Virus.MSWord.Outlaw

Класс Virus
Платформа MSWord
Описание

Technical Details

Полу-полиморфные макро-вирусы — при заражении копируют свои макросы (три макроса) под случайными именами. В результате в различных документах и NORMAL.DOT код вируса остается без изменений, но макросы имеют произвольные
имена.
При выборе случайного имени вирус использует системный случайный счетчик и
текущее время. Первый символ имени выбирается в зависимости от текущего
часа: 1 — ‘A’, 2 — ‘B’, 3 — ‘C’ и т.д. Затем вирус добавляет четыре случайные цифры, полученные при помощи системного счетчика случайных чисел.
В результате набор имен выглядит примерно так: O8493, O7920, O9259, или
M8064, M8908, M8151 и т.д.
Прочие версии этого вируса используют другие схемы построения имени,
например, «Outlaw.Goodbye» записывает в начало имени два символа в зависимости от текущего часа: 1 — ‘AZ’, 2 — ‘BY’, 3 — ‘CX’, и т.д.
В вирусе нет авто-макросов и для того, чтобы получить управление, переопределяет на себя два символа клавиатуры — при нажатии на пробел,
вызывается макрос, заражающий область глобальных макросов, а при нажатии на ‘E’ — макрос, заражающий текущий документ.
Для того, чтобы при заражении копировать исходные макросы и для вызова макроса, содержащего проявления (Payload), вирус необходимо получить
текущие имена макросов. Вирус использует при этом два пути — при заражении документа создает в нем три переменные VirNameDoc, VirName, VirNamePayload, и записывает в них имена макросов. В случае необходимости вирус считывает
имена макросов из этих переменных.
В случае NORMAL.DOT (глобальные макросы) вирус записывает в SystemProfile (файл WIN.INI) строки, содержащие имена макросов:

[Intl]
Name=
Name2=
Name3=

20-го января «Outlaw» проявляет себя следующим образом: под Windows85 и в зависимости от некоторых других условий вирус записывает на диск файл LAUGH.WAV, содержащий запись смеха, и «озвучивает» его. При этом вирус вставляет в текущий документ строки:

You are infected with
Outlaw
A virus from Nightmare Joker

Существует зашифрованный вариант вируса — «Outlaw.b».
«Outlaw.Black» содержит два макроса с 8-буквенными случайными именами
(например: DIJRCJCY, DOFYBPIT). Выводит MessageBox:

BlackKnight

«Outlaw.Goodbye» зашифрован, плюс к трем первоначальным макросам содержит
два «стелс»-макроса ToolsMacro и ExtrasMakro. При вызове Tools/Macro эти макросы выводят «пустое» меню и сообщения об ошибке (так же, как это делает
Magnum).
10-го октября этот вирус запускает DOS-вирус «VLAD.Goodbye», создает новый
темплейт и записывает в него текст:

You are infected with the MooNRaiDer Virus!
Greetings to all members of Vlad!
I hope that's not the end!
The scene would be to boring without this very good group!
Nightmare Joker

Затем создает в SystemProfile новую секцию:

[Vlad]
Goodbye=Yes