Virus.MSOffice.Teocatl

技術的な詳細

このマクロウイルスは、Office97 Word文書とExcelシートに感染します。それはその内部の場所にちなんで命名されました： "teonanacatl"。いくつかのMS Officeアプリケーションに感染することができる2番目に知られたマクロウイルス（ "Access / Word97.Cross"の後）です。

このウイルスのコードは、StrangeDaysという名前の1つのモジュールに置かれ、8つの機能を含んでいます。

自動クローズ –  Word自動機能、感染ルーチンを含むAutoOpen  –  Word自動機能、VisualBasicコードエディタ（ステルス）を無効にするAutoExit  –  Wordオートファンクション、AutoCloseを呼び出してドキュメントを感染させるToolsMacro  – マクロの表示を無効にする（ステルス）ToolsOptions  – マクロの表示を無効にする（ステルス）FileTemplates  – マクロの表示を無効にする（ステルス）ViewVBCode  – マクロの表示を無効にする（ステルス）Auto_Open  –  Excelの自動機能、シートを起動するフック

このウイルスは、コードを「ネイティブ」アプリケーション（Word-> Word、Excel-> Excel）に展開し、感染ファイルを別のアプリケーション（Word-> ExcelおよびExcel-> Word）にドロップします。感染したWord文書とExcelシートの両方で、ウイルスには同じ基本コードがあります。 Office97のWordとExcelの両方でエラーなしで実行できるような方法で正確に記述されています。

「ネイティブ」オブジェクト（ドキュメントまたはシート）を感染させるために、ウイルスはBasicBasicコードをC：LO.SYSファイルにエクスポートした後、Word以外のドキュメントにインポートします。シート（Excel）。 Wordの場合、他の文書を感染させるために、ウイルスはAuto-Function AutoCloseとAutoExitをインターセプトし、閉じた文書やWordを終了すると感染します。 Excelの場合、ウイルスはシートアクティベーションルーチンをフックし、自動機能Auto_Openは、感染したシートが開かれたときにそれを行います。

別のアプリケーションを感染させるために、ウイルスは、WordやExcelの自動読み込み機能を使って、起動ディレクトリからテンプレート（Word）とシート（Excel）を読み込みます。 ExcelからWordに感染するために、ウイルスは新しいNORMAL.DOT（Word）およびPERSONAL.XLS（Excel）ファイルを起動ディレクトリに作成します。

これらのNORMAL.DOTとPERSONAL.XLSの両方には、ウイルス自体ではなくウイルスローダーである小さな17行のルーチンが含まれています。このローダーには、自動ネーム（ExcelではAuto_Close、WordではAutoExec）があり、感染したPERSONAL.XLSを感染元のNORMAL.DOTまたはExcelが終了した状態で、Wordが起動するとシステムによって実行されます。どちらの場合も、ローダはC：LO.SYSファイルから現在のオブジェクト（NORMALテンプレートまたはPERSONAL.XLS）に完全なウイルスコードを読み込み（インポート）、その結果、感染します。ローダーは感染した結果を元のファイル（NORMAL.DOTまたはPERSONAL.XLS）に保存して終了します。次の読み込み時には、WordとExcelの両方が完全なウイルスコードでNORMAL.DOTとPERSONAL.XLSをロードし、その結果、ウイルスはその伝播を継続します。

ウィルスには、ツール/マクロ、ツール/オプション、ファイル/テンプレート、ビュー/ VBCodeメニュー項目を無効にし、VisualBasicEditorとVirusProtectionを無効にするだけでなく、ステルスとアンチ警告機能があります。また、システムレジストリ内のVirusProtectionの指示も変更されます。

任意の月の26日に、MessageBoxを表示し、現在のディレクトリ内のすべてのファイルを削除し、MessageBox内のテキストは次のようになります。

奇妙な日々の爬虫類/ 29A奇妙な日々が私たちを見つけた奇妙な日々が私たちを追跡した彼らは破壊しようとしている…