Virus.MSExcel.Neg danooct1 English Polish

Virus.MSExcel.NegYouTube↗ IA↗(long shot)
Entertainment 185K views 3.5K likes 58 dislikes 02 Apr 2017 Show Contributors 3

danooct1 318K subscribers United States YouTube↗

Contributed subtitles

English Dick sucker

Click to Play Video

Hello, everyone! Today we're taking a look at "Neg", a macro virus written for Excel, rather than Word.

Witajcie! Dziś weźmiemy pod lupę "Neg", wirusa makro napisanego specjalnie pod Excela, nie Worda.

I like this one quite a bit, because with Excel, there are different ways to hide your work,

Jest jednym z moich ulubieńców, jako że w Excelu są rożne sposoby na ukrywanie twoich rezultatów pracy,

and this macro virus employs some pretty interesting techniques to try to avoid detection by the user.

i ten wirus makrowy wykorzystuje kilka ciekawych technik próbując uniknąć bycia wykrytym przez użytkownika.

As you can see here we have three variants: We have B, C, and E,

Jak widać, mamy trzy warianty: B, C, i E

and we'll run each one and they'll ALL infect Excel, and so we will end up with a very thoroughly infected spreadsheet before the end of this video.

Uruchomimy wszystkie trzy, każdy z nich zainfekuje Excela, także skończymy z bardzo dokładnie zainfekowanym arkuszem pod koniec tego filmu.

We will go ahead and open the B variant, and nothing much appears to happen.

Otwórzmy więc wariant B. Nie wygląda na to, żeby cokolwiek się stało.

We have our spreadsheet open, we can navigate to our macros,

Nasz arkusz jest otwarty, mamy dostęp do naszych makr,

we can see here that we have three macros in this file.

i jak widać mamy trzy makra w tym pliku.

And three in a file called lore.xlm.

Oraz trzy makra umieszczone w pliku 'LORD_XLM'.

However, we do not see that file anywhere.

Nigdzie jednak tego pliku nie widzimy.

But thankfully, the virus does not lock it down,

Na szczęście wirus nie blokuje do tych makr dostępu,

And we can jump right into the code and see what's happening.

możemy do nich wejść i zobaczyć jak działają.

So we have some nice credits here at the top of the macro

Na samym początku pliku mamy bardzo uprzejmą stopkę autorską:

Uh, 'NEG' is a trademark of NoMercy. Please include this text, generated with NEG.

"NEG jest znakiem handlowym NoMercy" "Proszę zawsze dołączać ten tekst:"

Uh, i'm not sure what NEG is but..

"Wygenerowano za pomocą NEG! " Hm, nie jestem pewien co oznacza 'NEG'.

We have a website and I tried visiting it, unfortunately it does not exist anymore. UNFORTUNATELY.

Mamy link do strony, próbowałem ją odwiedzić ale niestety obecnie nie istnieje.

Virus name is apparently supposed to be Lord, but Kaspersky decided it should be 'Neg'

Nazwa wirusa to 'LORD', ale wygląda na to że Kaspersky uznał że wirus będzie sklasyfikowany jako 'NEG'

And was written my Foxx with Neg

Został napisany przez 'Foxz with NEG'.

So, moving right along and moving clippy right out of the way,

A więc, kontynuując i odstawiając Spinacza do jego kąta

we can see in this code that it employs one technique

Możemy w kodzie zauważyć, że wykorzystuje on pewną technikę:

It uh, actually checks to see if lord.xlm is running And creates this as a hidden worksheet

Sprawdza, czy 'LORD.XLM' jest otworzony, i tworzy jego kopię jako ukryty arkusz.

And this is where it actually infects new worksheets and if this is running it's able to infect other stuff that is happening in Excel

A ta część jest odpowiedzialna za infekowanie nowych arkuszy, jeśli jest uruchomiona to jest w stanie infekować różne rzeczy w Excelu.

So in the sub fuck, we can see that it turns off screen updating so that you can't see what's happening,

Więc w podrzędnej procedurze 'Fuck()', Możemy zobaczyć, jak wirus wyłącza rysowanie ekranu by ukryć co robi,

It activates the lord.xlm window, and makes it visible, activates it, makes sure that the sheet is visible, and then copies it to your current workbook so it is infected

aktywuje okno z 'LORD.XLM' i wywołuje je na wierzch, wybiera je, upewnia się że arkusz jest widoczny, w końcu kopiuje swój arkusz do twojego skoroszytu, infekując go,

And then turns them all off and makes the invisible and then reactivates screen updating.

po czym dezaktywuje swoje arkusze i ukrywa je. Następnie reaktywuje rysowanie ekranu.

so you won"t see this actually happen, but it will actually create this worksheet,

Reasumując: Nie zobaczysz żadnych działań, ale tak naprawdę wirus stworzy ten arkusz,

and attach it to the one you're attempting to use, and infect it and then hide everything that it did.

dołączy go do twojego skoroszytu infekując go,

And we can actually see this if we go back here, we goto window, and on hide, we can see unhide the workbook 'lord' where we now have two workbooks open, and this one is trying to infect everything that runs.

a następnie ukryje swoje ślady działań. Możemy jednak je zobaczyć, jeśli wrócimy do arkusza, wybierzemy opcje Okno, Odkryj, i zobaczymy, że możemy cofnąć ukrycie skoroszytu 'LORD'. Mamy teraz dwa skoroszyty otwarte, z tymże ten (LORD) będzie próbował zainfekować wszystkie uruchomione pliki.

And finally we have a payload for this variant. Close out of it real quick here.

Na koniec, mamy ładunek tego wariantu, zamknijmy na chwilę ten program

If you close one it closes both.

Zamykamy jeden, zamykają się obydwa.

And we change it to the first of the month,

Zmieńmy datę na pierwszy dzień miesiąca.

Uruchamiamy wirusa ponownie, i... zamykamy.

and close. It says, 'get the best execel scanner, NVT-98'

W oknie jest napisane: "Zdobądź najlepszego Skanera Excela -NVT98-" (Get the best Excel Scanner -NVT98-)

So, pretty much referring to antivirus software you can get, because you're infected dOOd

Skrót odnosi się do oprogramowania antywirusowego, w sensie: 'zdobądź najlepszego dostępnego antywirusa bo właśnie dostałeś wirusa, brachu'

Press OK, it goes away.

Klikamy OK, okienko znika.

Move along to NEG-E now, and uh, we get some interesting notice from excel, that blablabla we don't care. [inhale] macros aren't stored in the document, and we can see that this a sacrificial goat file from Sophos

Teraz przejdziemy do NegE (wariant E) Otrzymujemy interesującą informację od Excela.... Bla bla bla cośtam cośtam, makra nie są przechowywane w dokumentach. Możemy zobaczyć, że mamy do czynienia z plikiem ofiarnym od Sophos (Goat File - plik poświęcony do zainfekowania wirusem)

And once again we can take a look at our macros, however we seem to be gaining some

Tak jak poprzednio możemy zajrzeć w nasze makra, wygląda na to że przybywa nam makr.

we've got lord running, because it appends itself to every excel spreadsheet we open

'LORD' jest uruchomiony, jako że przyczepia się do każdego otworzonego przez nas arkusza.

Now I've also got 'neg.xlm' Which is also infecting everything that we open.

Teraz mamy 'NEG.XLM', który także infekuje każdy otwarty arkusz.

If we edit it, we can see that it attempts to uh, hide everything we were just in.

Jeśli otworzymy go w edytorze, zobaczymy że próbuje on ukryć wszystkie okna i menu które właśnie odwiedziliśmy (Okna i Makra)

uhhhh It did not successfully delete all of these menu bars because we are here reading this code.

Nie powiodło mu się pozbyć tych pozycji w menu, ponieważ oto tu jesteśmy, przeglądając jego kod źródłowy.

No cóż, podjąłeś próbę.

If we keep on scrolling, things are generally pretty much the same.

Przewijając w dół, wygląda w sumie identycznie do poprzedniego wariantu,

And we just have a different message when we close out of excel on the 13th of the month.

z tą różnicą że trzynastego dnia miesiąca otrzymamy inną wiadomość przy wyjściu.

So let's do that :D We can see here 'Get the best Excel Scanner' because we are still infected with the first variant.

Znowu widzimy prośbę o zdobycie Najlepszego Skanera do Excela, jako że wciąż jesteśmy zainfekowaniu pierwszym wariantem Zmieniamy datę na 13tego i uruchomiamy go ponownie i zamykamy "Wykryto niejednoznaczną nazwę" - Świetnie, coś się zepsuło. Tak czy inaczej, na szczęście wirus kontynuuje swoje bez rujnowanie tego filmu.

"To jest XM.N-E-G, wygenerowany za pomocą NEG, pierwszego na świecie Generatora (do) Excela!" W porządku! To jest wyjątkowe - nie nie, bez zmian, nie trzeba. W końcu przejdziemy do wariantu C,

który jest znacznie bardziej destruktywny od ładunków które widzieliśmy - - w końcu okienka tekstowe nie są szkodliwe. Ale! Patrząca na nasze makra, jesteśmy teraz po trzykroć zainfekowani. Można poznać po ilości makr w tym dokumencie.

Przejdziemy w tryb edytowania... Ten wariant także próbuje ukryć swoją obecność i także mu się to nie udało. Podoba mi się: "Głośnij w głośnik chcemy taniec" Komentarz wysokiej klasy.

Przewijając w dół i sprawdzając co te makro właściwie robi, widzimy że zamiast otwierania okienka tekstowego Otwierany jest plik AUTOEXEC.BAT gdzie wpisywana jest komenda formatowania dysku. Dopiero potem wyświetlamy okienko tekstowe.

Spróbujmy więc, chciałbym to zobaczyć. Znowu niejednoznaczna nazwa - nie, nie! Spinacz, zjeżdżaj, proszę cię! Nie rujnuj mojego filmu, jesteśmy przy samym końcu. Jeszcze raz - ups, zły plik.

Ok, tak, potwierdzam. Nie - zaraz, co się stało? Wydaje mi się że zrobił co miał zrobić. Tak czy inaczej, przeczytajmy to okno dialogowe. Niejednoznaczna nazwa - mamy to.

"Twoje pliki być infekowane przez..." [Długa pauza] Kropka. [Długa pauza] "... Virus aDHIFS. Po szczegółowe informacje o nas proszę odwiedź mnie na stronie:" Geocities - O nie, tej strony już nie ma.

" Lub na stronie:" focus-asia to druga strona której już nie ma "Lub Skontaktuj Osobę przez MUARA VIRUS WRITER's pod numerem 0341-462-989 Z Panem nAWAW ..." nA... Nawaw? Nie wiem czy to numer telefoniczny czy co, ale możesz próbować pod niego zadzwonić jeśli masz na to ochotę.

Wybierzemy nie, nie chcemy zapisywać zmian. Jeśli spojrzymy na AUTOEXE.Bat - - Wszystko jest przygotowane na formatowanie dysku, więc zróbmy to, brzmi jak dobra zabawa. Zamknij i Uruchom Ponownie - Naprzód!

A więc - indykator aktywności HDD wariuje. Nie wygląda na to żeby Windows się uruchamiał. "Brakuje pliku batch: Nie można znaleźć pliku WIN.COM, nie można kontynuować ładowania systemu Windows." To nie wygląda dobrze dla naszych danych...

Jedyne co się znajduje na naszym to COMMAND.COM A ten nam tylko mówi, że to Windows 98. Miło. Uruchommy ponownie i zobaczmy czy w ogóle jesteśmy w stanie cokolwiek uruchomić.

Zajebiście! Mamy teraz najlepszy na świecie komputer. Ma tylko jeden plik - COMMAND.COM Ten plik po uruchomieniu pisze ci że działasz na Windows 98. To wszystko czego wymagam od komputera.

A więc, to już wszystko na temat Neg. Dziękuję bardzo za obejrzenie. Trzymajcie się.

Similar videos:

Net-Worm.Win32.Blaster (thanks for 75k subs!)
danooct1
161.6K views 3.4K likes 19 dislikes 17 Mar 2016100% match

Virus.DOS.Hate
danooct1
156.6K views 1.6K likes 21 dislikes 22 Jan 2015100% match

Virus.DOS.Espacio
danooct1
186.5K views 3.3K likes 24 dislikes 06 Feb 2014100% match

Virus.Win9x.CIH - removal process
danooct1
156.4K views 3.7K likes 31 dislikes 26 Apr 2016100% match

Trojan.SymbOS.Skulls.F
danooct1
158.3K views 2.2K likes 27 dislikes 28 Jan 2013100% match

Viewer-Made Malware 2 - Lazy (Win32)
danooct1
151.6K views 2.1K likes 24 dislikes 15 Jan 2016100% match

MS-DOS on an i7 4790k
danooct1
266K views 3.2K likes 219 dislikes 21 Aug 2015100% match

Viewer-Made Malware 12 - ResonateII (Win32)
danooct1
536.1K views 9.9K likes 165 dislikes 07 Oct 2016100% match

Virus.DOS.OneHalf
danooct1
149.7K views 2K likes 22 dislikes 23 Sep 2013100% match

Viewer-Made Malware 6 - Bolbi (Win32)
danooct1
224.5K views 3.1K likes 38 dislikes 25 Mar 2016100% match

VineMEMZ (Win32)
danooct1
336.4K views 7.9K likes 136 dislikes 23 Dec 2016100% match

Viewer-Made Malware 9 - PCToaster (Win32)
danooct1
397.3K views 8.2K likes 150 dislikes 29 Jul 2016100% match

Virus.Win9x.Lovesong
danooct1
158.2K views 1.9K likes 17 dislikes 12 Mar 2015100% match

Email-Worm.Win32.Mydoom.A
danooct1
165.8K views 2.3K likes 21 dislikes 05 Feb 2016100% match

Virus.Win32.Rigel
danooct1
151.2K views 1.4K likes 22 dislikes 31 May 2013100% match

Viewer-Made Malware 10 - Zika (Win32)
danooct1
759.7K views 14.2K likes 274 dislikes 09 Sep 201669% match

IRC-Worm.Win32.Fagot
danooct1
556.8K views 8.1K likes 192 dislikes 21 Jan 201369% match

Viewer-Made Malware 7 - DeepUnder (Win32)
danooct1
565.5K views 8.4K likes 155 dislikes 17 Jun 201669% match

Viewer-Made Malware 8 - MEMZ (Win32) (flashing lights warning)
danooct1
1.8M views 30.4K likes 550 dislikes 08 Jul 201669% match

Viewer-Made Malware 3 - Mist (Win32)
danooct1
548.5K views 8.5K likes 218 dislikes 29 Jan 201669% match

Email-Worm.Win32.Maldal
danooct1
263K views 2.5K likes 21 dislikes 24 Jan 201369% match

Email-Worm.Win32.Magistr (Thanks for 100,000 subscribers!!!)
danooct1
377.5K views 10.4K likes 62 dislikes 17 May 201669% match

Viewer-Made Malware 4 - Resonate (Win32)
danooct1
369.2K views 5.5K likes 59 dislikes 12 Feb 201669% match

Trojan.JS.YouAreAnIdiot
danooct1
5.1M views 103.3K likes 2.2K dislikes 19 Oct 201569% match

Trojan.SymbOS.Fontal
danooct1
1.3M views 23.1K likes 971 dislikes 13 May 201669% match

Virus.Win16.Apparition
danooct1
287.1K views 3.6K likes 37 dislikes 07 Sep 201269% match

Virus.DOS.Michelangelo (25 years later)
danooct1
362.7K views 8.2K likes 86 dislikes 06 Mar 201753% match

Trojan.Ransom.Rensenware
danooct1
1.5M views 38K likes 657 dislikes 09 Apr 201751% match

Trojan.Win32.Alerta
danooct1
959K views 16.6K likes 509 dislikes 07 May 201750% match

Virus.Win32.Winfig
danooct1
329.5K views 5.8K likes 145 dislikes 04 Jun 201749% match

Settings Privacy About Contact Donate