Worm.Win32.Tulu

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Worm

Размножается в компьютерных сетях через сетевые ресурсы или съемные носители. В отличие от Net-Worm, чтобы Worm активировался, пользователь должен запустить его. Черви этого типа ищут в сети удаленные компьютеры и копируют себя в каталоги, открытые на чтение и запись (если такие обнаружены). При этом такие черви или перебирают доступные сетевые каталоги, используя функции операционной системы, и/или случайным образом ищут компьютеры в интернете, подключаются к ним и пытаются открыть их диски для полного доступа. Также к данному типу червей относятся черви, которые по тем или иным причинам нельзя отнести ни к одному из вышеописанных классов (например, мобильные черви).

Подробнее

Платформа: Win32

Win32 - платформа, управляемая операционной системой на базе Windows NT (Windows XP, Windows 7 и т.д.), позволяющей исполнять 32-битные приложения. В настоящее время данная платформа является одной из наиболее распространенных.

Описание

Technical Details

Вирус-червь. Распространяется по локальным и сетевым дискам. Червь является приложением Windows (PE EXE-файл), имеет размер около 63K (упакован UPX, размер распакованного файла - около 86K), написан на Microsoft Visual C++.

Инсталляция

При первом запуске червь активизирует процедуру инсталляции и копирует себя в каталог Windows с именем "MsKernel32.exe", в системный каталог Windows с именем "Rundll32.exe" и регистрирует второй файл в ключе авто-запуска системного реестра:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Shell = %SystemDir%Rundll32.exe

Одновременно с этим создаётся новый ключ реестра с двумя переменными:

HKLMSoftwareKtulu
App = %WinDir%MsKernel32.exe
Times = 0

где "App" указывает на первую копию червя, а "Times" является счетчиком запусков червя и увеличивается при каждом старте зараженного файла.

На этом червь прекращает свою работу и активизируется только при повторном запуске (например, из ключа "Run" при перезагрузке Windows).

Распространение и проявления

При достижении счетчиком "Times" значения 7 червь активизирует свои прецедуры (т.е. червь в большинстве случаев "спит" и ждёт седьмой загрузки Windows).

При значении счетчика 7 и более червь:

• копирует себя с именем "ktulu.exe" на все удалённые диски, доступные на запись
• создаёт в каталоге Windows файл "normal.dot" и записывает в него макросы, которые срабатывают в случаях, если открываемый Word документ находится на сьемных дисках A: и B:

После этого вирус проверяет наличие в реестре Windows своих ключей и запускает:

HKLMSoftwareKtulu
App = %WinDir%MsKernel32.exe

При открытии и закрытии документа вирус:

• перезаписывает свой normal.dot вместо всех "dot" файлов, найденных на локальных дисках.
• вписывает строку "Ktulu :)" в начало файла "Regedit.exe" в каталоге Windows, а затем ищет все файлы "Msinfo32.exe" на всех локальных дисках и записывает в них тот же текст. Файлы после этого становятся неработоспособными.
• ищет все диски, являющиеся CD-ROM и проводит с ними следующую операцию: пытается копировать себя на диск с именем "autorun.exe" и пытается записать команду авто-запуска этого файла в системный файл "autorun.inf" на том же диске (замечание: на конец 2002 года CD-ROM диски, позволяющие производить с ними такие операции, неизвестны).
• копирует себя на сменные диски и виртуальные диски (RAMDISK)

В результате вирус копирует себя в двух экземплярах на данный диск с именами, случайно выбираемыми из списка:

Ktulu.exe        Oficios.exe

 Chistes.exe      Porno.exe

 Codigos.exe      Informes.exe

 Reportes.exe     Escuela.exe

 Trabajos.exe     Nora.exe

 Juegos.exe       Passwords.exe

 Claves.exe       Documentos.exe

 Datos.exe        Demo.exe

 Avisos.exe       Textos.exe

 Trucos.exe       Notas.exe

 

При значении счетчика 13 и более червь вписывает строку "Ktulu :)" в начало файлов в каталоге Windows:

CommandEbdAutoexec.bat
CommandEbdEbd.cab
CommandEbdFdisk.exe
CommandEbdSetramd.bat
CommandScanreg.exe
CommandMscdex.exe
CommandFormat.com
CommandEdit.com
CommandSys.com
CommandBootdisk.bat
CommandAttrib.exe
CommandDeltree.exe

При значении счетчика 15 и более червь в системном каталоге Windows переименовывает все файлы с расширением имени .CPL в файлы с расширением имени .PNL и устанавливает на переименованные файлы атрибуты "скрытый", "системный", "read-only".

При значении счетчика 100 и более червь создаёт в корневых каталогах всех локальных дисков файл "Leame.vbs". Данный файл содержит VBS-скрипт, выводящий сообщение:

Leame con Atenciyn

Virus: W32/Ktulu
Autor: Anynimo
Origen: Mexico
Fecha: 24 Julio 2001
PD: Carpe Diem, Everyday

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com