|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Virus: W32/Coke.A. Se propaga en Word, .EXE, .SCR y vía e-mail | ||
|---|---|---|
VSantivirus No. 489 - Año 6 - Viernes 9 de noviembre de 2001 Nombre: W32/Coke.A Tipo: Gusano de Internet, virus de macro e infector de EXE Alias: W32/Coke.22231.A, Vecna, Cocaine, Coke.22231.A Este virus funciona en Windows 95/98 y NT, aunque debido a un error en su programación, falla en este último caso en algunas ocasiones. Es un virus residente en memoria y altamente polimórfico (se modifica a si mismo en cada infección, no existiendo nunca dos ejemplares iguales). Infecta archivos PE (Portable Executable), y documentos y plantillas de Word. También es capaz de propagarse a través del correo electrónico. Contiene dos engines diferentes para realizar su acción polimórfica. Una de ellas actúa al infectar archivos ejecutables PE (.EXE,.SCR, etc.). La otra es usada en la infección de la plantilla NORMAL.DOT de Word. Utiliza múltiples hilos y múltiples capas para cambiar su código en cada infección, lo que enlentece su funcionamiento. Llega a utilizar hasta dos niveles de encriptación, y a dividir su código en ocho partes, las que son encriptadas y desencriptadas en forma independiente si fuera necesario. Utiliza las APIs de Windows para llevar a cabo la mayoría de sus procesos de propagación e infección. Puede propagarse de tres modos diferentes:
Por lo tanto puede llegar a nuestro PC a través de CDs o disquetes infectados, descarga de archivos de Internet, correo electrónico, etc.
Utiliza dos métodos diferentes para propagarse vía e-mail:
Cuando se ejecuta, W32/Coke deshabilita las protecciones de macro de Word.
Si el virus se ejecuta cuatro meses después de la primera infección, se muestra una ventana con el siguiente título:
Y uno de los siete diferentes textos, seleccionados al azar:
Cuando infecta una plantilla de Word (NORMAL.DOT), primero examina si existe este archivo:
ANCEV es VECNA al revés. Si ese archivo existe, significa que NORMAL.DOT está infectado. En ese caso, nueve de cada diez veces el virus no hará nada más, pero en la número diez, volverá a infectar a la plantilla NORMAL.DOT.
La protección antimacros, es deshabilitada modificando la siguiente clave del registro:
La infección de archivos .EXE desde la plantilla NORMAL.DOT, comienza con la creación de un archivo
.SCR que contiene la imagen del archivo en código ASCII, y un archivo de proceso por lotes
(.BAT), el cuál invoca la función DEBUG de MS-DOS para convertir el código ASCII en un formato PE y luego ejecutarlo.
La razón de infectar estos programas, es hacer que el virus esté en memoria cuando el usuario se conecta para enviar su correo, etc.
Luego de infectar estos archivos, el virus captura las funciones
WinExec y CreateProcessA de Windows, para averiguar el directorio desde donde es llamado el archivo infectado, y luego proceder a infectar el contenido de ese directorio (solo archivos .EXE y .SCR). El virus permanece en memoria como un proceso del ejecutable infectado. |
||
