home *** CD-ROM | disk | FTP | other *** search
/ CU Amiga Super CD-ROM 26 / CU Amiga Magazine's Super CD-ROM 26 (1998)(EMAP Images)(GB)[!][issue 1998-09].iso / CUCD / Utilities / VT / Schutz / VT3.09d-kurz < prev    next >
Text File  |  1998-07-02  |  10KB  |  230 lines
  1.  
  2.    Heiner Schneegold
  3.    Am Steinert 8
  4.    97246 Eibelstadt
  5.    (Deutschland)
  6.  
  7.    Tel: 09303/99104
  8.    (19.00 - 20.00 Uhr)
  9.    EMail: Heiner.Schneegold@t-online.de
  10.  
  11.   letzte Aenderung: 98-07-02
  12.  
  13.   Aenderungen seit VT3.08    VT-Laenge: 370660 Bytes
  14.  
  15.    WICHTIG !!!!!
  16.       Um Linkviren SICHER zu finden, die sich HINTER
  17.       den 1.Hunk linken, MUESSEN Sie FileTest auf-
  18.       rufen !!!
  19.  
  20.    - Sepultura-BB-Virus                     98-03-31
  21.  
  22.    - WAWE-Trojan  (ueberschreibt user.data) 98-05-03
  23.  
  24.    - Disnomia-Installer                     98-05-04
  25.  
  26.    - Disnomia-LVirus                        98-05-05/06
  27.  
  28.    - Copy-SAVE-Installer                    98-05-31
  29.  
  30.    - NeuroticDeath 5 (Linkvirus)            98-Juni
  31.  
  32.    - Maxsafe-Trojan (Rigid-Bereich)         98-06-30
  33.  
  34.  
  35.   ------ bitte die Texte in VT.kennt.A-Z einfuegen --------
  36.  
  37.    - Copy-SAVE-Installer
  38.       Name frueher Copy_LX Trojan
  39.       Der Installvorgang konnte mit lx103 nie nachvollzogen werden.
  40.       Jetzt ist ein CrunchMania-File 1.91 aufgetaucht, das copy
  41.       veraendert.
  42.       CrunchMania-Filelaenge : 46656 Bytes
  43.       Dieses Teil erzeugt das veraenderte copy-File (s.u.) wirklich.
  44.       Keine verbogenen Vektoren
  45.  
  46.    - Disnomia-Inst.    Installer
  47.       Filelaenge: 1108 Bytes
  48.       verbogene Vektoren: LoadSeg, Newloadseg
  49.       Vor das UNCODIERTE Linkteil wurden einige Bytes fuer den Start
  50.       gestellt.
  51.  
  52.    - Disnomia-LVirus    Linkvirus
  53.       vgl. auch Elbereth3
  54.       Namensbegruendung:    
  55.            Im decodierten LinkTeil ist zu lesen:     
  56.            00bfd100 60ce3d3d 3d202121 21204469 ....`.=== !!! Di
  57.            736e6f6d 69412021 2121203d 3d3d20a9 snomiA !!! === .
  58.            202a204d 61442072 6f474572 20313939  * MaD roGEr 199
  59.            37202a20 506f6c61 6e640054 68697320 7 * Poland.This
  60.       Fileverlaengerung: #1060 Bytes
  61.       Nicht Resetfest
  62.       Verbogene Vektoren: LoadSeg NewLoadSeg
  63.       Speicherverankerung:
  64.            - Test ob schon im Speicher ($2F01)
  65.            - Loadseg und NewloadSeg wird verbogen
  66.            - Testet spaeter geladene Filenamen auf "v" oder "V".
  67.              Es ist deshalb sinnvoll ihr Antivirusprogramm fuer den
  68.              privaten !!!! Gebrauch umzubenennen, sonst koennten Sie
  69.              meinen Ihr System sei sauber, da sich das Teil bei "v"
  70.              oder "V" aus dem Speicher entfernt.
  71.       Linkvorgang:
  72.            - mit LoadSeg und NewLoadSeg
  73.            - File noch nicht verseucht (Datum)
  74.              Wenn Sie also ein verseuchtes File kopieren und das File-
  75.              Datum nicht mitnehmen, kann es zu einer Mehrfachverseuchung
  76.              kommen.
  77.            - Medium validated
  78.            - 4 Block frei
  79.            - File ausfuehrbar ($3F3)
  80.            - CodeHunk wird gefunden ($3E9)
  81.            - File groesser #2120 Bytes
  82.            - File kleiner #282286 Bytes
  83.            - 1. Hunk kleiner $1fff x 4 = #32764 Bytes
  84.            - Gesucht wird im 1.Hunks in einem Bereich von
  85.              #32736 ($3ff0 x 2) nach bcc ($6v00wxyz), jsr xy ($4EBAwxyz)
  86.              oder jsr -xy(a6) ($4EAE wxyz)
  87.            - Dieses LW wird durch bsr Virus ($6100wxyz)
  88.              ersetzt.
  89.            - das Teil codiert sich immer neu mit $DFF007
  90.       Zerstoerung:
  91.              Falls der Wert $AA in D7 erreicht wird, soll eine
  92.              "Floppy-Musik" ausgeloest werden. Ihr Disklaufwerk wird
  93.              also durch Endanschlaege Schaden nehmen, wenn Sie nicht
  94.              schnell reagieren.
  95.  
  96.    - Maxsafe  Trojan
  97.          Verbogene Vektoren: keine
  98.          Nicht Resetfest
  99.          Archivname: MAXSAFE.LHA  13065 Bytes
  100.          Filename: maxsafe         5008 Bytes
  101.          nach readme:   
  102.         Max door control is a program I wrote about a year ago to help
  103.         me  sort out bugs in max, It uses the maxpacker.library and monitors
  104.         all functions called by max, It creates an out put text file
  105.         showing you any possible problems with any function 34 door.
  106.          Notwendige libs: hbasic2.lib, hisoftbasic.lib und maxpacker.lib
  107.          (die wird mitgeliefert und ist in Wirklichkeit eine pp.lib)
  108.          Ohne diese Libs Abbruch ohne Schadensfunktion.
  109.          Ablauf:
  110.          In Ram: werden vier Files erzeugt:
  111.            runit            9012 Bytes
  112.            runit.info        338 Bytes
  113.            YES                 1 Byte
  114.            YES.info          338 Bytes
  115.           Hinweis: runit ist in Wirklichkeit ein Nutzprg. (ReadRDB v05.)
  116.                    und wird hier nur fuer eine Zerstoerungsfunktion miss-
  117.                    braucht.
  118.          Weiterhin wird s/startup-sequence geoeffnet.
  119.          Nach einigen Sekunden wird OHNE Reset ausgefuehrt:
  120.            execute ram:runit < ram:yes d scsi.device
  121.          Dies ist die eigentliche Schadensfunktion.
  122.          Der Inhalt der startup-sequence wird ab Block 0 in den Rigid-
  123.          Bereich der Unit 0 geschrieben. Der Rest des Rigid-Bereichs
  124.          wurde bei mir mit Nullen aufgefuellt.
  125.          Es sind nur UNIT 0 (1 keine Veraenderung) und nur Festplatten,
  126.          die mit scsi.device angesprochen werden, betroffen (also z.B.
  127.          keine Zerstoerung bei gvpscsi.device).
  128.          vorher:
  129.          pZyl 0 Bl      0  RDSK-Bl ChS: ok
  130.          00: 5244534b 00000040 334d4846 00000007 RDSK...@3MHF....
  131.          10: 00000200 00000012 ffffffff 00000001 ................
  132.          nachher:
  133.          pZyl 0 Bl      0
  134.          00: 0a3b2053 74617274 75702d53 65717565 .; Startup-Seque
  135.          10: 6e636520 666f7220 68617264 20647269 nce for hard dri
  136.          Hinweis: Vielleicht sollten Sie doch einmal darueber nachdenken,
  137.          den Rigid-Bereich Ihrer Festplatte mit VT/zeigeZyl/backup oder
  138.          einem anderen Tool auf eine DISK (nur da ist es sinnvoll) zu
  139.          sichern. Kopieren sie dann bitte auch den mount-Befehl und ein
  140.          mountfile auf diese Disk.
  141.  
  142.    - NEurOTiCDEatH-Virus  Typ 5  Linkvirus
  143.         Name NICHT nachvollziehbar, sondern uebernommen
  144.            Im decodierten LinkTeil ist zu lesen:  
  145.            8002ee58 32c04e75 00000002 00005b4d ...X2.Nu......[M
  146.            74675f33 415d0000 1bdf0000 00096100 tg_3A]........a.
  147.         Im Vergleich zu Typ 3 habe ich also keinen Neuro..-Text
  148.         gefunden
  149.         Fileverlaengerung: groesser #6000 Bytes und kleiner #8000 Bytes
  150.             (so war es bei meinen Tests)
  151.         Nicht Resetfest
  152.         Processor besser als 68000
  153.         Nicht alle Kickstart-Versionen
  154.         Verbogene Vektoren: LoadSeg NewLoadSeg DoIo
  155.         Das Virusteil soll ab 28. Dez. 96 aktiviert werden.
  156.         Speicherverankerung:
  157.            - Test ob schon im Speicher z.B. DebugData
  158.            - Test ob Antivirusprg.e aktiv  (z.B Xtruder)
  159.            - Loadseg NewLoadSeg und DoIo werden verbogen
  160.            - Testet spaeter geladene Filenamen auf "v" oder "V".
  161.         Linkvorgang:
  162.            - Mit LoadSeg und NewLoadSeg
  163.            - Medium validated
  164.            - File ausfuehrbar ($3F3)
  165.            - CodeHunk wird gefunden ($3E9)
  166.            - Ueberlaeuft $3F1-Hunks
  167.            - Filelaenge groesser #32768
  168.            - File kleiner #286720
  169.            - Gesucht wird im 1.Hunks nach bcc ($6v00wxyz),
  170.              jsr xy ($4EBAwxyz) oder jsr -xy(a6) ($4EAEwxyz)
  171.            - Dieses LW wird durch bsr Virus ($6100wxyz) ersetzt
  172.            - das Teil codiert sich immer neu mit $DFF007
  173.         Meldung:
  174.            - KEINE
  175.         Zerstoerung:
  176.            - Mit DoIo Speichermuell schreiben
  177.            - zerstoere Zufalls-Block in Abhaengigkeit von $DFF006
  178.            - Zufallsblock immer groesser #63 ($7E00)
  179.            - VT kann  so einen Block NICHT erkennen
  180.            - Dieser Block ist NICHT zu retten
  181.         VT versucht die Vektoren im Speicher zurueckzusetzen.
  182.         Falls es zu Fehlerkennungen am File kommt, schicken Sie mir
  183.         bitte solche Files.
  184.  
  185.    - Sepultura-BB-Virus    Bootblock
  186.          Verbogene Vektoren: Cool, DoIo, Forbid, DisplayAlert
  187.          Fordert trackdisk.device NICHT
  188.          Decodiert ist im BB zu lesen:
  189.            732e6c69 62726172 79000054 68652053 s.library..The S
  190.            6570756c 74757261 2d566972 75732120 epultura-Virus!
  191.            6d616465 20627920 4d617820 6f662053 made by Max of S
  192.            7461724c 69676874 2032342f 332f3933 tarLight 24/3/93
  193.            003e436f 70696573 3a303031 3c0048e7 .>Copies:001<.H.
  194.          Der BB wird immer neu in Abhaengigkeit von $DFF00A codiert.
  195.          Schaden:
  196.          Sobald eine Zaehlzelle den Wert $F erreicht hat, wird
  197.          ein Text (s.o.) in Block 880 geschrieben. Bei einer Disk
  198.          ist das der Rootblock (bei einer Festplatte kann es ein
  199.          Fileblock sein). Die Disk ist danach unbrauchbar.  
  200.           Block 880 vorher             Block 880 zerstoert
  201.       00: 00000002 00000000 ........ : 54686520 53657075 The Sepu
  202.       08: 00000000 00000048 .......H : 6c747572 612d5669 ltura-Vi
  203.       10: 00000000 00000000 ........ : 72757321 206d6164 rus! mad
  204.       18: 00000000 00000000 ........ : 65206279 204d6178 e by Max
  205.       20: 00000000 00000000 ........ : 206f6620 53746172  of Star
  206.       28: 00000037 00000000 ...7.... : 4c696768 74203234 Light 24
  207.       30: 00000000 00000000 ........ : 2f332f39 33004b09 /3/93.K.
  208.  
  209.  
  210.    - WAWE-Trojan
  211.          Ueberschreibt user.data
  212.          Keine verbogenen Vektoren
  213.          Wurde mit der HunkLab-Methode (s.o.) an MACK angehaengt.
  214.          Im File ist zu lesen:
  215.            00000003 57415745 22390000 00984eae ....WAWE"9....N.
  216.            ffdc224e 2c790000 00044eae fe62203c .."N,y....N..b <
  217.            00000000 4e754e75 00000000 75736572 ....NuNu....user
  218.            2e646174 6100646f 732e6c69 62726172 .data.dos.librar
  219.          Das Wort "WAWE" ergibt sich zufaellig durch zwei Befehle.
  220.          Zerstoerung:
  221.          Es wird nach user.data gesucht und dieses File dann mit
  222.          Speichermuell (Lage abhaengig von $DFF006) ueberschrieben.
  223.          Das File ist NICHT zu erkennen und kann auch NICHT gerettet
  224.          werden.
  225.          VT bietet Ausbau an und es sollte ein lauffaehiges MACK-
  226.          File uebrig bleiben.
  227.  
  228.  
  229.  
  230.