Active Scan. Analiza Gratis tu PC
Panda Global Protection 2011

Enciclopedia de Virus

Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.

Bagle.N

PeligrosidadPeligrosidad muy altaDañoMuy dañinoPropagaciónMedianamente extendido

Efectos 

Bagle.N realiza las siguientes acciones:

  • Infecta ficheros PE, incrementando su tamaño en 21 KBytes.
  • Crea un backdoor que abre el puerto TCP 2556.
  • Termina los procesos correspondientes a diversos programas antivirus, firewalls y herramientas de monitorización del sistema, entre otros:

    AGENTSVR.EXE, ANTI-TROJAN.EXE, ANTI-TROJAN.EXE, ANTIVIRUS.EXE, ANTS.EXE, APIMONITOR.EXE, APLICA32.EXE, APVXDWIN.EXE, ATCON.EXE, ATGUARD.EXE, ATRO55EN.EXE, ATUPDATER.EXE, ATWATCH.EXE, AUPDATE.EXE, AUTODOWN.EXE, AUTOTRACE.EXE, AUTOUPDATE.EXE, AVCONSOL.EXE, AVGSERV9.EXE, AVLTMAIN.EXE, AVPUPD.EXE, AVSYNMGR.EXE, AVWUPD32.EXE, AVXQUAR.EXE, BD_PROFESSIONAL.EXE, BIDEF.EXE, BIDSERVER.EXE, BIPCP.EXE, BIPCPEVALSETUP.EXE, BISP.EXE, BLACKD.EXE, BLACKICE.EXE, BOOTWARN.EXE, BORG2.EXE, BS120.EXE, CDP.EXE, CFGWIZ.EXE, CFGWIZ.EXE, CFIADMIN.EXE, CFIADMIN.EXE, CFIAUDIT.EXE, CFIAUDIT.EXE, CFIAUDIT.EXE, CFINET.EXE, CFINET.EXE, CFINET32.EXE, CFINET32.EXE, CLEAN.EXE, CLEAN.EXE, CLEANER.EXE, CLEANER.EXE, CLEANER3.EXE, CLEANER3.EXE, CLEANPC.EXE, CLEANPC.EXE, CMGRDIAN.EXE, CMGRDIAN.EXE, CMON016.EXE, CMON016.EXE, CPD.EXE, CPF9X206.EXE, CPFNT206.EXE, CV.EXE, CWNB181.EXE, CWNTDWMO.EXE, DEFWATCH.EXE, DEPUTY.EXE, DPF.EXE, DPFSETUP.EXE, DRWATSON.EXE, DRWEBUPW.EXE, ENT.EXE, ESCANH95.EXE, ESCANHNT.EXE, ESCANV95.EXE, EXANTIVIRUS-CNET.EXE, FAST.EXE, FIREWALL.EXE, FLOWPROTECTOR.EXE, FP-WIN_TRIAL.EXE, FRW.EXE, FSAV.EXE, FSAV530STBYB.EXE, FSAV530WTBYB.EXE, FSAV95.EXE, GBMENU.EXE, GBPOLL.EXE, GUARD.EXE, GUARDDOG.EXE, HACKTRACERSETUP.EXE, HTLOG.EXE, HWPE.EXE, IAMAPP.EXE, IAMAPP.EXE, IAMSERV.EXE, ICLOAD95.EXE, ICLOADNT.EXE, ICMON.EXE, ICSSUPPNT.EXE, ICSUPP95.EXE, ICSUPP95.EXE, ICSUPPNT.EXE, IFW2000.EXE, IPARMOR.EXE, IRIS.EXE, JAMMER.EXE, KAVLITE40ENG.EXE, KAVPERS40ENG.EXE, KERIO-PF-213-EN-WIN.EXE, KERIO-WRL-421-EN-WIN.EXE, KERIO-WRP-421-EN-WIN.EXE, KILLPROCESSSETUP161.EXE, LDPRO.EXE, LOCALNET.EXE, LOCKDOWN.EXE, LOCKDOWN2000.EXE, LSETUP.EXE, LUALL.EXE, LUCOMSERVER.EXE, LUINIT.EXE, MCAGENT.EXE, MCUPDATE.EXE, MCUPDATE.EXE, MFW2EN.EXE, MFWENG3.02D30.EXE, MGUI.EXE, MINILOG.EXE, MOOLIVE.EXE, MRFLUX.EXE, MSCONFIG.EXE, MSINFO32.EXE, MSSMMC32.EXE, MU0311AD.EXE, NAV80TRY.EXE, NAVAPW32.EXE, NAVDX.EXE, NAVSTUB.EXE, NAVW32.EXE, NC2000.EXE, NCINST4.EXE, NDD32.EXE, NEOMONITOR.EXE, NETARMOR.EXE, NETINFO.EXE, NETMON.EXE, NETSCANPRO.EXE, NETSPYHUNTER-1.2.EXE, NETSTAT.EXE, NISSERV.EXE, NISUM.EXE, NMAIN.EXE, NORTON_INTERNET_SECU_3.0_407.EXE, NPF40_TW_98_NT_ME_2K.EXE, NPFMESSENGER.EXE, NPROTECT.EXE, NSCHED32.EXE, NTVDM.EXE, NUPGRADE.EXE, NVARCH16.EXE, NWINST4.EXE, NWTOOL16.EXE, OSTRONET.EXE, OUTPOST.EXE, OUTPOSTINSTALL.EXE, OUTPOSTPROINSTALL.EXE, PADMIN.EXE, PANIXK.EXE, PAVPROXY.EXE, PCC2002S902.EXE, PCC2K_76_1436.EXE, PCCIOMON.EXE, PCDSETUP.EXE, PCFWALLICON.EXE, PCFWALLICON.EXE, PCIP10117_0.EXE, PDSETUP.EXE, PERISCOPE.EXE, PERSFW.EXE, PF2.EXE, PFWADMIN.EXE, PINGSCAN.EXE, PLATIN.EXE, POPROXY.EXE, POPSCAN.EXE, PORTDETECTIVE.EXE, PPINUPDT.EXE, PPTBC.EXE, PPVSTOP.EXE, PROCEXPLORERV1.0.EXE, PROPORT.EXE, PROTECTX.EXE, PSPF.EXE, PURGE.EXE, PVIEW95.EXE, QCONSOLE.EXE, QSERVER.EXE, RAV8WIN32ENG.EXE, REGEDIT.EXE, REGEDT32.EXE, RESCUE.EXE, RESCUE32.EXE, RRGUARD.EXE, RSHELL.EXE, RTVSCN95.EXE, RULAUNCH.EXE, SAFEWEB.EXE, SBSERV.EXE, SD.EXE, SETUP_FLOWPROTECTOR_US.EXE, SETUPVAMEEVAL.EXE, SFC.EXE, SGSSFW32.EXE, SH.EXE, SHELLSPYINSTALL.EXE, SHN.EXE, SMC.EXE, SOFI.EXE, SPF.EXE, SPHINX.EXE, SPYXX.EXE, SS3EDIT.EXE, ST2.EXE, SUPFTRL.EXE, SUPPORTER5.EXE, SYMPROXYSVC.EXE, SYSEDIT.EXE, TASKMON.EXE, TAUMON.EXE, TAUSCAN.EXE, TC.EXE, TCA.EXE, TCM.EXE, TDS2-98.EXE, TDS2-NT.EXE, TDS-3.EXE, TFAK5.EXE, TGBOB.EXE, TITANIN.EXE, TITANINXP.EXE, TRACERT.EXE, TRJSCAN.EXE, TRJSETUP.EXE, TROJANTRAP3.EXE, UNDOBOOT.EXE, UPDATE.EXE, VBCMSERV.EXE, VBCONS.EXE, VBUST.EXE, VBWIN9X.EXE, VBWINNTW.EXE, VCSETUP.EXE, VFSETUP.EXE, VIRUSMDPERSONALFIREWALL.EXE, VNLAN300.EXE, VNPC3000.EXE, VPC42.EXE, VPFW30S.EXE, VPTRAY.EXE, VSCENU6.02D30.EXE, VSECOMR.EXE, VSHWIN32.EXE, VSISETUP.EXE, VSMAIN.EXE, VSMON.EXE, VSSTAT.EXE, VSWIN9XE.EXE, VSWINNTSE.EXE, VSWINPERSE.EXE, W32DSM89.EXE, W9X.EXE, WATCHDOG.EXE, WEBSCANX.EXE, WGFE95.EXE, WHOSWATCHINGME.EXE, WHOSWATCHINGME.EXE, WINRECON.EXE, WNT.EXE, WRADMIN.EXE, WRCTRL.EXE, WSBGATE.EXE, WYVERNWORKSFIREWALL.EXE, XPF202EN.EXE, ZAPRO.EXE, ZAPSETUP3001.EXE, ZATUTOR.EXE, ZAUINST.EXE, ZONALM2601.EXE, ZONEALARM.EXE.

Metodo de Infección 

Bagle.N crea los siguientes ficheros en el directorio de sistema de Windows:

  • WINUPD.EXE. Este fichero es una copia del gusano.
  • WINUPD.EXEOPEN y WINUPD.EXEOPENOPEN. Estos ficheros son copias del gusano, comprimidas en formato ZIP o RAR, que serán enviadas a través del correo electrónico.
  • WINUPD.EXEOPENOPENOPEN. Se trata de un fichero gráfico.

Si el usuario atacante que lo controla así lo desea, Bagle.N puede actualizarse a una nueva versión, copiándola al directorio de Windows con el nombre IUPLDAXXXXX.EXE, donde XXXXX es una serie de caracteres aleatorios.

Bagle.N crea las siguientes entradas en el Registro de Windows:

  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    winupd.exe = %sysdir%\ winupd.exe

    donde %sysdir% es el directorio de sistema de Windows.
    Mediante esta entrada, Bagle.N se asegura de que es ejecutado cada vez que se inicia Windows.
  • HKEY_CURRENT_USER\ winupd
    Bagle.N crea esta entrada para comprobar si ya ha infectado el ordenador.

Bagle.N borra las siguientes entradas del Registro de Windows, si existen:

  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    9XHtProtect
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    9XHtProtect
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Antivirus
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Antivirus
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    HtProtect
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    HtProtect
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    ICQ Net
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    ICQ Net
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    ICQNet
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    ICQNet
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    My AV
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    My AV
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Special Firewall Service
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Special Firewall Service
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Tiny AV
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Tiny AV
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Zone Labs Client Ex
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    Zone Labs Client Ex
  • HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    service
  • HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
    service

Método de Propagación 

Bagle.N se propaga a través del correo electrónico y de los programas de intercambio de ficheros punto a punto (P2P).

1.- Propagación a través de correo electrónico.

Bagle.N realiza el siguiente proceso:

  • Llega al ordenador afectado en un mensaje escrito en inglés con las siguientes características:

    Remitente:
    Bagle.N falsifica la dirección que aparece como remitente del mensaje de correo que provoca la infección. Esto puede dar lugar a confusiones. Si desea más información al respecto, pulse aquí.
    Además, Bagle.N puede utilizar cualquiera de los siguientes remitentes:
    administration@%dominio%
    management@%dominio%
    noreply@%dominio%
    staff@%dominio%
    support@%dominio%

    donde %dominio% es el dominio de correo del receptor.

    Asunto: uno de los siguientes:
    Account notify
    E-mail account disabling warning.
    E-mail account security warning.
    Email account utilization warning.
    Email report
    E-mail technical support message.
    E-mail technical support warning.
    E-mail warning
    Encrypted document
    Fax Message Received
    Forum notify
    Hidden message
    Important notify
    Important notify about your e-mail account.
    Incoming message
    Notify about using the e-mail account.
    Notify about your e-mail account utilization.
    Notify from e-mail technical support.
    Protected message
    Re: Document
    Re: Hello
    Re: Hi
    Re: Incoming Fax
    Re: Incoming Message
    Re: Msg reply
    RE: Protected message
    RE: Text message
    Re: Thank you!
    Re: Thanks :)
    Re: Yahoo!
    Request response
    Site changes
    Warning about your e-mail account.


    Contenido: está compuesto de una frase de cada una de las siguientes listas:
    Lista 1: saludo
    Dear user of %dominio%,
    Dear user of %dominio% gateway e-mail server,
    Dear user of e-mail server "%dominio%",
    Hello user of %dominio% e-mail server,
    Dear user of "%dominio%" mailing system,
    Dear user, the management of %dominio% mailing system wants to let you know that
    donde %dominio% es el dominio de correo del receptor.

    Lista 2: mensaje principal
    Your e-mail account has been temporary disabled because of unauthorized access.

    Our main mailing server will be temporary unavaible for next two days,
    to continue receiving mail in these days you have to configure our free
    auto-forwarding service.

    Your e-mail account will be disabled because of improper using in next
    three days, if you are still wishing to use it, please, resign your
    account information.

    We warn you about some attacks on your e-mail account. Your computer may
    contain viruses, in order to keep your computer and e-mail account safe,
    please, follow the instructions.

    Our antivirus software has detected a large ammount of viruses outgoing
    from your email account, you may use our free anti-virus tool to clean up
    your computer software.

    Some of our clients complained about the spam (negative e-mail content)
    outgoing from your e-mail account. Probably, you have been infected by
    a proxy-relay trojan server. In order to keep your computer safe,
    follow the instructions.

    Lista 3: información del adjunto
    Advanced details can be found in attached file.
    Find the white rabbit.
    Follow the wabbit.
    For details see the attach.
    For details see the attached file.
    For further details see the attach.
    For more information see the attached file.
    Further details can be obtained from attached file.
    Here is the file.
    Message is in attach
    More info in attach
    Pay attention on attached file.
    Please, have a look at the attached file.
    Please, read the attach for further details.
    Read the attach.
    See attach.
    See the attached file for details.
    Your file is attached.

    Lista 4: información de la contraseña
    Esta lista sólo aparece si la extensión del archivo adjunto es ZIP o RAR.
    Password: %password%
    Pass - %password%
    Password - %password%
    For security reasons attached file is password protected. The password is %imagen adjunta insertada%
    For security purposes the attached file is password protected. Password -- %imagen adjunta insertada%
    Attached file is protected with the password for security reasons. Password is %imagen adjunta insertada%
    In order to read the attach you have to use the following password: %imagen adjunta insertada%
    Archive password: %imagen adjunta insertada%
    Password - %imagen adjunta insertada%
    Password: %imagen adjunta insertada%
    donde %password% es la contraseña necesaria para poder descomprimir el archivo adjunto. En ocasiones esta contraseña se proporciona dentro de una imagen %imagen adjunta insertada%.

    Lista 5: despedida
    The Management,
    Sincerely,
    Best wishes,
    Have a good day,
    Cheers,
    Kind regards,

    Para finalizar se incluye el siguiente texto:
    The %dominio% team                         http://www.%dominio%
    donde %dominio% es el dominio de correo del receptor.

    Archivo adjunto: tiene nombre variable, que se compone de un nombre y una extensión:
    Posibles nombres: ATTACH, DETAILS, DETAILS, DOCUMENT, ENCRYPTED, FIRST_PART, GIFT,INFO, INFORMATION, MESSAGE, MOREINFO, PUB_DOCUMENT, README, TEXT, TEXT_DOCUMENT o TEXTDOCUMENT.
    Posibles extensiones: EXE, PIF, ZIP o RAR.
    Algunas veces la contraseña para descomprimir el archivo adjunto llega adjunta al mensaje como un archivo gráfico con extensión BMP, JPG o GIF.
    De esta manera pretende dificultar la detección de algunos antivirus que leían el texto con la contraseña del cuerpo del mensaje.
  • El ordenador es afectado cuando se ejecuta el archivo adjunto.
  • Bagle.N busca direcciones de correo electrónico en todos los archivos con extensión ADB, ASP, CFG, CGI, DBX, DHTM, EML, HTM, JSP, MBX, MDX, MHT, MMF, MSG, NCH, ODS, OFT, PHP, PL, SHT, SHTM, STM, TBB, TXT, UIN, WAB, WSH, XLS XML .
  • Bagle.N envía una copia de sí mismo a todas las direcciones que ha recogido, utilizando su propio motor SMTP
  • Sin embargo, evita enviarse a aquellas direcciones que contengan alguna de las siguientes cadenas de texto: @avp., @foo, @hotmail.com, @iana, @messagelab, @microsoft, @msn, abuse, admin, anyone@, bsd, bugs@, cafee, certific, contract@, feste, free-av, f-secur, gold-certs@, google, help@, icrosoft, info@, kasp, linux, listserv, local, nobody@, noone@, noreply, ntivi, panda, pgp, postmaster@, rating@, root@, samples, sopho, spam, support, unix, winrar y winzip.

2.- Propagación a través de programas P2P.

Bagle.N realiza el siguiente proceso:

  • Crea copias de sí mismo en directorios compartidos que contengan la cadena de texto SHAR con los siguientes nombres:
    Microsoft Office 2003 Crack, Working!.exe
    Microsoft OfficeXP working Crack, Keygen.exe
    Microsoft Windows XP, WinXP Crack,working Keygen.exe
    Porno Screensaver.scr
    Porno,sex, oral, anal cool, awesome!!.exe
    Porno pics arhive, xxx.exe
    Serials.txt.exe
    Windown Longhorn Beta Leak.exe
    Windows Sourcecode update.doc.exe
    XXX hardcore images.exe
    Opera 8 New!.exe
    WinAmp5 Pro Keygen Crack Update.exe
    WinAmp 6 New!.exe
    Matrix 3 Revolution English Subtitles.exe
    Adobe Photoshop 9 full.exe
    Ahead Nero7.exe
    ACDSee 9.exe

  • Otros usuarios de este programa podrán acceder de manera remota a este directorio compartido. Así, se descargarán voluntariamente en su ordenador alguno de los ficheros, pensando que se trata de aplicaciones informáticas interesantes, imágenes, etc. En realidad, se estarán descargando en sus ordenadores una copia de Bagle.N.
  • Al ejecutar el fichero descargado, esos otros ordenadores quedarán afectados por Bagle.N.

Otros Detalles  

Bagle.N está escrito en el lenguaje de programación Visual C++. Este virus polimórfico tiene un tamaño de 20650 Bytes cuando está comprimido, y de 38570 Bytes una vez es descomprimido.

Soporte técnico

Accesos rápidos

Servicio de Asistencia de Instalación

Nuestros expertos resuelven de forma remota: la instalación, activación, y configuración del antivirus.
[+] info

Servicio de Asistencia de Desinfección

Nuestros especialistas en desinfección eliminan por completo cualquier malware de tu equipo.
[+] info