Virus.MSWord.Melissa

Technische Details

Dieser Makrovirus repliziert unter Word 8 und Word 9 (Office97 und Office2000), infiziert Word-Dokumente und Vorlagen und sendet seine Kopien per E-Mail mit MS Outlook. Der Virus ist ein extrem schneller Infektor: Seine E-Mail-Verbreitungsroutine kann viele infizierte Dokumente an verschiedene E-Mail-Adressen senden, wenn sich der Virus selbst im System installiert. Der Virus verfügt auch über eine Triggerroutine, ändert die Systemregistrierung und deaktiviert den Word-Makrovirusschutz.

Um seine Kopien über E-Mail-Nachrichten zu senden, verwendet der Virus VisualBasic-Fähigkeiten, um andere Microsoft-Anwendungen zu aktivieren und ihre Routinen zu verwenden: Der Virus erhält Zugriff auf MS Outlook und ruft seine Funktionen auf. Der Virus ruft die Adressen aus der Outlook-Datenbank ab und sendet ihnen eine neue Nachricht. Diese Massage hat:

Der Betreff: "Wichtige Nachricht von [Benutzername]" (Benutzername ist Variable)

Nachrichtentext: "Hier ist das Dokument, nach dem du gefragt hast … zeige niemandem sonst ;-)"

Die Nachricht hat auch ein angehängtes Dokument (es muss nicht gesagt werden, dass es infiziert ist) – der Virus wird an das Dokument angehängt, das gerade bearbeitet wird (aktives Dokument). Als Nebeneffekt dieser Art der Verbreitung können die Dokumente des Benutzers (einschließlich vertraulicher Dokumente) im Internet versandt werden.

Der Virus kann sehr viele Nachrichten senden: Er scannt Outlook AddressBook (Adressdatenbank), öffnet jede darin enthaltene Liste und sendet bis zu 50 Nachrichten an Adressen von jedem. Wenn eine Liste weniger als 50 Einträge (E-Mail-Adressen) aufweist, sind alle betroffen. Der Virus sendet für jede Liste eine Nachricht, das Feld TO: in der Nachricht enthält alle Adressen aus dieser Liste (bis zu 50) und kann von Anti-Spam-Filtern ignoriert werden.

Der Virus sendet infizierte E-Mails nur einzeln. Vor dem Senden überprüft der Virus die Systemregistrierung auf seinen ID-Stempel:

HKEY_CURRENT_USERSoftwareMicrosoftOffice "Melissa?" = "… von Kwyjibo"

Wenn dieser Eintrag nicht vorhanden ist, sendet der Virus E-Mails von einem infizierten Computer und erstellt diesen Eintrag dann in der Registrierung. Andernfalls überspringt der Virus die E-Mail-Routine. Daher sendet der Virus infizierte E-Mail-Nachrichten nur einmal: Bei weiteren Versuchen sucht er den Eintrag "Melissa? =" Und überspringt ihn.

Der Virus kann sich auf Office2000-Dokumente (Word, Version 9) ausbreiten. Diese Möglichkeit basiert auf einer "Konvertierungs" -Funktion von Office. Wenn eine Office-Version neu geöffnet wird und Dokumente und Vorlagen aus früheren Word-Versionen lädt, konvertiert sie Daten in Dokumenten in neue Formate. Das Makroprogramm in Dateien wird ebenfalls konvertiert, einschließlich Virenmakros. Dadurch kann sich der Virus unter Office2000 selbst replizieren.

Für den Fall, dass der Virus in Office2000 ausgeführt wird, führt er eine zusätzliche Aktion durch: Er deaktiviert (setzt auf eine minimale Stufe) die Sicherheitseinstellungen von Office2000 (Anti-Virus-Schutz).

Der Viruscode enthält ein Modul namens "Melissa" mit einer automatischen Funktion: "Document_Open" in infizierten Dokumenten oder "Document_Closed" in NORMAL.DOT (globaler Makrobereich). Der Virus infiziert den globalen Makrobereich bei einem infizierten Dokument, das geöffnet wird, und verbreitet sich beim Schließen auf andere Dokumente. Um Dokumente und Vorlagen zu infizieren, kopiert der Virus seinen Code Zeile für Zeile von einem infizierten Objekt zu einem "Opfer". Wenn der NORMAL.DOT infiziert wird, benennt der Virus sein Programm im Modul als "Document_Close". Wenn der Virus seinen Code von NORMAL.DOT in ein Dokument kopiert, nennt der Virus ihn "Document_Open". Daher installiert sich der Virus zur gleichen Zeit wie das infizierte Dokument in der Word-Anwendung und infiziert andere Dokumente nur, wenn sie geschlossen werden.

Der Virus hat auch eine Triggerroutine, die aktiviert wird, wenn das aktuelle Datum der aktuellen Zeit in Minuten entspricht. Jedes Mal, wenn die Makros des Virus die Kontrolle übernehmen, fügt diese Routine den Text in das aktuelle Dokument ein:

Zweiundzwanzig Punkte, plus Dreifach-Wort-Score, plus fünfzig Punkte für die Verwendung
alle meine Briefe. Das Spiel ist vorbei. Ich bin hier raus.

Dieser Text sowie das Pseudonym des Virenautors "Kwyjibo" sind Verweise auf die beliebte Zeichentrickserie "Simpsons".

Der Virus hat die Kommentare:

WORT / Melissa geschrieben von Kwyjibo
Funktioniert in Word 2000 und Word 97
Wurm? Makrovirus? Word 97-Virus? Word 2000-Virus? Du entscheidest!
Wort -> Email | Word 97 <-> Word 2000 … es ist ein neues Zeitalter!

Melisse.b

Diese Virus-Version verwandelt sich in einen Wurm, nicht in einen Virus: In seinem Code wird die Infektionsroutine des globalen Makrobereichs und anderer Dokumente "kommentiert" (dieser Code ist im Wurm-Code vorhanden, aber alle Befehle sind deaktiviert von "Dies ist ein Kommentar Text "VisualBasic-Zeichen). Es wird auch in den Kommentaren des Autors im Code des Wurms erwähnt: "Wir wollen den PC nicht wirklich infizieren, sondern nur warnen"

Ein infiziertes Dokument ist an eine Nachricht angehängt mit:

Betreff: "Vertraue niemandem"
Körper: "Sei vorsichtig, was du öffnest. Es könnte ein Virus sein."

Wenn ein angehängtes Dokument geöffnet wird, übernimmt die Worm-Spreading-Routine die Kontrolle. Es sucht in der Systemregistrierung nach der Markierung "Melissa.a", und wenn diese nicht vorhanden ist, erhält der Wurm eine (erste) Adresse aus jeder Outlook-Adressliste und sendet neue Nachrichten mit seiner Kopie an diese Adressen. Der Wurm fügt dann den folgenden Text in das aktuelle Dokument ein:

Dies hätte katastrophale Folgen haben können. Seien Sie beim nächsten Öffnen vorsichtiger
eine E-Mail. Schütze dich selbst! Finden Sie heraus, wie auf diesen Websites:
http://www.eos.ncsu.edu/eos/info/computer_ethics/www/abuse/wvt/worm/
http://www.nipc.gov/nipc/w97melissa.htm
http://www.cert.org/advisories/CA-99-04-Melissa-Macro-Virus.html
http://www.microsoft.com/security/bulletins/ms99-002.asp
http://www.infoworld.com/cgi-bin/displayStory.pl?990326.wcvirus.htm