Virus.MSWord.Melissa

Hauptgruppierung: VirWare

Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.

Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.

Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).

Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.

Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.

Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.

Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:

Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.

Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.

Kategorie: Virus

Viren replizieren auf den Ressourcen der lokalen Maschine.

Im Gegensatz zu Würmern verwenden Viren keine Netzwerkdienste, um andere Computer zu verbreiten oder zu durchdringen. Eine Kopie eines Virus erreicht entfernte Computer nur dann, wenn das infizierte Objekt aus irgendeinem Grund, der nichts mit der Virusfunktion zu tun hat, auf einem anderen Computer aktiviert wird. Beispielsweise:

Wenn infizierbare Festplatten infiziert werden, dringt ein Virus in eine Datei ein, die sich auf einer Netzwerkressource befindet
Ein Virus kopiert sich auf ein Wechselspeichergerät oder infiziert eine Datei auf einem Wechselmedium
Ein Benutzer sendet eine E-Mail mit einem infizierten Anhang.


Mehr Informationen

Plattform: MSWord

Microsoft Word (MS Word) ist ein beliebtes Textverarbeitungsprogramm und Teil von Microsoft Office. Microsoft Word-Dateien haben die Erweiterung .doc oder .docx.

Beschreibung

Technische Details

Dieser Makrovirus repliziert unter Word 8 und Word 9 (Office97 und Office2000), infiziert Word-Dokumente und Vorlagen und sendet seine Kopien per E-Mail mit MS Outlook. Der Virus ist ein extrem schneller Infektor: Seine E-Mail-Verbreitungsroutine kann viele infizierte Dokumente an verschiedene E-Mail-Adressen senden, wenn sich der Virus selbst im System installiert. Der Virus verfügt auch über eine Triggerroutine, ändert die Systemregistrierung und deaktiviert den Word-Makrovirusschutz.

Um seine Kopien über E-Mail-Nachrichten zu senden, verwendet der Virus VisualBasic-Fähigkeiten, um andere Microsoft-Anwendungen zu aktivieren und ihre Routinen zu verwenden: Der Virus erhält Zugriff auf MS Outlook und ruft seine Funktionen auf. Der Virus ruft die Adressen aus der Outlook-Datenbank ab und sendet ihnen eine neue Nachricht. Diese Massage hat:

Der Betreff: "Wichtige Nachricht von [Benutzername]" (Benutzername ist Variable)

Nachrichtentext: "Hier ist das Dokument, nach dem du gefragt hast ... zeige niemandem sonst ;-)"

Die Nachricht hat auch ein angehängtes Dokument (es muss nicht gesagt werden, dass es infiziert ist) - der Virus wird an das Dokument angehängt, das gerade bearbeitet wird (aktives Dokument). Als Nebeneffekt dieser Art der Verbreitung können die Dokumente des Benutzers (einschließlich vertraulicher Dokumente) im Internet versandt werden.

Der Virus kann sehr viele Nachrichten senden: Er scannt Outlook AddressBook (Adressdatenbank), öffnet jede darin enthaltene Liste und sendet bis zu 50 Nachrichten an Adressen von jedem. Wenn eine Liste weniger als 50 Einträge (E-Mail-Adressen) aufweist, sind alle betroffen. Der Virus sendet für jede Liste eine Nachricht, das Feld TO: in der Nachricht enthält alle Adressen aus dieser Liste (bis zu 50) und kann von Anti-Spam-Filtern ignoriert werden.

Der Virus sendet infizierte E-Mails nur einzeln. Vor dem Senden überprüft der Virus die Systemregistrierung auf seinen ID-Stempel:

HKEY_CURRENT_USERSoftwareMicrosoftOffice "Melissa?" = "... von Kwyjibo"

Wenn dieser Eintrag nicht vorhanden ist, sendet der Virus E-Mails von einem infizierten Computer und erstellt diesen Eintrag dann in der Registrierung. Andernfalls überspringt der Virus die E-Mail-Routine. Daher sendet der Virus infizierte E-Mail-Nachrichten nur einmal: Bei weiteren Versuchen sucht er den Eintrag "Melissa? =" Und überspringt ihn.

Der Virus kann sich auf Office2000-Dokumente (Word, Version 9) ausbreiten. Diese Möglichkeit basiert auf einer "Konvertierungs" -Funktion von Office. Wenn eine Office-Version neu geöffnet wird und Dokumente und Vorlagen aus früheren Word-Versionen lädt, konvertiert sie Daten in Dokumenten in neue Formate. Das Makroprogramm in Dateien wird ebenfalls konvertiert, einschließlich Virenmakros. Dadurch kann sich der Virus unter Office2000 selbst replizieren.

Für den Fall, dass der Virus in Office2000 ausgeführt wird, führt er eine zusätzliche Aktion durch: Er deaktiviert (setzt auf eine minimale Stufe) die Sicherheitseinstellungen von Office2000 (Anti-Virus-Schutz).

Der Viruscode enthält ein Modul namens "Melissa" mit einer automatischen Funktion: "Document_Open" in infizierten Dokumenten oder "Document_Closed" in NORMAL.DOT (globaler Makrobereich). Der Virus infiziert den globalen Makrobereich bei einem infizierten Dokument, das geöffnet wird, und verbreitet sich beim Schließen auf andere Dokumente. Um Dokumente und Vorlagen zu infizieren, kopiert der Virus seinen Code Zeile für Zeile von einem infizierten Objekt zu einem "Opfer". Wenn der NORMAL.DOT infiziert wird, benennt der Virus sein Programm im Modul als "Document_Close". Wenn der Virus seinen Code von NORMAL.DOT in ein Dokument kopiert, nennt der Virus ihn "Document_Open". Daher installiert sich der Virus zur gleichen Zeit wie das infizierte Dokument in der Word-Anwendung und infiziert andere Dokumente nur, wenn sie geschlossen werden.

Der Virus hat auch eine Triggerroutine, die aktiviert wird, wenn das aktuelle Datum der aktuellen Zeit in Minuten entspricht. Jedes Mal, wenn die Makros des Virus die Kontrolle übernehmen, fügt diese Routine den Text in das aktuelle Dokument ein:

Zweiundzwanzig Punkte, plus Dreifach-Wort-Score, plus fünfzig Punkte für die Verwendung
alle meine Briefe. Das Spiel ist vorbei. Ich bin hier raus.

Dieser Text sowie das Pseudonym des Virenautors "Kwyjibo" sind Verweise auf die beliebte Zeichentrickserie "Simpsons".

Der Virus hat die Kommentare:

WORT / Melissa geschrieben von Kwyjibo
Funktioniert in Word 2000 und Word 97
Wurm? Makrovirus? Word 97-Virus? Word 2000-Virus? Du entscheidest!
Wort -> Email | Word 97 <-> Word 2000 ... es ist ein neues Zeitalter!

Melisse.b

Diese Virus-Version verwandelt sich in einen Wurm, nicht in einen Virus: In seinem Code wird die Infektionsroutine des globalen Makrobereichs und anderer Dokumente "kommentiert" (dieser Code ist im Wurm-Code vorhanden, aber alle Befehle sind deaktiviert von "Dies ist ein Kommentar Text "VisualBasic-Zeichen). Es wird auch in den Kommentaren des Autors im Code des Wurms erwähnt: "Wir wollen den PC nicht wirklich infizieren, sondern nur warnen"

Ein infiziertes Dokument ist an eine Nachricht angehängt mit:

Betreff: "Vertraue niemandem"
Körper: "Sei vorsichtig, was du öffnest. Es könnte ein Virus sein."

Wenn ein angehängtes Dokument geöffnet wird, übernimmt die Worm-Spreading-Routine die Kontrolle. Es sucht in der Systemregistrierung nach der Markierung "Melissa.a", und wenn diese nicht vorhanden ist, erhält der Wurm eine (erste) Adresse aus jeder Outlook-Adressliste und sendet neue Nachrichten mit seiner Kopie an diese Adressen. Der Wurm fügt dann den folgenden Text in das aktuelle Dokument ein:

Dies hätte katastrophale Folgen haben können. Seien Sie beim nächsten Öffnen vorsichtiger
eine E-Mail. Schütze dich selbst! Finden Sie heraus, wie auf diesen Websites:
http://www.eos.ncsu.edu/eos/info/computer_ethics/www/abuse/wvt/worm/
http://www.nipc.gov/nipc/w97melissa.htm
http://www.cert.org/advisories/CA-99-04-Melissa-Macro-Virus.html
http://www.microsoft.com/security/bulletins/ms99-002.asp
http://www.infoworld.com/cgi-bin/displayStory.pl?990326.wcvirus.htm

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com