Вирус заражающий документы word

Летом 1995 года
появилась новая разновидность вирусов
– вирусы, заражающие документы Word для
Windows версии 6.0 и 7.0. Вследствии
распространённости редактора Word для
Windows такие документы имеются почти на
каждом компьютере. Долгое время заражение
файлов документов считалось невозможны,
так как документы не содержали исполнимых
программ. Однако программисты фирмы
Microsoft встроили в документы Word для Windows
мощный язык макрокоманд WordBasic. При этом
макрокоманды не видны в редактируемом
– для их просмотра и  редактирования
надо выбрать в группе меню Tools(сервис)
пункт Macro(Макрос), а много ли пользователей
вообще что-то слышали об этом пункте
меню… И, как говорится, «вот злонравия
достойные плоды!» — на этом WordBasic стало
возможно(и даже очень легко) 6исать
вирусы. Запуск вируса происходит при
открытии на редактирование заражённых
документов (ведь заботливые программисты
из Microsoft предусмотрели макрокоманду
AutoOpen, автоматически выполняющуюся при
открытии документа). При этом макрокоманды
вируса записываются в глобальный шаблон
NORMAL..DOT, так что при новых сеансах работы
с Word для Windows вирус будет автоматически
активироран. При наличии вируса, при
сохранении редактируемых документов
на диск под новым именем (командой Save
As) вирус копирует свои макрокоманды в
записываемый на диск документ, так что
тот оказывается заражённым.

5.6. Вирусы, заражающие другие объекты.

В принципе, возможно
заражение и других объектов, содержащих
программы в какой-либо форме – текстов
программ, электронных таблиц и т.д.
Например, вирус AsmVirus. 238 заражает файлы
программ на языкке ассемблера(.ASM-файлы),
вставляя туда ассемблерные команды,
которые при трансляции порождают код
вируса. Однако число пользователей,
программирующих на языке ассемблера,
невелико, поэтому широкое распространение
такого вируса невозможно.

Электронные таблицы
содержат макрокоманды, в том числе и
макрокоманды, автоматически выполняющиеся
при открытии табоицы. Поэтому для них
могут быть созданы вирусы, аналогичные
вирусам для документов Word для Windows. Пока
что такие вирусы были созданы для таблиц
табличного процессора Excel.

ЗАМЕЧАНИЯ: Как
правило, каждая конкретная разновидность
вируса может заражать только один или
два типа объектов. Чаще всего встречаются
вирусы, заражающие исполнимые файлы.
Некоторые вирусы заражают только
.COM-файлы, некоторые – только . EXE-файлы,
а большинство – и те, и другие. На втором
месте по распространенности загрузочные
вирусы. Некоторые вирусы заражают и
файлы, и загрузочные области дисков.
Остальные вирусы встречаются редко.

6. Что вирус не может заразить.

Вирус является
программой, поэтому объекты, не содержащие
программ и не подлежащие преобразованию
в программы, заражены вирусом быть не
могут. Например, графические файлы
форматов . BMP, . PCX, . GIF, . WMF и др. содержат
только описание рисунков, поэтому как
бы их вирус не изменял, при просмотре
или ином использовании графического
файла можно получить искаженный рисунок
или сообщение о неправильном формате
файла, но вирус при этом запущен быть
не может. Иными словами, не содержащие
программ объекты вирус может только
испортить, но не заразить. К числу таких
объектов относятся текстовые файлы(кроме
командных файлов и текстов программ),
документы простых редакторов документов
типа Лексикона или Multi- Edit, информационные
файлы без данных и т.д.

Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]

• #
• #
• #
• #
• #
• #
• #
• #
• #
• #
• #

Zip File, мамкины хацкеры. Сегодня я расскажу вам, как злоумышленники прячут ссылки на вредоносное программное обеспечение и фишинговые сайты прямо в word’овских документах. Данный метод маскировки настолько хорош, что может поставить в тупик, даже прожжённого офисного планктона. Его очень часто используют при распространении палёных курсов и тренингов.

Да-да, те самые книги и руководства про успешный успех от нелюбимых вами инфоцыган, в лёгкую могут таить под капотом реальную угрозу для вашей безопасности. Особенно если качаете вы это добро с какого-нибудь сливапа или только что созданного паблика в телеграме. Тут вероятность нарваться на дерьмецо возрастает в разы.

Что ж, друзья, думаю суть понятна. Давайте нынче не будем долго запрягать и сразу перейдём к практике. А то мне ещё утром на участок надо бежать, поправки путинские принимать. Вбрасывать там, фальсифицировать. Ну вы знаете, всё как обычно. Мы там это, с колен вроде как встаём, так что низя опаздывать. Уж не обессудьте за столь лаконичное вступление. Погнали.

Шаг 1. Создаём на рабочем столе новый вордовский документ. Так и назову его – гавнокурс, чтобы все инфоцыгане, включая вашего покорного слугу, обладающего самоиронией, были довольны.

Шаг 2. Открыв док переходим на вкладку «Вставка» и ищем пункт интеграции «Видео из интернета». В открывшемся окне вводим для примера название youtube-канала и кликаем по иконке поиска.

Шаг 3. Вставлю для демонстрации рандомное видео со своего проекта.

Шаг 4. Отлично. Видос в файле. Примерно так их вставляют в качестве доп. материалов к основной статье различные интернет-гуру. Теперь можно закрывать документ, не забывая при этом сохранить изменения.

Шаг 5. Далее запускаем WinRAR и вызвав контекстное меню вордовского файла, переходим к его внутреннему содержимому.

Шаг 6. Нас интересует файлик «document.xml». Он содержит в себе дополнительные настройки для текста и, собственно, сам текст нашего документа. Вытаскиваем его на рабочий стол

Шаг 7. И открыв в нотпаде или блокноте ищем строчку со ссылкой на youtube-видео. Вот она.

Шаг 8. Ну а дальше, мы вольны творить что душе угодно. Давайте, забавы ради встроим код логгера для выяснения местоположения и IP-адреса потенциальной жертвы. Для этого заходим на iplogger.org и вставляем любую ссылку в первое окно. Жмём «получить код».

Шаг 9. Копируем получившуюся ссылку для сбора IP в буфер обмена.

Шаг 10. И вставляем её вместо ссылки на видео в нашем XML-файле.

Шаг 11. После внесения изменений закрываем редактор файла с последующим сохранением.

Шаг 12. И возвращаем его на место закинув в окно WinRAR’a. Окей.

Шаг 13. Давайте проверим, что же мы намудрили. Открываем гавнокурс и подводим ползунок к видосу. Программа показывает, что при нажатии, будет запущен видеоролик с ютуба. Ничего подозрительного. Уверяю, 88% юзверей даже не почуют подвоха.

Шаг 14. Однако при открытии, вместо долгожданного видео, на экране выскакивает ошибка. Тут человек, как правило думает, что мол, ну и ладно. Подумаешь видос не работает, главное книжку скачал на халяву.

Шаг 15. Мы же, тем временем, можем вернуться на сайт iplogger и в разделе «Статистика посещений», посмотреть IP-адрес с которого была зафиксирована попытка просмотра.

Шаг 16. Также тут можно прочекать геолокацию, вплоть до дома.

И это, ещё самое безобидное, что можно было внедрить. Вы ведь помните, я тут не армию злоумышленников выращиваю, а объясняю основы инфосека в обучающих целях для понимающей аудитории. Но настоящий блэк хэт будет вставлять далеко не безобидный логгер для выяснения вашего адреса. Он встроит ратник, вирусную программу или какого-нибудь хитро вые***ый java-script.

Данная фиха работает в пакетах MSOffice, начиная с версии 2013 года. И в данный момент, её до сих пор не пофиксили. Я специально скачал для записи самый последний апдейт, дабы убедиться в проверке функционала. И да, я дико извиняюсь за кликбейт, но вы порой правда просите сделать очень узкие темы, которые в интернете никому на*уй не сдались. Поэтому приходится как-то выкручиваться и перефразировать.

Однако, уверяю вас, это сделано умышленно и даже банальное знание IP-адреса может сыграть на руку грамотному пентестеру. Так, в следующем видео, я покажу, как зная внешний IP-адрес роутера, можно провести по нему полноценную DDoS-атаку. Но эт только если соберёте 500 лайков под этим роликом. Денчику нужны ваши лойсы. А ещё я коллекционирую души в виде подписок. Так что если ты, друг мой впервые забрёл на канал, то не тупи а.

Кликай на грёбаный колокол и в твоей ленте регулярно будут появляться годнейшие гайды на тему этичных взломов, пентестинга и самой что ни на есть информационной безопасности. С олдов по традиции, жду комментарии, касательно того, что бы вы встроили в такой документ, перейди вы, чисто теоретически на тёмную сторону. Мне будет весьма интересно узнать, чего же вы жаждите на самом деле.

Ну а у меня на сегодня всё. В заключении, хочу пожелать вам удачи, успеха и самое главное безопасного обучения. Берегите себя и свои тачки, скачивайте материалы только на официальных сайтах инфоцыган и никогда не попадайтесь на такие уловки. Помните, что халявный сыр – бывает только в мышеловке. А за всё, действительно годное и крутое – приходится платить либо временем, либо рублём, либо дважды. С вами, как обычно, был Денчик. До новых встреч, камрады. Всем пока.

Эксперты по кибербезопасности обнаружили новый вирус, способный заразить устройство без макросов. Проникновение вредоносного ПО происходит через документ Microsoft Office.

Как уточняет портал ARStechnica, хакеры используют механизм Dynamic Data Exchange (DDE). Он позволяет использовать файлы Word для того, чтобы выполнять код, скрытый в другом файле.

Схема такова: пользователь открывает документ, файл подключается к удаленному серверу, подгружает и устанавливает на компьютер первую часть вируса. Защитные программы при этом не срабатывают.

После того, как стало известно о такой возможности взлома, Microsoft опубликовала информацию о том, как пользователям Office защититься от таких атак. Самый простой способ оставаться в безопасности — быть осторожными с незнакомыми сообщениями, которые отображаются при открытии документа.

При потенциальной опасности откроется вот такое диалоговое окно:

Если пользователь нажмет «Yes», следует подсказка:

Загрузка вируса начнется только после того, как пользователь два раза ответит «Да».

Также в инструкции от Microsoft говорится о том, как технически продвинутые пользователи могут самостоятельно изменить настройки в реестре Windows и отключить автоматическое обновление данных из одного файла в другой.

Макровирус – это вредоносная программа, которая может заразить любое программное обеспечение, написанное на макроязыке, среди которых такие программы Microsoft Office, как Word и Excel . Макро-вирус использует преимущества макросов, которые запускаются в приложениях Microsoft Office. Самый простой способ защитить себя от этой формы вредоносного ПО – отключить макросы в программах Office.

Вредоносные программы на основе макросов вернулись и снова стали популярными. Поэтому корпорация Майкрософт выпустила новое обновление групповой политики для всех клиентов Office 2016 в сети, которое блокирует загрузку исходных макросов из Интернета в сценариях с высоким риском и, таким образом, помогает администраторам предприятия предотвращать риск макросов.

Если значок файла изменился, или вы не можете сохранить документ, или в вашем списке макросов появляются новые макросы, вы можете предположить, что ваши документы были заражены макровирусом.

Если вы используете хорошее защитное программное обеспечение, шансы получить макровирус минимальны, если только вы не нажмете на зараженный документ или файл. Таким образом, если в результате неудачного поворота событий ваш компьютер Windows заразится макровирусом, то, выполнив эти шаги по удалению макровируса, вы сможете избавиться от вредоносного ПО.

Запустить антивирусное сканирование

В настоящее время все популярные антивирусные программы способны выявлять и удалять макровирус. Таким образом, выполнение глубокого сканирования с помощью программного обеспечения безопасности обязательно полностью удалит макровирус.

Ремонт офиса

Если вы обнаружите, что установка Office не работает нормально, после удаления макровируса вам может потребоваться восстановить Office.

Удалить макровирус в Word вручную

Если вы подозреваете, что ваша программа Word была заражена макро-вирусом, сначала нажмите клавишу Shift , а затем значок, чтобы открыть файл. Это откроет файл Word в безопасном режиме, что предотвратит запуск автоматических макросов и, следовательно, не позволит запустить макровирус. Теперь следуйте инструкциям, изложенным в KB181079. Статья KB может быть устаревшей, но она покажет вам направление работы.

Удаление макровируса в Excel

Макро-вирусы PLDT/CAR/SGV могут заражать документы Excel. Инструкции, написанные в KB176807, могут показать вам направление работы, если вам нужно удалить макровирус вручную.

Это руководство по удалению вредоносных программ содержит общие советы, которые могут помочь вам удалить вирус с компьютера Windows.

Эксперты компании Menlo Security зафиксировали волну кибератак на финансовые и IT-организации. Нападение ведется новым многоступенчатым методом, использующим уязвимость Microsoft Word.

Вредоносные документы пересылаются на электронные адреса сотрудникам крупных корпораций в фишинговых письмах. Как правило, это файлы в формате docx, которые содержат специальные теги HTML с зараженными элементами. Проникая в устройства, эти файлы загружают вредоносное программное обеспечение FormBook, которое может передать хакерам большую часть функционала компьютера. Речь идет о загрузке документов, захват паролей, запуск различных приложений, записи порядка нажатия клавиш, просмотр содержимого буфера обмена, выполнять различные команды, завершать и перезагружать работу системы.

Причем антивирусные программы не замечают подобную цепочку вредоносных действий из-за отсутствия сторонних ссылок или подозрительного контента.

При просмотре в режиме редактирования внедренный в документ тег указывает на сокращенный URL, определенный в файле webSettings.xml.rels документа. URL указывает на расположенные во Франции и США C&C-серверы, с которых в свою очередь загружается вредоносный RTF-файл. «Когда открыт документ RTF со встроенным объектом, данный объект автоматически переносится в папку %TEMP% в Windows. Подобный метод также использовался членами хакерской группировки Cobalt», — цитирует экспертов специализированное издание SecurityLab.

Особенность новой волны атак в том, что для активации вредного вложения не требуется макрос. Уязвимость удаленного выполнения кода, которую используют злоумышленники, называется CVE-2017-8570, она связана с механизмом обработки объектов в памяти компьютера.

Ранее хакеры нашли другой оригинальный способ взламывать компьютеры через файлы Word. Заразиться можно от документов в формате DOCX, RTF, HTA, VBScript и PowerShell. Пользователь получает спам-письмо. Он загружает прикрепленный файл. Это приводит к установке на компьютере вредоносной программы. Далее программа получает доступ к паролям и пересылает их мошенникам.

Кибератака нацелена на американские компании и фирмы, расположенные в ближневосточном секторе. Специалисты подозревают, что новый многоступенчатый механизм так же является продуктом работы хакерской группировки Cobalt, так как метод атаки на финансовые компании с помощью фишинговых писем является для них основным способом совершения киберпреступлений.