W32/DocTor@MM, I.worm.DocTor@MM

DocTor es un gusano reportado el 25 de Junio del 2002, de gran difusión masiva en Internet, que se propaga a través de mensajes de correo electrónico, con un archivo anexado de nombre DocTor.exe con un Asunto y Contenido muy atractivos que simulan tener una herramienta para proteger los sistemas contra los macro virus. 

Haciendo uso de las funciones de las librerías MAPI (Messaging Application Programming Interface), una vez que un sistema es infectado, el gusano se auto-envía a todos los buzones de la libreta de direcciones de MS Outlook y Outlook Express, en un mensaje de correo:

Al hacer clic en el archivo infectado, el gusano se autocopia a la carpeta C:\Windows\doctor.exe y para ser ejecutado la próxima vez que se inicie el sistema crea la siguiente llave de registro:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
DocTor = %windir%\doctor.exe /newrun

%windir% es una variable que corresponde a C:\Windows en Windows 95/98/Me/XP y C:\Winnt en Windows NT\2000.

Al re-iniciarse el sistema, su payload consiste en buscar e infectar la plantilla Global de Microsoft Word y consecuente al ser ésta ejecutada, infectará todos los archivos con extensión .DOC, los cuales quedarán truncados.

Está desarrollado en Visual C++, com una extensión de 11.5 KB y está comprimido con el utilitario UPX (Ultimate Packer for eXecutables):

DocTor infecta todos los sistemas operativos Microsoft Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000, excepto a Windows XP.