Макровирусы

Макровирусы, поражающие файлы Word, Excel или Office 97, как правило, пользуются одним из трех приемов: в вирусе либо присутствует автомакрос (автофункция), либо переопределен один из стандартных системных макросов (ас­социированный с каким-либо пунктом меню), либо макрос вируса вызывается автоматически при нажатии на какую-либо клавишу или комбинацию клавиш.

Существуют также полувирусы, которые не используют всех этих приемов и размножаются, только когда пользова­тель самостоятельно запускает их на выполнение.

Таким образом, если документ заражен, при его откры­тии Word вызывает зараженный автоматический макрос AutoOpen (или AutoClose при закрытии документа) и запус­кает код вируса, если это не запрещено системной перемен­ной DisableAutoMacros. Если вирус содержит макросы со стандартными именами, они получают управление при вы­зове соответствующего пункта меню (File/Open, File/Close, File/SaveAs).

Если же переопределен какой-либо символ клавиатуры, то вирус активизируется только после нажатия на соответ­ствующую клавишу.

Большинство макровирусов содержат все свои функции в виде стандартных макросов Word, Excel, Office 97. Суще­ствуют, однако, вирусы, скрывающие свой код и хранящие его в виде немакросов.

Известно три подобных приема, все они используют воз­можность макросов создавать, редактировать и исполнять другие макросы.

Как правило, подобные вирусы имеют небольшой (иног­да — полиморфный) макрос — загрузчик вируса, который вызывает встроенный редактор макросов, создает новый мак­рос, заполняет его основным кодом вируса, выполняет и затем, как правило, уничтожает (чтобы скрыть следы при­сутствия вируса).

Основной код таких вирусов находится либо в самом мак­росе вируса в виде текстовых строк (иногда — зашифрован­ных), либо хранится в области переменных документа или в области Auto-text.

Содержание раздела

---