Descripción breve: W32/Klez.F es un gusano preparado para distribuirse por correo electrónico. Inicialmente el gusano se recibe como fichero adjunto a un mensaje que cuyas características pueden variar.
Las acciones que realiza este gusano consisten en modificar algunos controladores
del sistema, lo cual podría impedir el correcto arranque del ordenador
afectado. Por otra parte, sobreescribe ficheros ejecutables, quedando éstos
inservibles.
Entre los posibles asuntos del mensaje podrían encontrarse los siguientes:
Fichero adjunto: Su nombre puede ser variable y podrá tener una
de las siguientes extensiones: SCR,
PIF, BAT
y EXE.
El día 6 de los meses de marzo, mayo, septiembre y noviembre, el gusano sobrescribe con unos y ceros el contenido de los ficheros con las siguientes extensiones: BAK, C, CPP, DOC, HTM, HTML, JPG, MP3, MPG, MPEG, PAS, TXT, WAB y XLS.
Por otra parte, el día 6 de los meses de enero y julio, el gusano
sobreescribe con unos y ceros el contenido de todos los ficheros que se
encuentren en el ordenador.
Por otra parte, el nombre del fichero que copia en el directorio Temporal está compuesto de 8 caracteres alfanuméricos generados de forma aleatoria. De igual forma, crea en el directorio del sistema un fichero con un tamaño de 12.416 Bytes denominado WQK.EXE. Éste resulta ser un virus que infecta ficheros de tipo.PE. El nombre de este virus es el siguiente: W32/Elkern. Por otro lado, crea dos entradas en el registro de Windows. Éstas provocarán la ejecución de ambos ficheros cada vez que se inicie el sistema. La ubicación de dichas entradas es la siguiente: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run El gusano busca direcciones de correo en la libreta de direcciones para enviarse como fichero adjunto según el formato indicado anteriormente. Por otra parte, aprovecha una vulnerabilidad de la aplicación Internet Explorer, ya utilizada por diversos gusanos anteriormente, que permite que se ejecuten ficheros automáticamente a través de la vista previa de Outlook o al abrir el mensaje que lo contiene. Si desea más información sobre esta vulnerabilidad y el parche correspondiente visite la siguiente página de Microsoft: http://www.microsoft.com/technet/security/bulletin/MS01-020.ASP Adicionalmente, modifica la entrada e32_restab (Offset of resident name table) de algunos drivers VxD dejándolos inoperativos. Esto provoca que al reiniciar el sistema los drivers no se ejecuten adecuadamente y el sistema no pueda arrancar. Adicionalmente, sobrescribe ficheros ejecutables quedando éstos inservibles.
Finalmente, el gusano está programado para eliminar ficheros de
diversas aplicaciones antivirus.
Siga los siguientes pasos para solucionar la infección del gusano:
Descargue el fichero PQREMOVE.COM (1Mb.) y guárdelo en el directorio que usted desee (puede descargarlo, pinchando sobre las siguientes direcciones). |