Worm.Win32.Tulu

Technical Details

Вирус-червь. Распространяется по локальным и сетевым дискам. Червь является приложением Windows (PE EXE-файл), имеет размер около 63K (упакован UPX, размер распакованного файла — около 86K), написан на Microsoft Visual C++.

Инсталляция

При первом запуске червь активизирует процедуру инсталляции и копирует себя в каталог Windows с именем «MsKernel32.exe», в системный каталог Windows с именем «Rundll32.exe» и регистрирует
второй файл в ключе авто-запуска системного реестра:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Shell = %SystemDir%Rundll32.exe

Одновременно с этим создаётся новый ключ реестра с двумя переменными:

HKLMSoftwareKtulu
App = %WinDir%MsKernel32.exe
Times = 0

где «App» указывает на первую копию червя, а «Times» является счетчиком запусков червя и увеличивается при каждом старте зараженного файла.

На этом червь прекращает свою работу и
активизируется только при повторном запуске (например, из ключа «Run» при перезагрузке Windows).

Распространение и проявления

При достижении счетчиком «Times» значения 7 червь активизирует свои прецедуры (т.е. червь в большинстве случаев «спит» и ждёт седьмой загрузки Windows).

При значении счетчика 7 и более червь:

• копирует себя с именем «ktulu.exe» на все удалённые диски, доступные на запись
• создаёт в каталоге Windows файл «normal.dot» и записывает в него макросы, которые срабатывают в случаях, если открываемый Word документ находится на сьемных дисках A: и B:

После этого вирус проверяет наличие в реестре Windows своих ключей и запускает:

HKLMSoftwareKtulu
App = %WinDir%MsKernel32.exe

При открытии и закрытии документа вирус:

• перезаписывает свой normal.dot вместо всех «dot» файлов, найденных на локальных дисках.
• вписывает строку «Ktulu :)» в начало файла «Regedit.exe» в каталоге Windows, а затем ищет все файлы «Msinfo32.exe» на всех локальных дисках и записывает в них тот же текст. Файлы после
  этого становятся неработоспособными.

• ищет все диски, являющиеся CD-ROM и проводит с ними следующую операцию: пытается копировать
  себя на диск с именем «autorun.exe» и пытается записать команду авто-запуска этого файла в системный файл «autorun.inf» на том же диске (замечание: на конец 2002 года CD-ROM диски,
  позволяющие производить с ними такие операции, неизвестны).

• копирует себя на сменные диски и виртуальные диски (RAMDISK)

В результате вирус копирует себя в двух экземплярах на данный диск с именами, случайно выбираемыми из списка:

Ktulu.exe        Oficios.exe

 Chistes.exe      Porno.exe

 Codigos.exe      Informes.exe

 Reportes.exe     Escuela.exe

 Trabajos.exe     Nora.exe

 Juegos.exe       Passwords.exe

 Claves.exe       Documentos.exe

 Datos.exe        Demo.exe

 Avisos.exe       Textos.exe

 Trucos.exe       Notas.exe

 

При значении счетчика 13 и более червь вписывает строку «Ktulu :)» в начало файлов в каталоге Windows:

CommandEbdAutoexec.bat
CommandEbdEbd.cab
CommandEbdFdisk.exe
CommandEbdSetramd.bat
CommandScanreg.exe
CommandMscdex.exe
CommandFormat.com
CommandEdit.com
CommandSys.com
CommandBootdisk.bat
CommandAttrib.exe
CommandDeltree.exe

При значении счетчика 15 и более червь в системном каталоге Windows переименовывает все файлы с расширением имени .CPL в файлы с расширением имени .PNL и устанавливает на переименованные
файлы атрибуты «скрытый», «системный», «read-only».

При значении счетчика 100 и более червь создаёт в корневых каталогах всех локальных дисков файл «Leame.vbs». Данный файл содержит VBS-скрипт, выводящий сообщение:

Leame con Atenciyn

Virus: W32/Ktulu
Autor: Anynimo
Origen: Mexico
Fecha: 24 Julio 2001
PD: Carpe Diem, Everyday