Virus - Klez

Virus et codes cachés
Virus
Hoax
Ver
Cheval de Troie
Bombe logique
Spyware
Keylogger
Quelques virus
Sircam
Magistr
Nimda
BadTrans
Klez
LovSan - Blaster
Sasser
Outils
Kits de désinfection
Plus d'information
FAQ sécurité
FAQ Internet

Présentation du virus Klez

Apparu au début de l'année 2002, le virus Klez est désormais omniprésent sur les réseaux et le risque qu'il représente est d'autant plus important que des nouvelles variantes du virus ne cessent d'apparaître (Klez.e, Klez.g, Klez.h, Klez.i, Klez.k, ...). Les nouvelles versions du virus intègrent des mécanismes de diffusion de plus en plus innovants rendant sa propagation de plus en plus aisée. Le virus KLEZ (nom de code W32.Klez.Worm@mm) est un ver se propageant à l'aide du courrier électronique. Il exploite également 4 autres modes de propagation :

Le web
Les répertoires partagés
Les failles de serveur Microsoft IIS
Les échanges de fichiers

Il affecte particulièrement les utilisateurs de Microsoft Outlook sous les systèmes d'exploitation Windows 95, 98, Millenium, NT4, 2000 et XP ainsi que les utilisateurs de Microsoft Internet Explorer.

Les actions du virus

Le ver Klez récupère la liste des adresses présentes dans les carnets d'adresses de Microsoft Outlook, Eudora ainsi que des logiciels de messagerie instantanée (ICQ), .

Puis le virus Klez envoie à tous les destinataires un courrier à l'aide de son propre serveur SMTP.

Ainsi le virus Klez est capable de générer des courriers dont le corps est vide, dont le sujet est choisi aléatoirement parmi une gamme d'une centaine de thèmes prédéfinis et attache au courrier une pièce jointe exécutable contenant une variante du virus. Les virus utilisant une extension du type .eml exploitent une faille de Microsoft Internet Explorer 5.

Le virus Klez a comme particularité d'être capable d'envoyer des mails en se faisant passer pour un expéditeur dont l'adresse a été trouvée sur la machine de la victime (le virus trafique le champ from du mail envoyé).

Les variantes les plus récentes du virus embarquent même des outils leur permettant de rendre obsolète les principaux anti-virus.

Comble du cynisme : les auteurs du virus l'ont programmé pour envoyer aux victimes un pseudo-correctif contre lui-même dans un courrier intitulé Worm Klez.E immunity. Le mail envoi également des faux messages d'erreur indiquant qu'un message n'a pas pû être délivré et contenant une fois de plus une copie du virus en fichier attaché !

D'autre part le virus Klez est capable de se propager à travers les répertoires partagés des réseaux Microsoft Windows en infectant les fichiers exécutables s'y trouvant.

La consultation de pages Web sur des serveurs infectés par le virus Klez peut entraîner une infection lorsqu'un utilisateur consulte ces pages avec un navigateur Microsoft Internet Explorer 5 vulnérable.

En effet, le virus Nimda est également capable de prendre la main sur un serveur Web Microsoft IIS (Internet Information Server) en exploitant certaines failles de sécurité.

Enfin, comme ses confrères, le virus infecte les fichiers exécutables présents sur la machine infectée, ce qui signifie qu'il est également capable de se propager par échange de fichiers.

Pour compléter le tableau, le virus Klez est prévu pour supprimer des fichiers choisis aléatoirement tous les sixièmes jours (donc le 6 du mois) des mois impairs. Petite cerise sur le gâteau : le 6 janvier et le 6 juillet le virus efface la totalité des fichiers présents sur le disque !!

Symptomes de l'infection

Le virus Klez utilise le plus de ressources possibles sur la machine infectée. Si votre ordinateur réagit lentement et bizarrement, la première chose à faire est donc de passer l'ensemble de vos disques au crible avec votre antivirus, sachant que le virus est capable d'avoir modifié l'antivirus pour ne pas se faire repérer...

Eradiquer le virus

Pour éradiquer le ver Klez, la meilleure méthode consiste tout d'abord à déconnecter la machine infectée du réseau, puis à utiliser un antivirus récent ou bien le kit de désinfection proposé par Symantec (en redémarrant de préférence l'ordinateur en mode sans échec) :
Télécharger le kit de désinfection

D'autre part, le virus se propage par l'intermédiaire d'une faille de sécurité de Microsoft Internet Explorer, ce qui signifie que vous pouvez être contaminé par le virus en naviguant sur un site infecté. Pour y remédier il est nécessaire de télécharger le patch (correctif logiciel) pour Microsoft Internet Explorer 5.01 et 5.5. Ainsi, veuillez vérifier la version de votre navigateur et télécharger le correctif si nécessaire :
http://www.microsoft.com/windows/ie/download/critical/Q290108/default.asp

Etant donné que le virus falsifie l'adresse email de l'expéditeur (champ from), il est conseillé de ne pas répondre à l'expéditeur du virus mais de regarder le champ Return-Path du mail et d'écrire un message à ce dernier !

Plus d'informations sur le virus

Discussions pertinentes trouvées dans le forum

02/10 22h39	KLEZ et NORTON	Windows	04/10 23h46->ipl	18
04/10 06h30	virus w32/klez	Virus/Sécurité	05/10 21h06->ringomarlo	14
02/07 17h59	VIRUS W32//Klez.E@mm !!!!	Virus/Sécurité	05/07 22h36->ofournier.cbd	13
24/09 21h29	Infection par Socket et Klez	Virus/Sécurité	11/01 15h04->sonia	11
24/07 14h23	infection par klez !!	Windows	26/07 16h51->stornaghi@ho...	10
23/07 20h12	virus KLEZ H	Virus/Sécurité	25/07 19h01->ipl	9
19/06 12h10	VIRUS KLEZ?????	Virus/Sécurité	22/06 14h34->ipl	7
04/09 09h30	Youpi ! Ca yest ! Moi aussi j'ai Klez.H :-[[	Windows	04/09 11h22->BmV	7
01/09 15h17	Problème interminable avec KLEZ variante H	Logiciels/Pilotes	03/09 02h52->emm	6
11/12 15h21	URGENT : Klez !!!!!!	Réseaux	11/12 20h34->kalamit	6
Discussion fermée Problème résolu		Plus de discussions sur « Klez »