Swen (gusano informático)

El virus se propaga primero por correo electrónico con un archivo adjunto, haciéndose pasar por una actualización de Windows. El archivo adjunto puede tener una extensión .com , .scr , .bat , .pif o .exe . Si su nombre de archivo comienza con las letras P, Q, U o I, muestra un cuadro de diálogo falso de Microsoft Update, preguntando si el usuario desea instalar una actualización de seguridad de Microsoft con las opciones "Sí" y "No". Si el usuario presiona "Sí", muestra una barra de progreso falsa mientras instala la actualización falsa. Cuando termina, muestra otro cuadro de diálogo que dice: Microsoft Internet Update Pack. Esto se ha instalado correctamente. El malware luego se ejecuta nuevamente, seguido de otro cuadro de diálogo que dice: Microsoft Security Update Pack. Esta actualización no necesita instalarse en este sistema. Si el usuario elige "No", el malware se instalará silenciosamente en segundo plano. Luego, verifica ciertos criterios abriendo otro cuadro de diálogo, solicitando al usuario su dirección de correo electrónico , nombre de usuario, contraseña y direcciones de servidor SMTP y POP3 . Tras completar los campos indicados, el gusano crea una copia de sí mismo en la carpeta . Finalmente, el virus transfiere toda la información a la copia y se extingue.C:\Windows<random characters>.exe

El gusano crea la siguiente entrada de registro para ejecutarse al iniciarse: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\ CurrentVersion\Run\<random value> = "<random filename>.exe autorun"