Worm.Win32.Tulu

Класс Worm
Платформа Win32
Описание

Technical Details

Вирус-червь. Распространяется по локальным и сетевым дискам. Червь является приложением Windows (PE EXE-файл), имеет размер около 63K (упакован UPX, размер распакованного файла – около 86K), написан на Microsoft Visual C++.


Инсталляция

При первом запуске червь активизирует процедуру инсталляции и копирует себя в каталог Windows с именем “MsKernel32.exe”, в системный каталог Windows с именем “Rundll32.exe” и регистрирует
второй файл в ключе авто-запуска системного реестра:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Shell = %SystemDir%Rundll32.exe

Одновременно с этим создаётся новый ключ реестра с двумя переменными:

HKLMSoftwareKtulu
App = %WinDir%MsKernel32.exe
Times = 0

где “App” указывает на первую копию червя, а “Times” является счетчиком запусков червя и увеличивается при каждом старте зараженного файла.

На этом червь прекращает свою работу и
активизируется только при повторном запуске (например, из ключа “Run” при перезагрузке Windows).


Распространение и проявления

При достижении счетчиком “Times” значения 7 червь активизирует свои прецедуры (т.е. червь в большинстве случаев “спит” и ждёт седьмой загрузки Windows).

При значении счетчика 7 и более червь:

  • копирует себя с именем “ktulu.exe” на все удалённые диски, доступные на запись
  • создаёт в каталоге Windows файл “normal.dot” и записывает в него макросы, которые срабатывают в случаях, если открываемый Word документ находится на сьемных дисках A: и B:

После этого вирус проверяет наличие в реестре Windows своих ключей и запускает:

HKLMSoftwareKtulu
App = %WinDir%MsKernel32.exe

При открытии и закрытии документа вирус:

  • перезаписывает свой normal.dot вместо всех “dot” файлов, найденных на локальных дисках.
  • вписывает строку “Ktulu :)” в начало файла “Regedit.exe” в каталоге Windows, а затем ищет все файлы “Msinfo32.exe” на всех локальных дисках и записывает в них тот же текст. Файлы после
    этого становятся неработоспособными.

  • ищет все диски, являющиеся CD-ROM и проводит с ними следующую операцию: пытается копировать
    себя на диск с именем “autorun.exe” и пытается записать команду авто-запуска этого файла в системный файл “autorun.inf” на том же диске (замечание: на конец 2002 года CD-ROM диски,
    позволяющие производить с ними такие операции, неизвестны).

  • копирует себя на сменные диски и виртуальные диски (RAMDISK)

В результате вирус копирует себя в двух экземплярах на данный диск с именами, случайно выбираемыми из списка:

Ktulu.exe        Oficios.exe


 Chistes.exe      Porno.exe


 Codigos.exe      Informes.exe


 Reportes.exe     Escuela.exe


 Trabajos.exe     Nora.exe


 Juegos.exe       Passwords.exe


 Claves.exe       Documentos.exe


 Datos.exe        Demo.exe


 Avisos.exe       Textos.exe


 Trucos.exe       Notas.exe


 

При значении счетчика 13 и более червь вписывает строку “Ktulu :)” в начало файлов в каталоге Windows:

CommandEbdAutoexec.bat
CommandEbdEbd.cab
CommandEbdFdisk.exe
CommandEbdSetramd.bat
CommandScanreg.exe
CommandMscdex.exe
CommandFormat.com
CommandEdit.com
CommandSys.com
CommandBootdisk.bat
CommandAttrib.exe
CommandDeltree.exe

При значении счетчика 15 и более червь в системном каталоге Windows переименовывает все файлы с расширением имени .CPL в файлы с расширением имени .PNL и устанавливает на переименованные
файлы атрибуты “скрытый”, “системный”, “read-only”.

При значении счетчика 100 и более червь создаёт в корневых каталогах всех локальных дисков файл “Leame.vbs”. Данный файл содержит VBS-скрипт, выводящий сообщение:

Leame con Atenciyn

Virus: W32/Ktulu
Autor: Anynimo
Origen: Mexico
Fecha: 24 Julio 2001
PD: Carpe Diem, Everyday

Узнай статистику распространения угроз в твоем регионе