Los fabricantes de virus (la gente del Vx) saben que la mayoría de la gente nunca intercambia programas, pero usualmente intercambia documentos. (dentro de las corporaciones por ejemplo)
WordBasic Macro Language es mucho más simple de aprender y dominar que el ASSEMBLER, o otros populares lenguajes de alto nivel, y por esta razón, la gente del VX (tanto los expertos como los novatos) lo han adoptado haciendo así realidad su sueño de infectar usuarios a través de diferentes plataformas.
Fue el primer macro virus en ser detectado por la comunidad anti virus.
La proliferación de este virus se debe al descuido de dos empresas las que lo distribuyeron copias infectadas en un CD-ROM.
Microsoft Windows '95 Software Compatibility Test
En 1995 Microsoft distribuyo miles de copias en un CD-ROM llamado
"The Microsoft Office 95 and Windows 95 Business Guide"
La infección por CONCEPT es fácil de identificar, cuando se ejecuta por primera vez, la MessageBox aparece con el dígito "1" dentro del botón de "Ok" . Su presencia se puede también verificar viendo si en las macros esta la siguiente secuencia:
AAAZFS *
AAAZAO *
AutoOpen
PayLoad *
FileSaveAs
El Concept Virus es capaz de ejecutarse en sistemas compatibles con Microsoft Word for Windows 6.x and 7.x, Word for Macintosh 6.x, inclusive bajo Windows 95 y Windows NT.
Mayor información sobre el CONCEPT Virus puede hallarse en :
http://www.research.ibm.com/xw-D953-wconc.
Usualmente conocido como Winword.Nuclear, Wordmacro-Nuclear and Wordmacro-Alert. Este fue el primer macro virus que infecto tanto Word Documents .DOT y .DOC como ejecutables (.COM/.EXE/NEWEXE)
En realidad esta compuesto de dos virus, un macro virus que infecta los archivos .DOC y .DOT y un virus ejecutable que infecta los programas.
Usualmente infecta las siguientes macros :
AutoExec
AutoOpen
FileSaveAs
FilePrint
FilePrintDefault
InsertPayload *
Payload *
DropSuriv *
FileExit
Las cuales se copian en la lista GLOBAL de Macros.
Una forma rápida de verificar si el equipo esta infectado es ver si en la lista de macros se encuentran "InsertPayload", "Payload", y "DropSuriv" de ser así hay altas probabilidades de estar infectado por él.
La macro "InsertPayload" causa la impresión del siguiente mensaje por cada 12th impresión.
And finally I would like to say:
STOP ALL FRENCH NUCLEAR TESTING IN THE PACIFIC!
La otra macro "Payload" intentara borrar los archivos IO.SYS, MSDOS.SYS y COMMAND.COM en Abril 5.
La parte ejecutable del virus pude identificarse por el siguiente string :
=Ph33r=
Qark/VLAD
Colors, es un macro virus que altera el seteo de colores del Windows. Las Mac son inmunes a el pero si son susceptibles de contagiarse y transmitirlo.
Un NORMAL.DOT infectado contendrá usualmente las siguientes macros :
AutoOpen
AutoClose
AutoExec
FileNew
FileExit
FileSave
FileSaveAs
ToolsMacro, y otras...
Antes de instalarse borra todas las macros, también luego de instalarse habilita las AutoMacros.
Usualmente conocido como WordMacro.DMV, DMV posiblemente es el primer macro virus creado usando WORDBasic Language. Joel McNamera escribió sobre el en 1994.
No es difícil de detectar ya que se anuncia al infectar el sistema.
También conocido como WORDMACRO HOT, WinWord.Hot.
Tiene la particularidad de permanecer dormido por 14 días y luego borrar un archivo.
Los documentos infectados contienen las siguientes macros:
AutoOpen
DrawBringInFrOut
InsertPBreak
ToolsRepaginat.
NOTA: Es el primer virus que hace llamadas al Windows API. En caso de infectar una MAC aparece el siguiente mensaje :
Unable to load specified library
HOT se activa en forma aleatoria dentro de los primeros 6 días de contagiado.
Este Macro virus fue encontrado en Febrero de 1996, su funcionamiento es similar al Concept virus.
Las diferencias con el Concep virus son las siguientes:
En Diciembre 13th, se activa la primera etapa. Intentara borrar todos los archivos del directorio actual.
En una segunda etapa se activan password que restringen el acceso de los documentos a sus dueños. Esto ultimo ocurre cuando el reloj del sistema esta en el segundo 13th y se realiza una operación de grabado. El password asignado al documento es ATOM#1.
Si se deshabilitan las AUTOMACROS, Atom se detendrá su contagio.
También conocido como WORDMACRO.FORMATC, y FORMAT.C.Macro.Trojan
El FORMATC Macro Virus, contiene solo una macro, AutoOpen, la que se ejecuta automáticamente cuando un documento es abierto. Esta macro es READ ONLY, haciéndola esto encryptada y por lo tanto imposible de editar. Puede verse en la lista de macros.
Al activarse ejecuta un format incondicional desde una sesión de DOS.
.