home *** CD-ROM | disk | FTP | other *** search
/ Compu-Fix / Compu-Fix.iso / pubnews / vir04001.txt < prev    next >
Text File  |  1993-03-01  |  18KB  |  445 lines
  1.  
  2.  
  3.           VIRUS-L Digest   Wednesday,  2 Jan 1991    Volume 4 : Issue 1
  4.  ******************************************************************************
  5.  
  6.  
  7. Today's Topics:
  8.  
  9. EXE file compression with LZEXE and PKLITE (PC)
  10. Macvirus index? (Mac)
  11. Disk Utilities (PC)
  12. Re: Virus Protection (PC)
  13. more about the conference in Hamburg
  14. ZeroHunt Virus (PC)
  15. Re: Viruses for the holidays & admin note
  16. please stop the requests
  17. Re: (1) GAO Report on Computer Security
  18. Zmodem infected with Violator (PC)
  19. UK Computer Crime Unit
  20. MIBSRV downtime
  21. WP viri and bugs (PC)
  22. Unix and Mainframe Viruses
  23. New virus (PC)
  24.  
  25. VIRUS-L is a moderated, digested mail forum for discussing computer
  26. virus issues; comp.virus is a non-digested Usenet counterpart.
  27. Discussions are not limited to any one hardware/software platform -
  28. diversity is welcomed.  Contributions should be relevant, concise,
  29. polite, etc.  Please sign submissions with your real name.  Send
  30. contributions to VIRUS-L@IBM1.CC.LEHIGH.EDU (that's equivalent to
  31. VIRUS-L at LEHIIBM1 for you BITNET folks).  Information on accessing
  32. anti-virus, documentation, and back-issue archives is distributed
  33. periodically on the list.  Administrative mail (comments, suggestions,
  34. and so forth) should be sent to me at: krvw@CERT.SEI.CMU.EDU.
  35.  
  36.    Ken van Wyk
  37.  
  38. ---------------------------------------------------------------------------
  39.  
  40. Date:    20 Dec 90 14:22:50 +0000
  41. From:    Mark Scase <coa44@seq1.keele.ac.uk>
  42. Subject: EXE file compression with LZEXE and PKLITE (PC)
  43.  
  44. There has been recent discussion about the use of the EXE compression
  45. program LZEXE and the possibility that viruses could hide within EXE
  46. files that are subsequently LZEXEed.  Now some virus scanners can look
  47. within these compressed files to see if something nasty is hiding.
  48.  
  49. I have recently discovered the shareware program PKLITE by PKWARE that
  50. appears to do much the same thing functionally as LZEXE.  Does this
  51. mean now that virus scanners should include a feature to look inside
  52. PKLITEed files?
  53.  
  54. - --
  55. Mark Scase,                 |    JANET: coa44@uk.ac.keele
  56. Dept of Communication,      |   BITNET: coa44%keele.ac.uk@ukacrl
  57. University of Keele, Keele, | Internet: coa44%keele.ac.uk@nsfnet-relay.ac.uk
  58. Staffordshire, ST5 5BG, UK. |    Other: coa44@keele.ac.uk
  59. (Phone: +44 782 621111)     |     UUCP: ..!ukc!keele!coa44
  60.  
  61. ------------------------------
  62.  
  63. Date:    Thu, 20 Dec 90 11:58:36 -0800
  64. From:    rrk@planets.risc.com (Richard Killion)
  65. Subject: Macvirus index? (Mac)
  66.  
  67. Does anyone know where I could down load  the macvirus index.
  68. I have heard it is in the form of a self extracting archive and
  69. that it might be in an ftp site with ".fi" somewhere in its name.
  70.  
  71. Thank you.
  72.  
  73. ------------------------------
  74.  
  75. Date:    Thu, 20 Dec 90 15:14:00 -0400
  76. From:    Bill Thater <THATERW@SNYSYRV1.BITNET>
  77. Subject: Disk Utilities (PC)
  78.  
  79.         Can anybody recommend a PD/Shareware Disk Utility package
  80. (read "not too expensive 'cuase I gotta buy it myself") that will
  81. allow me to read/modify the boot sectors, FATs, et all on floppies and
  82. hard disks? I will need it to work on all types of disks. Please reply
  83. direct to me at the address below (note: Please try to use the Bitnet
  84. address, our mailer doesn't always let me get Internet mail :) ) and
  85. I'll sumerize to the list if I get any answers.
  86.         Thank you all for your time and effort.
  87.                                      Bill
  88. *******************************************************************************
  89.                                  Bill Thater
  90.                              Centro Parking Inc.
  91.                             Voice: (315) 464-4539
  92.                        E-mail: THATERW@SNYSRYV1.BITNET
  93.                                THATERW@VAX.CS.SUNYHSCSYR.EDU
  94.                                THATERW@139.127.2.1
  95. *******************************************************************************
  96.  
  97. ------------------------------
  98.  
  99. Date:    Thu, 20 Dec 90 22:06:33 -0800
  100. From:    sulistio@sutro.SFSU.EDU (Sulistio Muljadi)
  101. Subject: Re: Virus Protection (PC)
  102.  
  103. Michael_Kessler.Hum@mailgate.sfsu.edu wrote in VIRUS-L volume 205:
  104. > Subject: Virus protection (PC)
  105. >
  106. > [stuff deleted]...
  107. > The one
  108. > negative comment about F-Prot is that the updates appear to be less
  109. > frequent than one might wish.
  110.  
  111.   One other negative comment about F-Prot is:
  112.  
  113. F-driver.sys does not check drive A for any possible boot sector virus
  114. when we warm boot the machine.  The V-Shield does check drive A for
  115. any possible boot sector virus and will denied the warm boot if there
  116. is any boot sector virus in the floppy drive A.  Hopefully frisk will
  117. implement this for his next version of F-PROT.  It is a great program.
  118.  
  119. - --
  120.          /\             Merry Christmas
  121.         /* \
  122.        /  * \                    and
  123.       / *    \
  124.      /      * \                Happy New Year
  125.     / *    *   \
  126.     ^^^^^^^^^^^^            sulistio@futon.sfsu.edu
  127.         |||                 sulistio@sutro.sfsu.edu
  128.         |||                 sulistio@sfsuvax1.sfsu.edu
  129.         |||                 UUCP mail : mul@wet.UUCP
  130. ^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^*^
  131.  
  132. ------------------------------
  133.  
  134. Date:    Fri, 21 Dec 90 11:00:10 +0000
  135. From:    frisk@rhi.hi.is (Fridrik Skulason)
  136. Subject: more about the conference in Hamburg
  137.  
  138. I was asked who organized the Hamburg conference, and the answer is
  139.  
  140.         perComp-Verlag Gmbh        percomp@infohh.rmi.de
  141.         Viren-Service Hamburg
  142.  
  143. I am posting the reply here, both because the address
  144.  
  145.             ozonebbs!aryehg@apple.com (Aryeh Goretsky)
  146.  
  147. does not work and beacuse more people might be interested...
  148.  
  149. - -frisk
  150.  
  151. ------------------------------
  152.  
  153. Date:    21 Dec 90 13:29:09 +0000
  154. From:    patel@mwunix.mitre.org (Anup C. Patel)
  155. Subject: ZeroHunt Virus (PC)
  156.  
  157. After recently downloading McAfee's VIRUSCAN files, I noticed a
  158. reference to the ZeroHunt virus.  Accoring to the DOC file, this virus
  159. was reported by someone in the Washington, D.C. area.
  160.  
  161. Can anyone tell me exactly where it was reported, and by whom?  Also,
  162. are there other ZeroHunt infections around the country?
  163.  
  164. Thanks for any information you can provide me.
  165.  
  166. Anup Patel
  167. The MITRE Corporation
  168. patel@mwunix.mitre.org
  169.  
  170. ------------------------------
  171.  
  172. Date:    Fri, 21 Dec 90 06:58:26 -0800
  173. From:    malloy@nprdc.navy.mil (Sean Malloy)
  174. Subject: Re: Viruses for the holidays & admin note
  175.  
  176. <krvw@cert.sei.cmu.edu> writes:
  177. >While shopping for holiday gifts for my nephews and niece, I found a
  178. >toy called Virus Warriors (I could be wrong on the exact name, but
  179. >that's the gist of it).  I'm not making this up!  The box said
  180. >something to the extent of, "A top secret government lab has
  181. >accidentally released evil computer viruses.  Their goal is to take
  182. >over all the world's computers...even YOURS!"  The toy was this
  183. >sinister looking doll with "computer circuitry" on its back.  Again,
  184. >I'M NOT MAKING THIS UP!
  185.  
  186. I saw them last weekend when I was out Christmas shopping. My first
  187. response was "Some people will sink to _any_ depth to make a buck"; my
  188. second response was "Why didn't _I_ think of that?"
  189.  
  190.  Sean Malloy                                  | I don't blame Congress. If I
  191.  Navy Personnel Research & Development Center | had $600 billion at my
  192.  San Diego, CA 92152-6800                     | disposal, I'd be irresponsible,
  193.  malloy@nprdc.navy.mil                        | too.
  194.  
  195. ------------------------------
  196.  
  197. Date:    Fri, 21 Dec 90 10:53:34 -0500
  198. From:    OU75000 <OU75@PACE.BITNET>
  199. Subject: please stop the requests
  200.  
  201. hello all:
  202.      when i sent that message to you guys asking for help i happened
  203. to mention that i collect strains of different virii for research.  i
  204. was not making an advertisement.
  205.      please stop sending me requests to give out samples.  i have no
  206. intention of doing this because (no offense) i do not want to be a
  207. part of someone spreading any more mischief!  i have no way of knowing
  208. who any of you are - not that i am pointing fingers - and its unfair
  209. to be asking me for such sensitive things as virus code.
  210.      thank you and i hope i haven't offended you...
  211.  
  212. - -chris
  213.  
  214. ------------------------------
  215.  
  216. Date:    21 Dec 90 16:11:37 +0000
  217. From:    dittrich@milton.u.washington.edu (Dave Dittrich)
  218. Subject: Re: (1) GAO Report on Computer Security
  219.  
  220. Kenneth R. van Wyk <krvw@cert.sei.cmu.edu> recently informed me that the GAO
  221. report to which I referred in <0008.9012141904.AA27940@ubu.cert.sei.cmu.edu>
  222. already exists on one of CERT's computers.  The machine is cert.sei.cmu.edu
  223. (128.237.253.5) and the file name is pub/virus-l/docs/gao_rpt.  Anyone
  224. interested in an electronic copy may get it from there by anonymous ftp.
  225.  
  226. The part about confirmation of receipt of the report is explained in the
  227. following excerpt from above file:
  228.  
  229.    **************************************************************
  230.    *   This is the first GAO report to be made available over   *
  231.    *   the Internet.  GAO wants to know how many people         *
  232.    *   acquire the report this way.  If you are reading this,   *
  233.    *   please send mail to me <swolff@nsf.gov> and I'll keep    *
  234.    *   count for them.  Your name will not be saved or used.    *
  235.    **************************************************************
  236.  
  237. Would those of you who received the report from me via email (or who
  238. got a copy from someone who did) please email to swolff@nsf.gov.  I
  239. want to encourage the government to do more of this kind of thing.
  240.  
  241. P.S. Thanks again Ken :-)
  242. - --
  243. Dave Dittrich
  244. Dept. of Chemistry BG-10, University of Washington, Seattle, WA 98195
  245. dittrich@u.washington.edu     ...!uw-beaver!u.washington.edu!dittrich
  246. "Teachers are the only profession that teach our children."  Dan Quayle
  247.  
  248. ------------------------------
  249.  
  250. Date:    Sat, 22 Dec 90 00:25:51 -0800
  251. From:    ozonebbs!aryehg@apple.com (Aryeh Goretsky)
  252. Subject: Zmodem infected with Violator (PC)
  253.  
  254. 1.  Christmas Violator Virus (PC)
  255. 2.  New BBS line
  256. - ----------
  257.  
  258. CHRISTMAS VIOLATOR VIRUS
  259.  
  260. There has been a hacked version of Omen Technology's DSZ ZMODEM External
  261. File Protocol Module called DSZ1203.ZIP.  The DSZ file inside is infected
  262. with a new variant of the Violator virus known as the Christmas Violator
  263. or Violator-B4 virus.  The virus contains a an ASCII message from a group
  264. called RABID and contains a Christmas Greeting.  It is not known what else
  265. the virus does.
  266.  
  267. The following search string can be used by VIRUSCAN with the /EXT switch
  268. to check for the virus:
  269.  
  270.      "51 ba ? ? fc 8b f2 81 c6 9b 11 bf 00 01 b9 03 00" Christmas Violator
  271.  
  272. If you find this virus on your system, run VIRUSCAN with the /D option to
  273. delete the infected files.
  274.  
  275. - ----------
  276.  
  277. NEW BBS LINE
  278.  
  279. A new bbs line has been added to Homebase BBS at (408) 988-5190.  This line
  280. has a US Robotics Courier 9600 Dual Standard providing a 9600bps connection
  281. using v.32 and MNP-5.  Hopefully, this will make getting the software easier
  282. for International Long Distance callers.
  283.  
  284.  
  285. Regards,
  286.  
  287. Aryeh Goretsky
  288. _____
  289.  
  290.      +----------------------------------------------------------------+
  291.      |  Aryeh Goretsky, Tech Support               vox (408) 988-3832 |
  292.      |  McAfee Associates                          fax (408) 970-9727 |
  293.      |  4423 Cheeney Street                        bbs (408) 988-4004 |
  294.      |  Santa Clara, California  95054-0253                        // |
  295.      |  Internet:  aryehg_ozonebbs.uucp!apple.com                 //  |
  296.      |  UUCP:  apple!netcom!nusjecs!ozonebbs!aryehg             \X/   |
  297.      | "Opinions expressed are my own and do not neccessarily reflect |
  298.      |  those of my employer."--universal disclaimer applied herein.  |
  299.      +----------------------------------------------------------------+
  300.  
  301.  
  302.  
  303. Aryeh Goretsky
  304. _____
  305.  
  306.      +----------------------------------------------------------------+
  307.      |  Aryeh Goretsky, Tech Support               vox (408) 988-3832 |
  308.      |  McAfee Associates                          fax (408) 970-9727 |
  309.      |  4423 Cheeney Street                        bbs (408) 988-4004 |
  310.      |  Santa Clara, California  95054-0253                        // |
  311.      |  Internet:  aryehg@ozonebbs.uucp                           //  |
  312.      |  UUCP:  apple!netcom!nusjecs!ozonebbs!aryehg             \X/   |
  313.      | "Opinions expressed are my own and do not neccessarily reflect |
  314.      |  those of my employer."--universal disclaimer applied herein.  |
  315.      +----------------------------------------------------------------+
  316.  
  317. ------------------------------
  318.  
  319. Date:    Wed, 19 Dec 90 09:57:24 +0000
  320. From:    Anthony Appleyard <XPUM04@prime-a.central-services.umist.ac.uk>
  321. Subject: UK Computer Crime Unit
  322.  
  323. I received this message from 'pandy <pandy@fi.hut.superman>':-
  324.  
  325. "The UK Computer Crime Unit hasn't got an email-address, nor do they
  326. read these UUCP-news. Pandy
  327.  
  328. ******************
  329. pandy@spiff.hut.fi"
  330.  
  331. If they aren't in contact with the computing world, how  can  they  operate
  332. effectively?  If  they  can't  email,  and have to rely on GPO mail and the
  333. phone and personal visits, and can't get email circulars, they are going to
  334. be way behind developments. Can't they afford a microcomputer and a  modem?
  335. from {A.Appleyard} (email: APPLEYARD@UK.AC.UMIST), Wed, 19 Dec 90 09:46:20 GMT
  336.  
  337. ------------------------------
  338.  
  339. Date:    Sat, 22 Dec 90 00:11:19 -0600
  340. From:    James Ford <JFORD@UA1VM.BITNET>
  341. Subject: MIBSRV downtime
  342.  
  343. MIBSRV (130.160.20.80) has had a hard disk crash.  Lucky for me, it was
  344. just the disk with the operating system and user home directories. :-(
  345. I will post another message when the server gets restored.......(sigh)
  346. - ----------
  347. Each day the world turns over on someone who was just sitting on top of it.
  348. - ----------
  349. James Ford -  JFORD@UA1VM.UA.EDU, JFORD@MIBSRV.MIB.ENG.UA.EDU
  350.               THE University of Alabama (in Tuscaloosa, Alabama  USA)
  351.  
  352. ------------------------------
  353.  
  354. Date:    Sat, 22 Dec 90 12:55:39 -0800
  355. From:    p1@rlyeh.wimsey.bc.ca (Rob Slade)
  356. Subject: WP viri and bugs (PC)
  357.  
  358. GOODWIN@SMCVAX.BITNET (Dave Goodwin) writes:
  359.  
  360. > I have seen several mentions of possible virii on WordPerfect.  Let me
  361. > add my two cents...
  362.  
  363. Oh, how true.
  364.  
  365. I remember a submission some time back that asked about files which,
  366. regardless of document length, only stored a few bytes of garbage.  I
  367. recently had that happen, and I'm sure it's just a bug.
  368.  
  369. The problem I encountered was that Word Perfect version 5.0, when
  370. saving to 4.2 format (one of the options under <ctrl>F5) will save an
  371. eight byte file *and erase the previous version, not just rename the
  372. file* if the "backup" options are turned on.
  373.  
  374. Let me say that, while Word Perfect is *still* currently my editor
  375. (and disk manager:) of choice, the discovery of this bug lost me four
  376. daus work on the reviews of FPROT and Anti-Virus Plus. :(
  377.  
  378. ------------------------------
  379.  
  380. Date:    23 Dec 90 11:03:55 -0500
  381. From:    "Robert McClenon" <76476.337@CompuServe.COM>
  382. Subject: Unix and Mainframe Viruses
  383.  
  384.         A point seems to be being overlooked in the recent discussion
  385. of the vulnerability of Unix to viruses.  It was overlooked in the
  386. past discussions of the vulnerability of mainframes to viruses.
  387.  
  388.         It isn't necessary for a virus to infect or subvert the
  389. operating system to cause damage.  A Unix virus only needs to
  390. infect applications to which the user has the Write privilege.  A
  391. VM virus only needs to infect applications on the user's read-write
  392. minidisks.
  393.  
  394.         It is true that most MS-DOS and Macintosh viruses subvert the
  395. operating system or operating system software somehow: the System
  396. file, the boot sector, the Desktop, COMMAND.COM.  But that is not an
  397. essential characteristic of viruses or the virus threat.  The general
  398. threat is still present even if the threat to the operating system is
  399. absent.  And if there are vulnerabilities in various versions of Unix
  400. to a gradual escalation of the privileges of the virus code, as one
  401. correspondent said, the threat is greater.
  402.  
  403.                         Robert McClenon
  404.         (Neither my employer nor anyone else paid me to write this.)
  405.  
  406. ------------------------------
  407.  
  408. Date:    Fri, 21 Dec 90 22:33:35 +0200
  409. From:    public@alva.tut.fi (Public Domain PC-software)
  410. Subject: New virus (PC)
  411.  
  412. I've found a new virus on PC at the beginning of December, but it has
  413. been around here at least from the end of June. I've named that virus
  414. as 2480 virus, because its size is that.
  415. 2480 Virus spreads only (I think) if the year is set to 1988 or earlier.
  416. If it is later than 1988, infected files will occasionally display
  417. the logo of European Crackin' Crew (Does anyone know anything about that
  418. group??) when user executes an infected program.
  419. 2480 Virus adds 2480 bytes to the end of every .COM file it decides to
  420. infect. It doesn't infect files very quickly and it seems that infection
  421. happens only at the certain time. It will also change the last modification
  422. time to the time when infection happened but the files' dates remain
  423. unchanged. 2480 Virus is not memory resident and it can easily be noticed
  424. because the European Crackin' Crew's logo is at the end of every
  425. infected .COM file.
  426. This virus is not detected by the ViruScan V72, but I've sent a copy
  427. of it to Mr. John McAfee and Fridrik Skulason, so hopely the ViruScan V73
  428. and F-Prot 1.14 will find this virus :-)
  429.  
  430. Tapio Keihanen
  431. Mesiheinankatu 2 B 6
  432. 33340 Tampere
  433. Finland
  434.  
  435. PS. I'm sorry for my POOR English...
  436.  
  437. ------------------------------
  438.  
  439. End of VIRUS-L Digest [Volume 4 Issue 1]
  440. ****************************************
  441.  
  442.  
  443.  
  444.  
  445.