Virus.MSWord.Uhrjap

Technische Details

Diese Makroviren enthalten eine unterschiedliche Anzahl von Makros:

"Uhrjap.a": eins, DelNew, autoopen, autoclose, normclose

"Uhrjap.b": Eee, autoclose, ToolsMacro, FileTemplates, ToolsCustomize,

Oao, Auto öffnen.

Sie infizieren den globalen Makrobereich beim Öffnen eines infizierten Dokuments. Andere Dokumente bekommen beim Schließen eine Infektion.

"Uhrjap.b" ist der Stealth-Virus: Beim Öffnen der Menüs Extras / Makro, Extras / Anpassen oder Datei / Vorlagen entfernt der Virus seine Makros aus einem Dokument, und sein Code ist daher in Makro-Ansichtsmenüs nicht sichtbar.

Die Viren haben zerstörerische Nutzlast. "Uhrjap.a" startet bei jeder 20. Öffnung eine Prozedur, die alle 10 Minuten die Zeichen im Dokument zählt. Wenn die Anzahl gleich ist (keine Änderungen während 10 Minuten), benennt der Virus alle Dateien im Stammverzeichnis und in den Verzeichnissen der ersten Ebene auf den Laufwerken C :, D: und E: mit den Namen "~ TLPxxx.TMP" um. Dabei steht "xxx" für die Ordnungszahl der Datei in einem Verzeichnis. Der Virus führt diese Umbenennungsprozedur mit einer Wahrscheinlichkeit von 2% für jede Dokumentenöffnung durch.

Der "Uhrjap.b" Virus beim Öffnen oder Schließen des Dokuments mit der Wahrscheinlichkeit 1/30 speichert das Dokument mit dem neuen Passwort "uhrjap-uhrjap" oder druckt das Dokument oder löscht alle Leerzeichen aus dem Dokument und ersetzt alle Ziffern durch das Zeichen "#". Mit Wahrscheinlichkeit 1/50 aktiviert er auch seine Payload-Prozedur, die ähnlich dem Virus "Uhrjap.a" ist: Er benennt alle Dateien im Stammverzeichnis und den Verzeichnissen der ersten Ebene auf den Laufwerken C :, D: und E: mit dem Namen "~" um 037xxx.TMP "where" xxx "ist die Ordnungszahl der Datei in einem Verzeichnis.