Init не даст вам соскучиться

W97M/Init (другие возможные имена: VBS/Init или IRC/Init) — полиморфик макро-вирус для MS Word 97, содержащий Windows Scripting Host компонент. Заражает область глобальных макросов (шаблон Normal.dot) для дальнейшего инфицирования всех документов Word при их открытиии или создании новых. Инфицированный документ содержит модуль с именем «Init». Вирус может при опеделенных условиях распространять свои копии по каналам mIRC.

При открытии зараженного документа вирус записывает на жесткий диск два файла:

C:WINDOWSSYSTEMINIT.VBS
C:WINDOWSINIT.DRV

Вирус добавляет в конец C:AUTOEXEC.BAT следующие строки:

ECHO OFF
CLS
ECHO ЦДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД╥
ECHO ╨ ***************************************** ╨
ECHO ╨ * FЦV DJ * ╨
ECHO ╨ ***************************************** ╨
ECHO ╨ FЦV DJ wishes to thank the user ╨

ECHO ╨ of this computer because you have ╨
ECHO ╨ helped to spread the good words of peace! ╨
ECHO ╨ ## FЦV DJ ## ╨
ECHO УДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДДД╫
CLS

В системный реестр вирус записывает следующие ключи:

HKLMSoftwareMcAfeeScan95 DAT=Just for FUN by FЦV
HKLMSoftwareMcAfeeScan95 DATFile=No need Anti Virus
HKLMSoftwareMcAfeevirusscan DAT=Don’t Underestimate Me
HKLMSoftwareMicrosoftWindowsCurrentVersionRun
init=C:WindowsSysteminit.vbs

Вирус также предпринимает попытки удалить следующие антивирусные программы:

«C:Program FilesAntiViral Toolkit Pro*.*»
«C:Program FilesCommand SoftwareF-PROT95*.*»
«C:Program FilesFindVirus*.*»
«C:ToolkitFindVirus*.*»
«C:Program FilesQuick Heal*.*»
«C:Program FilesMcAfeeVirusScan*.*»
«C:Program FilesNorton AntiVirus*.*»
«C:TBAVW95*.*»
«C:VS95*.*»

Ежеминутно, когда секунды превышают значение 50, вирус записывает свою копию в файл C:MIRCDOWNLOADIRC-Rules.doc и модифицирует C:MIRCSCRIPT.INI для отправки этого файла по каналам mIRC.

В январе, феврале, марте, апреле, мае, июне или декабре вирус удаляет контент открытых документов.

Симптомы заражения

Периодически, случайным образом вирус выводит сообщение:

«SkRiPsI is SuCK»

5 ноября вирус выдает следующее сообщение:

«Happynes to all of you»

При выборе в меню Help|About вирус сообщает:

«Peace Words

Welcome to my world
Please enjoy your time
BEFORE YOUR DIE»

Если выбрать меню TOOLS|MACRO вирус показывает сообщение:

«This message is displayed

Macro Function is not active

Never use IT»

Нажатие OK приводит к тому, что CD-ROM (если в нем отсутствует CD) начинает открываться и закрываться. И так 15 раз, затем вирус интересуется, приятно ли вы провели время:

«Did you enjoy your time?
Don’t do it again OK!»

При выборе на инфицированном компьютере TOOLS|OPTIONS вирус отключает в Word защиту от макро-вирусов.

При выборе File|Exit имя зарегистрированного пользователя заменяется на «FЦV» и появляется сообщение:

«Please Turn-off your computer

Don’t Click bellow»

Нажатие OK приводит к удалению следующих файлов:

«C:windowscommand*.*
«C:*.*»
«C:progra~1*.*»

Затем появляется сообщение:

«You aren’t obey my order

May the God Bless You»