home *** CD-ROM | disk | FTP | other *** search
/ Amiga Plus 1995 #3 & #4 / Amiga Plus CD - 1995 - No. 3 and 4.iso / pd / anti-virus / vib / virus / i / irq 1 or 2 < prev   
Text File  |  1995-07-20  |  2KB  |  54 lines
  1.      Name         : IRQ 1 + 2
  2.  
  3.      Aliases      : No Aliases
  4.  
  5.      Clone        : No Clones
  6.  
  7.      Type/size    : Link/1060 
  8.  
  9.      Symptoms     : The actual window title will be changed.
  10.  
  11.      Discovered   : 19-10-92
  12.  
  13.      Way to infect: Link infection
  14.  
  15.      Rating       : Less Dangerous
  16.  
  17.      Kickstarts   : 1.2/1.3
  18.  
  19.      Damage       : Files can be defective (after infection). 
  20.  
  21.      Removal      : Use a good Viruskiller or delete file. 
  22.  
  23.      Comments     : The IRQ-Virus uses the Kick-Vectors to stay 
  24.                     resident in memory. If you are starting a
  25.                     infected programm, the virus decodes a text
  26.                     and the string "dos.library.s:/startup-sequence"
  27.                     with a simple eor-loop:
  28.  
  29.                     A infected program will be increased by 1060 
  30.                     bytes. The virus patches the OldOpenLibrary-Vector
  31.                     from the exec.library.
  32.  
  33.                     When you are booting with an unprotected disk, the
  34.                     virus tries to open the actual startup-sequence.
  35.                     If it exists, the virus infects the first file in
  36.                     the startup-seq.
  37.  
  38.                     Sometimes (depending of $dff005) the virus change
  39.                     the title of to actual window in:
  40.  
  41.                     "AmigaDOS presents: a new virus by the IRQ-TeamV41.0"
  42.  
  43.                     A file can`t be infected two times because the virus
  44.                     searches for a hex-code:
  45.  
  46.                     CMP.L      #FFFE6100,$1E(A4,D6.L)
  47.  
  48.                     It exists another IRQ-variant (=IRQ2) which infects 
  49.                     the first file in the startup-sequence till the 
  50.                     current disk is full !!
  51.                     That means no check for infected files.
  52.  
  53. A.D 02-94
  54.