Klez.F
PeligrosidadDañoPropagación

Efectos 

• Destruye los ficheros con extensiones: BAK, C, CPP, DOC, HTM, HTML, JPG, MP3, MPG, PAS, TXT, WAB y XLS.

  Para hacerlo, escribe (unos y ceros) encima del contenido de estos ficheros. Klez.F realiza esta acción el día 6 de los siguientes meses: marzo, mayo, septiembre y noviembre.

• Introduce un virus, llamado Elkern.A, en el ordenador.
• Borra ficheros de algunos programas antivirus.
• Impide el correcto arranque del ordenador.

  Para conseguirlo, deja inservibles algunos drivers VxDal modificar la entrada e32_restab (Offset of resident name table).

Metodo de Infección 

Klez.F produce su infección automática, de varias formas:

• Al visualizar el mensaje en el que llega a través de la Vista previa de Outlook. Para conseguirlo, se sirve de una vulnerabilidad de Internet Explorer (versiones 5.01 y 5.5).
• Al abrir el mensaje en el que llega.
• Al abrir o ejecutar el fichero que incluye en el mensaje.

El proceso de infección de Klez.F, sigue este patrón:

Klez.F crea los siguientes ficheros:

• WINKXXXX.EXE, en el directorio de sistema de Windows. Los caracteres X, se fijan de forma aleatoria en el nombre del fichero, representando cualquier letra del abecedario.
• WQK.EXE, en el directorio de sistema de Windows. Este fichero es el virus Elkern.A que Klez.F trae consigo. Dicho fichero presenta un tamaño de 12416 Bytes.
• Adicionalmente, Klez.F crea otro fichero cuyo nombre tiene ocho caracteres alfanuméricos y aleatorios (XXXXXXXX.XXX).

Klez.F modifica la siguiente entrada del Registro de Windows:

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

  Con ello, el gusano consigue ejecutarse cada vez que se arranque el ordenador.

Método de Propagación 

Klez.F utiliza principalmente el correo electrónico para propagarse y actúa siguiendo estos pasos:

• Llega oculto en mensajes muy distintos, aunque los asuntos que más frecuentes son: Don't drink too much,Your password, How are you, o A funny website.
• Se activa al abrir el mensaje que lo contiene o simplemente al visualizarlo mediante la Vista previa de Outlook.

  Para lograrlo, utiliza una vulnerabilidad de Internet Explorer (versiones 5.01 y 5.5). Microsoft ya ha puesto a disposición de sus usuarios la solución a este problema.

• Se reenvía automáticamente a todos los contactos que encuentra en la Libreta de direcciones.

Posibles formatos del mensaje en los que llega Klez.F:

• Asuntos más habituales:

  Don't drink too much
  Hello,   , questionaire
  Your password
  How are you
  Japanese lass' sexy pictures
  Hi,   , congratulations
  Welcome to my hometown
  A funny website

• Fichero adjunto: presenta nombres muy diversos, pero siempre con alguna de estas extensiones: SCR, PIF, BAT o EXE.