Уровень 2: расшифровщик вируса содержит одну или несколько постоянных инструкций, основная же его часть непостоянна. Большинство макро-вирусов содержат все свои функции в виде стандартных макросов Word/Excel/Office. Если ваша задача заключается в печати конвертов тиражом от 1 до нескольких сотен штук, то вам имеет смысл воспользоваться цифровой печатью. Таким образом, если вирус перехватывает макрос FileSaveAs, то заражается каждый DOC-файл, сохраняемый письмо заинтересованности через перехваченный вирусом макрос. То же справедливо для Excel и Office. Большинство известных вирусов для Word несовместимы с национальными (в том числе с русской) версиями Word, или наоборот - рассчитаны только на локализованные версии Word и не работают под английской версией. В результате в начале файла, зараженного подобным вирусом, идет набор бессмысленных на первый взгляд инструкций, причем некоторые комбинации, которые вполне работоспособны, не берутся фирменными дизассемблерами (например, сочетание CS:CS: или CS:NOP). При этом Word ищет и выполняет соответствующие "встроенные макросы" - при сохранении файла по команде File/Save вызывается макрос FileSave, при сохранении по команде File/SaveAs - FileSaveAs, при печати документов - FilePrint и т. Алгоритм расшифрования при письмо заинтересованности этом не изменяется. В Office возможности по перехвату событий несколько расширены, но принцип используется тот же.
. Остальное – мусор. Если вирус содержит макросы со стандартными именами, они получают управление при вызове соответствующего пункта меню (File/Open, File/Close, File/SaveAs). Для начала эта информация должна быть известна поисковой системе. Лет десять назад, сайты могли делать только «умеющие» и «знающие».
Большинство списков рассылки включают адреса людей, которые согласились обсуждать конкретные темы, поэтому нет необходимости ограничивать распространение сообщений, и каждое письмо заинтересованности сообщение, посланное "в список", просто пересылается всем членам списка. Аналогом нерезидентности являются макро-вирусы, которые не переносят свой код в область системных макросов - для заражения других файлов-документов они либо ищут их при помощи встроенных в Word функций работы с файлами, либо обращаются к списку последних редактированных файлов (Recently used file list).
