W32.Bagle.KT - Virensignatur

Symptome :

Bagle.KT verbreitet sich über eMail mit Dateianhängen. Als Anhang befindet sich in diesem Fall eine komprimierte zip-Datei.
Der Wurm ist schwer zu identifizieren, da er mit vielen variierenden Symptomen auftreten kann. Dafür ist er aber relativ einfach zu entfernen.

Bagle.KT erreicht den Computer als Emailnachricht mit folgenden Merkmalen:
Emailbetreff wäre einer der folgenden Begrifflichkeiten:
pric
price_
price-
price

Email-Anhang:
LATEST_PRICE.ZIP
NEW_PRICE.ZIP
PRICE.ZIP
Eine Besonderheit sei hier noch gesagt:
Dieser Schädling öffnet das Windows-Notepad sobald er aktiv ist und dort stehen dann diese Zeilen:
"Text Decoding Error."

Email Nachricht:
Diese eigentliche Nachricht ist leer.

Technische Beschreibung:

Diese Dateien, die versucht werden downzuloaden, können alle möglichen Arten von Malware beinhalten.
Er hindert den User daran, den Computer neu im abgesicherten Modus zu starten.
Bagle.KT versucht die IP-Adresse 217137 Zwecks Internetverbindung zu prüfen/kontaktieren.
Er öffnet Notepad mit der Nachricht :"Text Decoding Error."

Art der Infektion:
Bagle.KT generiert die folgenden Dateien:

HIDN2.EXE und HLDRRR.EXE in C:\Dokumente und Einstellungen\COMPUTERNAME \Application Data\hidn. Diese Dateien sind Kopien des Wurms.
TEMP.ZIP im C:\Laufwerk - Kopie von sich selbst
ERROR.TXT im C:\Laufwerk - Die Notepadnachricht

Bagle.KT generiert folgende Einträge in der Windows Registry:

HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
drv_st_key = \hidn\hidn2.exe
Hier versucht sich Bagle.KT immer mit zu laden, alsbald auch Windows geladen wird.
HKEY_CURRENT_USER\ Software\ FirstRun
FirstRun =1
Diesen Eintrag nimmt der Wurm vor um fest zu stellen, ob er schon auf diesem System aktiv ist.

Bagle.KT löscht alle Einträge in der Windows Registry (sofern vorhanden):

HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Control\ SafeBoot
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet001\ Control\ SafeBoot
Damit stellt Bagle.KT fest, dass es nicht mehr möglich ist in den abgesicherten Modus zu wechseln.

Desweiteren sucht Bagle.KT nach Emailadressen in Dateien mit folgender Dateiendung:
ADB, ASP, CFG, CGI, DBX, DHTM, EML, HTM, JSP, MBX, MDX, MHT, MMF, MSG, NCH, ODS, OFT, PHP, PL, SHT, SHTM, STM, TBB, TXT, UIN, WAB, WSH, XLS and XML.

Bagle.KT nutzt seine eigene SMTP-Engine um sich an alle Emailadressen weiter zu versenden, die er auf dem infizierten Rechner gefunden hat. Ausnahmen macht dieser Wurm nur bei Emailadressen, die folgende Merkmale aufweisen:
@avp, @foo, @iana, @messagelab, abuse, admin, anyone@, bsd, bugs@, cafee, certific, contract@, feste, free-av, f-secur, gold-certs@, google, help@, icrosoft, info@, kasp, linux, listserv, local, news, nobody@, noone@, noreply, ntivi, panda, pgp, postmaster@, rating@, root@, samples, sopho, spam, support, unix, update, winrar, winzip.

in Zusammenarbeit mit Panda-Software.de

Entfernung:

[ Zurück zum Anfang ]