En 2008, usuarios de ForoSpyware reportaron archivos MP3, WMA y WMV alterados. Las muestras permitieron estudiar una campaña identificada, entre otros nombres, como Trojan-Downloader.WMA.GetCodec.d y Trojan.ASF.Hijacker.gen.
La trampa del archivo multimedia
La distribución se vinculaba a redes P2P y contenido ASF presentado como audio. En Windows Media Player, determinados archivos abrían una página que ofrecía un falso códec; al ejecutarlo, la infección podía ampliarse con otras cargas, como Vundo.
También se describían cortes y distorsión durante la reproducción. El comportamiento dependía del reproductor y de los parches disponibles en aquel momento.
FS-MP3Fix
InfoSpyware desarrolló FS-MP3Fix para las modificaciones observadas. La herramienta generaba copias reparadas con el sufijo _FS de los archivos colocados en su carpeta. Esa reparación de audio se diferenciaba de la limpieza del sistema cuando el usuario también había ejecutado el códec malicioso.
El vídeo del colaborador axl456 mostraba la infección y el uso de la utilidad. Tanto el procedimiento como las referencias a reproductores y parches pertenecen a aquella investigación de 2008.
