En ny Bagle-orm spreder sig kraftigt i øjeblikket
Bagle.ag ligner de andre varianter i Bagle-familien, men den har alligevel fået større held til at sprede sig end de fleste andre i familien. Ormen spreder sig både via e-mail, Windows fildeling og P2P-fildeling.
Bagle.ag åbner en bagdør, som lytter til TCP port 1080. Bagdøren kan bruges til at kompromittere inficerede systemer, således at bagmændene bag ormen kan få fuld kontrol over de inficerede systemer.
Desuden åbner ormen også nogle UDP porte, som kan bruges til at sende og modtage informationer. Derved kan ormen sende følsomme oplysninger om systemet til programmøren af Bagle.ag, så programmøren kan se, hvilke systemer der er inficeret. Herefter er det så muligt for programmøren at kompromittere systemet via bagdøren på TCP port 1080.
Ormen spredes blandt andet via e-mail, hvor afsenderadressen er forfalsket. Emnet kan for eksempel være ”Ecrypted document” eller ”Incomin message”. Indholdet af e-mailen varierer.
Hvis den vedhæftede fil er en zip-fil kan den være beskyttet med et password. Dette password vil være vist i e-mailen i som tekst, i et GIF eller i et BMP billede. Dette kan være grunden til at Bagle.ag har opnået så stor en spredning. Hvis passwordet gemmes i et billede, kan antivirusprogrammerne ikke åbne den vedhæftede zip-fil og scanne den for virus.
- Bagle.ag kan have opnået stor spredning, da der benyttes password-beskyttede zip-filer, hvor passwords gemmes i billeder. Men man skal også tage i betragtning at kildekoden til Bagle fornylig blev spredt via en anden Bagle-variant. Derfor må det have været meget let at forfine kildekoden yderligere og derefter sende en ny variant ud, siger Brian Petersen, direktør i Virus112.
Ormen spreder sig også via fildeling og kopierer derfor sig selv til alle mapper, som indeholder tekststrengen ”shar”. Den placerer under andre navne deriblandt Microsoft Office 2003 Crack, Working!.exe og Kaspersky Antivirus 5.0.
Bagle.ag prøver desuden at forhindre andre orme i at starte, deriblandt den rivaliserende Netsky-orm.
Relevant link:
http://www.virus112.com
Taget fra:
http://www.newsdirect.dk/nyhed.asp?id=2851
Hilsner fra Nuserpigen