Virus.MSOffice.Triplicate

Detalles técnicos

Cuando el virus se activa desde un documento infectado de Word, primero desactiva la protección antivirus de Word y busca la plantilla NORMAL.DOT y luego busca la presencia de virus en ella. Si este archivo aún no está infectado, el virus considera que el sistema no está infectado y comienza a ingresar otros componentes de Office. Estas operaciones contienen tres pasos: infección de Word, infección de Excel e infección de PowerPoint.

1. La infección de Word es la operación más simple en este virus. Simplemente copia su código del documento actual a la plantilla normal (NORMAL.DOT).

2. La infección de Excel es más compleja. En primer lugar, el virus inicia una nueva instancia de Excel utilizando la función CreateObject ("Excel.Application"). Luego, el virus busca el archivo BOOK1 en la carpeta de inicio de Excel. En caso de que este archivo no esté presente, el virus infecta el Excel. Durante esto, el virus desactiva la protección antiviral de Excel en el registro del sistema, crea un nuevo WorkBook, copia su propio código y guarda este archivo con el nombre BOOK1 en la carpeta de inicio de Excel. Cada hoja de cálculo de esta carpeta se carga automáticamente cuando se inicia Excel, y Excel, como resultado, se infecta el próximo reinicio.

3. La infección por PowerPoint es bastante similar a la de Excel: el virus crea una nueva instancia de PowerPoint, busca una presentación llamada 'Blank Presentation.pot' en la carpeta de plantilla de PowerPoint e intenta localizar un módulo llamado 'Triplicate' en él. . Si este módulo no está presente, el virus infecta a PowerPoint: desactiva la protección antiviral en el registro del sistema, crea un nuevo módulo 'Triplicar' en 'Blank Presentation.pot' y copia su código de virus. Después de esto, el virus agrega una nueva 'forma' en la presentación con el ancho y la altura iguales al ancho y alto de la diapositiva, y establece el procedimiento de activación para esta forma en "actionhook ()" (Este procedimiento se activará cuando el usuario hace clic en esta forma).

Finalmente, el virus comprueba la infección actual del documento de Word y la infecta si aún no se ha infectado. Esta rama de la rutina de virus se ejecuta solo en el caso de que el virus se cargue desde una plantilla infectada y se cierre un nuevo documento no infectado.

Infección a través de hojas de cálculo y presentaciones

Los procedimientos de Excel y PowerPoint son bastante iguales, excepto por algunos detalles menores.

El virus utiliza el archivo BOOK1 en la carpeta de inicio de Excel como un identificador de la Oficina infectada. Entonces, el virus primero busca este archivo e infecta las aplicaciones de Office si este archivo no existe. Después de esto, el virus intenta infectar la aplicación de Word.

1. El virus obtiene objetos 'Word.Application'. Aquí, el virus usa otra función para obtener un objeto. En lugar de CreateObjects (), el virus usa la función GetObject (). Esta función obtiene objetos de la instancia de aplicación actualmente activa. El virus necesita eso para infectar NORMAL.DOT, al que no se puede acceder para escribir si ya está abierto por otra instancia de Word. Si Word no está activo en este momento, el virus acaba de crear una nueva muestra de Word.

Cuando se accede a la aplicación Word, el virus comienza su rutina de expansión. Elimina todos los códigos en la plantilla normal, crea el procedimiento 'DisableAV ()' y copia un bloque del código del virus allí, lo ejecuta y lo elimina. Este procedimiento corto (solo ocho líneas) deshabilita la protección antiviral de Excel y PowerPoint. Luego, el virus copia su código de un archivo infectado a la plantilla normal. La infección de Word está completa.

2. En esta etapa, las aplicaciones de Excel y PowerPoint están infectadas. El virus infecta la carpeta de inicio de Excel desde la presentación de PowerPoint o inserta su código en la plantilla de PowerPoint exactamente como se describió anteriormente cuando el virus se propaga desde un documento infectado de Word.

El procedimiento de activación de PowerPoint tiene un pequeño detalle adicional: el virus activa su código de infección de una en siete, según el contador aleatorio del sistema.