Virus.MSWord.Redter

Detalhes técnicos

Este é um vírus Word não polimórfico. O vírus reside no módulo RedTerrorist.

Tem sete sub-rotinas:

 AutoOpen AutoClose FuckThemAll FerramentasMacro FerramentasPersonalizar ViewVBCode Demora 

O vírus é replicado quando um documento é aberto ou fechado.

AutoOpen, AutoClose:

Esses procedimentos só chamam a principal rotina de infecção do vírus, que está na rotina FuckThemAll.

Demora:

Essa macro faz com que o sistema pause antes de uma janela de mensagem ser mostrada.

 Para i = 0 a 19170000Próximo 

FuckThemAll:

Principal rotina de vírus. Verifica o parâmetro do sistema 'Country' e, se este é 'US', então executa o shell de comando:

 "c: command.com C echo y | del" + Environ ("windir") + "sistema *. *> nul" 

Depois disso, o vírus define os seguintes parâmetros:

 .SaveNormalPrompt = False .VirusProtection = False .AllowFastSave = True .BackgroundSave = True 

O vírus verifica a presença no documento ativo (ou normal.dot) do módulo 'RedTerrorist'. A infecção repetida não ocorrerá. Se o módulo não for encontrado, o vírus cria um arquivo de exportação 'user.vxd' no catálogo% windir %% temp% e infecta o documento. Depois disso, o vírus remove o arquivo de exportação 'user.vxd'

FerramentasCustomização, FerramentasMacro, VisãoVBCode:

Estas três rotinas são usadas para stealth; quando executados, chamam a rotina Delay e exibem Message Boxes:

ToolsMacro:

 Processo de nível superior abortado, não pode continuar 

FerramentasPersonalizar

 Configuração muito grande para memória 

ViewVBCode

 Erro no arquivo EXE, programa muito grande para caber na memória