作者：乔山办公网日期：
返回目录：excel表格制作
Excel发现漏洞 可偷考题的试卷大盗借机传播
2004年08月18日 19:05 金山毒霸信息安全网
8月18日，金山毒霸反病毒实验室应急处理中心率先截获一个利用Excel进行传播的宏病毒，该病毒利用了 Microsoft Excel 的一个程序漏洞，从而绕过Microsoft Office 安全机制，在安全级别设置为高、未有任何提示的情况下运行。
“试卷大盗”(Formula.Excel97.Counter)是一个宏病毒，同时具有木马的危害。它可进行Word/Excel双重感染。如果中毒的机器上存有“试题”e799bee5baa6e997aee7ad94e59b9ee7ad94338的word文档，它便可将该文档设置密码，然后发送到作者的FTP服务器上，从而导致考题外泄。现在正值暑假，所有的重要考试都已经过去，应该暂时不会造成什么影响。就目前为止，金山公司也还未曾接受到与该病毒相关的投诉和求助。尽管如此，这种病毒的潜在社会危害性依然非常恶劣，需要相关教育机构提高警惕。
病毒和木马的结合并不是什么新鲜事，木马的用途细分和专门偷盗也已经很常见，不过之前的木马大多针对网上的虚拟物品财产较多。考试是选拔人才的重要手段，作弊也同样自古便有，但是利用病毒进行作弊、将木马直接用于客观存在的考试试题，该病毒应该是前无仅有的第一例。
众所周知，在 Microsoft Office 97 之后，为了防范宏病毒的传播，微软在 Office 中增加了“安全性”设置，缺省状态下“只允许运行可靠来源签署的宏，未经签署的宏会自动取消”，即使设置为“中”，在打开带有宏的文档时系统也会提示病毒风险。另外，利用一些二进制或专门的复合文档分析工具，也可以直接看出文档中带有宏代码。计数器(Formula.Excel97.Counter)病毒成功地绕过这些限制，文档打开时病毒就会直接被运行，既无安全性提示，也不能中止。从二进制上分析，这些病毒文档也看不到任何常规的宏代码！
已经发现的这个安全漏洞是 Excel 的公式检查漏洞。在 Office 的 VBA 二次开发接口推出之前，Excel 采用了一种叫做宏表(Macro Sheet)的二次开发技术，在一个宏表内开发者可以使用象公式一样的运行代码。为了保持兼容性，Excel 的后续版本(包括 Excel 2003)依然支持这一功能。在 Excel 的二进制结构中，有两个位置记录有宏表的标志，正常情况下这两个标志位保持一致。构造一个特殊的文档，则可以使 Excel 不能检测到宏表从而没有任何提示地运行任意代码。
此外，对于含有宏表的文档，打开时虽然有安全性提示，但却不能中止宏表的运行。利用这一功能的公式病毒由来已久，像 Formula.Excel.Black、Formula.Excel.Sic 等。“试卷大盗”(Formula.Excel97.Counter)正是利用了这一漏洞，从而可以在任意安全级别的计算机上感染。
“试卷大盗”(Formula.Excel97.Counter)的详情如下：
病毒信息
病毒名称：Formula.Excel97.Counter、Macro.Excel97.Counter、Macro.Word97.Counter、 Win32.Troj.Counter
中文名称：试卷大盗
威胁级别：三级
病毒类型：宏病毒/公式病毒/木马
病毒危害
A、病毒运行后会复制自身到 Word 的模板文件和 Excel 的启动加载中，从而造成 Word/Excel 的双重感染。模板名称分别为：normal.dot 和 norma1.xlm。
B、在 Word 文档的标题、第一和第二段落中查找“试卷”和“试题”字符，如果存在，将文件以“XAB01234”这样以“X”打头的名称保存，并且以密码“xxxxxxxxxx98765”(此处以“x”隐去详细内容，下同)进行加密。然后上传到“xxx.xx.xx.110”服务器上，可能会导致考试试题泄露。
C、病毒感染后会在 C:\ 盘根目录下生成 c:\excel.tx(病毒源代码)t、asd.txt(ping 目标地址的结果日志)、setflag.exe、sendto.exe、internet.exe(三个相配合的木马、隐藏文件)、cab.cab(病毒包，含所有的木马和模板)。这些文件在运行中可能会被删除。
D、修改注册表，使隐藏文件真正隐藏，即使在操作系统的设置中打开“显示所有的文件和文件夹”也无济于事。
E、修改注册表，删除系统启动项的输入法程序(internat.exe)，改为病毒(internet.exe)随系统进行启动。
解决方案
A、请使用金山毒霸2004年8月18日的病毒库可完全处理该病毒；
B、企业级用户请使用金山毒霸网络版来彻底防范该病毒的侵袭；
C、开启金山毒霸病毒防火墙可防止病毒入侵。
安全建议
A、不打开来历不明的邮件和 Office 文档；
B、安装反病毒软件，随时更新病毒库，并保持病毒防火墙处于打开状态。经常使用办公软件时，一定要启动 Office 安全助手。
经过我的搜索，初步判定是感染了宏病毒！
1.[注意]这里的有些文件包含有宏病毒！
会在EXCEL文件上建立一个叫normal.xlm的文件，并生成一个auto_open的宏，此后打开的所有EXCEL文件都会被感染。
2.近期在爆发了一种Office宏病毒，该病毒主要对计算机中的Excel文档造成影响，传播极为容易。打开过受到此病毒感染的Excel文档后，其后打开的Excel文档均会受到感染，使Excel运行出现异常e79fa5e98193e58685e5aeb9361。受感染后的症状大致表现为： 1、打开Excel文档后，里面会多出几张名为“module*”(*代表数字)的表，切换到这些表查看的时候，会使Excel出现白屏，并无任何反应。 2、打开Excel文档后，在无作任何改动情况下，关闭仍然要提示保存。 3、在Excel文档中的宏不能正常运行。解决方法： 1、 升级病毒码至最新； 2、 如果是Windows ME或者WindowsXP操作系统，在“我的电脑”的“属性”里面把“使用缓存”一项禁用； 3、 在操作系统的安全模式下运行杀毒软件对整个硬盘进行扫描。（注意：必须在安全模式下才能彻底扫描出此病毒）； 4、 如果系统受到了感染，扫描完后会出现一到两个名为“norma1.xlm”的受感染的文档名，从文档的属性中找到该文档的路径，到该路径下把所有的文件都删除（有时候这些文档会被隐藏了，必须在文档查看的设置里面把显示所有文件项选上才能看到）。注：其他Office文档的异常可参照此方法解决。
大家在使用WORD和EXCEL过程中，可能会遇到各种问题，比如不能添加特殊符号，找不到自己想要的工具栏，界面混乱，想要恢复默认或者原始设置，而WORD和EXCEL上却找不到相关的按钮，那怎么办呢?word恢复默认设置：方法1、大家可以打开 程序－－－》运行—e799bee5baa6e78988e69d83332——》，如果是WORD问题，就输入" winword.exe -a一切OK.方法2、关闭Word程序，然后进入Word程序的默认模板所在的目录Microsoft\Templates，将名为Normal. Dot的文件重命名为其他的文件名，然后再启动Word，其所有设置与界面已经恢复到刚刚安装完毕后的状态。（C:\Documents and Settings\登录用户名\Application Data\Microsoft\Templates，其中Application Data文件夹为隐含文件夹）Excel 恢复默认设置:1、程序－－－》运行———》输入" excel.exe -s, 就可以启动安全模式编辑文件设了.2、删除Excel11.xlb(Excel2003) 这个档后重新执行Excel,就会恢复Excel预设的菜单设定
Excel Xp 的位置:C:\Documents and Settings\登录用户名\Application Data\Microsoft\Excel
如果是其它的版本请参考
Excel 5: Excel5.xlb
Excel 95: .xlb
Excel 97: 8.xlb
Excel Xp: Excel10.xlb建议用搜寻档案 *.xlb(Normal. Dot)的方式
删除C:\Documents and Settings\Administrator\Application Data\Microsoft\Excel\XLSTART下面的norma1.xlm 就可以了