Virus.MSWord.Uhrjap

Detalhes técnicos

Esses vírus de macro contêm diferentes números de macros:

"Uhrjap.a": um, DelNew, autoopen, autoclose, normclose

"Uhrjap.b": Eee, autoclose, ToolsMacro, FileTemplates, ToolsCustomize,

Oao, autoopen.

Eles infectam a área de macros globais ao abrir um documento infectado. Outros documentos recebem infecção no fechamento.

"Uhrjap.b" é o vírus stealth: ao entrar nos menus Ferramentas / Macro, Ferramentas / Personalizar ou Arquivo / Modelos, o vírus remove suas macros de um documento e, como resultado, seu código não fica visível nos menus de visualização de macro.

Os vírus têm carga destrutiva. "Uhrjap.a" em cada 20ª abertura inicia um procedimento que a cada 10 minutos conta os caracteres no documento. Se a contagem for a mesma (não muda durante 10 minutos), o vírus renomeia todos os arquivos no diretório raiz e nos diretórios de primeiro nível nas unidades C :, D: e E: com os nomes "~ TLPxxx.TMP", onde "xxx" é o número ordinal de arquivos em um diretório. O vírus também executa esse procedimento de renomeação com probabilidade de 2% em qualquer abertura de documento.

O vírus "Uhrjap.b" no documento abrindo ou fechando com probabilidade 1/30 salva o documento com a nova senha "uhrjap-uhrjap", ou imprime o documento, ou exclui do documento todos os caracteres do espaço e substitui todos os dígitos pelo caractere "#". Ele também com probabilidade 1/50 ativa seu procedimento de carga semelhante ao vírus "Uhrjap.a": ele renomeia todos os arquivos no diretório raiz e nos diretórios de primeiro nível nas unidades C :, D: e E: com o nome "~ 037xxx.TMP "onde" xxx "é o número ordinal de arquivos em um diretório.