Enciclopedia de virus

Este virus tiene un payload no destructivo que se activa cuando los usuarios abren un documento infectado de Word entre las 12:10 and 12:25 de cualquier día del año. Cuando esta acción tiene lugar, el virus muestra el siguiente texto en pantalla:

Wonder v2.0 by ThE wEiRd GeNiUs It"s time for lunch (UserName)

O97M/Halfcros is a polymorphic VBA macro virus infecting both Microsoft Word 97 documents and Excel 97 spreadsheets.

The virus goes into action when an infected document is opened. It disables the macro virus protection and infects the global template NORMAL.DOT. When the global template is infected, the virus will infect all opened Word documents.

It consists of two parts, a text part and an encrypted section. The main part of virus code is encrypted and placed in the virus body as a random-letters comments.

When the infected document is closed the virus opens Excel. It checks to see if there a file called Book1 can be found in Excel"s startup directory. If the file is not found it disables the macro virus protection by making some changes to the registry. It then creates and infects a file called Book1.

The virus goes into action when an infected sheet is closed. Then, it attempts to infect Word"s global template.

This virus has a no destructive payload that goes into action when users open an infected document in Word between 12:10 and 12:25 on any day. When this action takes place, the virus displays the following text:

Wonder v2.0 by ThE wEiRd GeNiUs It"s time for lunch (UserName)

O97M/Hopper.R es un virus de macro que infecta documentos de Word 97 y 2000, así como hojas de cálculo (libros) de Excel 97 y 2000. Este virus presenta una gran variedad de payloads dependiendo de la fecha del sistema.

O97M/Hopper.R desactiva la protección antivirus de macro tanto de Word 97/2000 como de Excel 97/2000.

Por otro lado, dependiendo de la fecha del sistema, el virus producirá los siguientes payloads: 

• En documentos de Microsof Word:  
• El día 1 de cada mes: Existe 1 posibilidad entre 10 de que todas las letras "l" del documento sean reemplazadas por números "1".
• El día 5 de cada mes: Existe 1 posibilidad entre 10 de que la palabra "not" sea borrada de todo el documento.
• El día 10 de cada mes: Existe 1 posibilidad entre 15 de que aparezca el Asistente de Word y el siguiente mensaje:

"Cross.BadSeed v0.41"
"Programmer: 1nternal"
"Class Infection: VicodenES"
"ActiveX Concept: 1nternal"
"Book1. Concept: VicodenES"
"1nternal also wishes to thank all contributors and supporters which have made Cross.BadSeed possible."  

• El día 15 de cada mes: Existe 1 posibilidad entre 10 de que se abra la página web del autor del virus  

• En libros de Excel:
  
• El día 1 de cada mes: Existe 1 posibilidad entre 10 de que se añada el texto Cross.BadSeed v0.41 a 10 celdas elegidas al azar.
• El día 5 de cada mes: Existe 1 posibilidad entre 3 de que se intercambien hasta 30 celdas elegidas al azar entre un número máximo de 5 columnas.
• El día 10 de cada mes: Se sustituirá el nombre del autor del libro por "1nternal".

Finalmente se observará un aumento de tamaño en la plantilla global, así como la creación de un libro de nombre "BOOK1" en el directorio XLStart.