ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Virus.MSOffice.Shiver

Clase Virus
Plataforma MSOffice
Descripción

Detalles técnicos

Este virus macro infecta dos aplicaciones de Office97: documentos de Word y hojas de Excel. Para ser compatible con diferentes aplicaciones de Office97, el virus usa la compatibilidad VisualBasic y usa el mismo código tanto en Word como en Excel.

El virus infecta el sistema, los documentos y las hojas cuando se abren los archivos (auto-macros AutoOpen en Word y Auto_Open en Excel). Mientras que infecta el virus utiliza las funciones de exportación / importación de Office97 a través del archivo C: SHIVER.SYS. Escribe (exporta) su código allí y luego lee (importa) en un objeto que está siendo infectado.

Tanto en Word como en Excel, el virus se replica utilizando trucos estándar. Al infectar archivos de Word, el virus copia su código al área de documentos o macros globales (NORMAL.DOT). En Excel, el virus engancha el proceso de activación de las hojas y establece las macros de infección ShiverTime como el manejador. El virus también guarda el archivo PERSONAL.XLS infectado en el directorio de inicio de Excel y, como resultado, infecta el área de Excel del sistema.

Uno que deja Word (AutoExit) el virus intenta extender su código de Word a Excel. El virus usa las funciones DDE: ejecuta Excel en ventanas minimizadas y pasa datos y comandos necesarios para crear el archivo PERSONAL.XLS infectado en el directorio de inicio de Excel. El virus infecta Word desde Excel de forma similar: ejecuta Word minimizado, abre el Editor de Visual Basic y lee su código del archivo C: SHIVER.SYS.

El virus no elimina su archivo C: SHIVER.SYS después de la infección y lo usa para volver a infectar Word si el código del virus principal fue eliminado (desinfectado) en documentos y NORMAL.DOT. Para hacer eso, el virus en cada inicio de Word busca el archivo WORD8.DOT en el directorio de inicio de Word. Si no hay tal archivo, el virus lo crea y escribe una macro corta de FileSaveAs allí. Esta macro contiene solo unos pocos comandos que importan el código de virus de C: SHIVER.SYS en documentos que se guardan con un nombre nuevo. Como resultado, el virus permanece activo si todos los documentos y NORMAL.DOT se desinfectan. El virus utiliza la misma forma de exportación / importación para crear el cuentagotas WORD8.DOT, como un búfer de código fuente se utiliza el archivo C: SENTRY.SYS.

Para detectar su presencia en el sistema, el virus utiliza el Registro del sistema y escribe sus valores de ID en la clave "HKEY_CURRENT_USERSoftwareVB y VBA Program SettingsOffice8.0". Hay dos valores que marcan la presencia / ausencia del virus en el sistema:


Shiver [DDE] = ALT-F11
Shiver [DDE] = NoNos (
Dependiendo del contador aleatorio del sistema, el virus restablece esta clave a "NoNos (" y fuerza sus rutinas de infección para renovar WORD8.DOT y PERSONAL.XLS infectados en los directorios de inicio de Word y Excel.

El Virus Interno

El virus contiene 18 macros en un "Módulo1":

AutoExec – Auto función de Word, contiene la rutina de reinfección de Word
AutoOpen – Auto función de Word, contiene la rutina de infección Word docs
WordStealth: agrega las macros de sigilo ToolsMacro, FileTemplates, ViewVBCode
en las macros globales de Word (NORMAL.DOT)
AutoExit – Auto función de Word, infecta Excel
FindExcel – rutina de búsqueda de Excel
PersonalFun: utilizado en la infección de Excel
CheckMarker – "¿Estás aquí?" función, verifica el Registro
MakeMarker: escribe la identificación del virus en el Registro
PXL_Done: se usa en la infección de Excel
Auto_Open – Función automática de Excel, engancha la rutina de activación de las hojas
ShiverTime – Hooker e infector de activación de hojas
wdTrigger – rutina de disparo de Word
xlTrigger – rutina de disparo de Excel
Auto_Close – Función automática de Excel, propaga el virus a Word
retraso: utilizado en la infección de Word
wdReEvalInfection – busca PERSONAL.XLS infectado en el directorio de inicio de Excel
xlReEvalInfection – busca WORD8.DOT infectado en Word startup-dir
DDE_Info – macro do-nothing, contiene el "copyright":
Shiver [DDE] por ALT-F11 con la ayuda de ALT-F4
Este es el primer virus producido por The Alternative Virus Mafia (AVM)
ALT-F4 – "Nací para morir"
ALT-F11 – "Acciones sin pensamientos"

Trigger rutinas

El virus tiene habilidades de sigilo. En Excel, deshabilita los elementos de menú Ventana / Mostrar … y Herramientas / Macro. En Word también crea las macros ocultas en NORMAL.DOT: ToolsMacro, FileTemplates, ViewVBCode en el módulo "ThisDocument". Como resultado, el virus oculta su código. El virus también desactiva la protección antivirus de Office97.

Dependiendo del contador aleatorio del sistema, el virus ejecuta los siguientes efectos:

  • en Excel inserta en la celda seleccionada al azar los comentarios:

    Shiver [DDE] por ALT-F11
  • en Word crea el archivo C: SISTER.DLL, escribe el texto allí y ejecuta ESCRIBIR para mostrarlo:

    Hola hombre, me gusta un poco tu hermana
    Hola hombre, espero que sea genial
    Hola hombre, un poco pierdo mi mente
    Cada vez que encuentro a tu hermana
    Bronceado en la piscina
    Hola, hombre, quiero verla desnuda
    Hola hombre, estoy siempre en su habitación
    Todo solo cuando nadie está allí
    Pasando por su ropa interior
    Hola hombre, tengo que verla pronto
    Hola, nunca la voy a embarazar
    Pero oye, hombre, ¿cómo puedo resistirla?
    El día que le doy una alianza de boda
    ¿Vas a ser mi mejor hombre?
    Hola hombre, me gusta un poco tu hermana
    Me gusta un poco tu hermana
    Me gusta un poco tu hermana
    Me gusta un poco
  • en Word cambia el nombre de los elementos del menú:

    Herramientas / Macro = "Shiver [DDE] por ALT-F11"
    Archivo / Versiones … = "Cum Stained Sheets …"
    Editar / Pegar especial … = "Hola, hombre, hice tu mamá …"
    Insertar / Salir … = "¿Quieres hacer algo de MDMA?"
    Ayuda / Acerca de Microsoft Word = "Paz, amor y drogas"
    File / Properties = "Moriré feliz, morirás"
    Editar / Ir a … = "Heywood Jablowmi"
    Tools / Word Count … = "Conteo corporal"
    Formato / Fuente … = "Cunt"
    Archivo / Cerrar = "Sin ropa"
    Ventana / División = "Blow Me"
    Insertar / Imagen = "Crusty Porn GIF"
    Archivo / Imprimir … = "My Balls Itch"
    Formato / viñetas y numeración … = "Píldoras y agujas"
    Table / Insert Table … = "Insertar y sondear"
    Herramientas / Personalizar … = "Sodomizar …"
    Herramientas / Ortografía y gramática … = "Ortografía y tu abuela …"
    Ver / Barras de herramientas = "Gaybars"
    Ver / Documento maestro = "Masturbación"


Enlace al original