Macro.Word97-вирусы

shaman

Дата: Воскресенье, 26.09.2010. Сообщение # 26

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Cipher

Содержит 7 макросов в одном модуле "Cipher": AutoNew, AutoOpen, AutoClose, cphrdoc, hideb, WindowsDirectory, spreadIB. Заражение происходит при создании, открытии и закрытии документов (AutoNew, AutoOpen, AutoClose). В зависимости от датчика случайных чисел скрывает в StatusBar все иконки, устанавливает на документ пароль "MisterCipher" или выдает MessageBox:

Time Signal
I say to you that it's <time>
It's too late. You must finish to work before next time!!!
Bye,Bye

В пятницу 17-го, по 31-м числам и 25 апреля вирус создает на диске файл, зараженный вирусом Italian.578. При закрытии файлов 25 апреля или в зависимости от случайного числа шифрует весь текст документа и выдает MessageBox:

I want to say to you: L'Italia ш una ed indivisibile e c'ш la morte per
chi la divide!!!!!.....
Are you angry because you lost your document?+; Kill Bossi, the fault is his
Mister Cipher reigning

shaman

Дата: Воскресенье, 26.09.2010. Сообщение # 27

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Clara

Полиморфик-стелс-вирус. Содержит 8 макросов в одном модуле "Clara": GetRandom, Effect, AutoOpen, AutoClose, ToolsMacro, ViewVBCode, ToolsCustomize, FileTemplates. Записывается в системную область макросов при открытии зараженного документа (AutoOpen). Заражение файлов происходит при их открытии и закрытии (AutoOpen, AutoClose). При открытии файла вирус выключает опцию VirusProtection. Блокирует вызов меню Tools/Macro, File/Templates, View/VBCode, Tools/Customize (стелс). Полиморфный механизм добавляет в код вируса строки со случайными комментариями случайной длины. По 1-м числам каждого месяца выдает Baloon и MessageBox:

WM97.Clara
Author: Foxz/NoMercyVirusTeam

WM97.Clara
Thanks friends

Содержит комментарии:

Thanks to Pyro
Thanks Chasm

shaman

Дата: Воскресенье, 26.09.2010. Сообщение # 28

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Class

Полиморфик-стелс-макро-вирус. Содержит 2 макроса в одном модуле "ThisDocument", макросы имеют различные имена:

Документы NORMAL.DOT

AutoOpen AutoClose - заражение
ViewVBCode ToolsMacro - стелс

Заражает систему при открытии зараженного файла, при этом экспортирует свое код в файл C:\CLASS.SYS и вставляет его в NORMAL.DOT макрос. Заражение документов осуществляется тем же образом при их закрытии. Полиморфик-механизм вируса заключается в вставке в код вируса строк комментария, в комментарий включаются: имя пользователя, текущее время и дате, информациея об активном принтере. Использует оригинальный прием для скрытия своего кода: при помощи специальных команд вирус при заражении вставляет свой модуль не в область макросов документа (как это делают обычные макро-вирусы), а в область так называемых классов Word - область стандартных процедур обработки событий в ядре Word. Т.е. вирус записывается не как дополнительная макро-программа, а как "родная" часть Word, что делает модуль вируса невидимым в Tools/Macro и File/Templates (зачем тогда вирус перехватывает ToolsMacro - непонятно). Вирус также выключает опцию VirusProtection, по 31-м числам выводит MessageBox:

This Is Class
Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х
Х VicodinES /CB /TNN Х
Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х-Х

shaman

Дата: Воскресенье, 26.09.2010. Сообщение # 29

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.CMD

Стелс-вирус. Содержит 6 макросов: AutoOpen, AutoClose, ToolsMacro, FileSaveAs, FileTemplates, ViewVBCode. При открытии файла вирус выключает опцию VirusProtection, заражение происходит при открытии, закрытии и сохранении с другим именем документов (AutoOpen, FileClose, FileSaveAs). При вызове меню Tools/Macro и File/Tamplates выдается Balloon:

Help
You do not have permission to do this. Please refer to the instruction
manual for further details.

16 октября выводит MessageBox:

Coded By: DarkChasm
CMD © DarkChasm

21 декабря выводит MessageBox:

Christy
I LOVE CHRISTY

shaman

Дата: Среда, 29.09.2010. Сообщение # 30

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Crud

Стелс-вирус, заражает длокументы Office97. Содержит 6 макросов: AutoOpen, AutoClose, ToolsMacro, FileSaveAs, ToolsProofing. При открытии файла вирус выключает опцию VirusProtection, заражение происходит при открытии, закрытии и сохранении с другим именем документов (AutoOpen, FileClose, FileSaveAs). При вызове меню Tools/Macro выдается Balloon:

Help !!
That option is not installed, please install the HELP files to continue

shaman

Дата: Среда, 29.09.2010. Сообщение # 31

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Cryptor

Содержит шесть макросов в одном модуле "CryptorV97": AutoOpen, AutoClose, FileSaveAs, FileTemplates, ToolsMacro, ViewVBCode. Заражение системы происходит открытии файла, документы заражает при их сохранении с другим именем. Отменяет встроенную в Word антивирусную защиту. После заражения NORMAL.DOT или документов выводит соответственно MessageBox-ы:

Virus CryptorV97 Virus CryptorV97
Attention, modшle normal cryptщ ???? ZeMacroKiller98 vous remercie...

По нечетным дням шифрует текст документа и выводит в StatusBar текст:

Cryptage du document en cours..., HAHA!!!!!
"Cryptage du document terminщ..., HAHAHAHA!!!!"

При вызове пунта меню "Tools/Templates and Add-Ins...", "Tools/Macro" и "Tools/Macro/Visual Basic Editor" выводит соответственно MessageBox-ы:

Microsoft Word
Espace pile insuffisant.

Microsoft Word
Fonction Sub non dщfini

Microsoft Word
Ce programme a rщalisщ une opщration illщgale et va ъtre interrompu.

shaman

Дата: Среда, 29.09.2010. Сообщение # 32

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Dna

Макро-стелс-вирус, заражает документы Word97. Содержит 10 макросов в модуле "DNA": AutoOpen, AutoClose, AutoExit, FileSaveAs, filesave, fileclose, fileprint, viewvbcode, ToolsMacro, FileTemplates. Размножение происходит при открытии документов, их закрытии, сохранении и сохранении с другим именем. Заражение системы происходит дважды: сначала заражается файл NORMAL.DOT за счет экспорта/импорта кода вируса через файл C:\DNA.SYS, затем текущий зараженный документ записывается в каталог авто-запуска Excel. Вирус создает и запускает файл C:\РРР.COM, зараженный вирусом "Dna.1206". При вызове меню "Tools/Macro/Visual Basic Editor" вирус выдает MessageBox:

MS Word message
Visual Basic not available.

shaman

Дата: Среда, 29.09.2010. Сообщение # 33

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Edds

Содержит двадцать макросов в одном модуле "EddsHead". Заражает систему и документы при срабатывании любого из этих макросов. Если на фале NORMAL.DOT установлен атрибут ReadOnly, то создает файл C:\WINDOWS\STARTM~1\PROGRAMS\STARTUP\MSFILE.BAT, который при перезагрузке снимает с NORMAL.DOT атрибут ReadOnly и удаляет его. Заменяет системные иконки дисков. Содержит в себе строки комментария:

Produced by,
The VicodinES Macro.Poppy Construction Kit v1.0b

================================================

Code Written by VicodinES "Live for Now"
Poppy ID : 24421479963

В зависимости от случайного счетчика выдает MessageBox:

Your Computer Has The Edds Head Virus

14 февраля выдает MessageBox:

Birthday Greeting!!!
I Hope You Got Your Girlfriend Something Nice !

В зависимости от случайного числа копирует текущий документ на один из дисков от F: до S: с именем PORNO.DOC, README!.DOC или SEX.DOC.

shaman

Дата: Среда, 29.09.2010. Сообщение # 34

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Epsilon

Содержит шесть макросов в одном модуле "Epsilon97": AutoExec, AutoOpen, FileSaveAs, FileTemplates, ToolsMacro, ViewVBCode. Заражает область глобальных макросов при открытии документов, при этом выдает MessageBox:

Epsilon97
Attention, je vous ai contaminщ...
HAHA
Заражение документов происходит при их сохранении с другим именем. При вызове меню File/Templates выводит MessageBox:
Microsoft Word
System Error!!!

и меняет имя этого пунка меню на "Epsilon97, c'est COOL!!!!" или "Modшles et complщments..." При вызове меню ToolsMacro выдает MessageBox:

Microsoft Word
User32 Error!!!!

и меняет имя этого пунка меню на "ZeMacroKiller98 va vous щtonner..." или "Macros". 18 апреля выдает MessageBox:

Epsilon97
C'est mon anniversaire, aujourd'hui

затем перезагружает компьютер, предварительно записав в C:\AUTOEXEC.BAT команды форматирывания винчестера и выдав MessageBox:

Epsilon97
Au revoir....

shaman

Дата: Среда, 29.09.2010. Сообщение # 35

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Frenzy

Состоит из единственного макроса Frenzy, содержащего авто-функцию AutoOpen. Заражает систему при открытии зараженного файла и записывается в документы при их открытии. Выключает опцию VirusProtection. В зависимости от системной даты и системного случайного счетчика выводит текст:

Attention:
Word97.Frenzy by Pyro [VBB]

Проверяет системное время и, если минуты совпали со случайно сгенерированным числом, то на файл устанавливается пароль "Frenzy". При наличии в файле более 25 символов стирает произвольный символ в тексте.

shaman

Дата: Среда, 29.09.2010. Сообщение # 36

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Gable

Word-макро-вирус для Office 97. Содержит в 2 модулях 2 функции: AutoOpen, FileSaveAs. Крайне приметивен сделан по принципу вирусов для предыдущих версий Word. При открытии файла вирус заражает файл глобальных установок NORMAL.DOT (AutoOpen). Документы заражает при их сохранении с другим именем (FileSaveAs). Никак себя не проявляет.

shaman

Дата: Среда, 29.09.2010. Сообщение # 37

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Gamble

Стелс Word-макро-вирус для Office97. Содержит в 3 модулях 11 макросов: AutoOpen, Gamble1, ToolsMacro, CommandButton2_Click, CommandButton5_Click, Image1_Click, Label2_Click, Label3_Click, Label4_Click, UserForm_Click, CommandButton1_Click. При открытии файла вирус выключает опцию VirusProtection и заражает файл глобальных установок NORMAL.DOT или открываемый документ (AutoOpen). Подменяет меню Tools/Macro - стелс, при нажатии кнопки "Create" выдает MessageBox:

Memory Allocation Error
Not Enough Memory To Complete The Request

По понедельникам выдает диалоговое окно с картинкой:

Word Macro97 Virus "The Gambler" By Talon 1997

You System Is Infected By "The Gamble" Word Macro Virus

I Will Give You One Chance To Save Your Files, If You Can Guess The
correct Number between 1 And 10, I Will Return Your System To Your Control

If Your Wrong, Well We Won`t Go There. Do Not Not Turn Your System
Off. Your system FIles Have Been Encrypted With A Random Number, If This
Is Not Completed Your System Will Not Be Able To Reboot. Just Play Along
And Hope Your A Good Guess.

When Your ready To Play Press Here При нажатии клавиши мыши на диалоговой панели выдается MessageBox:

Trying To Cheat??
Are You Trying To Cheat?? One More Attempt like That And it's Over

После нажатия клавиши HERE запрашивается число от 1 до 10. При вводе цифры 5 появляется MessageBox:

Your A Winner
Good Guess, It's All Yours

Во всех остальных случаях устанавливается пароль на открытие документов. После чего работа Windows будет завершена.

shaman

Дата: Среда, 29.09.2010. Сообщение # 38

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.GamesVirus

Содержит семь макросов и функций в одном модуле "GamesVirus": AutoExec, AutoOpen, FileSaveAs, FileTemplates, PayLoad, ToolsMacro, ViewVBCode. Заражение области глобальных макросов происходит при открытии инфицированного документа. Заражение документов происходит при их открытии или сохранении с другим именем. При вызове Tools/Macro и File/Templates выводит соответственно MessageBox-ы:

Microsoft Word
accшs refusщ!!!!

Microsoft Word
Fonction Sub inconnu

В зависимости от текущей даты и времени проявляется различными способами. Если текущее значение секунд равно единице, записывает в поле Subject в FileSummaryInfo строку:

GamesVirus est avec vous, HAHA

Если текущее значение минут равно единице, записывает в StatusBar строку:

Remerciement р GamesVirus et р son auteur: ZeMacroKiller98

По 1-м числам вызывает макрос Payload, который выдает несколько MessageBox-ов и клиентских форм. В зависимости от действий пользователя выдает соответствующие MessageBox-ы, стирает системные файлы, добавляет в файл C:\AUTOEXEC.BAT строки форматирывания винчестера или в строке состояния циклически выдает сообщение:

Tu es le meilleur, bravo de la part de GamesVirus et de son auteur....

shaman

Дата: Среда, 29.09.2010. Сообщение # 39

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Gipsy

Макро-вирус, содержит шесть макросов и функций в одном модуле "GIPSY": AutoOpen, Payload, FileSaveAs, FilePrint, ViewVBCode, ToolsMacro. Заражение глобальной области макросов происходит при открытии документов, документы заражаются при их сохранении с другим именем. Макрос Payload в зависимости от датчика случайных чисел либо выдает Balloon:

The Gipsy Virus:
Copy me, I like to travel

либо вставляет в C:\AUTOEXEC.BAT команды, записывающие в файл C:\COMPUTER.V строку "Help me I'm sick":

@echo off
echo Help me I'm sick >>C:\Computer.V

24 декабря вирус выдает Balloon:

BiologicBeast Virus:
Mary Christmas... don't work at this day

shaman

Дата: Среда, 29.09.2010. Сообщение # 40

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Greetz

Содержит три модуля: KidChaos, SLAM, Greetz. Заражение документов и NORMAL.DOT происходит при открытии файла. В зависимости от датчика случайных чисел выводит Balloon:

Word97.Greetz by Kid Chaos [SLAM]
Greetings to SLAM friends:
Virtual Daemon
Aurodreph
CyberYoda
Darx Kies
Forms
rAiD
Shaitan
Stealth Warrior
Trigger
Yesna

После 13 числа каждого месяца при вызове Help/About выдает MessageBox:

About WM97.Greetz... :-)
====> © 1998 by Kid Chaos <========> of SLAM Virus Team <====
Hey Bill Gates, do you like other cake on your face? :-D

По 13-м числам при вызове File/Templates устанавливает на документ пароль "KidChaos". По 1-м числам при вызове Tools/Macro устанавливает на документ пароль "WeRoqs". По 20-м числам при вызове "Tools/Macro/Word Basic Editor" (ViewVBcode) устанавливает на документ пароль "SLAM98".

shaman

Дата: Среда, 29.09.2010. Сообщение # 41

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Groovie

Содержит двадцать макросов и функций в одном модуле "Groovie": ID_Status, Install_Status, The_Groovie_Core, DocCodeCore, NormCodeCore, OrbitCoreCode, Groovie_Run, AutoOpen, AutoClose, AutoExit, FileSaveAs, filesave, fileclose, fileprint, IP_Love_You, mscript, viewvbcode, ToolsMacro, FileTemplates, Check_For_Doc. Заражает систему и документы при срабатывании одного из автомакросов. Заражение системы осуществляется не только заражением NORMAL.DOT, но и созданием файла DATA.DOT в startup-каталоге Word, в этом файле модуль вируса имеет имя ORBIT. Заражение осуществляется через временный файл C:\GROOVIE.SYS при помощи функций экспорта/импорта макросов. Удаляет строки меню "Tools/Macro" и "Tools/Templates and add-ins...". При вызове меню ViewVBCode выводит MessageBox:

Х ALT-F11 Х says...
It's GROOVIE

Устанавливает на диск С: метку "groovie". Если установлен Windows NT, вирус в зависимости от случайного числа пытается записать создавамый им файл IP-конфигурации компьютера на FTP-сервер антивирусной компании FRISK International (F-PROT).

shaman

Дата: Среда, 29.09.2010. Сообщение # 42

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Havix

Содержит восемь макросов в модуле "HaVix": HaVix, lepegoin, FileSave, FileClose, FileSaveAs, FileExit, AutoExit, ViewVBCode. Размножается при сохранении документов, сохранении с другим именем или закрытии. Также заражает текущий документ при выходе из Word. По 4-м числам заменяет в тексте текущего документа все строки "is" на "iz".

shaman

Дата: Среда, 29.09.2010. Сообщение # 43

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Horn

Содержит два макроса: AutoOpen, LittleHorn. Заражает систему при открытии файла (AutoOpen). Заражение документов происходит при нажатии клавиши "e" - для этого устанавливает свой макрос заражения документов LittleHorn на обработку этой клавиши. Вирус никак не проявляет себя.

shaman

Дата: Среда, 29.09.2010. Сообщение # 44

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Jackal

Содержит один модуль "Jackal", в котором содержится четырнадцать макросов: AutoOpen, FileSaveAs, KillAV, Format, ToolsMacro, ViewVBCode, FileTemplates, Organizer, EditFind, HelpAbout, ToolsCustomize, ToolsOptions, Jackal, Ultras. Заражение происходит при открытии и сохранении файла с другим именем. Удаляет файлы, принадлежащие известным антивирусам:

C:\Program Files\AntiViral Toolkit Pro\Avp32.exe
C:\Program Files\AntiViral Toolkit Pro\*.avc
C:\Program Files\Command Software\F-PROT95\*.dll
C:\Program Files\Command Software\F-PROT95\*.exe
C:\Program Files\McAfee\VirusScan95\Scan.dat
C:\Program Files\McAfee\VirusScan\Scan.dat
C:\Program Files\Norton AntiVirus\Viruscan.dat
C:\Program Files\Symantec\Symevnt.386
C:\Program Files\FindVirus\Findviru.drv
C:\Program Files\Cheyenne\AntiVirus\*.dll
C:\Program Files\Cheyenne\Common\Cshell.dll
C:\PC-Cillin 95\Lpt$vpn.*
C:\PC-Cillin 95\Scan32.dll
C:\PC-Cillin 97\Lpt$vpn.*
C:\PC-Cillin 97\Scan32.dll
C:\eSafe\Protect\*.dll
C:\f-macro\f-macro.exe
C:\TBAVW95\Tbscan.sig
C:\Tbavw95\Tb*.*
C:\VS95\*.dll

По 1-м числам устанавливает на документы пароль "JACKAL". По 27 числам устанавливает на документы пароль "ULTRAS". По 5, 9, 17, 25 числам и в мае выдает Balloon:

Microsoft Office 97
Error, is necessary will update files

После чего в файл C:\AUTOEXEC.BAT дописывает команды форматирования винчестера:

@ECHO OFF
CLS
ECHO Microsoft Corp. 1983-1997 All rights reserved
ECHO Goes preparation to renovation of your system files
ECHO Please wait this can occupy several minutes
FORMAT C: /U /C /S /AUTOTEST > NUL
ECHO.
ECHO.
ECHO.
ECHO Error at renovations of files

По 15-м и 30-м числам стирает файлы:

C:\*.*
C:\Windows\*.*
C:\Windows\System\*.*

shaman

Дата: Среда, 29.09.2010. Сообщение # 45

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Kid

В одном модуле "Kid" содержит 6 макросов: KidChaos, FileTemplates, ToolsMacro, ViewVBcode, AutoClose, AutoOpen. Заражение файлов и глобальной системной области макросов происходит при их открытии или закрытии (AutoOpen, AutoClose). При вызове меню File/Templates, если номер текущего дня больше 15, вирус устанавливает на документ пароль "KC" и выдает MessageBox:

About... :-)
Kid Chaos of SLAM Virus Team

При вызове Tools/Macro устанавливает на документ пароль "KidChaos", при вызове фугкции "ViewVBcode" - пароль "SLAM98". В зависимости от случайного счетчика выдает Balloon:

Word97.Kid by KC [SLAM]
Greetings to SLAM memberz:
Virtual Daemon, Aurodreph, CyberYoda
Dark Chakal, Darx Kies, Forms
RaidX, Stealth Warrior & Trigger

shaman

Дата: Среда, 29.09.2010. Сообщение # 46

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Kla

Содержит 2 модуля: Kim, KLAFrm. В модуле Kim содержится 11 макросов: Kim, FileNew, FileSave, FileClose, FileSaveAs, FilePrint, FileExit, ToolsMacro, FileTemplates, ViewVBCode, n. При срабатывание любого макроса вызывается макрос Kim, который заражает системную область макросов и документы. При вызове пунктов меню Tools/Macro, Tools/Templates, Tools/Macro/ViewVBCode выдает MessageBox:

Word Basic Err =7

shaman

Дата: Среда, 29.09.2010. Сообщение # 47

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Komcon

Содержит 2 макроса в 2 модулях, макросы и модули имеют одинаковые имена: AutoOpen, AutoClose. Является результатом конвертации Word6/7-вируса "Komcon" в формат Office97, в результате как и первоначальный вирус заражает системную область макросов (NORMAL.DOT) происходит при открытии файлов (AutoOpen). Заражение документов происходит при их закрытии (AutoClose). Никак себя не проявляет.

shaman

Дата: Среда, 29.09.2010. Сообщение # 48

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Lopez

Размножается только в MS Word версии 8.0. Содержит два модуля: Word97Virus1 и NewMacros. В модуле Word97Virus1 присутствуют 11 макросов: Word97Virus1, AutoNew, AutoClose, AutoExec, AutoSave, AutoOpen, FileClose, FileNew, FileSaveAs, FilePrint, FileOpen. Процедура заражения срабатывает при вызове любого из перечисленных макросов. В модуле "NewMacros" присутствует единственный макрос ToolsMacro, который при срабатывании (меню Tools/Macro) удаляет модули вируса из активного документа и NORMAL.DOT. При печати вставляет в документ текст:

hE wHo LiVeS iN tHe PaSt HaS nO ChAnCe To SuRviVe In ThE fUtUrE...

Вирус содержит строку-комментарий:

Word97Virus1 Macro

shaman

Дата: Среда, 29.09.2010. Сообщение # 49

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.MDMA

Содержит единственный макрос AutoClose и, соответственно, заражает систему при закрытии зараженного файла, а в документы записывается также при их закрытии. При работе на Macintosh после 4 числа стирает файлы в каталогах первого уровня.

shaman

Дата: Среда, 29.09.2010. Сообщение # 50

Заблокированный

Сообщений: 887

Нет на сайте

Macro.Word97.Minimal

Довольно примитивный макро-вирус для Word97. Содержит единственный макрос "autoopen". Заражает систему при открытии инфицированного файла, в документы записывается при их открытии. Содержит закомментированный текст:

Vesselin Bontchev