- [Duke's Virus Labs #7] - [Page 16] - Macro.Office97.Kiss (c) by Duke/SMF Имя вируса : Macro.Office97.Kiss Автор : Duke/SMF Язык прогр. : VBS/VBA Дата создания : 03.05.99 Реакция AV : AV в DOC/DOT файлах в HTML/VBS файлах AVP Macro.Office.Hopper.q Macro.Office.Hopper.q F-Prot W97M/Hopper.Q (intended) VBS/Hopper.Q NOD - HTML/Kiss.A DrWeb - - Изучая язык VBS на примере вируса Macro.Office97.Hopper.a by 1nternal я написал новую (оптимизированную) версию этого вируса. Этот вирус кроссплатформенный и способен поражать файлы: Word97<-->HTML<-->VBS<-->Word97 свободно перетекая из одного типа файлов в другой. Вирус работает под одной из следующих "платформ" : - Office97 для пораженных DOC/DOT-файлов - IE4 (IE5) для пораженных HTML/HTM-файлов - Windows98 для пораженных VBS-файлов Вирус использует несколько скриптовых особенностей: 1) процедура Window_Onload автоматически выполняется при открытии Web-странички с помощью броузера IE . В этой процедуре мы проверяем местоположение открытого файла : если файл открыт с винчестера, а не загружен через Internet, т.е. If location.protocol = "file:" then, то мы начинаем поражать файлы на винчестере. 2) процедура Document_Close() автоматически выполняется при закрытии документа в Word97. В пораженых HTML/VBS-файлах тело вируса отличается лишь некоторыми закомментированными строками. Для поражения DOC-файлов вирус использует прямое обращение к кодовому модулю документов. Ниже приведен VBS-файл, содержащий вирус. ===== Cut here ===== ' ' ' ' ' ===== Cut here =====