3.5.2 Загальні відомості про віруси в ms Office

Фізичне розташування вірусу всередині файлу залежить від його фор­мату, що у випадку продуктів Microsoft надзвичайно складний - кожен файл-документ Word, Office чи таблиця Excel являють собою послідов­ність блоків даних (кожний з який також має свій формат), об'єднаних між собою за допомогою великої кількості службових даних. Цей формат нази­ва­ється OLE2 (Object Linking and Embedding). Структура файлів Office (OLE2) нагадує ускладнену файлову систему дисків DOS: "кореневий ката­лог" документа або таблиці вказує на основні підкаталоги різних блоків даних, кілька таблиць FAT містять інформацію про розташування блоків даних у документі і т.д.

Більш того, система Office Binder, що підтримує стандарти Word і Excel дозволяє створювати файли, що одночасно містять один чи декілька документів у форматі Word і одну чи декілька таблиць у форматі Excel. При цьому Word-віруси здатні вражати Word-документи, а Excel-віруси - Excel-таблиці, і все це можливо в межах одного дискового файлу. Те ж справедливо і для Office.

Слід зазначити, що Word версій 6,7 і вищедозволяє шифрувати присутні в документі макроси. Таким чином, деякі Word-віруси присутні в заражених документах у зашифрованому (Execute only) виді.

Більшість відомих вірусів для Word несумісні з національними (у тому числі з російською) версіями Word, чи навпаки - розраховані тільки на локалізовані версії Word і не працюють під англійською версією. Однак вірус у документі все рівно залишається активним і може заражати інші комп'ютери з установленої на них відповідною версією Word.

Віруси для Word можуть заражати комп'ютери будь-якого класу, а не тільки IBM-PC. Зараження можливе утому випадку, якщо на даному комп'ютері установлет текстовий редактор, цілком сумісний з Microsoft Word версії 6 чи 7 (наприклад, MS Word for Macintosh). Те ж справедливо для Excel і Office.

Слід також зазначити, що складність форматів документів Word, таблиць Excel і особливо Office має таку особливість: у файлах-документах і таблицях присутні "зайві" блоки даних, тобто дані, що ніяк не пов'язані з текстом, що реда­гується, чи таблицями, або є випадковими копіями інших даних файлу. Причиною виникнення таких блоків даних є кластерна організація даних у OLE2-документах і таблицях - навіть якщовведений всего один символ тексту, то під нього виділяється один чи навітьдекілька кластерів даних. При збереженні документів і таблиць у кластерах, не заповнених "корисними" даними, залишається "сміття", що попадає у файл разом з іншими даними. Кількість "сміття" у файлах може бути зменшено скасуванням пункту настроювання Word/Excel "Allow Fast Save", однак це лише зменшує загальну кількість "сміття", але не забирає його цілком.

Наслідком цього є той факт, що при редагуванні документа його розмір змінюється незалежновідздійсненихз ним дій–при додаваннінового тексту розмір файлу може зменшитися, а при видаленні частини тексту–збільшитися. Те ж і з макро-вірусомпри зараженні файлу:його розмір може зменшитися, збільшитисячи залишитися незмінним.

Слід також зазначити той факт, що деякі версії OLE2.DLL містять невеликий недолік, у результаті якого при роботі з документами Word, Excel і особливо Office у блоки "сміття" можуть потрапити випадкові дані з диска, включаючи конфіденційні (вилучені файли, каталоги і т.д.). У ці блоки можуть потрапити також команди вірусу. У результаті після ліку­ван­ня заражених документів активний код вірусу видаляється з файлу, але в блоках "сміття" можуть залишитися частина його команд. Такі сліди при­сутності вірусу іноді видимі за допомогою текстових редакторів і навіть мо­жуть викликати реакцію деяких антивірусних програм. Однак ці залиш­ки вірусу зовсім нешкідливі Word і Excel не звертають на них ніякої уваги.