|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde el 12 de agosto de 1996
| Virus: Melissa. El comienzo | ||
|---|---|---|
VSantivirus No. 75 - Año 3 - Domingo 28 de marzo de 1999 Algunas puntualizaciones sobre el "Melissa" Mutaciones del "Melissa" Nombre: WM97/Melissa Alias: Macro.Word97.Melissa Tipo: Virus de macros y Gusano de Internet El virus es conocido como W97M_Melissa o Macro.Word97.Melissa. Nos puede llegar en un archivo adjunto a un mensaje electrónico, enviado por alguien conocido (como el Happy99). Dicho mensaje, incluye en asunto (en inglés): "Important message from..." (Mensaje importante de...) y en el cuerpo del mensaje: "Here is that document you asked for ... don't show anyone else ;-)", donde se indica que dicho documento fue solicitado por usted (y que no se lo muestre a nadie más). Si usted es curioso, tratará de abrir el documento adjunto. Y si es precavido, lo revisará antes con un par de antivirus. Pero si esos antivirus no están actualizados, no encontrará nada anormal. Entonces, cuando abra ese archivo con cualquiera de las versiones de Word actuales (97 o 2000), el virus macro se activará y abrirá el Outlook en su computadora. En el Outlook, selecciona los primeros cincuenta nombres de su libreta de direcciones y les enviará a esas personas 50 mensajes con documentos de Word infectados. ¡Todos ellos recibirán un documento infectado de alguien conocido!. Y puede ser cualquier archivo Word, incluso confidencial, que usted tenga en su sistema. ¡Además de la infección, estará revelando sus documentos privados!. Al darse ciertas circunstancias el virus insertará un determinado texto en esos documentos, como veremos enseguida. Este virus de macros puede propagarse bajo las versiones 8 y 9 (Office97 y Office2000) de Microsoft Word. Infecta tanto documentos como plantillas de este programa, y como vemos, se envía a si mismo a través del correo electrónico. Una rutina de disparo incorporada, modifica algunas cosas en el registro del sistema, y además desactiva la protección contra virus de macros del Office 2000. Para propagarse a los documentos del nuevo Office, se aprovecha de su opción de conversión. Cada vez que una nueva versión de Office es ejecutada, y se cargan documentos o plantillas creadas por versiones anteriores, su contenido es convertido automáticamente a los nuevos formatos, incluidos los macros, y por lo tanto el propio virus. Es bajo estas circunstancias que desactiva la protección anti-virus del Office 2000, simplemente cambiando su nivel de seguridad. Dentro de su código se esconde un módulo llamado "Melissa". Este módulo incorpora la función "Document_Open" a los documentos infectados, y "Document_Close" a la plantilla NORMAL.DOT. Para infectar documentos y plantillas el virus copia línea a línea su propio código a otro documento abierto. En caso de que el NORMAL.DOT ya esté infectado, el virus renombra su código como "Document_Close", y cuando el virus copia el código de NORMAL.DOT a un documento, lo renombra como "Document_Open". Para enviarse a si mismo a través del correo electrónico, el virus usa algunas rutinas de VisualBasic que le permiten activar otras aplicaciones de Microsoft, de este modo consigue acceso al Outlook y a sus funciones. El virus toma de la libreta de direcciones de este programa, los cincuenta primeros nombres y les envía a cada uno de ellos un nuevo mensaje con un documento vinculado (un archivo adjunto por supuesto infectado). Este documento puede ser el que usted está revisando en ese momento (documento activo). Un documento confidencial, que puede ser distribuido por toda la red sin que usted lo sepa. Sin embargo, el virus envía una sola vez el mensaje infectado. Para ello, verifica este dato en el registro:
Si esta entrada no existe, y antes de crearla, el virus envía los mensajes infectados. La próxima vez, si la entrada existe, no enviará ningún mensaje.
Dentro del virus pueden encontrarse estos comentarios:
* VSantivirus No. 75 - Año 3 - Domingo 28 de marzo de 1999
El documento infectado se adjunta a un mensaje e-mail con la siguiente información: Asunto: Trust No One Cuando el documento es abierto, el virus (worm) toma el control. Primero comprueba el registro del sistema buscando una marca del "Melissa.a", y si no está presente, toma la primera dirección que encuentra en la libreta de direcciones del OutLook y envía un mensaje con una copia del virus a esa dirección. En ese momento, el virus inserta un texto en el documento infectado:
(Extractado del boletín informativo de AVP España del 31 de
Marzo de 1.999) |
||
