Worm.Win32_Kelvir-HI

Cette section destinée aux experts, expose les détails techniques de ce virus.

Taille: 113710 Octet(s)

Détails techniques:

A son exécution, Kelvir-HI se copie sous le nom %System%\msmsgr.exe.

N.B. : Kelvir-HI détermine l'emplacement du répertoire %System% en tenant compte de la version du Windows utilisée. Par défaut, sous Windows 2000 et NT, il s'agit de C:\Winnt\System32 ; sous Windows 95/98/Me, il s'agit de C:\Windows\System et sous XP : C:\Windows\System32.

Puis il dépose une version du ver Spybot et l'exécute ici : %System%\msnmsgr.exe.

Afin d'être lancé à chaque démarrage de Windows, Kelvir-HI ajoute cette valeur :

"MSN Messenger User Controls" = "msmsgr.exe"

Aux clés de registre suivantes :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

Le ver ajoute l'entrée de registre suivante pour marquer son infection :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
"TempData" = "{Chemin vers le fichier d'origine}"

Cette entrée sert à signaler à d'autres virus ou à d'autres variantes du ver que la machine est déjà infectée par Kelvir-HI.

Pour désactiver le "Gestionnaire des Tâches" et l'"Editeur de registre" de Windows, Kelvir-HI ajoute les 2 entrées suivantes :

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
"DisableTaskMgr" = "1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
"DisableRegistryTools" = "1"

Kelvir-HI désactive également la "Restauration du système" par l'entrée de registre :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
"DisableSR" = "1"


Lors d'une ouverture de session sur MSN Messenger, Kelvir-HI peut afficher à tout moment sur n'importe quelle fenêtre de conversation l'un des messages suivants :

- Français :

haha J'ai trouve votre photo!

- Anglais :

haha i found your picture!

- Espagnol :

lol ¡Encontre su foto!

- Néerlandais :

lol ik heb je foto gevonden

- Allemand :

haha Ich fand Ihr Foto!

- Grec retranscrit en alphabet Anglais :

lol sou malakas!

- Suédois :

haha men titta det e ju du

- Italien :

haha Ho trovato la vostra foto!

- Portugais :

haha Eu encontrei sua foto!

- Turc :

Senin fotorafini buldum turkiyedeki

Kelvir-IH envoie le message en fonction de la langue qui est configurée sur le système infecté.

Le message est accompagné d'une url à visiter :

http://images.rottentomatoes.us/search.php?data=

Le fichier YourPicture.com téléchargé est une copie du ver.