Virus: W97M/Cuenta.A. Intenta borrar todo el disco duro

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 243 - Año 5 - Jueves 8 de marzo de 2001

Nombre: W97M/Cuenta.A
Tipo: Virus de macro de Word 97
Alias: Cuenta.A
Activo: Si

Se trata de un virus de macros, que solo funciona en las versiones en español de Word 97. Su código cuenta con dos macros: AutoClose y autoOpen.

Cuando un documento infectado es abierto con la opción de macros activada, se ejecuta el macro autoOpen. Este llama a la función llamada "Infesta" (SIC), que copia el módulo del virus "NewMacros", desde el documento activo, a la plantilla NORMAL.DOT en la carpeta "Plantillas", dentro del directorio de instalación de Word en español. Si esta acción falla por algún motivo, el virus intenta hacer la operación inversa, copiar el código del virus (el módulo NewMacros), de la plantilla NORMAL.DOT al documento activo.

Si la versión de Word no está en español, el virus no podrá activar esta rutina.

El macro "autoOpen" del virus, intentará leer un archivo llamado "Cuenta.sys", también ubicado en la carpeta "Plantillas". Si lo encuentra, contará el número de líneas en ese archivo, y si estas son 50 o más, se ejecutará la rutina maliciosa del virus.

Esta rutina examina la presencia del archivo "c:\windows\command\deltree.exe".

Si existe, se agregan al archivo C:\AUTOEXEC.BAT, las ordenes necesarias para borrar el contenido del disco C:\ en el próximo inicio de Windows. Si AUTOEXEC.BAT no existe, este será creado.

Sin embargo, debido a un error de sintaxis, esta acción no borrará automáticamente todos los archivos, carpetas y subcarpetas del disco C:\, sino que le pedirá al usuario el permiso para proceder a la eliminación de dicho contenido (que es la acción normal del comando DELTREE):

¿Desea eliminar el directorio "C:\" y todos sus subdirectorios? [sn]

Si el virus no encuentra el archivo "deltree.exe" en la carpeta "command", asume que se está ejecutando en Windows NT, busca los directorios "c:\winnt", "c:\windows", "c:\mis documentos" y "c:\my documents" y agrega (o crea) al archivo "C:\autoexec.bat" los comandos necesarios para borrar el contenido de dichas carpetas. Esto no funcionará en Windows NT, demostrando el desconocimiento o inexperiencia del autor en este sistema operativo.

El macro AutoClose, intentará infectar el documento activo, copiando el módulo NewMacros desde NORMAL.DOT. Si no ocurren errores en este proceso, el virus abre el archivo Cuenta.sys y agregará una línea de texto al mismo (una por cada documento):

Infectado el documento [ruta y nombre del documento]

Cuando esta lista llega a los 50 documentos infectados, se activará la rutina destructiva como vimos antes.

El virus no funciona en Word 98 (Macintosh), debido a que la ubicación de la plantilla NORMAL.DOT es incorrecta, aún en la versión en español.

Fuente: Computer Associates, Network Associates