Троянская программа Trojan.HoHoHo

Несложная троянская программа. В коллекцию ДиалогНауки попала в виде WIN16 exe-файла длиной 93205 байт. Представляет собой автоматическую установочную программу (инсталлятор). При запуске он довольно быстро отрабатывает и закрывает окно инсталляции. На быстрых компьютерах можно ничего не заметить.

При запуске Trojan.HoHoHo создает файл NORMAL.DOT на диске С: по точному адресу:

c:\program files\Microsoft Office\Templates\

Это файл-шаблон в формате MS Office 97. Данный троянец не проверяет, установлен ли на диске MS Office, а просто создаёт такой файл, и, если нужно, каталог. Таким образом, если на компьютере была установлена англоязычная версия MS Office 97 в стандартной конфигурации, то в результате Trojan.HoHoHo переписывает стандартный файл шаблонов NORMAL.DOT.

Кроме этого, в этом же каталоге создается файл install.log, в котором записывается факт создания файла NORMAL.DOT.

После этого троянец пытается перезагрузить Windows.

В случае наличия на компьютере MS Office 97 (English version), установленного в стандартном виде, после запуска MS Word загружается троянский NORMAL.DOT. Он содержит 4 макроса:

AutoExec
InzerAccent
Macro1
Macro2

При работе этих макросов MS Word сворачивается в окно 10х10 пикселов и поверх него создается окно, которое нельзя сдвинуть, минимизировать или закрыть (стандартными средствами). Заголовок окна:

"Крокодилы летят на север. HO-HO-HO!!!" В самом окне два элемента: синее поле (box) с текстом "Привет от Билла Гейтса" и кнопка "Press Me". При нажатии на кнопку ничего не происходит.

Закрыть это окно можно только из списка задач, который вызывается по нажатию Ctrl-Alt-Del.

В тексте макросов присутствуют следующие строки:

Macro created 12/15/98 by Shushpanov
Macro recorded 08/06/98 by brainin
Macro recorded 10/01/98 by brainin

Никаких других функций в данном троянце не предусмотрено. Единственное деструктивное действие - это затирание оригинального файла NORMAL.DOT, в котором содержатся все установки и макросы, сделанные пользователем для MS Word.

В случае наличия на компьютере русскоязычной версии MS Office созданный на диске файл NORMAL.DOT никогда не будет использоваться MS Word. В случае наличия на диске англоязычной версии MS Office 95 будет затерт оригинальный NORMAL.DOT, но троянский макрос не будет исполнен из-за несовпадения форматов файлов-шаблонов в MS Office 95 и MS Office 97.

Информационная служба ЗАО "ДиалогHаука"
E-mail: Antivir@DialogNauka.ru
WWW: http://www.DialogNauka.ru