Klys
PeligrosidadDañoPropagación

Efectos 

Klys realiza las siguientes acciones:

• Impide el acceso a los recursos compartidos de la red, ya que descomparte la gran mayoría de ellos, entre los cuales se encuentran admin$ y print$, con lo que las aplicaciones que dependan de tales recursos dejarán de funcionar.
• Abre varios puertos, permitiendo el acceso remoto al ordenador afectado, de modo que puede realizar en el mismo acciones que comprometan la confidencialidad del usuario o dificulten su trabajo.
• Introduce el gusano Cult.
• Permanece residente en memoria.

Metodo de Infección 

Klys crea los siguientes archivos en la subcarpeta \SYS DATA\SYS FOLDERS del directorio de sistema de Windows:

• KLSYS.EXE, que es una copia del gusano. Se trata de un cliente de IRC que se ejecuta de manera oculta. Se utiliza para propagarse a través del IRC, empleando NEXE.CPL como archivo de configuración.
• CLS.BAT. Este archivo es utilizado para descompartir la gran mayoría de los recursos compartidos, entre ellos admin$ y print$.
• TSYSL.BAT, que trata de conectarse a otra máquina compartida, empleando para ello varias combinaciones típicas de nombre de usuario y contraseña. Si lo consigue, envía una copia de sí mismo y se ejecuta en ella.
• PLUG.DLL. Este archivo es un script de IRC, empleado para propagarse. Este archivo se encarga de ejecutar los archivos CLS.BAT y TSYSL.BAT.
• NEXE.CPL, que es un script de configuración del cliente de IRC. Se encarga de agregar el archivo PLUG.DLL.

• WINSE.EXE y PSC32.EXE. Estos archivos son aplicaciones empleadas por el gusano.
• RANO.EXE, que pertenece al gusano Cult.

Klys crea las siguientes entradas en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
  Arnko = “%sysdir%\ sys data\ sys folders\ klsys.exe”
  Mediante esta entrada, Klys consigue ejecutarse cada vez que Windows se inicia.
• HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ mIRC
  UninstallString = “%sysdir%\ sys data\ sys folders\ klsys.exe” -uninstall
  donde %sysdir% es el directorio de sistema de Windows.
  Mediante esta entrada, Klys muestra el icono de desinstalación del mismo, pero si se trata de desinstalar, en realidad, éste se ejecuta a sí mismo.

Método de Propagación 

Klys se propaga a través de los canales de IRC y de las unidades de red compartidas.

1.- Propagación a través de los canales de IRC.

Klys realiza el siguiente proceso:

• Espera a que el usuario del ordenador afectado se conecte a uno de estos canales.
• Cuando lo hace, envía una copia del archivo KLSYS.EXE a todos los usuarios que se encuentren en el mismo canal que el usuario del ordenador afectado.
• Si esos otros usuarios ejecutan el archivo, quedarán afectados.

2- Propagación a través de unidades de red compartidas.

Klys realiza el siguiente proceso:

• Trata de conectarse a otra unidad de red compartida conectada al ordenador afectado, empleando para ello varias combinaciones típicas de usuario y contraseña:
  admin, 12345
  admin, admin
  administartor, secret
  administrator, [vacío]
  administrator, 123
  administrator, 12345
  administrator, 12345
  administrator, 123456
  administrator, 54321
  administrator, 654321
  administrator, a
  administrator, a bc
  administrator, abc123
  administrator, admin
  administrator, admin123
  administrator, Administrator
  administrator, asdf
  administrator, changeme
  administrator, pass
  administrator, password
  administrator, password123
  administrator, qwerty
  administrator, qwertyuiop
  administrator, red123
  administrator, temp
  administrator, temp123
  administrator, test
  administrator, test123
  administrator, xxyyzz
  root, root
  student, student
  teacher, teacher
  test, test
  user, [vacío]
  user, user
• Si consigue conectarse, envía una copia de sí mismo y se ejecuta en la máquina remota.

Otros Detalles  

Klys tiene un tamaño de 734368 Bytes.