Virus.MSWord.Uhrjap

Technical Details

Содержат различное количество макросов:

“Uhrjap.a”: one, DelNew, autoopen, autoclose, normclose

“Uhrjap.b”: Eee, autoclose, ToolsMacro, FileTemplates, ToolsCustomize,

Oao, autoopen.

Заражение системной области макросов происходит при открытии зараженного
документа, а других документов – при их закрытии.

“Uhrjap.b” при выборе меню Tools/Macro, Tools/Customize или File/Templates
удаляет свои макросы из документа (стелс).

Содержат деструктивные функции. “Uhrjap.a” при открытии каждого двадцатого
документа вирус каждые 10 минут проверяет количество букв в документе, и
если за 10 минут оно не изменилось, вирус запускает процедуру, которая
переименовывает все файлы в корневых каталогах и каталогах первого уровня
дисков C:, D: и E:, давая им имена “~tlpXXX.tmp”, где “XXX” – порядковый
номер файла в каталоге. Эту процедуру с вероятностью 2% вирус вызывает
также и при каждом открытии документов.

“Uhrjap.b” при открытии или закрытии документа вирус с вероятностью 1/30
либо устанавливает у документа пароль “uhrjap-uhrjap”, либо выводит его на
печать, либо удаляет из документа все пробелы и заменяет все цифры на
символ “#”. Кроме того с вероятностью 1/50 вирус запускает процедуру,
аналогичную “Uhrjap.a”: переименовывает все файлы в корневых каталогах и
каталогах первого уровня дисков C:, D: и E:, давая им имена “~037XXX.tmp”,
где “XXX” – порядковый номер файла в каталоге.