CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Virus.MSWord.Outlaw

Classe Virus
Plateforme MSWord
Description

Détails techniques

Ce sont des macro-virus semi-polymorphes – tout en infectant un fichier, ils copient leurs trois macros avec des noms sélectionnés au hasard, donc il n'y a pas de jeu fixe pour les noms de macros dans les fichiers infectés et NORMAL.DOT.

Pour réaliser ce semi-polymorphisme, le virus utilise un compteur aléatoire et un temporisateur – en sélectionnant un nouveau nom pour la macro, le virus définit la première lettre en fonction de l'heure actuelle: 1 – 'A', 2 – 'B', 3 – 'C 'et ainsi de suite, puis ajoute quatre chiffres sélectionnés au hasard. Par conséquent, les noms sélectionnés au hasard ressemblent à: O8493, O7920, O9259 ou M8064, M8908, M8151.

L'autre version de ce virus peut utiliser d'autres schémas pour construire les noms, "Outlaw.Goodbye" démarre également les noms de macros en fonction de l'heure actuelle, mais utilise un autre jeu de lettres: 1 – 'AZ', 2 – 'BY', 3 – 'CX', et ainsi de suite.

Il n'y a pas de macros automatiques dans les virus, et pour obtenir le contrôle, le virus assigne ses macros avec des touches: touche ESPACE – macros qui infecte la zone des macros globales, touche 'E' – macros qui infecte le document courant.

Pour obtenir le nom de la macro en cours lors de la copie et pour exécuter sa macro de charge utile, le virus utilise deux méthodes. Pour obtenir ses noms à partir d'un document, le virus crée trois variables dans le document: VirNameDoc, VirName, VirNamePayload, et enregistre les noms actuels tout en infectant. En cas de besoin, le virus obtient ces noms à partir de là.

Pour obtenir les noms en cas de NORMAL.DOT (zone de macros globales) le virus crée trois enregistrements contenant les noms actuels dans le profil système (fichier WIN.INI) dans la section [Intl], ces chaînes sont:


[Intl]
Nom =
Name2 =
Name3 =

Le 20 janvier, le virus "Outlaw" original exécute sa routine de déclenchement. Sous Windows95 et en fonction de plusieurs autres conditions le virus joue un son – il laisse tomber le fichier LAUGH.WAV et le joue (ce fichier contient des rires enregistrés). Le virus insère également dans le document courant les chaînes:


Vous êtes infecté avec
Hors la loi
Un virus de Nightmare Joker
Il existe une variante cryptée de l'original "Outlaw" – le virus "Outlaw.b".

"Outlaw.Black" contient deux macros avec des noms aléatoires de 8 lettres (par exemple – DIJRCJCY, DOFYBPIT). Ce virus affiche la boîte de message:


Chevalier noir

"Outlaw.Goodbye" est crypté, plus trois macros au nom aléatoire, il contient deux macros "furtives" – ToolsMacro et ExtrasMakro. En sélectionnant le menu Outils / Macro, le virus affiche des menus "factices" et affiche les messages d'erreur de la même manière que le virus Magnum .

Le 10 Octobre ce virus tombe et exécute "VLAD.Goodbye" virus DOS, crée un nouveau modèle et écrit le texte là-bas:


Vous êtes infecté par le virus MooNRaiDer!
Salutations à tous les membres de Vlad!
J'espère que ce n'est pas la fin!
La scène serait ennuyeuse sans ce très bon groupe!
Joker de cauchemar

Ce virus crée ensuite la section SystemProfile (fichier WIN.INI):


[Vlad]
Au revoir = Oui


Lien vers l'original