DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Virus.MSWord.Outlaw

Kategorie Virus
Plattform MSWord
Beschreibung

Technische Details

Dies sind halbpolymorphe Makroviren – während sie eine Datei infizieren, kopieren sie ihre drei Makros mit zufällig gewählten Namen, so dass es keine feste Menge für Makros in infizierten Dateien und NORMAL.DOT gibt.

Um diesen Semi-Polymorphismus zu realisieren, verwendet der Virus einen System-Zufallszähler und einen Timer – während er einen neuen Namen für das Makro auswählt, setzt der Virus den ersten Buchstaben in Abhängigkeit von der aktuellen Stunde: 1 – 'A', 2 – 'B', 3 – 'C usw. und hängt dann vier zufällig ausgewählte Ziffern an. Als Ergebnis werden zufällig ausgewählte Namen wie folgt angezeigt: O8493, O7920, O9259 oder M8064, M8908, M8151.

Andere Versionen dieses Virus können andere Schemata verwenden, um die Namen zu erstellen. "Outlaw.Goodbye" startet auch die Makronamen entsprechend der aktuellen Stunde, verwendet aber andere Buchstaben: 1 – 'AZ', 2 – 'BY', 3 – "CX" und so weiter.

Es gibt keine automatischen Makros im Virus, und um die Kontrolle zu bekommen, weist der Virus seine Makros mit Tastenanschlägen zu: SPACE Schlüssel – Makros, die den globalen Makrobereich befallen, 'E' Schlüssel – Makros, die das aktuelle Dokument infizieren.

Um den Namen des aktuellen Makros zu erhalten, während er kopiert wird und um seinen Nutzlast-Makro auszuführen, verwendet der Virus zwei Wege. Um seine Namen aus einem Dokument zu erhalten, erstellt der Virus drei Variablen im Dokument: VirNameDoc, VirName, VirNamePayload und speichert dort seine aktuellen Namen während der Infektion. Im Notfall erhält der Virus diese Namen von dort.

Um die Namen im Fall von NORMAL.DOT (globaler Makrobereich) zu erhalten, erstellt der Virus drei Datensätze, die aktuelle Namen im Systemprofil (WIN.INI-Datei) im Abschnitt [Intl] enthalten:


[Intl]
Name =
Name2 =
Name3 =

Am 20. Januar startet der ursprüngliche "Outlaw" -Virus seine Triggerroutine. Unter Windows95 und abhängig von einigen anderen Bedingungen spielt der Virus einen Ton – er löscht die LAUGH.WAV-Datei und spielt sie ab (diese Datei enthält aufgezeichnete Lacher). Der Virus fügt auch im aktuellen Dokument die Strings ein:


Sie sind infiziert mit
Verbieten
Ein Virus von Nightmare Joker
Es gibt eine verschlüsselte Variante des ursprünglichen "Outlaw" – des "Outlaw.b" -Virus.

"Outlaw.Black" enthält zwei Makros mit zufälligen Namen aus 8 Buchstaben (zum Beispiel – DIJRCJCY, DOFYBPIT). Dieser Virus zeigt das Meldungsfeld an:


Schwarzer Ritter

"Outlaw.Goodbye" ist verschlüsselt, plus drei zufällig benannte Makros enthält es zwei "Stealth" -Makros – ToolsMacro und ExtrasMakro. Während der Auswahl des Tools / Makro-Menüs zeigt der Virus "Dummy" -Menüs an und zeigt Fehlermeldungen auf die gleiche Weise wie der Magnum- Virus an.

Am 10. Oktober fällt dieser Virus ab und startet den DOS-Virus "VLAD.Goodbye", erstellt eine neue Vorlage und schreibt den Text dorthin:


Sie sind mit dem MooNRaDer Virus infiziert!
Grüße an alle Mitglieder von Vlad!
Ich hoffe, das ist nicht das Ende!
Die Szene wäre ohne diese sehr gute Gruppe langweilig!
Albtraum-Joker

Dieser Virus erstellt dann den Abschnitt SystemProfile (Datei WIN.INI):


[Vlad]
Auf Wiedersehen = Ja


Link zum Original