Este virus de macros infecta el documento activo y la
plantilla NORMAL.DOT de Microsoft Word, cada vez que un
documento infectado es cerrado.
Una vez que NORMAL.DOT se infecta, todo documento será
infectado al cerrarse el mismo, luego de su edición con Word.
Nombre: W97M/Killboot
Tipo: Virus de Macro
Alias: W97M.Killboot
Fecha: 31/dic/02
Plataforma: Windows 32-bits
Cuando se ejecuta, el virus crea el siguiente archivo de
1,085 bytes:
C:Setver.exe
Este ejecutable es detectado como “Troj/Killboot.B”. Cuando
este troyano se ejecuta, el Master Boot Record de todos los
discos duros, es borrado con ceros (ver “Troj/Killboot.B.
Borra el MBR llenándolo de ceros”,
http://www.vsantivirus.com/killboot-b.htm).
El virus de macro también crea este archivo de 112 bytes:
C:Autoexec.bat
El mismo tiene las instrucciones para ejecutar el troyano en
el archivo “Setver.exe”. Tenga en cuenta que puede existir un
archivo “Setver.exe” legítimo (19 Kb aprox.) que utiliza el
MS-DOS, y que se instala también en Windows 9x y Me
(C:WindowsSetver.exe). El troyano tiene en cambio solo 1
KB.
Cuando el troyano se ejecuta, se procede al borrado del MBR,
siempre que ya no haya sido infectado, y que la fecha actual
sea superior a una definida en su código. Si la fecha es
inferior, el troyano copia su código en el MBR pero no lo
borra. Si el MBR ya está infectado, no hace nada más.
La fecha que contiene el troyano es definida en el momento
que el virus de macro W97M/Killboot crea el archivo
“C:Setver.exe”. El virus de macro inserta esta fecha
directamente insertando unos bytes en el código del troyano.
Sin embargo, el virus no posee un control del formato de
fecha de acuerdo a la región (por ejemplo, en nuestros
países, 1/12 sería 1 de diciembre, y en países de habla
inglesa sería 12 de enero). Esto hace que la fecha de
activación del troyano sea prácticamente randómica.
El virus de macro compromete también la seguridad del
Microsoft Word, deshabilitando las siguientes opciones del
menú:
1. Herramientas, Opciones, General, Confirmar conversiones al
abrir
Los documentos en formatos diferentes a los de Word (por
ejemplo .TXT) pueden ser convertidos al formato de Word
automáticamente. El usuario no recibe el pedido de
confirmación para esta conversión.
2. Herramientas, Opciones, General, Protección antivirus en
macros
Los documentos conteniendo macros pueden ser abiertos
automáticamente. El usuario no recibe el pedido de
confirmación para habilitar o deshabilitar los macros antes
de abrir el documento (Word 97). Word 2000 actúa diferente
con esta protección, y no es afectado en este caso. En ese
caso el virus también examina si el Word usado es el 2000 o
XP, y cambia la configuración de la seguridad a BAJA,
modificando el registro.
3. Herramientas, Opciones, Guardar, Preguntar si guarda la
plantilla normal
El usuario no es consultado para aceptar o no los cambios a
la plantilla NORMAL.DOT, siendo estos grabados
automáticamente, sin su conocimiento.
* Como limpiar documentos de Word infectados
Ejecute uno o más antivirus actualizados. Recomendamos el uso
de F-Macrow, antivirus de F-Prot solo para virus macros,
gratuito para uso personal, y que se actualiza con MACRO.DEF
(MACRDEF2.ZIP).
Programa y actualización pueden ser descargados de nuestro
sitio: http://www.vsantivirus.com/f-prot.htm
* Medidas complementarias con los macros
En Word 97, seleccione Herramientas, Opciones, pinche en la
lengüeta General, y marque la última casilla: “Protección
antivirus en macros” y “Confirmar conversiones al abrir”. En
Word 2000 y XP, vaya a Herramientas, Macro, Seguridad, y
cambie el nivel a Alto.
* Reparación manual
1. Actualice sus antivirus con las últimas definiciones
2. Ejecútelos en modo escaneo, revisando todos sus discos
3. Repare o borre los archivos detectados como infectados
* Información ampliada de “Troj/Killboot.B”
Troj/Killboot.B. Borra el MBR llenándolo de ceros
http://www.vsantivirus.com/killboot-b.htm
* Mostrar las extensiones verdaderas de los archivos
Para poder ver las extensiones verdaderas de los archivos y
además visualizar aquellos con atributos de “Oculto”, proceda
así:
1. Ejecute el Explorador de Windows
2. Seleccione el menú “Ver” (Windows 95/98/NT) o el menú
“Herramientas” (Windows Me/2000/XP), y pinche en “Opciones”
u
“Opciones de carpetas”.
3. Seleccione la lengüeta “Ver”.
4. DESMARQUE la opción “Ocultar extensiones para los tipos de
archivos conocidos” o similar.
5. En Windows 95/NT, MARQUE la opción “Mostrar todos los
archivos y carpetas ocultos” o similar.
En Windows 98, bajo “Archivos ocultos”, MARQUE “Mostrar todos
los archivos”.
En Windows Me/2000/XP, en “Archivos y carpetas ocultos”,
MARQUE “Mostrar todos los archivos y carpetas ocultos” y
DESMARQUE “Ocultar archivos protegidos del sistema
operativo”.
6. Pinche en “Aplicar” y en “Aceptar”.
* Limpieza de virus en Windows Me y XP
Si el sistema operativo instalado es Windows Me o Windows XP,
para poder eliminar correctamente este virus de su
computadora, deberá deshabilitar antes de cualquier acción,
la herramienta “Restaurar sistema” como se indica en estos
artículos:
Limpieza de virus en Windows Me
VSantivirus No. 499 – 19/nov/01
http://www.vsantivirus.com/faq-winme.htm
Limpieza de virus en Windows XP
VSantivirus No. 587 – 14/feb/02
http://www.vsantivirus.com/faq-winxp.htm
(c) Video Soft – http://www.videosoft.net.uy
(c) VSAntivirus – http://www.vsantivirus.com