Вредоносная программа, заражающая документы MS Word на компьютере пользователя.
Технические детали
Вредоносная программа, заражающая документы MS Word на компьютере пользователя. Представляет собой документ MS Word, содержащий в своем теле вредоносный макрос. Имеет размер 322048 байт
Заражение файлов
При открытии либо закрытии пользователем зараженного документа вредонос извлекает из своего тела макромодуль "ThisDocument" и сохраняет его в корневом каталоге логического диска С: под следующим именем:
C:\temp.tmpДалее вирус считывает содержимое из файла-шаблона MS Word - "Normal.dot" и добавляет полученные данные в файл
C:\temp.tmpЗатем считывает из файла "temp.tmp" весь код, который находится после строки:
'RELAXи переписывает содержимое файла "Normal.dot", добавляя в него свой вредоносный макрос. После этого переписывает свой активный документ. Затем вредонос проверяет атрибуты открытого документа, и если документ не "Скрытый" и "Системный" – устанавливает в "1" значение 862-го байта и удаляет файл:
C:\temp.tmpВ зараженный документ также добавляет следующую информацию:
' Logfile --> ' * DSR & FHS , KGU EMF ' 00:15:54 - Wednesday, 22.12.1999 ' KZ, Kostanai, KGU EMF Applied Mathematics ' <время_и_дата_заражения > ' <имя_пользователя_MS_Word> ' <почтовый_адрес_пользователя>
Деструктивная активность
Далее вирус отключает уведомление о возможности содержания вредоносного кода в документе, изменяет настройки безопасности, разрешая выполнение макросов в открываемых документах, разрешает приложению MS Word сохранять изменения в файле-шаблоне "Normal.dot". Добавляет в системный реестр следующую информацию:
[HKCU\Software\Microsoft\MS Setup (ACME)\User Info] "LogFile"="True"Затем вредонос проверяет по строке:
' DSR & FHS , KZ, Kostanaiзаражен ли открытый документ или файл-шаблон. После этого создает файл
С:\bootlogгде rnd – случайное десятичное число. В данный файл вредонос сохраняет содержимое макроса зараженного файла. Также создает текстовый файл с именем:.sys
C:\netlog.sysв который записывает следующие строки:
For YOU SCOOTER Wellcome to Calipso FasterHarderScooter Scooter on the Web: www.scoo***eb.de Wiritten by FHS & DSR (KZ, Kostanai town, KGU) This is a simple example read C:\ bootlog.sys
Рекомендации по удалению
Если ваш компьютер не был защищен антивирусом и оказался заражен данной вредоносной программой, то для её удаления необходимо выполнить следующие действия:
- Завершить работу MS Word.
- Удалить ключ реестра:
[HKCU\Software\Microsoft\MS Setup (ACME)\User Info]
- Удалить файлы:
C:\netlog.sys С:\bootlog.sys
- Восстановить оригинальный файл-шаблон MS Word – "Normal.dot".
MD5: 4913a3d7faea301aa83595813ecfe7fb
SDA1: d55b8bc059cbe1e0184d2dd14b7be52db9417c8a