Virus.MSWord.Techno

Technical Details

Стелс-макро-вирус. Содержит 20 процедур в одном модуле «VrTechnoCode»:
VrInstall, AutoOpen, AutoExec, FileOpen, FileNew, FileNewDefault,
FileSaveAs, FileSave, FileClose, DocClose, ViewVBCode, ToolsMacro,
FileTemplates, ToolsOptions, VrStealth, IsChance, FilePrint,
FilePrintDefault, AddOemInfo, CreateImageScreen.

Записывается в системную область макросов при открытии зараженного
документа. Заражение файлов происходит при их открытии, создании и
сохранении. При закрытии MS Word вирус устанавливает на документ защиту от
изменений (кроме изменений в полях ввода). При открытии документов вирус
снимает эту защиту, а при закрытии устанавливает снова. В результате после
лечения вируса документ остается защищенным от изменений. Эту защиту можно
снять выбрав в меню пункт «Tools/Unprotect» («Сервис/Снять защиту»), пароль
— «Elite».

Вирус выключает опцию VirusProtection (Защита от вирусов). Стелс-процедура
вируса перехватывет и блокирует вызов редактора Visual Basic, диалоговых
окон «Tools/Macro» («Макросы») и «File/Templates» («Шаблоны»). С
вероятностью 20 процентов эта процедура выводит на экран сообщение:

VR Технология v1.0

Word Macro ВИРУС!!!

ДВЮИ МВД РФ  c 1999

Процедура заражения в одном случае из девяти создает в каталоге
«C:WindowsSystem» файл «oeminfo.ini». В этот файл записываются строки:

[General]

Manufacturer=ДВЮИ МВД РФ

Model=MS Word Вирус

[Support Information]

Line1=Компьютер заражен вирусом: VrTechno V1.1

Line2=

Line3=Word Macro Virus

Line4=John Great, ДВЮИ МВД РФ — (C) ‘1999

С вероятностью 5 процентов процедура заражения вставляет в документ
картинку с текстом:

Microsoft Word Macro Virus

VrTechnoCode

— Word 7.0                                        Version 1.1

— Stealth Technology

— Infect Documents and Templates

Copyright by John Great from Russia Far East, Khabarovsk’1999

Вирус сожержит еще одну процедуру которая активизируется при печати и с
вероятностью 20 процентов вместо активного документа выводит на печать
содержимое файла «autoexec.bat».

Код вируса содержит комментарий:

‘——————————————————-‘

‘  VR Технология v1.1 by John Great from Russia (C)’99  ‘

‘——————————————————-‘

Techno.c

«Усовершенствованная» версия вируса. Пароль, устанавливаемый на документы,
заменен на «Mirochka».