Virus.MSWord.Wazzu

Clase de padre: VirWare

Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.

Clase: Virus

Los virus se replican en los recursos de la máquina local. A diferencia de los gusanos, los virus no usan los servicios de red para propagarse o penetrar en otras computadoras. Una copia de un virus llegará a las computadoras remotas solo si el objeto infectado, por alguna razón no relacionada con la función del virus, está activado en otra computadora. Por ejemplo: al infectar discos accesibles, un virus penetra en un archivo ubicado en un recurso de red, un virus se copia en un dispositivo de almacenamiento extraíble o infecta un archivo en un dispositivo extraíble, un usuario envía un correo electrónico con un archivo adjunto infectado.

Más información

Plataforma: MSWord

Microsoft Word (MS Word) es un popular procesador de textos y parte de Microsoft Office. Los archivos de Microsoft Word tienen una extensión .doc o .docx.

Descripción

Detalles técnicos

Este virus contiene solo una macro autoOpen e infecta los archivos cuando MS Word los abre y copia sus macros al área Global (NORMAL.DOT) cuando MS Word abre un documento infectado. El virus no está encriptado y puede detectarse fácilmente escaneando cadenas de texto:

RndWorddohacer wazzuRndWorddRgV

Después de infectar un documento o instalarlo en el sistema, el virus toma una palabra seleccionada aleatoriamente del documento y la mueve a la posición seleccionada al azar. El virus lo repite hasta tres veces según el contador aleatorio. Luego, también, dependiendo del contador aleatorio, inserta la cadena "wazzu" en la posición seleccionada al azar dentro del documento.

En detalle: el virus tiene tres subrutinas en su macro:

PRINCIPAL: es la rutina principal y toma el control cuando se abre automáticamentemacro se ejecutaPayload - es llamado por MAIN, reemplaza palabras e inserta "wazzu".RndWord - es llamado por Payload, establece la posición seleccionada al azardentro del documento

El virus modifica el documento con las probabilidades (p): reemplazando palabras - tres veces con p = 1/5, insertando "wazzu" - p = 1/4.

Virus relacionados con Wazzu

El virus original "Wazzu" ("Wazzu.a") es uno de los virus más extendidos en el mundo. La posible razón es que este virus se colocó en el sitio web de Microsoft, los documentos infectados también se distribuyeron en varios discos CD. Como resultado, hay varias docenas de virus relacionados, y la cantidad de virus relacionados aumenta cada mes. A continuación se incluyen descripciones breves, para nombrar virus, se usan los nombres CARO estándar (AVP detecta y desinfecta la mayoría de estos virus como "Wazzu.a").

"Wazzu.b, i" difiere del original solo por comentario incluido:

<- - - - - - aquí está la carga útil

"Wazzu.c, t, ac" no se manifiestan de ninguna manera: no tienen subrutina de carga útil (la subrutina RndWord se presenta en el virus, pero nunca se llama).

"Wazzu.d, f, q, w, ad" no tienen ambas subrutinas Payload y RndWord. "Wazzu.f" es el virus más corto de la familia: su código (datos binarios en un archivo infectado) tiene solo 318 bytes de longitud.

"Wazzu.e, h" son variantes encriptadas de "Wazzu" original. "Wazzu.h" está ligeramente dañado y puede detener MS Word o provocar un mensaje de error.

"Wazzu.g, r" son virus cifrados. "Wazzu.g" contiene la subrutina EatThis en lugar de la carga útil original. Con probabilidad 1/10, estos virus muestran un MessageBox con el texto:

Microsoft WordEste es para ti, Bosco.

"Wazzu.k" está dañado "Wazzu.a".

"Wazzu.l" no tiene ninguna subrutina en macro excepto PRINCIPAL. Con probabilidad 1/10, agrega la cadena "wazzu!" hasta el final del documento.

"Wazzu.m, s" no tienen subrutina de carga útil, pero llámalo. Eso causará el mensaje de error de Word.

"Wazzu.u, aa, ad" son lo mismo que "Wazzu.a", pero no inserte la cadena "wazzu".

"Wazzu.x" no contiene ninguna subrutina excepto PRINCIPAL. Contiene el texto:

El virus Meat Grinder - Gracias a Kermit the Frog,y Kermit el Protocolo

"Wazzu.y, z" son lo mismo que "Wazzu.a", pero el código de estos virus se modifica ligeramente, por ejemplo, todos los símbolos TAB (09h) se reemplazan por 8 espacios en "Wazzu.y".

Leer más

Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com