Diverse società produttrici di sistemi per la sicurezza hanno dato notizia della comparsa In-The-Wild il 05 marzo 2002 di un nuovo virus si tratta di KLEZ.E. Nuove varianti di questo virus (KLEZ.G e KLEZ.H) sono comparse il 17 aprile 2002. Si tratta di una vecchia conoscenza, KLEZ, che però è stata modificata per garantire l'infezione anche dei sistemi Windows XP.

Tool automatici di rimozione
Oltre alla rimozione manuale del virus, esistono alcuni "fix" (così vengono chiamati) che sono in grado di rimuovere il virus dal vostro sistema in maniera automatica
Bisogna far partire il sistema in modalità provvisoria e poi lanciare uno dei seguenti fix:

TrendMicro fix for Klez

F-Secure Kleztool

SymantecFixKlez.com

 

Com'è e come si comporta Klez

Una nuova versione di un vecchio worm sembrerebbe esserre in grado di diffondere la propria carica distruttiva in giornata odierna. Particolarità di Klez.E (w32.Klez.E@mm) è quella di contenre un doppio payload. E' infatti conosciuto come "Twin Virus" (il virus gemello) poichè oltre a portare il proprio payload, si fa carico di un altra carica distruttiva che è rappresentata dall'upgrade di un altro vecchio virus: ElKern (w32.elkern.b).

Particolarità di questa nuova versione rispetto alle precedenti è quella di infettare, oltre ai sistemi Windows 98/Me e 2000 anche i pc con installato Windows XP.

Il virus crea sul vostro hard disk due file: WINK*.EXE e WQK.EXE che poi copia nella directory di sistema di Windows. Klez crea anche due chiavi di registro che gli permettono di eseguire il proprio codice direttamente all'avvio di Windows.

Il virus, come tutti i mass mailer, arriva sotto forma di messaggio di posta elettronica con le seguenti caratteristiche:

Soggetto: variabile tra
How are you
Let's be friends
Darling
Don't drink too much
Your password
Honey
Some questions
Please try again
Welcome to my hometown
the Garden of Eden
introduction on ADSL
Meeting notice
Questionnaire
Congratulations
Sos!
japanese girl VS playboy
Look,my beautiful girl friend
Eager to see you
Spice girls' vocal concert
Japanese lass' sexy pictures
so cool a flash,enjoy it
Undelivarable mail-"%s" (%s è una stringa casuale)
Returned mail-"%s" (%s è una stringa casuale)

Messaggio:
Win32 Klez V2.0 & Win32 Elkern V1.1, (There nickname is Twin Virus *^__^*
Copyright, made in Asia, announcement:
1. I will try my best to protect the user from vicious virus, Funlove,Sircam,Nimda,Codered, and even include W32.Klez.1.X
2. Well paid jobs are wanted.
3. Poor life should be unblessed.
4. Don’t accuse me, please accusse the unfair sh*t world.

Allegato:
Un file con estensione variabile tra:
EXE
SCR
PIF
BAT
TXT
HTM
HTML
WAB
DOC
RTF
XLS
JPG
CPP
C
PAS
MPG
MPEG
BAK
MP3
PDF