Bagle.AG: Neue Wurm-Epidemie im Anrollen
Bei der Verbreitung per E-Mail steckt der Wurm-Code wie üblich im Anhang, der wechselnde Namen trägt und auf exe, scr, com, cpl oder zip endet. Im Falle einer Zip-Datei kann diese mit einem Kennwort geschützt sein, das in der E-Mail mit versendet wird. Mit einem entsprechenden englischsprachigen E-Mail-Text versucht der Wurm, die Nutzer zum Öffnen des Anhangs zu bringen, indem Multimediadaten versprochen werden. Sowohl Betreffzeile als auch Nachrichtentext bestehen aus wechselnden englischsprachigen Texten.
Wie üblich bei derartigen E-Mail-Würmern werden die E-Mails mit gefälschtem Absender verschickt, so dass dieser keinen Aufschluss über den Urheber gibt. Bagle.AG sammelt E-Mail-Adressen, indem zahlreiche lokale Dateien nach Adressen durchsucht werden, und versendet sich über eine eigene SMTP-Engine. Zudem öffnet der Schädling den TCP-Port 1080 sowie UDP 1040, worüber ein Angreifer ein infiziertes System als E-Mail-Versender für die Verbreitung von Spam missbrauchen kann.
Als weiteren Verbreitungsweg versucht sich der Wurm Peer-to-Peer-Netzwerke zu Nutze zu machen, indem er sich unter verschiedenen Dateinamen in Verzeichnisse ablegt, welche die Bezeichnung "shar" tragen. Wurde der Wurm aktiviert, trägt er sich so in die Registry ein, dass er bei jedem Windows-Neustart geladen wird. Außerdem beendet der Schädling laufende Virenscanner, Software-Firewalls oder andere Sicherheits-Software und löscht in einigen Fällen auch entsprechende Registry-Einträge.
Die Hersteller von Virenscannern bieten bereits aktualisierte Signaturdateien zur Erkennung von Bagle.AG an.