WordMacro.NOP.A:De

NOP ist einer der bisher kleinste bekannte Makrovirus und lediglich 246 Bytes lang. Der Virus ist sehr primitiv und enthält nur die allernotwendigsten Befehle, um sich zu verbreiten. Die beiden Makros des Virus sind nicht verschlüsselt. Die einzige Besonderheit des Virus ist, daß er die Abfrage zum Speichern von NORMAL.DOT gezielt ausschaltet.

In infizierten Dokumenten finden sich die folgenden Makros:

"AutoOpen"

"NOP"

Wird ein infiziertes Dokument geöffnet, überträgt sich der Virus in die gloable Makrovorlage NORMAL.DOT und benennt dabei "NOP" in "DateiSpeichern" um. Weitere Dokumente werden dann beim Speichern infiziert und, wie bei Makroviren üblich, in Vorlagen umgew andelt.

NOP hat keine Schadensfunktion, keine Fehlerüberprüfung und keine Erkennung, ob Dokumente bereits infiziert sind. Die Makros in bereits infizierten Dokumenten werden erneut überschrieben.

Der Virus benutzt den Makronamen "DateiSpeichern" und ist damit nur mit dem deutschen Word zusammen lauffähig. Da jedoch der Virus unverschlüsselt ist, können leicht Varianten erstellt werden.

Varianten:

• NOP.B:De - Entspricht der .A-Variante, fügt beim Speichern von Dokumenten den Text "Testvirus" hinzu
• NOP.C:De - nicht lauffähig, zält als Intended.
• NOP.D - englische Version des NOP.A-Virus
• NOP.E:De - nicht lauffähig, zählt als Intended.
• NOP.F:De - Entspricht der .A-Variante, wurde leicht "optimiert" und eine Schadensfunktion hinzugefügt. Der Virus ersetzt beim Speichern von Dokumenten den Text ". SAP" mit ". SàP".
• NOP.G - Variante mit 288 Bytes Länge, das Makro NOP wurde in TAOA2, das Makro DateiSpeichernUnter in AutoClose umbenannt und der Virus damit unabhängig von der Sprache der Word-Version gemacht. Der Virus zeigt einen Text an: "You are infected....with TAOA II....!!"

Analyse 4.5.1996 (c) Stefan Kurtzhals (VIRUS HELP MUNICH)

Makro-Index

VHM-Startseite