W32/Bagle.T. Se propaga sin adjuntos

[flacoroo]

VSantivirus No. 1352 Año 8, viernes 19 de marzo de 2004



W32/Bagle.T. Se propaga sin adjuntos

http://www.vsantivirus.com/bagle-t.htm



Nombre: W32/Bagle.T

Tipo: Gusano de Internet

Alias: Bagle.T, Win32/Bagle.gen.zip, Win32/Bagle.gen.rar, W32/Bagle.t@MM, PE_BAGLE.T, W32.Beagle.T@mm, W32/Bagle-T, W32/Bagle.t, Win32/Bagle.T, Win32.Bagle.T, I-Worm.Bagle.t

Plataforma: Windows 32-bit

Tamaño: variable

Fecha: 18/mar/04



Detectado el 18 de marzo de 2004, es una variante modificada del Bagle.Q.



Esta versión se propaga de una manera diferente a las anteriores. Llega en un mensaje que no contiene adjuntos. Cuando se abre el mensaje, éste intenta explotar una vulnerabilidad en el Outlook que permite la descarga en forma automática del archivo del gusano desde la computadora del usuario infectado que envió el correo electrónico.



Esto lo realiza por medio de un script de Visual Basic, y de una solicitud HTTP al puerto TCP/81 en la máquina infectada.



La copia es descargada en la carpeta del sistema con el nombre DIRECTS.EXE y ejecutada.



La vulnerabilidad fue reparada por Microsoft en octubre de 2003.



Más información:



MS03-040 Actualización acumulativa para IE (828750)

Vulnerabilidad de etiquetas de objeto en ventanas pop-up

http://www.vsantivirus.com/vulms03-040.htm



Para otros detalles del gusano, ver la descripción de la variante "Q":



W32/Bagle.Q. Infecta archivos .EXE

http://www.vsantivirus.com/bagle-q.htm







(c) Video Soft - http://www.videosoft.net.uy

(c) VSAntivirus - http://www.vsantivirus.com

[msc hotline sat]

Ya adelantabamos esta noticia en:



http://foro.zonavirus.com/viewtopic.php?t=82



y al respecto, solo indicar que ya hemos enviado a ADMIN la v 1.9 del ELIBAGLA que contempla la detencion del procseo vírico, eliminacion del fichero gusano y estauracion de las correspondientes claves víricas modificadas por el virus, si bien a partir de la M, la N, O, P; Q, R, S y T infectan ficheros, por lo que tras pasar el ELIBAGLA y reiniciar, podrá lanzarse el antivirus actualizado disponible (incluso uno ONLINE) y desinfectar los ficheros, lo cual podrá hacerse gracias a no estar en uso y no estar el virus en memoria, o de lo contrario al ir a ejecutar alguno de dichos ficheros infectados, saltará el antivirus y podrá desinbfectarse sobre la marcha, si bien aconsejamos lo primero, como se indica en la descripcion de la utilidad.



saludos



ms, 19-03-2004