ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Virus.MSWord.Outlaw

Clase Virus
Plataforma MSWord
Descripción

Detalles técnicos

Estos son virus de macro semi-polimórficos: al infectar un archivo, copian sus tres macros con nombres seleccionados al azar, por lo que no hay un conjunto fijo para los nombres de las macros en los archivos infectados y NORMAL.DOT.

Para realizar este semipolmorfismo, el virus usa el contador aleatorio y el temporizador del sistema; al seleccionar un nuevo nombre para macro, el virus establece la primera letra en nombre dependiendo de la hora actual: 1 – 'A', 2 – 'B', 3 – 'C 'y así sucesivamente, y luego agrega cuatro dígitos seleccionados al azar. Como resultado, los nombres seleccionados al azar se ven como: O8493, O7920, O9259, o M8064, M8908, M8151.

Otra versión de este virus puede usar otros esquemas para construir los nombres, "Outlaw.Goodbye" también inicia los nombres de las macros según la hora actual, pero usa otro conjunto de letras: 1 – 'AZ', 2 – 'BY', 3 – 'CX', y así sucesivamente.

No hay auto-macros en el virus, y para obtener el control, el virus asigna sus macros con pulsaciones de teclas: tecla SPACE: macros que infectan el área global de macros, tecla 'E': macros que infectan el documento actual.

Para obtener el nombre de la macro actual mientras se copia y para ejecutar su macro de carga, el virus utiliza dos formas. Para obtener sus nombres de un documento, el virus crea tres variables en el documento: VirNameDoc, VirName, VirNamePayload y guarda los nombres actuales mientras infecta. En caso de necesidad, el virus recibe estos nombres de allí.

Para obtener los nombres en caso de NORMAL.DOT (área global de macros) el virus crea tres registros que contienen los nombres actuales en el Perfil del sistema (archivo WIN.INI) en la sección [Intl], estas cadenas son:


[Intl]
Nombre =
Name2 =
Name3 =

El 20 de enero, el virus original "Outlaw" ejecuta su rutina desencadenante. En Windows95 y dependiendo de varias otras condiciones, el virus reproduce un sonido: suelta el archivo LAUGH.WAV y lo reproduce (este archivo contiene la grabación grabada). El virus también inserta en el documento actual las cadenas:


Estás infectado con
Proscrito
Un virus de Nightmare Joker
Hay una variante cifrada del "Outlaw" original: el virus "Outlaw.b".

"Outlaw.Black" contiene dos macros con nombres aleatorios de 8 letras (por ejemplo, DIJRCJCY, DOFYBPIT). Este virus muestra el cuadro de mensaje:


Caballero oscuro

"Outlaw.Goodbye" está encriptado, además de tres macros con nombre aleatorio que contiene dos macros "sigilosas": ToolsMacro y ExtrasMakro. Mientras selecciona Herramientas / Menú de macros, el virus muestra menús "ficticios" y muestra mensajes de error de la misma manera que el virus Magnum .

El 10 de octubre, este virus elimina y ejecuta el virus DOS "VLAD.Goodbye", crea una nueva plantilla y escribe el texto allí:


¡Estás infectado con el Virus MooNRaiDer!
¡Saludos a todos los miembros de Vlad!
¡Espero que ese no sea el final!
¡La escena sería aburrida sin este grupo tan bueno!
Pesadilla Joker

Este virus luego crea la sección SystemProfile (archivo WIN.INI):


[Vlad]
Adiós = Sí


Enlace al original