Virus.MSWord.Outlaw

Hauptgruppierung: VirWare

Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.

Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.

Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).

Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.

Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.

Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.

Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:

Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.

Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.

Kategorie: Virus

Viren replizieren auf den Ressourcen der lokalen Maschine.

Im Gegensatz zu Würmern verwenden Viren keine Netzwerkdienste, um andere Computer zu verbreiten oder zu durchdringen. Eine Kopie eines Virus erreicht entfernte Computer nur dann, wenn das infizierte Objekt aus irgendeinem Grund, der nichts mit der Virusfunktion zu tun hat, auf einem anderen Computer aktiviert wird. Beispielsweise:

Wenn infizierbare Festplatten infiziert werden, dringt ein Virus in eine Datei ein, die sich auf einer Netzwerkressource befindet
Ein Virus kopiert sich auf ein Wechselspeichergerät oder infiziert eine Datei auf einem Wechselmedium
Ein Benutzer sendet eine E-Mail mit einem infizierten Anhang.


Mehr Informationen

Plattform: MSWord

Microsoft Word (MS Word) ist ein beliebtes Textverarbeitungsprogramm und Teil von Microsoft Office. Microsoft Word-Dateien haben die Erweiterung .doc oder .docx.

Beschreibung

Technische Details

Dies sind halbpolymorphe Makroviren - während sie eine Datei infizieren, kopieren sie ihre drei Makros mit zufällig gewählten Namen, so dass es keine feste Menge für Makros in infizierten Dateien und NORMAL.DOT gibt.

Um diesen Semi-Polymorphismus zu realisieren, verwendet der Virus einen System-Zufallszähler und einen Timer - während er einen neuen Namen für das Makro auswählt, setzt der Virus den ersten Buchstaben in Abhängigkeit von der aktuellen Stunde: 1 - 'A', 2 - 'B', 3 - 'C usw. und hängt dann vier zufällig ausgewählte Ziffern an. Als Ergebnis werden zufällig ausgewählte Namen wie folgt angezeigt: O8493, O7920, O9259 oder M8064, M8908, M8151.

Andere Versionen dieses Virus können andere Schemata verwenden, um die Namen zu erstellen. "Outlaw.Goodbye" startet auch die Makronamen entsprechend der aktuellen Stunde, verwendet aber andere Buchstaben: 1 - 'AZ', 2 - 'BY', 3 - "CX" und so weiter.

Es gibt keine automatischen Makros im Virus, und um die Kontrolle zu bekommen, weist der Virus seine Makros mit Tastenanschlägen zu: SPACE Schlüssel - Makros, die den globalen Makrobereich befallen, 'E' Schlüssel - Makros, die das aktuelle Dokument infizieren.

Um den Namen des aktuellen Makros zu erhalten, während er kopiert wird und um seinen Nutzlast-Makro auszuführen, verwendet der Virus zwei Wege. Um seine Namen aus einem Dokument zu erhalten, erstellt der Virus drei Variablen im Dokument: VirNameDoc, VirName, VirNamePayload und speichert dort seine aktuellen Namen während der Infektion. Im Notfall erhält der Virus diese Namen von dort.

Um die Namen im Fall von NORMAL.DOT (globaler Makrobereich) zu erhalten, erstellt der Virus drei Datensätze, die aktuelle Namen im Systemprofil (WIN.INI-Datei) im Abschnitt [Intl] enthalten:

[Intl]Name =Name2 =Name3 =

Am 20. Januar startet der ursprüngliche "Outlaw" -Virus seine Triggerroutine. Unter Windows95 und abhängig von einigen anderen Bedingungen spielt der Virus einen Ton - er löscht die LAUGH.WAV-Datei und spielt sie ab (diese Datei enthält aufgezeichnete Lacher). Der Virus fügt auch im aktuellen Dokument die Strings ein:

Sie sind infiziert mitVerbietenEin Virus von Nightmare Joker

Es gibt eine verschlüsselte Variante des ursprünglichen "Outlaw" - des "Outlaw.b" -Virus.

"Outlaw.Black" enthält zwei Makros mit zufälligen Namen aus 8 Buchstaben (zum Beispiel - DIJRCJCY, DOFYBPIT). Dieser Virus zeigt das Meldungsfeld an:

Schwarzer Ritter

"Outlaw.Goodbye" ist verschlüsselt, plus drei zufällig benannte Makros enthält es zwei "Stealth" -Makros - ToolsMacro und ExtrasMakro. Während der Auswahl des Tools / Makro-Menüs zeigt der Virus "Dummy" -Menüs an und zeigt Fehlermeldungen auf die gleiche Weise wie der Magnum- Virus an.

Am 10. Oktober fällt dieser Virus ab und startet den DOS-Virus "VLAD.Goodbye", erstellt eine neue Vorlage und schreibt den Text dorthin:

Sie sind mit dem MooNRaDer Virus infiziert!Grüße an alle Mitglieder von Vlad!Ich hoffe, das ist nicht das Ende!Die Szene wäre ohne diese sehr gute Gruppe langweilig!Albtraum-Joker

Dieser Virus erstellt dann den Abschnitt SystemProfile (Datei WIN.INI):

[Vlad]Auf Wiedersehen = Ja

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com