Alias: Triplicate, Crown

El virus O97M/Tristate es un virus de macro de VBA capaz de infectar tres aplicaciones de Oficce 97: documentos de Word, hojas de cálculo de Excel y presentaciones de PowerPoint.
Tiene varias variantes.

- Tristate.A
Cuando se activa el virus en Word, comprueba en primer lugar si la plantilla global está ya infectada. Si no es el caso, desactiva la protección contra virus de macro para Excel y Word, sin embargo, no la desactiva para PowerPoint. El virus también elimina todas las macros existentes de la plantilla global de Word.

Seguidamente ejecuta un chequeo para comprobar si se encuentra un archivo llamado "Book1." en el directorio de inicio de Excel. Si se encuentra este archivo, asume que Excel está ya infectado, en caso contrario, lanza Excel y guarda una hoja de cálculo infectada en el directorio de inicio de Excel.

Finalmente intenta infectar la plantilla "Blank Presentation" en PowerPoint. El virus lanza este programa y comprueba si ya está infectado chequeando la existencia de un módulo llamado "Triplicate". Si el módulo no es encontrado añadirá una figura invisible en la primera página y se copiará el mismo en la plantilla.

El proceso de infección es similar en las tres aplicaciones aunque la activación difiere en cada una de ellas. En Word se activará al cerrar el documento. En Excel cuando el cuaderno de trabajo es desactivado y en PowerPoint existe una posibilidad entre siete de activarse al hacer click con el ratón sobre la figura invisible.

Este virus no tiene efectos pero eliminará intencionadamente todas las macros de la plantilla global de Word.

Se pude ver el texto "<!–1nternal–> Triplicate v0.1 /1nternal" en todos los documentos infectados.

- Tristate.C
Es casi idéntica a Tristate.A. Existen ligeras modificaciones en el código del virus y en el texto: "<!–1nternal–> Triplicate v0.21 /1nternal".

- Tristate.D
Es una ligera modificación de Tristate.A cambiando el texto a "<!–1nternal–> Triplicate v0.2 /1nternal".

- Tristate.F
Es una variante modificada parcialmente de Tristate.C. La modificación hace que no sea posible infectar PowerPoint desde Excel. Sin embargo, la infección de Excel funciona desde Word.