Virus.MSOffice.Triplicate

Teknik detaylar

Virüs, virüs bulaşmış bir Word belgesinden aktive edildiğinde, önce Word virüsten korunma korumasını devre dışı bırakır ve NORMAL.DOT şablonunu kontrol eder, ardından virüs varlığını arar. Bu dosya henüz virüs bulaşmamışsa, virüs sistemi etkilenmez olarak algılar ve diğer Office bileşenlerini girmeye başlar. Bu işlemler üç adım içerir: Word Enfeksiyonu, Excel Enfeksiyonu ve PowerPoint enfeksiyonu.

1. Word enfeksiyonu bu virüsün en basit işlemidir. Kodunu geçerli belgeden normal şablona (NORMAL.DOT) kopyalar.

2. Excel enfeksiyonu daha karmaşıktır. Her şeyden önce, virüs CreateObject ("Excel.Application") işlevini kullanarak yeni bir Excel örneğini başlatır. Virüs daha sonra Excel başlangıç ​​klasöründeki BOOK1 dosyasını kontrol eder. Bu dosya mevcut değilse, virüs Excel'e bulaşır. Bu sırada virüs, sistem kayıt defterindeki Excel antiviral korumasını devre dışı bırakır, yeni bir WorkBook oluşturur, kendi kodunu ona kopyalar ve bu dosyayı Excel başlangıç ​​klasöründeki BOOK1 adıyla kaydeder. Bu klasördeki her elektronik sayfa, Excel başladığında otomatik olarak yüklenir ve sonuç olarak Excel, bir sonraki yeniden başlatma işlemine bulaşır.

3. PowerPoint enfeksiyonu Excel'de olduğu gibi aynıdır: virüs PowerPoint'in yeni bir örneğini oluşturur, PowerPoint template klasöründe 'Blank Presentation.pot' adlı bir sunumu kontrol eder ve 'Triplicate' adında bir modül bulmaya çalışır. . Bu modül yoksa, virüs PowerPoint bulaşır: sistem kayıt defterindeki antiviral korumayı devre dışı bırakır, 'Blank Presentation.pot' içinde yeni bir modül oluşturur 'Triplicate' oluşturur ve virüs kodunu ona kopyalar. Bundan sonra, virüs, genişlik ve yükseklik ile slaytın genişliği ve yüksekliği ile aynı olan sunuma yeni bir 'şekil' ekler ve bu şeklin "actionhook ()" için etkinleştirme prosedürünü ayarlar. kullanıcı bu şekle tıklar).

Son olarak, virüs şu anki Word döküman enfeksiyonunu kontrol eder ve henüz virüs bulaşmamışsa enfekte eder. Virüs rutininin bu dalı, virüsün enfekte olmuş bir şablondan yüklenmesi ve yeni bir enfekte olmamış belgenin kapatılması durumunda yürütülür.

Elektronik Tablolar ve Sunumlar yoluyla bulaşma

Bazı küçük ayrıntılar haricinde Excel ve PowerPoint prosedürleri tamamen aynıdır.

Excel başlangıç ​​klasöründeki BOOK1 dosyası, virüs tarafından virüs bulaşan Office'in tanımlayıcısı olarak kullanılır. Dolayısıyla, virüs her şeyden önce bu dosyayı arar ve bu dosya yoksa Office uygulamalarına bulaşır. Bundan sonra virüs, Word uygulamasını etkilemeye çalışır.

1. Virüs 'Word.Application' nesnelerini alır. Burada, virüs bir nesne elde etmek için başka bir işlev kullanır. CreateObjects () yerine, virüs GetObject () işlevini kullanır. Bu işlev, şu anda aktif olan uygulama örneğinden nesneler alır. Virüsün, başka bir Word örneğiyle daha önceden açılmışsa, yazıya erişilemeyen NORMAL.DOT bulaşmasına neden olması gerekir. Word şu anda aktif değilse, virüs yeni bir Word örneği oluşturdu.

Word uygulamasına erişildiğinde, virüs yayılma rutini başlatır. Normal şablondaki tüm kodları siler, 'DisableAV ()' prosedürünü oluşturur ve burada virüsün bir kodunu kopyalar, yürütür ve siler. Bu kısa (sadece sekiz satır) prosedür, Excel ve PowerPoint antiviral korumasını devre dışı bırakır. Ardından virüs, virüs bulaşmış bir dosyadan normal şablona kopyalar. Word enfeksiyonu tamamlandı.

2. Bu aşamada, Excel ve PowerPoint uygulamaları etkilenir. Virüs, PowerPoint sunumundan Excel başlangıç ​​klasörüne bulaşır veya virüs, virüs bulaşmış bir Word belgesinden yayıldığında, yukarıda açıklandığı gibi, PowerPoint şablonuna tam olarak ekler.

PowerPoint etkinleştirme prosedürünün küçük bir ek ayrıntısı vardır: virüs, sistemin rastgele sayıcısına bağlı olarak, virüs kodunu bir-yedi şekilde etkinleştirir.