Virus.MSWord.Kiffer

Technical Details

Немецкий полиморфный макро-вирус. Содержит 6 макросов. При заражении вирус
копирует часть максросов со случайно выбранными (random) именами:

Документы         MICROSOFT.DOT (зараженный Word)

          dateispeichernunter
extrasmakro       extrasmakro
dateischlie#en    
dateidokvorlagen  dateidokvorlagen
          
autoopen          

Заражение системы происходит при открытии и закрытии документов: в каталоге
автозапуска Word создается зараженный файл MICROSOFT.DOT. Заражение
документов происходит при их сохранении с другим именем.
Процедура заражения находится в макросе со случайным именем, этот макрос в
документах присутствует в зашифрованном варианте и в процессе работы
расшифровывается. Имена random-макросов хранятся в переменных документа (в
случае зараженного докеумента), или в системных файлах WIN.INI в разделе
[embedding] в пунктах vxdRNDM, TaskRNDM, SystemRNDM (в случае файла
MICROSOFT.DOT).
По 30-м числам вирус выводит сообщение:

Leeglize Cannabis !! R.M.M  (C) by MaD KiFFeR 05.09.98

По 15-м числам добавляет в файл AUTOEXEC.BAT команды, которые выводят в
цикле строку:

Infected with RnDm MuTanT MuTaGeN (c) MaD KiFFeR 05.09.98

Вирус содержит комментарии:

***********************************
*     WM RnDm MuTaNt MuTaGeN      *
*         vers Beta               *
*      Polymorphism/Stealth       *
*       encrypted by RMEG         *
*Random Macro Encryption Generator*
*  fools F/WIN32 1.13, F/WIN 4.38 *
*  Winguard, F-PROT3/F-MacroW1.1  *
*            etc.!!               *
*    only works with WORD95ger    *
*      F**k slow WordBasic        *
*   special Thanx to [SLAM] Mag   *
*       05.09.98 /Germany         *
*        (c)by MaD KiFFer         *
***********************************