Win32.Bagle.X

別名 W32/Bagle.aa@MM (McAfee), W32/Bagle.AA-mm (Wildlist), Win32.Bagle.AT, Win32/Bagle.AT.Worm, W32/Bagle.bf@MM, VBS.Bagle.X, I-Worm.Bagle.z (Kaspersky), VBS/Bagle.Z.Dropper, Win32/Bagle.Z.Worm, W32.Beagle.X@mm (Symantec) カテゴリ Win32 タイプ ワーム 文書公開日 12/14/2004 最終更新日 12/12/2004

被害 : 破壊 : 感染 :

特徴

Win32.Bagle.Xは、電子メールおよびP2Pネットワーク経由で増殖するワームです。 UPX圧縮されたWin32実行ファイルとして配布され、ZIPアーカイブに入っている場合もあります。 また、Bagle.Xを埋め込むドロッパーが3つ存在することがわかっています。 実際のワーム実行ファイルのサイズは、ファイルの最後にワームが追加する任意のデータにより、19,973から21,468バイトの可変となります。 また、ExeStealthおよびUltraProtectで暗号化されている場合もあり、サイズはおよそ150,000バイトです。

感染方法

ワームは、実行されると以下に自身をコピーします。

%System%\drvddll.exe

Windows起動時にこのコピーが実行されるよう以下のレジストリ値を追加します。

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\drvddll.exe = "%System%\drvddll.exe"

注： 「%System%」は可変ロケーションです。 ワームはオペレーティング システムを検索し、現行のSystemフォルダのロケーションを調べます。 Systemディレクトリのデフォルト インストール先は、Windows 2000およびNTではC:\Winnt\System32、95/98/MEではC:\Windows\System、XPではC:\Windows\System32になります。

ワームは、感染システム上で初めて実行されると、「Error!」というキャプションで「Can't find a viewer associated with the file」という内容のでたらめなエラー メッセージを表示します。

メールの添付ファイルを生成するプロセスにおいて、さらに以下の2つのファイルが生成される可能性があります。

%System%\drvddll.exeopen
%System%\drvddll.exeopenopen

配布方法

ワームは、さまざまな件名およびメッセージ本文を含んだ電子メールの添付ファイルとして送信されてきます。 添付ファイル名や拡張子も一定ではありません。 差出人アドレスには、システムから収集した電子メールが使用されます。

以下は、使用される可能性のある件名のリストです。

Changes..
Encrypted document
Fax Message Received
Forum notify
Hidden message
Incoming message
New changes
Notification
Protected message
RE: Incoming Msg
RE: Message Notify
RE: Protected message
RE: Text message
Re: Document
Re: Hello
Re: Hi
Re: Incoming Message
Re: Msg reply
Re: Thank you!
Re: Thanks :)
Re: Yahoo!
Site changes

メッセージ本文は空白ですが、添付ファイルがパスワード保護されたZIPアーカイブである場合は、以下のテキストのいずれかが使用されます。

• For security reasons attached file is password protected. The password is <パスワード>
• For security purposes the attached file is password protected. Password -- <パスワード>
• Note: Use password <パスワード> to open archive.
• Attached file is protected with the password for security reasons. Password is <パスワード>
• In order to read the attach you have to use the following password: <パスワード>
• Archive password: <パスワード>
• Password - <パスワード>
• Password: <パスワード>

<パスワード>は、添付のZIPファイルのパスワードです。 パスワード自体は常に、5桁の数字になります。
例： 「40300」

添付ファイル名は、以下のリストから選択されます。

Alive_condom
Counter_strike
Details
Details
Document
Half_Live
I_search_for_you
Info
Information
Joke
Loves_money
Manufacture
Message
MoreInfo
Nervous_illnesses
Readme
Smoke
Toy
You_are_dismissed
You_will_answer_to_me
Your_complaint
Your_money
text_document
the_message
the_message

拡張子は以下のいずれかになる可能性があります。

.exe
.scr
.com
.zip
.vbs
.hta
.cpl

ワームは、ファイルの拡張子に応じて添付ファイルの種類を変更します。 例えば、ファイルの拡張子が「.VBS」である場合、添付ファイルは実際のワーム（Win32実行ファイル）を埋め込むVisual Basic Scriptになります。 つまり、Visual Basic Script、HTML、およびコントロール パネル アプレットと、3つのタイプのBagle.Xドロッパーが存在することになります。

ZIPアーカイブの場合、中身のファイルには任意に生成された名前が付いていますが、5文字から9文字の小文字で生成され、「.exe」拡張子が付きます。

ZIPファイルにはさらに無害のファイルが含まれる可能性もあります。このファイルには任意のデータが含まれ、任意のファイル名と以下のいずれかの拡張子が付いています。

.sys
.dat
.idx
.vxd
.vid
.dll

添付ファイル名の例

• cvbrvyee.exeおよびwyghw.docを含むInformation.zip
• tjuxwptj.exeおよびgihw.txtを含むDetails.zip

ワームによって生成される電子メールの例

このワームは保有しているSMTPコードを使用して、自身を送信します。 ワームは以下の拡張子を持つファイルを検索し、電子メール アドレスを探します。

.adb
.asp
.cfg
.cgi
.dbx
.dhtm
.eml
.htm
.jsp
.mbx
.mdx
.mht
.mmf
.msg
.nch
.ods
.oft
.php
.pl
.sht
.shtm
.stm
.tbb
.txt
.uin
.wab
.wsh
.xls
.xml

以下の文字列を含むアドレスは使用しません。

アドレスのスキャンを行う場合、ワームは名前に「shar」と含まれているディレクトリの検索も行います。 以下のファイル名を使用して、適合する各ディレクトリに自身をコピーします。

ACDSee 9.exe
Adobe Photoshop 9 full.exe
Ahead Nero 7.exe
KAV 5.0
Kaspersky Antivirus 5.0
Matrix 3 Revolution English Subtitles.exe
Microsoft Office 2003 Crack, Working!.exe
Microsoft Office XP working Crack, Keygen.exe
Microsoft Windows XP, WinXP Crack, working Keygen.exe
Opera 8 New!.exe
Porno Screensaver.scr
Porno pics arhive, xxx.exe
Porno, sex, oral, anal cool, awesome!!.exe
Serials.txt.exe
WinAmp 5 Pro Keygen Crack Update.exe
WinAmp 6 New!.exe
Windown Longhorn Beta Leak.exe
Windows Sourcecode update.doc.exe
XXX hardcore images.exe

これにより、ワームはP2Pファイル共有ネットワーク（KaZaaなど）経由で増殖することが可能となります。

ペイロード

ワームは、ポート2535上でバックドアをオープンし、マシンへのリモート アクセスを可能にします。 このバックドアは、ファイルのアップロードや実行、ワームの更新などの目的で使用される可能性があります。 また、受信待機するポートを変更する命令を受け付けることもあります。

さらに、いくつかのWebサイトに情報を送信し、感染したマシンについての通知を行います。

ワームのコードにはセキュリティ製品に関連する名前が含まれていますが、その名前とプロセス名が合致した場合に該当プロセスを終了させます。

レジストリ値の削除

ワームは、次のレジストリ キーから以下の値を削除します。
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
"HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run":

9XHtProtect
Antivirus
EasyAV
FirewallSvr
HtProtect
ICQ Net
ICQNet
Jammer2nd
KasperskyAVEng
MsInfo
My AV
NetDy
Norton Antivirus AV
PandaAVEngine
Special Firewall Service
SysMonXP
Tiny AV
Zone Labs Client Ex
service

追加情報

ワームは、複数のmutexを生成します。

• MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
• 'D'r'o'p'p'e'd'S'k'y'N'e't'
• _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
• [SkyNet.cz]SystemsMutex
• AdmSkynetJklS003
• ____--->>>>U<<<<--____
• _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_

ワームが2005年1月25日以降に実行されると、レジストリから自身を削除し、終了します。 ワームのファイルはシステム内に残りますが、自動的に実行されることはありません。

Analysis by Sha-Li Hsieh and Hamish O'Dea

Win32.Bagle.X駆除手順

Win32.Bagle.X
eTrust Antivirus 6x/v7* (InoculateIT Engine)
駆除手順

シグネチャ： 23.64.88

駆除手順： 最新のeTrust Antivirusシグネチャ ファイルをダウンロードおよび適用します。 eTrust Antivirusのローカル スキャナを起動します。感染処置オプションのファイル処理を「ファイルの修復」に設定し、「システム修復」機能を有効にした上で、感染したすべてのコンピュータ システムでフルスキャンを実行します。

これらのeTrust Antivirus 6.x/v7機能の詳細については、製品のヘルプ画面を参照するか、SupportConnectにアクセスしてください。

Windows MEおよびXPをご使用の場合はこちらをご覧ください。

注： これらのシグネチャ番号（およびそれ以上）を使用することで、ウイルスから保護することができます。 現在ダウンロード可能なシグネチャ ファイルが上記よりも古いバージョンである場合、必要となるシグネチャは現在テスト中です。ご利用可能となるまでしばらくお待ちください。

Win32.Bagle.X
eTrust Antivirus 6x/v7* (Vet Engine)
駆除手順

シグネチャ： 11.x/8303

駆除手順： 最新のeTrust Antivirusシグネチャ ファイルをダウンロードおよび適用します。 eTrust Antivirusのローカル スキャナを起動します。感染処置オプションのファイル処理を「ファイルの修復」に設定し、「システム修復」機能を有効にした上で、感染したすべてのコンピュータ システムでフルスキャンを実行します。

これらのeTrust Antivirus 6.x/v7機能の詳細については、製品のヘルプ画面を参照するか、SupportConnectにアクセスしてください。

Windows MEおよびXPをご使用の場合はこちらをご覧ください。

注： これらのシグネチャ番号（およびそれ以上）を使用することで、ウイルスから保護することができます。 現在ダウンロード可能なシグネチャ ファイルが上記よりも古いバージョンである場合、必要となるシグネチャは現在テスト中です。ご利用可能となるまでしばらくお待ちください。

対応シグネチャ/エンジン情報

＊ InoculateITおよびeTrust InoculateIT 6.0のアップデートも含む。