При открытии документа Word вызывает макросы документа. Если документ заражен, то Word вызывает зараженные макросы, т.е. содержащие код вируса. Вирус переносит свои макросы в область глобальных макросов, переопределяет макрос FileSaveAs, а затем копирует их в каждый файл DOC, сохраняемый командой "Save As". При этом вирус переводит файл из "Word document" в категорию "Template", что делает невозможными дальнейшие изменения формата файла (конвертрование в какой-либо нe-Template формат).
При выхода из WinWord глобальные макросы (включая вирус) автоматически записываются в DOT-файл глобальных макросов. Таким образом, при следующем запуске WinWord вирус активизируется в тот момент, когда WinWord грузит глобальные макросы, т.е. сразу.
В зараженном файле присутствуют строки:
see if we’re already installed
iWW6IInstance
AAAZFS
AAAZAO
That’s enough to prove my point
В зараженной системе в файле WINWDRD6.INI присутствует строка
WW6I=1
При первом запуске вируса (т.е. при первом просмотре зараженного файла) появляется диалоговое окно с цифрой 1 внутри.
