|
Efectos:
Tristate.C produce los siguientes efectos: - Desactiva la opción que permite abrir documentos de Word, hojas de cálculo de Excel y presentaciones de PowerPoint sin activar las macros que contienen.
- Modifica el archivo NORMAL.DOT, produciendo así la infección de la plantilla global de Word y todos los documentos de Word que se utilicen.
- Infecta la plantilla de PowerPoint (archivos BLANK PRESENTATION.POT o PRESENTACIÓN EN BLANCO.POT, dependiendo del idioma de la aplicación), infectando así toda presentación que se cree tomando como base esa plantilla.
- Copia un archivo infectado en el directorio de Inicio de Excel (Microsoft Office\ Office\ XLStart, MicrosoftOffice\ Office\ InicioXL o Microsoft Office\ Office\ Inicio dependiendo del idioma de la aplicación), produciendo así la infección de todos las hojas de cálculo o libros que se utilicen.
- Borra todas las macros que el usuario pueda haber definido en la plantilla global de Word NORMAL.DOT.
- Inserta el siguiente texto en todos los documentos de Word que infecta:
<-1nternal-> Triplicate v0.2 /1nternal
Metodo de infección:
La infección se extiende de una aplicación a otra, es decir, en el momento en el que el virus infecte la aplicación Word, procederá a infectar Excel y PowerPoint. Lo mismo ocurre si la primera aplicación infectada es Excel o PowerPoint, el virus intenta infectar las otras dos. Tristate.C realiza operaciones distintas dependiendo del tipo de archivo que infecta: Cuando infecta archivos de Excel, el virus modifica las siguientes entradas del Registro de Windows: - HKEY_CURRENT_USER\ Software\ Microsoft\ Office\ 8.0\ Excel\ Microsoft Excel
Options6 = Check - HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Office\ 8.0\ New User Settings\ Excel\ Microsoft Excel
Options6 = "" - HKEY_USERS\ .Default\ Software\ Microsoft\ Office\ 8.0\ Excel\ Microsoft Excel
Options6 = Whoa
En el caso de las presentaciones de PowerPoint, Tristate.C modifica las siguientes entradas: - HKEY_CURRENT_USER\ Software\ Microsoft\ Office\ 8.0\ PowerPoint\ Options
MacroVirusProtection = "" - HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Office\ 8.0\ New User Settings\ PowerPoint\ Options
MacroVirusProtection = "" - HKEY_USERS\ .Default\ Software\ Microsoft\ Office\ 8.0\ PowerPoint\ Options
MacroVirusProtection = ""
Infecciones en Word: - En primer lugar, el virus comprueba si la plantilla global NORMAL.DOT se encuentra infectada. Si no es así, la infecta.
- Borra todas las macros que pudieran haber sido definidas con anterioridad en dicha plantilla.
- Una vez se ha infectado la plantilla global, todo documento de Word que se utilice en el ordenador quedará automáticamente infectado.
Infecciones en Excel: - Tristate.C comprueba si existe un archivo llamado BOOK1 en el directorio de Inicio de Excel. Si fuese así, el virus asumiría que la aplicación ya se encuentra infectada.
- De lo contrario, abre Excel y crea un archivo infectado de nombre BOOK1 guardándolo en el directorio de Inicio de la aplicación. Dicho archivo se cargará cada vez que se abra Excel. Como consecuencia, toda hoja de cálculo que se utilice tras iniciar Excel quedará automáticamente infectada.
Infecciones en PowerPoint: - En primer lugar, el virus comprueba si la plantilla que utiliza esta aplicación (BLANK PRESENTATION.POT o PRESENTACIÓN EN BLANCO.POT, dependiendo del idioma de la aplicación) está infectada. Para ello comprueba si contiene un módulo llamado Triplicate. En caso de ser así, el virus interpreta que la aplicación ya se encuentra infectada.
- En caso contrario, Tristate.C procede a infectar la plantilla. Para ello inserta un objeto invisible en su primera diapositiva. A partir de ese momento, el virus infectará todas las presentaciones que se creen y estén basadas en la plantilla infectada.
El virus se activa de forma diferente en cada aplicación: - En Word, el virus se activa al cerrar un documento infectado. Para ello utiliza la función Document_Close.
- En Excel, el virus se activa de manera automática al cerrar un libro infectado, o cuando el usuario pasa de un libro de Excel abierto (e infectado) a otro. Para ello utiliza la función WorkBook_Deactivate.
- En PowerPoint, Tristate.C se activa una de cada siete veces en que se pulse sobre una diapositiva de una presentación infectada.
Metodo de propagación:
Tristate.C no se propaga automáticamente por sus propios medios, sino que extiende su infección a documentos de Word, hojas de cálculo de Excel y presentaciones de PowerPoint. Llega a otros ordenadores cuando se distribuyen los archivos previamente infectados, que pueden entrar al ordenador a través de cualquiera de las vías habituales: disquetes, CD-ROMs, mensajes de correo electrónico con archivos adjuntos, descargas de Internet, transferencia de archivos a través de FTP, canales IRC, redes de intercambio de archivos punto a punto (P2P), etc. Otros detalles:
Tristate.C tiene un tamaño de 6808 Bytes. |
