Virus Class.D

Efectos:

Class.D produce los siguientes efectos:

• Impide la edición y manipulación de macros en documentos de Word 97.
• Muestra el mensaje I Think ´UserName´ is a big stupid jerk! en la pantalla (el día 14, durante los últimos seis meses del año).
• Modifica de la plantilla global (fichero NORMAL.DOT) de Word 97.

Infecta los documentos de Word 97 que se utilicen, partiendo de la plantilla previamente infectada.

Metodo de infección:

Class.D lleva a cabo su infección, partiendo de un documento Word que contiene macros infectadas. Las macros que utiliza Class.D para realizar sus infecciones, son: AutoOpen y ViewVBCode (contenidas dentro del módulo ThisDocument).

Class.D produce su infección utilizando dichas macros y siguiendo este patrón:

• Se activa cuando se abre la ventana de Word 97.
• Infecta la plantilla (fichero NORMAL.DOT). De ello se encargan las macros AutoClose y ToolsMacro.
• Impide la protección antivirus en los documentos de Word 97 que contienen macros. Esto implica que es imposible acceder a la edición de macros y al Editor de Visual Basic.
• Class.D crea el fichero CLASS.SYS en el directorio raíz del disco duro C:\. Este fichero es una copia del virus en formato ASCII.
• Oculta su código de infección.
• Para conseguirlo, Class.D utiliza determinados operadores especiales del lenguaje WordBasic. Con la utilización de éstos, Class.D logra instalar su módulo en el área Classes de Word.
• Esta área, conocida como Classes, contiene las rutinas estándar que administran los sucesos de Word 97 -no se trata de un área estándar de las macros-.
• Dificulta su detección por parte de los programas antivirus, utilizando técnicas de polimorfismo.
• Class.D consigue aplicar dicho polimorfismo insertando comentarios dentro de su código vírico. Dichos comentarios se forman mediante el nombre del usuario infectado, la fecha y la hora de la infección e información adicional sobre la impresora detectada como predeterminada.

Metodo de propagación:

Class.D se propaga mediante documentos de Word ya infectados que contagian automáticamentela plantilla global de Word 97 (fichero NORMAL.DOT).

Gracias a este proceso, Class.D logra infectar los siguientes documentos de Word que se utilicen o se generen con dicha plantilla.

El documento infectado original llega a los ordenadores a través de distintas vías: mensajes de correo electrónico que contengan documentos infectados, redes de ordenadores, CD-ROMs, descargas desde Internet, FTP, disquetes, etc.

Otros detalles:

Class.D también se caracteriza por estar escrito en el lenguaje de programación Visual Basic.