Virus.Win32.Alman

Virus infikuje všechny dostupné spustitelné soubory systému Windows (PE-EXE) na všech discích počítače poškozeného počítače a přístupných síťových složkách. Virus neinfikuje soubory s následujícími názvy:

 wooolcfg.exe



woool.exe



ztconfig.exe



patchupdate.exe



trojankiller.exe



xy2player.exe



flyff.exe



xy2.exe



au_unins_web.exe



cabal.exe



cabalmain9x.exe



cabalmain.exe



meteor.exe



patcher.exe



mjonline.exe



config.exe



zuonline.exe



userpic.exe



main.exe



dk2.exe



autoupdate.exe



dbfsupdate.exe



asktao.exe



sealspeed.exe



xlqy2.exe



game.exe



wb-service.exe



nbt-dragonraja2006.exe



dragonraja.exe



mhclient-connect.exe



hs.exe



mts.exe



gc.exe



zfs.exe



neuz.exe



maplestory.exe



nsstarter.exe



nmcosrv.exe



ca.exe



nmservice.exe



kartrider.exe



audition.exe



zhengtu.exe 

Virus zapíše jeho spustitelný soubor na začátek infikovaného souboru a posune původní obsah souboru dolů.

Za účelem napadnutí souborů umístěných v síťových složkách se virus pokouší připojit ke vzdáleným počítačům pomocí účtu Administrator a jedné z následujících hesel:

 zxcv



qazwsx



qaz



qwer



! @ # $% ^ & * ()



! @ # $% ^ & * (



! @ # $% ^ & *



! @ # $% ^ &



! @ # $% ^



! @ # $%



aasdf 



sdfgh



! @ # $



654321



123456



12345



1234



123



111 

Virus také odesílá informace na web vzdáleného škodlivého uživatele o množství volného místa na disku C, operačním systému a verzi Internet Explorer na poškozeném počítači a o přítomnosti ovladačů v systému, které mají jeden z uvedených jmen níže:

 Hooksys



KWatch3



KregEx



KLPF



NaiAvFilter1



NAVAP



AVGNTMGR



AvgTdi



nod32drv



PavProtect



TMFilter



BDFsDrv



VETFDDNT 

Tyto informace se odesílají v následujícím požadavku na stránku vzdáleného škodlivého uživatele:

 http: //****mrw0rldwide.com/co.asp?action=post & HD = <velikost volného místa> & OT = <verze operačního systému> & IV = <verze aplikace Internet Explorer> & AV = <nainstalované ovladače> 

Virus také získá seznam souborů, které mají být staženy z následujícího odkazu:

Potom soubory stahuje ze seznamu, ukládá je do dočasného adresáře systému Windows a spouští je k provedení.

V době psaní virus stahoval soubory z následujících odkazů:

 http: //down******/css.jpg



http: //down******/wow.jpg 

a uložte je podle následujícího obrázku:

% Temp% css.jpg – tento soubor má velikost 62 792 bajtů. Kaspersky Anti-Virus bude detekován jako Trojan-PSW.Win32.OnLineGames.afd;

% Temp% wow.jpg – tento soubor má velikost 40 241 bajtů. Kaspersky Anti-Virus bude detekován jako Trojan-PSW.Win32.WOW.sv.