病毒安全知识,电脑网络技术,手工杀毒方法,答疑解决笔记

导航

« 恢复chk文件的一些方法opera_plugin_wrapper.exe »

宏病毒回潮?

  原以为现在不可能再有宏病毒这种东西了,office的安全性还是实现的意义都使这种病毒不再流行,可是最近宏病毒居然会在公司内流行,通过邮件附件传播,收到带有宏病毒的excel文档的员工,一般不会在意宏的安全提示,以为是工作文档或上级下发的文件,直接启用宏,然后就中招了。

  截了一份病毒文档,excel的,在中招的那台电脑(没装杀毒软件)上出现了奇怪的现象,可能也是病毒作者没有预计到的,除了最初那份带毒excel文件可以打开(但鼠标会长时间处于漏斗状),其它所有的excel文档都无法双击打开了,一打开就出现程序错误然后关闭,重装了excel,这下又变成其它excel文档由于出现错误询问是否要重启恢复,但如果先启动excel程序,再从中选定打开一个excel文件,文件倒是可以打开,但鼠标一直一直处于漏斗状,无法进行下一步的操作。后来检测,杀毒软件报病毒名为MSExcel.ToDole或MSExcel.dole。

  打开最初那个病毒文档,进入VBA编辑器,发现多了一个病毒代码模块TODOLE,还有不少vbs脚本代码,好象也有生成vbs文件执行,代码我就不贴了,还没完全细看,不过网上已经有分析(http://topic.csdn.net/u/20120614/08/c41924fa-f329-4781-8d78-875ee6c25241.html),简单说说,这个病毒会放置一个k4.xls到excel的启动文件夹用来感染其它excel文件,如C:\Documents and Settings\Administrator\Application Data\Microsoft\Excel\XLSTART\,当然如果你的当前登录用户名不是administrator,则前面路径中的administrator也会变成你的用户名,修改注册表中excel宏安全性为低并不再提示宏且不让修改。然后在D盘建立一个NTFS数据流文件(不过在我用虚拟机测试时,由于虚拟机上没有D盘,所以它也没处建了,因为D盘以及其它一些盘符,如E:\KK,都是代码中明确指定的),搜索outlook程序按通讯簿定时发邮件,传播带病毒附件。不过似乎还没看到有更多的危害,难道只是传播感染excel?有空再看看。

  很遗憾的是,我公司电脑上基本没有人装有微软的OFFICE OUTLOOK,最多是用outlook express或foxmail,或者直接登录网页收发邮件,也就是说中毒的电脑找不到OUTLOOK程序,就算找到了(“幸运”的是我截取的那台电脑上正好有该程序,默认安装的),由于没人使用,其中也没有通讯簿联系人的信息,更没有邮件帐户,根本不能发送邮件,至少我周围的情况是这样子的,MS OFFICE OUTLOOK的普及率基本上等于0,安装率接近于0,至于其它公司就不知道了。

  至于清除,除了删除上述生成文件,并修复注册表外,也要删除文档中的TODOLE模块,不过如果在中毒期间打开过其它excel文件,那么它们也被感染,每个都要这样清除病毒模块,否则还会起死回生。所以最好用专杀工具或杀毒软件处理(很多杀毒软件已经能清除病毒修复文档了,不过为免损失,还是建议杀前备份,或保留隔离文件,万一哪个不开眼的只删除不修复呢),专杀工具有金山的一个office病毒专杀:http://bbs.duba.net/thread-22450603-1-1.html(没想到还有更新呢),也能搞掉它(不过也有正常的excel被杀残的例子,注意备份)

MSExcel.ToDole或MSExcel.dole病毒

补充后续:删除“无法禁用的宏” 


>> 除非说明均为原创,如转载请注明来源于http://www.stormcn.cn/post/1255.html

发表评论(欢迎交流,无须注册 | 如申请友链与本站要求不符,恕不回复,见谅):

验证码

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

  • 收藏文章:
  • 新浪微博:
  • 订阅博客:
  • 腾讯微博:

最新发表

最新评论及回复

本站出现的所有广告均不代表本人及本站观点立场 | 关于我 | 网站地图 | 联系邮箱 | 返回顶部
Copyright 2008-2016 www.stormcn.cn. All Rights Reserved. Powered By Z-Blog. 闽ICP备09000343号

闽公网安备 35010202000133号