
   Heiner Schneegold
   Am Steinert 8
   97246 Eibelstadt
   (Deutschland)

   Tel: 09303/99104
   (19.00 - 20.00 Uhr)
   EMail: Heiner.Schneegold@t-online.de

  letzte Aenderung: 97-12-05

  Aenderungen seit VT3.01    VT-Laenge: 357016 Bytes

   WICHTIG !!!!!
      Um Linkviren SICHER zu finden, die sich HINTER
      den 1.Hunk linken, MUESSEN Sie FileTest auf-
      rufen !!!

   - ZIB-Inst.-Inst.     (spatch)           97-12-05

   - ZIB-Inst.     (loadwb)                 97-12-04

  Aenderungen seit VT3.00    VT-Laenge: 356432 Bytes

   - ZIB-Virus     (Link)                   97-11-23/24

   - LiSA-3.0-Trojan   (Zerstoerung SYS:)   97-10-15

  ------ bitte die Texte in VT.kennt.A-Z einfuegen --------
       
     - LiSA-3.0-Trojan   Zerstoerung
        anderer moeglicher Name: ScanEbola97
        Keine verbogenen Vektoren
        Nicht Resetfest
        68040: Ja
        Bekannte Filenamen:
            - ScanEbola97   L: 7004 Bytes
        Nach FileID: ScanEbola97: Scans your hard-drive for the
                     Ebola97-virus.
        In Wahrheit werden bei ALLEN (!!!!) Files auf SYS: die ersten
        #16 Bytes veraendert.
        z.B. Dir:
            vorher:                      nachher:
        00: 000003f3 00000000 ........ : 4c695341 20465543 LiSA FUC
        08: 00000001 00000000 ........ : 4b555020 76332e30 KUP v3.0
        10: 00000000 00000353 .......S : 00000000 00000353 .......S
        18: 000003e9 00000353 .......S : 000003e9 00000353 .......S
        Da nur wenige Bytes veraendert werden, kann VT versuchen, aus-
        fuehrbare Files zu retten. Bei Daten-Files (.info, lha usw.)
        ist KEINE (!!!!) Rettung durch VT moeglich.
        Ob sich der Zeitaufwand lohnt, muessen Sie selbst entscheiden.
        Ich habe fuer eine 270MB Syquest zwei Tage gebraucht.
        Bitte installieren Sie unbedingt zuerst die Workbench neu.
        Es werden damit schon viele Files wieder brauchbar. Danach gehen
        Sie bitte mit Sp-File-Sp und DirFTest Unterverzeichnis fuer
        Unterverzeichnis durch.
        Bei Data-Files ersetzt VT das "L" nach der Erkennung durch ";"
        also ";iSA". Manchmal koennen Sie solche Files (z.B. startup-
        sequence) noch durch Nacharbeit mit einem Editor retten.
        Fuer Icons usw. dagegen kenne ich keine Loesung.
          

   - ZIB-Inst.      Installer
         ab KS2.04: ja
         Verbogener Vektor: LoadSeg
         Resetfest: Nein
         Filename: z.B. loadwb
         Virusteillaenge: #1264 Bytes (also 4 Bytes mehr als ZIB-Virus)
         Link hinter den ersten Hunk.
         Speicherverankerung und Vermehrungsbedingungen:
           - siehe bei ZIB-Virus
           - es wird an die Files dann das ZIB-Virus (1260) gelinkt.
         Sprung aus loadwb in das Linkteil (auch mehrfach):
           - move 4.w,a6 (4 Bytes) wird zu bsr.w Linkteilstart  (6100wxyz)
           - move.l 4,a6 (6 Bytes) wird zu bsr.w Linkteilstart + 1 NOP
               - Looptiefe $7FFF
           - RTS wird zu bra.s Linkteilstart+4  (60yz)
               - Looptiefe $7B + 4
           (also anderer Vorgang als ZIB-Virus)
         VT versucht das Linkteil aus loadwb auszubauen.
                  

   - ZIB-Inst.-Inst.      Installer fuer loadwb
         Filename: z.B. spatch
         Virusteillaenge: #2080 Bytes
         Link hinter den ersten Hunk.   
         Decodiert (mit $85 und $BEEF) ist im Linkteil zu lesen: 
                                         496e               In
          7374616c 6c657220 76312e33 20627920 staller v1.3 by
          556e6974 65642046 6f726365 5320a931 United ForceS .1
          39393600 633a6c6f 61647762 0000646f 996.c:loadwb..do
          732e6c69 62726172 79000000          s.library...
         Sprung aus spatch in das Linkteil (auch mehrfach):
           - move 4.w,a6 (4 Bytes) wird zu bsr.w Linkteilstart  (6100wxyz)
           - move.l 4,a6 (6 Bytes) wird zu bsr.w Linkteilstart + 1 NOP
               - Looptiefe $7FFF
           - RTS wird zu bra.s Linkteilstart+4  (60yz)
               - Looptiefe $7B + 4  
             (also anderer Vorgang als ZIB-Virus)
         Vermehrungsbedingungen:
           - c:loadwb wird gefunden  (also SEHR gefaehrlich)
           - Medium validated
           - mind. #10 Block frei
           - usw.
           - Linkverlaengerung von loadwb um #1264 Bytes (also 4 Bytes
             mehr als ZIB-Virus)
         VT versucht das Linkteil aus spatch auszubauen.


   - ZIB-Virus      File  Link
         ab KS2.04: ja
         Verbogener Vektor: LoadSeg
         Resetfest: Nein
         Fileverlaengerung: 1260 Bytes
         Link hinter den ersten Hunk.
         Decodiert (mit $BABE) ist im Linkteil zu lesen:
            0003b090 4e757877 fdfc646f 732e6c69 ....Nuxw..dos.li
            62726172 79006273 64736f63 6b65742e brary.bsdsocket.
            6c696272 61727900 533a5a49 42006c69 library.S:ZIB.li
         Speicherverankerung:
           - LastAlert wird auf "TRSi" geaendert
           - LoadSeg wird verbogen
           - neuer Prozess wird erzeugt  Name: ZIB
           - Es wird nach bsdsocket.library gesucht und falls vorhanden
             veraendert. Diese Lib liegt nicht in Libs,sondern wird von
             einigen Programmen (z.B. Miami) im Programm mitgefuehrt. Diese
             Lib wird immer nach Programmende (Miami) wieder aus dem
             Speicher entfernt, auch wenn Veraenderungen vorgenommen waren.
             (So war es auf meinem Testrechner).
         Vermehrungsbedingungen:
           - File ausfuehrbar ($3F3)
           - max. Filelaenge #125000 Bytes
           - min. Filelaenge keine Untergrenze gefunden
           - 3E9-Hunk wird gefunden
           - Medium validated
           - mind. 5 Block frei
           - RTS wird gefunden  ( max. loop $3E+1 )
           - RTS wird ersetzt durch bra.s oder NOP (falls RTS genau
             am Ende des ersten Originalhunks). Auch mehrere RTS
           - Versucht FileDate zu retten
           - Veraendert Word von Protection-LW
         Falls bsdsocket.lib im Speicher, dann versucht der ZIB-Process
         ueber das Modem eine Nachricht abzuschicken.
         VT versucht Loadseg im Speicher zurueckzusetzen.
         VT versucht das Linkteil aus einem File auszubauen.
         VT versucht den ZIB-Process aus dem Speicher zu entfernen.
         Besser waere aber ein Booten von einer sauberen Disk

