Chapter 6 宏病毒和脚本病毒

6.1 宏的基本概念和使用

宏（Macro）：能组织到一起作为独立的命令使用的一系列word命令，可以实现任务执行的自动化，简化日常工作。

存在于数据文件或模板中（字处理文档、数据表格、数据库、演示文档等），使用宏语言编写，利用宏语言的功能将自己寄生到其他数据文档。

在Word宏中，使用AutoOpen、AutoClose、AutoExec、AutoExit、AutoNew等函数能够自动进行文件的打开与关闭、命令的执行等操作。在Excel宏中可以使用AutoOpen、AutoClose、AutoActivate、AutoDeactivate等。

宏分为两种：

其传播路线为：
单个文档->office模板->多个文档
在网络中多以电子邮件的形式传播（Mellisa病毒）

感染方案：让宏病毒在数据文档和文档模板之间互相感染。

宏病毒代码中包含自我保护、代码导出与导入等模块，其中自我保护指关闭警告弹窗显示、关闭进度条显示、关闭病毒防护等。代码导出即将病毒代码保存到某个位置便于后续感染该计算机上的其他文档。代码导出即从该路径导入宏病毒以进行传播。

自我保护

通过特定宏定义屏蔽
1
2
3
Sub ViewVBCode()
MsgBox "Unexcpected error",16
End Sub
- ViewCode：该过程和ViewVBCode函数一样，如果用户按工具栏上的小图标就会执行这个过程。
- ToolsMacro：当用户按下“ALT+F8”或者“工具—宏”时调用的过程函数。
- FileTemplates：当显示一个模板的所有宏时，调用的过程函数。
Disable或删除特定菜单项
- CommandBars(“Tools”).Controls(16).Enabled = False：使“工具—宏菜单失效”
- CommandBars(“Tools”).Controls(16).Delete：删除“工具—宏”菜单

隐藏真实代码
“自动宏”中，不包括任何感染或破坏的代码，但包含了创建、执行和删除新宏（实际进行感染和破坏的宏）的代码。
将宏代码字体颜色设置成与背景一样的白色等。

VBS：Visual Basic Script，VB脚本语言。

使用COM组件、WMI、WSH、ADSI访问系统中的元素，对系统进行管理。

VBScript可以通过Windows脚本宿主(Windows Scripting Host，WSH)调用COM，因而可以使用Windows操作系统中可以被使用的程序库。

用VBScript编写，能够进行自我传播的破坏性程序，其需要人工干预触发执行。

直接进行自我复制，其中大多数代码可以直接附加在其他同类程序之中