|
Macro.Excel97-вирусы
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 1
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel97-вирусы
Macro.Excel.Phantom
Macro.Excel.Sugar, семейство
Macro.Excel97 Laroux, Legend, Lord, Robocop, Tjoro, Yohimbe
Macro.Excel97.Neg
Macro.Excel97.Police
Macro.Excel97.Riots
Macro.Excel97.SW
|
| |
|
|
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 2
|
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel.Phantom
Стелс-вирус, заражающий электронные таблицы Excel (XLS-файлы). Содержит два модуля: ArtiLife и Replicator. В модуле ArtiLife содержится авто-функция auto_open, которая инсталлирует вирус в Excel и устанавливает функцию DeliverPayload (модуль Replicator) на выполнение в 16:00:00. При инсталляции вируса в Excel (заражение Excel) вирус создает в StartupPath Excel зараженный файл с именем ~XL.XLA. Применяет необычный для макро-вирусов стелс-механизм: при открытии файла удаляет из него свои модули, а при закрытии снова заражает его. Функция DeliverPayload, вызываемая в 16:00, выдает сообщения в StatusBar:
The Phantom <номер от 1 до 27>
Is watching you!
Beware!
|
| |
|
|
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 3
|
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel.Sugar, семейство
Стелс-вирусы, заражающие электронные таблицы Excel. Перехватывают процедуры активации и деактивации страниц (открытие/закрытие — Workbook_WindowDeactivate, Worksheet_Activate) и заражает файлы при их открытии/закрытии. Вирусы семейства записывают свои макросы в заражаемые файлы в виде «классов» (см. Macro.Word97.Class).
Sugar.a
Создает в каталоге автозапуска Excel зараженный файл Book1. Отключает Macro Virus Protection, при этом использует не команду VisualBasic, а обращается в системный реестр.
В зависимости от минут, дня и месяца вставляет в текущую таблицу до 200 ячеек с текстом «-(Dr. Diet Mountain Dew)-» и меняет их фонт и цвет. В завершение вставляет в самцю первую ячейку таблицы сообщение:
The -[Sugar.Poppy]- by VicodinES
Вирус также содержит комментарий:
'=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
'The Sugar.Poppy Excel Class Object Virus'
' written by VicodinES '
'=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
' Can I have a bottle of '
' WARM DIET MOUNTAIN DEW '
'=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
Sugar.b
Практически полностью совпадает с предыдущей версией вируса. Отключение Macro Virus Protection осуществляет при помощи Word-макроса AutoExec, в который записывает необходимые команды. Word-макрос создает при помощи функций экспорта макросов в область глобальных макросов Word.
Содержит комментарий:
'-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
'Sugar.Poppy.II Excel Class Object Virus'
' written by VicodinES '
'-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
' Can I have a bottle of '
' WARM DIET MOUNTAIN DEW '
'-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
' Now it infects '
' ANY AND ALL CLASS OBJECTS '
'-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
' Module Parasitic Code Added '
'-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-'
|
| |
|
|
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 4
|
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel97 Laroux, Legend, Lord, Robocop, Tjoro, Yohimbe
Являются вирусами MS Excel, отконвертированными в формат Excel97. Как результат, набор макросов, функции, особенности и проявления этих вирусов полностью совпадают с их Excel-евскими прототипами. |
| |
|
|
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 5
|
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel97.Neg
Заражает электронные таблицы Excel97. Алгоритм и проявления вируса совпадают с его Excel-прототипом "Macro.Excel.Neg" . |
| |
|
|
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 6
|
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel97.Police
Заражает электронные таблицы Excel. Является "родственником" вируса "Macro.Excel.Laroux" . Содержит четыре подпрограммы в одном модуле "Police": Auto_Open, action, Auto_Close, effect. При открытии зараженной таблицы вызывается макрос auto_open, который в случае необходимости копирует себя в новый файл FUCKPOL.XLM в каталоге запуска Excel и, таким образом, заражает Excel. Вирус также определяет макрос заражения action как выполняемый при активизации любой таблицы (Sheet), т.е. перехватывает процедуру открытия таблиц и заражает их. Вирус удаляет пункты меню: Tools/Macro, Tools/Customize..., View/Toolbars, View/Status Bar, Window/Unhide... При открытии файлов по 1, 13, 31 числам каждого месяца вирус удаляет текущую страницу и выдает Balloon-ы (см. ниже). Эти Balloon-ы не выводятся, если установлено UserName = "foxz" и OrganizationName = "NoMercyVirusTeam". Видимо, автор вируса таким образом блокирует проявления вируса на собственном компьютере. Выводимые строки текста выглядят следующим образом:
XM97.Fucking Police
Six students of Universitas Trisakti, Jakarta, died from bullets fired by
security personnel during an action of concern staged by thousands of
students at the campus of Universitas Trisakti, Grogol, West Jakarta, on
Tuesday (12/5). The six students were shot while on campus by a flurry of
bullets, suspected to be fired by security troops on the Grogol fly-over.
Dozens of other students suffered serious and minor injuries.
XM97.Fucking Police
Until this report was prepared, around 200 students were still waiting in
the corridors of the Sumber Waras Hospital, guarding their fellow-students
still being treated in the Emergency Unit, as well as the remains of their
colleagues laying in state. A moving atmosphere prevailed around the
morgue, resounding with the shrieks and crying of the victims' relatives
(text by kompas online)
I hate You !!
Bwahahahaha, die you lamer!
|
| |
|
|
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 7
|
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel97.Riots
Excel-макро-вирус, родственник вируса "Macro.Excel.Laroux" . Заражает электронные таблицы Excel97. Содержит два макроса в модуле Riots: Auto_Open, Auto_Close, Fuck. При открытии зараженной таблици вызывается макрос auto_open, который в случае необходимости копирует себя в новый файл RIOTS.XLM в StartupPath Excel и, таким образом, заражает Excel. Вирус также определяет макрос заражения Fuck как выполняемый при активизации любой таблицы (Sheet), т.е. перехватывает процедуру открытия таблиц и заражает их. При закрытии файлов 13 числа удаляет текущую страницу и выдает Balloon
XM97.Riots!
by: Sbkm/AbZreplIvehfGrnz
Encripted for safe me :o)
После чего выдает MessageBox:
>>XM.Riots<< if U smart you can read it!
Jr jnag ersbezngvba!
1. Ybj Gur cevpr
2. Oevat onpx zl Ehcvnu
3. Ab Zber Fbrunegb Pyna!
Sbkm/AbZreplIvehfGrnz
[color=red]
|
| |
|
|
|
| shaman |
Дата: Суббота, 25.09.2010. Сообщение # 8
|
|
Заблокированный
Сообщений: 887
Нет на сайте
|
Macro.Excel97.SW
Макро-вирус, перехватывает процедуру активиции таблиц Excel и заражает их. Является "родственником" вируса "Macro.Excel.Laroux". Содержит три макроса в модуле "sw": Auto_Open, no, Auto_Close.
Удаляет все пункты меню, панели инструментов и даже "горячие клавиши", предназначенные для работы с макросами. В зависимости от текущего времени домножает на 10 содержимое всех формул в ячейках с B4 до G40. По субботам и воскресеньям очищает содержимое таблицы и выдает MessageBox:
Ha! Ha! Ha! Idiot ! ! !
Today is rest day!
Why do you work so hard?
All work and no play make you a dull boy!
Come on! Let's go out and have some fun!
|
| |
|
|
|
| FAQpk.ru © 2010-2013