Virus Klez.F

La Peligrosidad varía según el Daño y la Propagación


Peligrosidad			Propagación			Daño

Estadísticas

Efectos:

Klez.F infecta y se activa, produciendo los siguientes efectos:

Destruye los ficheros con extensiones: BAK, C, CPP, DOC, HTM, HTML, JPG, MP3, MPG, PAS, TXT, WAB y XLS.
Para hacerlo, escribe (unos y ceros) encima del contenido de estos ficheros. Klez.F realiza esta acción el día 6 de los siguientes meses: marzo, mayo, septiembre y noviembre.

Introduce un virus, llamado Elkern.A, en el ordenador.
Borra ficheros de algunos programas antivirus.
Impide el correcto arranque del ordenador.
Para conseguirlo, deja inservibles algunos drivers VxDal modificar la entrada e32_restab (Offset of resident name table).

Metodo de infección:

Klez.F produce su infección automática, de varias formas:

Al visualizar el mensaje en el que llega a través de la Vista previa de Outlook. Para conseguirlo, se sirve de una vulnerabilidad de Internet Explorer (versiones 5.01 y 5.5).
Al abrir el mensaje en el que llega.
Al abrir o ejecutar el fichero que incluye en el mensaje.

El proceso de infección de Klez.F, sigue este patrón:

Klez.F crea los siguientes ficheros:

WINKXXXX.EXE, en el directorio de sistema de Windows. Los caracteres X, se fijan de forma aleatoria en el nombre del fichero, representando cualquier letra del abecedario.
WQK.EXE, en el directorio de sistema de Windows. Este fichero es el virus Elkern.A que Klez.F trae consigo. Dicho fichero presenta un tamaño de 12416 Bytes.
Adicionalmente, Klez.F crea otro fichero cuyo nombre tiene ocho caracteres alfanuméricos y aleatorios (XXXXXXXX.XXX).

Klez.F modifica la siguiente entrada del Registro de Windows:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Con ello, el gusano consigue ejecutarse cada vez que se arranque el ordenador.

Metodo de propagación:

Klez.F utiliza principalmente el correo electrónico para propagarse y actúa siguiendo estos pasos:

Llega oculto en mensajes muy distintos, aunque los asuntos que más frecuentes son: Don't drink too much,Your password, How are you, o A funny website.
Se activa al abrir el mensaje que lo contiene o simplemente al visualizarlo mediante la Vista previa de Outlook.
Para lograrlo, utiliza una vulnerabilidad de Internet Explorer (versiones 5.01 y 5.5). Microsoft ya ha puesto a disposición de sus usuarios la solución a este problema.

Se reenvía automáticamente a todos los contactos que encuentra en la Libreta de direcciones.

Posibles formatos del mensaje en los que llega Klez.F:

Fichero adjunto: presenta nombres muy diversos, pero siempre con alguna de estas extensiones: SCR, PIF, BAT o EXE.