Virus.MSOffice.Teocatl

技術的な詳細

このマクロウイルスは、Office97 Word文書とExcelシートに感染します。それはその内部の場所にちなんで命名されました： "teonanacatl"。いくつかのMS Officeアプリケーションに感染することができる2番目に知られたマクロウイルス（ "Access / Word97.Cross"の後）です。

このウイルスのコードは、StrangeDaysという名前の1つのモジュールに置かれ、8つの機能を含んでいます。

自動クローズ –  Word自動機能、感染ルーチンを含む
AutoOpen  –  Word自動機能、VisualBasicコードエディタ（ステルス）を無効にする
AutoExit  –  Wordオートファンクション、AutoCloseを呼び出してドキュメントを感染させる
ToolsMacro  – マクロの表示を無効にする（ステルス）
ToolsOptions  – マクロの表示を無効にする（ステルス）
FileTemplates  – マクロの表示を無効にする（ステルス）
ViewVBCode  – マクロの表示を無効にする（ステルス）
Auto_Open  –  Excelの自動機能、シートを起動するフック

このウイルスは、コードを「ネイティブ」アプリケーション（Word-> Word、Excel-> Excel）に展開し、感染ファイルを別のアプリケーション（Word-> ExcelおよびExcel-> Word）にドロップします。感染したWord文書とExcelシートの両方で、ウイルスには同じ基本コードがあります。 Office97のWordとExcelの両方でエラーなしで実行できるような方法で正確に記述されています。

「ネイティブ」オブジェクト（ドキュメントまたはシート）を感染させるために、ウイルスはBasicBasicコードをC：LO.SYSファイルにエクスポートした後、Word以外のドキュメントにインポートします。シート（Excel）。 Wordの場合、他の文書を感染させるために、ウイルスはAuto-Function AutoCloseとAutoExitをインターセプトし、閉じた文書やWordを終了すると感染します。 Excelの場合、ウイルスはシートアクティベーションルーチンをフックし、自動機能Auto_Openは、感染したシートが開かれたときにそれを行います。

別のアプリケーションを感染させるために、ウイルスは、WordやExcelの自動読み込み機能を使って、起動ディレクトリからテンプレート（Word）とシート（Excel）を読み込みます。 ExcelからWordに感染するために、ウイルスは新しいNORMAL.DOT（Word）およびPERSONAL.XLS（Excel）ファイルを起動ディレクトリに作成します。

これらのNORMAL.DOTとPERSONAL.XLSの両方には、ウイルス自体ではなくウイルスローダーである小さな17行のルーチンが含まれています。このローダーには、自動ネーム（ExcelではAuto_Close、WordではAutoExec）があり、感染したPERSONAL.XLSを感染元のNORMAL.DOTまたはExcelが終了した状態で、Wordが起動するとシステムによって実行されます。どちらの場合も、ローダはC：LO.SYSファイルから現在のオブジェクト（NORMALテンプレートまたはPERSONAL.XLS）に完全なウイルスコードを読み込み（インポート）、その結果、感染します。ローダーは感染した結果を元のファイル（NORMAL.DOTまたはPERSONAL.XLS）に保存して終了します。次の読み込み時には、WordとExcelの両方が完全なウイルスコードでNORMAL.DOTとPERSONAL.XLSをロードし、その結果、ウイルスはその伝播を継続します。

ウィルスには、ツール/マクロ、ツール/オプション、ファイル/テンプレート、ビュー/ VBCodeメニュー項目を無効にし、VisualBasicEditorとVirusProtectionを無効にするだけでなく、ステルスとアンチ警告機能があります。また、システムレジストリ内のVirusProtectionの指示も変更されます。

任意の月の26日に、MessageBoxを表示し、現在のディレクトリ内のすべてのファイルを削除し、MessageBox内のテキストは次のようになります。

奇妙な日々の爬虫類/ 29A
奇妙な日々が私たちを見つけた
奇妙な日々が私たちを追跡した
彼らは破壊しようとしている…