Virus.MSWord.Cap-based

Technical Details

Зашифрован, написан на базе вируса “Word.Cap”. Содержит 9
макросов: PRiZM, AutoExec, AutoOpen, FileOpen, FileSave, FilePrint,
FileSaveAs, ToolsMacro, FileTemplates.

Размножается при открытии, закрытии документов и при их сохранении на диск.
При печати добавляет в конец документа строку:

Battle of life. Capital!!!

Использует методы “защиты” от эвристических сканеров: часть своего кода
хранит в строковых константах, которые при необходимости конвертируются в
макро-код и выполняются вирусом. Происходит это за несколько приемов с
использованием системного реестра, DDE-команд (Dynamic Data Exchange) и
даже временного EXE-файла.

Необходимые для размножения команды хранятся в виде DDE-инструкций. При
заражении документов вирус записывает их в системный реестр в
“HKEY_CLASSES_ROOT###fileshellopenddeexec” и регистрирует в реестре
расширение “###” таким образом, что в дальнейшем при открытии файлов с этим
расширением срабатывает DDEEXEC. Затем вирус создает во временном каталоге
Windows и запускает на выполнение достаточно короткий EXE-файл (имя файла
выбирается случайно), который создает и открывает файл “PRIZM.###”.
Поскольку расширение ### зарегистрировано вирусом на запуск DDEEXEC,
DDE-команды вируса активизируются, исполняются и переносят основной код
вируса в заражаемый документ.