Virus.SWScript.LFM

Detalles técnicos

texto escrito por Costin Raiu, Kasperskys, Rumania

Este es el primer virus que se sabe que infecta los archivos de Macromedia Shockwave (.SWF), que se utilizan comúnmente para varios tipos de animaciones en la World Wide Web; por ejemplo, en tarjetas electrónicas animadas o e-saludos. El virus no funciona si se carga un archivo Shockwave .SWF infectado en el complemento del reproductor distribuido con la mayoría de las versiones más nuevas de los navegadores Netscape e Internet Explorer; solo se ejecutará y replicará si el usuario carga manualmente la animación infectada en la Shockwave independiente. Aplicación de Flash Player, que limita en gran medida el peligro que representa el virus para la mayoría de los usuarios de computadoras. En este momento, no ha habido informes de que este virus esté "en la naturaleza", y no esperamos que se generalice nunca.

Detalles técnicos

El virus funciona aprovechando el lenguaje de scripts disponible en las animaciones de Shockwave: se almacena en sí mismo como un script de Shockwave que elimina un ejecutable DOS .COM llamado "V.COM" que tiene una longitud de 926 bytes. El archivo ejecutable de DOS se coloca en el disco a través de una secuencia de comandos DEBUG estándar, pero esto solo funcionará en sistemas Windows NT, 2000 y XP, porque la secuencia de comandos del cuentagotas intenta llamar al preprocesador de la línea de comandos como "cmd.exe", que no está disponible en Instalaciones Win9X / ME. Cuando se ejecuta, el programa V.COM buscará todos los archivos * .SWF en el directorio actual, asegúrese de que no sean de solo lectura, ocultos o del sistema, para que puedan escribirse e intentará infectarlos. En primer lugar, comprobará si tienen la firma estándar "FWSx99", y si es así, el virus procederá a crear un nuevo cuentagotas de script Shockwave similar al utilizado inicialmente para colocar el ejecutable "V.COM" en el disco. El dropper de script Shockwave se crea en una parte de la memoria asignada dinámicamente y se escribe al principio del archivo Shockwave de destino.