Virus Bablas.BH

Efectos:

Bablas.BH produce los siguientes efectos:

• Borra la lista de los documentos utilizados recientemente.
• Modifica el título en la ventana de Word.
• Emisión pitidos acústicos.
• Muestra avisos de texto en la pantalla.
• Desactiva las siguientes opciones de configuración en Word: Preguntar si se guarda la plantilla Normal, Protección antivirus en macro y Preguntar por las propiedades del documento.
• Modifica la plantilla global (fichero NORMAL.DOT),para infectarla.
• Infecta los documentos de Word que se utilicen.

Metodo de infección:

Bablas.BH produce sus ataques mediante un documento Word que contiene las siguientes veinte macros:

ShowMessage, Bablas, ToolsMacro, ViewVBCode, FileTemplates, HelpAbout, ToolsOptions, ChangeCap, RestoreCap, OpenMyMacro, SikatDocument, SikatTemplate, AutoExit, FileOpen, AutoOpen, AutoClose, fileclose, filesave, Ancurin y AutoExec.

El método de infección de Bablas.BH, descrito cronológicamente, es el siguiente:

• Modifica el texto existente en la Barra de título de Word.
• Copia las macros de infección en la plantilla global de Word.
• Bablas.BH graba la plantilla global (NORMAL.DOT) y restaura los valores iniciales de la barra de título.
• Borra la lista de los documentos utilizados recientemente.

Esto quiere decir que, al desplegar el menú Archivo en la ventana de Word, no aparecerán los nombres de los últimos documentos que se han utilizado.

• Después de realizar determinadas acciones, Bablas.BH vuelve a activar la lista de los últimos documentos utilizados, pero sólo muestra en ella el último documento que se ha abierto
• Desactiva temporalmente las siguientes opciones de configuración: Preguntar si se guarda la plantilla Normal, Protección antivirus en macro y Preguntar por las propiedades del documento.

Después de realizar estas acciones, Bablas.BH vuelve a activar las opciones de configuración.

De este modo Bablas.BH impide que el usuario sea consciente de los cambios realizados.

• Bablas.BH vuelve a desactivar las opciones de configuración, cada vez que se cierre la ventana correspondiente a la configuración de Word.

Metodo de propagación:

Bablas.BH se propaga mediante documentos de Word ya infectados que contagian automáticamente la plantilla global de Word 97 (fichero NORMAL.DOT).

Gracias a este proceso, Bablas.BH logra infectar los siguientes documentos de Word que se utilicen o se generen con dicha plantilla.

El documento infectado original llega a los ordenadores a través de distintas vías: mensajes de correo electrónico que contengan documentos infectados, redes de ordenadores, CD-ROMs, descargas desde Internet, FTP, disquetes, etc.

Otros detalles:

Si se intenta acceder a la macro que Bablas.BH contiene, se solicita una contraseña. Si se escribe azizoke, se abre el Editor de Visual Basic, que Word incorpora para la manipulación de las macros.