Virus.MSWord.Class

Detalhes técnicos

Este vírus contém duas macros em um módulo, "ThisDocument" e as macros têm nomes diferentes em documentos e NORMAL.DOT:

Documentos NORMAL.DOT
AutoOpen AutoClose – rotinas de infecção e gatilho
ViewVBCode ToolsMacro – stealth, desativa a visualização do código de macro

O vírus infecta a área de macros globais após a abertura de um documento infectado. Ao infectar, o vírus exporta o código do vírus para o C: CLASS.SYS e o insere no NORMAL.DOT. Os documentos são infectados da mesma maneira.

A rotina de mutação do vírus (polimórfica) insere comentários no código do vírus, contendo um nome de usuário, data e hora atuais e informações sobre a impressora ativa.

O vírus usa uma maneira eficaz de ocultar seu código. Usando operadores especiais do WordBasic, o vírus instala seu módulo, não na área padrão de programas de macro, mas na área de classes do Word – a área de rotinas padrão que manipulam eventos do Word, ou seja, o kernel do Word. O vírus anexa seu código a documentos e modelos, não como um aplicativo de usuário (programa de macro), mas como um componente do Word "nativo". Como resultado, o vírus não é visível em Ferramentas / Macro e Arquivo / Modelos (por que razão o vírus então conecta o ToolsMacro?)

O vírus desativa o AutoProtection. No dia 31, o vírus exibe o MessageBox:

Esta é uma aula
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – -?
? VicodinES / CB / TNN?
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – -?

Classe.d

Todos os meses, de junho a dezembro, no dia 14, o vírus exibe a mensagem:

Class.Poppy
eu acho que  é um grande idiota idiota!

O vírus também altera os valores nas chaves do registro:

HKLMSoftwareMicrosoftWindowsCurrentVersionRegisteredOwner = "VicodinES / CB / TNN"
RegisteredOrganization = "- (Dr. Diet Mountain Dew) -"

Class.bs

Após a infecção, este vírus modifica o registro do sistema, escrevendo "Clazz" como o proprietário registrado desta cópia do Windows. Ao tentar visualizar, o vírus codifica com uma probabilidade de 25% e define a senha "Clazz" para o documento ativo ou, com a mesma probabilidade, exclui todos os arquivos da pasta atual.