|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| W32/Elkern.B. Peligroso virus que acompaña al Klez | ||
|---|---|---|
VSantivirus No. 559 - Año 6 - Viernes 18 de enero de 2002 W32/Elkern.B. Peligroso virus que acompaña al Klez Nombre: W32/Elkern.B Tipo: Infector de archivos de Windows 98 Alias: Elkern.b, PE_ELKERN.B, Win32.Klez.b Fecha: 17/ene/02 Fuente: F-Secure, Trend Micro Elkern.b es un virus polimórfico y parásito, capaz de infectar ejecutables en formato PE, y que solo funciona bajo Windows 98 y Me, debido a sus características. Es capaz de infectar usando las "cavidades" del archivo original, no modificando los tamaños de dicho archivo (esta técnica se denomina "cavity"). Originalmente apareció con la primera versión del gusano Klez, en octubre de 2001, cuando era liberado por este en un sistema infectado. Pero también ha sido visto en forma independiente del Klez, luego de esa fecha. El virus consiste en 4 partes, el desencriptador inicial, el código de inicio, la tabla API y el código principal. Cuando el código del virus toma el control, el desencriptador inicial, desencripta el código de inicio y le pasa el control. El virus localiza la librería principal de Windows, KERNEL32.DLL para examinar la memoria de Windows y tomar la dirección de las 27 funciones API de Windows. Luego, prepara su propio bloque de memoria para él, y copia su cuerpo en diversos sitios del disco. Si el virus se ejecuta desde un archivo infectado, el mismo ensambla su código principal recolectándolo de las diversas "cavidades" en que se había copiado. Luego, el virus desencripta su cuerpo principal, borra sus llaves de encriptación anteriores y le pasa el control al código principal. El virus utiliza llaves de encriptación variables (keys) para encriptar y desencriptar su código principal. Cuando el código principal toma el control, lo primero que hace es llamar a la función API llamada IsDebuggerPresent API function. El virus, por error de programación o desconocimiento, llama a esta función usando una dirección fija para esta API. Y esta dirección es solo válida en Windows 98 y Me. En los otros sistemas operativos, el virus ocasiona el cuelgue de Windows. El virus se inicia a si mismo como un proceso de servicio y por lo tanto su acción no es visible en la lista de tareas. En Windows 98, el virus copia el archivo que empezó la confusión (él mismo) al directorio Windows\System, con el nombre de WQK.EXE. Luego marca los atributos "name", "sets hidden", system y read-only (solo lectura). Luego crea las claves en el registro para activarse en los próximos reinicios de Windows:
En Windows NT y 2000 el virus libera su propio código con el nombre de WQK.DLL en la carpeta \System32\ e intenta crear una llave de entrada "AppInit_DLLs" en la siguiente clave:
Cómo vimos, debido a un error, el virus falla y cuelga la máquina.. |
||
