home *** CD-ROM | disk | FTP | other *** search
/ HPAVC / HPAVC CD-ROM.iso / pc / MVUPDAT3.ZIP / NUCLEAR.ZIP / NOTES.TXT < prev    next >
Encoding:
Text File  |  1980-01-01  |  1.7 KB  |  53 lines
  1.  
  2.     INPHOZE
  3.  
  4.     I was going to make it stealth using the ToolsMacro menu
  5.     option but I never got around to it (the weekend finished).
  6.  
  7.     All these macro's can be stuck into 1 or 2 macros they don't
  8.     need to separated.
  9.  
  10.     These macro viruses are very easy to detect.  XOR with 0E3h
  11.     I think it was (or 0C3h).  The AV know this so it doesn't
  12.     matter that i'm telling you.
  13.  
  14.     If you want to make a virus dropper then do this:
  15.         * Dump it to a file like I did in DropSuriv
  16.         * Open "C:\AUTOEXEC.BAT" for Appending.
  17.         * Write "C:\DOS\VIRNAME.COM"
  18.         * Close it.
  19.     And don't delete the .COM.
  20.  
  21.     There was a bug in the original dropper - don't blame me, I
  22.     wasn't about to test ph33r on my very expensive PC when I had
  23.     assignments due.
  24.  
  25.     I was also going to make it polymorphic with weird macro names
  26.     etc.  But then i saw the stupid microsoft stored the virus
  27.     text into the .doc so that a macro label like:
  28.  
  29.   NoDropper:
  30.  
  31.     could be searched for.  Meaning that I would need to also alter
  32.     the macro source code.  If that was even possible it would be
  33.     rather lame - only be able to alter text case (AND 0DFh,OR 20h)
  34.     and insert whitespace.
  35.  
  36.     The following function shows how easy is it to detect a label
  37.     which has had the case altered.
  38.  
  39.     ScanText = (CipherText xor 0E3h) and 0DFh
  40.  
  41.     Pretty lame encryption from Microsoft if I do say so myself.
  42.  
  43.     So if you aim in making a document macro virus is for AV
  44.     undetectability then there's no point.
  45.  
  46.     And we thought Micro$oft was the virus maker's friend
  47.  
  48.     I wouldn't be surprised if the AV have an ExecuteOnlyMacro
  49.     to EditableMacro convertor made soon.
  50.  
  51.     an405337@anon.penet.fi
  52.  
  53.