W32/Bagle-Q

Alias	Win32/Bagle.Q
Kategorie	Viren und Spyware
Typ	Virus
Vorgehensweise	Wenn Sie eine Viren- oder Spyware-Benachrichtigung erhalten haben, lesen Sie die Hinweise zum Beseitigen von Bedrohungen.
Verbreitung	niedrig hoch

Übersicht

Übersicht
Maßnahme
Weitere Informationen


Schutz erhältlich seit	18 März 2004 07:16:10 (GMT)
Letztes Update	19 März 2004 15:01:34 (GMT)
Erkannt von	Alle Sophos Produkte

Kostenlose Überprüfung auf Viren
Download Threat Detection Test

Kostenlose Überprüfung auf Viren und Spyware
Testet Ihren bestehenden Virenschutz
Findet Ihre Virenschutzlösung alle Viren?

Befolgen Sie bitte die Anweisungen zur Desinfektion von PE-Dateien.

Bitte lesen Sie die Hinweise zum Entfernen von W32/Bagle-Q.

Weitere Informationen

Übersicht
Maßnahme
Weitere Informationen

W32/Bagle-Q ist ein Massmailing-Virus. Der Virus verbreitet sich in ungewöhnlicher Weise, deshalb lesen Sie die nachfolgenden Erläuterungen bitte sorgfältig.

W32/Bagle-Q verbreitet sich über eine sogenannte "Carrier"-E-Mail (Träger-E-Mail), die den Wurm nicht als Attachment enthält.

Die E-Mail hat folgende Merkmale:

Die Sender-Adresse ist gefälscht.

Betreffzeile: zufällig ausgewählt aus:
Re: Msg reply Re: Hello Re: Yahoo! Re: Thank you! Re: Thanks :) RE: Text message Re: Document Incoming message Re: Incoming Message Re: Incoming Fax Hidden message Fax Message Received Protected message RE: Protected message Forum notify Request response Site changes Re: Hi Encrypted document

Es gibt keinen sichtbaren Text.

Die E-Mail-Adressen stammen von der Festplatte infizierter Rechner, da der Virus in Dateien mit folgenden Erweiterungen nach diesen Adressen sucht: WAB, TXT, MSG, HTM, SHTM, STM, XML, DBX, MBX, MDX, EML, NCH, MMF, ODS, CFG, ASP, PHP, WSH, ADB, TBB, SHT, XLS und OFT.

W32/Bagle-Q vermeidet E-Mail-Adressen, die Folgendes enthalten:

@hotmail, @msn, @microsoft, rating@, f-secur, anyone@, bugs@, contract@, feste, gold-certs@, help@, info@, nobody@, noone@, kasp, admin, icrosoft, support, ntivi, unix, linux, listserv, certific, sopho, @foo, @iana, free-av, @messagelab, winzip, google, winrar, samples, abuse, panda, cafee, spam, @avp., noreply, local, root@, postmaster@

Wenn Sie eine "Carrier"-E-Mail öffnen, versucht die E-Mail eine Schwachstelle in Outlook auszunutzen. Aufgrund der Schwachstelle, kann der E-Mail-Client versuchen, W32/Bagle-Q automatisch von der IP-Adresse eines Computers herunterzuladen, der mit einer Bagle-Variante infiziert ist. Die IP-Adresse des "Server"-Computers, der das Bagle-Programm bedient, wird zufällig aus einer Liste mit 590 IP-Adressen ausgewählt, die sich im Datenbereich des Virus befindet.

Die Sicherheitslücke wurde von Microsoft durch das Microsoft Security Bulletin MS03-040 geschlossen.

Die "Carrier"-E-Mail verbindet sich mit Port 81 des Hosts und öffnet eine HTML-Datei. Die HTML-Datei legt das Visual Basic Script q.vbs ab und startet es. Dieses Skript lädt W32/Bagle-Q über eine HTTP (Web)-Anfrage zum TCP Port 81 des Sender-PCs herunter.

Die heruntergeladene Kopie von W32/Bagle-Q wird in Ihrem Systemordner mit dem Namen directs.exe abgelegt.

W32/Bagle-Q lädt sich auf Ihrem PC und beendet zahlreiche Sicherheitsanwendungen. Dies ist die Liste der Anwendungen:

CLEANER3.EXE au.exe d3dupdate.exe CLEANPC.EXE AVprotect9x.exe CMGRDIAN.EXE CMON016.EXE CPF9X206.EXE CPFNT206.EXE CV.EXE CWNB181.EXE CWNTDWMO.EXE ICSSUPPNT.EXE DEFWATCH.EXE DEPUTY.EXE DPF.EXE DPFSETUP.EXE DRWATSON.EXE ENT.EXE ESCANH95.EXE AVXQUAR.EXE ESCANHNT.EXE ESCANV95.EXE AVPUPD.EXE EXANTIVIRUS-CNET.EXE FAST.EXE FIREWALL.EXE FLOWPROTECTOR.EXE FP-WIN_TRIAL.EXE FRW.EXE FSAV.EXE AUTODOWN.EXE FSAV530STBYB.EXE FSAV530WTBYB.EXE FSAV95.EXE GBMENU.EXE GBPOLL.EXE GUARD.EXE GUARDDOG.EXE HACKTRACERSETUP.EXE HTLOG.EXE HWPE.EXE IAMAPP.EXE IAMAPP.EXE IAMSERV.EXE ICLOAD95.EXE ICLOADNT.EXE ICMON.EXE ICSUPP95.EXE ICSUPPNT.EXE IFW2000.EXE IPARMOR.EXE IRIS.EXE JAMMER.EXE ATUPDATER.EXE AUPDATE.EXE KAVLITE40ENG.EXE KAVPERS40ENG.EXE KERIO-PF-213-EN-WIN.EXE KERIO-WRL-421-EN-WIN.EXE BORG2.EXE BS120.EXE CDP.EXE CFGWIZ.EXE CFIADMIN.EXE CFIAUDIT.EXE AUTOUPDATE.EXE CFINET.EXE NAVAPW32.EXE NAVDX.EXE NAVSTUB.EXE NAVW32.EXE NC2000.EXE NCINST4.EXE AUTOTRACE.EXE NDD32.EXE NEOMONITOR.EXE NETARMOR.EXE NETINFO.EXE NETMON.EXE NETSCANPRO.EXE NETSPYHUNTER-1.2.EXE NETSTAT.EXE NISSERV.EXE NISUM.EXE NMAIN.EXE NORTON_INTERNET_SECU_3.0_407.EXE NPF40_TW_98_NT_ME_2K.EXE NPFMESSENGER.EXE NPROTECT.EXE NSCHED32.EXE NTVDM.EXE NVARCH16.EXE KERIO-WRP-421-EN-WIN.EXE KILLPROCESSSETUP161.EXE LDPRO.EXE LOCALNET.EXE LOCKDOWN.EXE LOCKDOWN2000.EXE LSETUP.EXE OUTPOST.EXE CFIAUDIT.EXE LUCOMSERVER.EXE AGENTSVR.EXE ANTI-TROJAN.EXE ANTI-TROJAN.EXE ANTIVIRUS.EXE ANTS.EXE APIMONITOR.EXE APLICA32.EXE APVXDWIN.EXE ATCON.EXE ATGUARD.EXE ATRO55EN.EXE ATWATCH.EXE AVCONSOL.EXE AVGSERV9.EXE AVSYNMGR.EXE BD_PROFESSIONAL.EXE BIDEF.EXE BIDSERVER.EXE BIPCP.EXE BIPCPEVALSETUP.EXE BISP.EXE BLACKD.EXE BLACKICE.EXE BOOTWARN.EXE NWINST4.EXE NWTOOL16.EXE OSTRONET.EXE OUTPOSTINSTALL.EXE OUTPOSTPROINSTALL.EXE PADMIN.EXE PANIXK.EXE PAVPROXY.EXE DRWEBUPW.EXE PCC2002S902.EXE PCC2K_76_1436.EXE PCCIOMON.EXE PCDSETUP.EXE PCFWALLICON.EXE PCFWALLICON.EXE PCIP10117_0.EXE PDSETUP.EXE PERISCOPE.EXE PERSFW.EXE PF2.EXE AVLTMAIN.EXE PFWADMIN.EXE PINGSCAN.EXE PLATIN.EXE POPROXY.EXE POPSCAN.EXE PORTDETECTIVE.EXE PINUPDT.EXE PPTBC.EXE PPVSTOP.EXE PROCEXPLORERV1.0.EXE PROPORT.EXE PROTECTX.EXE PSPF.EXE WGFE95.EXE WHOSWATCHINGME.EXE AVWUPD32.EXE NUPGRADE.EXE WHOSWATCHINGME.EXE WINRECON.EXE WNT.EXE WRADMIN.EXE WRCTRL.EXE WSBGATE.EXE WYVERNWORKSFIREWALL.EXE XPF202EN.EXE ZAPRO.EXE ZAPSETUP3001.EXE ZATUTOR.EXE CFINET32.EXE CLEAN.EXE CLEANER.EXE CLEANER3.EXE CLEANPC.EXE CMGRDIAN.EXE CMON016.EXE CPD.EXE CFGWIZ.EXE CFIADMIN.EXE PURGE.EXE PVIEW95.EXE QCONSOLE.EXE QSERVER.EXE RAV8WIN32ENG.EXE REGEDT32.EXE REGEDIT.EXE UPDATE.EXE RESCUE.EXE RESCUE32.EXE RRGUARD.EXE RSHELL.EXE RTVSCN95.EXE RULAUNCH.EXE SAFEWEB.EXE SBSERV.EXE SD.EXE SETUP_FLOWPROTECTOR_US.EXE SETUPVAMEEVAL.EXE SFC.EXE SGSSFW32.EXE SH.EXE SHELLSPYINSTALL.EXE SHN.EXE SMC.EXE SOFI.EXE SPF.EXE SPHINX.EXE SPYXX.EXE SS3EDIT.EXE ST2.EXE SUPFTRL.EXE LUALL.EXE SUPPORTER5.EXE SYMPROXYSVC.EXE SYSEDIT.EXE TASKMON.EXE TAUMON.EXE TAUSCAN.EXE TC.EXE TCA.EXE TCM.EXE TDS2-98.EXE TDS2-NT.EXE TDS-3.EXE TFAK5.EXE TGBOB.EXE TITANIN.EXE TITANINXP.EXE TRACERT.EXE TRJSCAN.EXE TRJSETUP.EXE TROJANTRAP3.EXE UNDOBOOT.EXE VBCMSERV.EXE VBCONS.EXE VBUST.EXE VBWIN9X.EXE VBWINNTW.EXE VCSETUP.EXE VFSETUP.EXE VIRUSMDPERSONALFIREWALL.EXE VNLAN300.EXE VNPC3000.EXE VPC42.EXE VPFW30S.EXE VPTRAY.EXE VSCENU6.02D30.EXE VSECOMR.EXE VSHWIN32.EXE VSISETUP.EXE VSMAIN.EXE VSMON.EXE VSSTAT.EXE VSWIN9XE.EXE VSWINNTSE.EXE VSWINPERSE.EXE W32DSM89.EXE W9X.EXE WATCHDOG.EXE WEBSCANX.EXE CFIAUDIT.EXE CFINET.EXE ICSUPP95.EXE MCUPDATE.EXE CFINET32.EXE CLEAN.EXE LEANER.EXE LUINIT.EXE MCAGENT.EXE MCUPDATE.EXE MFW2EN.EXE MFWENG3.02D30.EXE MGUI.EXE MINILOG.EXE MOOLIVE.EXE MRFLUX.EXE MSCONFIG.EXE MSINFO32.EXE MSSMMC32.EXE MU0311AD.EXE NAV80TRY.EXE ZAUINST.EXE ZONALM2601.EXE ZONEALARM.EXE

Es wird ein Registrierungseintrag zu folgendem Schlüssel hinzugefügt, so dass das Programm directs.exe geladen wird, sobald Sie sich an Ihrem Computer anmelden:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

W32/Bagle-Q erstellt mehrere Kopien von sich in Ordnern, die möglicherweise Teil eines Datei-Austausch-Netzwerks sind. Die verwendeten Dateinamen sind:
Microsoft Office 2003 Crack, Working!.exe Microsoft Windows XP, WinXP Crack, working Keygen.exe Microsoft Office XP working Crack, Keygen.exe Porno, sex, oral, anal cool, awesome!!.exe Porno Screensaver.scr Serials.txt.exe Porno pics arhive, xxx.exe Windows Sourcecode update.doc.exe Ahead Nero 7.exe Windown Longhorn Beta Leak.exe Opera 8 New!.exe XXX hardcore images.exe WinAmp 6 New!.exe WinAmp 5 Pro Keygen Crack Update.exe Adobe Photoshop 9 full.exe Matrix 3 Revolution English Subtitles.exe ACDSee 9.exe

W32/Bagle-Q infiziert Programme auf Ihrem PC, indem er sich an vorhandene EXE-Dateien anhängt (man spricht dabei von einer "parasitischen Virusinfektion"). Die Gefahr, die von W32/Bagle-Q ausgeht, kann nicht nur durch ein Update von Sophos Anti-Virus gemildert werden, sondern auch, indem Sie Verbindungen zum TCP Port 81 über Ihre Netzwerk-Firewall blockieren. (Es ist unwahrscheinlich, dass dieser Port für tatsächliche Dienste benötigt wird.)

Durch das Blockieren von ausgehenden Verbindungen an Port 81 können Computer in Ihrem Netzwerk den Wurm nicht mehr von außen herunterladen. Wenn Sie infiziert wurden, wird durch die Blockade verhindert, dass Sie den Virus an andere weitergeben.

Installieren Sie die neuesten Microsoft-Patches für den Internet Explorer und Outlook Express. Die Schwachstelle, die W32/Bagle-Q ausnutzt, ist im Microsoft Security Bulletin MS03-040 erläutert und wird dort "Object Tag vulnerability in Popup Window" genannt.

Berichte über die neuesten Viren- und Spyware-Threats direkt auf Ihrem Computer

In diesem Abschnitt

Blogs

W32/Bagle-Q

Übersicht

Maßnahme

Weitere Informationen