Энциклопедия компьютерных вирусов
Macro.Word.OutLaw
Полу-полиморфные макро-вирусы - при заражении копируют свои макросы (три макроса) под случайными именами. В результате в различных документах и NORMAL.DOT код вируса остается без изменений, но макросы имеют произвольные имена. При выборе случайного имени вирус использует системный случайный счетчик и текущее время. Первый символ имени выбирается в зависимости от текущего часа: 1 - 'A', 2 - 'B', 3 - 'C' и т.д. Затем вирус добавляет четыре случайные цифры, полученные при помощи системного счетчика случайных чисел. В результате набор имен выглядит примерно так: O8493, O7920, O9259, или M8064, M8908, M8151 и т.д. Прочие версии этого вируса используют другие схемы построения имени, например, "Outlaw.Goodbye" записывает в начало имени два символа в зависимости от текущего часа: 1 - 'AZ', 2 - 'BY', 3 - 'CX', и т.д. В вирусе нет авто-макросов и для того, чтобы получить управление, переопределяет на себя два символа клавиатуры - при нажатии на пробел, вызывается макрос, заражающий область глобальных макросов, а при нажатии на 'E' - макрос, заражающий текущий документ. Для того, чтобы при заражении копировать исходные макросы и для вызова макроса, содержащего проявления (Payload), вирус необходимо получить текущие имена макросов. Вирус использует при этом два пути - при заражении документа создает в нем три переменные VirNameDoc, VirName, VirNamePayload, и записывает в них имена макросов. В случае необходимости вирус считывает имена макросов из этих переменных. В случае NORMAL.DOT (глобальные макросы) вирус записывает в SystemProfile (файл WIN.INI) строки, содержащие имена макросов:
[Intl] Name= Name2= Name3=
20-го января "Outlaw" проявляет себя следующим образом: под Windows85 и в зависимости от некоторых других условий вирус записывает на диск файл LAUGH.WAV, содержащий запись смеха, и "озвучивает" его. При этом вирус вставляет в текущий документ строки:
You are infected with Outlaw A virus from Nightmare Joker
Существует зашифрованный вариант вируса - "Outlaw.b". "Outlaw.Black" содержит два макроса с 8-буквенными случайными именами (например: DIJRCJCY, DOFYBPIT). Выводит MessageBox:
BlackKnight
"Outlaw.Goodbye" зашифрован, плюс к трем первоначальным макросам содержит два "стелс"-макроса ToolsMacro и ExtrasMakro. При вызове Tools/Macro эти макросы выводят "пустое" меню и сообщения об ошибке (так же, как это делает Magnum
). 10-го октября этот вирус запускает DOS-вирус "VLAD.Goodbye", создает новый темплейт и записывает в него текст:
You are infected with the MooNRaiDer Virus! Greetings to all members of Vlad! I hope that's not the end! The scene would be to boring without this very good group! Nightmare Joker
Затем создает в SystemProfile новую секцию:
[Vlad] Goodbye=Yes
