Klez.I

Klez.I infecta y se activa, produciendo los siguientes efectos:

• Introduce un virus llamado Elkern.C en el ordenador infectado.
• Envía por correo electrónico un archivo, escogido al azar en el ordenador afectado, a terceras personas. Dicho archivo puede tener cualquiera de las siguientes extensiones: TXT, HTM, HTML, WAB, ASP, DOC, RTF, XLS, JPG, CPP, C, PAS, MPG, MPEG, BAK, MP3 o PDF.
• Busca los siguientes procesos en memoria (si los encuentra, finaliza su ejecución): _AVP32, _AVPCC, NOD32, NPSSVC, NRESQ32, NSCHED32, NSCHEDNT, NSPLUGIN, NAV, NAVAPSVC, NAVAPW32, NAVLU32, NAVRUNR, NAVW32, _AVPM, ALERTSVC, AMON, AVP32, AVPCC, AVPM, N32SCANW, NAVWNT, ANTIVIR, AVPUPD, AVGCTRL, AVWIN95, SCAN32, VSHWIN32, F-STOPW, F-PROT95, ACKWIN32, VETTRAY, VET95, SWEEP95, PCCWIN98, IOMON98, AVPTC, AVE32, AVCONSOL, FP-WIN, DVP95, F-AGNT95, CLAW95, NVC95, SCAN, VIRUS, LOCKDOWN2000, Norton, Mcafee, Antivir, TASKMGR.
• Desactiva la protección permanente del antivirus, al eliminar la siguiente entrada en el Registro de Windows:
  HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\Run
  Apvxdwin
• Klez.I borra archivos pertenecientes a programas antivirus y los que permiten comprobar la integridad de otros archivos. Concretamente: ANTI-VIR.DAT, CHKLIST.DAT, CHKLIST.MS, CHKLIST.CPS, CHKLIST.TAV, IVB.NTZ, SMARTCHK.MS, SMARTCHK.CPS, AVGQT.DAT y AGUARD.DAT. APVXDWIN.EXE y AVENGINE.EXE en los ordenadores donde se encuentre instalado Panda Antivirus.

Klez.I es un gusano que llega en un archivo incluido dentro de un mensaje de correo electrónico escrito en inglés, de asunto muy variable.

Es muy fácil infectarse con él, ya que se activa automáticamente tan sólo con visualizar el mensaje a través de la Vista previa de Outlook. Para conseguirlo, aprovecha una vulnerabilidad de Internet Explorer (versiones 5.01 y 5.5) que permite la ejecución automática de los archivos de los mensajes de correo.

Klez.I es muy peligroso porque:

• Se propaga automáticamente y muy rápido a todos los contactos que encuentra en la Libreta de direcciones de Outlook.
• Emplea depuradastécnicas de camuflaje, como el sistemático cambio del remitente y del asunto de los mensajes que reenvía.
• Atenta contra la confidencialidad de los datos del usuario enviando, indiscriminadamente a terceras personas, archivos que escoge al azar del ordenador infectado.
• Borra determinados archivos.
• Introduce el virus Elkern.C en el ordenador afectado.

Klez.I es difícil de reconocer a simple vista, ya que llega oculto en un mensaje cuyas características varían en cada ocasión. Sin embargo, estos son los asuntos más habituales:

• A powful tool
• Worm Klez.E immunity
• A funny website

Klez.I destaca por su capacidad para variar los asuntos de los mensajes en los que se envía. Esto dificulta considerablemente su identificación, cuando llega al ordenador. En concreto, para generar los textos de los asuntos, utiliza las siguientes fuentes:

• Palabras incluidas en su código de infección.
• Textos incluidos en los archivos almacenados dentro del ordenador afectado, desde el cual proviene.

Para obtener más información, consulte el apartado Método de propagación.