Программа Macros Hunter for MS Word 97

Содержание:

  1. Предисловие
  2. Назначение
  3. Системные требования
  4. Состав
  5. Установка
  6. Удаление
  7. Руководство
  8. Особенности
  9. Глюки


  1. Предисловие - Содержание:
  2. Что заставило написать меня эту программу?

    Наткнувшись случайно в одном из своих документов на макро вирус, я вдруг обнаружил, что больше половины файлов(около 200) уже заражено, не смотря на стоявший Norton AntiVirus 2000(мне еще повезло, у знакомого на работе этот самый NAV2000 посадил на карантин около 500 документов, при этом восстанавливать с карантина их отказался - сколько человеко\часов пропало зря можно только догадываться). Пошёл к другу и оказалось, что и AVP-шка с ним не справляется. Лень, как говорят, двигатель прогресса - не захотел я все 200 файлов чистить в ручную. Посидел, разобрался немного и написал прогу для конкретного вируса, потом немного дописал кода - вроде универсальная прога получилась. Наловил немного новых вирусов, подкорректировал программу. Пока однажды не наткнулся на вирус с функцией AutoOpen(), и понял, что Microsoft сделала всё, чтобы макровирусы плодились и размножались на наших компьютерах (правда в 2000 году Microsoft немного опомнилась и в Office 2000 макровирусам живётся тяжелей). Поэтому, чтобы я (или кто-то другой) не писал на VBA - 100% способа огородиться от вирусов - нет, и все мои хитрости - это попытка прыгнуть выше головы. Если, код вируса начинается с функции AutoOpen() его приоритет всегда выше. Можно написать отдельную программу на С++, но для этого надо по "косточкам разобрать" формат файла MS Word 97, а времени для этого у меня пока не хватает (обещаю, как только напишу, сразу выложу на сайт). Поэтому данная программа не панацея, но пока она меня не подводила, а в случае, если заражение всё-таки произошло, это легко заметить.

    Необходимо ли Вам ставить мою программу?

    В принципе Вы можете поставить галочку в меню Сервис-Параметры-Общие-Защита от вирусов и они Вас беспокоить не будут (впрочем, как и полезные макросы). Но если Вам интересно взглянуть на вирус своими глазами или неохота каждый раз в слепую гадать, разрешить работу макросу или нет, я думаю, программой Macros Hunter Вам стоит воспользоваться.



  3. Назначение - Содержание:
  4. Программа Macros Hunter for MS Word 97 предназначена для обнаружения неизвестных макросов в документах MS Word 97 и является фильтром, разрешая работу полезных макросов и удаляя макровирусы. Кроме того, программа позволяет создать библиотеку макросов, как вредных, так и полезных (актуально для тех, кто много пишет на VBA или работает с чужими макросами).



  5. Системные требования - Содержание:
  6. Для работы программы достаточно любого компьютера на котором установлен MS Word 97 и предназначена она ТОЛЬКО для MS Word 97 (пока).



  7. Состав - Содержание:
  8. В состав программы входят следующие файлы:

    1. FormLogo.frm
    2. FormLogo.frx
    3. FormDB.frm
    4. FormDB.frx
    5. FormViewVirus.frm
    6. FormViewVirus.frx
    7. DirOpen.bas
    8. Hunter.bas
    9. Restore.bas
    10. MVirBase.bas
    11. Burn-in Day.doc
    12. Install.doc
    13. README.htm

    Файлы c 10 по 13 не обязательны для работы программы.



  9. Установка - Содержание:
  10. Чтобы установить программу Macros Hunter for MS Word 97 необходимо

    1. Распаковать архив.
    2. Запустить файл Install.doc.
    3. При установке программы предупреждение о том, что программа установки удалит все макросы находящиеся в модуле ThisDocument шаблона Normal.dot касается только тех, кто лично сохранял там МАКРОСЫ, остальные могут смело нажимать ДА.

    4. Имеющийся файл MyVirBase.bas скопировать в корневую директорию диска С:\ .
    5. Проверить работу программы путём открытия любого документа в MS Word 97, перед открытием документа должно появиться окно с бегущей строкой (см. рис.1).
    6. Запустите файл Burn-in Day.doc и посмотрите как будет выглядеть программа в случае, если она содержит макрос.

    В случае, если фала Install.doc нет, но файлы с 1 по 9 в наличии - можно в ручную установить программу. Для этого необходимо:

    1. Через меню 'Сервис-Макрос-Редактор Visual Basic' выйти в редактор Visual Basic.
    2. Включить через меню 'Вид-Окно проекта'.
    3. Выделить в окне роекта правой клавишей Normal.
    4. В появившемся меню выбрать 'Импорт файла …'.
    5. Найти файл FormLogo.frm, выделить его и нажать кнопку 'Открыть'.
    6. Аналогичные действия произвести с файлами FormViewVirus.frm, FormDB.frm, DirOpen.bas, Restore.bas и Hunter.bas.
    7. Открыть файл Restore.bas и путём копирования и вставки добавить из него текст в модуль ThisDocument проекта Normal.
    8. Сохранить все внесённые изменения и ОБЯЗАТЕЛЬНО выйти из Word-а.
    9. Пользуйтесь на здоровее!!!


  11. Удаление - Содержание:
  12. Чтобы удалить программу Macros Hunter for MS Word 97 необходимо открыть файл Install.doc и нажать клавишу "Удалить". Второй способ - можно просто удальть файл C:\Program Files\Microsoft Office\ Шаблоны\Normal.dot (Word должен быть закрыт), но это в том случае, если у Вас в Normale нет нужных макросов. Третий способ - через меню 'Сервис-Макрос-Редактор Visual Basic' выйти в редактор Visual Basic и в проекте шаблона через правую клавишу по очереди удалить модули программы 1,3,5,7,8,9 (см. пункт Установка) и текст макроса в модуле ThisDocument.

    Для востановления программы необходимо сначала удалить её, а потом установить с нуля.



  13. Руководство - Содержание:
  14. Программа Macros Hunter for MS Word 97 использует средства Visual Basic for Application для обнаружения макросов в документе MS Word 97. О нормальной работе программы можно судить по окну с бегущей строкой, которое появляется при открытии документа (рис.1).

    рис.1

    При обнаружении нового макроса программа выводит на экран содержание макроса (рис.2) и предлагает пользователю определить является ли он полезным или это очередной вирус:

    рис.2

    а) если пользователь определит, что данный макрос является полезным необходимо в представленном тексте модуля выбрать любую строку, нажать кнопку ‘Запомнить нужный макрос’ и ввести имя (оно может быть любым). Программа занесёт его в базу макросов как полезный макрос, при этом он останется в документе и при следующем запуске документа с этим макросом, разрешит выполнить программу заложенную в него, сообщение в этом случае не выводится;

    б) если пользователь определит, что данный макрос является вирусом необходимо в представленном тексте модуля выбрать любую строку (для идентификации данного вируса), нажать кнопку ‘Запомнить как вирус’ и ввести имя (оно может быть любым). В базе макросов он запишется как вредный макрос, при этом будет удалён из текущего документа и при следующем обнаружении подобного макроса произойдёт его удаление из документа, о чем будет выводится сообщение.

    ВНИМАНИЕ! ПОСЛЕ УДАЛЕНИЯ МАКРОСА ОБЯЗАТЕЛЬНО СОХРАНИТЕ ДОКУМЕНТ!

    При нажатии на кнопку "анализ макроса" происходит анализ макроса на предмет определения, является ли он вирусом или нет, при значении оценки большей или равной 80% целесообразно макрос отмечать как макровирус. Данная функция не гарантирует защиты от вредоносных макросов, но макросы в которые встроены функции размножения обнаруживает с очень большой вероятностью.

    Рекомендации
    Если Вы сомневаетесь, является макрос вирусом или полезным макросом пользуйтесь следующими правилами:
    1. Если в документе, который создали Вы появился макрос - 99% это вирус.
    2. Если Ваш знакомый дал Вам документ с полезным макросом, то он Вас об этом предупредит.
    3. Если Ваш знакомый дал Вам документ и в документе оказался макрос, о котором Вас не предупредили - 90% это вирус.
    4. Даже если Вы случайно отметили нужный макрос как макроврус, Вы можете восстановить егооткрыв файл c:\ macroLog.inf (предварительно удалив запись из Базы макросов).
    Подробнее о борьбе с макровирусами можно почитать здесь.

    В программу встроена возможность сохранять содержание модулей Visual Basic, для чего необходимо нажать кнопку ‘Сохранить в файл’ и ввести название файла, который после сохранения будет располагаться в корневой директории диска C: и иметь текстовый формат (ДАННЫЙ ФАЙЛ ЯВЛЯЕТСЯ СОВЕРШЕННО БЕЗВРЕДНЫМ ДЛЯ КОМПЬЮТЕРА).

    Кнопка ‘Удалить макрос’ предусмотрена для случаев когда очевидно, что содержимое модуля Visual Basic является “мусором” типа “dfdfdfdfdfdfdf” и т.д. и заносить в базу макросов данный макрос не целесообразно. При нажатии этой кнопки модуль из документа просто удаляется.

    Кнопка “Пропустить” предусмотрена для тех случаев, когд Вы решили по каким либо причинам не менять содержимое документа и не заносить макрос в базу макросов.



  15. Особенности - Содержание:

    1. По умолчанию База вирусов располагается в корневой директории на диске С: в файле MVirBase.bas. Пополняется она автоматически после обнаружения Вами новых макро вирусов в документах MS Word 97. При отсутствии базы она создаётся автоматически.
    2. При добавлении нового вируса в базу происходит автоматическая запись тела вируса в файл c:\ macroLog.inf, эта функция может пригодиться, когда Вы полезный макрос по ошибке занесли в базу, как вирус.
    3. Иногда, для повышения стойкости программы Macros Hunter for MS Word 97, имеет смысл в файле normal.dot включить атрибут “Только для чтения”, но в данном случае новые настройки MS Word 97 сохранятся не будут. Путь к Normal.dot "C:\Program Files\Microsoft Office\Шаблоны\Normal.dot".
    4. рис.3
    5. Программа MacrosHunter автоматически создаёт панель управления с кнопками (рис.3) "Проверка на вирус всех документов", "База макросов", "Настройки программы" и "О программе". Кнопка "Проверка на вирус всех документов"(создана для защиты от вирусов с функцией AutoOpen) необходима в том случае, когда шаблон Normal.dot по каким-либо причинам оказался заражён (окно с бегущей строкой перестало появляться). При нажатии на эту кнопку происходит последовательная проверка и лечение шаблона Normal.dot и всех открытых документов, после завершения проверки происходит восстановление загрузочной функции программы Macros Hunter. Если при нажатии на эту клавишу ничего не происходит или сама кнопка отсутствует необходимо переустановить Macros Hunter заново с помощью файла Install.doc. Если и это не помогло, значит вирус смог обойти программу. В этом случае необходимо попытаться в ручную удалить макро вирус через меню 'Сервис->Макрос->Редактор Visual Basic', если это не получается значит вирус заблокировал вход в редактор. Закройте Word, удалите файл Normal.dot, откройте Word, войдите в редактор Visual Basic (очень важно редактор открыть перед открытием зараженного документа) и удерживая клавишу Shift запустите зараженный документ (при этом макросы выполнятся не будут). Далее, в ручную удалите макровирус находящийся в документе.
    6. рис.4
    7. Кнопка "База макросов" позволяет посмотреть содержание Базы (рис.4) и в случае необходимости изменить описание макроса, название макроса в базе, удалить не нужные записи, если известен автор макроса ввести его имя, можно ввести название темы. В программе появилась возможность сохранять код макроса в специальной Библиотеке макросов (эту возможность можно отключить в окне настроек), посмотреть код конкретного макроса можно нажав кнопку "Показать макрос". Расположение Библиотеки макросов (БЛМ) так же задаётся в настройках. При изменении расположения БЛМ макросы из старой БЛМ копировать не обязательно, но желательно, причём все макровирусы должны быть расположены в папке ..\zoo\. При удалении записи в Базе Макросов удаляется сам макрос из БЛМ (можно отключить). Все макросы сохраняются в текстовом формате файла и СОВЕРШЕННО БЕЗВРЕДНЫ ДЛЯ КОМПЬЮТЕРА.
    8. рис.5
    9. Кнопка "Настройки программы" (рис.5) позволяет менять расположение Базы макросов, Библиотеки макросов, вкл/откл сохранение макросов в БЛМ, изменить скорость бегущей строки, и порядок проверки документов и шаблона Normal.dot. Я считаю, что оптимальным будет включать проверку документа при его открытии и вкл проверку Normal.dot при открытии Word.
    10. Отключение опции "разрешить выполнение автоматических макросов" приводит к тому, что ни один макрос автоматически в Word не запустится, это также касается и автоматической проверки на вирус. Получается, если она включена, антивирус автоматически проверяет документ, но тогда нет 100% гарантии, что какой-нибудь хитрый вирус не обойдёт антивирус. При выключенной функции проверка автоматически не проводится и пользователю каждый раз придется нажимать кнопку "Проверка на вирус всех документов", но при этом ни один вирус сам не запустится, что лучше решать Вам.
    11. Если после лечения документа при нажатии на кнопки панели управления MS Word появляется надпись "Процедура Sub или Function не определена" необходимо перезапустить MS Word. Вызвано это тем, что некоторые вирусы переопределяют стандартные функции Word, а после удаления вируса Word переопределённую функцию найти не может.
    12. Использование данной программы в MS Word 2000 и MS Word XP не проводилось, но теоретически возможно. За последствия автор ответственности не несёт.
    13. Файл Install.doc можно использовать для переустановки программы. Для этого необходимо сначала деинсталировать программу Macros Hunter!!!

    14. Просьба, зараженные файлы присылать по адресу machunter@narod.ru для изучения вирусов и модернизации программы.



  16. Глюки - Содержание:
    1. После удаления макровируса из документа в документе остаётся информация о том, что макрос все равно присутствует. Это приводит к тому, что после лечения документа при его открытии программа Word выдаёт информацию о присутствии в документе макросов (если в Word-е включена защита от макросов - я её отключаю).
    2. Иногда происходит зависание в леченных AVPешкой документах т.к. AVP не удаляет модули и текст макроса, а производит замену символов программы на безопасный код оставляя при этом названия функций.

    Macros Hunter for MS Word 97 поставляется КАК ЕСТЬ и является скорее экспериментом нежели готовым программным продуктом.

    Пишите письма. Всегда выслушаю Ваши предложения.

    e-mail: machunter@narod.ru

    www.machunter.narod.ru

    г 2002 Averkov Oleg