home *** CD-ROM | disk | FTP | other *** search
/ PC Online 1996 December / PCO1296.ISO / filesbbs / dos / fwin.arj / ANALYSEN.RAR / BOOM.TXT < prev    next >
Encoding:
Text File  |  1996-05-14  |  3.9 KB  |  90 lines
  1.  
  2. [ WordMacro.Boom ]───────────────────────────────────────────────────────────
  3.  
  4. ■ VIRUSNAME:      Boom
  5. ■ VIRUSTYP:       Microsoft Word Makro-Virus
  6. ■ INFIZIERT:      Microsoft Word Dokumente und Vorlagen
  7. ■ SYMPTOME:       Schadensfunktion wird um 13:13:13 Uhr an jedem 13. des
  8.                   Monats ab Februar 1996 ausgelöst:
  9.                   Die Menüstruktur von Word wird umbenannt, eine neue
  10.                   NORMAL.DOT-Textvorlage mit Text erzeugt und ausgedruckt.
  11. ■ REINIGUNG:      Viren-Makros aus infizierten Dokumenten löschen
  12.                   (AutoOpen, AutoExec, DateiSpeichernUnter, System)
  13.  
  14. Neben <Xenixos> ist <Boom> bereits der zweite Makro-Virus, der speziell für
  15. die deutsche Version von Microsoft Word geschrieben wurde. <Boom> unter-
  16. scheidet sich in einigen Details von den anderen Makro-Viren und ist keine
  17. Variante eines bekannten Makro-Virus. <Boom> funktioniert nicht mit anders-
  18. sprachigen Versionen von Word (bzw. wird nur NORMAL.DOT infiziert).
  19.  
  20. Der Virus besteht aus vier Makros, die verschlüsselt (Execute-Only)
  21. vorliegen:
  22.  
  23. "AutoOpen"
  24. "AutoExec"
  25. "DateiSpeichernUnter"
  26. "System"
  27.  
  28. Im Makro "AutoOpen" ist die Infektionssroutine für die globale Makro-Vorlage
  29. NORMAL.DOT vorhanden. Wird also ein infiziertes Dokument geöffnet, wird
  30. sofort NORMAL.DOT verseucht. Dabei verwendet <Boom> nicht, wie bisher üblich,
  31. den WordBasic-Befehl "KopiereMakro" sondern "Organisiere.Kopiere". Vor dem
  32. Übertragen der Makros wird die Schnellspeicher-Option eingeschaltet. Des-
  33. weiteren umgeht der Virus die Abfrage von Word, ob eine modifizierte
  34. NORMAL.DOT wirklich gesichert werden soll.
  35.  
  36. Dokumente werden beim Zugriff über den Befehl "DateiSpeichernUnter"
  37. infiziert. Dabei wird das Dokument intern in eine Makro-Vorlage umgewandelt.
  38. Vorlagen, die das Makro "System" enthalten, gelten für <Boom> als bereits
  39. infiziert. Auch hier wird wieder die Schnellspeicher-Option eingeschaltet
  40. und die NORMAL.DOT-Abfrage umgangen.
  41.  
  42. Das Makro "AutoExec", das bei jedem Start von Word automatisch aufgerufen
  43. wird, enthält eine Zeitabfrage, die beim Erreichen der Uhrzeit 13:13:13
  44. (jeden 13. ab Februar 1996) das Makro "System" aufruft. "System" enhält dann
  45. die eigentliche Schadensfunktion. Das Makro "AutoExec" wird ebenfalls von den
  46. Virus-Makros "AutoOpen" und "DateiSpeichernUnter" beim Öffnen und Speichern
  47. von Dokumenten aufgerufen.
  48.  
  49. Als Schadensfunktion benennt der Virus die Menüstruktur von Word um:
  50.  
  51. Datei       ->   Mr.Boombastic
  52. Bearbeiten  ->   and
  53. Ansicht     ->   Sir WIXALOT
  54. Einfügen    ->   are
  55. Format      ->   watching
  56. Extras      ->   you
  57. Tabelle     ->   !
  58. Fenster     ->   !
  59. Hilfe       ->   !
  60.  
  61. Zwischen den einzelnen Umbenennungsbefehlen fügt der Virus Pausen ein und
  62. erzeugt jeweils einen Ton über den PC-Lautsprecher. Nachdem die Menünamen
  63. umbenannt wurden, erzeugt <Boom> eine neue globale Text-Vorlage NORMAL.DOT
  64. und fügt dort die folgenden Texte ein:
  65.  
  66. "                Greetings from Mr. Boombastic and Sir WIXALOT !!!          "
  67.  
  68. "                         Oskar L., wir kriegen dich !!!                    "
  69.  
  70. " Dies ist eine Initiative des Institutes zur Vermeidung und Verbreitung von"
  71. "  Peinlichkeiten, durch in der Öffentlichkeit stehende Personen, unter der "
  72. "                         Schirmherrschaft von Rudi S. !                    "
  73.  
  74. Dieser Text wird vom Virus ausgedruckt.
  75.  
  76. <Boom> enthält noch weitere Texte, z.B.:
  77.  
  78. "                       Mr. Boombastic and Sir WIXALOT !!!                  "
  79.  
  80. Einige weitere Schadensfunktionen wurden durch REM's in Kommentare umge-
  81. wandelt und damit deaktiviert. Darin sollten z.B. die Dateien AUTOEXEC.BAT,
  82. CONFIG.SYS und COMMAND.COM umbenannt werden.
  83.  
  84.  
  85.              Analyse 25.04.1996 (c) Stefan Kurtzhals (VHM) für
  86.              ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  87.                     Computer Virus Research Lab Germany
  88.                     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  89.  
  90.