Троянская программа Trojan.HoHoHo
Несложная троянская программа. В коллекцию ДиалогНауки попала в виде WIN16 exe-файла длиной 93205 байт. Представляет собой автоматическую установочную программу (инсталлятор). При запуске он довольно быстро отрабатывает и закрывает окно инсталляции. На быстрых компьютерах можно ничего не заметить.
При запуске Trojan.HoHoHo создает файл NORMAL.DOT на диске С: по точному адресу:
c:\program files\Microsoft Office\Templates\
Это файл-шаблон в формате MS Office 97. Данный троянец не проверяет, установлен ли на диске MS Office, а просто создаёт такой файл, и, если нужно, каталог. Таким образом, если на компьютере была установлена англоязычная версия MS Office 97 в стандартной конфигурации, то в результате Trojan.HoHoHo переписывает стандартный файл шаблонов NORMAL.DOT.
Кроме этого, в этом же каталоге создается файл install.log, в котором записывается факт создания файла NORMAL.DOT.
После этого троянец пытается перезагрузить Windows.
В случае наличия на компьютере MS Office 97 (English version), установленного в стандартном виде, после запуска MS Word загружается троянский NORMAL.DOT. Он содержит 4 макроса:
AutoExec
InzerAccent
Macro1
Macro2
При работе этих макросов MS Word сворачивается в окно 10х10 пикселов и поверх него создается окно, которое нельзя сдвинуть, минимизировать или закрыть (стандартными средствами). Заголовок окна:
"Крокодилы летят на север. HO-HO-HO!!!" В самом окне два элемента: синее поле (box) с текстом "Привет от Билла Гейтса" и кнопка "Press Me". При нажатии на кнопку ничего не происходит.
Закрыть это окно можно только из списка задач, который вызывается по нажатию Ctrl-Alt-Del.
В тексте макросов присутствуют следующие строки:
Macro created 12/15/98 by Shushpanov
Macro recorded 08/06/98 by brainin
Macro recorded 10/01/98 by brainin
Никаких других функций в данном троянце не предусмотрено. Единственное деструктивное действие - это затирание оригинального файла NORMAL.DOT, в котором содержатся все установки и макросы, сделанные пользователем для MS Word.
В случае наличия на компьютере русскоязычной версии MS Office созданный на диске файл NORMAL.DOT никогда не будет использоваться MS Word. В случае наличия на диске англоязычной версии MS Office 95 будет затерт оригинальный NORMAL.DOT, но троянский макрос не будет исполнен из-за несовпадения форматов файлов-шаблонов в MS Office 95 и MS Office 97.
Информационная служба ЗАО "ДиалогHаука"
E-mail: Antivir@DialogNauka.ru
WWW: http://www.DialogNauka.ru