Le virus-ver Klez

Klez.E et Klez.H, deux variantes du virus-ver Klez ont défrayé la chronique au cours du premier semestre 2002. Ne soufflez-pas : ils sévissent encore !

Apparition : janvier 2002
Cible : Windows
Propagation : forte
Dégâts : potentiellement importants

Comment fonctionne Klez ?

Klez est un ver qui se propage par courrier électronique. Le virus s’exécute automatiquement à l’ouverture du mail ou lors de son affichage dans la fenêtre de prévisualisation d’Outlook ou Outlook Express, si Internet Explorer 5.01 ou 5.5 n’a pas été corrigé (voir la page spéciale consacrée à la faille d’IE). Sur une machine infectée, le ver s’envoie automatiquement, en répondant d’une part à tous les messages de la boîte de réception, et en adressant un message aux adresses recensées dans les pages Web (HTML et ASP) stockées dans le répertoire « Mes Documents » ou le cache d’Internet Explorer. Il suffit que les destinataires affichent le message infecté ou ouvrent la pièce jointe pour se voir à leur tour infectés.

Qui est visé par ce virus ?

Ce virus-ver ne peut infecter que les ordinateurs fonctionnant sous Windows. Cela n’empêche pas les utilisateurs de MacOS et de Linux ou d’Unix de recevoir les mails générés par le ver.

Quels dégâts fait le virus ?

• Il envoie des mails infectés : Klez extrait les adresses e-mail contenues dans le carnet d’adresses de Windows et d’ICQ pour s’envoyer automatiquement, en utilisant généralement comme adresse d’expéditeur l’adresse de l’un des correspondants présents dans le carnet d’adresses, voire une fausse adresse e-mail.
• Il installe un autre virus : Klez est un virus à tiroir : l’un de ses malfaits est d’installer le virus Elkern, qui a la particularité de tenter de désactiver certains antivirus et firewalls, en supprimant les clés de la base de registres et les répertoires correspondants. Cela laisse l’ordinateur vulnérable aux autres virus.
• Il peut écraser des données : le 6 de chaque mois impair (janvier, mars, mai, juillet, septembre, novembre), la variante E du virus (Klez.E) écrase les principaux fichiers de données du disque dur (d’extension .txt, .htm, .html, .wab, .doc, .xls, .mpeg, .mpg, .mp3, .jpg, etc.). Leur contenu est alors irrécupérable.
• Il peut divulguer vos documents : la variante H du virus (Klez.H) peut se propager accompagné d’un fichier pris au hasard sur votre disque dur (.txt, .htm, .html, .wab, .asp, .doc, .rtf, .xls, .jpg, .cpp, .c, .pas, .mpg, .mpeg, .bak, .mp3 ou .pdf), d’où un risque pour la confidentialité de vos données.

Comment reconnaître un message contenant Klez ?

Klez se présente sous la forme d’un message dont le titre, le corps et le nom du fichier attaché sont aléatoires.

Attention : message d’erreur ! Le virus peut aussi se propager sous la forme d’un faux message d’erreur. Le sujet est alors du style Undeliverable mail… ou Returned mail…. Le corps du message, lui, se présente comme un véritable message d’erreur.

Subject: Undeliverable mail

Attention anti-virus ! Klez.H se propage également sous la forme d’un mail intitulé « Worm Klez.E immunity » qui propose à l’utilisateur de l’immuniser contre le virus Klez.E s’il exécute le fichier joint. Bien entendu, ce fichier n’est n’est autre que le virus Klez.H lui-même.

Subject: Worm Klez.E immunity    

Comment ne pas se faire infecter ?

• Si vous utilisez Outlook Express 5.01 et 5.5 : Microsoft recommande fortement l’installation d’un correctif pour éviter l’infection par simple prévisualisation du message. Consultez la page spéciale consacrée à cette faille d’Internet Explorer.
• Si vous avez un anti-virus : n’oubliez pas de mettre à jour la liste de définitions des virus.
• Enfin, comme toujours, veillez à ne pas ouvrir les pièces jointes douteuses et à les supprimer dès réception.

Je suis infecté. Comment me débarrasser du ver ? Vous pouvez actionner votre antivirus si vous en possédez un (après avoir éventuellement mis à jour la liste des virus). Vous pouvez aussi vous rendre sur BitDefender.fr qui propose gratuitement un utilitaire de désinfection.