DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Virus.MSWord.Wazzu

Kategorie Virus
Plattform MSWord
Beschreibung

Technische Details

Dieser Virus enthält nur einen Makro autoOpen und infiziert Dateien, wenn MS Word sie öffnet, und kopiert seine Makros in den globalen Bereich (NORMAL.DOT), wenn MS Word ein infiziertes Dokument öffnet. Der Virus ist nicht verschlüsselt und kann durch Scannen nach Textzeichenfolgen leicht erkannt werden:


RndWorddo
wazzu
RndWorddRgV
Nach der Infektion eines Dokuments oder der Installation in das System nimmt der Virus ein zufällig ausgewähltes Wort aus dem Dokument und verschiebt es an eine zufällig ausgewählte Position. Der Virus wiederholt das bis zu dreimal, abhängig vom Zufallszähler. Dann fügt es auch abhängig vom Zufallszähler die Zeichenfolge "wazzu" an der zufällig ausgewählten Position innerhalb des Dokuments ein.

Im Detail: Der Virus hat drei Subroutinen in seinem Makro:


MAIN – es ist Hauptroutine und es übernimmt die Kontrolle, wenn AutoOpen
Makro wird ausgeführt
Payload – wird von MAIN aufgerufen, ersetzt Wörter und fügt "wazzu" ein.
RndWord – wird von Payload aufgerufen, setzt die zufällig gewählte Position
innerhalb des Dokuments
Der Virus modifiziert das Dokument mit den Wahrscheinlichkeiten (p): Wörter ersetzen – dreimal mit p = 1/5, Einfügen von "wazzu" – p = 1/4.

Wazzu-verwandte Viren

Das ursprüngliche "Wazzu" ("Wazzu.a") Virus ist eines der am weitesten verbreiteten Viren auf der Welt. Der mögliche Grund ist, dass dieser Virus auf der Microsoft WWW-Site platziert wurde, infizierte Dokumente wurden auch auf mehreren CD-Disketten verteilt. Als Folge davon gibt es mehrere Dutzend verwandter Viren, und die Anzahl solcher verwandter Viren nimmt jeden Monat zu. Nachstehend werden kurze Beschreibungen gegeben, um Namenviren zu verwenden, werden CARO-Standardnamen verwendet (AVP erkennt und desinfiziert die Mehrheit dieser Viren als "Wazzu.a").

"Wazzu.b, i" unterscheidet sich vom Original nur durch den enthaltenen Kommentar:


<- – – – – – hier ist die Nutzlast
"Wazzu.c, t, ac" manifestieren sich in keiner Weise – sie haben keine Payload-Subroutine (RndWord-Subroutine präsentiert sich im Virus, wird aber nie aufgerufen).

"Wazzu.d, f, q, w, ad" haben nicht beide Subroutinen Payload und RndWord. "Wazzu.f" ist ein kürzestes Virus in der Familie – sein Code (Binärdaten in infizierter Datei) hat nur 318 Bytes Länge.

"Wazzu.e, h" sind verschlüsselte Varianten des ursprünglichen "Wazzu". "Wazzu.h" ist leicht beschädigt und kann MS Word anhalten oder eine Fehlermeldung verursachen.

"Wazzu.g, r" sind verschlüsselte Viren. "Wazzu.g" enthält EatThis Subroutine anstelle der ursprünglichen Payload. Mit der Wahrscheinlichkeit 1/10 zeigen diese Viren eine MessageBox mit dem Text:


Microsoft Word
Das ist für dich, Bosco.
"Wazzu.k" ist beschädigt "Wazzu.a".

"Wazzu.l" hat keine Unterprogramme im Makro außer MAIN. Mit der Wahrscheinlichkeit 1/10 fügt er die Zeichenfolge "wazzu!" bis zum Ende des Dokuments.

"Wazzu.m, s" haben keine Payload Subroutine, aber rufen Sie sie auf. Das wird die Fehlermeldung von Word verursachen.

"Wazzu.u, aa, ad" sind die gleichen wie "Wazzu.a", aber fügen Sie nicht die "wazzu" Zeichenfolge ein.

"Wazzu.x" enthält keine Unterprogramme außer MAIN. Es enthält den Text:


Der Fleischwolf-Virus – Dank Kermit dem Frosch,
und Kermit das Protokoll
"Wazzu.y, z" sind die gleichen wie "Wazzu.a", aber der Code dieses Virus ist leicht modifiziert, zum Beispiel werden alle TAB (09h) -Symbole durch 8 Leerzeichen in "Wazzu.y" ersetzt.


Link zum Original