- Bagle utilise des techniques de rootkit
- Bagle supprime les antivirus & firewall de l'ordinateur et empêche leur réinstallation.
- Bagle supprime la clef SafeBoot (il est impossible de redémarrer en mode sans échec).
Surtout ne pas utiliser msconfig pour redémarrer en mode sans échec, sinon Windows va redémarrer en boucle.
Si vous êtes dans ce cas, il faut utiliser la console de restauration et la commande boocfg /rebuild pour reconstruire le boot.ini
Bagle se propage par mail mais aussi via des cracks piégés sur emule (souvent des cracks pour des antivirus).
Il existe des milliers de cracks installant Bagle, encore une fois Arreter de télécharger des cracks!!!.
Les fix de symantec et autres antivirus visent des anciennes variantes d'il y a 3 ans.
Email-Worm.Win32.Bagle.hb/Email-Worm.Win32.Bagle.gz :
Les fichiers créés sont différents selon la variante :
C:\WINDOWS\system32\hldrrr.exe
C:\WINDOWS\system32\hldrrr.exe
c:\Documents and Settings\xxxx\Application Data\hidires\hidr.exe
c:\Documents and Settings\xxxxx\Application Data\hidires\m_hook.sys
ou c:\Documents and Settings\xxxxx\Application Data\hidires\rosa.sys
C:\WINDOWS\exefld\24578312.exe Infecté : Email-Worm.Win32.Bagle.gz ignoré
C:\WINDOWS\exefld\317062.exe Infecté : Email-Worm.Win32.Bagle.gz ignoré
C:\WINDOWS\exefld\324687.exe Infecté : Email-Worm.Win32.Bagle.hb ignoré
C:\WINDOWS\exefld\351687.exe Infecté : Email-Worm.Win32.Bagle.gz ignoré
C:\WINDOWS\exefld\363859.exe Infecté : Email-Worm.Win32.Bagle.gz ignoré
C:\WINDOWS\exefld\429546.exe Infecté : Email-Worm.Win32.Bagle.hb ignoré
C:\WINDOWS\exefld\470093.exe Infecté : Email-Worm.Win32.Bagle.hb ignoré
Variante Email-Worm.Win32.Bagle.iv / 14/08/2007 :
C:\WINDOWS\system32\hldrrr.exe
C:\WINDOWS\system32\trusted.exe
c:\WINDOWS\system32\drivers\pci32.sys
c:\WINDOWS\system32\drivers\hidr.exe
C:\WINDOWS\pss
Pour vous en débarrasser, vous pouvez suivre la procédure avec ELIBAGLA de cette page : http://www.malekal.com/W32.Beagle.KF_Trojan.Tooso.R.php
Vous pouvez ensuite, réinstaller un antivirus, nous vous recommandons d'abandonner Avast! pour Antivir.
Avast! est loin de ce que l'on a fait de mieux en matière de protection, voir ce lien pour plus d'informations : ftopic3123.php
Clairement, Antivir est beaucoup plus performant, c'est pourquoi, je te conseille TRES VIVEMENT de désinstaller Avast! et installer Antivir à la place : http://www.malekal.com/tutorial_antivir.php
La dernière variante affiche un message d'erreur lors du lancement de l'antivirus : "nomdufichierdelantivirus.exe n'est pas une application win32 valide" :
