| Bagle.DJ. Troyano que deshabilita antivirus
Nombre: Bagle.DJ
Nombre NOD32: Win32/Bagle.DJ
Tipo: Gusano de Internet
Alias: Bagle.DJ, BehavesLike:Win32.ExplorerHijack, Email-Worm.Bagle.22, Email-Worm.Win32.Bagle.EE, Email-Worm.Win32.Bagle.ej, I-Worm/Bagle.IB, Trj/Mitglieder.FM, W32/Bagle.gen, W32/KillAV.CG!tr, W32/KillAV.CG@troj, W32/LodAV-tr, W32/Malware, Win32.HLLM.Beagle.38912, Win32/Bagle.DJ
Fecha: 2/nov/05
Plataforma: Windows 32-bit
Tamaño: 19,008 bytes
Puerto: TCP 80
Caballo de Troya descargado por variantes del Bagle, que intenta desactivar diversos productos antivirus y cortafuegos.
Fue detectado el 2 de noviembre de 2005 por la heurística avanzada de NOD32 sin necesidad de actualización de firmas.
Cuando se ejecuta, crea los siguientes archivos en la carpeta System de Windows:
c:\windows\system32\antiav_exe.exe
c:\windows\system32\antiav_dll.dll
El archivo .DLL es inyectado en el proceso de EXPLORER.EXE (la interfase del propio Windows).
NOTA: "c:\windows\system32" puede variar de acuerdo al sistema operativo instalado (con ese nombre por defecto en Windows XP y Windows Server 2003, como "c:\winnt\system32" en Windows NT y 2000 y "c:\windows\system" en Windows 9x y ME).
Crea las siguientes entradas en el registro, para autoejecutarse en cada reinicio de Windows:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
auto__antiav__key = "c:\windows\system32\antiav_exe.exe"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
auto__antiav__key = "c:\windows\system32\antiav_exe.exe"
Usando el DLL inyectado en el proceso EXPLORER.EXE, el gusano intenta conectarse a diversos sitios de Internet, a través del puerto TCP 80 para descargar otros archivos.
El troyano, intenta desactivar los procesos relacionados con los siguientes nombres de archivos, todos ellos relacionados con programas de seguridad (antivirus y cortafuegos):
ashAvast.exe
ashDisp.exe
ashEnhcd.exe
ashPopWz.exe
ashShA64.dll
ashSimpl.exe
ashSkPck.exe
ashWebSv.exe
AUPDATE.EXE
Avconsol.exe
avgcc.exe
AVGCMSG.DLL
avgemc.exe
AVGNT.EXE
AVSCHED32.DLL
AVSCHED32.EXE
Avsynmgr.exe
AVWUPD32.EXE
BCGCB59.dll
bdmcon.exe
bdnews.exe
bdsubmit.exe
bdswitch.exe
cafix.exe
ccApp.exe
CCEVTMGR.EXE
ccl30.dll
CCSETMGR.EXE
ccvrtrst.dll
ClamTray.exe
ClamWin.exe
CMGrdian.exe
D2htls32.dll
drwadins.exe
drweb32w.exe
drwebscd.exe
drwebupw.exe
FFJMPWEB.DLL
freshclam.exe
GUARDEVT.DLL
GUARDGUI.EXE
GUARDMSG.DLL
GuardNT.exe
IksysT32.dll
INETUPD.EXE
InocIT.exe
InoOEM.dll
InoOption.dll
InoUpTNG.exe
isafe.exe
KAV.exe
kavmm.exe
KAVPF.exe
LUALL.EXE
LUINSDLL.DLL
Luupdate.exe
Mcshield.exe
NAVAPSVC.EXE
nod32.exe
nod32api.dll
nod32kui.exe
NPFMNTOR.EXE
npfmsg.exe
Nvccf0D.dll
Nvcevlog.dll
Nvcod.exe
Nvcte.exe
Nvcut.exe
OCONNDLG.DLL
OCOOKDLG.DLL
outpost.exe
pccguide.exe
PcCtlCom.exe
python23.dll
QHPF.EXE
Realmon.exe
regedit.exe
regedt32.exe
RuLaunch.exe
schface.dll
SNDSrvc.exe
SPBBCSvc.exe
spiderml.exe
symlcsvc.exe
T2w32.dll
Tmntsrv.exe
TmPfw.exe
tmproxy.exe
Up2Date.exe
upgrepl.exe
Vba32ECM.exe
Vba32ifs.exe
vba32ldr.exe
Vba32PP3.exe
vbaifps.dll
vetredir.dll
Vshwin32.exe
VsStat.exe
vsvault.dll
XT1922.dll
zatutor.exe
zlavscan.dll
zlclient.exe
zonealarm.exe
Finaliza los siguientes servicios:
Ahnlab task Scheduler
alerter
AlertManger
AntiVir Service
aswUpdSv
Ati HotKey Poller
avast! Antivirus
AVEService
AVExch32Service
avg7alrt
avg7updsvc
AvgCore
AvgFsh
AvgServ
AVIRAMailService
AVIRAService
avpcc
AVUPDService
AVWUpSrv
AvxIni
awhost32
backweb client - 4476822
BackWeb Client - 7681197
backweb client-4476822
bdss
BlackICE
CAISafe
ccEvtMgr
ccPwdSvc
ccSetMgr
ccSetMgr.exe
DefWatch
dvpapi
dvpinit
fsbwsys
fsdfwd
F-Secure Gatekeeper Handler Starter
FSMA
Guard NT
InoRpc
InoRT
InoTask
KAVMonitorService
kavsvc
KLBLMain
McAfee Firewall
McAfeeFramework
McShield
McTaskManager
mcupdmgr.exe
MCVSRte
MonSvcNT
navapsvc
Network Associates Log Service
nipsvc
NISSERV
NISUM
NOD32ControlCenter
NOD32Service
Norman NJeeves
Norman Type-R
Norman ZANDA
Norton Antivirus Server
NPFMntor
NProtectService
NSCTOP
nvcoas
NVCScheduler
nwclntc
nwclntd
nwclnte
nwclntf
nwclntg
nwclnth
NWService
Outbreak Manager
Outpost Firewall
OutpostFirewall
PASSRV
PAVFNSVR
Pavkre
PavProt
PavPrSrv
PAVSRV
PCCPFW
PersFW
PREVSRV
PSIMSVC
ravmon8
SAVFMSE
SAVScan
SBService
schscnt
SharedAccess
SmcService
SNDSrvc
SPBBCSvc
SpiderNT
SweepNet
SWEEPSRV.SYS
Symantec AntiVirus Client
Symantec Core LC
Tmntsrv
V3MonNT
V3MonSvc
Vba32ECM
Vba32ifs
Vba32Ldr
Vba32PP3
VexiraAntivirus
VisNetic AntiVirus Plug-in
vsmon
vsserv
wscsvc
wuauserv
WZCSVC
xcomm
Intenta borrar todos los archivos del equipo infectado, cuyo nombre incluya algunas de las siguientes cadenas:
\1ashAvast.exe
\1ashDisp.exe
\1ashEnhcd.exe
\1ashPopWz.exe
\1ashShA64.dll
\1ashSimpl.exe
\1ashSkPck.exe
\1ashWebSv.exe
\1AUPDATE.EXE
\1Avconsol.exe
\1avgcc.exe
\1AVGCMSG.DLL
\1avgemc.exe
\1AVGNT.EXE
\1AVSCHED32.DLL
\1AVSCHED32.EXE
\1Avsynmgr.exe
\1AVWUPD32.EXE
\1BCGCB59.dll
\1bdmcon.exe
\1bdnews.exe
\1bdsubmit.exe
\1bdswitch.exe
\1cafix.exe
\1ccApp.exe
\1CCEVTMGR.EXE
\1ccl30.dll
\1CCSETMGR.EXE
\1ccvrtrst.dll
\1ClamTray.exe
\1ClamWin.exe
\1CMGrdian.exe
\1D2htls32.dll
\1drwadins.exe
\1drweb32w.exe
\1drwebscd.exe
\1drwebupw.exe
\1FFJMPWEB.DLL
\1freshclam.exe
\1GUARDEVT.DLL
\1GUARDGUI.EXE
\1GUARDMSG.DLL
\1GuardNT.exe
\1IksysT32.dll
\1INETUPD.EXE
\1InocIT.exe
\1InoOEM.dll
\1InoOption.dll
\1InoUpTNG.exe
\1isafe.exe
\1KAV.exe
\1kavmm.exe
\1KAVPF.exe
\1LUALL.EXE
\1LUINSDLL.D\1Luupdate.exe
\1Mcshield.exe
\1NAVAPSVC.EXE
\1nod32.exe
\1nod32api.dll
\1nod32kui.exe
\1NPFMNTOR.EXE
\1npfmsg.exe
\1Nvccf0D.dll
\1Nvcevlog.dll
\1Nvcod.exe
\1Nvcte.exe
\1Nvcut.exe
\1OCONNDLG.DLL
\1OCOOKDLG.DLL
\1outpost.exe
\1pccguide.exe
\1PcCtlCom.exe
\1python23.dll
\1QHPF.EXE
\1Realmon.exe
\1regedit.exe
\1regedt32.exe
\1RuLaunch.exe
\1schface.dll
\ashAvast.exe
\ashDisp.exe
\ashDisp.exe
\ashEnhcd.exe
\ashPopWz.exe
\ashShA64.dll
\ashSimpl.exe
\ashSkPck.exe
\ashWebSv.exe
\AUPDATE.EXE
\Avconsol.exe
\avgcc.exe
\AVGCMSG.DLL
\avgemc.exe
\AVGNT.EXE
\AVSCHED32.DLL
\AVSCHED32.EXE
\Avsynmgr.exe
\AVWUPD32.EXE
\BCGCB59.dll
\bdmcon.exe
\bdnews.exe
\bdsubmit.exe
\bdswitch.exe
\cafix.exe
\ccApp.exe
\CCEVTMGR.EXE
\ccl30.dll
\CCSETMGR.EXE
\ccvrtrst.dll
\ClamTray.exe
\ClamWin.exe
\CMGrdian.exe
\D2htls32.dll
\drwadins.exe
\drweb32w.exe
\drwebscd.exe
\drwebupw.exe
\FFJMPWEB.DLL
\freshclam.exe
\GUARDEVT.DLL
\GUARDGUI.EXE
\GUARDMSG.DLL
\GuardNT.exe
\IksysT32.dll
\INETUPD.EXE
\InocIT.exe
\InoOEM.dll
\InoOption.dll
\InoUpTNG.exe
\isafe.exe
\KAV.exe
\kavmm.exe
\KAVPF.exe
\LUALL.EXE
\LUINSDLL.DLL
\Luupdate.exe
\Mcshield.exe
\NAVAPSVC.EXE
\nod32.exe
\nod32api.dll
\nod32kui.exe
\NPFMNTOR.EXE
\npfmsg.exe
\Nvccf0D.dll
\Nvcevlog.dll
\Nvcod.exe
\Nvcte.exe
\Nvcut.exe
\OCONNDLG.DLL
\OCOOKDLG.DLL
\outpost.exe
\pccguide.exe
\PcCtlCom.exe
\python23.dll
\QHPF.EXE
\Realmon.exe
\regedit.exe
\regedt32.exe
\RuLaunch.exe
\S1NDSrvc.exe
\s1ymlcsvc.exe
\schface.dll
\SNDSrvc.exe
\SPBBCSvc.exe
\spiderml.exe
\symlcsvc.exe
\T12w32.dll
\T1mntsrv.exe
\T2w32.dll
\Tm1Pfw.exe
\tm1proxy.exe
\Tmntsrv.exe
\TmPfw.exe
\tmproxy.exe
\U1p2Date.exe
\u1pgrepl.exe
\Up2Date.exe
\upgrepl.exe
\V1ba32ECM.exe
\V1ba32ifs.exe
\v1ba32ldr.exe
\V1ba32PP3.exe
\v1etredir.dll
\vb1aifps.dll
\Vba32ECM.exe
\Vba32ifs.exe
\vba32ldr.exe
\Vba32PP3.exe
\vbaifps.dll
\vetredir.dll
\Vs1hwin32.exe
\Vs1Stat.exe
\vs1vault.dll
\Vshwin32.exe
\VsStat.exe
\vsvault.dll
\XT11922.dll
\XT1922.dll
\za1tutor.exe
\zatutor.exe
\zl1client.exe
\zla1vscan.dll
\zlavscan.dll
\zlclient.exe
\zo1nealarm.exe
\zonealarm.exe
También borra las siguientes entradas del registro:
De la siguiente rama:
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Si existe, borra esta entrada:
McAfee.InstantUpdate.Monitor
De la siguiente rama:
HKLM\SOFTWARE
Si existen, borra estas entradas:
Agnitum
KasperskyLab
McAfee
Panda Software
Symantec
Trend Micro
Zone Labs
De la siguiente rama:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Si existen, borra estas entradas:
APVXDWIN
avg7_cc
avg7_emc
ccApp
KAV50
McAfee Guardian
NAV CfgWiz
SSC_UserPrompt
Symantec NetDriver Monitor
Zone Labs Client
Además, impide el acceso a las siguientes direcciones, intentando impedir que los productos antivirus puedan actualizarse:
193 .69 .114 .12
212 .113 .20 .69
213 .219 .245 .4
213 .248 .60 .121
216 .200 .68 .152
62 .146 .66 .181
63 .210 .193 .12
84 .53 .142 .22
84 .53 .142 .6
ad .doubleclick .net
ad .fastclick .net
ads .fastclick .net
antivir .de
anti-virus .by
ar .atwola .com
atdmt .com
avast .com
avira .com
avp .ch
avp .com
avp .ru
awaps .net
banner .fastclick .net
banners .fastclick .net
bitdefender .com
bitdefender .ru
ca .com
clamav .net
clamwin .com
click .atdmt .com
clicks .atdmt .com
customer .symantec .com
database .clamav .net
dispatch .mcafee .com
download .ikarus .at
download .mcafee .com
download .microsoft .com
download25 .avast .com
downloadhosting .core .ignum .cz
downloads .avira .com
downloads .microsoft .com
downloads1 .kaspersky-labs .com
downloads2 .kaspersky-labs .com
downloads3 .kaspersky-labs .com
downloads4 .kaspersky-labs .com
downloads-eu1 .kaspersky-labs .com
downloads-us1 .kaspersky-labs .com
downloads-us2 .kaspersky-labs .com
downloads-us3 .kaspersky-labs .com
drweb .com
drweb .ru
engine .awaps .net
esetsoftware .com
fastclick .net
files .referats .net
f-secure .com
ftp .avp .ch
ftp .downloads2 .kaspersky-labs .com
ftp .f-secure .com
ftp .kasperskylab .ru
ftp .sophos .com
ftpav .ca .com
gin .ba .euroweb .sk
go .microsoft .com
grisoft .com
hbedv .com
ids .kaspersky-labs .com
ikarus-software .at
kaspersky .com
kaspersky .ru
kaspersky-labs .com
liveupdate .symantec .com
liveupdate .symantecliveupdate .com
mast .mcafee .com
mcafee .com
media .fastclick .net
msdn .microsoft .com
msk4 .drweb .com
my-etrust .com
my-etrust .com
nai .com
networkassociates .com
niutwo .norman .no
office .microsoft .com
open .by
pandasoftware .com
phx .corporate-ir .net
rads .mcafee .com
ravantivirus .com
report .bitdefender .com
rs02 .avast .com
rs03 .avast .com
rs06 .avast .com
rs07 .avast .com
rs08 .avast .com
rs10 .avast .com
rs11 .avast .com
rs18 .avast .com
rs18 .avast .com
rs20 .avast .com
rs24 .avast .com
secure .nai .com
securityresponse .symantec .com
service1 .symantec .com
sm01 .avast .com
sm04 .avast .com
sm05 .avast .com
sm09 .avast .com
sm12 .avast .com
sm13 .avast .com
sm14 .avast .com
sm15 .avast .com
sm16 .avast .com
sm17 .avast .com
sm19 .avast .com
sm21 .avast .com
sm22 .avast .com
sm23 .avast .com
sm25 .avast .com
sophos .com
spd .atdmt .com
support .microsoft .com
symantec .com
trendmicro .com
update .symantec .com
updates .symantec .com
updates1 .kaspersky-labs .com
updates2 .kaspersky-labs .com
updates3 .kaspersky-labs .com
updates4 .kaspersky-labs .com
updates5 .kaspersky-labs .com
upgrade .bitdefender .com
us .mcafee .com
vba32 .de
vil .nai .com
viruslist .com
viruslist .ru
windowsupdate .microsoft .com
www .antivir .de
www .anti-virus .by
www .avast .com
www .avira .com
www .avp .ch
www .avp .com
www .avp .ru
www .awaps .net
www .bitdefender .com
www .bitdefender .ru
www .ca .com
www .clamav .net
www .clamwin .com
www .drweb .com
www .fastclick .net
www .f-secure .com
www .grisoft .com
www .hacksoft .com .pe
www .hbedv .com
www .kaspersky .com
www .kaspersky .ru
www .kaspersky-labs .com
www .mcafee .com
www .my-etrust .com
www .nai .com
www .networkassociates .com
www .open .by
www .pandasoftware .com
www .ravantivirus .com
www .sophos .com
www .symantec .com
www .trendmicro .com
www .vba32 .de
www .viruslist .com
www .viruslist .ru
www2 .eset .com
www3 .ca .com
zak .avira .com
Reparación manual
NOTA: Tenga en cuenta que de acuerdo a las acciones realizadas por el atacante remoto, pueden aplicarse cambios en el sistema no contemplados en esta descripción genérica.
Sobre el componente troyano
Nota: Recomendamos utilizar un programa tipo firewall (cortafuego) como el ZoneAlarm, el cuál detendrá y advertirá la conexión de este y cualquier otro troyano con Internet, así como cualquier intento de acceder a nuestro sistema.
ZoneAlarm (gratuito para su uso personal), además de ser un excelente cortafuegos, también impide la ejecución de cualquier adjunto con posibilidades de poseer virus (sin necesidad de tener que actualizarlo con cada nueva versión de un virus).
Antivirus
Actualice sus antivirus con las últimas definiciones, luego siga estos pasos:
1. Reinicie Windows en modo a prueba de fallos, como se indica en este artículo:
Cómo iniciar su computadora en Modo a prueba de fallos.
Iniciar en modo prueba de fallos
2. Ejecute sus antivirus en modo escaneo, revisando todos sus discos duros.
3. IMPORTANTE: Tome nota del nombre de todos los archivos detectados como infectados.
4. Borre todos los archivos detectados como infectados.
Borrar manualmente archivos agregados por el virus
Desde el Explorador de Windows, localice y borre los archivos detectados en el punto 3 del ítem "Antivirus".
Haga clic con el botón derecho sobre el icono de la "Papelera de reciclaje" en el escritorio, y seleccione "Vaciar la papelera de reciclaje".
Editar el registro
Nota: algunas de las ramas en el registro aquí mencionadas, pueden no estar presentes ya que ello depende de que versión de Windows se tenga instalada.
1. Ejecute el editor de registro: Inicio, ejecutar, escriba REGEDIT y pulse ENTER
2. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_CURRENT_USER
\Software
\Microsoft
\Windows
\CurrentVersion
\Run
3. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
4. En el panel izquierdo del editor, haga clic en el signo "+" hasta abrir la siguiente rama:
HKEY_LOCAL_MACHINE
\SOFTWARE
\Microsoft
\Windows
\CurrentVersion
\Run
5. Haga clic en la carpeta "Run" y en el panel de la derecha, bajo la columna "Datos", busque y borre toda entrada que haga referencia a los archivos detectados en el punto 3 del ítem "Antivirus".
6. Use "Registro", "Salir" para salir del editor y confirmar los cambios.
7. Reinicie su computadora (Inicio, Apagar el sistema, Reiniciar).
Restaurar archivo HOSTS
1. Utilizando el Explorador de Windows, busque el archivo HOSTS (sin extensión), en alguna de las siguientes carpetas:
c:\windows\
c:\windows\system32\drivers\etc\
c:\winnt\system32\drivers\etc\
2. Si aparece, haga doble clic sobre dicho archivo (HOSTS). Seleccione "Seleccionar el programa de una lista", "Aceptar", y luego seleccione NOTEPAD (Bloc de notas). NO MARQUE "Utilizar siempre el programa seleccionado para abrir este tipo de archivos".
3. Borre todas las líneas que comiencen con un número, salvo las siguientes:
127.0.0.1 localhost
4. Acepte guardar los cambios al salir del bloc de notas.
5. Si utiliza algún programa anti-spyware o anti-adware que modifique el archivo HOSTS para protegerlo de ciertos parásitos, vuelva a ejecutar ese programa para actualizar el archivo HOSTS con dicha información.
Información adicional
Activar el cortafuegos de Windows XP (Internet Conexión Firewall, ICF)
Para activar ICF en Windows XP, siga estos pasos:
1. Seleccione Inicio, Panel de Control, Conexiones de Red (o Conexiones de Red e Internet, Conexiones de Red).
2. Haga clic con el botón derecho sobre las distintas conexiones disponibles para conectarse a Internet, y en "Conexión de Red de Area Local" y seleccione Propiedades en cada una de ellas.
3. En la lengüeta "Avanzadas" tilde la opción "Proteger mi equipo y mi red limitando o impidiendo el acceso a él desde Internet" en todos los casos.
4. Seleccione Aceptar, etc.
Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y además visualizar aquellos con atributos de "Oculto", proceda así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú 'Ver' (Windows 95/98/NT) o el menú 'Herramientas' (Windows Me/2000/XP), y pinche en 'Opciones' u 'Opciones de carpetas'.
3. Seleccione la lengüeta 'Ver'.
4. DESMARQUE la opción "Ocultar extensiones para los tipos de archivos conocidos" o similar.
5. En Windows 95/NT, MARQUE la opción "Mostrar todos los archivos y carpetas ocultos" o similar.
En Windows 98, bajo 'Archivos ocultos', MARQUE 'Mostrar todos los archivos'.
En Windows Me/2000/XP, en 'Archivos y carpetas ocultos', MARQUE 'Mostrar todos los archivos y carpetas ocultos' y DESMARQUE 'Ocultar archivos protegidos del sistema operativo'.
6. Pinche en 'Aplicar' y en 'Aceptar'.
Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP, para poder eliminar correctamente este virus de su computadora, deberá deshabilitar antes de cualquier acción, la herramienta "Restaurar sistema" como se indica en estos artículos:
Limpieza de virus en Windows Me
Limpieza de virus en Windows XP
(c) Video Soft
(c) VSAntivirus | 
