Bagle est un virus qui se propage par email. Il se présente sous la forme d'un message dont le titre est "Hi" et qui comporte un fichier joint dont le nom est aléatoire, avec extension en .EXE et dont l'icône est celle de la calculatrice Windows. Si ce fichier joint est exécuté, la véritable calculatrice apparaît pour faire diversion, mais le virus s'envoie aux adresses présentes dans le carnet d'adresses Windows ainsi que divers autres fichiers, puis tente de se connecter à plusieurs sites web dont les adresses sont pré-programmées.

PRÉVENTION :
Les utilisateurs concernés doivent mettre à jour leur antivirus. D'une manière générale, même si son nom est attrayant il ne faut pas exécuter un fichier joint sans l'avoir au préalable analysé avec un antivirus à jour.

DÉSINFECTION :
Avant de commencer la désinfection, il est impératif de s'assurer avoir appliqué les mesures préventives ci-dessus afin d'empêcher toute réinfection de l'ordinateur par le virus. Les utilisateurs ne disposant pas d'un antivirus peuvent utiliser gratuitement l'utilitaire de désinfection FxBeagle pour rechercher et éliminer le virus.(produit par Secuser)

TYPE :
Ver

SYSTÈME(S) CONCERNÉ(S) :
Windows 95
Windows 98
Windows Me
Windows NT
Windows 2000
Windows XP
Windows 2003

ALIAS :
Bagle (F-Secure)
I-Worm.Bagle (Kaspersky)
W32/Bagle@MM (McAfee)
W32/Bagle-A (Sophos)
W32.Beagle.A@mm (Symantec)
WORM_BAGLE.A (Trend Micro)

TAILLE :
15.872 octets

DÉCOUVERTE :
18/01/2004

DESCRIPTION DÉTAILLÉE :
Le virus Bagle se propage par email. Il se présente sous la forme d'un message dont le titre est "Hi" et le corps est :

"Test =)
[caractères aléatoires]
--
Test, yep."

Le fichier joint possède un nom aléatoire avec une extension en .EXE et son icône est souvent celle de la calculatrice Windows. Quelques exemples :

sgc.exe
dxjaiiowd.exe
lwuhus.exe
thkxqdbi.exe
Si ce fichier est exécuté, le virus se copie dans le répertoire System sous le nom BBEAGLE.EXE, lance la véritable calculatrice pour faire diversion, modifie la base de registres pour être exécuté à chaque démarrage de l'ordinateur, puis s'envoie aux contacts dont les adresses figurent dans le carnet d'adresses Windows ainsi que les fichiers .HTM, .HTML et .TXT présents sur le disque dur (exceptées les adresses en @hotmail.com, @msn.com, @microsoft et @avp) avec une adresse d'expéditeur falsifiée. Cette adresse correspond le plus souvent à l'adresse d'un utilisateur réel, qui n'est en rien responsable de l'envoi du virus, afin qu'il soit impossible de prévenir la personne réellement infectée par Bagle.

Bagle ouvre également le port TCP 6777 de l'ordinateur, puis tente de se connecter à plusieurs sites web. Il est conçu pour ne plus s'activer lorsque la date du système est égale ou supérieure au 28/01/04, et ne devrait donc plus se propager de manière massive à partir de cette date.

SOURCE : SECUSER.COM