Virus.MSOffice.Shiver

Detalhes técnicos

Este vírus de macro infecta dois aplicativos Office97: documentos do Word e planilhas do Excel. Para ser compatível com diferentes aplicativos Office97, o vírus usa a compatibilidade VisualBasic e usa o mesmo código no Word e no Excel.

O vírus infecta o sistema, documentos e folhas quando os arquivos são abertos (Auto-macros AutoOpen no Word e Auto_Open no Excel). Ao infectar o vírus usa as funções de exportação / importação do Office97 através do arquivo C: SHIVER.SYS. Ele grava (exporta) seu código para lá e então lê (importações) em um objeto que está sendo infectado.

No Word e no Excel, o vírus se replica usando truques padrão. Ao infectar arquivos do Word, o vírus copia seu código para a área de documentos ou macros globais (NORMAL.DOT). No Excel, o vírus conecta o processo de ativação de planilhas e define as macros de infecção ShiverTime como o manipulador. O vírus também salva o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel e, como resultado, infecta a área do Excel do sistema.

Um saindo do Word (AutoExit) o ​​vírus tenta espalhar seu código do Word para o Excel. O vírus usa as funções DDE: ele executa o Excel em janelas minimizadas e passa para lá dados e comandos necessários para criar o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel. O vírus infecta o Word do Excel usando uma maneira semelhante: ele executa o Word minimizado, abre o Editor do Visual Basic e lê seu código do arquivo C: SHIVER.SYS.

O vírus não exclui seu arquivo C: SHIVER.SYS após a infecção e o utiliza para infectar o Word novamente se o código de vírus principal tiver sido excluído (desinfetado) em documentos e NORMAL.DOT. Para fazer isso, o vírus em cada inicialização do Word procura o arquivo WORD8.DOT no diretório de inicialização do Word. Se não houver tal arquivo, o vírus o cria e grava uma pequena macro FileSaveAs para lá. Esta macro contém apenas alguns comandos que importam o código de vírus do C: SHIVER.SYS para documentos que são salvos com o novo nome. Como resultado, o vírus permanece ativo sempre que todos os documentos e NORMAL.DOT forem desinfetados. O vírus usa a mesma maneira de exportar / importar para criar o dropper WORD8.DOT, como um buffer de código-fonte que o arquivo C: SENTRY.SYS é usado.

Para detectar sua presença no sistema, o vírus usa o Registro do sistema e grava seus valores de ID na chave "HKEY_CURRENT_USERSoftwareVB e VBA Program Settings Officeffice8.0". Existem dois valores que marcam presença / ausência de vírus no sistema:

Arrepio [DDE] = ALT-F11Arrepio [DDE] = NoNos (

O vírus Internals

AutoExec – Auto-função do Word, contém rotina de re-infecção do WordAutoOpen – Função automática do Word, contém rotina de infecção do documento do WordWordStealth – adiciona as macros furtivas ToolsMacro, FileTemplates, ViewVBCodenas macros globais do Word (NORMAL.DOT)AutoExit – Função automática do Word, infecta o ExcelFindExcel – rotina de pesquisa do ExcelPersonalFun – usado na infecção do ExcelCheckMarker – "Você está aqui?" função, verifica o registroMakeMarker – grava ID de vírus no RegistroPXL_Done – usado na infecção do ExcelAuto_Open – Auto-função do Excel, conecta a rotina de ativação de folhasShiverTime – hooker de ativação de folhas e infectorwdTrigger – rotina de disparos de palavrasxlTrigger – Rotina de gatilho do ExcelAuto_Close – função automática do Excel, espalha o vírus para o Wordatraso – usado na infecção do WordwdReEvalInfection – procura PERSONAL.XLS infectado no diretório de inicialização do ExcelxlReEvalInfection – procura WORD8.DOT infectado no diretório de inicialização do WordDDE_Info – do-nothing macro, contém o "copyright":Arrepio [DDE] por ALT-F11 com a ajuda de ALT-F4Este é o primeiro vírus produzido pela The Alternative Virus Mafia (AVM)ALT-F4 – "Nasci para morrer"ALT-F11 – "Ações sem pensamentos"

Rotinas de gatilho

Dependendo do contador aleatório do sistema, o vírus executa os seguintes efeitos:

• no Excel insere na célula selecionada aleatoriamente os comentários:

  Arrepio [DDE] por ALT-F11

• no Word cria o arquivo C: SISTER.DLL, grava o texto para lá e executa WRITE para mostrá-lo:

  Ei cara, eu meio que gosto da sua irmãEi cara, eu espero que seja legalEi cara, eu meio que perdi minha menteToda vez que eu encontro sua irmãBronzeado pela piscinaEi cara, eu quero ver ela nuaEi cara, estou sempre em seu quartoTudo sozinho quando ninguém está láPassando por sua roupa interiorEi cara, eu preciso vê-la logoEi cara, eu nunca vou ficar grávidaMas ei cara, como posso resistir a elaO dia em que lhe dou uma aliança de casamentoVocê vai ser o meu melhor homem?Ei cara, eu meio que gosto da sua irmãEu gosto da sua irmãEu gosto da sua irmãEu gosto dela

• no Word renomeia os itens do menu:

  Ferramentas / Macro = "Arrepio [DDE] por ALT-F11"Arquivo / Versões … = "Folhas manchadas de sujeira …"Edit / Paste Special … = "Ei cara que eu fiz sua mãe …"Insert / Break … = "Quer fazer algum MDMA?"Ajuda / Sobre o Microsoft Word = "Paz, Amor e Drogas"Arquivo / Propriedades = "Eu vou morrer feliz, você vai morrer"Editar / Ir para … = "Heywood Jablowmi"Ferramentas / Contagem de palavras … = "Contagem de corpos"Formato / Fonte … = "Cunt"Arquivo / Fechar = "Sem roupas"Janela / Split = "Blow Me"Inserir / Picture = "GIF Pornô Crusty"Arquivo / Imprimir … = "My Balls Itch"Formato / marcadores e numeração … = "Comprimidos e agulhas"Tabela / Inserir Tabela … = "Inserir e Sonda"Ferramentas / Personalizar … = "Sodomizar …"Ferramentas / Ortografia e Gramática … = "Soletrando e sua avó …"Ver / Barras de ferramentas = "Gaybars"Ver / Documento Mestre = "Masturbação"