«Лаборатория Касперского» сообщила об обнаружении новой опасной модификаций известного сетевого червя I-Worm.Bagle — I-Worm.Bagle.ay. В настоящее время антивирусные эксперты «Лаборатории Касперского» фиксируют массовое распространение вредоносной программы, что вынуждает их заявить о новой вирусной эпидемии в Сети.
Bagle.ay распространяется через электронную почту в виде вложений в электронные письма. Червь представляет собой исполняемый в среде Windows файл размером 19 Кб, приложенный к письму с одним из предустановленных заголовков: Delivery service mail, Delivery by mail, Registration is accepted, Is delivered mail, You are made active. При этом текст письма также имеет два варианта исполнения: Thanks for use of our software и Before use read the help, равно как и наименование приложенного файла, выбираемого произвольным образом из следующих: wsd01, viupd02, siupd02, guupd02, zupd02, upd02, Jol03.
Активизация червя производится по инициативе пользователя, открывшего приложение к письму и тем самым запустившего зараженный файл. После запуска червь копирует себя в системный каталог Windows и регистрирует себя в ключе автозапуска системного реестра. При этом вредоносная программа прерывает процессы, осуществляющие персональную защиту компьютера и локальных подсетей, оставляя атакованный компьютер незащищенным.
Для размножения Bagle.ay использует процедуру, стандартную для данного вида вредоносных программ, но при этом имеющую ряд особенностей. Он сканирует файловую систему пораженного компьютера и рассылает себя по всем найденным адресам электронной почты, за исключением адресов, принадлежащих крупным разработчикам антивирусного и прочих видов программного обеспечения. Этим объясняется малое количество образцов червя, получаемое антивирусными компаниями. Для отправления зараженных писем червь использует прямое взаимодействие с SMTP-сервером.
Помимо этого, для увеличения интенсивности распространения Bagle.ay осуществляет поиск каталогов, содержащих строку «shar». Если такие каталоги найдены, то в них червь выкладывает свое тело в файлы с названиями, схожими с наименованиями популярных приложений и утилит. Таким образом, количество каналов распространения вредоносного кода увеличивается за счет использования разделяемых ресурсов и P2P-сетей.
Процедуры защиты от I-Worm.Bagle.ay уже добавлены в базу данных Антивируса Касперского.