“BugBear.B”: descripción y soluciones

Aunque este nuevo incidente invita a la reflexión, vamos a dedicar la entrega de hoy a la descripción del espécimen y a las soluciones que se están facilitando para desinfectar los sistemas afectados.

“BugBear.B” tiene funcionalidades propias de un gusano, un virus, y un troyano de puerta trasera. Además de distribuirse de forma masiva a través del e-mail y por los recursos compartidos de las redes locales, es capaz de infectar determinados ejecutables de Windows, captura todas las pulsaciones de teclado, y abre una puerta trasera en los sistemas infectados que permite el acceso y control indiscriminado de forma remota.

Escrito en Microsoft Visual C++, el virus original tiene un tamaño de 170KB, si bien ha sido comprimido con la utilidad UPX para su distribución, por lo que nos llega con un tamaño de unos 72Kb (72,192 bytes).

La instalación en el sistema

Cuando es ejecutado e infecta un sistema procede a copiarse en la carpeta de inicio como .EXE con un nombre al azar, de esta forma se asegura su ejecución cada vez que iniciemos una sesión en Windows. Además copia tres archivos .DLL en el directorio de sistema de Windows, uno de ellos es el “keylogger” que captura y archiva las pulsaciones de teclado, información accesible de forma remota gracias a la puerta trasera que abre “BugBear.B”. Adicionalmente crea también dos archivos con nombres al azar, uno con extensión .DAT en la carpeta de Windows y el segundo con extensión .TMP en la carpeta temporal del sistema.

En su faceta como virus, “BugBear.B” contiene en su interior una lista de archivos “víctimas” a los que infectar:

scandskw.exe

regedit.exe

mplayer.exe

hh.exe

notepad.exe

winhelp.exe

Internet Exploreriexplore.exe

adobeacrobat 5.0readeracrord32.exe

WinRARWinRAR.exe

Windows Media Playermplayer2.exe

RealRealPlayerrealplay.exe

Outlook Expressmsimn.exe

FarFar.exe

CuteFTPcutftp32.exe

AdobeAcrobat 4.0ReaderAcroRd32.exe

ACDSee32ACDSee32.exe

MSN Messengermsnmsgr.exe

WS_FTPWS_FTP95.exe

QuickTimeQuickTimePlayer.exe

StreamCastMorpheusMorpheus.exe

Zone LabsZoneAlarmZoneAlarm.exe

TrillianTrillian.exe

LavasoftAd-aware 6Ad-aware.exe

AIM95aim.exe

Winampwinamp.exe

DAPDAP.exe

ICQIcq.exe

kazaakazaa.exe

winzipwinzip32.exe

Infección en redes locales

Además del sistema local, la búsqueda e infección de los archivos de la lista anterior se extiende a todos los recursos compartidos de la red a los que tenga acceso, donde adicionalmente el gusano realiza copias de si mismo bajo extensión .EXE y con nombres de archivo al azar en las carpetas de inicio, con el fin de provocar la infección de esos sistemas al iniciar una nueva sesión.

Como ya hemos avanzado, “BugBear.B” cuenta con un módulo “keylogger” encargado de espiar y archivar todas las pulsaciones de teclado del sistema infectado. De esta forma quedaría recogida toda la información que el usuario escribe, incluido datos sensibles como contraseñas.

Para tener acceso a la información y control del sistema infectado, “BugBear.B” abre una puerta trasera en el puerto TCP/1080 que queda a la escucha de las ordenes remotas. Entre las acciones que pueden llevarse a cabo destacan:

– listado, copia y eliminación de archivos y directorios

– listado y finalización de procesos y aplicaciones en memoria

– descarga y ejecución arbitraria de archivos

– acceso a la información capturada por el “keylogger”

– abrir un servidor HTTP (TCP/80) para navegar por las unidades del sistema infectado de forma indiscriminada

– información diversa sobre el sistema y listado de recursos de la red local

Finalización de antivirus y firewalls personales

“BugBear.B” contiene una rutina que tiene como fin desactivar una serie de procesos y aplicaciones del sistema infectado, que corresponden a productos antivirus y firewalls personales, para evitar así que estas soluciones puedan “entorpecer” su misión. Según el siguiente listado:

ZONEALARM.EXE WFINDV32.EXE WEBSCANX.EXE VSSTAT.EXE

VSHWIN32.EXE VSECOMR.EXE VSCAN40.EXE VETTRAY.EXE

VET95.EXE TDS2-NT.EXE TDS2-98.EXE TCA.EXE

TBSCAN.EXE SWEEP95.EXE SPHINX.EXE SMC.EXE

SERV95.EXE SCRSCAN.EXE SCANPM.EXE SCAN95.EXE

SCAN32.EXE SAFEWEB.EXE RESCUE.EXE RAV7WIN.EXE

RAV7.EXE PERSFW.EXE PCFWALLICON.EXE PCCWIN98.EXE

PAVW.EXE PAVSCHED.EXE PAVCL.EXE PADMIN.EXE

OUTPOST.EXE NVC95.EXE NUPGRADE.EXE NORMIST.EXE

NMAIN.EXE NISUM.EXE NAVWNT.EXE NAVW32.EXE

NAVNT.EXE NAVLU32.EXE NAVAPW32.EXE N32SCANW.EXE

MPFTRAY.EXE MOOLIVE.EXE LUALL.EXE LOOKOUT.EXE

JEDI.EXE IOMON98.EXE IFACE.EXE ICSUPPNT.EXE

ICSUPP95.EXE ICMON.EXE ICLOADNT.EXE ICLOAD95.EXE

IBMAVSP.EXE IBMASN.EXE IAMSERV.EXE IAMAPP.EXE

FRW.EXE FPROT.EXE FP-WIN.EXE FINDVIRU.EXE

F-STOPW.EXE F-PROT95.EXE F-PROT.EXE F-AGNT95.EXE

ESPWATCH.EXE ESAFE.EXE ECENGINE.EXE DVP95_0.EXE

DVP95.EXE CLEANER3.EXE CLEANER.EXE CLAW95CF.EXE

CLAW95.EXE CFINET32.EXE CFINET.EXE CFIAUDIT.EXE

CFIADMIN.EXE BLACKICE.EXE BLACKD.EXE AVWUPD32.EXE

AVWIN95.EXE AVSCHED32.EXE AVPUPD.EXE AVPTC32.EXE

AVPM.EXE AVPDOS32.EXE AVPCC.EXE AVP32.EXE

AVP.EXE AVNT.EXE AVKSERV.EXE AVGCTRL.EXE

AVE32.EXE AVCONSOL.EXE AUTODOWN.EXE APVXDWIN.EXE

ANTI-TROJAN.EXE ACKWIN32.EXE _AVPM.EXE _AVPCC.EXE

_AVP32.EXE LOCKDOWN2000.EXE

Distribución por e-mail

Esta es sin duda la funcionalidad estrella a la que debe la alta propagación conseguida. Destaca la capacidad de recoger información de otros mensajes que se encuentran en el sistema infectado para confeccionar el e-mail que distribuye al gusano. Esto dota de un mayor realismo a los mensajes que envía el gusano, ya que suelen contar con asuntos y cuerpos reales, escritos en el lenguaje de la víctima, simulando ser una respuesta o un reenvío de un mensaje original.

Los destinatarios de los mensajes los recolecta de la bandeja de entrada del sistema infectado, y adicionalmente de archivos con extensión:

.mmf

.nch

.mbx

.eml

.tbb

.dbx

.ocs

El gusano cuenta con su propio motor SMTP, no necesitando contar con un cliente de correo determinado para propagarse. Los datos del servidor SMTP los recoge de la clave del registro de Windows:

HKEY_CURRENT_USERSOFTWAREMicrosoftInternet AccountManagerAccounts

Al igual que ocurre con el famoso “Klez”, el gusano falsea la dirección del remitente, lo que dificulta conocer y avisar a los sistemas que realmente están infectados y distribuyen el virus.

El nombre del archivo adjunto con el gusano lo selecciona de los archivos que encuentra en la carpeta del usuario, según la clave del registro de Windows

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShell Folders[usuario]

o de la carpeta Mis Documentos del sistema infectado que tenga alguna de las siguientes extensiones:

.reg .ini .bat .diz .txt .cpp .html .htm .jpeg

.jpg .gif .cpl .dll .vxd .sys .com .exe .bmp

Al nombre de archivo seleccionado le añade la segunda extensión real, que puede ser: .scr .pif .exe

Por lo que el archivo adjunto puede tener el siguiente aspecto:

nombrededocumento.DOC.PIF

archivografico.JPG.EXE

hojadecualquiercosa.XLS.SCR

Asuntos

Además puede crear y enviarse en mensajes nuevos, contando con una lista fija de posibles asuntos:

Hello!

update

hmm..

Payment notices

Just a reminder

Correction of errors

history screen

Announcement

various

Introduction

Interesting…

I need help about script!!!

Stats

Please Help…

Report

Membership Confirmation

Get a FREE gift!

Today Only

New Contests

Lost & Found

bad news

wow!

fantastic

click on this!

Market Update Report

empty account

My eBay ads

Cows

25 merchants and rising

CALL FOR INFORMATION!

new reading

Sponsors needed

SCAM alert!!!

Warning!

its easy

free shipping!

News

Daily Email Reminder

Tools For Your Online Business

New bonus in your cash account

Your Gift

Re:

$150 FREE Bonus!

Your News Alert

Hi!

Get 8 FREE issues – no risk!

Greets!

También cuenta con una lista fija de posibles nombres de archivo:

DATA

SONG

MUSIC

VIDEO

PHOTO

RESUME

PICS

IMAGES

IMAGE

NEWS

DOCS

CARD

SETUP

README

De forma aleatoria, el mensaje infectado puede incluir la explotación de la conocida vulnerabilidad “IFRAME/MIME”, también aprovechada por gusanos como “Klez”, que provocaría la ejecución automática del adjunto al visualizar el mensaje en aquellos sistemas no actualizados.

Más ingeniería social

“BugBear.B” evita enviarse a direcciones de correo que contengan alguna de las siguientes cadenas:

ZONEALARM.EXE WFINDV32.EXE WEBSCANX.EXE VSSTAT.EXE

VSHWIN32.EXE VSECOMR.EXE VSCAN40.EXE VETTRAY.EXE

VET95.EXE TDS2-NT.EXE TDS2-98.EXE TCA.EXE

TBSCAN.EXE SWEEP95.EXE SPHINX.EXE SMC.EXE

SERV95.EXE SCRSCAN.EXE SCANPM.EXE SCAN95.EXE

SCAN32.EXE SAFEWEB.EXE RESCUE.EXE RAV7WIN.EXE

RAV7.EXE PERSFW.EXE PCFWALLICON.EXE PCCWIN98.EXE

PAVW.EXE PAVSCHED.EXE PAVCL.EXE PADMIN.EXE

OUTPOST.EXE NVC95.EXE NUPGRADE.EXE NORMIST.EXE

NMAIN.EXE NISUM.EXE NAVWNT.EXE NAVW32.EXE

NAVNT.EXE NAVLU32.EXE NAVAPW32.EXE N32SCANW.EXE

MPFTRAY.EXE MOOLIVE.EXE LUALL.EXE LOOKOUT.EXE

JEDI.EXE IOMON98.EXE IFACE.EXE ICSUPPNT.EXE

ICSUPP95.EXE ICMON.EXE ICLOADNT.EXE ICLOAD95.EXE

IBMAVSP.EXE IBMASN.EXE IAMSERV.EXE IAMAPP.EXE

FRW.EXE FPROT.EXE FP-WIN.EXE FINDVIRU.EXE

F-STOPW.EXE F-PROT95.EXE F-PROT.EXE F-AGNT95.EXE

ESPWATCH.EXE ESAFE.EXE ECENGINE.EXE DVP95_0.EXE

DVP95.EXE CLEANER3.EXE CLEANER.EXE CLAW95CF.EXE

CLAW95.EXE CFINET32.EXE CFINET.EXE CFIAUDIT.EXE

CFIADMIN.EXE BLACKICE.EXE BLACKD.EXE AVWUPD32.EXE

AVWIN95.EXE AVSCHED32.EXE AVPUPD.EXE AVPTC32.EXE

AVPM.EXE AVPDOS32.EXE AVPCC.EXE AVP32.EXE

AVP.EXE AVNT.EXE AVKSERV.EXE AVGCTRL.EXE

AVE32.EXE AVCONSOL.EXE AUTODOWN.EXE APVXDWIN.EXE

ANTI-TROJAN.EXE ACKWIN32.EXE _AVPM.EXE _AVPCC.EXE

_AVP32.EXE LOCKDOWN2000.EXE

Efectos colaterales y otras curiosidades

Al igual que ocurre con otros gusanos que se distribuyen a través de las redes locales, “BugBear.B” no distingue entre los recursos compartidos las unidades de red y las impresoras, por lo que en ocasiones intentará copiarse a una impresora, provocando que ésta imprima “basura”.

El “keylogger”, preparado para el idioma inglés, no funciona de forma adecuada con el carácter tilde “´”, de forma que no permite poner el acento ortográfico en la vocal y lo duplica a continuación, por ejemplo “informa´´tica”.

“BugBear.B” cuenta con un listado interno de más de mil dominios pertenecientes a entidades bancarias. Cuando detecta que ha infectado un sistema cuya cuenta de dirección de correo electrónico pertenece a uno de estos dominios, activa la clave de auto-dialing en el registro de Windows:

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternetSettings

“EnableAutodial”=”0000001”

Soluciones

Como ya avanzamos en la anterior entrega de “una-al-día”, las medidas de prevención pasan por no abrir archivos adjuntos no solicitados, y en esta ocasión atendiendo especialmente a aquellos que nos lleguen con las extensiones .EXE, .PIF o .SCR, teniendo en cuenta el uso de la doble extensión por parte del gusano. Por su parte los administradores de servidores de correo también puede aplicar sencillos filtros para evitar este tipo de archivos adjuntos.

La inmensa mayoría de las casas antivirus ya cuentan con la actualización pertinente, por lo que los usuarios de estas soluciones deberán forzar la actualización a demanda de su producto para contar con la protección adecuada y poder desinfectar sus sistemas.

Además, las diferentes firmas antivirus han puesto a disposición de los usuarios de forma gratuita diversas utilidades específicas de detección y desinfección de “BugBear.B”. A continuación listamos algunas de las que tenemos conocimiento en este momento (en nuestra página web actualizaremos el listado con la información que nos hagan llegar al respecto las casas antivirus):

BitDefender http://www.bitdefender.com/descarga/evaluacion/Antibugbear-es.exe

Panda Software http://updates.pandasoftware.com/pq/gen/bugbearb/pqremove.com

Symantec http://securityresponse.symantec.com/avcenter/FixBugb.exe