home *** CD-ROM | disk | FTP | other *** search
/ Amiga Plus 1995 #3 & #4 / Amiga Plus CD - 1995 - No. 3 and 4.iso / pd / anti-virus / vib / virus / o / overkill < prev   
Text File  |  1995-07-20  |  3KB  |  68 lines
  1.      Name         : Overkill
  2.  
  3.      Aliases      : No Aliases
  4.  
  5.      Type/Size    : Boot/2048
  6.  
  7.      Clones       : No Clones 
  8.  
  9.      Symptoms     : No Symptoms
  10.  
  11.      Discovered   : 23-10-92
  12.  
  13.      Way to infect: Boot infection
  14.  
  15.      Rating       : Dangerous
  16.  
  17.      Kickstarts   : 1.2/1.3/2.0
  18.  
  19.      Damage       : Overwrites boot, block 2,3, DAMAGES blocks on disk
  20.  
  21.      Removal      : Install boot.
  22.  
  23.      Comments     : The Overkill-Virus works like the Digital Dream
  24.                     virus. It saves the virus and the original boot by
  25.                     writing 2048 bytes (block 0,1,2,3). Unfortunately
  26.                     block 2,3 will be DAMAGED (No cure, sorry). So the
  27.                     virus always executes the original boot, too, even
  28.                     if the disk is infected. If you are booting with an
  29.                     infected disk the virus does the following:
  30.  
  31.                    1) Copies a part of the virus to $7F700 and the
  32.                       crypted virus bootblock to $7FB00.
  33.  
  34.                    2) After that the virus loads the original bootblock
  35.                       (which is uncrypted) and executes it.
  36.  
  37.                    3) After execution the virus changes the kick and the
  38.                       cool-vector to stay resident in memory.
  39.  
  40.                    4) Furthermore this vectors will be patched, too:
  41.                       DoIO(), KickChkSum().
  42.  
  43.                     The KickChkSum-Patch sets the coolcapture-vector 
  44.                     always to the virusvalue.
  45.  
  46.                     The DoIO()-Vector is used to infect other disks.
  47.                     NOW, imagine you are inserting an unprotected, clean
  48.                     disk:
  49.  
  50.                    1) The virus FIRST executes a damage-routine.
  51.                       - with the help of the $DFF006-Register a block
  52.                         will be calculated.
  53.                       - the virus damages this block by writing 2048
  54.                         bytes from $7F700 (!!!!!!)
  55.                       - That means, the calculated block AND THE BLOCK
  56.                         BEHIND WILL BE DAMAGED --> No salvage possible.
  57.                       - In such damaged blocks you can read:
  58.  
  59.                           "Overkill by the ENEMY!"
  60.  
  61.                    1) After that the virus loads the bootblock 
  62.                       (original BB) from the disk at address $7F000. Now,
  63.                       the virus checks if the disk is already infected.
  64.  
  65.                    2) Now the virus writes 2048 bytes (virus+org. BB)
  66.  
  67. A.D 08-94
  68.