil: %Tilfældige bogstaver%.exe (11,264 bytes)

Eksempel:

Subject: ID ldksy... thanks
Body:
Yours ID rnhyijwo

Vedhæftet fil : jeqcnfmbiv.exe (11,264 bytes)


Når denne eksekveres starter virusen sndrec32.exe (Lydoptager i Windows)

Dernæst begynder den sin søgning efter e-mail adresser i filer af flg. typer :

wab txt htm html

Efter dette forsøger den at sende sig selv til alle de fundne e-mail adresser i formatet der er vist ovdenfor .
Den sender samtidig en besked til en liste af websider; denne besked indeholder information omkring den inficerede computer.
Denne information kan anvendes til upload af andre exe filer til de inficerede computere.

Ormen starter en proces som lytter efter tilslutninger fra en fjern-pc.
Denne forbindelse anvendes til at downloade en fil og herefter eksekvere den, og kan samtidig anvendes som en auto-opdaterings mekanisme ....

---

---

---

---

---

Eftersom du ikke er logget ind i systemet, kan du ikke lave en bedømmelse til dette tip.

Hvis du ikke allerede er registreret, kan du gratis blive medlem, ved at trykke på "Bliv medlem" ude i menuen.