home *** CD-ROM | disk | FTP | other *** search
/ Cream of the Crop 20 / Cream of the Crop 20 (Terry Blount) (1996).iso / virus / avp0512.zip / AVPWW104.ZIP / AVPWW104.TXT < prev    next >
Text File  |  1996-03-23  |  17KB  |  421 lines
  1.  
  2.  AntiViral Toolkit Pro for Microsoft Word (AVPWW)
  3.  ------------------------------------------------
  4.                   version 1.04
  5.  
  6. This package contains the anti-virus utility for known viruses that infect 
  7. the Microsoft Word documents. This package is FREEWARE.
  8.  
  9. To check your Microsoft Word for the viruses you should load Microsoft 
  10. Word and open the AVPWWxxx.DOC file. If your Word is already infected, 
  11. AVPWW displays a warning message. To install AVPWW "memory resident" you 
  12. should press "Install" button while reading AVPWWxxx.DOC file.
  13.  
  14. See AVPWWxxx.DOC for more details.
  15.  
  16. To find all the infected files you should use anti-virus database 
  17. MACRO.AVB and anti-virus scanner AVP for DOS. Then you should load all 
  18. infected document into Word with installed AVPWW utility. AVPWW does 
  19. automatically disinfection being installed.
  20.  
  21.  Macro-viruses
  22.  
  23. The Macro-viruses use the features of Macro-languages that are built into
  24. the modern data-processing systems (text editors and spreadsheets). To 
  25. allow the viruses to spread the systems have a built in macro-language
  26. that allows:
  27.  
  28.  1) assignment of specific macro-program(s) to specific files
  29.  2) copy macro-program(s) from one file to another 
  30.  3) pass the control to macro-program(s) without user's permission 
  31.     (Auto-macroses).
  32.  
  33. There are three systems that meet these conditions: Microsoft Word,
  34. Microsoft Excel and Lotus AmiPro. These systems contain built-in
  35. Basic-like macro languages (Word - Word Basic, Excel - Visual Basic),
  36. and:
  37.  
  38.  1) macro-program(s) are assigned to specific file(s) (AmiPro), or exists 
  39.     only within the file body (Word, Excel);
  40.  2) macro-language allows to copy DOS-files (AmiPro) or copy macro-programs 
  41.     into the system and other files (Word, Excel);
  42.  3) while working with a file the macro-programs are executed under some 
  43.     conditions (file opening, closing, and so on), these programs are 
  44.     defined by special commands (AmiPro), or they have standard names 
  45.     (Word, Excel).
  46.  
  47. These features of modern systems was designed to write "document 
  48. auto-processing systems", but they also allow for the viruses to spread 
  49. their copies, i.e. to infect the files.
  50.  
  51. There are three known systems that may be infected with the computer virus: 
  52. Microsoft Word, Excel and AmiPro. Under these systems the viruses receive 
  53. the control while opening/closing an infected document, then they hook one 
  54. or more system events (functions, macros), and infect the files that are 
  55. accessed with these functions.
  56.  
  57. The macro viruses are "memory resident". They hook the system events and 
  58. are active not only at the moment of file opening/closing, but during all 
  59. time when the system is working.
  60.  
  61.  
  62.  Macro.Word-viruses
  63.  
  64.  Macro.Word.Atom
  65.  ───────────────
  66. This virus contains four macros: Atom, FileOpen, FileSaveAs, AutoOpen, and
  67. infects Word while loading the infected document (AutoOpen).
  68.  
  69. This virus infects the files in two ways: while opening the file (command
  70. File/Open, macros FileOpen), and while saving the document with new name
  71. (command File/SaveAs, macros FileSaveAs).
  72.  
  73. While infecting the document while saving it with new name (FileSaveAs)
  74. the virus checks the system time. If the value of seconds is equal to 13
  75. the virus set the password ATOM#1 for this document. The virus cannot set
  76. the password if the file is already infected - Word displays the
  77. message about WordBasic error.
  78.  
  79. While opening the infected document on 13th of December the virus deletes
  80. all files of current directory. We did not check it, but the system has to
  81. display the error message while deleting opened files.
  82.  
  83.  
  84.  Macro.Word.Color (Rainbow, Color Changer)
  85.  
  86. This is a encrypted virus, it contains the macroses:
  87.  
  88.  macros, FileNew, AutoExec, AutoOpen, FileExit, 
  89.  FileSave, AutoClose, FileSaveAs, ToolsMacro
  90.  
  91. This virus infects the files while creating of new document (FileNew) and 
  92. while saving the document with new name (FileSaveAs).
  93.  
  94. On each 300th call to the file functions (FileNew, AutoOpen, FileExit, 
  95. FileSave, AutoClose, FileSaveAs and ToolsMacro) the virus alters the 
  96. section [colors] in the WIN.INI file, and sets the random selected colors 
  97. for Windows components. New colors appear after next Windows loading. The 
  98. virus keeps the trigger counter in the WIN.INI file in the [windows] 
  99. section:
  100.  
  101.  [windows]
  102.  countersu= 234
  103.  
  104. The virus allows Auto-macroses (AutoOpen, AutoClose and so on), it sets 
  105. DisableAutoMacros to zero.
  106.  
  107. When the virus is active, it is impossible to activate Tools/Macro command. 
  108. To manual disinfection it is necessary to delete virus' macroses by using  
  109. Organizer (Tools/Customize, Word command, then draw Organizer out to 
  110. toolbar).
  111.  
  112.  
  113.  Macro.Word.Concept (WW6Macro)
  114.  
  115. This is the first WinWord virus found "in the wild". The virus contains
  116. five macroses: AAAZAO, AAAZFS, AutoOpen, PayLoad, FileSaveAs. It infects 
  117. the files that are SaveAs'ed (FileSaveAs).
  118.  
  119. There are the text strings in the infected document:
  120.  
  121.  see if we're already installed
  122.  iWW6IInstance
  123.  AAAZFS
  124.  AAAZAO
  125.  That's enough to prove my point
  126.  
  127. and other. The WINWORD6.INI on infected system contains the file:
  128.  
  129.  WW6I= 1
  130.  
  131. On the first execution of the virus code (i.e. on the first opening of the
  132. infected file) the MessageBox appears with digit "1" inside, and "Ok"
  133. button.
  134.  
  135.  
  136.  Macro.Word.DMV
  137.  
  138. This is the first known MS-Word macro-virus. It contains only one macros -
  139. AutoClose, and infects the files that are saved on disk. While infecting 
  140. this virus displays the MessageBox'es with the header:
  141.  
  142.  Document Macro Virus
  143.  
  144. The messages are:
  145.  
  146.  Counting global macros.
  147.  AutoClose macro virus is already installed in NORMAL.DOT.
  148.  AutoClose macro virus already present in this document.
  149.  Saved current document as template.
  150.  Infected current document with copy of AutoClose macro virus.
  151.  Macro virus has been spread.
  152.  Now execute some other code (good, bad, or indifferent).
  153.  
  154.  
  155.  Macro.Word.Hot
  156.  
  157. This is encrypted virus. It contains the macroses: AutoOpen, InsertPBreak, 
  158. DrawBringInFrOut, ToolsRepaginat. While infecting the system that virus 
  159. renames the ToolsRepaginat macros to FileSave, and then infects the 
  160. existing documents that are saved on disk (FileSave). While infecting the 
  161. documents the virus renames FileSave macros back to ToolsRepaginat name.
  162.  
  163. While infecting the system the virus inserts the string "QLHot=nnnn" into
  164. the WINWORD6.INI file, where "nnnn" is the "triggering day", it is the
  165. number of current day of this century plus 14, for example:
  166.  
  167.  QLHot=35110
  168.  
  169. The next days the virus selects random value from 1 till 6, and adds to the
  170. "triggering day". If the result is equal to the current day, the virus
  171. deletes the file before saving it to disk.
  172.  
  173. 14 days after last modifying of the "QLHot" string the virus renews it.
  174.  
  175. The virus does no action if there is the C:\DOS\EGA5.CPI file.
  176.  
  177. The virus does not work under Microsoft Word 7.0. While opening the
  178. infected document the system displays the message:
  179.  
  180.  Unable to load specified library
  181.  
  182.  
  183.  Macro.Word.Imposter
  184.  
  185. This is a plagiarism from "Word.Macro.Concept" and "Word.Macro.DMV". It
  186. contains two macroses:
  187.  
  188.  in infected document:   AutoClose, DMV
  189.  in infected NORMAL.DOT: FileSaveAs, DMV
  190.  
  191. While infecting the system the virus receives the control in AutoClose 
  192. document, renames DMV macros to FileSaveAs, then renames AutoClose to DMV.  
  193. While infecting the files (FileSaveAs) the virus renames these macros back 
  194. DMV -> AutoClose, FileSaveAs -> DMV.
  195.  
  196. While infecting the documents the virus displays the MessageBox:
  197.  
  198.  DMV
  199.  
  200. One of the strings in the virus body looks like follows:
  201.  
  202.  just to prove another point
  203.  
  204.  
  205.  Macro.Word.Nuclear
  206.  
  207. It is encrypted virus, it contains the macroses:
  208.  
  209.  AutoExec, AutoOpen, FileSaveAs, FilePrint, FilePrintDefault,
  210.  InsertPayload, Payload, DropSuriv, FileExit
  211.  
  212. While installation these macros are copied into Global Macros area, and 
  213. overwrites the macros if they are already present there. Then the virus 
  214. infects the documents by FileSaveAs macros.
  215.  
  216. The virus manifest itself in three ways: 1) runs COM