Virus.MSWord.Layla

技術的な詳細

これは危険なステルスマクロウイルスです。 AutoOpen、LAYLA、AutoExec、AutoExit、AutoClose、FileClose、ToolsMacro、ToolsCustomize、FileTemplates、ViewVBCodeの10個のマクロが1つのモジュール "TJ"に含まれています。

感染した文書（AutoOpen）を開く際にグローバルマクロ領域に感染し、開閉時に他の文書に感染します（AutoOpen、AutoClose）。

ウイルスはWordウイルスの保護（VirusProtectionオプション）を無効にし、ユーザー定義のマクロを含む "NewMacros"モジュールを削除します。また、ツール/マクロ、ツール/カスタマイズメニュー（ステルス）を無効にします。 Visual Basic Editorを開くと、ウイルスは文書の変更を保存せずにWordを閉じます。

閉鎖文書のある月の27日または29日に、ウイルスはペイロード手順を実行します。これらの日にWordを開くと、ウイルスはステータスバーに次のテキストを表示します。

素晴らしい日…私にとっては… 🙂

ペイロード手順は、1分の27秒または29秒に文書を開く際にも実行されます。このプロシージャは、すべての桁をテキスト「Tj」または「Layla」で置き換えます。また、それは牡羊座のサインによって文書のすべての9番目の文字を置き換えます。

Wordを終了すると、ワイルドカード「* d * r * w *。*」でファイルの「c：」、「c：プログラムファイル」、「d：」および「e：」のサブディレクトリが検索されます（DrWeb anti適切なファイルが見つかったディレクトリ内のすべてのファイルを削除します。次に、 "* a * v * p *。*"を検索し、 "* .avc"と "* .key"ファイル（AVPアンチウイルスデータベースとキーファイル）を削除します。非常に不快なワイルドカードの結果、ウイルスは他の多くのファイルを削除することができます。

このウイルスは、以下の情報も変更します。

UserName = ""

UserInitials = "TJ_LAYLA"

UserAddress = ""