Clase de padre: VirWare
Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.Clase: Virus
Los virus se replican en los recursos de la máquina local. A diferencia de los gusanos, los virus no usan los servicios de red para propagarse o penetrar en otras computadoras. Una copia de un virus llegará a las computadoras remotas solo si el objeto infectado, por alguna razón no relacionada con la función del virus, está activado en otra computadora. Por ejemplo: al infectar discos accesibles, un virus penetra en un archivo ubicado en un recurso de red, un virus se copia en un dispositivo de almacenamiento extraíble o infecta un archivo en un dispositivo extraíble, un usuario envía un correo electrónico con un archivo adjunto infectado.Más información
Plataforma: MSOffice
Microsoft Office es un conjunto multiplataforma de aplicaciones de productividad publicado por Microsoft. Las aplicaciones de Office son compatibles con muchos tipos de archivos y contenido.Descripción
Detalles técnicos
Cuando el virus se activa desde un documento infectado de Word, primero desactiva la protección antivirus de Word y busca la plantilla NORMAL.DOT y luego busca la presencia de virus en ella. Si este archivo aún no está infectado, el virus considera que el sistema no está infectado y comienza a ingresar otros componentes de Office. Estas operaciones contienen tres pasos: infección de Word, infección de Excel e infección de PowerPoint.
1. La infección de Word es la operación más simple en este virus. Simplemente copia su código del documento actual a la plantilla normal (NORMAL.DOT).
2. La infección de Excel es más compleja. En primer lugar, el virus inicia una nueva instancia de Excel utilizando la función CreateObject ("Excel.Application"). Luego, el virus busca el archivo BOOK1 en la carpeta de inicio de Excel. En caso de que este archivo no esté presente, el virus infecta el Excel. Durante esto, el virus desactiva la protección antiviral de Excel en el registro del sistema, crea un nuevo WorkBook, copia su propio código y guarda este archivo con el nombre BOOK1 en la carpeta de inicio de Excel. Cada hoja de cálculo de esta carpeta se carga automáticamente cuando se inicia Excel, y Excel, como resultado, se infecta el próximo reinicio.
3. La infección por PowerPoint es bastante similar a la de Excel: el virus crea una nueva instancia de PowerPoint, busca una presentación llamada 'Blank Presentation.pot' en la carpeta de plantilla de PowerPoint e intenta localizar un módulo llamado 'Triplicate' en él. . Si este módulo no está presente, el virus infecta a PowerPoint: desactiva la protección antiviral en el registro del sistema, crea un nuevo módulo 'Triplicar' en 'Blank Presentation.pot' y copia su código de virus. Después de esto, el virus agrega una nueva 'forma' en la presentación con el ancho y la altura iguales al ancho y alto de la diapositiva, y establece el procedimiento de activación para esta forma en "actionhook ()" (Este procedimiento se activará cuando el usuario hace clic en esta forma).
Finalmente, el virus comprueba la infección actual del documento de Word y la infecta si aún no se ha infectado. Esta rama de la rutina de virus se ejecuta solo en el caso de que el virus se cargue desde una plantilla infectada y se cierre un nuevo documento no infectado.
Infección a través de hojas de cálculo y presentaciones
Los procedimientos de Excel y PowerPoint son bastante iguales, excepto por algunos detalles menores.
El virus utiliza el archivo BOOK1 en la carpeta de inicio de Excel como un identificador de la Oficina infectada. Entonces, el virus primero busca este archivo e infecta las aplicaciones de Office si este archivo no existe. Después de esto, el virus intenta infectar la aplicación de Word.
1. El virus obtiene objetos 'Word.Application'. Aquí, el virus usa otra función para obtener un objeto. En lugar de CreateObjects (), el virus usa la función GetObject (). Esta función obtiene objetos de la instancia de aplicación actualmente activa. El virus necesita eso para infectar NORMAL.DOT, al que no se puede acceder para escribir si ya está abierto por otra instancia de Word. Si Word no está activo en este momento, el virus acaba de crear una nueva muestra de Word.
Cuando se accede a la aplicación Word, el virus comienza su rutina de expansión. Elimina todos los códigos en la plantilla normal, crea el procedimiento 'DisableAV ()' y copia un bloque del código del virus allí, lo ejecuta y lo elimina. Este procedimiento corto (solo ocho líneas) deshabilita la protección antiviral de Excel y PowerPoint. Luego, el virus copia su código de un archivo infectado a la plantilla normal. La infección de Word está completa.
2. En esta etapa, las aplicaciones de Excel y PowerPoint están infectadas. El virus infecta la carpeta de inicio de Excel desde la presentación de PowerPoint o inserta su código en la plantilla de PowerPoint exactamente como se describió anteriormente cuando el virus se propaga desde un documento infectado de Word.
El procedimiento de activación de PowerPoint tiene un pequeño detalle adicional: el virus activa su código de infección de una en siete, según el contador aleatorio del sistema.
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com