Virus.MSOffice.Shiver

Detalhes técnicos

Este vírus de macro infecta dois aplicativos Office97: documentos do Word e planilhas do Excel. Para ser compatível com diferentes aplicativos Office97, o vírus usa a compatibilidade VisualBasic e usa o mesmo código no Word e no Excel.

O vírus infecta o sistema, documentos e folhas quando os arquivos são abertos (Auto-macros AutoOpen no Word e Auto_Open no Excel). Ao infectar o vírus usa as funções de exportação / importação do Office97 através do arquivo C: SHIVER.SYS. Ele grava (exporta) seu código para lá e então lê (importações) em um objeto que está sendo infectado.

No Word e no Excel, o vírus se replica usando truques padrão. Ao infectar arquivos do Word, o vírus copia seu código para a área de documentos ou macros globais (NORMAL.DOT). No Excel, o vírus conecta o processo de ativação de planilhas e define as macros de infecção ShiverTime como o manipulador. O vírus também salva o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel e, como resultado, infecta a área do Excel do sistema.

Um saindo do Word (AutoExit) o ​​vírus tenta espalhar seu código do Word para o Excel. O vírus usa as funções DDE: ele executa o Excel em janelas minimizadas e passa para lá dados e comandos necessários para criar o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel. O vírus infecta o Word do Excel usando uma maneira semelhante: ele executa o Word minimizado, abre o Editor do Visual Basic e lê seu código do arquivo C: SHIVER.SYS.

O vírus não exclui seu arquivo C: SHIVER.SYS após a infecção e o utiliza para infectar o Word novamente se o código de vírus principal tiver sido excluído (desinfetado) em documentos e NORMAL.DOT. Para fazer isso, o vírus em cada inicialização do Word procura o arquivo WORD8.DOT no diretório de inicialização do Word. Se não houver tal arquivo, o vírus o cria e grava uma pequena macro FileSaveAs para lá. Esta macro contém apenas alguns comandos que importam o código de vírus do C: SHIVER.SYS para documentos que são salvos com o novo nome. Como resultado, o vírus permanece ativo sempre que todos os documentos e NORMAL.DOT forem desinfetados. O vírus usa a mesma maneira de exportar / importar para criar o dropper WORD8.DOT, como um buffer de código-fonte que o arquivo C: SENTRY.SYS é usado.

Para detectar sua presença no sistema, o vírus usa o Registro do sistema e grava seus valores de ID na chave "HKEY_CURRENT_USERSoftwareVB e VBA Program Settings Officeffice8.0". Existem dois valores que marcam presença / ausência de vírus no sistema:

Arrepio [DDE] = ALT-F11

Arrepio [DDE] = NoNos (

O vírus Internals

AutoExec – Auto-função do Word, contém rotina de re-infecção do Word

AutoOpen – Função automática do Word, contém rotina de infecção do documento do Word

WordStealth – adiciona as macros furtivas ToolsMacro, FileTemplates, ViewVBCode

nas macros globais do Word (NORMAL.DOT)

AutoExit – Função automática do Word, infecta o Excel

FindExcel – rotina de pesquisa do Excel

PersonalFun – usado na infecção do Excel

CheckMarker – "Você está aqui?" função, verifica o registro

MakeMarker – grava ID de vírus no Registro

PXL_Done – usado na infecção do Excel

Auto_Open – Auto-função do Excel, conecta a rotina de ativação de folhas

ShiverTime – hooker de ativação de folhas e infector

wdTrigger – rotina de disparos de palavras

xlTrigger – Rotina de gatilho do Excel

Auto_Close – função automática do Excel, espalha o vírus para o Word

atraso – usado na infecção do Word

wdReEvalInfection – procura PERSONAL.XLS infectado no diretório de inicialização do Excel

xlReEvalInfection – procura WORD8.DOT infectado no diretório de inicialização do Word

DDE_Info – do-nothing macro, contém o "copyright":

Arrepio [DDE] por ALT-F11 com a ajuda de ALT-F4

Este é o primeiro vírus produzido pela The Alternative Virus Mafia (AVM)

ALT-F4 – "Nasci para morrer"

ALT-F11 – "Ações sem pensamentos"

Rotinas de gatilho

Dependendo do contador aleatório do sistema, o vírus executa os seguintes efeitos:

• no Excel insere na célula selecionada aleatoriamente os comentários:

  
  
  Arrepio [DDE] por ALT-F11
  
  

• no Word cria o arquivo C: SISTER.DLL, grava o texto para lá e executa WRITE para mostrá-lo:

  
  
  Ei cara, eu meio que gosto da sua irmã
  
  Ei cara, eu espero que seja legal
  
  Ei cara, eu meio que perdi minha mente
  
  Toda vez que eu encontro sua irmã
  
  Bronzeado pela piscina
  
  Ei cara, eu quero ver ela nua
  
  Ei cara, estou sempre em seu quarto
  
  Tudo sozinho quando ninguém está lá
  
  Passando por sua roupa interior
  
  Ei cara, eu preciso vê-la logo
  
  Ei cara, eu nunca vou ficar grávida
  
  Mas ei cara, como posso resistir a ela
  
  O dia em que lhe dou uma aliança de casamento
  
  Você vai ser o meu melhor homem?
  
  Ei cara, eu meio que gosto da sua irmã
  
  Eu gosto da sua irmã
  
  Eu gosto da sua irmã
  
  Eu gosto dela
  
  

• no Word renomeia os itens do menu:

  
  
  Ferramentas / Macro = "Arrepio [DDE] por ALT-F11"
  
  Arquivo / Versões … = "Folhas manchadas de sujeira …"
  
  Edit / Paste Special … = "Ei cara que eu fiz sua mãe …"
  
  Insert / Break … = "Quer fazer algum MDMA?"
  
  Ajuda / Sobre o Microsoft Word = "Paz, Amor e Drogas"
  
  Arquivo / Propriedades = "Eu vou morrer feliz, você vai morrer"
  
  Editar / Ir para … = "Heywood Jablowmi"
  
  Ferramentas / Contagem de palavras … = "Contagem de corpos"
  
  Formato / Fonte … = "Cunt"
  
  Arquivo / Fechar = "Sem roupas"
  
  Janela / Split = "Blow Me"
  
  Inserir / Picture = "GIF Pornô Crusty"
  
  Arquivo / Imprimir … = "My Balls Itch"
  
  Formato / marcadores e numeração … = "Comprimidos e agulhas"
  
  Tabela / Inserir Tabela … = "Inserir e Sonda"
  
  Ferramentas / Personalizar … = "Sodomizar …"
  
  Ferramentas / Ortografia e Gramática … = "Soletrando e sua avó …"
  
  Ver / Barras de ferramentas = "Gaybars"
  
  Ver / Documento Mestre = "Masturbação"