ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

Virus.MSOffice.Shiver

Classe Virus
Plataforma MSOffice
Descrição

Detalhes técnicos

Este vírus de macro infecta dois aplicativos Office97: documentos do Word e planilhas do Excel. Para ser compatível com diferentes aplicativos Office97, o vírus usa a compatibilidade VisualBasic e usa o mesmo código no Word e no Excel.

O vírus infecta o sistema, documentos e folhas quando os arquivos são abertos (Auto-macros AutoOpen no Word e Auto_Open no Excel). Ao infectar o vírus usa as funções de exportação / importação do Office97 através do arquivo C: SHIVER.SYS. Ele grava (exporta) seu código para lá e então lê (importações) em um objeto que está sendo infectado.

No Word e no Excel, o vírus se replica usando truques padrão. Ao infectar arquivos do Word, o vírus copia seu código para a área de documentos ou macros globais (NORMAL.DOT). No Excel, o vírus conecta o processo de ativação de planilhas e define as macros de infecção ShiverTime como o manipulador. O vírus também salva o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel e, como resultado, infecta a área do Excel do sistema.

Um saindo do Word (AutoExit) o ​​vírus tenta espalhar seu código do Word para o Excel. O vírus usa as funções DDE: ele executa o Excel em janelas minimizadas e passa para lá dados e comandos necessários para criar o arquivo PERSONAL.XLS infectado no diretório de inicialização do Excel. O vírus infecta o Word do Excel usando uma maneira semelhante: ele executa o Word minimizado, abre o Editor do Visual Basic e lê seu código do arquivo C: SHIVER.SYS.

O vírus não exclui seu arquivo C: SHIVER.SYS após a infecção e o utiliza para infectar o Word novamente se o código de vírus principal tiver sido excluído (desinfetado) em documentos e NORMAL.DOT. Para fazer isso, o vírus em cada inicialização do Word procura o arquivo WORD8.DOT no diretório de inicialização do Word. Se não houver tal arquivo, o vírus o cria e grava uma pequena macro FileSaveAs para lá. Esta macro contém apenas alguns comandos que importam o código de vírus do C: SHIVER.SYS para documentos que são salvos com o novo nome. Como resultado, o vírus permanece ativo sempre que todos os documentos e NORMAL.DOT forem desinfetados. O vírus usa a mesma maneira de exportar / importar para criar o dropper WORD8.DOT, como um buffer de código-fonte que o arquivo C: SENTRY.SYS é usado.

Para detectar sua presença no sistema, o vírus usa o Registro do sistema e grava seus valores de ID na chave "HKEY_CURRENT_USERSoftwareVB e VBA Program Settings Officeffice8.0". Existem dois valores que marcam presença / ausência de vírus no sistema:


Arrepio [DDE] = ALT-F11
Arrepio [DDE] = NoNos (
Dependendo do contador aleatório do sistema, o vírus redefine essa chave para "NoNos (" e força suas rotinas de infecção a renovar o WORD8.DOT e PERSONAL.XLS infectados nos diretórios de inicialização do Word e do Excel.

O vírus Internals

O vírus contém 18 macros em um "Módulo1":

AutoExec – Auto-função do Word, contém rotina de re-infecção do Word
AutoOpen – Função automática do Word, contém rotina de infecção do documento do Word
WordStealth – adiciona as macros furtivas ToolsMacro, FileTemplates, ViewVBCode
nas macros globais do Word (NORMAL.DOT)
AutoExit – Função automática do Word, infecta o Excel
FindExcel – rotina de pesquisa do Excel
PersonalFun – usado na infecção do Excel
CheckMarker – "Você está aqui?" função, verifica o registro
MakeMarker – grava ID de vírus no Registro
PXL_Done – usado na infecção do Excel
Auto_Open – Auto-função do Excel, conecta a rotina de ativação de folhas
ShiverTime – hooker de ativação de folhas e infector
wdTrigger – rotina de disparos de palavras
xlTrigger – Rotina de gatilho do Excel
Auto_Close – função automática do Excel, espalha o vírus para o Word
atraso – usado na infecção do Word
wdReEvalInfection – procura PERSONAL.XLS infectado no diretório de inicialização do Excel
xlReEvalInfection – procura WORD8.DOT infectado no diretório de inicialização do Word
DDE_Info – do-nothing macro, contém o "copyright":
Arrepio [DDE] por ALT-F11 com a ajuda de ALT-F4
Este é o primeiro vírus produzido pela The Alternative Virus Mafia (AVM)
ALT-F4 – "Nasci para morrer"
ALT-F11 – "Ações sem pensamentos"

Rotinas de gatilho

O vírus tem habilidades furtivas. No Excel, desativa os itens de menu Window / Unhide … e Tools / Macro. Em Word também cria as macros stealth no NORMAL.DOT: ToolsMacro, FileTemplates, ViewVBCode no módulo "ThisDocument". Como resultado, o vírus oculta seu código. O vírus também desativa a proteção contra vírus do Office97.

Dependendo do contador aleatório do sistema, o vírus executa os seguintes efeitos:

  • no Excel insere na célula selecionada aleatoriamente os comentários:

    Arrepio [DDE] por ALT-F11
  • no Word cria o arquivo C: SISTER.DLL, grava o texto para lá e executa WRITE para mostrá-lo:

    Ei cara, eu meio que gosto da sua irmã
    Ei cara, eu espero que seja legal
    Ei cara, eu meio que perdi minha mente
    Toda vez que eu encontro sua irmã
    Bronzeado pela piscina
    Ei cara, eu quero ver ela nua
    Ei cara, estou sempre em seu quarto
    Tudo sozinho quando ninguém está lá
    Passando por sua roupa interior
    Ei cara, eu preciso vê-la logo
    Ei cara, eu nunca vou ficar grávida
    Mas ei cara, como posso resistir a ela
    O dia em que lhe dou uma aliança de casamento
    Você vai ser o meu melhor homem?
    Ei cara, eu meio que gosto da sua irmã
    Eu gosto da sua irmã
    Eu gosto da sua irmã
    Eu gosto dela
  • no Word renomeia os itens do menu:

    Ferramentas / Macro = "Arrepio [DDE] por ALT-F11"
    Arquivo / Versões … = "Folhas manchadas de sujeira …"
    Edit / Paste Special … = "Ei cara que eu fiz sua mãe …"
    Insert / Break … = "Quer fazer algum MDMA?"
    Ajuda / Sobre o Microsoft Word = "Paz, Amor e Drogas"
    Arquivo / Propriedades = "Eu vou morrer feliz, você vai morrer"
    Editar / Ir para … = "Heywood Jablowmi"
    Ferramentas / Contagem de palavras … = "Contagem de corpos"
    Formato / Fonte … = "Cunt"
    Arquivo / Fechar = "Sem roupas"
    Janela / Split = "Blow Me"
    Inserir / Picture = "GIF Pornô Crusty"
    Arquivo / Imprimir … = "My Balls Itch"
    Formato / marcadores e numeração … = "Comprimidos e agulhas"
    Tabela / Inserir Tabela … = "Inserir e Sonda"
    Ferramentas / Personalizar … = "Sodomizar …"
    Ferramentas / Ortografia e Gramática … = "Soletrando e sua avó …"
    Ver / Barras de ferramentas = "Gaybars"
    Ver / Documento Mestre = "Masturbação"


Link para o original