home *** CD-ROM | disk | FTP | other *** search
/ Amiga Plus 1995 #3 & #4 / Amiga Plus CD - 1995 - No. 3 and 4.iso / pd / anti-virus / vib / virus / g / glasnost < prev    next >
Text File  |  1995-07-20  |  3KB  |  79 lines
  1.      Name         : Glasnost
  2.  
  3.      Aliases      : No Aliases
  4.  
  5.      Type/Size    : Boot/2048
  6.  
  7.      Clones       : No Clones
  8.  
  9.      Symptoms     : No Symptoms
  10.  
  11.      Discovered   : 23-06-92
  12.  
  13.      Way to infect: Boot infection
  14.  
  15.      Rating       : Dangerous
  16.  
  17.      Kickstarts   : 1.2/1.3/2.0
  18.  
  19.      Damage       : Overwrites boot + block 2 & 3.
  20.  
  21.      Removal      : Install boot.
  22.  
  23.      Comments     : If  you  are booting with a Glasnost-infected disk the
  24.                     virus  copies  itself  to $7F000 and changes the KICK-
  25.                     Vectors  to stay resident. On the next reset the virus
  26.                     patches the DoIO()-Vector to infect other disks.
  27.  
  28.  
  29.                     Now imagine you are inserting an unprotected disk with
  30.                     e.g.  the  X-Copy  Bootblock.  Now, the virus does the
  31.                     following:
  32.  
  33.                     1) Check for Write-Protection
  34.  
  35.                     2) Not protected: loads the bootblock form the current
  36.                        disk (X-Copy-Boot).
  37.  
  38.                     3) Saves  44  bytes  from  the  original-bb in the own
  39.                        viruscode  and  insert in this place a virus-loader
  40.                        routine.
  41.  
  42.                     4) The virus saves 2048 bytes. (Virus+OrgBB)
  43.  
  44.  
  45.                     Block  2,3  are now DAMAGED !! NO salvage possible. If
  46.                     you  are now booting with the infected disk the virus-
  47.                     loader  routine copies the virus from the block 2,3 in
  48.                     $7F000  and  jumpes at $7F000.  Then the virus inserts
  49.                     the  original code of the BB and executes it.
  50.  
  51.  
  52.                     Additionally  the  virus  installs  a new patch in the
  53.                     ZERO-PAGE  ($6C)  and  will  damages  a block on every
  54.                     infection:
  55.  
  56.                     First,  the  virus caclulates a block with the $DFF006
  57.                     register.   In   this  block  the  virus  inserts  the
  58.                     following longwords from $100:
  59.  
  60.  
  61.                     $11111111; $22222222; $44444444; $88888888
  62.  
  63.  
  64.  
  65.                     The  ZERO-PAGE (see above) routine does the following:
  66.  
  67.                     1) Checks  if  a value  reaches 45000 if this was true
  68.                        the virus blockades the system.
  69.  
  70.                     2) If  the  value  becomes  60000 the virus shows some
  71.                        colors on the screen and make an endless loop. (You
  72.                        need a reset to escape from this routine!!)
  73.  
  74.                     In block 3 you can read:
  75.  
  76.                     "Glasnost VIRUS by Gorba!! First release"
  77.  
  78. A.D 05-94
  79.