Макро-віруси

Багато табличних і текстових редакторів, систем проектування, мають свої макро-мови для автоматизації виконання дій, що повторюються. Ці макро-мови часто мають складну структуру і розвинутий набір команд. Макро-віруси є програмами на макро-языках, вбудованих в такі системи обробки даних. Для свого розмноження віруси цього класу використовують можливості макро-языков і при їх допомозі переносять себе з одного інфікованого файлу (документа або таблиці) в інші.

Найбільше розповсюдження отримали макро-вирусы для Microsoft Office (Word, Excel і PowerPoint), що зберігають інформацію у форматі OLE2 (Object Linking and Embedding). Віруси в інших додатках достатньо рідкісні.

Фізичне розташування вірусу усередині файлу MS Office залежить від його формату, який у разі продуктів Microsoft надзвичайно складний — кожен файл-документ MS Office є послідовністю блоків даних (кожний з яких також має свій формат), з'єднаних між собою за допомогою великої кількості службових даних. При роботі з документами і таблицями MS Office виконує різні дії: відкриває документ, зберігає, друкує, закриває і т.д. При цьому MS Word, наприклад, шукає і виконує відповідні «вбудовані макроси» — при збереженні файлу по команді File/Save викликається макрос FileSave, при збереженні по команді File/SaveAs — FileSaveAs, при друкуванні документів — FilePrint і т.д., якщо, звичайно, такі макроси визначені.

Існує також декілька «автомакросів», що викликаються за певних умов. Наприклад, при відкритті документа MS Word перевіряє його на наявність макросу AutoOpen. Якщо такий макрос присутній, то Word виконує його. При закритті документа Word виконує макрос AutoClose, при запуску Word викликається макрос AutoExec, при завершенні роботи — AutoExit, при створенні нового документа — AutoNew. Автоматично (тобто без участі користувача) виконуються також макроси/функції, асоційовані з якою-небудь клавішею або моментом часу або датою, тобто MS Word/Excel викликають макрос/функцію при натисканні на яку-небудь конкретну клавішу (або комбінацію клавіш) або за умови настання певної події.

Макро-віруси, вражаючі файли MS Office, як правило, користуються одним з перерахованих вище прийомів — у вірусі або присутнє авто-макрос (авто-функція), або перевизначене один із стандартних системних макросів (асоційований з яким-небудь пунктом меню), або макрос вірусу викликається автоматично при натисненні на яку-небудь клавішу або комбінацію клавіш. Отримавши управління макро-вирус переносить свій код в інші файли, звичайно у файли, які редагуються в даний момент. Рідше макро віруси самостійно шукають інші файли на диску.