Classe principal: VirWare
Vírus e worms são programas maliciosos que se auto-replicam em computadores ou através de redes de computadores sem que o usuário esteja ciente; cada cópia subsequente de tais programas maliciosos também é capaz de se auto-replicar. Programas maliciosos que se espalham através de redes ou infectam máquinas remotas quando são ordenados pelo “proprietário” (por exemplo, Backdoors) ou programas que criam múltiplas cópias que não podem se auto-replicar não fazem parte da subclasse Vírus e Worms. A principal característica usada para determinar se um programa é ou não classificado como um comportamento separado dentro da subclasse Vírus e Worms é como o programa se propaga (ou seja, como o programa malicioso espalha cópias de si mesmo via recursos locais ou de rede). como arquivos enviados como anexos de email, através de um link para um recurso web ou FTP, através de um link enviado em uma mensagem ICQ ou IRC, via redes de compartilhamento de arquivos P2P, etc. Alguns worms são distribuídos como pacotes de rede; estes penetram diretamente na memória do computador, e o código do worm é então ativado. Os worms usam as seguintes técnicas para penetrar em computadores remotos e iniciar cópias de si mesmos: engenharia social (por exemplo, uma mensagem de email sugerindo que o usuário abre um arquivo anexado), explorando erros de configuração de rede (como copiar para um disco totalmente acessível) e explorando lacunas na segurança do sistema operacional e do aplicativo. Os vírus podem ser divididos de acordo com o método usado para infectar um computador: vírus de arquivo vírus do setor de inicialização vírus de macro vírus de script Qualquer programa dentro dessa subclasse pode ter funções adicionais de cavalo de Tróia. Também deve ser notado que muitos worms usam mais de um método para distribuir cópias via redes. As regras para classificar objetos detectados com múltiplas funções devem ser usadas para classificar esses tipos de worms.Classe: Virus
Os vírus replicam nos recursos da máquina local. Ao contrário dos worms, os vírus não usam serviços de rede para propagar ou penetrar em outros computadores. Uma cópia de um vírus só chegará aos computadores remotos se o objeto infectado, por algum motivo não relacionado à função de vírus, estiver ativado em outro computador. Por exemplo: ao infectar discos acessíveis, um vírus penetra em um arquivo localizado em um recurso de rede, um vírus se copia para um dispositivo de armazenamento removível ou infecta um arquivo em um dispositivo removível que um usuário envia um email com um anexo infectado.Plataforma: MSOffice
O Microsoft Office é um pacote multiplataforma de aplicativos de produtividade publicado pela Microsoft. Aplicativos do Office são compatíveis com vários tipos de arquivos e conteúdo.Descrição
Detalhes técnicos
Este vírus de macro infecta dois aplicativos Office97: documentos do Word e planilhas do Excel. Para ser compatível com diferentes aplicativos Office97, o vírus usa a compatibilidade VisualBasic e usa o mesmo código no Word e no Excel.
O vírus infecta o sistema, documentos e folhas quando os arquivos são abertos (Auto-macros AutoOpen no Word e Auto_Open no Excel). Ao infectar o vírus usa as funções de exportação / importação do Office97 através do arquivo C: SHIVER.SYS. Ele grava (exporta) seu código para lá e então lê (importações) em um objeto que está sendo infectado.
No Word e no Excel, o vírus se replica usando truques padrão. Ao infectar arquivos do Word, o vírus copia seu código para a área de documentos ou macros globais (NORMAL.DOT). No Excel, o vírus conecta o processo de ativação de planilhas e define as macros de infecção ShiverTime como o manipulador. O vírus também salva o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel e, como resultado, infecta a área do Excel do sistema.
Um saindo do Word (AutoExit) o vírus tenta espalhar seu código do Word para o Excel. O vírus usa as funções DDE: ele executa o Excel em janelas minimizadas e passa para lá dados e comandos necessários para criar o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel. O vírus infecta o Word do Excel usando uma maneira semelhante: ele executa o Word minimizado, abre o Editor do Visual Basic e lê seu código do arquivo C: SHIVER.SYS.
O vírus não exclui seu arquivo C: SHIVER.SYS após a infecção e o utiliza para infectar o Word novamente se o código de vírus principal tiver sido excluído (desinfetado) em documentos e NORMAL.DOT. Para fazer isso, o vírus em cada inicialização do Word procura o arquivo WORD8.DOT no diretório de inicialização do Word. Se não houver tal arquivo, o vírus o cria e grava uma pequena macro FileSaveAs para lá. Esta macro contém apenas alguns comandos que importam o código de vírus do C: SHIVER.SYS para documentos que são salvos com o novo nome. Como resultado, o vírus permanece ativo sempre que todos os documentos e NORMAL.DOT forem desinfetados. O vírus usa a mesma maneira de exportar / importar para criar o dropper WORD8.DOT, como um buffer de código-fonte que o arquivo C: SENTRY.SYS é usado.
Para detectar sua presença no sistema, o vírus usa o Registro do sistema e grava seus valores de ID na chave "HKEY_CURRENT_USERSoftwareVB e VBA Program Settings Officeffice8.0". Existem dois valores que marcam presença / ausência de vírus no sistema:
Arrepio [DDE] = ALT-F11Arrepio [DDE] = NoNos (Dependendo do contador aleatório do sistema, o vírus redefine essa chave para "NoNos (" e força suas rotinas de infecção a renovar o WORD8.DOT e PERSONAL.XLS infectados nos diretórios de inicialização do Word e do Excel.
O vírus Internals
O vírus contém 18 macros em um "Módulo1":AutoExec - Auto-função do Word, contém rotina de re-infecção do WordAutoOpen - Função automática do Word, contém rotina de infecção do documento do WordWordStealth - adiciona as macros furtivas ToolsMacro, FileTemplates, ViewVBCodenas macros globais do Word (NORMAL.DOT)AutoExit - Função automática do Word, infecta o ExcelFindExcel - rotina de pesquisa do ExcelPersonalFun - usado na infecção do ExcelCheckMarker - "Você está aqui?" função, verifica o registroMakeMarker - grava ID de vírus no RegistroPXL_Done - usado na infecção do ExcelAuto_Open - Auto-função do Excel, conecta a rotina de ativação de folhasShiverTime - hooker de ativação de folhas e infectorwdTrigger - rotina de disparos de palavrasxlTrigger - Rotina de gatilho do ExcelAuto_Close - função automática do Excel, espalha o vírus para o Wordatraso - usado na infecção do WordwdReEvalInfection - procura PERSONAL.XLS infectado no diretório de inicialização do ExcelxlReEvalInfection - procura WORD8.DOT infectado no diretório de inicialização do WordDDE_Info - do-nothing macro, contém o "copyright":Arrepio [DDE] por ALT-F11 com a ajuda de ALT-F4Este é o primeiro vírus produzido pela The Alternative Virus Mafia (AVM)ALT-F4 - "Nasci para morrer"ALT-F11 - "Ações sem pensamentos"
Rotinas de gatilho
O vírus tem habilidades furtivas. No Excel, desativa os itens de menu Window / Unhide ... e Tools / Macro. Em Word também cria as macros stealth no NORMAL.DOT: ToolsMacro, FileTemplates, ViewVBCode no módulo "ThisDocument". Como resultado, o vírus oculta seu código. O vírus também desativa a proteção contra vírus do Office97.Dependendo do contador aleatório do sistema, o vírus executa os seguintes efeitos:
- no Excel insere na célula selecionada aleatoriamente os comentários:
Arrepio [DDE] por ALT-F11
- no Word cria o arquivo C: SISTER.DLL, grava o texto para lá e executa WRITE para mostrá-lo:
Ei cara, eu meio que gosto da sua irmãEi cara, eu espero que seja legalEi cara, eu meio que perdi minha menteToda vez que eu encontro sua irmãBronzeado pela piscinaEi cara, eu quero ver ela nuaEi cara, estou sempre em seu quartoTudo sozinho quando ninguém está láPassando por sua roupa interiorEi cara, eu preciso vê-la logoEi cara, eu nunca vou ficar grávidaMas ei cara, como posso resistir a elaO dia em que lhe dou uma aliança de casamentoVocê vai ser o meu melhor homem?Ei cara, eu meio que gosto da sua irmãEu gosto da sua irmãEu gosto da sua irmãEu gosto dela
- no Word renomeia os itens do menu:
Ferramentas / Macro = "Arrepio [DDE] por ALT-F11"Arquivo / Versões ... = "Folhas manchadas de sujeira ..."Edit / Paste Special ... = "Ei cara que eu fiz sua mãe ..."Insert / Break ... = "Quer fazer algum MDMA?"Ajuda / Sobre o Microsoft Word = "Paz, Amor e Drogas"Arquivo / Propriedades = "Eu vou morrer feliz, você vai morrer"Editar / Ir para ... = "Heywood Jablowmi"Ferramentas / Contagem de palavras ... = "Contagem de corpos"Formato / Fonte ... = "Cunt"Arquivo / Fechar = "Sem roupas"Janela / Split = "Blow Me"Inserir / Picture = "GIF Pornô Crusty"Arquivo / Imprimir ... = "My Balls Itch"Formato / marcadores e numeração ... = "Comprimidos e agulhas"Tabela / Inserir Tabela ... = "Inserir e Sonda"Ferramentas / Personalizar ... = "Sodomizar ..."Ferramentas / Ortografia e Gramática ... = "Soletrando e sua avó ..."Ver / Barras de ferramentas = "Gaybars"Ver / Documento Mestre = "Masturbação"
Saiba mais
Descubra as estatísticas das vulnerabilidades que se espalham em sua região statistics.securelist.com