home *** CD-ROM | disk | FTP | other *** search
/ Fresh Fish 5 / FreshFish_July-August1994.bin / bbs / util / vt-2.65.lha / VT-2.65 / VT.Dokumente / VT.kennt_A-K < prev    next >
Encoding:
Text File  |  1994-06-19  |  238.6 KB  |  4,997 lines
  1.  
  2.     *************************************************************
  3.     *                                                           *
  4.     *  In eigener Sache:                                        *
  5.     *  Ich, Heiner Schneegold, habe als Programmierer von VT    *
  6.     *  NIE irgendwelche Rechte am Programm oder an den Texten   *
  7.     *  aufgegeben.                                              *
  8.     *  Deshalb lege ich fest:                                   *
  9.     *  VT und/oder VT-Texte duerfen weder ganz noch teilweise   *
  10.     *  auf einer SHI-SUPERKILLER-Disk oder einer anderen von    *
  11.     *  SHI herausgegebenen Disk veroeffentlicht werden.         *
  12.     *  Begruendung:                                             *
  13.     *  Trotz mehrmaliger Bitten um Abhilfe hat die Leitung von  *
  14.     *  SHI Icons ("kranker Computer") von VT abgeaendert, Pro-  *
  15.     *  grammteile und/oder Texte weggelassen. Dies entspricht   *
  16.     *  weder meinen Vorstellungen noch dem Freeware-Gedanken.   *
  17.     *  Eibelstadt, 17.12.93                                     *
  18.     *  Heiner Schneegold                                        *
  19.     *                                                           *
  20.     *************************************************************
  21.  
  22.  
  23.    VT2.65 kennt_A-K:
  24.    =================
  25.                   (oder sollte erkennen)
  26.  
  27.    Stand: 18.06.94
  28.  
  29.    - bitte lesen Sie zuerst VT.LiesMich. Danke !
  30.  
  31.    - Serienersteller und PD-Haendler sollten vorher Kontakt mit mir
  32.      aufnehmen !!!
  33.  
  34.  
  35.    Heiner Schneegold
  36.    Am Steinert 8
  37.    97246 Eibelstadt
  38.    Deutschland
  39.    Tel. 09303/8369     (nur 19.00 - 20.00 Uhr)
  40.  
  41.  
  42.    Hinweis 15.05.94:
  43.      Viele BB-Viren nehmen KEINE Ruecksicht auf das FileSystem. Also auch
  44.      auf eine Disk mit FFS-Struktur (DOS1/3/5) wird ein DOS0-BB-Virus
  45.      geschrieben. Beim Filetest mit VT wuerden dann nur bad.Data ange-
  46.      zeigt. Dies sollten Sie als Hinweis nehmen, den Versuch mit einem
  47.      FFS-BB zu wiederholen. ABER viel schlimmer. Falls Sie bei einer
  48.      Disk mit falschem DOS-BB einen Schreibzugriff versuchen, muessen Sie
  49.      damit rechnen, das die Disk-Struktur zerstoert wird !!!! Versuchen
  50.      Sie nach diesem Fall einen FFS-BB zu installieren und fuehren Sie
  51.      dann den Filetest noch einmal durch. Wenn nicht zu viele Files
  52.      defekt sind, koennen Sie auch mit Disksalv einen Rettungsversuch
  53.      unternehmen.
  54.  
  55.    Hinweis 10.05.94:
  56.      Fordert trackdisk.device NICHT
  57.      Das Virusteil greift auf das Device zu, das im Moment durch DoIo
  58.      (Read, Write usw.) aktiv ist. Das kann auch ein Festplatten.device
  59.      (scsi.device, gvpiscsi.device usw.) sein. Es wuerde also der
  60.      Rigid.BB der HD zerstoert. Nach dem naechsten Reset koennte dann
  61.      von dieser Festplatte nicht mehr gestartet werden. Keine schlechte
  62.      Idee waere es, Zylinder 0 der HD mit VT in zeige Zyl. herauszusichern,
  63.      der sich mit LW-info einen Ausdruck vom Aufbau der HD zu beschaffen.
  64.      Dann waere es im Fall eines Falles mit der HD-ToolBox von Commodore
  65.      moeglich, die HD neu aufzubauen, wenn nur der Rigid-Bereich vom
  66.      Virus-Teil zerstoert worden ist.
  67.  
  68.    Hinweis 26.07.93: Sollte beim Test HARDLink oder SOFTLink auftauchen,
  69.      so handelt es sich weder um einen Virenbefall noch um einen Cruncher,
  70.      sondern um den Hinweis auf eine Routine des Betriebssystems. Nachzu-
  71.      lesen bei VT2.xyd am Ende von FileTest.
  72.  
  73.    Hinweis 10.10.93: Bei aelteren BBen kann es vorkommen, dass VT "unbe-
  74.      kanntes Programm", "Resstruc ungerade", "Resstruc leer" ausgibt.
  75.      Dies ist KEIN Fehler von VT, sondern liegt daran, dass der Speicher
  76.      fuer das Virusteil NICHT mit allocmem als belegt gekennzeichnet
  77.      wird bei der Installierung im Speicher. Manche BB sind wenigstens
  78.      noch soweit, dass sie nach einem RESET den Speicher anmelden.
  79.      Bei 1MB ist nun die Gefahr gross, das ein Programm z.B. VT
  80.      das Virusteil ueberschreibt. Eine Vermehrung ist dann natuerlich
  81.      auch nicht mehr moeglich. ABER !!!!  Der KickTag-Zeiger, Cool-Zeiger
  82.      oder Cold-Zeiger bleibt ja verbogen (geschuetzt in ExecBase).
  83.      Also ueberprueft VT die Vektoren, findet nichts passendes dazu und
  84.      gibt deshalb obengenannte Warnungen aus. Die gleichen Viren (z.B.
  85.      SCA ) werden mit 5MB Speicher SICHER erkannt im Speicher. Im BB
  86.      MUSS VT diese Viren IMMER finden, da es hier kein Speicherproblem
  87.      gibt. Im schlimmsten Fall kann es mit nur 1MB CHIP und KEIN Fastmem
  88.      zum GURU kommen, wenn das Virusteil seinen Speicher nicht anmeldet
  89.      und z.B. DoIo verbiegt. VT ueberschreibt dann schon beim Laden den
  90.      "Virusspeicherbereich", zerstoert den DoIo und dies fuehrt zu einem
  91.      GURU. Dies hat NICHTS mit VT zu tun, sondern kann mit anderen gros-
  92.      sen Programmen genauso nachvollzogen werden !!!!!
  93.  
  94.  
  95.     - bekannte Viren (die ich habe):
  96.       ==============================
  97.             Test auf mind. drei Langworte im Speicher
  98.             Kein FastMem heisst, dass das VirusPrg mit FastmemKarte bei
  99.             mir abstuerzt, koennte aber mit $C00000 oder einer anderen
  100.             FastMemKarte laufen ????
  101.  
  102.    - 3c(a7)-Link
  103.        Diese Variante ist im Dez. 93 aufgetaucht. Die Routine ist keine
  104.        Neuentwicklung, sondern wurde von Packern abgeschaut. Da sich VT
  105.        nicht sicher ist, bietet das Programm nur weiter an. Bei einigen
  106.        Programmen - die ich habe (Dotty-MAFIA-Inst.) -, bietet VT
  107.        loeschen an. Alle mir bekannten Links (Stand Jan 94) verwenden
  108.        im Programm absolute Speicheradressen, die normal nur auf wenigen
  109.        Rechnertypen vorhanden sind. Also nach meiner Meinung keine zu
  110.        grosse Gefahr.
  111.  
  112.    - 3E8-Hunk  3F0-Hunk  3F1-Hunk
  113.        WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG
  114.         99% der von VT erkannten Hunktypen werden NICHTS mit einem
  115.         Virus zu tun haben !!! Also bitte, die Aussage "3E8-Hunk=Virus"
  116.         ist MEIST FALSCH !!!
  117.        WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG
  118.         Die obengenannten Hunktypen sind fuer den Programmablauf nicht
  119.         notwendig. Ehrliche Programmierer verwenden diese Hunks, um z.B.
  120.         mit Kontrollstrukturen den sauberen Ablauf ihres eigenen Programms
  121.         auszutesten. Andere Programmierer legen in einen Hunktyp die
  122.         Versions-Nummer. Also alles in Ordnung.
  123.         Wieder andere Programmierer versuchen durch diese Hunktypen am
  124.         Fileanfang, einen Virus-Link zu verhindern, da die meisten Link-
  125.         Viren auf $3E9 geprueft haben. TUT MIR LEID. DIESE ZEITEN SIND
  126.         VORBEI. Neuere Viren koennen diese Hunktypen am Fileanfang ueber-
  127.         springen.
  128.         Einige Negativbeispiele:
  129.         Dark Avanger    3E8, 3F0, 3F1
  130.         BURN-Virus      3F1
  131.         MENEM'S REVENGE 3E8, 3F0, 3F1
  132.         usw.
  133.         ABER ABER ABER !!!
  134.         Es sind mindestens zwei Shareware-Programme bekannt, die auf
  135.         Mausklick VOR ein bestehendes Programm z.B. einen 3E8-Hunk haengen.
  136.         Dies nutzen nun seit Dez. 93 einige weniger nette Zeitgenossen
  137.         aus, um ihr Virusteil zu verstecken. Da die Filestruktur veraendert
  138.         wird, kann es Probleme fuer Antivirusprg.e geben, obwohl das Virus-
  139.         teil UNVERAENDERT, also ohne 3E8-Hunk erkannt werden wuerde.
  140.         Testablauf:
  141.         Falls VT diese Hunktypen an einem File erkennt, brechen Sie bitte
  142.         den Scan-Vorgang ab. Kopieren Sie das File ins RAM: oder auf eine
  143.         leere Disk. Gehen Sie danach in den VT-Filerequester. Klicken Sie
  144.         das File an. Klicken Sie auf Convert. (Ja, ich war zu faul, dafuer
  145.         ein eigenes Gadget zu opfern). VT sollte nun den Hunk ausbauen
  146.         und das File neu abspeichern.
  147.          moegliche Fehlermeldungen:
  148.              - nichts Bekanntes   (es ist gar kein 3E8-Hunk)
  149.              - Fehler             (VT findet keinen Anschlusshunk oder
  150.                                    das File ist irgendwie beschaedigt)
  151.         Da inzwischen ein File mit einem 3E8-Hunk UND einem 3F1-Hunk am
  152.         Anfang aufgetaucht ist, muessen Sie den Ausbau (convert) halt
  153.         wiederholen !!!!
  154.         Danach klicken Sie bitte im Filerequester auf FileTest:
  155.             - nichts Bekanntes   (hoechstwahrscheinlich kein Virusteil
  156.                                   aber nicht sicher. Es tauchen immer
  157.                                   wieder neue Viren auf.)
  158.             - VT erkennt ein Virusteil
  159.             - VT erkennt einen Packer  (Hier sollten bei Ihnen IMMER
  160.                   die Alarmglocken anschlagen.)
  161.         Entpacken Sie das File mit dem entsprechenden Packer. Mit etwas
  162.         Pech werden Sie dann mit VT oder einem Filemonitor ein Virusteil
  163.         erkennen.
  164.         Hinweis: Auf der Fish-CD Dez93 (Auslieferung Mitte Jan 94) findet
  165.         VT mehrere 3F1-Hunks. Die betroffenen Programme wurden nach RAM:
  166.         kopiert und ueberprueft. Sie sind ALLE sauber. Die Aussage gilt
  167.         NUR fuer diese CD !!!!
  168.      Nachtrag Feb. 94:
  169.         Es haben mich inzwischen Anrufe erreicht, dass nach dem Ausbau
  170.         von 3F1-Hunks das Programm nicht mehr lauffaehig sei. Da ich
  171.         solche Tricks befuerchtet habe, koennen Sie diese Hunks ja auch
  172.         nicht im Filetest ausbauen, sondern muessen in den VT-Filerequester
  173.         gehen und mit dem Gadget "Convert" arbeiten. Also BITTE kopieren
  174.         Sie solche Files auf eine leere Disk, aktivieren Sie Convert
  175.         UND (!!!!!!!) ueberpruefen Sie dann die Lauffaehigkeit des ver-
  176.         kuerzten Programms. Es scheinen sich viele Spieleprogrammierer
  177.         NICHT (!!!!!!) an die Vorgaben von Commodore fuer den 3F1-Hunk
  178.         zu halten. Ich habe das noch einmal mit 3F1-Hunks auf der Fish-CD
  179.         probiert. KEIN Programm enthielt einen Virus und sie waren nach
  180.         dem Ausbau LAUFFAEHIG !!!!!
  181.         Negativbeispiel: Anruf wegen dpaint IV AGA (wenn ich es richtig
  182.         verstanden habe):
  183.         3F1-Hunk von dpaint entfernt. Programm aus cli gestartet.
  184.         Meldung: dpaint nicht gefunden
  185.         3F1-Hunk von dpaint modifiziert. Programm aus cli gestartet.
  186.         Meldung: dpaint falsch installiert
  187.         Also: Bitte, Bitte arbeiten Sie bei 3F1-Hunks mit einer KOPIE
  188.         UND ueberpruefen Sie die LAUFFAEHIGKEIT. Danke
  189.    - 3F1-HEADDBGV-Hunk
  190.            00000000 00000033 000003f1 0000000c .......3........
  191.            0039d25b 48454144 44424756 30310000 .9.[HEADDBGV01..
  192.         Dieser 3F1-Hunk am Fileanfang scheint MEIST ausbaubar zu sein,
  193.         ohne die Lauffaehigkeit des Programms zu verhindern (aber nicht
  194.         immer). Fertigen Sie bitte vor Ausbau eine Kopie an. Getestet
  195.         wurde dies mit einigen Files (z.B. lawbreaker).
  196.         Nachtrag Mai 94: laut Tel.-Auskunft erzeugt zum Beispiel Dice reg.
  197.         so einen 3F1-Hunk. Aber bitte: Was sollen ein Hunk-Debug oder Hunk-
  198.         Symbol in einem Prg., das veroeffentlicht wird. Diese Hunks sind
  199.         fuer den Endanwender NUTZLOS und verlaengern nur unnoetig das
  200.         Programmfile.
  201.  
  202.  
  203.    - 4711-Virus   Saddam-Disk-Validator-Clone  s.u.
  204.  
  205.    - $4EB9-Link ??
  206.       Fileauszug:
  207.          0000: 000003f3 00000000 0000000d 00000000 ................
  208.          0010: 0000000c 00000004 00000014 00000630 ...............P
  209.          0020: 400000cc 00000001 0000007c 0000042a @..............+
  210.          0030: 00000486 00000014 000026d8 0000007c ..........&.....
  211.          0040: 000013aa 00000923 000003e9 00000004 .......#........
  212.          0050: 4eb90000 00004eb9 00000000 70004e75 N.....N.....p.Nu
  213.          0060: 000003ec 00000001 00000001 00000002 ................
  214.          0070: 00000001 00000008 00000008 00000000 ................
  215.          0080: 000003f2 000003e9 00000014 48e7ffff ............H...
  216.       Diese Struktur taucht in letzter Zeit immer haeufiger im Zusam-
  217.       menhang mit gelinkten Viren auf. Bei den Viren handelt es sich
  218.       in der Regel um "alte" Teile, die aber nicht erkannt werden
  219.       koennen, da die Testlangworte an einer anderen Stelle liegen.
  220.       Vermutlich wurde die Struktur von einer Szene-Gruppe entwickelt,
  221.       um ein Intro vor ein Programm linken zu koennen.
  222.       Diese Struktur wird nun abgekupfert (oder es existiert sogar
  223.       ein Programm dafuer ??).
  224.       Also BITTE, BITTE nicht bei jedem $4eb9 sofort loeschen, sondern
  225.       nachdenken und das File erst auf eine andere Disk kopieren.
  226.       Der groesste Teil der gefundenen Programme wird wahrscheinlich
  227.       der Szene zuzuordnen sein, d. h.  das Spiel wird nach dem Loeschen
  228.       NICHT mehr laufen. Bitte helfen SIE mit, die Virus-Programme her-
  229.       auszufiltern und schicken Sie die Programme bitte an mich. Wenn
  230.       es geht mit Tel. Nr. . Ich rufe dann zurueck, sobald ich das
  231.       Teil entschluesselt habe. Ich sichere noch einmal zu, dass sowohl
  232.       Telefonnummern als auch Adressen nach Erledigung der Arbeit in
  233.       den Abfalleimer wandern.
  234.       Struktur:
  235.       Ab $84 beginnt das gelinkte Virus-Teil
  236.       Ab $48 beginnt der Ausloeser-Hunk. Er ist sehr kurz (4) und
  237.       enthaelt nur 2 Sprungbefehle jsr ($4EB9), moveq 0,d0 (7000) und
  238.       ein rts (4e75). Danach folgt ein Reloc-Hunk fuer die jsr-Befehle.
  239.       Ablauf:
  240.       Der 1. jsr-Befehl installiert das Virus-Teil und kehrt zurueck.
  241.       Der 2. jsr-Befehl fuehrt das Nutzprogramm aus und kehrt nach Be-
  242.       endigung des Programms zurueck. Danach wird d0 geloescht und mit
  243.       rts das ganze File beendet. So einfach ist das.
  244.       Hinweis 07.06.93:
  245.       Es sind auch 4EB9-Links aufgetaucht, bei denen das Virusteil mit
  246.       dem 2. jsr-Befehl installiert wird. ALLE angelinkten Virenteile
  247.       waren gepackt, wohl um Reloc-Probleme zu minimieren.
  248.       HINWEIS ab VT2.54 :
  249.       Sie koennen jetzt im File-Requester Teil 1 oder 2 abschalten.
  250.       Link1aus - schaltet den Programmteil 1 ab.
  251.       Link2aus - schaltet den Programmteil 2 ab.
  252.       Dies kann natuerlich nur ein NOTNAGEL sein. Besser ist es, wenn
  253.       Sie mir das verseuchte Teil zuschicken und noch mehr erleichtern
  254.       Sie mir meine Arbeit, falls Sie zufaellig das Programm auch im
  255.       ungelinkten Zustand besitzen.
  256.       Bitte fertigen Sie sich von dem gelinkten Programm zwei ver-
  257.       schiedene Namenskopien auf einer sonst leeren Disk an. Schalten
  258.       Sie danach an Kopie 1 den Link 1 ab und an Kopie 2 den Link 2 ab.
  259.       Wenn Sie Glueck haben, ist ein lauffaehiges Programm dann ohne
  260.       Virusteil oder ohne Intro !!
  261.       Aber !!!  Es ist auch moeglich, dass das Haupt-Programm NICHT
  262.       mehr laeuft. Warum ?  Beispiel:
  263.       Eine Gruppe hat ein Intro vor ein Spiel gelinkt. Dann koennen
  264.       in diesem Intro schon Veraenderungen am Computer (FastRam ab-
  265.       schalten usw.) vorgenommen werden, die das Spiel voraussetzt.
  266.       Ohne das Intro ist das Spiel dann logischerweise nicht lauf-
  267.       faehig. Beispiele sind bekannt !!!!
  268.       MERKE: Ein File mit abgeschaltetem LINK gibt man NICHT weiter!!!
  269.       Hinweis 28.06.93 :
  270.       Das Erzeugerprogramm fuer den $4EB9-Link scheint gefunden zu sein.
  271.       Ein Programm mit Namen: Chain V0.23
  272.       Danke fuer den Hinweis
  273.  
  274.       Hinweis 24.09.93: Es soll eine neue 4EB9-Variante aufgetaucht sein.
  275.            46696c65 2d636861 696e2069 6e636c75 File-chain inclu
  276.            64696e67 3a20006d 656e7500 77640000 ding: .menu.wd..
  277.            000003e9 00000007 48e7fffe 4eb90000 ........H...N...
  278.            00004cd7 7fff4eb9 00000000 4cdf7fff ..L..N.....L..
  279.            70004e75 000003ec 00000001 00000001 p.Nu............
  280.       Das neue 4EB9-Erzeugerprogramm wird noch gesucht.
  281.       Sie koennen im File-Requester Teil 1 oder 2 abschalten. Bitte
  282.       lesen Sie ein paar Zeilen weiter oben nach.
  283.       Nachtrag 04.94:
  284.       Das Erzeuger-Programm scheint gefunden zu sein. File-Chainer V1.3
  285.       Danke fuer den Hinweis .
  286.  
  287.  
  288.    - $4EB9-$4EF9-Link ??
  289.       Fileauszug: 
  290.         0000: 000003f3 00000000 0000000e 00000000 ................
  291.         0010: 0000000d 00000005 00000089 000008d3 ................
  292.         0020: 00000005 00000089 00000126 0000001d ...........&....
  293.         0030: 0000e945 400000ac 00002085 40004485 ...E@..... .@.D.
  294.         0040: 0000007c 00008926 0000123a 000003e9 ...|...&...:....
  295.         0050: 00000005 48e7fffe 4eb90000 00004cdf ....H...N.....L.
  296.         0060: 7fff4ef9 00000000 000003ec 00000001 .N.............
  297.       Dis:
  298.         0054: 48E7 FFFE                 MOVEM.L D0-D7/A0-A6,-(A7)
  299.         0058: 4EB9 00000000             JSR     L000001
  300.         005C: 4CDF 7FFF                 MOVEM.L (A7)+,D0-D7/A0-A6
  301.         0062: 4EF9 00000000             JMP     L00002D
  302.  
  303.       Hinweis: Falls VT diese Struktur an einem File erkennt,
  304.       kann das angelinkte Teil ein Trainer, ein Intro oder AUCH EIN
  305.       Virus sein. Lesen Sie bitte dazu bei $4EB9-Link (oben) nach.
  306.       Sie koennen jetzt im File-Requester an Files, die im FileTest als
  307.       $4EB9-$4EF9-Link erkannt wurden, Teil 1 oder Teil 2 abschalten.
  308.       Rest siehe oben
  309.       Hinweis: Es wird das $4EB9-$4EF9-Link-Programm gesucht. Da
  310.       Ende Nov 93 schlagartig mehrere solche Links aufgetaucht sind,
  311.       vermute ich, das es dafuer ein Programm gibt.
  312.       Nachtrag 04.94:
  313.       Das Erzeuger-Programm scheint gefunden zu sein. ExeLink V1.1
  314.       Danke fuer den Hinweis .
  315.  
  316.    - $4EB9-Text-Link ??
  317.       An ein Programm wurde mit $4EB9 ein Text angelinkt, der im Cli
  318.       mit Dos-Routinen ausgegeben wird. KEIN Virus !!
  319.       VORSICHT !!  VORSICHT !!
  320.       VT versucht im Filetest einen Ausbau !!!!!  Dieser Vorgang MUSS
  321.       NICHT gelingen. Es kann sein, dass das Programm danach NICHT mehr
  322.       lauffaehig ist. Fertigen Sie deshalb bitte VORHER eine Kopie an.
  323.       Danke. Falls weitere derartige Anhaengsel bekannt sind, bitte ich
  324.       um Zusendung.
  325.       Am Fileanfang ist z.B. zu lesen:
  326.            20202020 542e442e 422e2046 524f4d20     T.D.B. FROM
  327.            4c454745 4e442120 50524553 454e5453 LEGEND! PRESENTS
  328.            204a5553 5420464f 52204655 4e210a0a  JUST FOR FUN!..
  329.       ;usw. ....
  330.    - $4EB9-Text-MausT ??
  331.       Nachtrag Maerz 94: Laut Telephonanrufen gibt es auch $4EB9-Text-
  332.       Link-Files, die nur aus einer Gruppenmitteilung und dem Ab-
  333.       fragen der linken Maustaste bestehen. Hier ist dann natuerlich
  334.       ein Ausbau unsinnig. Loeschen Sie bei Bedarf das ganze File und
  335.       aendern Sie dann auch s/startup-sequence ab. Bitte machen Sie
  336.       aber VORHER eine Kopie der Disk. Sollte der Text die Aufforderung
  337.       enthalten, eine andere Disk einzulegen, dann ist das Loeschen
  338.       natuerlich nicht angebracht. Danke
  339.  
  340.    - .info    anderer Name: TimeBomb V0.9   s.u.
  341.  
  342.    - 16 Bit Crew   Cool, im Prg. noch DoIo, FastMem ja, im Speicher
  343.       immer ab $7ec00
  344.       Vermehrung: ueber BB
  345.       im BB steht unverschluesselt:
  346.       The 16 Bit Crew 1988
  347.    - 16BIT-TAI8-Clone
  348.       Nur Text geaendert:
  349.            00000000 000003f2 00000000 38543841 ............8T8A
  350.            3849382e 2e2e2e2e 00000000 00000000 8I8.............
  351.  
  352.    - 2001     SCA-Clone, Cool immer 7EC3E, nur anderer Text
  353.  
  354.    - A.H.C.-Virus   BB   nur KS1.3  immer ab $7FA00
  355.       Cool $7FAFE, DoIo 7FFB3E
  356.       Sollte auch mit KS1.2 laufen. Leider hat der Superprogrammierer
  357.       beim Nachbau $23FC mit $33FC verwechselt. Ja das Augenlicht !!!
  358.       Ursprung: groessere Teile wurden bei Sherlock_Anti.BB abge-
  359.       kupfert.
  360.       Fordert trackdisk.device NICHT !!!!
  361.       Namensbegruendung: siehe unten
  362.       Schaeden: gibt immer wieder mehrere verschiedene Alert-Meldungen
  363.       aus. siehe unten
  364.       Vermehrung: BB
  365.       Im BB ist zu lesen:
  366.            790005bc 2048656c 6c6f2c20 412e482e y... Hello, A.H.
  367.            432e2073 7065616b 696e6720 68657265 C. speaking here
  368.            21212120 20200050 32d02020 20505245 !!!   .P2.   PRE
  369.            53532052 49474854 20425554 544f4e20 SS RIGHT BUTTON
  370.            20200050 50b42020 466f7220 6120676f   .PP.  For a go
  371.            6f642046 75636b2e 2e2e2041 2e482e43 od Fuck... A.H.C
  372.            2e212020 00202020 20200000 05e62049 .!  .     .... I
  373.            606d2074 68652041 2e482e43 2e2d5649 `m the A.H.C.-VI
  374.            52555320 00505000 20202020 20202020 RUS .PP.
  375.            20202020 20202020 20202020 20204920               I
  376.            636f6e74 726f6c20 796f7572 20636f6d control your com
  377.            70757465 72212121 00505000 00000000 puter!!!.PP.....
  378.            002e1eb0 2045696e 20647265 69666163 .... Ein dreifac
  379.            68657320 4d69746c 65696420 66fc7220 hes Mitleid f.r
  380.            41746172 69535400 50330020 412e482e AtariST.P3. A.H.
  381.            432e2028 68616861 68612920 20202020 C. (hahaha)
  382.            20202020 20202020 20202020 20202000                .
  383.  
  384.    - A.I.S.F.-Virus   File  Laenge: 8708 Bytes
  385.        Von der Definition kein Virus, da keine Vermehrung.
  386.        Reines Zerstoerungsprogramm
  387.        Speicher: immer ab $7F000
  388.        verbogener Vektor: $6c (Zeropage)
  389.        Versucht durch die Anzeige einer Fensterleiste mit dem Titel
  390.             Virus-Checker V6.72
  391.        zu taeuschen. Diese Version gibt es am 08.09.93 noch gar nicht.
  392.        Die Leiste ist FUNKTIONSLOS !!!
  393.        Ich vermute deshalb, das das Programm unter dem Namen Virus-Checker
  394.        verbreitet wird. Ueberpruefen Sie bitte auch ihre startup-sequence.
  395.        Namensbegruendung:  (im File zu lesen)
  396.            72790000 56495255 532d4348 45434b45 ry..VIRUS-CHECKE
  397.            52205636 2e373200 62792041 2e492e53 R V6.72.by A.I.S
  398.            2e462e20 21212100 41000000 00000000 .F. !!!.A.......
  399.        Schaden:
  400.        Erhoeht ueber $6c eine Zaehlzelle. Sobald der Wert $50000 er-
  401.        reicht ist wird eine Decodier-Routine ( EORI.B #$F7,(A0)+ ) an-
  402.        gesprungen. Es ergibt sich:
  403.            4e710096 14212121 20435249 4d452044 Nq...!!! CRIME D
  404.            4f204e4f 54205041 59202121 21000100 O NOT PAY !!!...
  405.            7d2d5748 59204152 4520594f 55205357 }-WHY ARE YOU SW
  406.            41505049 4e472049 4c4c4547 414c2053 APPING ILLEGAL S
  407.            4f465420 3f000100 aa464245 43415553 OFT ?....FBECAUS
  408.            4520594f 55204152 45204120 4352494d E YOU ARE A CRIM
  409.            494e414c 20212121 21000100 d755414e INAL !!!!....UAN
  410.            44204245 20535552 453a0001 00966957 D BE SURE:....iW
  411.            45202841 2e492e53 2e462e29 2057494c E (A.I.S.F.) WIL
  412.            4c204745 5420594f 55202100 0100967d L GET YOU !....}
  413.            2841294e 54490001 00968728 4929494c (A)NTI.....(I)IL
  414.            4c454741 4c000100 96912853 29574150 LEGAL.....(S)WAP
  415.            50494e47 000100be a0284629 4f554e44 PING.....(F)OUND
  416.            4154494f 4e000100 beaa2d50 52455353 ATION.....-PRESS
  417.            204d4f55 53452054 4f20434f 4e54494e  MOUSE TO CONTIN
  418.            55452d00 00000000 00000c0a 9b33336d UE-..........33m
  419.        Dieser Text wird mit DisplayAlert ausgegeben. Sobald Sie die
  420.        Maustaste klicken, beginnt der Laufwerkskopf zu steppen. Bitte
  421.        tun sie das ihrem Laufwerk nicht zu lange an. Ein Tastatur-
  422.        Reset hilft NICHT. Sie muessen den Computer ausschalten !!!
  423.        In diesem File befindet sich noch mehr Muell.
  424.  
  425.    - AAA-Enhancer-Bomb    Zerstoerungsprg.   Laenge: 3984 Bytes
  426.        KS2.04: ja
  427.        KS3.0 : ja
  428.        verbogener Vektor: DosWrite
  429.        Resetfest: Nein
  430.        Vermehrung: Nein
  431.        Namensbegruendung:
  432.           Fensterleiste:
  433.                                      5241573A              RAW:
  434.           302F302F 3634302F 3230302F 4141412D  0/0/640/200/AAA-
  435.           456E6861 6E636572 20342E38 20627920  Enhancer 4.8 by
  436.           usw.
  437.        Taeuschtext:
  438.           Im Fenster wird ein Text ausgegeben, in dem behauptet
  439.           wird, dass dieses Prg. im A1200 und A4000 AAA-Chipset
  440.           aktiviert. Nebenbei wird versucht, den Ruf von SHI zu
  441.           schaedigen.
  442.        Schaeden:
  443.          Verbiegt DosWrite, sucht bei jedem Schreibzugriff nach
  444.          Worten und Zahlen und versucht sie durch andere zu er-
  445.          setzen.
  446.        Wortdreher auch umgekehrt:
  447.          perverse-reliable  Computer-vibrator  sexual-actual
  448.          friend-bugger  pocket-vagina  follow stroke
  449.          randy-ready  blood-sperm  bitch-woman  head-hole
  450.          rich-poor  warm-cold  open-lock  love-hate  meet-fuck
  451.          lift-drop  girl-wife  kill-kiss  look-piss  nice-shit
  452.          soft-hard  ball-hand  cock-nose  dear-dead  skin-cunt
  453.          egg-lip  car-ass
  454.        Zahlendreher auch umgekehrt:
  455.          0-9  1-8  2-7  3-6  4-5
  456.        Waehrend die Wortdreher die Lauffaehigkeit kaum beeinflussen,
  457.        wird durch die Umwandlung von $30 (0) in $39 (9) ein Programm
  458.        zerstoert, da diese Hexwerte auch in Befehlsfolgen vorkommen.
  459.        Als Beispiel steht unten der letzte Teil eines alten Echo-Be-
  460.        fehls. Erstellung des zerstoerten Echo-Befehls: Ein DirUtility
  461.        wurde geladen und der echo-Befehl von df0: nach df1: kopiert.
  462.            echo orig:                      echo zerstoert:
  463.       340: 7420746f 20454348 t to ECH 340: 7420746f 20454348 t to ECH
  464.       348: 4f0a0000 42a90004 O...B... 348: 4f0a0000 42a90004 O...B...
  465.       350: 2401e58a 76001630 $...v..0 350: 2401e58a 76001639 $...v..9
  466.                           ^^                              ^^
  467.       358: 28002343 00087201 (.#C..r. 358: 28002343 00087201 (.#C..r.
  468.       360: 2341000c b2a90008 #A...... 360: 2341000c b2a90008 #A......
  469.       368: 6e00005c 2411e58a n..\$... 368: 6e00005c 2411e58a n..\$...
  470.       370: d4817600 16302800 ..v..0(. 370: d4817600 16392800 ..v..9(.
  471.                       ^^                              ^^
  472.       378: 7430b483 6e000016 t0..n... 378: 7439b483 6e000016 t9..n...
  473.              ^^                              ^^
  474.       380: 2611e58b d6817800 &.....x. 380: 2611e58b d6817800 &.....x.
  475.       388: 18303800 7639b883 .08.v9.. 388: 18393100 7630b883 .91.v0..
  476.              ^^^^     ^^                     ^^^^     ^^
  477.       390: 6f000008 22290004 o...").. 390: 6f000008 22290004 o...")..
  478.       398: 4ed62429 0004720a N.$)..r. 398: 4ed62429 0004720a N.$)..r.
  479.       3a0: 4ead0010 2411e58a N...$... 3a0: 4ead0010 2411e58a N...$...
  480.       3a8: d4a9000c 76001630 ....v..0 3a8: d4a9000c 76001639 ....v..9
  481.                           ^^                              ^^
  482.       3b0: 2800d283 74309282 (...t0.. 3b0: 2800d283 74399282 (...t9..
  483.                       ^^                              ^^
  484.       3b8: 23410004 7601d6a9 #A..v... 3b8: 23410004 7601d6a9 #A..v...
  485.       3c0: 000c2203 609a2229 ..".`.") 3c0: 000c2203 609a2229 ..".`.")
  486.       3c8: 00044ed6 00000000 ..N..... 3c8: 00044ed6 00000000 ..N.....
  487.       3d0: 00000001 00000004 ........ 3d0: 00000001 00000004 ........
  488.       3d8: 00000092 000003f2 ........ 3d8: 00000092 000003f2 ........
  489.        Der Vergleich wurde mit VT-Druck und dem CMD-Befehl erstellt.
  490.        VT findet den Verursacher beim Filetest und im Speicher.
  491.        Zerstoerte Files findet der VT   NICHT !!!  Das Virusteil setzt
  492.        KEINEN Merker in befallene Files. Also kann VT nicht entscheiden
  493.        ob $39 wirklich $39 ist oder umgewandelt werden muesste. Sobald
  494.        bekannt ist, dass das File behandelt worden ist, ist die er-
  495.        neute Zahlendrehung natuerlich moeglich. Hat jemand einen Tip,
  496.        wie man die notwendige Behandlung erkennen koennte.
  497.        Schwacher Trost: Bei der erneuten Behandlung des zerstoerten Files
  498.        mit dem Virusteil wird wieder der Originalzustand hergestellt.
  499.        Hinweis: Wurden sehr viele Prge. zum Kopieren markiert, so wurde
  500.        haeufig der RootBlock von DF1: unbrauchbar.
  501.  
  502.  
  503.    - Abraham     siehe Claas Abraham
  504.  
  505.    - ACCESS FORBIDDEN BB    anderer Name: s.u. bei  VCCofTNT-Virus
  506.  
  507.    - ACP3.19-Trojan   s.u. bei UA62-ACP-Trojan
  508.  
  509.    - ADAM BRIERLEY  BB     Cold immer $7E700   KEIN Virus !!!!
  510.        Namensbegruendung:
  511.          2A202020 20434F44 45204259 20204144 *    CODE BY  AD
  512.          414D2042 52494552 4C455920 2020202A AM BRIERLEY    *
  513.        KEINE Vermehrungsroutine !!! Es handelt sich um einen Bootblock-
  514.        lader, was man bei RICHTIGER Reassemblierung leicht feststellen
  515.        kann. Es koennte sich sogar um einen BB handeln, aus dem eine
  516.        Schutzroutine entfernt wurde  (sehr viele NOPs an einer Stelle).
  517.        Warum die Beschreibung doch hier steht und nicht in "VT andere BB"?
  518.        Damit die Erbsenzaehler nicht 2 Texte lesen muessen !!
  519.        VT kennt: 15.10.92
  520.  
  521.    - AeReg.BBS-Trojan  File  ImplLib gepackt Laenge: 656 Bytes
  522.                                    entpackt Laenge: 664 Bytes
  523.        Keine Vermehrungsroutine
  524.        Keine verbogenen Vektoren
  525.        Zielgerichtet gegen AmiExpress
  526.        Soll aus einer unregistrierten Version eine registrierte Version
  527.        machen.
  528.        Im entpackten File ist zu lesen:
  529.         "/X registrator v0.1"
  530.         "bbs:user.data",0
  531.         "bbs:user.key",0
  532.         "bbs:utils/express",0
  533.         "Registrator for Ami-Express",0
  534.         "Startup /X 3.9 Crack As Normal2,0
  535.         "Run Registrator v0.1",0
  536.         "To Update 3.9 to a Registation /X",0
  537.         "Registration LRA-11.0089",0
  538.         "This is an un-registered version of Express",0
  539.         "Registration UOB-09.0493",0
  540.         "Registration version of Express v3.9",0
  541.        Schadensverlauf:
  542.        Mit dem Open-Befehl aus der dos.lib sollen drei BBS-Files (s.o.)
  543.        geoeffnet werden (Mode-NewFile) und 11 Bytes geschrieben werden. Die
  544.        Files haetten dann die Laenge 11 und die Original-Files waeren
  545.        somit zerstoert, da sie ueberschrieben werden.
  546.        Da ein Programmierfehler vorliegt (Filehandle !!) werden Files
  547.        mit der Laenge 0 erzeugt und auch hier sind die Original-files
  548.        zerstoert.
  549.        Dringende Empfehlung: sofort loeschen
  550.        VT.kennt: 12.09.93
  551.        anderer moeglicher Name: Registrator-Virus
  552.  
  553.    - AFFE-Virus   s.u. SADDAM-Clone
  554.  
  555.    - aibon-Virus     siehe bei Express2.20-Virus
  556.  
  557.    - aibon 2-Virus   siehe bei Express2.20-Virus
  558.  
  559.    - Aids      Vkill-Clone siehe dort
  560.          Unterschied: 3 Bytes
  561.             1.Byte: in der Pruefsumme
  562.             2.Byte: Vermehrungszaehler
  563.             3.Byte: Einsprung in entschluesselten Text
  564.         (ein Prg. springt z.B. nach $7ebc3, das 2. Prg. nach $7eba9)
  565.  
  566.    - AIDS-HIV  SCA-Clone, Cool immer 7EC3E, nur anderer Text
  567.  
  568.    - AIFS-JITR-Virus  BB  Clone s.u. bitte nicht mit A.I.F.S verwechseln
  569.        Nur Texte geaendert
  570.         444f5300 2e56d968 41494653 2c790000 DOS..V.hAIFS,y..
  571.        Belegt seinen Speicherbereich nicht und kann deshalb bei 1Meg
  572.        von VT überschrieben werden und ist damit auch zerstoert. Bei
  573.        5 Meg wird das Teil sicher erkannt. Der Speicherplatz spielt
  574.        KEINE Rolle bei der BB-Erkennung.
  575.  
  576.    - AlienNewBeat    Cold, Cool, DoIo, nur KS1.2, Fastmem ja
  577.          im Speicher immer ab $20000
  578.          Vermehrung: ueber BB          Vermehrungszaehler: $2037e
  579.          Text im BB sichtbar: z.B.
  580.          THIS IS THE ALIEN NEW BEAT BOOT!
  581.          Clone: EXORCIST , SATAN usw.
  582.  
  583.    - AMIDA-FORPIB  Virus   BB   Forpib-Clone  s.u.
  584.         2e2e414d 4944412e 2e2e2e2e 2e2e2e2e ..AMIDA.........
  585.  
  586.    - Amiga Freak    Forpib-Clone  s.u.
  587.          nur Name im BB geaendert
  588.  
  589.    - AMIGAKNIGHTVIRUS    Filevirus  Laenge: 6048 (ungepackt)
  590.          DoIo, KickTag, KickCheckSum
  591.          Schreibt in Root das File init_cli und auch in startup-sequence
  592.          Sonst keine Schaeden festgestellt.
  593.          Nach 5 Resets wird der Bildschirm schwarz und rosa Schrift fuer
  594.          Text. Der Text ist bis dahin codiert.
  595.  
  596.             oberer Bildschirmbereich:
  597.                YEAH, THE INVASION HAS STARTED! YOUR
  598.                TIME HAS RUN OUT, AND SOON WE WILL BE
  599.                            EVERYWHERE!
  600.  
  601.             Bildschirmmitte:   Vektordemo
  602.  
  603.             unterer Bildschirmbereich:
  604.                THIS IS GENERATION 0039 OF THE EVIL
  605.                         AMIGAKNIGHTSVIRUS
  606.              GREETINGS TO DUFTY, DWARF, ASID CUCUMBER
  607.               ASTERIX, ANDY, AND ALL AMIGIANS I KNOW
  608.  
  609.          Vectordemo: 3 TextTeile erscheinen mit Zoomeffekt nacheinander
  610.                      a)    Toco of
  611.                      b)      THE
  612.                      c)  AMIGAKNIGHTS
  613.  
  614.    - AmiPatch-Virus V1.0a    File   Laenge:8288 Bytes
  615.          Wahrscheinlich ein Einbruchswerkzeug, also ungefaehrlich fuer
  616.          den Normal-User ohne Mailbox.
  617.          Oeffnet user.data und legt ein neues File an (doswrite):
  618.           bbs:011011
  619.          Ich haette das Programm nicht aufgenommen, wenn es nicht auch
  620.          OHNE Hauptprogramm in der Shell behaupten wuerde, zu opti-
  621.          mieren (Prozentzahlen).
  622.  
  623.    - Angel-Virus  BB  Cool, PutMsg, Wait
  624.          Fordert trackdisk.device NICHT
  625.          Nach RESET GURU, da Cool absoluten Sprung enthaelt:
  626.                    4EF9 000110CC  JMP $110CC    (Anfaenger !!)
  627.          Namensbegruendung: s.u.
  628.          Vermehrung: ueber BB  (auch wenn die Cool-Routine falsch ist)
  629.              Jeder BB sieht anders aus, da codiert mit Wert aus $DFF007 .
  630.          Schaeden: Abhaengig von einer Zaehlzelle wird ueber Seek ein
  631.              KopfStep ausgefuehrt. Die Textausgabe (s.u.) ist mir nicht
  632.              gelungen.
  633.              Text im Speicher decodiert mit:  eor.b d2,(a1)+
  634.                                 54686520 54726176         The Trav
  635.               656c206f 66207468 6520416e 67656c2d el of the Angel-
  636.               56697275 73204765 6e657261 74696f6e Virus Generation
  637.               204e722e 30303030 30202048 69204275  Nr.00000  Hi Bu
  638.               746f6e69 63202620 47616e64 616c6600 tonic & Gandalf.
  639.               4c617566 7765726b 20444630 3a206973 Laufwerk DF0: is
  640.               74206c65 69646572 20626573 6368e464 t leider besch.d
  641.               6967742e 2e2e0000                   igt...
  642.          VT-kennt: 02.12.92
  643.  
  644.    - Animal-Virus  SADDAM-Clone  Wird von VT als SADDAM-Clone erkannt.
  645.          Blocklangwort: $363636a0
  646.          Namensbegruendung: im Speicher ist decodiert zu lesen
  647.               74726163 6B646973 6B2E6465 76696365 trackdisk.device
  648.               00010820 416E696D 616C2056 69727573 ... Animal Virus
  649.          Behandlung: siehe bei SADDAM     28.03.93
  650.  
  651.    - ANTI-KANACKEN-Virus     BB  SCA-Clone   (s.u.)
  652.          Namensbegruendung:
  653.               6f732e6c 69627261 72790000 44617320 os.library..Das
  654.               414e5449 2d4b414e 41434b45 4e205669 ANTI-KANACKEN Vi
  655.               72757320 28536965 67204865 696c292d rus (Sieg Heil)-
  656.          Hallo ihr jungen Leute im wiedervereinigten Deutschland. Wollt
  657.          ihr, dass die Welt Grund hat, mit dem Finger auf uns zu zeigen.
  658.          So schafft ihr es bestimmt, ALLES was eure Eltern in 47 Jahren
  659.          aufgebaut haben, in kurzer Zeit kaputt zu machen. Denkt BITTE
  660.          nach !!!
  661.          VT-kennt: 17.10.92
  662.  
  663.    - Antichrist-Virus   Link     dosbase+$2e  KS2.04: nein
  664.          Grundgeruest war ein Trav. Jack  (siehe unten)
  665.          Namensbegruendung: im Speicher ist zu lesen:
  666.            20202020 20202020 20202020 20202020
  667.            20202020 20202020 20546865 20416e74          The Ant
  668.            69636872 69737420 332f342f 39322020 ichrist 3/4/92
  669.            20202020 20202020 20202020 20202020
  670.          Unterschiede zu Trav, Jack:
  671.            - legt ab und zu ein File an mit der Laenge: #26 Bytes
  672.              Name Antichrist.X  (das X wechselt, siehe Beispiel).
  673.              Inhalt des Textfiles siehe Beispiel
  674.             Antichrist.Y
  675.             0c0a0d54 68652041 6e746963 68726973 ...The Antichris
  676.             74206973 20626163 6b0a0000 00000000 t is back.......
  677.            - Codierung des VirusPrg.s fehlt.
  678.            - Hunklaenge wechselnd $24f oder $250
  679.          VT erkennt und loescht im Speicher: 13.03.93
  680.          VT erkennt und baut aus im File   : 14.03.93
  681.          VT erkennt und loescht neues File : 14.03.93
  682.  
  683.    - Art Byte Bandit     anderer Name: ByteBanditPlus    s.u.
  684.  
  685.    - ASSASSIN  Virus   BB   SCA-Clone  s.u.
  686.            43544544 20425920 54484520 20202050 CTED BY THE    P
  687.            50041f41 53534153 53494e20 56495255 P..ASSASSIN VIRU
  688.            53202020 20202020 20202020 20202020 S
  689.  
  690.  
  691.    - ASV-Virus  immer $7DC00, Cool, im Prg Forbid, loescht KickTag usw.
  692.          keine Vermehrungsroutine
  693.          Schaden: verbiegt mit setfunction Forbid auf ChipAllocMem-Routine
  694.                   d.h. bei jedem Forbid-Aufruf geht ChipMem verloren.
  695.  
  696.    - ASYLANT-Virus    SCA-Clone  nur Test geaendert
  697.                                       2048616c              Hal
  698.            6c6f2069 63682062 696e2065 696e2020 lo ich bin ein
  699.            4153594c 414e5420 21212121 21212121 ASYLANT !!!!!!!!
  700.  
  701.    - ATARI   File   BGS9-Clone  s.u.  Laenge:2609 Bytes
  702.            00000000 41544152 49000003 f3000000 ....ATARI.......
  703.          Wird weiterhin als BGS9 erkannt.
  704.          Seit wann bitte ist ein Programm mit UNGERADER Laenge lauf-
  705.          faehig (Sollte loadhunk defekt ausgeben). Man kann nicht
  706.          einfach aus TTV1 den Text ATARI machen und damit alles um
  707.          1 Byte verlaengern. Anfaenger !!!
  708.  
  709.    - Australian Parasite   Fastmem ja, Cool, DoIo, im Prg. BeginIo
  710.          Vermehrung: ueber BB
  711.          ueber GraphikRoutine wird BildschirmInhalt gedreht
  712.          im BB sichtbar:
  713.          The Australien Parasite!
  714.           By Gremlin 18/5/88!
  715.           Will NOT destroy game bootsectors or corrupt disks,
  716.           and kill other viruses!
  717.       HINWEIS: manchmal gibt VirusX Australian Parasite aus, obwohl
  718.       es sich um den SADDAM Disk-Validator handelt !!!!
  719.  
  720.    - Aust.Par-Clone  BB  anderer Name:SHI-Virus
  721.          Nur Text geaendert: 
  722.            20576520 6c696b65 20566972 692e2043  We like Viri. C
  723.            616c6c20 5658512d 42425320 28343136 all VXQ-BBS (416
  724.            29203332 34203934 3339202e 53656e64 ) 324 9439 .Send
  725.            206e6577 20766972 69202c20 77656c63  new viri , welc
  726.            6f6d6520 746f2042 42532020 3a000018 ome to BBS  :...
  727.            00002053 48492153 48492153 48492153 .. SHI!SHI!SHI!S
  728.  
  729.    - AutoBootingBootProtector V2.0    anderer Name: VCCofTNT-Virus  s.u.
  730.  
  731.    - BadBytes1-Virus   BB  Warhawk Clone  siehe unten
  732.       Nur Text geaendert. Der Name ist fuer mich nicht nachvollziehbar.
  733.       Wenn schon, dann waere TTS-Virus besser gewesen.
  734.            00200096 81005454 53205649 52555320 . ....TTS VIRUS
  735.            4953204f 4e205448 4953204c 414d4552 IS ON THIS LAMER
  736.            27532057 4f524b20 21212121 21202041 'S WORK !!!!!  A
  737.  
  738.    - BadBytes2-Virus   BB  TimeBomb V1.0 Clone  siehe unten
  739.       Text fuer DisplayAlert:
  740.            14536f66 74776172 65204661 696c7572 .Software Failur
  741.            65202d20 57652068 61746520 796f7521 e - We hate you!
  742.            20596f75 20617265 20676f69 6e672074  You are going t
  743.            6f204449 45210001 00000000 42b90007 o DIE!......B...
  744.       Namensbegruendung:
  745.            00416e74 692d4861 72616c64 20506175 .Anti-Harald Pau
  746.            6c73656e 20616e64 20547769 6e732076 lsen and Twins v
  747.            69727573 20646f6e 65206279 20545453 irus done by TTS
  748.            20616e64 204e6967 68746861 776b2020  and Nighthawk
  749.            6f662042 61644279 74657349 6e632e2c of BadBytesInc.,
  750.  
  751.    - BadBytes3-Virus   BB  Blackflash-Clone   siehe unten
  752.       Nur Text geaendert:
  753.            20204951 20427265 616b6572 20766972   IQ Breaker vir
  754.            75732020 20220cb9 6600000e 0007f030 us   "..f......0
  755.               ;......
  756.            446f6e65 20627920 42616420 42797465 Done by Bad Byte
  757.            7320496e 63202d20 5468616e 7820746f s Inc - Thanx to
  758.  
  759.    - BadBytes4-Virus   BB  SCA-Clone   siehe unten
  760.       Nur Text geaendert:
  761.            6f732e6c 69627261 72790000 20506172 os.library.. Par
  762.            61736974 65206f66 20426164 20427974 asite of Bad Byt
  763.            65732049 6e632070 72657365 64d2aa2d es Inc presed..-
  764.  
  765.    - BadBytes5-Virus  BB   Coder-Clone siehe unten
  766.       Nur Text geaendert. Name nicht nachvollziehbar ueber Text.
  767.            596f7572 20636f6d 70757465 72206973 Your computer is
  768.            2073746f 6e656421 204c6567 616c697a  stoned! Legaliz
  769.            65206d61 72697568 616e6121 20506172 e mariuhana! Par
  770.            61736974 65206f66 20424249 21201400 asite of BBI! ..
  771.  
  772.    - BAHAN     anderer Name BUTONIC_1.1  siehe dort
  773.  
  774.    - Bavarian (L)    BB Intro der Bavarian-PD Serie
  775.       Kein Virus, da keine Vermehrung.
  776.       Aber zumindest der BB auf Disk 79 schreibt GURU nach $60.
  777.       Dringende Empfehlung deshalb: Loeschen
  778.       Im BB ist zu lesen:
  779.            70ff4e75 204041e8 002823fc 47555255 p.Nu @A..(#.GURU
  780.            00000060 43f900df f000337c 00a00096 ...`C.....3|....
  781.       Hinweis: Es liegen auch zwei Bavarian-BB-Intros vor, die nach
  782.       meiner Meinung harmlos sind. Lesen Sie bitte in VT.andere-BB
  783.       nach.
  784.  
  785.    - Baltasar-Virus  BB   SCA-Clone  s.u.
  786.  
  787.    - BB-Prot   BB Virus   anderer Name: T.ET.E  s.u.
  788.  
  789.    - BBS-Viren
  790.       Diese Programme sind haeufig NICHT vermehrungsfaehig.
  791.       Sie dienen meist als Einbruchswerkzeug in eine Mailbox UND
  792.       in einigen Programmen ist eine Zerstoerungsroutine eingebaut.
  793.  
  794.       Typ A (28.05.93):
  795.       Das Programm DiskRepair V1.2 wurde verseucht.
  796.       Verseuchte Laenge: 49336 Bytes
  797.       Methode: 4EB9-Link  Das BBS-Teil wird NACH DiskRepair aufgerufen.
  798.            Virus:
  799.                Imploder gepackte Laenge : 6472 Bytes
  800.                Lauffaehig entpackt Laenge: 10244 Bytes
  801.       Das Teil wird NICHT aktiv, falls SnoopDos im Speicher ist.
  802.       Es wird nach bestimmten Filelaengen gesucht.
  803.       Im BBS-Teil ist zu lesen:
  804.            4ebafd18 4e5d4e75 536e6f6f 70446f73 N...N]NuSnoopDos
  805.            00424253 00424253 3a004242 533a0042 .BBS.BBS:.BBS:.B
  806.            42530042 42533a00 4242533a 5574696c BS.BBS:.BBS:Util
  807.            732f0000 4e55fffc 48e70820 246d0008 s/..NU..H.. $m..
  808.       VT bietet an loeschen.
  809.       ODER: Sie gehen in den Filerequester und schalten mit Link2aus
  810.       das Virusteil im File ab.
  811.  
  812.       Typ B (06.06.93):
  813.       Das Programm WhiteBox V8.0 wurde verseucht.
  814.       Verseuchte Laenge: 34896 Bytes
  815.       Methode: 4EB9-Link  Das BBS-Teil wird VOR WhiteBox aufgerufen.
  816.            Virus:
  817.                Imploder gepackte Laenge : 6980 Bytes
  818.                Lauffaehig entpackt Laenge: 11204 Bytes
  819.       Das Teil wird NICHT aktiv, falls SnoopDos im Speicher ist.
  820.       Es wird nach bestimmten Filelaengen gesucht.
  821.       Im BBS-Teil ist zu lesen:     
  822.            414d492d 45585052 4553535f 52554c45 AMI-EXPRESS_RULE
  823.            5a3a0041 4d492d45 58505245 53535f52 Z:.AMI-EXPRESS_R
  824.            554c455a 3a626273 2f00              ULEZ:bbs/.
  825.            ;......
  826.            4ebafe48 60d0536e 6f6f7044 6f730042 N..H`.SnoopDos.B
  827.            42530042 42533a00 4242533a 00004e55 BS.BBS:.BBS:..NU
  828.       VT bietet Ausbau an.
  829.  
  830.  
  831.    - BEETHOVEN  22.11.92   File  Laenge:2608  immer ab $7EF00
  832.       Bret Hawnes Clone  KS2.04: ja
  833.       Kicktag, SumKickData, KickCheckSum, OpenNewLib, $6C
  834.       Namensbegruendung : siehe bei DisplayAlert (Unterschied zu B.H.)
  835.       Abhaengig von der Zeit meldet sich das VirusTeil mit DisplayAlert.
  836.       Die Routine und der Text wird decodiert mit:
  837.                        not.b (a1)
  838.                        eor.b #$27,(a1)+
  839.       Da hierbei die intuition.base hardcodiert im RangerRam ($c...)
  840.       abgelegt wird, wird nicht jeder in den "Genuss" des Textes kom-
  841.       men. (Ich denke ein Anfaenger war am Werk)
  842.  
  843.            62726172 79000000 00000096 14484559 brary........HEY
  844.            20212049 43482042 494e205a 5552dc43  ! ICH BIN ZUR.C
  845.            4b202121 21212121 21212100 01007d2d K !!!!!!!!!....-
  846.            2d3d3e20 4c554457 49472056 414e2042 -=> LUDWIG VAN B
  847.            45455448 4f56454e 203c3d2d 000100aa EETHOVEN <=-....
  848.            46494348 204d4143 4845204d 49434820 FICH MACHE MICH
  849.            4a45545a 54204155 46204445 4d200001 JETZT AUF DEM ..
  850.            00d75541 4d494741 20425245 49542021 ..UAMIGA BREIT !
  851.            21212120 00010096 69444153 20484945 !!! ....iDAS HIE
  852.            52204953 5420dc42 52494745 53204d45 R IST .BRIGES ME
  853.            494e204e 45554552 20564952 55530001 IN NEUER VIRUS..
  854.            00967d48 45204845 20484520 48452048 ...HE HE HE HE H
  855.            45204845 2048452e 2e2e2e20 20000100 E HE HE....  ...
  856.            96875649 454c2053 5041df20 4e4f4348 ..VIEL SPA. NOCH
  857.            2e2e2e20 00010096 91502e53 2e204d45 ... .....P.S. ME
  858.            494e4520 4d555349 4b205741 52205343 INE MUSIK WAR SC
  859.            484549df 45200001 00bea02d 20414245 HEI.E .....- ABE
  860.            52204d45 494e4520 56495245 4e205349 R MEINE VIREN SI
  861.            4e442047 45494c20 21210001 00e1b453 ND GEIL !!.....S
  862.            55434b20 4d592044 49434b20 0001005a UCK MY DICK ...Z
  863.            c3424954 54452043 4f4d5055 54455220 .BITTE COMPUTER
  864.            41555353 4348414c 54454e2e 2e2e2000 AUSSCHALTEN... .
  865.  
  866.       startup-sequence verseucht:
  867.         c0a0e0a0 c00a636c 730a0a00 00000000 ......cls.......
  868.         ^^^^^^^^^^^^^
  869.       Das Virusteil schreibt sich also in die erste Zeile der
  870.       s.-seq. . Diese Aenderung muessen Sie von Hand mit einem
  871.       Editor rueckgaengig machen. Das Programm selbst schreibt
  872.       sich in die Root einer Disk mit $C0A0E0A0C0 (ist sichtbar)
  873.       Nach 10 Vermehrungen wird bei B.H. eine Format-Routine an-
  874.       gesprungen. Diese Routine fehlt bei BEETHOVEN. Stattdessen
  875.       wird die DisplayAlert-Routine angesprungen.
  876.  
  877.    - BESTIAL-Virus  Link  dos.open
  878.        Gefunden an das Prg. border (Torsten Juergeleit) gelinkt.
  879.        Laenge dann: 7876 Bytes
  880.        Namensbegruendung: im Speicher und im File ist zu lesen
  881.            02e86018 3e204245 53544941 4c204445 ..`.> BESTIAL DE
  882.            56415354 4154494f 4e203c20 243c0000 VASTATION < $<..
  883.        Anmerkungen:
  884.           - Es duerfte sich um eine Anfaenger-Programmierung
  885.             handeln.
  886.           - Grundlage duerfte das XENO-Virus sein.
  887.           - Die Decodier-Routine im XENO wurde "uebersehen".
  888.           - Dafuer kommen jetzt 2 absolute JMP nach $Cxyz vor.
  889.             Wer da keinen Speicher hat, sieht bei der naechsten
  890.             Verwendung von dos-Open den GURU B.
  891.           - Mit etwas Glueck und Absicht gelingt der Link-Vorgang.
  892.           - Von 20 !!!!! gelinkten Files war KEIN File lauffaehig,
  893.             das mehr als 5 Hunks hatte. GURU 3, 4 usw.
  894.           - Die richtige Hunk-Behandlung bereitet Probleme. Mal
  895.             werden $10 Bytes doppelt geschrieben, bei Hunkanzahl
  896.             kleiner 3 oder es wird $3E9 verschluckt usw. Und dafuer
  897.             hab ich 4 Stunden geopfert.
  898.           - Meine Empfehlung: Leute spielt lieber mit dem Joystick !!!
  899.        Speichererkennung mit VT : getestet 04.03.93
  900.        Fileausbau mit VT        : getestet 08.03.93 (VT kann teilweise
  901.             auch Files reparieren, die im gelinktem Zustand nicht mehr
  902.             lauffaehig sind.)
  903.  
  904.    - BGS9 I (schiebt Orig.Prg. in devs)   Bytes 2608
  905.          laueft mit KS2.04 !!!!!
  906.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  907.          der BGS9 I bei fehlendem devs-Verz. das OrigPrg unsichtbar
  908.          in das Hauptverzeichnis.
  909.          KickMem, KickTag, KickCheckSum, OpenWindow
  910.          PrgTeile verschluesselt mit eori.l #$1AF45869,(a0)+
  911.          unsichtbares File in devs: A0A0A0202020A0202020A0
  912.          am Ende des Prg.Files ist mit einem Monitor zu sehen: TTV1
  913.          beim 4.Reset Textausgabe ueber GraphikRoutine:
  914.          schwarzer Hintergrund, weisse Schrift
  915.             A COMPUTER VIRUS IS A DISEASE
  916.              TERRORISM IS A TRANSGRESSION
  917.              SOFTWARE PIRACY IS A CRIME
  918.  
  919.                   THIS IS THE CURE
  920.  
  921.          BGS9 BUNDESGRENZSCHUTZ SEKTION 9
  922.               SONDERKOMMANDO "EDV"
  923.  
  924.             Entfernung: File in devs in OriginalPrg. umbenennen
  925.                         BGSVirusFile loeschen
  926.                         OrigPrg aus devs in entsprechendes Verzeichnis
  927.                         kopieren
  928.          Hinweis: es wird ein unsichtbares File (Name s.o.) weiterge-
  929.             geben mit der Laenge #64 und dem Inhalt "Protection file!".
  930.             Dieses File soll einen BGS9-Befall der Disk verhindern.
  931.          Clone: 04.03.92
  932.             TTV1 durch FUCK ersetzt
  933.  
  934.    - BGS9 II  aehnlich BGS9 I
  935.          aber File in devs jetzt:
  936.             A0E0A0202020A0202020A0
  937.          Hinweis: $E0 ist ein a mit Akzent
  938.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  939.          der BGS9 II bei fehlendem devs-Verz. das OrigPrg in das
  940.          Hauptverzeichnis.
  941.          Aenderung im Text:    :SOFTWARE'
  942.          Die Veraenderungen liegen im codierten PrgBereich
  943.          Im PrgFile TTV1 sichtbar
  944.  
  945.    - BGS9 III     s.o.
  946.          Neu: unsichtbarer Filename:
  947.             devs:A0,0
  948.             Entfernung: File in devs in OriginalPrg. umbenennen
  949.                         BGSVirusFile loeschen
  950.                         OrigPrg aus devs in entsprechendes Verzeichnis
  951.                         kopieren
  952.  
  953.    - BIG BOSS    SCA-Clone nur Text geaendert s.u.
  954.  
  955.    - BLACK KNIGHT Virus   BB  im Speicher immer ab $7F300
  956.          Cool $7F394, DoIo $7F3BC  KS2.04: ja
  957.          Fordert trackdisk.device NICHT
  958.          Namensbegruendung: decodiert ist im BB zu lesen
  959.                BLACK KNIGHT (12/11/91)
  960.          Virus meldet sich nicht.
  961.  
  962.    - BLACKFLASH V2.0     Cool, DoIo, FastMem ja
  963.          im Speicher immer ab $7F000
  964.          Zaehlzelle = $13  Textausgabe mit Graphikroutine (s.u.)
  965.          Schrift rot, Hintergrund schwarz
  966.          Vermehrung: ueber BB
  967.          Text steht unverschluesselt im BB:
  968.          HELLO, I AM AMIGA !
  969.            PLEASE HELP ME !
  970.          I FEEL STICK !
  971.          I HAVE A VIRUS !
  972.          ! BY BLACKFLASH !
  973.  
  974.    - BlackStar       anderer Name: Starfire1/NorthStar1  siehe dort
  975.  
  976.    - Blade Runners   SCA-Clone, immer ab 7EC00, Cool, im Prg. DoIo
  977.          Text: Hello! We are the Blade Runners!     u.s.w.
  978.  
  979.    - BLF-Virus  immer ab $7F000, Cool, DoIo, BeginIo
  980.          loescht KickTag usw.
  981.          Virusprogramm meldet sich NICHT.
  982.          Programmteil decodiert mit    eori.b #$28,(a1)+
  983.             u.a. zu lesen:    This is the new virus by BLF
  984.          Schaden und Vermehrung: BB
  985.  
  986.    - BlowJob   KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7f000
  987.          Taeuscht durch Text Memory Allocator 3.01 vor
  988.          Vermehrung und Schaden: Bootblock
  989.          Sobald die Zaehlzelle den Wert $7530 erreicht hat, wird ein
  990.          Programmteil mit subi.b #$71,D0 entschluesselt und mit display-
  991.          Alert der Text ausgegeben:
  992.             ONCE AGAIN SOMETHING WONDERFULL HAPPENED  (HE HE HE)
  993.            PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF
  994.  
  995.    - BlueBox  Filevirus, keine bekannten Vectoren werden verbogen
  996.          Laenge (gecrunched) 5608, nur Kreset (tut mit leid)
  997.          gedacht fuer Modembesitzer und Mailboxbetreiber, aber KEINE
  998.          Voraussetzung fuer Vermehrung (enthaelt Source fuer seriellen
  999.          Port $DFF030, $DFF018 ???!!!??? behindert Verbindung?!?!)
  1000.          Das gecrunchte Prg. (Bluebox) besteht aus 3 Teilen:
  1001.          - ein Taeuschprogramm: ermoeglicht Tonfolge mit Zehnertastatur
  1002.          - eine komplette icon.library
  1003.             - Laenge:6680
  1004.             - zusaetzlicher Text: input.device , RAM:
  1005.             - andere Jahreszahl
  1006.          - ein Kopierteil fuer falsche icon.library
  1007.             - testet ob icon.library schon existiert, falls nein
  1008.               KEINE Aenderung
  1009.             - testet ob Disk validated
  1010.             - setzt Protection-Bits zurueck
  1011.             - kopiert falsche icon.library
  1012.             - arbeitet auch mit HD !!!!!!
  1013.          Nach einem Reset wird ueber icon.library ein Process
  1014.          'input.device ' (mit Leerzeichen) gestartet. VT findet
  1015.          diesen Process, kann ihn aber nicht beenden (KReset).
  1016.          Erstellt auf RAM: ein unsichtbares ($A0) File (nicht immer).
  1017.          Ausbauhinweise:
  1018.          VT erkennt den VirusTraeger Bluebox nur als crunched !!
  1019.          Ignorieren Sie das Kreset-Angebot und loeschen Sie zuerst
  1020.          die falsche icon.library. Kopieren Sie dann die Original-
  1021.          icon.library auf die Disk oder HD (sonst nach Reset keine
  1022.          WB!!!). Zum Schluss starten Sie bitte das Kreset-Prg.
  1023.          Meine Maschine verhielt sich danach wieder normal. Dies
  1024.          kann bei Modemprg. oder MailboxPrg. anders sein ??? Probleme
  1025.          bitte melden. Danke
  1026.          Herkunft: Bluebox.lzh        23033 Bytes
  1027.                   -Bluebox            5608    (noch einmal gecrunched)
  1028.                   -Bluebox.info       325
  1029.                   -Bluebox.DOC        37271
  1030.                   -Bluebox.DOC.info   354
  1031.  
  1032.    - bnuke15-Virus    BBS-Bomb   siehe unten bei scan.x
  1033.  
  1034.    - BOMB-Bootblock   es wird dieser Bootblock als Virus weiterge-
  1035.          geben. Die Pruefsumme ist als BOMB lesbar. Es wird nachge-
  1036.          laden von einem hohen Track (habe nur BB). in diesem Track
  1037.          koennten natuerlich VirenRoutinen stehen, aber es kann
  1038.          genausogut ein BB-Lader sein. Bitte schicken Sie mir eine
  1039.          funktionsfaehige Disk mit diesem hohen Track. Danke
  1040.  
  1041.    - boot-aids Virus  BB
  1042.          KS2.04: nein
  1043.          Namensbegruendung: im BB ist uncodiert zu lesen:
  1044.                boot-aids by hiv
  1045.          verbogene Vektoren: BeginIo, KickTag, KickCheckSum, SumKick-
  1046.            Data
  1047.          Der Speicherbereich fuer das Virusteil wird mit $DFF007 be-
  1048.          stimmt.
  1049.          Schaeden: In Abhaengigkeit von $DFF006 soll ein Block mit
  1050.          HIV gefuellt werden.
  1051.          Vermehrung: BB
  1052.          Ihnen kommt das bekannt vor ? Erinnert irgendwie an Lamer !
  1053.          Selbst die Endekennung $abcd ist vorhanden.
  1054.          Gewisse Schreibprobleme sollte man uebersehen im BB:
  1055.          guradians
  1056.            ^^
  1057.          Clone: STARCOM 5  siehe unten
  1058.  
  1059.    - BOOTJOB  File  FF 760    Laenge:1356
  1060.          Namensbegruendung: s.u.
  1061.                                       23c0003c ,y......N...#..<
  1062.                                           ^^^^
  1063.            e3b4                           237c ..C...N...C...#.
  1064.            ^^^^
  1065.            003ce3a4
  1066.            ^^^^^^^^
  1067.            45442057 49544820 424f4f54 4a4f4220 ED WITH BOOTJOB
  1068.            56312e30 30205752 49545445 4e204259 V1.00 WRITTEN BY
  1069.  
  1070.          Ein Utility-Prg. zum Abspeichern eines BBs als aus-
  1071.          fuehrbares File. Bei Filetest und BlockKette wird
  1072.          BootJob erkannt. Wenn Sie wissen wollen, um welchen BB
  1073.          es sich handelt, gehen Sie bitte in den File-Req.,
  1074.          klicken das File an und klicken dann auf Filetest.
  1075.          Es werden 2 absolute Adressen verwendet (^^^). Was
  1076.          macht der User, der dort keinen Speicher hat ?
  1077.          Empfehlung: Loeschen
  1078.  
  1079.    - BOOTJOB V1.3 File  FF 814    Laenge:1356
  1080.          Fehler mit absoluten Adressen behoben.
  1081.  
  1082.  
  1083.    - BOOTX-Virus  BB   KickTag, KickCheckSum  auch KS2.04
  1084.          anderer Name: PERVERSE I
  1085.          Taeuschungsversuch durch lesbaren Text in BB:
  1086.             BOOTX-Viruskiller by P.Stuer
  1087.          verraet sich bei mir bei gesetztem Schreibschutz durch
  1088.          Systemrequest  read/write error
  1089.          Vermehrung: BB
  1090.          Schaeden:
  1091.          faengt ueber input.device Tastatureingaben ab und gibt Text
  1092.          aus. Der Text steht als RAW-Code im BB (amerik.Tastatur !!)
  1093.  
  1094.          SOFTWARE_PIRATES RUINED MY EXCELLENT PROFESSIONAL DTP_PROGRAM
  1095.          I REVENGE MYSELF ON THESE IDIOTS BY PROGRAMMING VIRUSES
  1096.          THIS IS PERVERSE I  BECAUSE I LIKE ASSHOLE_FUCKING
  1097.          I PROGRAM VIRUSES FOR MS_DOS TOO
  1098.  
  1099.          Eine Weiterarbeit ist NICHT moeglich. Das Virusprogramm
  1100.          muss geloescht werden.
  1101.  
  1102.    - BRET HAWNES    Filevirus  Laenge: 2608 , immer ab $7F000
  1103.           Kicktag, SumKickData, KickCheckSum, OpenNewLib, $6c
  1104.           Vermehrung und Schaden:
  1105.           schreibt in Root und in 1.Zeile startup: C0A0E0A0C0
  1106.  
  1107.           nach 20 Minuten blauer Graphikbildschirm und weisse Schrift:
  1108.  
  1109.             GUESS WHO`S BACK ??? VEP. BRET HAWNES BLOPS YOUR SCREEN
  1110.                  I`VE TAKEN THE CONTROLL OVER YOUR AMIGA!!!
  1111.              THERE`S ONLY ONE CURE: POWER OFF AND REBOOT ! ! ! ! !
  1112.  
  1113.           Statt der 10. Vermehrung werden Tracks zerstoert.
  1114.  
  1115.    - Hinweis 01.08.93: Es ist ein Clone aufgetaucht, bei dem nur der
  1116.          lesbare Text (nicht der codierte) geaendert wurde.
  1117.          Wird weiterhin nur als Bret-Virus erkannt.
  1118.          KS2.04 : ja
  1119.          Laenge: 2600  also 8 Bytes kuerzer als Original, weil
  1120.            03EC-Hunk entfernt wurde. Vermehrt sich das Teil,
  1121.            so ist die Laenge wieder 2608, da der 03EC-Hunk vom
  1122.            Virus angelegt wird.
  1123.          Am Fileanfang:
  1124.            0000027D 60000018 53544152 4C494748 ...}`...STARLIGH
  1125.            54203120 50524F44 55435449 4F4E2C79 T 1 PRODUCTION,y
  1126.          Am Fileende:
  1127.            F9526100 FED66000 FA02444F 20594F55          .DO YOU
  1128.            204C494B 45204D59 20464952 53542056  LIKE MY FIRST V
  1129.            49525553 203F2044 4F4E4520 4259204D IRUS ? DONE BY M
  1130.            43444A2D 4444454E 49545921 20323130 CDJ-DDENITY! 210
  1131.            32393000 00000000 000003F2 000003EB 290....
  1132.          Wird vielleicht von anderen AntivirusPrg als Starlight
  1133.          - Virus erkannt. VT bleibt bei BRET HAWNES.
  1134.  
  1135.  
  1136.    - BS1! (noch ein SCA )
  1137.  
  1138.    - BULGARIA Virus  File  BYTEPARASITE III - Clone  s.u.
  1139.  
  1140.    - BURN-Virus  Typ 1  Link und Zerstoerung
  1141.          Keine staendig verbogenen Vektoren (manchmal Dos-Write)
  1142.          Lauffaehigkeit getestet: KS1.3, KS2.04, KS3.0
  1143.          Verlaengert ein File um 2412 Bytes.
  1144.          Haengt 2 Hunks an. Einen Hunk zu Beginn des Original-Files und
  1145.          einen an das Ende (das ist neu !!!).
  1146.          Kann vorhandenen $3F1-Hunk am Anfang des Original-Files ueber-
  1147.          springen.
  1148.          Baut eigenen Process auf. Ein Name fuer den Process wird in der
  1149.          TaskWait-Liste gesucht. Damit nicht immer derselbe Processname
  1150.          Verwendung findet, wird die max. Laenge der  Suchschleife mit
  1151.          - move.b $BFE801,d0 - festgelegt.
  1152.          Falls Sie also in VT/Listen/tasks ploetzlich z.B. 2x ramlib oder
  1153.          3x Snoopdos ( im Test passiert ) finden, dann sollten
  1154.          bei Ihnen SOFORT die Alarmglocken klingeln. Diese Routine ist
  1155.          EBENFALLS NEU.
  1156.          VT versucht den Process im Speicher zu finden und bietet dann
  1157.          loeschen an (hoffe ich). Da ich nicht gerne Processe abschalte,
  1158.          (GURU-Gefahr), waere ein RESET auch nicht schlecht.
  1159.          Die Arbeit des Processes wird etwas gebremst durch
  1160.          ein DosDelay in Abhaengigkeit von  - move.b $BFE601,d1 - .
  1161.          Enthaelt eine Datumsroutine:
  1162.               cmpi.l #$16f9,(a5)    = 7.Feb.1994
  1163.          Wenn dieses Datum ueberschritten ist, soll IMMER zerstoert werden.
  1164.          Ist dieses Datum noch nicht erreicht, so soll zuerst ein Link
  1165.          versucht werden. (DosLock, examine, exnext usw.). Wenn Link miss-
  1166.          lungen dann auch Zerstoerung.
  1167.          Ich habe mehrere Stunden auf verschiedenen Rechnern "geuebt". Es
  1168.          ist mir KEINE Vermehrung gelungen. Falls jemand mehr "Glueck" hat,
  1169.          bitte ich um Zusendung einiger Files. Danke !!
  1170.          Die Link-Routine kennt zuwenig Hunk-Typen. Falls eine Vermehrung
  1171.          wirklich gelingt, duerften haeufig NICHT LAUFFAEHIGE Programme
  1172.          entstehen. Ob VT diese Files durch Ausbau wieder in den Original-
  1173.          Zustand versetzen kann, kann ich nicht beurteilen, da mir die
  1174.          Vermehrung nicht gelungen ist.
  1175.          Zerstoerungsroutine:
  1176.            Der Rigid-Bereich wird erreicht, da die Zeile
  1177.                 subq.w #2,d1  vorkommt.
  1178.            Die Laufwerke werden ueber DosEnv besorgt. (dosroot -> dosenv).
  1179.            Disketten mit 11 Sektoren duerften NICHT zerstoert werden (ble.b).
  1180.            BURN wird decodiert mit
  1181.                  move.l #$5171c5c8,d1
  1182.                  eori.l #$13249786,d1
  1183.          Ergebnis in den Sektoren auf meiner SyQuest:
  1184.           0000: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  1185.           0010: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  1186.           0020: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  1187.           0030: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  1188.           Da duerfte nicht viel zu retten sein.
  1189.    - BURN-Virus  Typ 2  Link und Zerstoerung
  1190.          Verlaengert ein File um 2428 Bytes
  1191.          Die Vermehrungs-Routine arbeitet jetzt !!!!!!!!
  1192.          Mehrfachlinks an ein File sind moeglich, da eine "Schon-Ver-
  1193.          seucht"-Routine fehlt. Nach 8 Links an echo aufgehoert.
  1194.          Durch  andi.b #$f,d0 wird nicht mehr ab 7.Feb.1994 immer zer-
  1195.          stoert, sondern es werden Tage ausgewaehlt.
  1196.          BURN wird nicht mehr geschrieben, sondern BAF00D0D (wenn ueber-
  1197.          haupt), weil Fehler:
  1198.                  move.l #$baf00d0d,d1
  1199.                  addi.l #$87654541,d0
  1200.                                    ^^
  1201.          Ergebnis in den Sektoren bei mir:
  1202.           0000: baf00d0d baf00d0d baf00d0d baf00d0d ................
  1203.           0010: baf00d0d baf00d0d baf00d0d baf00d0d ................
  1204.           0020: baf00d0d baf00d0d baf00d0d baf00d0d ................
  1205.           0030: baf00d0d baf00d0d baf00d0d baf00d0d ................
  1206.           0040: baf00d0d baf00d0d baf00d0d baf00d0d ................
  1207.          Restliches Verhalten siehe bei BURN Typ 1 .
  1208.  
  1209.    - BUTONIC 1.1     anderer Name BAHAN (im BB immer lesbar)
  1210.          Cool, im Prg. DoIo, immer ab $7ec00, FastMem ja
  1211.          Vermehrung: ueber BB wenn DOS0 gefunden
  1212.          Textausgabe mit PrintIText (entschluesselt mit eori.b #-1,d1
  1213.          nach $7eb0c)
  1214.          im Speicher dann sichtbar:
  1215.      BUTONIC'S VIRUS 1.1 GREETINGS TO HACKMACK ... <GENERATION NR. #####>
  1216.  
  1217.    - BX-Updater-Bomb   File   Laenge: 2052
  1218.          Keine verbogenen Vektoren.
  1219.          Namensbegruendung: es wird ein Fenster geoeffnet, das fol-
  1220.          genden Text in der Fensterleiste enthaelt:
  1221.            ff224e75 5241573a 302f302f 3634302f ."NuRAW:0/0/640/
  1222.            3230302f 426f6f74 582d5570 64617465 200/BootX-Update
  1223.            72206279 20534849 20536166 65204865 r by SHI Safe He
  1224.          usw.
  1225.          Im Fenster selbst wird sinnloser Text ausgegeben, der den
  1226.          Ruf von SHI schaedigen soll.
  1227.          In Wirklichkeit wird ein format QUICK NOICONS ausgefuehrt.
  1228.          Betroffen: WORK, DH0: und DF0:
  1229.          Ein FehlerRequester soll durch das Prg. unterdrueckt werden.
  1230.          VT bietet loeschen an.
  1231.  
  1232.    - Byte Bandit       ohne FastMem
  1233.          Begin, KickTag, KickCheckSum, Vec5
  1234.          KS2.04: nein  bei mir Guru 4
  1235.          Im BB ist zu lesen:
  1236.            56697275 73206279 20427974 65202020 Virus by Byte
  1237.            42616e64 69742069 6e202039 2e38372e Bandit in  9.87.
  1238.            4e756d62 6572206f 66202020 20202020 Number of
  1239.            636f7079 73203a00 0000032d 48e77f7f copys :....-H.
  1240.            ;weit unten ....
  1241.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  1242.            00646f73 2e6c6962 72617279 00000000 .dos.library....
  1243.  
  1244.    - Byte Bandit 2    anderer Name: No Name 1  s.u.
  1245.  
  1246.    - Byte Bandit Clone     ohne Fastmem
  1247.       Diff zu OrigByteBandit: 180 Bytes
  1248.      (  Byte B.. Text wurde aus BB entfernt !!)
  1249.  
  1250.    - ByteBanditError
  1251.       das OriginalByteBanditVirusPrg. beginnt im BB bei $0C, hier bei $32
  1252.       Da die alte BB-Copy Routine verwendet wird, ist das 1.LW im neuen
  1253.       Copy-BB nicht DOS0, d.h. die neu verseuchte Disk ist "Not a DOS-Disk"
  1254.       also weder boot- noch vermehrungsfaehig
  1255.  
  1256.    - ByteBanditPlus  Kick1.2 ohne FastMem
  1257.                   Begin, KickTag, KickCheckSum, Vec5
  1258.       Diff zu OBB: 92 Bytes
  1259.       (zusaetzlich trackdisk.... entfernt)
  1260.  
  1261.    - ByteParasite       reines Zerstoerungsprogramm  Laenge: 2108
  1262.       soll auch $6c verbiegen, aber vorher GURU
  1263.       Schaeden:
  1264.       soll zwischen cd, dir und startup-sequence je 1 Byte austauschen, aber
  1265.       sehr sehr schlecht programmiert (Anfaenger spielt besser mit dem
  1266.       Joystick). Deshalb meist GURU.
  1267.       Keine Vermehrung, keine Textausgabe
  1268.  
  1269.    - BYTEPARASITE II  File, Laenge ungepackt: 908 Bytes
  1270.       Auch mit KS2.04, keine Vektoren verbogen
  1271.       Taeuscht durch das Zeigen einer Fensterleiste:
  1272.          VirusX: Checking Device Df0:
  1273.       Versucht dann von df0:c VirusX nach df1:c zu kopieren und
  1274.       verraet sich so wenn in df1: keine Disk liegt durch einen
  1275.       Requester.
  1276.       Gefahr der Vermehrung besteht nur wenn BYTEPARASITE II als
  1277.       VirusX getarnt in df0:c vorhanden ist.
  1278.       Aus dem Text im File kann geschlossen werden, dass damit
  1279.       ein Antivirusprogrammierer geaergert werden soll:
  1280.          But now send me to : (Adresse)
  1281.  
  1282.    - BYTEPARASITE III   File, Laenge ungepackt: 2160 Bytes
  1283.       Cool, KickMem, KickCheckSum  (teilweise sinnlose Werte ausser-
  1284.          halb des vorhandenen Speichers)
  1285.       $6c  (sinnvoller Wert)
  1286.          Das Programm MUSS !!!! im Speicher geloescht werden, sonst
  1287.          erscheint nach einigen Arbeiten mit dem Computer sicher
  1288.                Task held usw. . Dies ist nicht Absicht, sondern die
  1289.          sinnlosen Werte sind verantwortlich.
  1290.       Taeuscht durch das Zeigen einer Fensterleiste:
  1291.          Virus-Checker V3.0 by   usw
  1292.       Sucht c/Virus-Checker und schreibt Prg-Teile (falls gefunden)
  1293.       absolut nach $7C000. Versucht in einem anderen LW mit SubDir c
  1294.       Virus-Checker anzulegen (bei mir IMMER dann Filelaenge 0).
  1295.       Verraet sich durch DOS-Requester.
  1296.       Hinweis: Hallo Enforcer-Freunde. VT erzeugt hier beim Test
  1297.          einen weiteren Enforcer-Hit. ($6c=ZeroPage)    
  1298.       Nachtrag: Stand 14.02.92
  1299.          Leider haben mich einige Briefe erreicht, die darauf hin-
  1300.          weisen, dass Hardwareschaeden (sinnlose Werte s.o.) durch BP3
  1301.          verursacht werden. Stellvertretend ein Auszug:
  1302.      ".... musste ich feststellen, dass der Steppermotor sich am Spindel-
  1303.       ende zur Laufwerksmitte festgedreht hatte....
  1304.       ... drehte die Spindel mit der Spitzzange zurueck...
  1305.       ... das Laufwerk/Schreib-Lesekopf muss neu justiert werden."
  1306.      Es ist also im Amiga-Bereich jetzt auch der Punkt erreicht, dass
  1307.      Viren Hardwareschaeden verursachen koennen. NIE !!!!! eine unbe-
  1308.      kannte Disk starten. Nehmen Sie sich die Zeit und testen Sie die
  1309.      Disk mit einem AntiVirusProgramm ihrer Wahl durch !!!
  1310.    - Clone aufgetaucht. Filename FCheck
  1311.       Laenge gepackt:   1368 Bytes
  1312.       Laenge ungepackt: 2160 Bytes
  1313.       Text geaendert. Der geistige Tiefflug geht soweit, dass nicht er-
  1314.       kannt wurde, dass  cmpi.l #"-che",(a0)  in  cmpi.l #"_Che" ge-
  1315.       aendert werden muesste. Es ist halt bei der Selbsterkennungs-
  1316.       routine ein kleiner Unterschied zwischen - _ und c C .
  1317.       Das Teil stammt nie und nimmer aus Bulgarien.
  1318.            62726172 7900632f 56697275 735f4368 brary.c/Virus_Ch
  1319.            65636b65 7200632f 56697275 735f4368 ecker.c/Virus_Ch
  1320.            65636b65 72004275 6c676172 69616e20 ecker.Bulgarian
  1321.            416e7469 6c616d65 7220616e 64205669 Antilamer and Vi
  1322.            72696861 636b6572 20262043 7261636b rihacker & Crack
  1323.            65722047 6d624800 2042554c 47415249 er GmbH. BULGARI
  1324.            41000056 69727573 5f436865 636b6572 A..Virus_Checker
  1325.            2056362e 34206279 204a6f68 6e205665  V6.4 by John Ve
  1326.            6c647468 75697320 20004368 65636b69 ldthuis  .Checki
  1327.            6e672044 46303a20 466f7220 56697275 ng DF0: For Viru
  1328.  
  1329.    - BYTE VOYAGER I    Kicktag, KickCheckSum, im Prg. DoIo und $6c
  1330.          immer ab $7F000, verschluesselt mit $DFF006
  1331.  
  1332.       Vermehrung und Schäden (auch HD !!):
  1333.       Bootblock und schreibt in Block 880 "Infected by BYTE VOYAGER !!!!!"
  1334.       Der Text ist bei Disks der neue Diskname.
  1335.       Clone: STARCOM 3 Virus   siehe unten
  1336.  
  1337.    - Byte Voyager II    Kicktag, KickCheckSum, im Prg. DoIo und $6c
  1338.          immer ab $7F000, verschluesselt mit $DFF006
  1339.  
  1340.       Vermehrung und Schäden (auch HD !!):
  1341.       Bootblock und schreibt in Block 880 "Another Virus by Byte Voyager"
  1342.       Der Text ist bei Disks der neue Diskname.
  1343.  
  1344.    - Byte Warrior (DASA)    (KickV1.2)
  1345.          DoIo, KickTag, KickCheckSum
  1346.          erster BB-Virus, der verschluesselt wurde
  1347.       moegliches Ursprungsprogramm: ByteWarriorCreater
  1348.                      gepackt: 6012 Bytes  (TNM)
  1349.                    ungepackt: 7360 Bytes
  1350.         Erzeugt mit FastMem   NDOS-Disk
  1351.         Schreibt ohne FastMem ByteWarrior in Bootblock von DF1:
  1352.      Clone: Paramount, MAD 3, MAD 3b
  1353.  
  1354.    - Cameleon-Virus  BB    siehe bei Little Sven
  1355.  
  1356.    - Cascade-Virus  BB
  1357.       Im Speicher immer ab $7E000
  1358.       Cool $7E060, DoIo $C0, Vec5 $E0 (also beide in der ZeroPage)
  1359.       Fordert trackdisk.device NICHT
  1360.       Namensbegruendung:
  1361.        Am Ende des BBs ist zu lesen:
  1362.         Cascade V2.1CCount :
  1363.       Vermehrung: als BB
  1364.        z.B. linke Maustaste nicht gedrueckt
  1365.        Es werden 1 oder 2 Bloecke mit DoIo geladen
  1366.        DOS0-Kennung wird gefunden.
  1367.        Test auf "SCA ", "Casc", "ID92"
  1368.       Schaeden:
  1369.        a) Schreibt von $c0 bis $FF in die ZeroPage. Dies ist unter
  1370.        KS1.3 unschaedlich, da dieser Bereich NICHT vom Betriebs-
  1371.        system genutzt wird. Ab KS2.04 liegen da aber Vektoren. Da
  1372.        das Virusteil den Bereich vor dem Ueberschreiben nicht
  1373.        rettet, kann es zu einem Guru kommen.
  1374.        Cascade_ZeroPage
  1375.          00b0: 00f80a94 00f80a96 00f80a98 00f80a9a ................
  1376.          00c0: 0c794ef9 0007e066 670c42b9 000006a4 .yN....fg.B.....
  1377.          00d0: 4ef900f8 08084ef9 0007e072 43617363 N.....N....rCasc
  1378.          00e0: 0c794ef9 0007e06c 670c42b9 000006a4 .yN....lg.B.....
  1379.          00f0: 4ef900f8 17044ef9 0007e078 61646521 N.....N....xade!
  1380.        b) Sobald eine Zaehlzelle den Wert $DEC und eine andere Zaehl-
  1381.        zelle den Wert #5 erreicht hat wird mit graphic.lib der Maus-
  1382.        zeiger in eine Penis-Darstellung umgewandelt. Dies hat bei
  1383.        mir nur mit KS1.3 funktioniert. Mit KS2.04 habe ich sofort
  1384.        den Guru gesehen.
  1385.        Siehe auch Firedom.BB Virus = Clone
  1386.  
  1387.    - CBM-Virus   BB  nur KS1.2  MicroSystems-Clone  s.u.
  1388.       nur Text geaendert.
  1389.            79726967 68746564 20627920 62696720 yrighted by big
  1390.            205d830c 436f6d6d 6f646f72 65204147  ]..Commodore AG
  1391.  
  1392.    - CCCP-Virus    Cool, im Prg. Vec3, DoIo, Openwindow, NewOpenLib !!!!
  1393.       Erstes VirusPrg. das sich als BB und als Link vermehren kann !!
  1394.          KS1.3  ja
  1395.          KS2.04 ja
  1396.          Mehrfachlinks: ja
  1397.          Defekte Files: ja   (Hunkstruktur defekt nur loeschen moeglich)
  1398.       im BB sichtbar: CCCP VIRUS
  1399.       Link: verlaengert ein File um 1044 Bytes
  1400.       Befaellt keine Prg.e in l (z.B.libs), d (z.B.devs), f (z.B.fonts).
  1401.       Clone: STARCOM 1 Virus, IRAK3  siehe unten
  1402.    - CCCP-TAI6-Clone
  1403.       Text geaendert:
  1404.            70004e75 542e412e 492e2053 49584df8 p.NuT.A.I. SIXM.
  1405.  
  1406.    - CENTURIONS     anderer Name: THE SMILY CANCER   siehe dort
  1407.  
  1408.    - Challenger   trojanisches Pferd
  1409.       Keine Vektoren verbogen.
  1410.       Herkunft: FF622  challenger_d.main  Laenge: 126336 Bytes
  1411.       Ablauf (vgl. Snoopdos): Sobald Sie das Spiel starten, wird ein
  1412.       Original-Setclock-Befehl (4884 Bytes) in SYS:devs/keymaps ange-
  1413.       legt und in a umbenannt. In c: wird ein neuer Setclock-Befehl
  1414.       angelegt:
  1415.          Laenge gepackt mit Imploder: 4884  (explode.lib)
  1416.                             entpackt: 7344
  1417.       Weiterhin wird in SYS:devs/keymaps noch ein File mit Namen rca
  1418.       angelegt:
  1419.          Laenge gepackt mit Imploder: 5328  (explode.lib)
  1420.                             entpackt: 8388
  1421.       Vermehrung: nur nach SYS:
  1422.       Der setclock-Befehl sollte in der startup-sequence stehen (ab
  1423.       KS2.04 NICHT mehr notwendig !!!). Deshalb rufen Sie bei jedem
  1424.       Boot-Vorgang auch diesen Befehl auf. Dies ist am 24. Juli eines
  1425.       Jahres gefaehrlich. An diesem Tag wird das File rca auch aufge-
  1426.       rufen. Es wird ein Text (schwarzer Hintergrund rote Schrift)
  1427.       ausgegeben und der Rechner blockiert.
  1428.          
  1429.            Guten Tag, hier ist der Guru Ihres
  1430.            Amiga-Computers. Laut Arbeitsvertrag
  1431.            habe ich das Recht auf einen Medita-
  1432.            tionstag pro Jahr. In meinem Fall ist
  1433.            das der 24. Juli jeden Jahres. Da wir
  1434.            heute dieses Datum schreiben, stehe ich
  1435.            Ihnen erst morgen wieder zur Verfügung.
  1436.            Bitte haben Sie Verständnis dafür, denn
  1437.            auch wir Gurus müssen einmal ausruhen.
  1438.  
  1439.       Es sind noch weitere Texte in rca vorhanden, aber die wurden
  1440.       bei mir nicht ausgegeben. Die Zerstoerung von Files wurde
  1441.       von mir nicht festgestellt.
  1442.       Empfehlung: entsprechende Files in c und keymaps loeschen und
  1443.       setclock von OrigWB-Disk neu nach c: kopieren.
  1444.       Arbeit mit VT:  (getestet: 16.04.92)
  1445.       challenger_d.main  wird geloescht
  1446.       c:setclock  es wird ein rename mit devs/keymaps/a versucht. Falls
  1447.       nicht vorhanden, wird setclock allein geloescht. Sie muessen dann
  1448.       unter KS1.3 setclock von OrigWB-Disk neu kopieren
  1449.       devs/keymaps/rca  wird geloescht.
  1450.       Hinweis Stand 16.06.94:
  1451.       BBS Spiel GlobalWar Laenge 100136 Bytes
  1452.       In diesem Spiel wird im Moment von EINEM anderen AntiVirusProgramm
  1453.       das Challenger-Virus erkannt. Ich nehme an, dass diese Fehlerkennung
  1454.       beim naechsten Update dieses AntiVirusProgramms behoben sein wird.
  1455.       Richtig ist allerdings
  1456.       - Challenger-setmap entpackt  (so kommt es aber im Original NICHT vor)
  1457.       - Challenger-rca entpackt     (so kommt es aber im Original NICHT vor)
  1458.       - GlobalWar
  1459.       stimmen im ERSTEN Hunk bis auf Sprungbefehle sehr gut ueberein. Die
  1460.       Virustexte stehen aber bei Challenger im zweiten Hunk. GlobalWar
  1461.       sieht im Zweiten anders aus. Ob es sich beim ersten Hunk um eine
  1462.       veroeffentlichte Startup-Routine handelt, kann ich nicht beurteilen.
  1463.       Ich kann mir das aber nur so erklaeren, oder ?????
  1464.  
  1465.    - Chameleon-Virus  BB    siehe bei Little Sven
  1466.  
  1467.    - Chaos      anderer Name: Taipan-Chaos
  1468.       Cool, DoIo
  1469.       BB codiert mit Wert aus $DFF006
  1470.       Schaeden:
  1471.       Vermehrung mit BB
  1472.       sobald Zaehlzelle 8 erreicht hat:
  1473.       alle Blocks einer Disk werden mit unsinnigen Werten gefuellt,
  1474.       DisplayAlert: Chaos! by Tai-Pan   usw.
  1475.       dann reset
  1476.       Herkunft: Virusinstall V2.0
  1477.  
  1478.    - CHAOS-MASTER V0.5   File   PP-Laenge: 12972, ungepackt:16676
  1479.             CHAOS-MASTER V0.5 im ungepackten File lesbar
  1480.          Filename wahrscheinlich: dir
  1481.          KEINE bekannten Vektoren verbogen, nicht resetfest
  1482.       Schaeden und Vermehrung:
  1483.          - dir-Befehl wird manchmal nicht ausgefuehrt. Ein kleines
  1484.            Fenster erscheint: Error xyz, Return-Gadget
  1485.             die Zahl xyz kann auch negativ sein und entspricht NICHT
  1486.             dem DOS-Error-Code.
  1487.          - Sie geben ein: dir df3:
  1488.            Das Inhaltsverzeichnis von df3 wird ausgegeben und das
  1489.            Virus-File nach df3:c/dir kopiert. Ein bereits vorhandener
  1490.            Dir-Befehl wird ueberschrieben.
  1491.          - Sie geben ein: dir prefs
  1492.            Das Inhaltsverzeichnis von prefs wird ausgegeben und ein File
  1493.            disk.info (Laenge:370 Bytes) nach prefs kopiert. Dieses File
  1494.            enthaelt am Anfang die Icon-Struktur. Der groessere Teil der
  1495.            Struktur ist durch Text ueberschrieben. Folge: Sie klicken
  1496.            die Prefs-Schublade an, disk.info muesste als Icon darge-
  1497.            stellt werden, geht aber nicht, da Struktur nicht in Ordnung.
  1498.            Also stellt der Computer die Arbeit ein. Reset wird notwendig.
  1499.            Text in disk.info: Sorry an alle User  usw.
  1500.          - Sie geben ein: c/dir df3:
  1501.            Inhaltsverzeichnis wird ausgegeben und das Virus-File nach
  1502.            df3:c/r  (!!!! Programmierfehler) geschrieben.
  1503.       Empfehlung: dir-Befehl loeschen (VT) und von OrigWB neu kopieren.
  1504.  
  1505.    - Charlie Braun      anderer Name: Hireling Protector V1.0
  1506.       ForpibClone  s.u.    nur Text geaendert
  1507.  
  1508.    - CHEATER HIJACKER  BB   auch KS2.04    LameBlame-Clone s.u.
  1509.          DisplayAlert-Text geaendert:
  1510.             -+= CHEATER HIJACKER     usw.
  1511.       Wird auch erzeugt von VIRUS TERMINATOR V6.0  s.u.
  1512.  
  1513.    - Check    Filevirus   PP-crunched   Laenge:18644
  1514.       Process: HardDisk.device
  1515.       in C-Aztek
  1516.       Schaeden: alle 5 Min (delay $3a98) Bild (Totenkopf) und Sound
  1517.       fuer kurze Zeit
  1518.       KEINE Vermehrungsroutine gefunden
  1519.  
  1520.    - CHRISTMAS VIOLATOR   Link
  1521.       Soll einen zusaetzlichen 1.Hunk erzeugen.
  1522.       Verlaengert File um 1060 Bytes
  1523.       Verwendet aufs Byte genau die IRQ-Linkroutine
  1524.       Braucht ExecBase im Speicher ab $C00000
  1525.       Cool immer $7E07a, im Prg. OldOpenLib immer $7FB88
  1526.       Nur mit KS1.3, da absoluter ROM-Einsprung.
  1527.       Programm liegt zweigeteilt ab $7E000 und $7FB84 im Speicher.
  1528.       Der Linkvorgang konnte NICHT erreicht werden, da im Programm
  1529.       MEHRERE Fehler vorliegen. Immer GURU 3. VT-Empfehlung: loeschen
  1530.       Namensbegruendung:
  1531.        Ein Programmteil, das NIE erreicht wird, decodiert mit
  1532.            eori.b #$27,(a1)+  ergibt:
  1533.                                       203e3e3e              >>>
  1534.            20434852 4953544d 41532056 494f4c41  CHRISTMAS VIOLA
  1535.            544f5220 62792074 68652044 7265616d TOR by the Dream
  1536.            20546561 6d202d20 28484520 4845293c  Team - (HE HE)<
  1537.            3c3c2020 48617665 2061206e 69636520 <<  Have a nice
  1538.            6461792e 2e2e2000                   day...
  1539.  
  1540.    - Claas Abraham     andere Namen: Abraham, MCA
  1541.       Cold, Cool, KickTag, KickCheckSum, $68
  1542.       braucht FastRam !!!!! Angefordert mit #$4,d1 und AllocMem
  1543.       (Programmierfehler ????)
  1544.       im Prg.Ablauf erst BeginIo
  1545.       Vermehrung: ueber BB
  1546.       Schaden: nach $F-Resets Formatierung
  1547.       Eor-Byte wird fuer neuen BB aus $DFF006 erzeugt
  1548.       entschluesselt steht im Speicher:
  1549.       >>> Claas Abraham Virus !!! <<<
  1550.  
  1551.    - Clist-Virus    anderer Name: U.K.LamerStyle
  1552.       Begin, Kicktag, KickCheckSum
  1553.       entschluesselt steht im Speicher:
  1554.    expansion ram.trackdisk.device..clist.library.clist 33.80 (8 Oct 1986).
  1555.       Vermehrung: ueber BB
  1556.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  1557.       schluesselungsByte wird mit $DFF006 festgelegt.
  1558.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  1559.       und !!!! mit allocabs eingetragen.
  1560.  
  1561.    - CLP-Trojan   File  Laenge ungepackt: 51000-52000 Bytes
  1562.       siehe auch bei UA62-ACP-Trojan, PHA Trojan
  1563.       Soll in CLP_WOW.exe sein. Wer das File hat, moege es mir BITTE
  1564.       zuschicken. Danke
  1565.       Ich habe KEIN lauffaehiges Virusfile. Nur GURU auf allen Maschinen
  1566.       und jeder KS .
  1567.       Keine verbogenen Vektoren.
  1568.       Keine Vermehrung
  1569.       Namensbegruendung: siehe Auszug
  1570.       Schaden:
  1571.       Soll in alle Files in S: einen Text schreiben.
  1572.            62726172 7900533a 0049736e 27742043 brary.S:.Isn't C
  1573.            55544520 4c495454 4c452050 4f4e4e49 UTE LITTLE PONNI
  1574.            4553206a 75737420 61206e69 63652067 ES just a nice g
  1575.            726f7570 213f2e2e 2e206861 68616861 roup!?... hahaha
  1576.            ;usw
  1577.       Clone:  Anim_demo.exe  Laenge: 1795068 Bytes  !!!!
  1578.       gefunden in: kef_ani.lha  Laenge: 179143 Bytes
  1579.       Es handelt sich NICHT um ein Intro, sondern am Ende steht 2x
  1580.       das CygnusEd Prof. 3.5 Prg.
  1581.       Es wurden 2 4EB9-4EF9-Links verwendet, um ein CLP-Teil anzu-
  1582.       haengen. Unterschiede:
  1583.       a) es soll nicht nach s: sondern nach BBS: gesucht werden.
  1584.       b) es wird der dR. WHo Text (s.u. bei UA62) verwendet.
  1585.       VT erkennt: CLP-Virus ???
  1586.       VT bietet nur loeschen an. Begruendung:
  1587.       Das Teil ist NICHT lauffaehig.
  1588.       Der Source-Code von CLP-Trojan ist durch die Netze gewandert.
  1589.       Verstehe ich nicht so ganz. Dieser Source hatte MEHRERE Fehler.
  1590.       Genau die gleichen Fehler tauchen auch in diesem Prg auf.
  1591.       Bessert man die Fehler nach, so koennte Anim_demo.exe bei ge-
  1592.       nuegend Speicher und vorhandener BBS: Schaden anrichten. Die
  1593.       Groesse des Files ist in der Speicherreservierung fuer den
  1594.       Scan von BBS: begruendet.
  1595.    - CLP-Virus Clone2   Laenge ungepackt: 51256
  1596.       anderer Name: MST-VEC Virus, MST-Inte Virus
  1597.       Dieses Teil ist lauffaehig !!!!!!!!!!
  1598.       Keine verbogenen Vektoren
  1599.       Das File ist an Nichts angelinkt. Mir also unverstaendlich warum
  1600.       jemand das freiwillig aufrufen sollte ???
  1601.       Schreibt in alle Files in s: einen Text
  1602.              PCD_ueberschrieben:
  1603.            4655434b 20424f42 4f20414e 44204a45 FUCK BOBO AND JE
  1604.            57495348 20415845 21205349 45472048 WISH AXE! SIEG H
  1605.            45494c21 20474153 20524f4f 4c455a21 EIL! GAS ROOLEZ!
  1606.            20424545 45415645 5253210a 61737369  BEEEAVERS!.assi
  1607.            676e2066 726f6d3c 24243e3a 206f6672 gn from<$$>: ofr
  1608.            6f6d3c24 243e3a0a 61737369 676e206f om<$$>:.assign o
  1609.       VT bietet fuer das trojanische Pferd und fuer die ueberschriebenen
  1610.       Files loeschen an.
  1611.  
  1612.    - COBRA-Virus   BB    Fastmem: Nein   KS2.04: Nein
  1613.       BeginIo, KickTag, KickCheckSum, Exec IntVec 5
  1614.       Namensbegruendung:
  1615.        4E714E71 4E752043 4F425241 20484157 NqNqNu COBRA HAW
  1616.        20484157 20484157 200041FA 002C3010  HAW HAW .Au'.,0.
  1617.       Schaeden und Vermehrung: BB
  1618.       VT kennt: 15.10.92
  1619.  
  1620.    - CODER     anderer Name: Coders Nightmare
  1621.       immer $7f600, DoIo, KickTag, KickCheckSum, $68
  1622.       Fordert trackdisk.device NICHT
  1623.       im BB steht unverschluesselt:
  1624.       Bootblock installed with 'CODER' - The Ultimate Viruskiller!!
  1625.       Vermehrung: ueber BB
  1626.       im Speicher steht (entschluesselt mit ror.b #2,d1):
  1627.             Something WONDERFUL has happened!!
  1628.          Your Amiga is alive, and it is infected with the
  1629.          'Coders Nightmare Virus'. - The ultimate key-killer,
  1630.          masterminded by the megamighty Mr. N of
  1631.          The Power Bomb Systems!!
  1632.  
  1633.    - Coders Nightmare    anderer Name: CODER  s.o.
  1634.  
  1635.    - COHEN-Virus  BB  HODEN-Virus-Clone  s.u.
  1636.       Spritedaten geaendert.
  1637.       Verwendet NICHT mehr absoluten KS1.2 DoIo .
  1638.       Code teilweise um vier Bytes verschoben.
  1639.       Fordert trackdisk.device NICHT.
  1640.       Text im BB geaendert:
  1641.            46726564 20436f68 656e202d 20556e69 Fred Cohen - Uni
  1642.            76657273 69747920 536f7574 6865726e versity Southern
  1643.            2043616c 69666f72 6e696120 31393839  California 1989
  1644.  
  1645.    - Color   Filevirus  Laenge: 2196Bytes
  1646.          DoIo immer $70000, Cool
  1647.          belegt sinnlos 102400 Bytes ChipMem,
  1648.          taeuscht durch ein Graphik-Demo, schwarzer Hintergrund und
  1649.          drei Balken (rot, gruen, blau) und installiert gleichzeitig
  1650.          ab 70000 das Virusprogramm und ab 7F000 den Virus-BB (TURK).
  1651.          Veraendert die startup-s. NICHT.
  1652.          Schaeden:
  1653.          Bei DoIo-Einsprung wird der Virus-BB geschrieben.
  1654.          Bei Cool-Einsprung wird $5000 x TURK in den Speicher geschrieben.
  1655.  
  1656.    - Commodore-Virus  File  Laenge:1752  reines Zerstoerungsprogramm
  1657.          KEINE Vermehrung, also nach Definition kein Virus. Unter
  1658.          welchem Namen das Programm weitergegeben wird, ist mir nicht
  1659.          bekannt. Als VirusTestPrg ???? siehe unten . NICHT resetfest.
  1660.  
  1661.          Namensbegruendung:
  1662.            20210054 68697320 69732074 6865206E  !.This is the n
  1663.            65772043 6F6D6D6F 646F7265 2D566972 ew Commodore-Vir
  1664.            75732021 00425920 53544152 4C494748 us !.BY STARLIGH
  1665.            5420454E 54455250 52495345 53203139 T ENTERPRISES 19
  1666.            39320000                            92
  1667.          Verbiegt Cool auf eigenen Programmtext (Schwachsinn),
  1668.          also voellig unsinnig. Da ausserdem allocmem nicht
  1669.          benutzt wird, wird nach Programmende der Speicher von
  1670.          einem beliebigen anderen Programm benutzt, d.h. der
  1671.          Cool-Vektor zeigt auf irgendetwas, nur nicht auf den
  1672.          gewuenschten Text, weil dieser ja laengst ueberschrieben
  1673.          ist. VT erkennt beim Cool-Vektor-Test deshalb nur unbe-
  1674.          kanntes Programm. Gehen Sie Weiter und loeschen Sie den
  1675.          Vektor in VT/Tools. Danke
  1676.          Legt eine Zaehlzelle bei $66666 an, OHNE allocmem.
  1677.          Schreibt auch einen anderen Wert ins RangerRAM ($C0).
  1678.          Da auch der Text "dos.library" 3x im Programm vorkommt
  1679.          und aufgerufen wird, draengt sich der Verdacht auf, dass
  1680.          ein Anfaenger 3 Assemblerkursteile zusammengesetzt hat.
  1681.          Abhaengig von Zaehlzelle:
  1682.          DisplayAllert:   (Zelle=2)
  1683.  
  1684.            00961420 20204968 7220436F 6D707574 ...   Ihr Comput
  1685.            65722069 737420DC 62657268 69747A74 er ist überhitzt
  1686.            20212121 0001007D 2D57656E 6E206573  !!!...}-Wenn es
  1687.            206E6163 68206465 6D205265 73657420  nach dem Reset
  1688.            65696E20 61627374 75727A20 67696274 ein absturz gibt
  1689.            000100AA 46202053 4348414C 54454E20 ...S   SCHALTEN
  1690.            49484E20 53494520 42495454 45204155 IHN SIE BITTE AU
  1691.            53000100 D7552020 20436F6D 6D6F646F S...xU   Commodo
  1692.            72652031 39383700                   re 1987.
  1693.  
  1694.          oder Textausgabe: (Zelle=3)
  1695.            0000636F 6E3A3130 2F31302F 3333302F ..con:10/10/330/
  1696.            35302F52 45515545 53542000 9B316D9B 50/REQUEST ..1m.
  1697.            33336D20 4B45494E 20564952 55532049 33m KEIN VIRUS I
  1698.            4E204452 49564520 4446303A 20200A20 N DRIVE DF0:  .
  1699.            20202020 20204745 46554E44 454E2021       GEFUNDEN !
  1700.            21202020                            !
  1701.  
  1702.     Schaeden:
  1703.        - loescht startup-sequence
  1704.            - schreibt leeres Unterverzeichnis
  1705.               Name: Commodore war hier !!
  1706.         Erkennung im Speicher mit VT: nicht moeglich (siehe oben)
  1707.         File-Erkennung mit VT getestet: 26.09.92
  1708.         Empfehlung: einfach loeschen und gegebenenfalls in s-sequence
  1709.         nachschauen, ob geloeschter Programmname dort auftaucht. Dann
  1710.         bitte diese Zeile mit ED loeschen.
  1711.  
  1712.    - CompuPhagozyte   File  Laenge ungepackt: 1452
  1713.          keine Vektoren verbogen
  1714.          sichtbar z.B.: The CompuPhagozyte usw.
  1715.          Erstellt eine Fensterleiste mit dem Text:
  1716.             Virus-Checker V4.0 by ... (Name)
  1717.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  1718.          Gegensatz zum echten Virus-Checker NICHTS passiert. Wartet
  1719.          auf CloseWindow und DiskInserted.
  1720.          Schaeden:
  1721.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  1722.          nicht schreibgeschuetzten Disk mit c/Virus-Checker bei mir das
  1723.          Orig-Prg auf 1452 Bytes gekuerzt. (also keine Vermehrung)
  1724.          Empfehlung: loeschen und Orig-Virus-Checker neu aufspielen.
  1725.  
  1726.    - CompuPhagozyte 2  File  Laenge ungepackt: 1148
  1727.          keine Vektoren verbogen
  1728.          sichtbar z.B.: The CompuPhagozyte usw.
  1729.          Erstellt eine Fensterleiste mit dem Text:
  1730.             VirusX 5.00 by ... (Name)
  1731.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  1732.          Gegensatz zum echten VirusX NICHTS passiert. Wartet auf Close-
  1733.          Window und DiskInserted.
  1734.          Schaeden:
  1735.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  1736.          nicht schreibgeschuetzten Disk mit c/VirusX bei mir das
  1737.          Orig-Prg auf 1148 Bytes gekuerzt. (also keine Vermehrung)
  1738.          Empfehlung: loeschen und Orig-VirusX 4.01 neu aufspielen.
  1739.  
  1740.            6e2e6c69 62726172 79003a63 2f566972 n.library.:c/Vir
  1741.            75735800 3a632f56 69727573 58005468 usX.:c/VirusX.Th
  1742.            6520436f 6d707550 6861676f 7a797465 e CompuPhagozyte
  1743.            20686173 20617474 61636865 6420746f  has attached to
  1744.            20796f75 72207379 7374656d 20210a57  your system !.W
  1745.            61697420 666f7220 206e6577 20766972 ait for  new vir
  1746.            75732069 6e206f74 68657220 636f6d70 us in other comp
  1747.            75746572 2d737973 74656d73 20210a20 uter-systems !.
  1748.            54686520 436f6d70 75506861 676f7a79 The CompuPhagozy
  1749.            74652069 6e20392e 39312062 79205468 te in 9.91 by Th
  1750.            6520456d 7065726f 72204f66 20547269 e Emperor Of Tri
  1751.            6c6c696f 6e202042 79746573 20210000 llion  Bytes !..
  1752.            56697275 73582035 2e303020 62792053 VirusX 5.00 by S
  1753.            74657665 20546962 62657474 00000000 teve Tibbett....
  1754.          Es ist ein Clone aufgetaucht, wobei nur die Texte geaendert
  1755.          wurden. Wieder ein Beispiel fuer geistigen Tiefflug !!!
  1756.          Zu mehr reicht es halt nicht. Geht im Sandkasten spielen, da
  1757.          koennt Ihr Euch niveaumaessig angemessen ausleben !!!
  1758.          Wird weiterhin als CompuPhagozyte 2 erkannt.
  1759.            79003a63 2f566972 75735a00 0007c000 y.:c/VirusZ.....
  1760.                ;.....
  1761.            4e6f2076 6563746f 72732063 616e2063 No vectors can c
  1762.            68616e67 65642061 6e796d6f 72652073 hanged anymore s
  1763.            6f20796f 75722063 6f6d7075 74657220 o your computer
  1764.            69732073 61666520 21202120 21200000 is safe ! ! ! ..
  1765.            56697275 735a2049 4920312e 30322047 VirusZ II 1.02 G
  1766.            656f7267 2048f672 6d616e6e 00000000 eorg H.rmann....
  1767.  
  1768.  
  1769.    - CompuPhagozyte 3  File  bekannte Filelaengen: 568 Bytes
  1770.                                                    592 Bytes
  1771.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  1772.         da ein entsprechender Code im Prg nicht vorkommt.
  1773.  
  1774.        Cool immer $7C000
  1775.        Wahrscheinlich als cls-Befehl getarnt, da mit mehreren " ",0a
  1776.        das Shell-Fenster geloescht wird.
  1777.          fuer mich KEIN Virus, Routine veraltet, KEINE Vermehrung
  1778.          im Prg zu lesen:
  1779.            200A5468 6520434F 4D505550 6861676F  .The COMPUPhago
  1780.            7A797465 20696E20 392E3931 20212121 zyte in 9.91 !!!
  1781.            0A546865 20456D70 65726F72 204F6620 .The Emperor Of
  1782.            5472696C 6C696F6E 20427974 65732073 Trillion Bytes s
  1783.            7472696B 65732062 61636B20 21210A1F trikes back !!..
  1784.          Legt ab $7C000 ein kleines Prg ab, das durch cool resetfest sein
  1785.          soll (geht z.B nicht mit 1Mb). Dieses Prg loescht Cold, Warm,
  1786.          KickMem, KickTag, KickCheckSum.
  1787.          KS2.04 : GURU A nach Reset
  1788.          Empfehlung: File loeschen
  1789.          Erkennung im Speicher mit VT:  ja
  1790.          Fileerkennung mit VT  :   08.10.92
  1791.    - Compu3-TAI11 Clone:  File  Laenge 592
  1792.          Namensbegruendung:
  1793.            20542041 20492020 31312020 202e2e2e  T A I  11   ...
  1794.  
  1795.    - CompuPhagozyte 4  File  bekannte Filelaengen : 916 Bytes
  1796.                                                   : 952 Bytes
  1797.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  1798.         da ein entsprechender Code im Prg nicht vorkommt.
  1799.  
  1800.          Cool immer $7C600 , OldOpenLib immer $7E000
  1801.          Reserviert mit AllocAbs 3 Speicherbereiche:
  1802.          $7C000   ganzes VirusPrg
  1803.          $7C600   CoolRoutine fuer RESET
  1804.          $7E000   OldOpenLibRoutine fuer Vermehrung
  1805.  
  1806.          df0:A0A0A0A0   (unsichtbar in Root)
  1807.          df0:s/startup-sequence  A0A0A0A0
  1808.  
  1809.          COMPUPhagozyte !!!  am Fileende zu lesen (s.u.)
  1810.          Testet OldOpenLib auf $FC1430  = KS 1.2 , falls nein wird neue
  1811.          OldOpenLib-Vektor-Routine NICHT kopiert. D.h. eine Vermehrung
  1812.          ist nicht moeglich. Wegen der Vorgabe (s.o.) ist nur eine Ver-
  1813.          mehrung in DF0 moeglich. Am Anfang des Files steht KEIN Text
  1814.          "Compu...".
  1815.          KS2.04 : Nach Tastatur-Reset Uebergang in Dauer-Reset.
  1816.                 Typ C 4:
  1817.            e1ce0007 e1d04446 303aa0a0 a0a00000 ......DF0:......
  1818.            4446303a 732f7374 61727475 702d7365 DF0:s/startup-se
  1819.            7175656e 63650000 a0a0a0a0 0a200a54 quence....... .T
  1820.            6865206d 69676874 206f6620 54686520 he might of The
  1821.            456d7065 726f7220 69732075 6e6c696d Emperor is unlim
  1822.            69746564 20212121 0a200a43 4f4d5055 ited !!!. .COMPU
  1823.            50686167 6f7a7974 65202121 210a0000 Phagozyte !!!...
  1824.       Hinweis: Es ist ein CompuPhagozyte-Clone aufgetaucht. Filename:
  1825.          VT-Faster. So ein Programm habe ich nie geschrieben.
  1826.          Laenge gepackt:   860 Bytes
  1827.          Laenge ungepackt: 916 Bytes
  1828.          Nur Text geaendert und Vermehrung jetzt auf HD0. Das File
  1829.          wird jetzt in c als VT abgelegt. Falls Sie da einen Original-
  1830.          VT (so heisst aber mein File NICHT) liegen haetten, wuerde
  1831.          das File zerstoert.
  1832.            e1ce0007 e1d04844 303a632f 56540000 ......HD0:c/VT..
  1833.            4844303a 732f7374 61727475 702d7365 HD0:s/startup-se
  1834.            7175656e 63650000 632f5654 0a200a55 quence..c/VT. .U
  1835.               ;.....
  1836.            6520776f 726c6421 0a200a4d 6178206f e world!. .Max o
  1837.            66205374 61726c69 67687420 210a0000 f Starlight !...
  1838.  
  1839.    - CompuPhagozyte 5  File  bekannte Filelaengen: 892 Bytes
  1840.                                                    900 Bytes
  1841.                                                    936 Bytes (1.Hunk $CF)
  1842.                                                    936 Bytes (1.Hunk $CD)
  1843.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  1844.         da ein entsprechender Code im Prg nicht vorkommt.
  1845.  
  1846.         Cool immer $7C600 , OldOpenLib immer $7E000
  1847.         Reserviert mit AllocAbs 3 Speicherbereiche:
  1848.          $7C000   ganzes VirusPrg
  1849.          $7C600   CoolRoutine fuer RESET
  1850.          $7E000   OldOpenLibRoutine fuer Vermehrung
  1851.  
  1852.          :A0A0A0A0   (unsichtbar in Root)
  1853.          :s/startup-sequence
  1854.           Also keine Festlegung auf DF0 mehr.
  1855.  
  1856.         COMPUPhagozyte jetzt auch am Fileanfang zu lesen:
  1857.                              434f4d50 55506861         COMPUPha
  1858.            676f7a79 74650a00                   gozyte..
  1859.  
  1860.          Neu: KEIN Test auf OldOpenLib = $FC1430 = KS 1.2 mehr.
  1861.          KS2.04 : Nach Tastatur-Reset Uebergang in Dauer-Reset.
  1862.  
  1863.         Vermehrung:
  1864.          Falls ein anderes Prg die oldopenlib-Routine aufruft, wird
  1865.          eine Vermehrung versucht. Kein Schreibschutztest vorher.
  1866.          Speicher ab $7C000 soll als A0A0A0A0-File auf Disk geschrieben
  1867.          werden. Danach wird die startup-sequence geaendert.
  1868.         Empfehlung: sofort loeschen und auch startup-sequence ueber-
  1869.                     pruefen.
  1870.  
  1871.                 Typ 5:
  1872.         00000000 00000000 00000000 00003aa0 ..............:.
  1873.         a0a0a000 3a732f73 74617274 75702d73 ....:s/startup-s
  1874.         65717565 6e636500 a0a0a0a0 0a200a54 equence...... .T
  1875.         6865206d 69676874 206f6620 54686520 he might of The
  1876.         456d7065 726f7220 69732075 6e6c696d Emperor is unlim
  1877.         69746564 20212121 0a200a00 000003ec ited !!!. ......
  1878.  
  1879.    - CompuPhagozyte 6  File  bekannte Filelaengen: 1008 Bytes
  1880.                                                    1048 Bytes
  1881.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  1882.         da ein entsprechender Code im Prg nicht vorkommt.
  1883.          :A0A0A0A0   (unsichtbar in Root)
  1884.          :s/startup-sequence    A0A0A0A0
  1885.         immer ab $7C000
  1886.         Verbogene Vektoren: Cool, OldOpenLib,
  1887.         NEU: jetzt wird auch SumKickData verbogen.
  1888.         Im File am Anfang jetzt erweiterter Text:
  1889.                           3e434f4d 50555068         >COMPUPh
  1890.         61676f7a 79746520 50726f74 65637469 agozyte Protecti
  1891.         6f6e2046 696c6520                   on File
  1892.       Sie muessen auch die s.-seq. mit einem Editor bearbeiten.
  1893.       VT kennt File und Speicher: 24.11.92
  1894.  
  1895.    - CompuPhagozyte 7  Link
  1896.       Speicher immer ab $7C000, Cool, OldOpenLib, SumKickData, DoIo,
  1897.       $6c, Open, Lock, LoadSeg, Rename
  1898.       KS1.3 ja
  1899.       KS2.04: nach Aktivierung des Teils und Aufruf eines anderen
  1900.       Programms, das ebenfalls einen obengenannten Dos-Vektor benutzt,
  1901.       bei mir immer Absturz.
  1902.       Soll sich ans Ende des 1.Hunks schreiben. Sucht nach $4E75 (RTS)
  1903.       und ersetzt durch $4E71 (NOP).
  1904.       Verlaengert ein File um #1740 Bytes ($1b3x4).
  1905.       In File ist zu lesen:
  1906.            732e6c69 62726172 7900436f 6d707550 s.library.CompuP
  1907.            6861676f 4c696e6b 20627920 54686520 hagoLink by The
  1908.                                                    ^^^^
  1909.            456d7065 726f7220 4f662054 72696c6c Emperor Of Trill
  1910.            696f6e20 42797465 ff6c33ee ffe20007 ion Byte.l3.....
  1911.       VT sollte das Teil im Speicher erkennen und abschalten koennen.
  1912.       Die Virus-Routine enthaelt mehrere Fehlerquellen. Es duerften
  1913.       haeufig nicht lauffaehige oder nicht vermehrungsfaehige Files
  1914.       entstehen. VT bietet Ausbau an. Bitte machen Sie vorher eine
  1915.       Kopie. Sie MUESSEN mit der Meldung Hunk-Struktur-defekt rechnen.
  1916.       Danke !!
  1917.  
  1918.    - CompuPhagozyte 8 FileVirus  Laenge: 1952 Bytes
  1919.       Im Speicher immer ab $7C000, Vektoren werden teilweise nach
  1920.       $7A000 gerettet.
  1921.       Cool $7C22A, DoIo $7C2C4, SumKickData $7C5F2, Open $7C3CA,
  1922.       Lock $7C3FA, LoadSeg $7C39A und $6C $7C68a .
  1923.       Wie Sie erkennen koennen sind im Vergleich zu Vorgaengerversionen
  1924.       noch mehr Vektoren verbogen und OldOpenLib wurde aufgegeben.
  1925.       Ob Nano2 von Compu 8 abgeschrieben ist oder umgekehrt oder ob
  1926.       es sich um den gleichen Programmierer handelt, kann ich nicht
  1927.       entscheiden. Sicher ist, dass die gleiche Fehlerquelle (s.u.)
  1928.       enthalten und der Ablauf gleich ist.
  1929.       Namensbegruendung:
  1930.       Im File ist decodiert zu lesen:
  1931.       The Emperor of Trillion Bytes presents:...
  1932.       a new CompuPhagozyte !!!
  1933.       Dieser Zeilen werden vom Programm nie decodiert.
  1934.       Das Virusteil versucht durch einen Text am Fileanfang zu ver-
  1935.       wirren: 
  1936.                              20202020 203a416d              :Am
  1937.            69676144 4f532044 61746166 696c6520 igaDOS Datafile
  1938.            40203139 38382062 79204342 4d202020 @ 1988 by CBM
  1939.            20200a54 68697320 66696c65 20636f6e   .This file con
  1940.            7461696e 7320696d 706f7274 616e7420 tains important
  1941.            6469736b 20646174 6120666f 72200042 disk data for .B
  1942.            6c6f636b 20416c6c 6f636174 696f6e20 lock Allocation
  1943.            21200a20 3e3e3e20 5741524e 494e473a ! . >>> WARNING:
  1944.            2044656c 6574696f 6e206f66 20746869  Deletion of thi
  1945.            73206669 6c652063 6f756c64 20006465 s file could .de
  1946.            7374726f 7920616c 6c206469 736b2064 stroy all disk d
  1947.            61746173 20212121 203c3c3c 0a00     atas !!! <<<..
  1948.       Vermehrung:
  1949.        - Test ob unsichtbares File  A0A0A0A0 schon da ist. Wenn
  1950.          ja keine Verseuchung (Fortschritt gegen frueheren
  1951.          Versionen)
  1952.        - Schreibt Virusteil in RootDir (festgelegt mit :)
  1953.        - Besorgt #1006 Bytes Speicher
  1954.        - Versucht :s/startup-sequence zu oeffnen und #1000 Bytes
  1955.          zu lesen. KEIN Test von d0
  1956.        - Schreibt im Speicher 6 Bytes vor die startup-sequence
  1957.          A0A0A0A0200A
  1958.        - Schreibt #1006 Bytes auf Disk
  1959.        - Protect VirusFile und Startup-sequence
  1960.        Fehlerquellen:
  1961.          Da immer #1000 Bytes eingelesen und #1006 Bytes zurueck-
  1962.          geschrieben werden, treten Fehler auf.
  1963.          a) ihre s-seq. war kuerzer, dann wird der Rest mit
  1964.             Speichermuell zurueckgeschrieben und es gibt Meldungen
  1965.             wie xyz not executable weil zufaellig im Speichermuell
  1966.             etwas verwertbares stand.
  1967.          b) Ihre s-seq. war laenger, dann wird ein Teil abgeschnitten
  1968.             und Sie wundern sich, warum z.B. loadwb nicht mehr ge-
  1969.             startet wird.
  1970.        Fehlerquelle2 :
  1971.        Das Virusteil verraet sich nach einem Reset und schreibge-
  1972.        schuetzter Disk mit einem SystemRequest:
  1973.                    Volume
  1974.                    xyz
  1975.                    is write protected
  1976.        VT loescht das VirusFile
  1977.        Bitte denken Sie daran, dass Sie mit einem Editor die 1.Zeile
  1978.        der startup-sequence loeschen muessen. Auf Grund der Fehler-
  1979.        quellen kann es aber auch sein, dass Sie die startup-sequence
  1980.        voellig neu schreiben muessen. Denken Sie bitte daran, dass
  1981.        Sie vorher in VT im Filerequester die startup-sequence un-
  1982.        protecten muessen !!!!
  1983.  
  1984.    - ConfTop-Trojan   gegen AmiExpress
  1985.           Laenge ungepackt: Conftop.000  38322 Bytes
  1986.                             Conftop.020  38300 Bytes
  1987.        Falls es zu Verwechslungen mit einem echten Conftop-Prg kommt,
  1988.        rufen Sie mich bitte an und schicken mir ein Orig-ConfTop zu.
  1989.        Das Verhalten wurde nicht getestet, da ich kein AmiExpress habe.
  1990.        Fremdaussage:
  1991.        Entscheiden Sie selbst !!!!!!
  1992.  
  1993.          @BEGIN_FILE_ID.DIZ
  1994.          FAKE FAKE FAKE FAKE FAKE FAKE FAKE FAKE FAKE
  1995.          --------------------------------------------
  1996.          BOBO/MYSTIC SAYS : I *NEVER* RELEASED THE
  1997.          CONF-TOP! NUKE AND BEAWARE OF THE FILE :
  1998.          'MST-CF22.LHA'!!!.. IT *MAY* FORMAT YOU'RE
  1999.          HD! A BACKDOOR IS FOR SURE!!! IT'S AN OLD
  2000.          VERSION OF CONFTOP! /BOBO oF MYStIC!
  2001.          @END_FILE_ID.DIZ
  2002.  
  2003.          What?!... Ok... It goes like this!... The file 'MST-CF22.LHA'
  2004.          is a F A K E!
  2005.          I never done that! it's probably a hd crasher!... So DON'T use it!
  2006.          and NUKE it on every board!
  2007.  
  2008.  
  2009.    - CONMAN-BBS-Trojan      Laenge gesamt: 50288 Bytes
  2010.        Typ A:
  2011.        Trojan-Teil gepackt:  2704 Bytes
  2012.        Trojan-Teil entpackt: 2496 Bytes
  2013.        Ein $4EB9-$4EF9-Link an ARTM 2.3 .
  2014.            4f4b2021 00000000 414d4947 41205265 OK !....AMIGA Re
  2015.            616c7469 6d65204d 6f6e6974 6f722056 altime Monitor V
  2016.            322e3320 44617465 2039332f 31312f31 2.3 Date 93/11/1
  2017.            3100434f 50595249 47485420 42592054 1.COPYRIGHT BY T
  2018.        Nach meinem Wissensstand gibt es im Nov. 93 diese Versions-
  2019.        nummer noch gar nicht. Es handelt sich um eine V1.6 .
  2020.        Namensbegruendung:  decodiert ist im Speicher zu lesen:
  2021.            434f4e4d 414e2f48 41434b4d 41535445 CONMAN/HACKMASTE
  2022.            522f3933 2f54524f 4a414e2d 56495255 R/93/TROJAN-VIRU
  2023.            53092e2e 00000000 00000000 00000000 S...............
  2024.        Das Gesamtfile lauft nur auf Prozessoren ab 68020 ohne GURU,
  2025.        da im Trojan-Teil ungerade Adressen verwendet werden.
  2026.        Schaeden:
  2027.         Sucht nach USER.KEYS und USER.DATA. Diese Files sollen mit
  2028.         dosopen, dosread, doswrite und dosclose bearbeitet werden.
  2029.  
  2030.        Hinweis: Es wird das $4EB9-$4EF9-Link-Programm gesucht. Da
  2031.        Ende Nov 93 schlagartig mehrere solche Links aufgetaucht sind,
  2032.        vermute ich, das es dafuer ein Programm gibt. Das Link-Prg.
  2033.        scheint nicht sehr gut zu sein . Siehe Hinweis 2
  2034.  
  2035.        Hinweis 2: VT bietet Ausbau an. ABER !!!!!!
  2036.              ARTM1.6-Orig                  ARTM2.3-Link
  2037.        000: 000003ec 0000018a ........ 000: 000003ec 0000018a ........
  2038.        008: 00000001 000046be ......F. 008: 00000005 0000009c ........
  2039.        010: 0000469c 000011ac ..F..... 010: 000000cc 000000e6 ........
  2040.        018: 000008c0 000008bc ........ 018: 00000104 00000132 .......2
  2041.        020: 00002100 000020fc ..!... . 020: 0000014e 0000020c ...N....
  2042.        028: 000020f8 000020f4 .. ... . 028: 00000210 00000220 .......
  2043.        030: 000020f0 000020ec .. ... . 030: 00000224 00000234 ...$...4
  2044.        Es werden also voellig wirre Zahlen in die 3EC-Hunks geschrieben.
  2045.        VT stellt zwar die Hunkzahl bei $8 (5 wird zu 1) richtig, ueber-
  2046.        nimmt aber die geaenderten FALSCHEN Werte. Die uneingeschraenkte
  2047.        Lauffaehigkeit des Prg.s wird angezweifelt. Besser Sie loeschen
  2048.        das gelinkte ARTM-Prg. ganz und besorgen sich ein Orig-ARTM .
  2049.  
  2050.    - CONMAN-BBS-Trojan  Typ B
  2051.        Maerz 94: Es sollen mehrere Files aufgetaucht sein, in denen
  2052.        Conman zu lesen ist. Es soll versucht werden, user.data zu ver-
  2053.        aendern. Da bisher immer mit 4EB9-4EF9-Links gearbeitet wurde,
  2054.        seien Sie bitte etwas vorsichtig, falls VT dies anzeigt. Gefahr
  2055.        besteht aber nur fuer AMI-BBS .
  2056.  
  2057.    - CONMAN-Dir-Trojan   File
  2058.        gepackt: 4004 Bytes   VT bietet bei Filetest Loeschen an.
  2059.        entpackt: 8456 Bytes  VT bietet bei Filetest Ausbau an.
  2060.        KS2.04 mit 68030: ja
  2061.        VT sollte den Process im Speicher finden. VT bietet Loeschen
  2062.        an. Sie muessen mit GURU rechnen.
  2063.        Haengt an einem Dir-Befehl. Das RTS im Dir-Befehl wurde durch
  2064.        ein JMP Virusteil ersetzt (von Hand ?). Im Virusteil wird
  2065.        jsr -$xy(A5) verwendet. 
  2066.        Im Speicher ist zu lesen:
  2067.            576f726b 62656e63 68200064 6f732e6c Workbench .dos.l
  2068.            69627261 72790069 6e747569 74696f6e ibrary.intuition
  2069.            2e6c6962 72617279 00444630 3a432f44 .library.DF0:C/D
  2070.            49520043 3a444952 00444556 533a5359 IR.C:DIR.DEVS:SY
  2071.            5354454d 2d434f4e 46494755 52415449 STEM-CONFIGURATI
  2072.            4f4e0043 3a4c4f41 44574200 4c3a5241 ON.C:LOADWB.L:RA
  2073.            4d2d4841 4e444c45 5200536e 6f6f7044 M-HANDLER.SnoopD
  2074.            6f7300b6 b6b6b6b6 b6b6b6b6 b6b6b6b6 os..............
  2075.         Ablauf:
  2076.          - SnoopDos wird gesucht und falls gefunden abgeschaltet.
  2077.            (Signal)
  2078.          - Ein Process mit Namen "Workbench " wird angelegt.
  2079.         Vermehrung:                        ^
  2080.          Das Virusteil wird nach $70000 im Speicher kopiert und von
  2081.          da als Dir geschrieben.
  2082.         Schaeden:
  2083.          Sobald eine Zaehlzelle den Wert 7 erreicht hat wird geloescht:
  2084.           - devs:system-configuration
  2085.           - c:loadwb
  2086.           - l:ram-handler
  2087.          Danach wird ein Text mit
  2088.                     move.b (a0)+,(a1)+
  2089.                     eori.b #$96,(a0)
  2090.          decodiert und mit DisplayAlert ausgegeben.
  2091.            20202020 20205448 49532049 53204e4f       THIS IS NO
  2092.            54204120 53595354 454d2041 4c455254 T A SYSTEM ALERT
  2093.            21205448 49532049 53205448 45204e45 ! THIS IS THE NE
  2094.            5720434f 4e4d414e 2d54524f 4a414e20 W CONMAN-TROJAN
  2095.            56495255 53212020 20202020 20202020 VIRUS!
  2096.                 ;....
  2097.            20202041 4c4c2044 49534b20 41435449    ALL DISK ACTI
  2098.            56495449 45532057 494c4c20 42452044 VITIES WILL BE D
  2099.            49534142 4c454421 20202020 20202020 ISABLED!
  2100.                 ;usw.
  2101.          Zuletzt geht das Programm in eine Endlosschleife. D.h. Sie
  2102.          muessen einen Tastatur-Reset ausfuehren.
  2103.  
  2104.    - CONMAN-Dir-Inst ????
  2105.          VT glaubt (!!!!!!!! aber NICHT sicher) ein File gefunden zu
  2106.          haben, an das mit der $4EB9-4EF9-Methode ein Virusteil an-
  2107.          gelinkt wurde. Loeschen Sie also bitte nicht sofort das File,
  2108.          sondern untersuchen Sie zuerst das Teil. Falls das File ge-
  2109.          packt ist, dann entpacken Sie es mit einem Entpacker ihrer
  2110.          Wahl. Falls Sie nun mit einem Filemonitor oder mit VT-Filereq
  2111.          das File anschauen und den Text CONMAN finden, so duerfte
  2112.          es sich um ein verseuchtes File handeln. Fuer die Zusendung
  2113.          waere ich dankbar (vorher anrufen).
  2114.  
  2115.    - CONMAN-LOOK-Trojan   anderer Name: LOOK-BBS-Trojan  s.u.
  2116.  
  2117.    - CopyLock-Virus  BB  Block 0-3
  2118.       Bitte NICHT mit Orginal-BB CopyLock verwechseln.
  2119.       Cool $7F498  nach Reset DoIo $7F4C8
  2120.       KS 2.04: ja
  2121.       Fordert trackdisk.device NICHT
  2122.       Namensbegruendung: s.u.
  2123.       Vermehrung:
  2124.       BB
  2125.       Dazu wird der urspruengliche BB geladen, ein paar Bytes am An-
  2126.       fang einkopiert und dann mit Virus in Block 2 u. 3 wieder ab-
  2127.       gespeichert. Bei einem fluechtigen Blick sehen Sie zum Beispiel
  2128.       noch einen Text und denken es waere noch der Original-BB.
  2129.       LASSEN SIE SICH NICHT TAEUSCHEN !!!!!
  2130.       Schaeden:
  2131.       Da es sich um 4 Blocke handelt wird nicht nur der Original-BB
  2132.       zerstoert, sondern auch ein File das Datenbloecke in Block 2
  2133.       und 3 hat.
  2134.       Ablauf:
  2135.       Es werden 4 Bloecke nach $7F000 kopiert und grosse Teile mit
  2136.       sub.b d5,(a0)+ decodiert. Bei der Neucodierung fuer eine neue
  2137.       Verseuchung ist d5 abhaengig von $DFF006 .
  2138.       Das Teil wird aktiviert mit DoIo und lesendem Zugriff auf
  2139.       Block 880 ( nur bei DD-Disk Rootblock).
  2140.       Die Textteile werden NIE gezeigt.
  2141.            20436f70 796c6f63 6b20416d 69676120  Copylock Amiga
  2142.            28632920 526f6220 4e6f7274 6865726e (c) Rob Northern
  2143.            2e20416c 6c207269 67687473 20726573 . All rights res
  2144.            65727665 642e2000 41fa01fc 43f90007 erved. .A...C...
  2145.            ;........
  2146.            2a205945 50212052 4f42204e 4f525448 * YEP! ROB NORTH
  2147.            45524e20 4f4e2054 48452042 4f415244 ERN ON THE BOARD
  2148.            2021204d 5920434f 50594c4f 434b5320  ! MY COPYLOCKS
  2149.            41524520 4655434b 00205448 45204352 ARE FUCK. THE CR
  2150.            41434b45 52532041 52452042 45545445 ACKERS ARE BETTE
  2151.            52205448 414e204d 452e2054 48415460 R THAN ME. THAT`
  2152.            53205748 59204960 4d205752 4954494e S WHY I`M WRITIN
  2153.            47202056 49525553 45532021 21212028 G  VIRUSES !!! (
  2154.            494e2054 48452048 4f504520 54484154 IN THE HOPE THAT
  2155.            20544845 59204152 45204245 54544552  THEY ARE BETTER
  2156.            20415320 4d592043 4f50594c 4f434b53  AS MY COPYLOCKS
  2157.            2129202a 00000000 00000000 00000000 !) *............
  2158.       Hinweis: da das VirusTeil Block 2 u. 3 nicht als belegt kenn-
  2159.       zeichnet, kann bei einem Speichervorgang Block 2/3 neu beschrie-
  2160.       ben werden, wenn diese Bloecke im BitMapBlock frei waren. Da
  2161.       das Virusteil zerstoert ist, der Sprungbefehl in Block 0 aber
  2162.       noch vorhanden ist, werden Sie wahrscheinlich beim Booten eine
  2163.       GURU-Meldung bekommen.
  2164.  
  2165.    - Crackright    anderer Name: Disk-Doktors  s.u.
  2166.  
  2167.    - CRACKER Exterminator  BB  Cool: $7AEAA  DoIo: $7AEC2
  2168.       Fordert trackdisk.device NICHT
  2169.       KS2.04: ja
  2170.       Namensbegruendung: im BB ist uncodiert zu lesen
  2171.            54686520 43524143 4b455220 45787465 The CRACKER Exte
  2172.            726d696e 61746f72 48e7fffe 6000002c rminatorH...`..,
  2173.       Der BB enthaelt auch einen codierten Bereich eori.b #$27,(a1)+ ,
  2174.       der NIE erreicht wird:
  2175.            303c00ad 46110a19 002751c8 fff84869 0<..F....'Q...Hi
  2176.            20686163 6b657221 20796f75 7220616d  hacker! your am
  2177.            69676120 69732069 6e666563 74656420 iga is infected
  2178.            77697468 2061206e 65772067 656e6572 with a new gener
  2179.            6174696f 6e206f66 20766972 75732063 ation of virus c
  2180.            616c6c65 643a2054 68652043 5241434b alled: The CRACK
  2181.            45522045 78746572 6d696e61 746f7220 ER Exterminator
  2182.            21206d61 64652062 793a2041 3a433a43 ! made by: A:C:C
  2183.            3a57205b 416e7469 2d437261 636b6572 :W [Anti-Cracker
  2184.            2d436c75 622d5765 73745d20 68617665 -Club-West] have
  2185.            2066756e 2c20796f 75206675 636b696e  fun, you fuckin
  2186.            67206372 61636b65 72210000 00000000 g cracker!......
  2187.       Vermehrung: BB
  2188.       Schaeden:
  2189.        Aktiviert wird das Teil, wenn mit DoIo lesend auf Block 880
  2190.        (ist nur bei DD-Disk der RootBlock) zugegriffen wird.
  2191.        In Abhaengigkeit von der Zaehlzelle bei $7FF00 (4) findet eine
  2192.        Vermehrung statt oder die "FloppyMusik"-Routine wird ge-
  2193.        startet. Diese Routine beansprucht ihr LW sehr stark und kann
  2194.        deshalb zu Hardware-Schaeden fuehren. Diese Routine ist vom
  2195.        Gadaffi-Virus abgekupfert.
  2196.  
  2197.    - Cracker Ext. Installer  (erzeugt BB s.o.)
  2198.      File verseucht:    50868 Bytes
  2199.      BB-Teil ausgebaut: 49152 Bytes
  2200.       An ACP (BBS) wurde mit Hunklab ein BootJob-File gehaengt.
  2201.       In diesem BootJob-File wurde der Programmierername geloescht.
  2202.       Im Virus-BB wurde der uncodierte Text mit sinnlosen Zeichen ueber-
  2203.       schrieben. Der eor-codierte Bereich ist weiterhin mit gleichem
  2204.       Inhalt vorhanden.
  2205.      VT sollte Ausbau anbieten.
  2206.      Vgl. auch TAI7-Installer, East-Star-Install
  2207.  
  2208.    - CREEPING EEL  BB
  2209.       Vergleiche auch: Executor.BB, Kimble.BB
  2210.       Namensbegruendung: siehe unten
  2211.       KS2.04: nein
  2212.       Fordert trackdisk.device NICHT
  2213.       verbogene Vektoren: Cool, DoIo
  2214.       Speicherlage: immer ab $7EC00
  2215.       Vermehrung und Schaeden: BB
  2216.         UND !!!!!
  2217.         Schreibt in einen Zylinder, der bei einer Disk (880kb)
  2218.         dem Root-Zylinder entspricht (bei Festplatte ergibt sich
  2219.         ein anderer Zyl.), Datenmuell aus Speicher ab $60000.
  2220.         Diese Disks sind NICHT MEHR zu retten. Tut mir leid.
  2221.         Versuchen Sie bitte mit z.B. disksalv noch einige File
  2222.         von anderen Zylindern zu retten.
  2223.  
  2224.        Sobald die Zaehlzelle den Wert $14 erreicht hat:
  2225.          - Deutschland-Farben auf dem Bildschirm
  2226.          - Text, der uncodiert im BB steht
  2227.            2d204865 6c6c6f20 436f6d70 75746572 - Hello Computer
  2228.            66726561 6b202d2d 2d000016 004e596f freak ---....NYo
  2229.            75277665 20676f74 206e6f77 20796f75 u've got now you
  2230.            72206669 72737420 56495255 532e0000 r first VIRUS...
  2231.            002a0068 2a2a2a2a 20544845 20435245 .*.h**** THE CRE
  2232.            4550494e 47204545 4c20202a 2a2a2a00 EPING EEL  ****.
  2233.            002f0082 4d616e79 20446973 6b732061 ./..Many Disks a
  2234.            72652069 6e666563 74656420 21210000 re infected !!..
  2235.            001e00b4 57726974 74656e20 6279203e ....Written by >
  2236.            4d415820 4f462053 5441524c 49474854 MAX OF STARLIGHT
  2237.            3c200000 003c00be a9203239 2e30342e < ...<... 29.04.
  2238.            31393932 203c3c4d 41583e3e 20200000 1992 <<MAX>>  ..
  2239.  
  2240.    - Crime! Linkvirus verlaengert ein File um 1000 Bytes. Haengt sich
  2241.       an den ersten Codehunk an. Cool, AllocMem, Dos: Open, LoadSeg,
  2242.       Dosbase+$2e
  2243.       KS2.04 = NEIN
  2244.       Kein Meldeprogrammteil gefunden.
  2245.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  2246.       Routine fehlt. (nach 3 Links ans gleiche File habe ich aufgehoert)
  2247.       Allerdings muss dazwischen immer ein anderes File aufgerufen wer-
  2248.       den, damit der Filenamenbuffer (vom VirusPrg. angelegt) ueberschrie-
  2249.       ben wird.
  2250.       Im Speicher werden 19 Bytes mit eori.b #$5e,-1(a5) decodiert:
  2251.                   Crime!00dos.library
  2252.       Vermehrungsbedingungen:
  2253.             - Flag Disk o.k. ($52)
  2254.             - #16 Block free
  2255.             - File kleiner als #102400  (#$19000)
  2256.             - 1.LW #$3F3  (File ausfuehrbar)
  2257.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  2258.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  2259.               dann $4E71 (NOP) ein.
  2260.               oder
  2261.               wird bis $3E+1 Wort-Schritte zurueck gefunden. Virus traegt
  2262.               dann $60xy (bra.s xy) ein.
  2263.             - Name enthaelt nicht: #, *, -, ., ?,
  2264.  
  2265.       Speichererkennung mit VT getestet: 15.02.92
  2266.       Ausbau mit VT getestet:            16.02.92
  2267.       wichtig !!!!!!!!!!
  2268.       VT sollte im Filetest das befallene File sicher finden. Da die
  2269.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  2270.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  2271.       VT meldet sich dann NICHT !!!
  2272.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere CrimeLinks ans gleiche
  2273.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  2274.       sich bitte. Danke
  2275.  
  2276.    - Crime!++ Linkvirus verlaengert ein File um 872 Bytes. Haengt sich
  2277.       an den ersten Codehunk an. Cool, Wait, Dos: Dosbase+$2e
  2278.       KS2.04 = NEIN (die Linkroutine wird zwar aktiviert, aber Dosbase+$2e
  2279.          stimmt NICHT. Deshalb kein Link sondern haeufig GURU.
  2280.       Kein Meldeprogrammteil gefunden.
  2281.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  2282.       Routine fehlt. (nach 5 Links ans gleiche File habe ich aufgehoert)
  2283.   
  2284.       Im Speicher werden $1A5+1 Worte mit eor.w d1,(a0)+ decodiert:
  2285.                   Crime!++
  2286.          d1 wird bei jedem Linkversuch ueber $DFF00A neu festgelegt.
  2287.       Vermehrungsbedingungen:
  2288.             - Flag Disk o.k. ($52)
  2289.             - #16 Block free
  2290.             - File kleiner als #102400  (#$19000)
  2291.             - 1.LW #$3F3  (File ausfuehrbar)
  2292.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  2293.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  2294.               dann $4E71 (NOP) ein.
  2295.               oder
  2296.               wird bis $3F+1 Wort-Schritte zurueck gefunden. Virus traegt
  2297.               dann $60xy (bra.s xy) ein.
  2298.  
  2299.       Speichererkennung mit VT getestet: 24.05.92
  2300.       Ausbau mit VT getestet:            25.05.92
  2301.  
  2302.       wichtig !!!!!!!!!!
  2303.       VT sollte im Filetest das befallene File sicher finden. Da die
  2304.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  2305.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  2306.       VT meldet sich dann NICHT !!!
  2307.       wichtig 2:
  2308.       verseuchte Files sind lauffaehig:
  2309.          VT sollte den Urzustand wieder herstellen koennen.
  2310.       verseuchte Files sind NICHT lauffaehig:
  2311.          Die Linkroutine ist nicht ++ , sondern enthaelt mehrere Fehler-
  2312.          quellen, die in Crime! nicht vorhanden waren. EINEN Fehler er-
  2313.          kennt VT und versucht ihn beim Ausbau auszubessern. Bitte mit
  2314.          einer Kopie ausbauen !!!!
  2315.       wichtig 3:
  2316.          Es werden AUCH Files mit einem "." im Namen verseucht.
  2317.          Beweis: Es wurde ein Datablock ausgedruckt. Danach waren ver-
  2318.          seucht: c/print, devs/printer.device, devs/parallel.device,
  2319.          und devs/printer/NEC  .
  2320.       wichtig 4: Nach dem Ausbau rufen Sie bitte BlockITest auf und
  2321.          loeschen alle jetzt noch gefunden Crime!++ - Bloecke (auf
  2322.          der Diskkopie!!!). Das entseuchte File wird nicht unbedingt
  2323.          an die gleiche Stelle auf der Disk zurueckgespielt und so
  2324.          kann ein NICHT mehr aufrufbarer Block stehenbleiben. Danach
  2325.          rufen Sie bitte Blockkette auf und testen die Files auf
  2326.          richtige Verkettung. Sollten vor BlockITest bei BlockKette
  2327.          alle Files noch in Ordnung gewesen sein und jetzt nicht mehr,
  2328.          dann fuehren Sie bitte mit der Disk, die noch nicht mit
  2329.          BlockItest nachbehandelt wurde ein EinzelFileCopy durch. Auch
  2330.          hier werden nur die belegten und benutzten Blocks kopiert.
  2331.          UND rufen Sie mich bitte an. Danke
  2332.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere Crime++Links ans gleiche
  2333.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  2334.       sich bitte. Danke
  2335.       Ursprung:  driveinfo  trojanisches Pferd  s.u.
  2336.  
  2337.    - Crime'92     Linkvirus  verlaengert ein File um 1800 Bytes 1.HunkEnde
  2338.        Namensbegruendung: decodiert im Speicher:
  2339.        4372696D 65273932 000048E7 FFFE47FA Crime'92..
  2340.        Fordert trackdisk.device NICHT
  2341.        resetfest, Virusprogramm meldet sich nicht. Liegt immer im
  2342.        ChipMem. Codierung wechselt.
  2343.        Verbogene Vektoren bis KS1.3 einschl. : Cold, Cool, Wait (exec)
  2344.           dosbase+$2e
  2345.        Verbogene Vektoren ab KS1.4 ($23) : Cool, Wait (exec), LoadSeg,
  2346.           NewLoadSeg
  2347.        68040: NUR OHNE Cache
  2348.        Schaeden:
  2349.         abhaengig vom Wert einer Zaehlzelle:
  2350.         Schreibt in Block 2-7 (=6 Blocks) von Track 0  Speichermuell (der
  2351.         geschriebene Speicher kann auch nur Nullen enthalten). Sollten
  2352.         da Datenbloecke von Programmen gelegen haben, so sind diese
  2353.         Programme unbrauchbar. KEINE Rettung moeglich. Tut mir leid.
  2354.         Wenn das VirusPrg nun den Rigid-Track ihrer Festplatte zerstoert
  2355.         (fordert trackdisk.device NICHT), so ist die Festplatte nach dem
  2356.         naechsten Reset NICHT mehr ansprechbar !!!! Ich hoffe Sie haben
  2357.         ein Backup ?????
  2358.         ab Block 2  move.l #$400,$2c(a1)
  2359.         6 Blocks    move.l #$C00,$24(a1)
  2360.        Vermehrung:
  2361.             - Flag Disk o.k. ($52)  (validated)
  2362.             - #8 Block frei
  2363.             - File kleiner als #102400  (#$19000)
  2364.             - 1.LW #$3F3  (File ausfuehrbar)
  2365.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  2366.             - Test auf schon befallen
  2367.             - Virus sucht ab Ende 1.Hunk nach RTS.
  2368.               Steht RTS genau am Ende, dann wird es mit den ersten zwei
  2369.               Bytes von $48e7fffe (movem.l d0-a6,-(a7)) ueberschrieben.
  2370.               Steht RTS nicht am Ende, dann wird bis $3e+1 Wort-Schritte
  2371.               zurueck gesucht. Virus traegt $60xy (bra.s xy) ein.
  2372.             - Die CodierRoutine ist sehr variabel gestaltet:
  2373.                   - Wechsel der CodierRoutine
  2374.                   - Wechsel des Beginns des codierten Bereichs im Virus-
  2375.                     teil
  2376.  
  2377.       Speichererkennung mit VT getestet: 22.10.92
  2378.       Ausbau mit VT getestet:            23.10.92
  2379.       wichtig1 !!!!!!!
  2380.        Bitte aktivieren Sie die DruckOption zuerst in Prefs. Es koennte
  2381.        mit den notwendigen Druckprogrammen Crime'92 eingeladen werden.
  2382.        Beim naechsten GadgetKlick im Hauptfenster MUSS VT den Crime'92
  2383.        dann im Speicher finden !!!!  Zumindest bei meinen Tests.
  2384.       wichtig2 !!!!!!!!!!
  2385.        VT sollte im Filetest das befallene File sicher finden. Da die
  2386.        anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  2387.        nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  2388.        VT meldet sich dann NICHT !!!
  2389.  
  2390.       Nachtrag 03.07.93:
  2391.        Crime 92 Variante (CodierRoutine anders) erhalten.
  2392.        Fileerkennung musste geaendert werden.
  2393.        Speichererkennung musste NICHT geaendert werden.
  2394.  
  2395.       Nachtrag 04.07.93:
  2396.        Es ist ein verseuchtes Testfile aus absolut zuverlaessiger Quelle
  2397.        aufgetaucht, bei dem das letzte Langwort im Orginalhunk zerstoert
  2398.        war . Dieses File ist AUCH nach dem Crime92-Ausbau noch defekt.
  2399.        Beispiel: der 1.Hunk wuerde mit "dos.library",0 enden. Bei diesem
  2400.        Vorgang wuerde dann "dos.libr",$5cef5def entstehen. Beim Ver-
  2401.        such, die dos.library zu oeffnen wuerde ein Fehler entstehen.
  2402.        Es ist mir in zwei Stunden nicht gelungen, diese Variante selbst
  2403.        zu erzeugen.
  2404.    
  2405.    - D&A FileVirus  Laenge:1052 Bytes  anderer Name SCA Dos Kill
  2406.       Cool immer $7E3CE und nach Reset auch DoIo
  2407.       KS2.04: keine BB-Verseuchung gelungen, Vektoren aber verbogen
  2408.       Schaeden: Das FileVirus schreibt bis KS1.3 auf eine nicht schreib-
  2409.       geschuetzte Disk einen BB dem die DOS0-Kennung fehlt. Dort steht
  2410.       dafuer $00000400 . Das Betriebssystem meldet deshalb mit einem
  2411.       Requester "Not a Dos Disk" . Schreiben Sie einfach einen Standard-
  2412.       Bootblock auf diese Disk. Der defekte BB ist ein leicht geaenderter
  2413.       SCA-BB (z.B. SCA! durch D&A! ersetzt). Das File muessen Sie loeschen.
  2414.       Schauen Sie bitte auch in der startup-sequence nach, ob dieser File-
  2415.       name vorkommt und loeschen Sie diese Zeile.
  2416.       Vermutung: Dieser BB wurde mit einem Prg. erzeugt, das aus einem
  2417.       BB ein Execute-File macht. Gibt es leider auch auf FF. Lesen Sie
  2418.       dazu auch FileTest bei SP-File-Sp in VT2.xyd .
  2419.  
  2420.  
  2421.    - D-Structure A/B/C-Virus
  2422.       immer ab $7C000  oldOpenLib immer $7C06E   Write (-$30) immer
  2423.       $7C0CC   nicht resetfest
  2424.       Name: D-Structure   in der Mitte des Files zu lesen
  2425.       Typ A: Filelaenge: 428 Bytes
  2426.       Typ B: Filelaenge: 352 Bytes     (haeufig Absturz)
  2427.       Typ C: Filelaenge: 464 Bytes     (21.10.92)
  2428.                 Typ A u. B :
  2429.           ffd24e75 0007c200 0007c204 442d5374 ..Nu........D-St
  2430.           72756374 75726500 c24033ee 000003ec ructure..@3.....
  2431.                 Typ C:
  2432.           C2000007 C204442D 53747275 63747572 A...A.D-Structur
  2433.           65202000 000003F3 00000000 00000002 e  ....o........
  2434.             ^^^^                               ^^
  2435.             also mit zwei zusaetzlichen Leerzeichen
  2436.       Ablauf:
  2437.       - allocabs $7C000
  2438.       - oldOpenlib wird gerettet und verbogen
  2439.       - wenn nun ein anderes Programm oldopenlib aufruft, wird getestet
  2440.         ob dos.library geoeffnet werden soll.
  2441.           wenn nein:  z.B. intuition.lib
  2442.             - newopenlib wird ausgefuehrt und D-Structure wartet weiter
  2443.           wenn ja:
  2444.             - dosBase wird gerettet
  2445.             - Orig-Write wird gerettet und verbogen
  2446.             - oldopenlib wird zurueckgesetzt
  2447.             - newopenlib wird ausgefuehrt
  2448.           beim 5. Aufruf von Write wird nun nicht das Gewuenschte ge-
  2449.           schrieben (in cli, auf disk usw.), sondern das VirusPrg ab
  2450.           $7C000. Dieses File auf Disk ist leider nicht zu retten.
  2451.            - VirusPrg meldet sich NICHT !!!!
  2452.       Empfehlung: loeschen Sie das VirusPrg und alle zerstoerten Files.
  2453.                   Ueberpruefen Sie bitte die startup-sequence.
  2454.         D-Structure A/B-File-Erkennung mit VT getestet: 09.09.92
  2455.         D-Structure A/B-Speicher mit VT getestet:       09.09.92
  2456.         D-Structure C  mit VT getestet:                 21.10.92
  2457.  
  2458.    - DAG   Cool, im Prg DoIo und zurueck, Fastmem ja, immer ab $7ec00
  2459.       eine Meisterleistung: in den SCA-Text wurde eingebaut:
  2460.                Try ANTIVIRUS from DAG
  2461.       Erzeuger: DAG_Creator   ungepackt:7000 Bytes oder 7360 Bytes
  2462.          schreibt Dag in BB von df1:
  2463.  
  2464.    - dailer-BBS  V2.8g   Von der Definition kein Virus, da keine Ver-
  2465.          mehrung. Ein Einbruchswerkzeug in BBS . Das Hauptprogramm
  2466.          duerfte eine Bluebox sein.
  2467.          Gepackt mit CrunchMania: Laenge: 11992 Bytes
  2468.          Laenge entpackt: 33908 Bytes
  2469.          Wird von VT entpackt als XLink erkannt. Also war meine Ver-
  2470.          mutung, dass auch dieses Programm fuer Viren missbraucht wird,
  2471.          RICHTIG !!!!
  2472.            Im File ist dann zu lesen:
  2473.  
  2474.            79006262 733a7573 65722e64 61746100 y.bbs:user.data.
  2475.            6262733a 6e6f6465 312f4e4f 43414c4c bbs:node1/NOCALL
  2476.            45525341 54333030 00010000 000003ec ERSAT300........
  2477.            ;.......
  2478.            4469616c 65722076 322e3867 2f555044 Dialer v2.8g/UPD
  2479.            41544544 20425920 53545249 4b455220 ATED BY STRIKER
  2480.  
  2481.          Oeffnet user.data und speichert ein paar Bytes in
  2482.          NOCALLERSAT300 ab.
  2483.          Hinweis: Entpacken Sie das File. VT sollte dann XLink erkennen.
  2484.          Gehen Sie dann in den File-Requester. Klicken Sie das
  2485.          File an und anschliessend auf 1Linkaus. Der 1.Link sollte
  2486.          im File abgeschaltet werden. Nachkontrollieren koennen Sie
  2487.          das mit SnoopDos, wenn Sie VT nicht trauen. SnoopDos -l darf
  2488.          keinen Lock auf bbs:user.data mehr anzeigen.
  2489.  
  2490.  
  2491.    - DarkAvenger-Virus      Link
  2492.          Starke Aehnlichkeit mit Infiltrator (nur dosopen statt loadseg).
  2493.          Also keine Meisterleistung. Die Namenswahl zeugt von grosser
  2494.          Selbstueberschaetzung .
  2495.          Verbiegt DosOpen
  2496.          Nicht resetfest
  2497.          KS 1.3: ja
  2498.          KS 2.04: ja
  2499.          A4000/40 : 10 Files sind gelaufen und haben eine Disk jeweils
  2500.            komplett verseucht. Ablauf: Auf A2000 mit KS2.04 wurde eine
  2501.            komplette Disk verseucht. Auf dieser Disk sind dann unge-
  2502.            faehr 20 verseuchte Files auf dem A2000 ohne GURU gelaufen.
  2503.            Von diesen 20 verseuchten Files waren auf dem A4000/40
  2504.            10 Files ohne Guru lauffaehig. (Cache aus)
  2505.          Typ A und Typ B sind bekannt. siehe unten
  2506.          Das Virusteil haengt sich immer neu codiert nach dem 1.Hunk ein.
  2507.  
  2508.          Arbeitsweise gleich fuer Typ A und B:
  2509.             - Sucht nach dem Langwort, das die Laenge des 1.CodeHunks
  2510.               enthaelt und erhoeht den Wert um $11A (TypA) oder
  2511.               $10C (TypB) .
  2512.             - Schreibt zu Beginn des 1. CodeHunks 6100xxyy (bsr xxyy)
  2513.                d.h. der OriginalSourceCode wird ueberschrieben.
  2514.             - Haengt sich codiert am Ende des 1.OriginalCodeHunks an.
  2515.                d.h. keine Erhoehung der HunkAnzahl.
  2516.  
  2517.          Vermehrungsbedingungen:
  2518.             - Disk validated
  2519.             - mindestens 8 Bloecke Platz
  2520.             - 1. CodeHunk nicht groesser als $1ffc * 4 = $7FF0
  2521.             - Filelaenge groesser #2000 Bytes und
  2522.             - Filelaenge kleiner #100000 Bytes
  2523.             - Test 1. Wort im CodeHunk auf
  2524.                - $4EF9 (Jmp)    falls ja keine Verseuchung
  2525.                - $4EB9 (Jsr)    falls ja keine Verseuchung
  2526.             - Test ob schon von DarkAvenger verseucht
  2527.               1. Wort im CodeHunk auf
  2528.                - $6100 (bsr)    falls ja 2. Test an anderer Stelle auf
  2529.                 - $FFFE6004 (Typ A) oder $FFFE4E71 (Typ B)
  2530.                   falls ja schon verseucht, deshalb Ende.
  2531.            Ergebnis: verseucht auch libs, devices, fonts  usw.
  2532.  
  2533.          Erfolg: NICHT alle Programme sind danach lauffaehig !!!!!
  2534.  
  2535.          Typ A:
  2536.            Verlaengert ein File um $11a x 4 = $468 = #1128 Bytes
  2537.            In Abhaengigkeit von $DFF006 wird mit setwindowtitles
  2538.             -=- The Dark Avenger -=-  gesetzt
  2539.            Selbsterkennung im Speicher mit $A0A1
  2540.                Decodiert mit
  2541.                    subi.b x,(a3)+   ( x aendert sich bei jeder Ver-
  2542.                                  mehrung in Abhaengigkeit von $DFF006 )
  2543.                ist im Speicher zu lesen:
  2544.            6974696f 6e2e6c69 62726172 7900202d ition.library. -
  2545.            3d2d2054 68652044 61726b20 4176656e =- The Dark Aven
  2546.            67657220 2d3d2d00                   ger -=-.
  2547.  
  2548.          Typ B:
  2549.            Verlaengert ein File um $10c x 4 = $430 = #1072 Bytes
  2550.            Die setwindowtitles-Routine fehlt.
  2551.            Selbsterkennung im Speicher mit $A0A1A2A3
  2552.                Decodiert mit
  2553.                    eori.b x,(a3)+   ( x aendert sich bei jeder Ver-
  2554.                                  mehrung in Abhaengigkeit von $DFF006 )
  2555.                ist im Speicher zu lesen:     
  2556.            732e6c69 62726172 79005265 6d696e64 s.library.Remind
  2557.            65727320 6f662070 61737420 2c206665 ers of past , fe
  2558.            6172206f 66207468 65206675 74757265 ar of the future
  2559.            3a205345 50544943 20534348 495a4f2e : SEPTIC SCHIZO.
  2560.            3d2d2054 68652044 61726b20 4176656e =- The Dark Aven
  2561.            67657220 2d3d2d00                   ger -=-.
  2562.  
  2563.          Ausbau: VT versucht den Originalzustand wieder herzustellen.
  2564.             Falls es Probleme gibt, wenden Sie sich bitte an mich.
  2565.             NACH dem FileTest machen Sie bitte ein EinzelFileCopy
  2566.             auf eine leere formatierte Disk. (QUICK genuegt nicht)
  2567.             Diskcopy nuetzt nichts, da dabei alle Bloecke kopiert
  2568.             werden.
  2569.          Zwei Gruende:
  2570.                - die Fragmentierung der Files wird aufgehoben
  2571.                   (Disk ist wieder schneller)
  2572.                - es werden nur benutzte Bloecke kopiert, d.h. jetzt
  2573.                  nicht mehr von Files belegte Bloecke werden nicht
  2574.                  mitkopiert und so kann dann auch BlockITest keinen
  2575.                  DarkAvenger auf der NEUEN Disk in einem unbenutzten
  2576.                  Block finden.  Beispiel siehe unten
  2577.                Block:      23
  2578.      0000: 00000008 0000048f 0000000e 0000004c ...............L
  2579.      0010: 00000000 00000000 815b0864 94717800 .........[.d.qx.
  2580.      0020: 716c1612 0a717cc5 2e3b1680 1f23f407 ql...q|..;...#..
  2581.      0030: f469d07d 1c0d278d 90280351 3d800401 .i.}..'..(.Q=...
  2582.      0040: 3d000c1c 9d6fc6cd 3e9cab9f fde08dc4 =....o..>.......
  2583.      0050: 02400408 81420010 0c04f46d 00246c09 .@...B.....m.$l.
  2584.      0060: 000003f2 2a20e8b5 4e759044 7200e8ad ....* ..Nu.Dr...
  2585.                ^^^^  ;hier neues FileEnde
  2586.      0070: 6708e9b1 51c8fff8 4e752a20 e8b560f2 g...Q...Nu* ..`.
  2587.      0080: 300461e8 70001035 10003401 b4466616 0.a.p..5..4..Ff.
  2588.      0090: 61cc6502 700761d2 36017002 61ced441 a.e.p.a.6.p.a..A
  2589.      00a0: b24767f6 600461c2 3601d444 17333000 .Gg.`.a.6..D.30.
  2590.      00b0: 51cafffa 33cb00df f1a2b5cb 65804e75 Q...3.......e.Nu
  2591.      00c0: 09090909 000024b4 4e468280 48e7fffe ......$.NF..H...
  2592.                                       ^^^^^^^^ alter VirusCode
  2593.             Das alte Virusteil ist im Block geblieben, und wurde vom
  2594.             neuen Fileende nicht ueberschrieben, da nicht der ganze
  2595.             Block benoetigt wird. VT wuerde im BlockITest den Dark
  2596.             Avenger finden. Im FileTest NATUERLICH NICHT !!!!
  2597.             Dies hat NICHTS mit VT zu tun, sondern liegt am Amiga-
  2598.             Betriebssystem.
  2599.  
  2600.  
  2601.          Suche: Sie MUESSEN mit FileTest suchen. Bei BlockKette kann
  2602.             eine Meldung unterbleiben, wenn von den 3 Testlangworten
  2603.             2 im Block x und 1 LW im Block x+1 liegen.
  2604.  
  2605.          Bitte: Suchen Sie NICHT nach verseuchten Files, solange ein
  2606.             sogenanntes "Nutzprogramm" aktiv ist, das dosopen verbiegt.
  2607.             Hinter diesem Nutzprg koennte der DarkAvenger liegen !!!
  2608.             Folge: Das Nutzprogramm ueberprueft beim Laden das File
  2609.             und stellt fest, dass das File von ihm NICHT zu bearbeiten
  2610.             ist (also z.B. nicht gepackt) und uebergibt an den "OrigDos-
  2611.             Open-Vektor". Nur leider ist der "OrigDosOpen-Vektor" auf
  2612.             die DarkAvenger-Routine verbogen !!!!  Ihre Erfolgsaussichten
  2613.             sind NULL  !!!!!! Falls VT das "Nutzprogramm" nicht kennt,
  2614.             koennen Sie im Hauptfenster in Tools mit setze OVektoren
  2615.             dosopen zuruecksetzen.
  2616.          Hinweis fuer Szeneprogrammierer: Der Trick mit Hunk_Symbol,
  2617.             Hunk_Name oder ChipKennung verhindert bei diesem Virus-
  2618.             teil den Linkvorgang  NICHT (!!!!!), da mit
  2619.                   cmpi.w #$3E9,(a0)+
  2620.                       gearbeitet wird.
  2621.          Hinweis: starten Sie BITTE den Druck IMMER aus Prefs. Hier wird
  2622.             das printer.device nach Aufruf auf Linkvirusbefall geprueft.
  2623.  
  2624.    - DARTH VADER   File  Laenge: 784 Bytes
  2625.       Cool und nach Reset auch OldOpenLib
  2626.       Vermehrung und Schaeden:
  2627.          - sobald OldOpenLib verbogen ist, versucht sich das Prg.
  2628.            im Root-Verzeichnis als $A0 zu vermehren. In die 1.Zeile
  2629.            der Startup-Sequence wird $A00A geschrieben.
  2630.          - sobald in der Zaehlzelle der Wert 6 steht, wird mit
  2631.            Output ausgegeben:
  2632.                VIRUS(V1.1) BY DARTH VADER
  2633.       Fehlerquellen:
  2634.          nicht mit KS2.04
  2635.          nicht mit FastMem
  2636.          mit 1Mb Chip nur mit setpatch r
  2637.          Kann nur eine startup-sequence bis zur Groesse #1000 richtig
  2638.          veraendern.
  2639.       Empfehlung: loeschen und 1.Zeile in der startup-sequence mit
  2640.                   Editor ebenfalls loeschen.
  2641.       Loeschen mit VT getestet: 26.04.92
  2642.  
  2643.    - DASA  anderer Name: ByteWarrior  s.o.
  2644.  
  2645.    - DAT '89   nur KS1.2 da DoIoRomEinsprung, KickTag, KickCheckSum
  2646.       immer 7F800, versucht durch Text im BB zu taeuschen:
  2647.             THIS BOOT RESETS ALL VECTORS   usw.
  2648.       Sobald die Zaehlzelle $F erreicht, DisplayAlert:
  2649.                      DAT '89!!!
  2650.       Fordert NICHT trackdisk.device !!!!
  2651.       Schaeden:
  2652.          schreibt sich in BB
  2653.          zerstoert Block 880 und 881 (bei Disk Root)
  2654.    - DAT89-TAI9-Clone:
  2655.       Text geaendert:
  2656.            3b2d2d29 2e2c3a2e 542e2e41 2c2c492e ;--).,:.T..A,,I.
  2657.            2e495800 00000000 00002020 67726170 .IX.......  grap
  2658.  
  2659.    - DATA CRIME   CCCP-Clone    s.o.
  2660.       BB Vermehrung auch mit ROM KS2.04
  2661.          CCCP-VIRUS in DATA CRIME geaendert (irre Leistung)
  2662.             hat aber bei VT NICHTS genuetzt !!!, also lasst das
  2663.  
  2664.    - DATACRIME-killer  BB  s.o. ASV-BB
  2665.       Endlich hat es wieder jemand geschafft den ASCII-Text zu aendern ..
  2666.          THIS BOOTBLOCK KNOWS SOME OLD AND NEW VIRUSES  usw.
  2667.             Wird von VT weiterhin als ASV erkannt. Pech gehabt !!
  2668.  
  2669.    - DATALOCK    BB
  2670.       BB ist codiert
  2671.       Decodierter BB im Speicher immer ab $7F700
  2672.       Verbogene Vektoren: DoIo, KickTag und im Prg. dann DisplayAlert
  2673.       Fordert trackdisk.device NICHT !!!
  2674.       Ich hab das mit der SyQuest ausprobiert. Wenn Sie KEIN backup vom
  2675.       Rigidbereich Ihrer Festplatte haben, bekommen Sie Probleme.
  2676.       Vermehrung: BB
  2677.       Meldung: soll sich in Abhaengigkeit von einer Zaehlzelle mit
  2678.         Displayalert melden.
  2679.       Version 1.1 :
  2680.        - in Abhaengigkeit von Zaehlzelle:
  2681.          - schreibt BB 2 Bloecke lang kein Problem
  2682.          - schreibt Speicher ab $7FAAD nach $6E000 auf Medium. Bei einer
  2683.            DD-Disk ist das der Rootblock (880). Ich mache Ihnen wenig
  2684.            Hoffnung. Probieren Sie Disksalv2.
  2685.          - schreibt Speicher ab $7FAAD nach $6F400 auf Medium. Bei einer
  2686.            DD-Disk ist das Block 890. Es werden $1000 Bytes = 8 Bloecke !!!
  2687.            geschrieben. Also ist in 890 "DATALOCK" zu lesen und die
  2688.            folgenden Bloecke sind AUCH unbrauchbar, weil sie Speichermuell
  2689.            enthalten.
  2690.            Auszug mit VT-drucke:
  2691.             0000: 0a444154 414c4f43 4b20312e 31202863 .DATALOCK 1.1 (c
  2692.             0010: 29206039 34210000 414c4c20 283f2920 ) `94!..ALL (?)
  2693.             0020: 434f4445 20425920 44454154 48434f52 CODE BY DEATHCOR
  2694.             0030: 452e0007 fae60000 00004afc 0007fae6 E.........J.....
  2695.              usw.
  2696.       Version 1.2 :
  2697.        - in Abhaengigkeit von Zaehlzelle:
  2698.          - schreibt BB  ABER immer $800 also 4 Bloecke. Falls also ein
  2699.            File auf dieser Disk Block 2 u. 3 von Zylinder 0 belegt hat,
  2700.            so wird es immer unbrauchbar. Test mit VT BlockKette ergibt
  2701.            bad Data !!!
  2702.          - schreibt Speicher ab $7FAAD nach $6E000 auf Medium. Bei einer
  2703.            DD-Disk ist das der Rootblock (880). Ich mache Ihnen wenig
  2704.            Hoffnung. Probieren Sie Disksalv2.
  2705.          - berechnet ueber $DFF006 einen Block und schreibt Speicher ab
  2706.            $7FAAD in diesen Block. Da $800 = 4 Bloecke geschrieben wer-
  2707.            den, enthalten die folgenden Bloecke Speichermuell und sind
  2708.            AUCH unbrauchbar.
  2709.            Auszug mit VT-drucke:
  2710.             0000: 0f3e3e3e 20444154 414c4f43 4b20312e .>>> DATALOCK 1.
  2711.             0010: 32203c3c 3c206039 34210001 00be1b28 2 <<< `94!.....(
  2712.             0020: 63292062 79204445 41544843 4f52452e c) by DEATHCORE.
  2713.             0030: 00000007 fae60000 00004afc 0007fae6 ..........J.....
  2714.  
  2715.    - DATALOCK Installer   File
  2716.          Laenge gepackt:  1996 Bytes
  2717.          Laenge entpackt: 2992 Bytes
  2718.          Soll DATALOCK-BB  (siehe oben) auf BB schreiben.
  2719.          Selbst keine verbogenen Vektoren.
  2720.          Keine Vermehrung
  2721.          KS1.3:  ja
  2722.          KS2.04: bei mir nur wirre Zeichen auf dem Bildschirm.
  2723.          Dringende Empfehlung: loeschen
  2724.  
  2725.    - DEBUGGER-Virus        Link
  2726.          Verlaengert ein File um 1088 Bytes
  2727.          KS 1.3 : GURU   (wg. z.B. CacheClearU)
  2728.          KS 2.0 : ja
  2729.          Verbogene Vektoren: DosWrite, LoadSeg
  2730.          Nicht resetfest
  2731.          Aktivierung im Speicher:
  2732.           Nur wenn in Dos.lib $4EF9 verwendet wird.
  2733.          Vermehrung:
  2734.          Ein Orig-Teil im 1.Hunk wird ans Fileende gerettet und durch
  2735.          ein Virusteil ersetzt. Das 2.Virusteil haengt auch am File-
  2736.          ende in einem 3F1-Hunk .
  2737.          Bedingungen:
  2738.               File ausfuehrbar 3F3
  2739.               die ersten 4 Bytes des 1. Hunks enthalten weder
  2740.                 $4e75 noch $4afc  (wg. Lib)
  2741.               Medium validated  #82
  2742.               #8192 Bloecke frei  also keine Disk
  2743.               der 1.Hunk mindestens eine bestimmte Laenge hat
  2744.          VT versucht den Ausbau.
  2745.          Am Ende eines verseuchten Files ist zu lesen:
  2746.            23c00000 20444542 55474745 52283034 #... DEBUGGER(04
  2747.            31393934 292043fa                   1994) C..
  2748.  
  2749.    - Deniz  Cool SCA-Clone
  2750.          Vermehrung auch mit KS2.04
  2751.          nur Text geaendert
  2752.  
  2753.    - DERK1 u. 2  BB     richtiger Name: MALLANDER VIRUS V1.0
  2754.          Hinweis: Derk1=Derk2
  2755.          Beweis fuer Nichtassemblerfreaks: nutzen Sie die Funktion
  2756.          vgl. in VT . Die 1 und 2 in der BB-Checksum ergeben sich aus
  2757.          den abgespeicherten unterschiedlichen DoIo's. Sonst KEINE
  2758.          Unterschiede .
  2759.  
  2760.    - Descriptor-Virus   ein Zerstoerungsfile  Laenge: 7016 Bytes
  2761.          Namensbegruendung: s.u.
  2762.          Keine verbogenen Vektoren
  2763.          Testet auf mindestens KS2.04  s.u.
  2764.          Sucht nach S:Descriptions.TXT
  2765.          Behauptet Snap zu suchen, holt aber in Wirklichkeit aus
  2766.          c den delete-Befehl und loescht alle Files. Durch die
  2767.          verbrauchte Zeit sollte Ihnen das schon auffallen. Wenn
  2768.          Sie danach das About-Gadget anklicken, erhalten Sie die
  2769.          Ausgabe: Your HD is ... s.u.
  2770.          Das Programm loescht aber GENAUSO ihre Disk .
  2771.          VT bietet nur loeschen an, da die Zerstoerungs-Routine
  2772.          EINGEARBEITET und nicht angelinkt ist. Es soll aber
  2773.          auch ein SAUBERES Descriptor-Programm geben (hab ich
  2774.          nicht). Das echte Programm soll Logos an Files an-
  2775.          haengen. Also wird die Hauptgefahr "nur" die Sysops
  2776.          treffen.
  2777.      Fileauszuege:
  2778.            6F757263 65006465 6C657465 203A233F ource.delete :#?
  2779.            20616C6C 20200000 80000064 00000000  all  .....d....
  2780.            ;....
  2781.            2F313032 2F446573 63726970 746F7220 /102/Descriptor
  2782.            56332E30 20627920 436F6C6F 72626F79 V3.0 by Colorboy
  2783.            206F6620 5375626D 69737369 6F6E206F  of Submission o
  2784.            6E203239 2D4A554E 2D313939 332F6E6F n 29-JUN-1993/no
  2785.            ;....
  2786.            6E6F7369 7A650000 533A4465 73637269 nosize..S:Descri
  2787.            7074696F 6E732E54 58540000 0C0A9B33 ptions.TXT.....3
  2788.            ;....
  2789.            64212057 68617420 61626F75 74206B69 d! What about ki
  2790.            636B2032 2E303F0A 45697468 65722049 ck 2.0?.Either I
  2791.            ;....
  2792.            9B31303B 31304853 6E617020 6973206E .10;10HSnap is n
  2793.            6F742069 6E206D65 6D6F7279 2E204920 ot in memory. I
  2794.            74727920 746F206C 6F616420 69742066 try to load it f
  2795.            726F6D20 432D4469 722E2020 20202020 rom C-Dir.
  2796.            ;....
  2797.            5B33316D 0A0A2020 2DF721F7 2D202059 [31m..  -:-!:  Y
  2798.            6F757220 48442069 73206465 6C657465 our HD is delete
  2799.            64202E2E 2E204861 70707920 42697274 d ... Happy Birt
  2800.            68646179 202D4D43 492D2F44 43532041 hday -MCI-/DCS A
  2801.            48484148 41484148 41484148 4120202D HHAHAHAHAHAHA  -
  2802.        Hinweis 01.08.93:
  2803.          Das Zerstoerungsteil wird auch als zsped.lha weiter-
  2804.          gegeben. Laenge: 20817 Bytes (allerdings mit mehreren
  2805.          Boxenhinweisen). Das Virusteil nennt sich dort SPEEDER.EXE
  2806.          (Laenge: 7016). Also nur ein anderer Name. Die Doc ver-
  2807.          sucht zu verwirren, indem sie die Funktion des Programms
  2808.          falsch beschreibt.
  2809.          SPEEDER.DOC:
  2810.          Just RUn Speeder.exe From Ram And Watch YER CPS CLIMB On
  2811.          You Next Transfer Mine Increased from 1600 to 1800
  2812.          On normal 14.4 HST
  2813.                      SAMIR ZENITH LEADER
  2814.  
  2815.          Watch For Our releases!!!!!
  2816.  
  2817.    - Destructor   Cold
  2818.          im BB sichtbar:
  2819.             Destructor_Virus v1.2 Written by Aldo Reset.
  2820.             (c) M.C.T. Ltd 1990- Everything is under control !
  2821.             (eh!eh!)
  2822.          keine Vermehrungsroutine gefunden
  2823.          zerstoert beim naechsten Reset ueber Cold eine nicht
  2824.          schreibgeschuetzte Disk indem jeder 4. Track ueberschrieben
  2825.          wird.
  2826.  
  2827.    - DETLEF-Virus   BB    KickTag, KickCheckSum, DoIo
  2828.          Namensbegruendung: siehe unten
  2829.          Fordert trackdisk.device NICHT
  2830.      BB wird in den Speicher decodiert mit: add.b d1,(a0)+
  2831.          Jeder neu geschriebene Virus-BB wird neu codiert in Abhaengig-
  2832.          keit von $DFF00A .
  2833.          In Abhaengigkeit von $DFF006 wird mit DisplayAlert ein Text
  2834.          ausgegeben. Dazu wird ein Virusteil nach $73000 kopiert und
  2835.          mit  add.b #$ad,(a0)+  decodiert.
  2836.          AlertText:
  2837.                            Guten Tag.
  2838.                       » Ich heiße DETLEF «
  2839.           Ich werde Sie in der nächsten Zeit etwas nerven.
  2840.             Gemacht wurde ich von ·      M  A  X       .
  2841.          Vermehrung und Schaden: BB
  2842.  
  2843.    - Devil_V8_B.Door    anderer Name:SwiftWare  Laenge ungepackt: 44224
  2844.          Ein Hunk wurde vor das Originalfile gehaengt, um das Sysop-Pass-
  2845.          word auslesen zu koennen und in einem neuen File abzulegen.
  2846.            Ein Teil des 1.Hunks decodiert mit neg.b (a0)+ ergibt:
  2847.                                           6262               bb
  2848.            733A6E6F 6465302F 6E6F6361 6C6C6572 s:node0/nocaller
  2849.            73617433 30300062 62733A75 7365722E sat300.bbs:user.
  2850.            64617461 00                         data.
  2851.          Da das Teil sich nicht vermehrt, handelt es sich nach der
  2852.          Definition nicht um einen Virus.
  2853.          Namensbegruendung: Eine Gruppe (oder Einzelperson) soll fuer
  2854.          diese BBS-Einbrueche verantwortlich sein. Kann ich nicht nach-
  2855.          pruefen.
  2856.          VT bietet den Ausbau an.
  2857.  
  2858.    - Devil_11_B.Door
  2859.          Drei Files sind mir bekannt, vor die das Teil gehaengt wurde:
  2860.               - DLog V1.8   Laenge verseucht: 23452
  2861.               - ULog V1.8   Laenge verseucht: 23452
  2862.               - MsgTop V1.0 Laenge verseucht,aber einmal entpackt: 17884
  2863.                                                        2x gepackt: 13548
  2864.          Alle drei Prg.e verseucht auf A4000 = GURU 4
  2865.          BackDoor-Teil ausgebaut, aber ohne BBS: = Fehler -1
  2866.          Wenn Sie das BackDoorTeil entpacken, finden Sie gleich am An-
  2867.          fang:
  2868.            000003e9 0000093d 4efa09ac 42425300 .......=N...BBS.
  2869.            44483000 44483100 4844303a 00484431 DH0.DH1.HD0:.HD1
  2870.            3a004448 30004448 31004844 303a0048 :.DH0.DH1.HD0:.H
  2871.            44313a00 4242533a 00444830 3a424253 D1:.BBS:.DH0:BBS
  2872.            2f004448 313a4242 532f0048 44303a42 /.DH1:BBS/.HD0:B
  2873.            42532f00 4844313a 4242532f 00444830 BS/.HD1:BBS/.DH0
  2874.            3a004448 313a0048 44303a00 4844313a :.DH1:.HD0:.HD1:
  2875.          Mit SnoopDos koennen Sie das nachvollziehen.
  2876.          Schaden: (Die folgende Aussage wurde uebernommen)
  2877.           Sucht nach Files mit Laenge 1972 Bytes und aendert sie so ab,
  2878.           dass ab Level 10 Account edit und Sysop download moeglich wird.
  2879.  
  2880.          Da das Teil sich nicht vermehrt, handelt es sich nach der
  2881.          Definition nicht um einen Virus.
  2882.          Namensbegruendung: Eine Gruppe (oder Einzelperson) soll fuer
  2883.          diese BBS-Einbrueche verantwortlich sein. Kann ich nicht nach-
  2884.          pruefen.
  2885.          VT bietet den Ausbau an.
  2886.  
  2887.    - Died   siehe bei PP-Bomb
  2888.  
  2889.    - DIGITAL AGE = Rude Xerox = Forpib-Clone
  2890.          nur Text geaendert
  2891.  
  2892.  
  2893.    - DIGITAL-DREAM-Inst.   File    anderer Name: Jeffkiller V2.67
  2894.          Laenge gepackt :  6496 Bytes
  2895.          Laenge entpackt:  9960 Bytes
  2896.          Man erkennt, dass es sich um ein Hunklab-File handelt.
  2897.          - Ein Virusinstall-Teil fuer den Speicher.
  2898.          - Ein Bildanzeigeteil mit Bilddaten
  2899.          - Ein Code um Jeffkiller.info auf die Disk zu schreiben.
  2900.            Jeffkiller.info          Laenge: 54 Bytes
  2901.            4a656666 76697275 73206f6e 20446973 Jeffvirus on Dis
  2902.            6b207761 73206b69 6c6c6564 2e2e2e0a k was killed....
  2903.            6279204a 6566666b 696c6c65 72205632 by Jeffkiller V2
  2904.            2e363720 0a000000 00000000 00000000 .67 ............
  2905.          Das Teil behauptet im Bild ein Jeff-Killer zu sein. In Wirk-
  2906.          lichkeit wird im Speicher das BB-Virusteil installiert. Wenn
  2907.          Sie mit der Maustaste einen Suchvorgang ausloesen, wird auf
  2908.          die Disk auch ein Textfile s.o. geschrieben.
  2909.          VT bietet loeschen an.
  2910.  
  2911.    - DIGITAL-DREAM-Virus  BB (0-3)
  2912.          Im Speicher immer ab $7f400
  2913.          Verbogene Vektoren: Supervisor, DoIo, KickTag, KickChecksum
  2914.          KS1.3 : ja
  2915.          KS2.04: ja
  2916.          68030:  nein
  2917.          Fordert trackdisk.device NICHT
  2918.          Namensbegruendung: im decodierten BB ist zu lesen
  2919.            203e3e44 49474954 414c2044 5245414d  >>DIGITAL DREAM
  2920.            3c3c2000 6279204d 6178206f 66205374 << .by Max of St
  2921.            61724c69 67687400 48e7fffe 2c790000 arLight.H...,y..
  2922.          Ablauf:
  2923.            - rettet Orig.BB
  2924.            - Haengt eigenes Virusteil davor.
  2925.            - Codiert BB-Virus mit eor.b x,(a0)+ neu. (x abhaengig
  2926.              von $DFF006)
  2927.            - Schreibt 4 Bloecke zurueck.
  2928.          D.h. ein File das an Block 2 beginnt, wird zerstoert. Sie
  2929.          koennen die Reste des Files nur noch loeschen.
  2930.          VT bietet an, den Orig.BB zu suchen (O-BB) und kann ihn
  2931.          wieder installieren.
  2932.  
  2933.  
  2934.    - DIGITAL EMOTIONS   Cool, im Prg. DoIo und zurueck, immer $7ec00
  2935.          im BB immer sichtbar: *** DIGITAL EMOTIONS ***
  2936.          je nach Zaehlerstand
  2937.          - wird eigener BB geschrieben oder
  2938.          - Track 0 mit 'VIRUS ' beschrieben.  Folge: keine Dos-Disk
  2939.          Textausgabe (decodiert mit -1) ueber DisplayAlert:
  2940.                 KickStart ROM Corrupted at $c00276
  2941.  
  2942.    - DirtyTricks  richtiger Name Incognito
  2943.       (das VirusPrg speichert am Ende des BB`s Tabellen mit ab, die
  2944.        sich nach Speicherlage und Konfiguration des Amiga aendern.
  2945.        Beim Booten des Viruses werden die Tabellen neu angelegt !!!)
  2946.  
  2947.    - DISASTER MASTER V2  ( cls * )   1740 Bytes
  2948.          eigenstaendiges Prg. fuer startup-sequence
  2949.          KickTag, KickCheck
  2950.          im Prg. DoIo und wieder zurueck
  2951.          Cool und Cold werden geloescht
  2952.       Entfernung: 1.Zeile in startup. loeschen
  2953.                   cls in DfX:c loeschen
  2954.          Erstellungsprogramm:
  2955.          Intro-Maker von T.C.R. Laenge: 10624 Bytes
  2956.           (war vor der Entdeckung z.B. auf Franz 47)
  2957.  
  2958.    - DISGUST  BB  Cool $7EDDE, DoIo $7ECA4  im Speicher immer $7EC00
  2959.          KS2.04: GURU nach RESET
  2960.          Fordert trackdisk.device NICHT
  2961.          Schaden und Vermehrung: ueber BB
  2962.  
  2963.          Versucht durch im BB lesbaren Text zu taeuschen:
  2964.                              003e2041 6d696761         .> Amiga
  2965.            20353030 20557469 6c697479 2020426f  500 Utility  Bo
  2966.            6f74426c 6f636b20 56310030 20546869 otBlock V1.0 Thi
  2967.            73206973 204e4f20 56697275 73203c00 s is NO Virus <.
  2968.  
  2969.          Namensbegruendung:
  2970.          Decodiert mit :   not.b (a1)
  2971.                            eori.b #$28,(a1)+
  2972.                                   steht im Speicher:
  2973.                                       20546869              Thi
  2974.            73206973 20746865 20444953 47555354 s is the DISGUST
  2975.            202d2056 69727573 20627920 4d617820  - Virus by Max
  2976.  
  2977.  
  2978.    - Disk Speed Check V1.01ß  Virus  anderer Name: DSC101 s.u.
  2979.  
  2980.    - Disk-Doktors (KickV1.2)
  2981.          Die angeblichen Mutanten unterscheiden sich in $4 (Pruefsumme)
  2982.          und von $390-$3A8 (Variablenablage = bei jedem Reset anders)
  2983.  
  2984.    - Disk-Herpes    Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  2985.          wird haeufig mit Phantasmumble verwechselt, Fastmem ja
  2986.          Vermehrung: ueber BB
  2987.          Schaden: schreibt auf Track 80 (Root) Speicherinhalt ab
  2988.          $60000. Folge: Disk BAD
  2989.          Graphikroutine: Deutschlandfahne + Text (auch im BB sichtbar)
  2990.               --- Hello Computerfreak ---
  2991.             You've got now your first VIRUS
  2992.               ** D i s k - H e r p e s **
  2993.               Many Disks are infected !!
  2994.             Written by >tshteopghraanptha<
  2995.                 c 27.07.1987 in Berlin
  2996.  
  2997.    - Disk.info   Laenge: 370 Bytes  KEINE Vermehrung
  2998.          Ein OriginalWB1.3-Icon wurde in der Struktur geaendert. (Text
  2999.          eingebaut z.B. This is a little present for all Lamers
  3000.          abroad ). Sobald Sie diese Disk einlegen und es muesste das
  3001.          Disk-Icon auf der WB angezeigt werden, stuerzt der Rechner
  3002.          ab. Haben Sie die Startup-Sequence im Cli abgebrochen, so
  3003.          muss kein Icon dargestellt werden und deshalb koennen Sie
  3004.          mit dieser Disk ohne Probleme arbeiten. AbHilfe: Ersetzen
  3005.          Sie Disk.info .       Herkunft: unbekannt  (Disk-Packer ???)
  3006.                                        
  3007.    - DISK-KILLER V1.0  File  Laenge ungepackt: 1368 Bytes
  3008.        Unter welchem Filenamen das Programm weitergegeben wird, ist
  3009.        mir unbekannt. (wahrscheinlich disktest)
  3010.        Namensbegruendung: im File steht uncodiert:
  3011.          20204449 534b2d4b 494c4c45 52205631   DISK-KILLER V1
  3012.          2e302020 200a                        .0   .
  3013.        Nach dem Fileaufruf wird folgender Text ausgegeben:
  3014.  
  3015.         "   DISK-KILLER V1.0   ",10
  3016.         "HEY YOU IN FRONT OF THE SCREEN !",10
  3017.         "YOU ARE A LAMER !!!! HE HE HE ",10
  3018.                 "WHY ????",10
  3019.         "- BECAUSE YOU HAVE A VIRUS !!",10
  3020.         "HE HE HE ",10
  3021.             "THIS WAS DONE IN TEN MINUTES",10
  3022.         "BY THE MEGA-MIGHTY MAX ",10
  3023.         "BYE BYE DISK !!",10
  3024.         "GREETS ARE GOING TO:",10
  3025.         "> LAMER EXTERMINATOR <",10
  3026.             "SUFFER...",10
  3027.  
  3028.        Danach beginnt SOFORT die Zerstoerungsarbeit in ALLEN Disk-
  3029.        Laufwerken. Die Disketten sind danach WERTLOS. Sie muessen
  3030.        sie neu formatieren. Das Virusteil ist also NICHT im Speicher
  3031.        zu finden, sondern nur beim Filetest. Von der Definition her
  3032.        handelt es sich nicht um ein Virus-Programm, da keine Ver-
  3033.        mehrung angestrebt wird. VT getestet: 21.11.92  Bitte ueber-
  3034.        pruefen Sie nach dem Loeschen des Files auch die startup-
  3035.        sequence ihrer Disk.
  3036.        siehe auch: XaCa lummin V1.5 = Clone
  3037.  
  3038.    - Disk-Terminator Virus   BB   SCA-Clone  siehe unten
  3039.        Namensbegruendung: im BB ist zu lesen
  3040.            20202044 69736b2d 5465726d 696e6174    Disk-Terminat
  3041.            6f722056 69727573 20202020 2020d2aa or Virus      ..
  3042.        Anfaengerprogrammierung: graphics.library liegt an ungerader
  3043.        Adresse. GURU ist sicher   
  3044.            fe018000 00ffffff fe0428ff fafbd367 ..........(....g
  3045.            72617068 6963732e 6c696272 61727900 raphics.library.
  3046.                                                               ^
  3047.        Weiterer Auszug:
  3048.        43fa lea     743(PC)(=$a030f),A1
  3049.        2c79 move.l  $000004,A6
  3050.        4eae jsr     -96(A6)
  3051.        2040 move.l  D0,A0
  3052.        2068 move.l  22(A0),A0
  3053.        7000 moveq   #$00,D0
  3054.        4e75 rts
  3055.         doslibname wird an ungerader Adresse gesucht, ist aber an ge-
  3056.         rader Adresse. Also wird nach Name gesucht, der mit 0 beginnt.
  3057.         (siehe ^ ) GURU ist sicher. Verantwortlich zeichnet SLASH
  3058.  
  3059.    - Disktroyer V1.0  File Laenge ungepackt: 804 Bytes
  3060.          AllocMem
  3061.          auch mit KS2.04
  3062.          Versucht durch Loeschen des Cli-Fensters zu taeuschen.
  3063.          Ich vermute deshalb, dass das File als Cls-Befehl getarnt
  3064.          wird.
  3065.          Im File zu lesen: Disktroyer V1.0   usw.
  3066.          Keine Vermehrungsroutine
  3067.          Schaeden, wenn:
  3068.             - allocmem angesprungen wird und
  3069.                - in der Zaehlzelle der Wert $96 steht
  3070.                - Disk im Laufwerk liegt
  3071.                - Disk nicht schreibgeschuetzt ist dann:
  3072.             - Kopfstep (Zerstoerung der Disk(s)) alle Laufwerke
  3073.                (Routinen stehen nach meiner Meinung genau so in einem
  3074.                   bekannten Buch !!!!!)
  3075.             - DisplayAlert: Disktroyer V1.0    usw.
  3076.          Empfehlung: File loeschen (VT) und startup-sequence ueber-
  3077.             pruefen .
  3078.  
  3079.    - Disktroyer V2.0  File Laenge ungepackt: 812 Bytes
  3080.          GetMsg
  3081.          auch mit KS2.04
  3082.          Versucht durch Loeschen des Cli-Fensters zu taeuschen.
  3083.          Ich vermute deshalb, dass das File als Cls-Befehl getarnt
  3084.          wird.
  3085.          Im File zu lesen: 
  3086.            01041444 69736b74 726f7965 72205632 ...Disktroyer V2
  3087.            2e300001 00c82828 77292061 6e6420a9 .0....((w) and .
  3088.            20313939 31206279 20746865 20706f77  1991 by the pow
  3089.            65726675 6c200001 01003c54 68652046 erful ....<The F
  3090.            616e6174 69632043 72657720 00010098 anatic Crew ....
  3091.            usw. .....
  3092.          Keine Vermehrungsroutine
  3093.          Schaeden, wenn:
  3094.             - GetMsg angesprungen wird und
  3095.                - in der Zaehlzelle der Wert $222222 steht
  3096.                    (Wert wird zuegig erreicht)
  3097.                - Disk im Laufwerk liegt
  3098.                - Disk nicht schreibgeschuetzt ist dann:
  3099.             - Kopfstep (Zerstoerung der Disk(s)) alle Laufwerke
  3100.                (Routinen stehen nach meiner Meinung genau so in einem
  3101.                   bekannten Buch !!!!!)
  3102.             - DisplayAlert: Disktroyer V2.0    usw.
  3103.          Empfehlung: File loeschen (VT) und startup-sequence ueber-
  3104.             pruefen .
  3105.  
  3106.    - DiskVal1234      Disk-Validator   Laenge:1848 Bytes
  3107.          Grundgeruest ist der SADDAM-Disk-Validator  (siehe unten)
  3108.          Aenderungen: nicht mehr codiert als Disk-Validator (lesbar
  3109.            am Fileende z.B. strap, mycon.write usw )
  3110.            Veraendert Bloecke die mit 8 beginnen:
  3111.            Schreibt in diese Bloecke nach $5a  1234  und ab $64 dann
  3112.            66x 4e71 (NOP). (Also nicht mehr Austausch von 8 mit IRAK)
  3113.  
  3114.            Rufen Sie dann ein solches File auf, so stuerzt der Rechner
  3115.            ab, da ja wichtiger PrgCode mit NOPs ueberschrieben wurde
  3116.            (bei mir wird der Bildschirm gelbbraun).
  3117.            So leid es mir tut, diese Files koennen NICHT gerettet wer-
  3118.            den. VT bietet loeschen an. Es kann also sein, dass ihre
  3119.            ganze Disk unbrauchbar wird.
  3120.  
  3121.    - DIVINA EXTERMINATOR I   Cool, DoIo, Inter.5 und $64. Im Prg dann
  3122.          noch $68 und $6c. Ueberschreibt SetPatchListe ab $C0.
  3123.          Codiert BB neu mit Wert aus $DFF006 (steht dann im BB $3F6)
  3124.          nach eor.w d0,d1   ist im Speicher zu lesen:
  3125.             VIRGO PRESENTS DIVINA EXTERMINATOR I
  3126.          Versucht einen sauberen OrigBB vorzutaeuschen.
  3127.          Schaeden und Vermehrung: BB
  3128.          nach 3 Vermehrungen: beginnt die K-Taste abzufragen und bis
  3129.          10 in einer Zaehlzelle abzulegen. Dann wird nach $4 (ExecBase-
  3130.          Zeiger) der Wert 0 geschrieben = Absturz
  3131.          Ursprung: -p-turbo.dms
  3132.  
  3133.    - DIVINA II  s.o. DIVINA EXTERMINATOR I
  3134.          Das Decodierwort in $3F6 ist anders. Grund s.o.
  3135.          (schafft endlich die Brainfiles ab !!! und disassembliert
  3136.           den VirenCode sauber und vollstaendig)
  3137.  
  3138.    - DLog V1.8   siehe oben Devil_11_B.Door
  3139.  
  3140.    - DM-Trash  File  siehe bei ZAPA-B.Door
  3141.  
  3142.    - DMS213-Trojan     Zerstoerungsfile  Laenge ungepackt: 92440 Bytes
  3143.          Keine verbogenen Vektoren
  3144.          Die DMS-Version 2.13 gibt es noch nicht (Stand: 15.06.94)
  3145.          Zerstoerung:
  3146.          Vom Filebeginn wird mit JMP in eine Execute-Routine am File-
  3147.          ende gesprungen, die eine Formatierung von dh0: ausfuehren
  3148.          soll.
  3149.          VT bietet Ausbau an (Laenge dann: 92208 Bytes). Es duerfte
  3150.          sich hierbei um DMS2.01 handeln. Im entstehenden File bleiben
  3151.          noch einige falsche Textstellen zurueck. Da es inzwischen
  3152.          (Stand: 15.06.94) neuere DMS-Versionen geben soll, waere es
  3153.          mir lieber Sie loeschen das File ganz und spielen eine saubere
  3154.          Version neu auf. Danke
  3155.          Im verseuchten File ist zu lesen:
  3156.            646f732e 6c696272 61727900 24564552 dos.library.$VER
  3157.            3a204465 76696365 2d4d6173 6865722d : Device-Masher-
  3158.            53797374 656d2076 322e3133 2039342d System v2.13 94-
  3159.            30362d30 31004e55 ffe448e7 37322648 06-01.NU..H.72&H
  3160.                ;........
  3161.            20534365 4e452069 53204c61 4d45202d  SCeNE iS LaME -
  3162.            20536947 4e654420 42792052 6f414453  SiGNeD By RoADS
  3163.            54615252 2f4c7344 20202020 20202020 TaRR/LsD
  3164.            646f732e 6c696272 61727900 666f726d dos.library.form
  3165.            61742064 72697665 20646830 3a206e61 at drive dh0: na
  3166.            6d652046 75434b6f 46462066 66732071 me FuCKoFF ffs q
  3167.            7569636b 0a8c018d 000003ec 00000003 uick............
  3168.          Eine echte Meisterleistung !!!!
  3169.  
  3170.  
  3171.    - DOOR_BELLS-Virus ??  File  Laenge ungepackt: 15308 Bytes
  3172.          anderer Name: MST-VEC Virus, Rel 01.28 Virus
  3173.          Keine verbogenen Vektoren.
  3174.          Bei mir nicht lauffaehig, da eine rexxplslib.library gefordert
  3175.          wird, die ich nicht habe.
  3176.          Vermutlich sollen verschiedene LWe schnellformatiert werden.
  3177.          Einen aehnlichen Vorgang finden Sie auch im MultiChat-Trojan.
  3178.          (siehe unten)
  3179.          Fileauszug:   
  3180.            636f7079 203e4e49 4c3a2073 79733a73 copy >NIL: sys:s
  3181.            79737465 6d2f666f 726d6174 2072616d ystem/format ram
  3182.            3a646400 00060542 72616d3a 64640045 :dd....Bram:dd.E
  3183.            05387261 6d3a6464 203e4e49 4c3a2044 .8ram:dd >NIL: D
  3184.            52495645 20737973 3a204e41 4d45203d RIVE sys: NAME =
  3185.            444f4f52 5f42454c 4c533d20 4e4f4943 DOOR_BELLS= NOIC
  3186.            4f4e5320 44495243 41434845 20515549 ONS DIRCACHE QUI
  3187.            434b2046 46532000 004405b5 72616d3a CK FFS ..D..ram:
  3188.            6464203e 4e494c3a 20445249 56452064 dd >NIL: DRIVE d
  3189.            68303a20 4e414d45 203d444f 4f525f42 h0: NAME =DOOR_B
  3190.            454c4c53 3d204e4f 49434f4e 53204449 ELLS= NOICONS DI
  3191.            52434143 48452051 5549434b 20464653 RCACHE QUICK FFS
  3192.            .usw .....
  3193.  
  3194.    - DOpus-Virus     Filename:dopusrt   Laenge ungepackt: 6408 Bytes
  3195.          Bleibt NICHT im Speicher.
  3196.          Von der Definition kein Virus, da keine Vermehrung.
  3197.          Einbruchswerkzeug gegen Mailboxen. Veraendert zwei Files und
  3198.          fuehrt dann das OrigPrg aus.
  3199.          Empfehlung: loeschen
  3200.          VT erkennt File: 15.01.93
  3201.          Im File ist zu lesen:     
  3202.            61727900 00626273 3A757365 722E6461 ary..bbs:user.da
  3203.            74610000 00000000 00000000 00000000 ta..............
  3204.                      ;......
  3205.            00000000 00000000 6262733A 75736572 ........bbs:user
  3206.            2E6B6579 73000000 00000000 00000000 .keys...........
  3207.                      ;......
  3208.            00000000 00000000 00000000 416E6479 ............Andy
  3209.            2F446563 61646500 00000000 00000000 /Decade.........
  3210.            00000000 00000000 00000031 39393200 ...........1992.
  3211.            00000000 3E2D442D 452D432D 412D442D ....>-D-E-C-A-D-
  3212.            452D3C00 00000000 00000000 00000000 E-<.............
  3213.            00003034 302F3735 35333637 32000000 ..040/7553672...
  3214.         Nachtrag 04.03.93: Es ist ein 2. File aufgetaucht, an das
  3215.          dieses gleiche Teil angelinkt ist. Auch dieses File ge-
  3216.          hoert zu DOpus. CRC  Laenge ungepackt: 20716 Bytes
  3217.         Nachtrag 06.03.93: Da jetzt 2 Testfiles vorhanden sind,
  3218.          wurde eine Ausbauroutine eingebaut. Da diese Routine nur
  3219.          an zwei Files getestet werden kann, koennte sie wackeln.
  3220.          Fertigen Sie bitte deshalb vor dem Ausbauversuch UNBEDINGT
  3221.          eine Kopie des verseuchten Files an. Danke
  3222.  
  3223.    - DOSSPEED  (Neuseeland)  richtiger Name: Revenge of the Lamer
  3224.  
  3225.    - Dotty-Virus    immer $7F000  KickTag, KickCheckSum
  3226.          Im Programm: DoIo, Vec5
  3227.          Fordert trackdisk.device NICHT
  3228.          Vermehrung: BB
  3229.          Weitere Schaeden:
  3230.          Modifiziert PRIVAT-intuition-struktur.
  3231.    - Dotty-MAFIA-Virus:
  3232.          Text geaendert und falscher Sprung.
  3233.            4d202041 20204620 20492041 2020202e M  A  F  I A   .
  3234.    - Dotty-MAFIA-Inst.     gepackt: 1360 Bytes
  3235.                           entpackt: 1928 Bytes
  3236.          Ein 3c(a7)-Link File (s.o.), das einen Dotty-MAFIA.BB im
  3237.          Speicher verankern soll. Das Teil war an ALFaus (richtig,
  3238.          das Original-Programm liegt auf der VT-Disk im Unterver-
  3239.          zeichnis Utility) gelinkt. VT bietet nur loeschen an. Ein
  3240.          Ausbau lohnt nicht. Da bei der Verankerung im Speicher,
  3241.          absolute Speicheradressen, die bei vielen Rechnern nicht
  3242.          belegt sind, verwendet werden, erscheint haeufig der GURU.
  3243.  
  3244.    - DriveInfo V0.91 by ESP   trojanisches Pferd, Laenge: 1704 Bytes
  3245.          (PP-Data und ein decrunch-header davor)
  3246.             entpackt: Laenge: 1740 Bytes
  3247.             Im File ist dann z.B. zu lesen: EAST SIDE POWER 91/92
  3248.          KS2.04: NEIN  Findet dann KEIN Laufwerk und meldet sich mit
  3249.             Requester. Nach kurzer Zeit dann GURU beim Arbeiten.
  3250.          Versucht unter KS1.3 zu taeuschen, indem Laufwerksdaten (Drive,
  3251.           Volume usw.) ausgegeben werden.
  3252.          Verhindert hierbei AutoRequest. Installiert mit addintserver
  3253.          "Install yeah!" . Wird nach Crime!++ - Installierung mit Rem-
  3254.          IntServer wieder entfernt. Interrupt = 5 .
  3255.          Installiert nach etwa EINER Minute (das ist echt neu) Crime!++
  3256.          im Speicher (Cool, wait usw. s.o.).
  3257.          Empfehlung: sofort loeschen
  3258.             siehe auch :  Crime!++
  3259.  
  3260.    - DSC101-Virus  Zerstoerungsfile gegen BBS:
  3261.          Ungepackt Laenge: 33152 Bytes . VT kennt nur die ungepackte
  3262.          Version, weil mir das Prg. ungepackt zugeschickt wurde.
  3263.          Von der Definition KEIN Virus, da keine Vermehrungsroutine
  3264.          vorhanden. Grosse Teile des Prg.s bestehen nur aus Null-Bytes.
  3265.          Ein Teil des wirklichen Prg.s ist codiert mit:  not.b (a0)+
  3266.          Das Prg. bleibt NICHT im Speicher
  3267.          Das Prg versucht durch eine Cli-Ausgabe zu taeuschen:
  3268.           Disk Speed Check V1.01ß - © Micro-Tech Softwares® 1992
  3269.           Programming by Alan Forslake. (1.10.1992)
  3270.           Usage : DSC -mode <drive>, Where mode is :
  3271.           1=disk speed check 2=scsi speed test
  3272.  
  3273.           Didnt` found a supported SCSI drive, sorry!
  3274.           Try to contact Alan Forslake on :223/22/32 in@sf@com
  3275.  
  3276.          In Wirklichkeit wird versucht (aber wirklich nur versucht)
  3277.          folgende Teile zu loeschen:
  3278.  
  3279.              bbs:user.keys
  3280.              bbs:user.data
  3281.              sys:s/startup-sequence
  3282.              s:acp.startup
  3283.  
  3284.          Empfehlung: einfach loeschen
  3285.          VT Fileerkennung getestet: 19.10.92
  3286.  
  3287.    - DTL-Virus   BB  Micro-System-Clone  s.u.
  3288.            51c8ffee 4ef90007 f7944454 4c214454 Q...N.....DTL!DT
  3289.            4c201d5a 19594f55 52204449 534b2049 L .Z.YOUR DISK I
  3290.            5320494e 46454354 45442042 59201d65 S INFECTED BY .e
  3291.  
  3292.    - DUMDUM  BB   auch mit KS2.04    immer ab $7FA00
  3293.          Cool, im Prg DoIo, $64, $80  (Hallo Enforcer-Freunde)
  3294.             Text im BB lesbar:
  3295.          You are the owner of a DUMDUM virus please unprotect
  3296.          disk disk to kill!
  3297.             (machen Sie das BITTE NICHT)
  3298.          Textausgabe mit DisplayAlert
  3299.          Schaeden und Vermehrung:
  3300.          - Vermehrung ueber BB
  3301.          oder:
  3302.          - Format Disk
  3303.    - DUMDUM-Clone:
  3304.          DisplayAlert-Text geaendert.
  3305.    - DUMDUM-TAI5-Clone
  3306.          Text geaendert:
  3307.            00000013 2e2e2e2e 2e2c3b2d 3a3a542e .........,;-::T.
  3308.            412e492e 203b2e2e 292e2e2e 2e2e2e2e A.I. ;..).......
  3309.  
  3310.    - DUMDUM-Clone-Inst.    gepackt: 1332 Bytes
  3311.                           entpackt: 1916 Bytes
  3312.          Ein 3c(a7)-Link File (s.o.), das einen DUMDUM-Clone.BB im
  3313.          Speicher verankern soll. Das Teil war an 6Vekaus (richtig,
  3314.          das Original-Programm liegt auf der VT-Disk im Unterver-
  3315.          zeichnis Utility) gelinkt. VT bietet nur loeschen an. Ein
  3316.          Ausbau lohnt nicht. Die Dummheit zeigt sich daran, dass ein
  3317.          BB im Speicher verankert wird und anschliessend mit dem
  3318.          Orig-6Vekaus-Aufruf die sechs wichtigsten Vektoren wieder
  3319.          geloescht werden.
  3320.  
  3321.    - DUM2DUM-Virus   BB   Block 0-5 = 6 Bloecke
  3322.          Cool, DoIo
  3323.          KS1.3 : Ja
  3324.          KS2.04: Ja   (Vermehrung)
  3325.          Versucht durch Anzeige eines sauberen BBs zu taeuschen.
  3326.          Namensbegruendung:
  3327.          Im Speicher ist zu lesen:
  3328.            646f732e 6c696272 61727900 61000000 dos.library.a...
  3329.            00000000 00004455 4d3c4949 3e44554d ......DUM<II>DUM
  3330.          Schaden 1:
  3331.          Mit dem verbogenen DoIo findet die Vermehrung statt. Files,
  3332.          die ab Block 2 liegen, werden ueberschrieben und sind NICHT
  3333.          zu retten. VT wird dann bei Block-Kette Bad-T.Data ausgeben,
  3334.          sobald ein File Block 2-5 belegt hatte.
  3335.          Schaden 2:
  3336.          Ab $6E000 werden 2 Zeiger geaendert. Dies fuehrt haeufig zu
  3337.          Bitmap ungueltig. $6E000 ist nur bei DD-Disk der Rootblock.
  3338.                   Vorher:                         Nachher:
  3339.         130: 000000f2 0000018d ........ 130: 000000f2 0000018d ........
  3340.         138: ffffffff 00000332 .......2 138: 00000000 00000332 .......2
  3341.              ^^^^^^^^                        ^^^^^^^^
  3342.         140: 00000000 00000000 ........ 140: 00000000 00000000 ........
  3343.             ;.......
  3344.         198: 00000000 00000000 ........ 198: 00000000 00000000 ........
  3345.         1a0: 00000000 000053b9 ......S. 1a0: ffffffff 000053b9 ......S.
  3346.              ^^^^^^^^                        ^^^^^^^^
  3347.          Es wird also bei naechster Gelegenheit der Disk-Validator
  3348.          aktiv, der aber nichts mit dem Virusteil zu tun hat.
  3349.          Schaden 3:
  3350.          Sobald eine Zaehlzelle den Wert $50 erreicht hat, wird in der
  3351.          dos.lib ein Wert mit cmpi.w #$4EF9,(a0) getestet. Stimmt das
  3352.          Ergebnis nicht, so wird dosopen, dosread und doswrite verbogen.
  3353.          Sobald dieser Virusteil aktiviert ist, treten haeufig GURUS
  3354.          auf. Aber es reicht leider immer fuer die Zerstoerung einiger
  3355.          Files. Diese Files koennen leider NICHT gerettet werden und
  3356.          werden von VT auch nicht erkannt.
  3357.          Der geschriebene Muell ist auch von $DFF007 abhaengig.
  3358.          Beispiele:
  3359.          Vorher:                         Nachher:
  3360.          000: 000003f3 00000000 ........ 000: 000003f3 00000000 ........
  3361.          008: 00000002 00000000 ........ 008: 00000002 00000000 ........
  3362.          010: 00000001 0000009e ........ 010: 2e2e2e2e 2e2e2e2e ........
  3363.          018: 00003246 000003e9 ..2F.... 018: 2e2e2e2e 2e2e2e2e ........
  3364.          020: 0000009e 487a01c8 ....Hz.. 020: 2e2e2e2e 2e2e2e2e ........
  3365.          028: 48e7fffe 49fafff2 H...I... 028: 2e2e2e2e 2e2e2e2e ........
  3366.          030: 2054d1c8 d1c85848  T....XH 030: 2054d1c8 d1c85848  T....XH
  3367.          038: 2648504b 2c780004 &HPK,x.. 038: 2648504b 2c780004 &HPK,x..
  3368.  
  3369.          Vorher:                         Nachher:
  3370.          000: 000003f3 00000000 ........ 000: 00000000 00000000 ........
  3371.          008: 00000009 00000000 ........ 008: 00000000 00000000 ........
  3372.          010: 00000008 0000001e ........ 010: 00000000 00000000 ........
  3373.          018: 00002274 00000c73 .."t...s 018: 00000000 00000000 ........
  3374.          020: 00000520 00001542 ... ...B 020: 00000000 00000000 ........
  3375.          028: 00000500 00000080 ........ 028: 00000000 00000000 ........
  3376.          030: 000021a9 0000123d ..!....= 030: 00000000 00000000 ........
  3377.          038: 000003e9 0000001e ........ 038: 00000000 00000000 ........
  3378.  
  3379.  
  3380.    - East-Star-Virus   BB   NorthStar-Clone
  3381.          Immer ab $7EC00, Cool im Prg. DoIo
  3382.          Fordert trackdisk.device NICHT
  3383.          Namensbegruendung:
  3384.            00784561 73742d20 53746172 00020002 .xEast- Star....
  3385.          Weitere im BB lesbare Texte:
  3386.            00500c4e 6f205669 72757320 6973206f .P.No Virus is o
  3387.            6e207468 65204469 736b2052 45442042 n the Disk RED B
  3388.            55524e49 4e472042 49475354 41520000 URNING BIGSTAR..
  3389.            usw.
  3390.  
  3391.    - East-Star-Install   File  Laenge ungepackt: 8340 Bytes
  3392.          An das Prg. MComm wurde mit Hunklab ein East-Star-BB mit
  3393.          Install-Routine angelinkt. In diesem angelinkten Teil ist
  3394.          "trackdisk.device" zu lesen.
  3395.          VT bietet Ausbau an.
  3396.  
  3397.    - EASY-E-BBS-Trojan
  3398.          File verseucht Laenge: 38860 Bytes
  3399.          Teil ausgebaut Laenge: 38416 Bytes
  3400.          Verlaengerung also 444 Bytes
  3401.          Keine verbogenen Vektoren
  3402.          Im File ist zu lesen:    
  3403.            00000000 00000000 00000000 00004541 ..............EA
  3404.            53592d45 00006468 303a6262 732f7573 SY-E..dh0:bbs/us
  3405.            65722e64 61746100 00000000 000003f2 er.data.........
  3406.          Schaden:
  3407.            Einbruchswerkzeug fuer BBS
  3408.          Nach dem Ausbau mit VT sollte ein Paradox Starfield-Intro
  3409.          uebrigbleiben.
  3410.          Lauffaehigkeit A2000 68030 ja   A4000/40 nein
  3411.          Nachtrag 10.05.94:
  3412.          Ein anderes AntiVirusProgramm erkennt auch noch NACH dem
  3413.          erfolgreichen Ausbau mit VT den EASY-Trojan. Ich nehme an,
  3414.          dass diese Fehlerkennung im naechsten update (Juni 94) be-
  3415.          hoben sein wird.
  3416.  
  3417.    - ELECTROVI.Virus  BB   FORPIB-Clone siehe unten
  3418.          Nur Text geaendert:
  3419.            454c4543 54524f2d 56495349 4f4e2020 ELECTRO-VISION
  3420.            2020414e 54492d56 49525553 20202020   ANTI-VIRUS
  3421.            46312d31 31202020 20524f52 52592020 F1-11    RORRY
  3422.  
  3423.    - ELENI-Clock-Virus        BB
  3424.          Im BB ist zu lesen:
  3425.            202a454c 454e492a 20000000 00000000  *ELENI* .......
  3426.          KS 1.3: nein
  3427.          KS 2.0: ja
  3428.          Fordert trackdisk.device NICHT
  3429.          Im Speicher immer ab $7F144
  3430.          Verbogene Vektoren: Cool $7F296, DoIo $7F2DA,
  3431.                              SumKickData $7F32A
  3432.          Vermehrung:
  3433.          Als BB
  3434.          Dabei wird zuerst der Orig-BB eingelesen und nach einem LW
  3435.          ( $4EAEFE38 = jsr -$1c8(a6) ) im BB gesucht. In den Original
  3436.          Commodore-BBen kommt es nicht vor. Falls dieses LW gefunden
  3437.          wird, so wird zuerst der Original-BB auf die Disk nach
  3438.          $D9400 = Bl 1738/39 gerettet. VT sucht beim Test (Gadget O-BB)
  3439.          nach dem ausgelagerten BB. Ein File das an dieser Stelle liegt,
  3440.          ist natuerlich ueberschrieben und NICHT mehr zu retten.
  3441.          Nach einem Reset und dem Start von dieser Disk versucht das
  3442.          BB-Virusteil den Orig-BB nach $7A000 zu laden und falls ge-
  3443.          funden nach dem Verbiegen der Vektoren mit JMP $7A00C auszu-
  3444.          fuehren.
  3445.          cmpi.b #$37,$BFEC01  Test auf li.Alt-Taste = Fluchttaste
  3446.          Schaeden:
  3447.          Es werden mehrere Hardware-Register veraendert.
  3448.          (z.B. das Datum aendert sich)
  3449.          Hinweis: beim A2000A liegt die Uhr aber bei $D80000 .
  3450.          Beispiele:
  3451.          Falls $DC002D groesser als 4 ist und in $60000 1 steht, wird
  3452.          im Cli mehrmals *ELENI* ausgegeben.
  3453.          Falls $DC002D #1 oder $BFE901 #9 sind, springt das Prg. zu
  3454.          einer Endlosschleife mit Kopfstep und LED-Blinken. Es hilft
  3455.          nur ein Reset.
  3456.          Bitte booten Sie von einer sauberen Disk und vergessen Sie
  3457.          nicht, die Uhr neu zu stellen, falls eine Hardware-Uhr vor-
  3458.          handen ist.
  3459.          Hinweis 1:
  3460.          Das VirusTeil belegt Speicher ohne AllocMem. Andere Prge.
  3461.          z.B. VT koennen bei wenig Speicher das Virusteil ueberschrei-
  3462.          ben.
  3463.          Hinweis 2:
  3464.          Es wird IMMER ein DOS0-Virus-BB geschrieben. Auf einer Disk
  3465.          mit FFS-Struktur kann nach dem naechsten Schreibzugriff, die
  3466.          Disk-Struktur beschaedigt sein. Anzeichen dafuer: VT meldet
  3467.          beim Filetest IMMER bad Data . Versuchen Sie dann bitte einen
  3468.          DOS1-BB (FastFileSystem) oder gar DOS5-BB aufzuspielen.
  3469.          Manchmal koennen Sie noch etwas retten.
  3470.  
  3471.  
  3472.    - ELENI-Wirus   BB  (ja W statt V)  siehe unten bei Mount-Virus
  3473.          Bitte verwechseln Sie diesen BB nicht mit dem ELENI-Clock-Virus
  3474.  
  3475.    - EM-Wurm        (zielgerichtet gegen EUROMAIL)
  3476.          nicht resetfest
  3477.          immer:
  3478.          schreibt in startup-sequence  $A0,$0A  (1.Zeile)
  3479.          eigener Process: clipboard.device
  3480.          schreibt in c: $A0, Laenge: 3888 Bytes (ASCII-Text vorhanden)
  3481.          schreibt in 5.Byte von c:protect (falls vorhanden) $01
  3482.          Folge: protect wird unbrauchbar
  3483.          Zerstoerungsroutine:
  3484.          Wird nur ausgefuehrt wenn Verzeichnis EM, EUROMAIL oder
  3485.          EUROSYS vorhanden ist.
  3486.          Ueberschreibt alle Files in obengenannten Schubladen mit
  3487.          Speicherinhalt ab MsgPort. In zerstoerten Files ist ab $BC
  3488.          clipboard.device zu lesen.
  3489.          Dann wird mit dosdelay $259A eine 3 Minuten Pause eingelegt.
  3490.          Nach dieser Pause wird die Zerstoerungsroutine wieder in der
  3491.          Schleife aufgerufen.
  3492.          Ursprungsprogramm:
  3493.          QuickInt   PP-crunched  Laenge: 3196 Bytes
  3494.          Mein VT loescht den Process  n i c h t, sondern fuellt ihn
  3495.          mit NOP's.
  3496.          Einige Programmteile, z.B. Autorequester, con usw. konnten
  3497.          nicht getestet werden, weil ich EUROMAIL nicht besitze. Diese
  3498.          Teile werden ebenfalls mit NOP's ueberschrieben. Falls des-
  3499.          halb bei aktivem EUROMAIL-Programm ein GURU erscheint, bitte
  3500.          ich um Hilfestellung. Danke !!
  3501.  
  3502.    - Ethik-Virus   siehe bei SHIT      ( ETIC )
  3503.          Unter diesem Namen wurde mir ein BB zugeschickt. Aber auch im
  3504.          Speicher war dieser Name nicht nachvollziehbar.
  3505.  
  3506.    - EXCREMENT-Virus   BB     Cool: $7F47A   DoIo: $7F4C2  immer ab: $7F400
  3507.          KS2.06: GURU B nach Reset
  3508.          Fordert trackdisk.device NICHT
  3509.          Namensbegruendung: im BB ist zu lesen:
  3510.               61727900 45584352 454d454e 54002d7c ary.EXCREMENT.-.
  3511.          Vermehrung: BB
  3512.          linke Maustaste= Abbruch und Cool-Vektor loeschen
  3513.          Test auf DOS-Kennung
  3514.          Test ob schon verseucht mit cmpi.l #"EXCR",$54(a4)
  3515.          Schaeden: Sobald eine Zaehlzelle den Wert $A erreicht hat,
  3516.             blinkt die LED. Mehr ist bei mir nicht passiert.
  3517.          Clones: Sentinel = USSR 492
  3518.  
  3519.    - EXCREMENT-Installer  File Laenge: 1180 Bytes
  3520.          VT erkennt EXCREMENT-Virus.
  3521.          Ein File das aus dem BB (s.o.) und ein paar Speicher-Install-
  3522.          Bytes besteht. Das Teil kann sich dann nur als BB und NICHT
  3523.          als File vermehren. Einfach loeschen.
  3524.  
  3525.    - Excreminator 1   File    Laenge: 2392 Bytes   auch KS2.04
  3526.          KEINE verbogenen Vektoren
  3527.          KEINE Vermehrungsroutine
  3528.          KEINE Schreibroutine fuer Startup-Seq
  3529.          Versucht durch angeblichen Virustest zu taeuschen.
  3530.          Im File zu lesen: The Lame Trio  usw.
  3531.          verraet sich durch System-Requester: Write-pro....
  3532.          Schaeden:
  3533.          Versucht in libs Exec.library (4 Bytes) als Zaehlerfile
  3534.          (Startwert=5) anzulegen.
  3535.          Verringert dann bei jedem Aufruf den Zaehler.
  3536.          Bei 0  KopfStep ALLE Laufwerke
  3537.          Folge: Not a DOS Disk
  3538.          und mit DisplayAlert: LAME SUCKER  usw...
  3539.          danach RESET
  3540.          Empfehlung: beide Files sofort loeschen und gegebenenfalls
  3541.          Startup-Seq. ueberpruefen.
  3542.  
  3543.    - EXECUTORS  BB  Cool $7EC74  DoIo $7ED4A  im Speicher immer $7EC00
  3544.          Herpes-Clone   KS2.04: ja       
  3545.          Vergleiche auch: Kimble.BB-Virus, CreepingEEL.BB-Virus
  3546.          Fordert trackdisk.device NICHT
  3547.          Namensbegruendung: s.u.
  3548.          Vermehrung: ueber BB
  3549.          Schaden: Zerstoert Track ab $6E000 (Bei DD-Disk = Root)
  3550.          Sobald eine Zaehlzelle den Wert 5 erreicht hat, wird ein Text
  3551.          ausgegeben:   Hintergrund: Deutschland-Fahne
  3552.                                           
  3553.                 HI ! THE EXECUTORS ARE HERE
  3554.  
  3555.                Some of your fucking Disks are
  3556.                  infected with the Virus V1
  3557.                     Greets are going to :
  3558.  
  3559.                M A X  O F  S T A R L I G H T
  3560.                     Lamer....FUCK OFF!
  3561.  
  3562.    - EXORCIST  Virus   BB   AlienNewBeat Clone  siehe oben
  3563.          Es wurde der Text geaendert. Eine Meisterleistung
  3564.          Im BB ist zu lesen:
  3565.            64206279 20746865 20534154 414e2076 d by the SATAN v
  3566.            69727573 21202020 4469616c 20323233 irus!   Dial 223
  3567.            30343934 302c2061 6e642061 736b2066 04940, and ask f
  3568.            6f722074 68652045 584f5243 49535421 or the EXORCIST!
  3569.          Anderer Name: SATAN-Virus
  3570.  
  3571.    - Express2.20-Virus  keine Vermehrung (also von Def. kein Virus)
  3572.          keine verbogenen Vektoren, Zerstoerungsprogramme
  3573.          1. File Express2.20   Laenge: 194064
  3574.          2. File aibon         Laenge: 776
  3575.          aibon haengt am Ende von Express2.20 und wird mit jmp ange-
  3576.          sprungen.
  3577.          Am Ende der Files ist zu lesen bbs: sys: ram: dos.library .
  3578.          Naja werden Sie denken wieder mal gegen Ami-Express gerichtet.
  3579.          Trifft mich nicht, hab ja keine Mail-Box. Halt !!!! Vorsicht !
  3580.          Das Starten von Express2.20 reicht um Sie an die Decke gehen
  3581.          zu lassen.
  3582.          Zerstoerungsablauf:
  3583.          - Sie starten Express2.20 von Sys-Ebene  (halt mal sehen was
  3584.          das Programm macht)
  3585.          - aibon wird nach :s kopiert
  3586.          - :s/startup-sequence wird auf EINE Zeile :s/aibon gekuerzt
  3587.          - Requester   Datentraeger bbs einlegen
  3588.          - Sie haben keine Mailbox und klicken  cancel
  3589.          - Tastatur wird gesperrt
  3590.          - und jetzt gehts los
  3591.          - jedes File in sys: wird eingelesen und mit 42 Bytes Laenge
  3592.            zurueckgeschrieben. Da kommt Freude auf.
  3593.          - Also Tastatur-Reset  (geht leider nicht siehe oben)
  3594.          - Also nehmen Sie not validated in Kauf und schalten schnell
  3595.            den Computer 1 Minute aus.
  3596.          - Computer wieder an UND es wird weiter geloescht
  3597.             (richtig:   sys:s/startup-sequence mit der Zeile :s/aibon
  3598.              existiert noch)
  3599.            Das merken Sie aber erst so nach 40 Sekunden, weil ihre
  3600.            startup-sequence fuer die Festplatte immer eine Zeit braucht.
  3601.          - Um hier noch etwas zu retten brauchen Sie eine WB-Disk von
  3602.            der Sie booten koennen und im Zweifelsfalle ihre Festplatte
  3603.            anmelden zu koennen. Kopieren Sie auf ihre Festplatte eine
  3604.            neue startup-sequence und hoffen Sie, dass Sie schnell genug
  3605.            waren und einige Files noch nicht zerstoert wurden.
  3606.          Nachtrag: Falls bbs: gefunden wurde, werden natuerlich zuerst
  3607.            dort alle Files zerstoert.
  3608.          Herkunft: d-aex220.lha  Laenge 135400
  3609.               angeblich neues Ami-Express
  3610.          Erkennung der beiden Files mit VT getestet:  09.09.92
  3611.          Loeschen der beiden Files mit VT getestet :  09.09.92
  3612.              aibon:
  3613.               00000000 00000000 00006262 733a0073 ..........bbs:.s
  3614.               79733a00 72616d3a 00646f73 2e6c6962 ys:.ram:.dos.lib
  3615.        Nachtrag 01.05.93:
  3616.          Es ist ein aibon 2 aufgetaucht. Verhalten siehe oben.
  3617.             Install-File Laenge ungepackt: 1872 Bytes
  3618.                            aibon 2 Laenge: 784 Bytes
  3619.          Besonderheit:
  3620.           Install-File sucht zuerst nach Portnamen: ser.read
  3621.  
  3622.          aibon 2 neu: df0, df1  :
  3623.               00007379 733a0062 62733a00 6466303a ..sys:.bbs:.df0:
  3624.               00646631 3a00646f 732e6c69 62726172 .df1:.dos.librar
  3625.        Nachtrag 02.05.93:
  3626.           Es ist ein File DwEditV1.62 verseucht mit aibon2 aufgetaucht.
  3627.               FileLaenge verseucht: 43700 Bytes
  3628.               aibon2 ausgebaut    : 41468 Bytes
  3629.           Da aibon2 mit hunklab angelinkt wurde, erkennt VT hunklab.
  3630.           Waehlen Sie bitte Ausbau. Die Lauffaehigkeit des sauberen
  3631.           Files wurde getestet. Schaeden siehe oben
  3632.    - Aibon2-Mount2-Clone:
  3633.           Es ist ein Toolsdaemon V2.2 aufgetaucht, verseucht mit diesem
  3634.           Cloneteil.
  3635.               FileLaenge verseucht: 7128 Bytes
  3636.               Trojan ausgebaut    : 4896 Bytes
  3637.           Dieses Teil wurde mit der Hunklab-Methode angelinkt. VT bietet
  3638.           Ausbau an.
  3639.           Unterschiede zu Aibon:
  3640.          - mount wird nach s kopiert  (Laenge 784 Bytes)
  3641.          - s:startup-sequence wird auf EINE Zeile s:mount,$0a,$0a gekuerzt.
  3642.          - Files werden auf 42 Bytes gekuerzt und mit Speicherinhalt ab
  3643.            $0 (ja Zero-Page) gefuellt. Beispiel-File mit KS1.3:
  3644.              0000: 00000000 00000676 00fc0818 00fc081a .......v........
  3645.              0010: 00fc081c 00fc081e 00fc0820 00fc0822 ........... ..."
  3646.              0020: 00fc090e 00fc0826 00fc              .......&..
  3647.            Oder es entstehen Files mit Inhalt Null (Beispiel war setpatch):
  3648.                 SetPatch
  3649.              0000: 00000000 00000000 00000000 00000000 ................
  3650.              0010: 00000000 00000000 00000000 00000000 ................
  3651.              0020: 00000000 00000000 0000              ..........
  3652.          - Im Trojan-File ist zu lesen:
  3653.               00000000 00000000 00000000 7379733a ............sys:
  3654.               00686430 3a006466 303a0064 66323a00 .hd0:.df0:.df2:.
  3655.               646f732e 6c696272 61727900 00000000 dos.library.....
  3656.                     ;.....
  3657.               03eb0000 00000000 03f2733a 6d6f756e ..........s:moun
  3658.               740a0a73 3a737461 72747570 2d736571 t..s:startup-seq
  3659.               75656e63 6500733a 6d6f756e 74000000 uence.s:mount...
  3660.                     ;.....
  3661.               00000000 00006864 303a0073 79733a00 ......hd0:.sys:.
  3662.               72616d3a 00646f73 2e6c6962 72617279 ram:.dos.library
  3663.               00736572 2e726561 6400646f 732e6c69 .ser.read.dos.li
  3664.               62726172 79000000 00000000 0000646f brary.........do
  3665.               732e6c69 62726172 79004261 636b4772 s.library.BackGr
  3666.               6f756e64 5f50726f 63657373 00000000 ound_Process....
  3667.             Also auch kleinere Aenderungen bei den Laufwerken.
  3668.             VT sucht nach dem Process und versucht eine Abschaltung.
  3669.             Mit einem GURU muss gerechnet werden.
  3670.             Der Install-Process besitzt ein Dos-Delay ($29bf8 = fast
  3671.             eine Stunde) . Rest siehe oben bei Express-Beschreibung.
  3672.  
  3673.    - EXTREME     BB
  3674.          DoIo, KickTag, KickCheckSum, Rasterstrahl
  3675.          entweder 7f800 oder ff800, da Berechnung ueber SysStkLower+$1000
  3676.          lesbarer Text im BB: THE EXTREME ANTIVIRUS  usw.
  3677.          sobald Zaehlzelle Null :
  3678.          Zerstoeren (Disk BAD) aller nicht schreibgeschuetzten Disks
  3679.          in allen LW und Alertmeldung
  3680.          Vermehrung: ueber BB
  3681.          Clone: FAT2-Virus, ZACCESS 3, PRIMAVERA,
  3682.  
  3683.    - F.A.S.T.
  3684.          Cool, DoIo , FreeMem, immer ab $7F000
  3685.          Alertmeldung (verschluesselt mit eori-Byte in Abhaengigkeit
  3686.          von $DFF006) und loeschen
  3687.          veraendert auch $C0-$E0  (SetPatchListe!)
  3688.          Vermehrung: BB
  3689.  
  3690.    - F.A.S.T. 1     FAST-Clone
  3691.          im BB wurde der codierte Prg.Teil um einige Bytes verschoben,
  3692.          um im BB-Kopf dos.library einbauen zu koennen. Die Speicher-
  3693.          lage wurde nicht veraendert.
  3694.  
  3695.    - F.I.C.A
  3696.          Beginio, KickTag, KickCheckSum, SumKickData
  3697.          Vermehrung: BB
  3698.          Besonderheit: spielt sauberen BB vor
  3699.          sichtbarer Text im BB ab $288
  3700.          z.B. F.I.C.A RULES!
  3701.  
  3702.    - F.I.C.A-VIRI-Clone
  3703.          Nur Text geaendert:    
  3704.            57686174 20646f65 73207468 69732073 What does this s
  3705.            61793f20 56697269 20617265 20746865 ay? Viri are the
  3706.            206b696e 6773206f 66206c61 6d657273  kings of lamers
  3707.  
  3708.    - Fast Eddie  Virus BB  starke Aehnlichkeit mit Glasnost Block 2 u 3
  3709.          KickTag, KickCheckSum
  3710.          KS2.04 nein
  3711.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  3712.          fordert trackdisk.device NICHT.
  3713.          Im BB ist an $1c FE91 zu lesen
  3714.          Wird aktiv wenn Block 880 gelesen wird
  3715.          Schaeden:
  3716.          blockiert nach 15 oder 20 Min. Rechner (Farbspiel)
  3717.          schreibt eigenen BB
  3718.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  3719.          in diesen Block ab $100  Fast Eddie .
  3720.          Dieser Block kann NICHT gerettet werden.
  3721.          Benennt Disknamen um  ( This disk is infected (HE-HE) ) .
  3722.          Codiert jeden BB neu mit ByteWert von $DFF006  eor.b d1,(a0)+ .
  3723.          Decodiert eigenen BB  mit  eor.b d6,(a0)+ .
  3724.          Decodiert im Speicher :
  3725.             Call 43-444304 and ask for HENRIK HANSEN (FAST EDDIE)
  3726.          siehe auch Clone INFECTOR
  3727.  
  3728.  
  3729.    - FAT 1 Virus   BB  TimeBomb V1.0  BB-Virus-Clone  siehe unten
  3730.          anderer Name: The FAT Stinkbomb 1
  3731.          Nur Text geaendert. Eine Meisterleistung
  3732.          Im BB und Speicher ist zu lesen:
  3733.            14535449 4e4b424f 4d422120 4665642e .STINKBOMB! Fed.
  3734.            20416761 696e7374 20546f78 69642057  Against Toxid W
  3735.            61737465 20677265 65747320 46656974 aste greets Feit
  3736.            652d546f 6d210001 00000000 42b90007 e-Tom!......B...
  3737.          Dieser Text wird auch fuer DisplayAlert verwendet.
  3738.  
  3739.    - FAT 2 Virus   BB  EXTREME-Clone  siehe oben
  3740.          anderer Name: The FAT Stinkbomb 2
  3741.          Nur Text geaendert. Eine Meisterleistung
  3742.          Im BB und Speicher ist zu lesen:
  3743.            696f6e2e 6c696272 61727900 00b01546 ion.library....F
  3744.            20412054 202d2046 65642e20 41676169  A T - Fed. Agai
  3745.            6e737420 546f7869 64205761 73746521 nst Toxid Waste!
  3746.  
  3747.    - FCheck Virus  File  BYTEPARASITE III - Clone  s.o.
  3748.  
  3749.    - FileGhost-Inst.    File anderer Name: HardSpeeder
  3750.          Laenge ungepackt: 8160 Bytes
  3751.          Versucht durch Text zu taeuschen:
  3752.            6d486172 64537065 65646572 20a92062 mHardSpeeder . b
  3753.            79204368 72697374 69616e20 4e65756d y Christian Neum
  3754.            616e6e2e 0a506174 63682069 6e737461 ann..Patch insta
  3755.          Auch in dem beiliegenden Doc.File
  3756.           Macht angeblich HD schneller und ist deshalb besonders
  3757.           fuer Sysops geeignet.
  3758.          Verbogene Vektoren: Forbid, LoadSeg, NewLoadseg
  3759.          In Wirklichkeit wird der FileGhost-Virus s.u. im Speicher
  3760.          verankert.
  3761.          VT bietet loeschen an.
  3762.  
  3763.    - FileGhost-Virus   Link
  3764.          KS2.04 : ja
  3765.          KS3.0  : ja
  3766.          Verlaengert ein File um 876 Bytes.
  3767.          Haengt sich hinter den ersten Hunk.
  3768.          Verbogene Vektoren: Forbid, Loadseg, NewloadSeg
  3769.          Das VirusTeil ist teilweise codiert mit:
  3770.                  eor.b d0,(a0)+
  3771.          Der Wert von d0 wird vom VirusPrg. staendig geaendert (Forbid)
  3772.          und ist deshalb bei jedem Link neu.
  3773.          Namensbegruendung: im Speicher ist zu lesen:
  3774.            732e6c69 62726172 79004869 20467269 s.library.Hi Fri
  3775.            656e6421 20446f6e 60742077 6f727279 end! Don`t worry
  3776.            2e2e2e20 49746073 206f6e6c 79207468 ... It`s only th
  3777.            65204669 6c654768 6f73742e 00000bf8 e FileGhost.....
  3778.          Das Virusteil meldet sich nie.
  3779.          Vermehrungsroutine:
  3780.            - max. Filelaenge #100000 Bytes
  3781.            - File ausfuehrbar
  3782.            - Disk validated
  3783.            - mind. 8 Block frei
  3784.            - RTS wird gefunden  (max. loop $3e (+1) )
  3785.            - RTS wird ersetzt durch bra.s oder NOP
  3786.  
  3787.    - Firedom.BB Virus  Cascade-Virus-BB-Clone s.o.
  3788.          Nur Text geaendert: (im BB lesbar)
  3789.            00004669 7265646f 6d205631 2e344320 ..Firedom V1.4C
  3790.          Rest: siehe oben
  3791.  
  3792.    - Firedom.BB-Inst.  File   Laenge: 3428 Bytes
  3793.          Mit der Hunklab-Bootjob-Methode wurde der BB an den c-Befehl
  3794.          install angelinkt. 42.5 (3.3.94) ???????
  3795.          Hunklab-Bootjob s.u.
  3796.          Die Wahrscheinlichkeit, dass ein LAUFFAEHIGER BB entsteht, ist
  3797.          gering.
  3798.          VT bietet Ausbau an.
  3799.  
  3800.  
  3801.    - FLASHBACK-Virus  BB  Block 0-3  Glasnost-Clone  s.u.
  3802.          Unterschiede:
  3803.            In Block 3 ist uncodiert zu lesen:
  3804.            464c4153 48424143 4b207669 72757320 FLASHBACK virus
  3805.            62792053 54432120 5765276c 6c206265 by STC! We'll be
  3806.            20626163 6b2e2e00 00000000 00000000  back...........
  3807.            Schreibt in Block, der zerstoert wird ab $100 STC!
  3808.          Block:    1494
  3809.          00f0: 75657374 65727320 20202020 20202020 uesters
  3810.          0100: 53544321 53544321 53544321 53544321 STC!STC!STC!STC!
  3811.          0110: 20202020 20202020 20202020 20202020
  3812.            Dieser Block kann leider NICHT gerettet werden. Das File
  3813.            ist verloren. Lesen Sie bitte bei Glasnost nach.
  3814.  
  3815.  
  3816.    - FORPIB  BB  kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  3817.          Vermehrung: ueber BB
  3818.          besorgt sich Speicher ueber MemList, Speicher fuer neuen
  3819.          VirusBB mit AllocMem
  3820.          Im BB sichtbar:  - FORPIB - 09.88 - N° 197102 -    usw.
  3821.          Clone: STARCOM 6, TAI3 siehe unten
  3822.  
  3823.    - Freedom     reines Zerstoerungsprogramm  Laenge: 10876Bytes
  3824.          Herkunft: Freedom!.LZH   8153 Bytes
  3825.          Fordert trackdisk.device; keine verbogenen Vektoren
  3826.          versucht durch Text zu taeuschen:
  3827.          Freedom !      by Steve Tibbett
  3828.          Checking df0: for 126 viruses
  3829.          nach kurzer Zeit wird abwechselnd ausgegeben:
  3830.          SADDAM-Virus removed !
  3831.          oder
  3832.          SMILY CANCER-Virus removed !
  3833.          Schaden: schreibt in jeden 5.Block (also auch Root=880)
  3834.             Datenmuell, der nach einigen Tracks sogar den Inhalt
  3835.             wechselt (vermutlich soll Blockerkennung verhindert
  3836.             werden). Durch die vielen zerstoerten Bloecke ist eine
  3837.             Rettung mit DiskSalv unwahrscheinlich. Daten also ab-
  3838.             schreiben und Disk formatieren.
  3839.          Mit etwas Glueck erkennt VT beim BitMapTest eine Freedom-Disk.
  3840.          Beim BlockITest meldet sich VT nicht, da der Muell von Disk zu
  3841.          Disk und auch nach einigen Tracks wechselt.
  3842.  
  3843.  
  3844.    - FrenchKiss   belegt auf Track 0 Block 0 bis 5
  3845.          Ich besitze nur Bl 0 u. 1 . Ein echter Virus !!!
  3846.          Cool, DoIo, $6c, Vec5,
  3847.          immer ab $7f0d0
  3848.          Vermehrung: Block 0 bis 5 auf Track 0
  3849.          Schaeden:
  3850.          Je nach Zaehlerstand wird Track 0 ueberschrieben oder Track 80
  3851.          (bei Disk = Dir ) zerstoert. Mehr kann ich nicht sagen, da ich
  3852.          nur Block 0 u. 1 habe. Bitte schicken Sie mir Ihre verseuchte
  3853.          Disk. Danke !!!
  3854.  
  3855.    - FRESHMAKER-Virus   BB  immer ab $78000   Cool $78154
  3856.          Nach Reset dann noch: DoIo, Findres, Supervisor
  3857.          Vermehrung nur: mit KS1.3, da absolute ROM-Einspruenge
  3858.              und ExecBase im Speicher ab $C00000
  3859.          Versucht durch lesbaren Text im BB zu taeuschen:
  3860.            203E2056 69727573 50726F74 6563746F  > VirusProtecto
  3861.            72205631 2E30203C 2000               r V1.0 <
  3862.          Nach #10 Vermehrungen Textausgabe mit intuition. Text wird
  3863.          mit eori.b #$27,(a1)+ decodiert:
  3864.                 ES IST WIRKLICH NICHT ZU GLAUBEN.
  3865.                 DU BOOTEST MIT EINER UNGESCHÜTZTEN DISK !
  3866.                 ES IST WIRKLICH SCHADE (!),  DAß ES SOLCHE
  3867.                 LAMER (!) NOCH GIBT. DU HAST WOHL KEINE
  3868.                 ANGST VOR VIREN ??? ICH WÜNSCHE DIR
  3869.                 NOCH VIEL SPAß (!) MIT DEINEM AMIGA...
  3870.                 UNTERZEICHNET: THE FRESHMAKER IN 1991 !
  3871.  
  3872.    - Frity  Forpib-Clone    s.o.
  3873.  
  3874.    - FUCK-Virus  siehe bei MODEMCHECK-Virus
  3875.  
  3876.    - fuck.device-Virus   BB    Cool, DoIo
  3877.          Namensbegruendung: siehe unten
  3878.          Fordert trackdisk.device NICHT
  3879.      Das Virusteil meldet sich nicht.
  3880.          Schaeden und Vermehrung:
  3881.          je nach dem Wert in der Zaehlzelle wird:
  3882.            - der Virus-BB geschrieben (#1024 Bytes)
  3883.            - oder Block 0 und 1 zerstoert mit fuck.device. Da hier aber
  3884.              $800 Bytes geschrieben werden, wird in Block 2 und 3 Speicher-
  3885.              muell geschrieben. Sollte ein File Block 2 und 3 belegt haben,
  3886.              so ist dieses File NICHT mehr zu retten.
  3887.               6675636b 2e646576 69636500 00667563 fuck.device..fuc
  3888.               6b2e6465 76696365 00006675 636b2e64 k.device..fuck.d
  3889.               65766963 65000066 75636b2e 64657669 evice..fuck.devi
  3890.          Kopieren Sie mit VT einen neuen DOS-BB auf.
  3891.  
  3892.  
  3893.    - Future Disaster    nur KS1.2, Cool, DoIo, BeginIo, immer ab $7FB00
  3894.          fordert trackdisk.device (also HD nicht)
  3895.          Vermehrung:BB
  3896.          Schaden:
  3897.          sobald die Zaehlzelle den Wert 7 erreicht hat:
  3898.          - schreibt Speicherinhalt ab $10000 nach Block 0 u 1
  3899.          - schreibt Speicherinhalt ab $7Fb00 nach Block 880 und weiter
  3900.          Folge: Disk unbrauchbar
  3901.  
  3902.    - G-Zus-Packer       Laenge ungepackt: 15016 Bytes
  3903.          Wird in Docs als bester Packer angepriesen, aber:
  3904.          - das Original-File wird geloescht
  3905.          - ein neues File mit gleichem Namen und Erweiterung .god erzeugt
  3906.          - dieses neue File ist 30 Bytes lang und enthaelt nur:
  3907.  
  3908.            0000: 54686973 49734d61 67696321 34434f1c ThisIsMagic!4CO.
  3909.            0010: 27303811 10464b55 524e435b 4f470000 '08..FKURNC[OG..
  3910.  
  3911.          Wenn Sie kein zweites Original-File haben, dann haben Sie Pech
  3912.          gehabt.
  3913.          Ist also KEIN Virus, aber vielleicht wird jemand durch die Er-
  3914.          kennung vor Schaden bewahrt.
  3915.  
  3916.  
  3917.    - Gadaffi  (KickRomV1.2 Floppymusik)
  3918.          Cool, DoIo, KickTag, KickCheckSum
  3919.  
  3920.    - Gandalf BB  Cool, ExitIntr, PutMsg
  3921.          BB-Teile codiert mit eor.w d1,(a1)+
  3922.             decodiert ist im Speicher zu lesen: Gandalf`s Rache usw.
  3923.          Vermehrung und Schaeden:
  3924.            - schreibt sich auf BB
  3925.            - in Abhaengigkeit von der Zaehlzelle soll die Disk
  3926.              zerstoert werden. Verwechselt aber Disk-Seek mit Disk-Format,
  3927.              DisplayBeep mit DisplayAlert usw. (Anfaenger ??)
  3928.             
  3929.    - GCA-Virus  BB  Forpib-Clone   nur Text geaendert   26.11.92
  3930.             4765726d 616e2043 7261636b 696e6720 German Cracking
  3931.             4167656e 63792028 47434129 20212121 Agency (GCA) !!!
  3932.             20a92031 39383820 56312e30 20212121  . 1988 V1.0 !!!
  3933.  
  3934.    - GENESTEALER  BB  auch KS2.04  immer ab $7EC00
  3935.          Cool, DoIo
  3936.          Im BB ist zu lesen: GENESTEALER VIRUS!!! by someone...
  3937.          Schaeden und Vermehrung:
  3938.          ueber BB
  3939.          Testet VBlank  ( cmpi.b #$32,$212(a6) )
  3940.          Sollte der Wert NICHT 50 sein, so wird der Rootblock zerstoert.
  3941.          Fordert trackdisk.device NICHT .
  3942.  
  3943.    - GENETIC PROTECTOR V2.00    BB   Dotty-Clone  s.o.  16.03.92
  3944.          nur Text geaendert: GENETIC-ELECTRONICS  usw.
  3945.          Pech gehabt: wird weiterhin als Dotty erkannt
  3946.  
  3947.    - Germany-Virus    Forpib-Clone   nur Text geaendert
  3948.             4765726d 616e7920 21204c6f 76652020 Germany ! Love
  3949.             6974206f 72206c65 61766520 69742021 it or leave it !
  3950.             21212121 21212121 21212020 20202020 !!!!!!!!!!
  3951.  
  3952.    - Glasnost  Block 0 bis 3, Laenge also 2048, KickTag, KickCheckSum
  3953.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  3954.          fordert trackdisk.device NICHT.
  3955.          Wird aktiv wenn Block 880 gelesen wird
  3956.          Schaeden:
  3957.          blockiert nach 15 oder 20 Min. Rechner
  3958.          schreibt eigenen BB und zerstoert damit auch Files in Block 2 u. 3
  3959.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  3960.          in diesen Block ab $100 vier Langworte ($11111111, $22222222,
  3961.          $44444444, $88888888). Dieser Block kann NICHT gerettet werden.
  3962.          Text in Block 3: Glasnost VIRUS by Gorba!!  First release
  3963.          Clone: siehe bei FLASHBACK-Virus, TAI13,
  3964.  
  3965.    - Golden Rider  Linkvirus  im Speicher immer $7C000
  3966.          verbiegt Cool, DoIo, DosOpen
  3967.          Arbeitet nicht mehr mit Doslib-Version 35 oder hoeher.
  3968.          Verlaengert ein File um 868 Bytes, haengt sich auch mehrmals
  3969.          in ein File, da keine Abfrage ob schon befallen.
  3970.          File darf max 100000 Bytes gross sein.
  3971.          File muss executable sein.
  3972.          Filename + Pfad darf nur Zeichen ab A enthalten (Ausnahme / : 1 0 )
  3973.          Eine Zeichenobergrenze wurde im Programm nicht gefunden.
  3974.          Eine Vermehrung findet statt bei:
  3975.             df0:Test/File
  3976.          KEINE Vermehrung mit:
  3977.             df3:Test/F9
  3978.          Das VirusTeil enthaelt keine Melderoutinen.
  3979.          Haengt sich am Ende des 1.Hunks ein und ersetzt RTS durch
  3980.          ein NOP. Sollte kein RTS am Ende des 1. Hunks gefunden wer-
  3981.          den, so wird $38 Schritte ab Hunkende zurueck nach einem
  3982.          RTS gesucht und dann durch BRA.s ersetzt.
  3983.          In ersten Hunk des befallenen Files ist unverschluesselt zu
  3984.          lesen:   >>> Golden Rider <<< by ABT
  3985.          VT versucht den Virusteil auszubauen und ein lauffaehiges
  3986.          Ursprungsprogramm abzuspeichern. KEINE Garantie !!!
  3987.          Arbeiten Sie mit einer Kopie !!!!
  3988.          Vermehrung getestet: ja
  3989.          Ausbau getestet: ja
  3990.          Hinweis: Da sich die 3 Testlangworte in 2 verschiedenen Bloecken
  3991.          befinden koennen, wird der Golden Rider nur im Filetest SICHER
  3992.          erkannt. Bei der Blockkette koennte einer beim Test NICHT ge-
  3993.          meldet werden.
  3994.          Hinweis 31.08.92: Ab VT2.44 sollten mehrere GoldenRider-Links
  3995.          ans gleiche File in einem Durchgang ausgebaut werden. Falls
  3996.          nein, melden Sie sich bitte. Danke
  3997.  
  3998.    - Gotcha LAMER    Filevirus     anderer Name: Lamer Bomb
  3999.          verlaengert File um 372 Bytes, DoIo
  4000.          nur in Files dir, run, cd, execute
  4001.          Schaeden:
  4002.          - KEINE Vermehrung ueber obengenannte Files hinaus
  4003.          - KopfStep
  4004.          - DisplayAlert u. RESET: "HAHAHE...  Gotcha LAMER!!!"
  4005.          Ursprungsprogramm:
  4006.          MINIDEMO.EXE       Laenge: 773 Bytes
  4007.          sucht fuer Link nach:
  4008.          dh0:c/dir, dh0:c/run, dh0:c/cd, dh0:c/execute
  4009.  
  4010.    - Graffiti         BB
  4011.          aehnlich 16Bit Crew + 3D-Graphik
  4012.          FastMem ja, Cool, im Prg DoIo, im Speicher immer $7ec00
  4013.          Vermehrung: ueber BB
  4014.          Graphikroutine mit 3D
  4015.          unverschluesselt im BB:
  4016.          VIRUS! written by Graffiti
  4017.  
  4018.    - GREMLIN       BB
  4019.          Cool, KickSumData, im Prg. DoIo, im Speicher immer $7f400
  4020.          Fordert trackdisk.device NICHT !!
  4021.          Vermehrung: ueber BB
  4022.          Textausgabe mit GraphikRoutine: roter Hintergrund, weisse Schrift
  4023.                         GREMLIN
  4024.  
  4025.    - Gremlins-BB    Fehlerquelle  Stand: Anfang April 94
  4026.          Bei aktivem Mount.BB-Virus  (s.u.)  erkennen einige Antivirus-
  4027.          programme "Gremlins-Virus" und versuchen die Original-Vektoren
  4028.          wieder zu setzen. Da die Vektorensicherung beim Mount.BB-Virus
  4029.          an einer anderen Stelle stattfindet, verursachen diese Prg.e
  4030.          einen Systemabsturz. Den Virus im BB erkennen diese Prg.e nicht.
  4031.          Ich nehme an, dass der Fehler in den entsprechenden Programmen
  4032.          beim naechsten Update (Mai 94 ?) behoben wird.
  4033.          VT erkennt bis einschliesslich VT2.62 "unbekanntes Programm" im
  4034.          Speicher. Sie koennen mit Tools/setze OVek. das Virusteil im
  4035.          Speicher OHNE Systemabsturz abschalten !!
  4036.          Ab VT2.63 (04.94) wird das neue Virusteil mit Namen (s.u.) er-
  4037.          kannt.
  4038.  
  4039.  
  4040.    - GRIM-REAPER-Virus   BB   Disk-Doktors-Clone   siehe oben
  4041.          Text geaendert:
  4042.            646f732e 6c696272 61727900 0000636c dos.library...cl
  4043.            6970626f 6172642e 64657669 63650000 ipboard.device..
  4044.            00010400 00000097 20546865 20475249 ........ The GRI
  4045.            4d2d5245 41504552 20627920 48616e6e M-REAPER by Hann
  4046.            6962616c 21202020 20200000 00000000 ibal!     ......
  4047.  
  4048.    - GX.TEAM    Fastmem ja, nur KS1.2 da absoluter DoIo-Einsprung
  4049.          Cool, DoIo, KickTag, KickCheckSum, im Speicher immer ab $7f4d0
  4050.          Vermehrung: ueber BB
  4051.          Textanzeige mit displayAlert (wird mit sub.b #$41,d0 nach
  4052.          $7f300 entschluesselt):
  4053.          Mais qui voila ???C'est le nouveau VIRUS de GX.TEAM !!
  4054.          AAAHH! Les salauds! Les ...(Insultes diverses)
  4055.          He!He! SILENCE :
  4056.          GX.TEAM entre enfin dans la legende ...
  4057.          BYE!!!
  4058.  
  4059.    - GYROS  Cool, DoIo, immer ab $7EC00
  4060.          Fordert trackdisk.device NICHT
  4061.          Vermehrung:BB
  4062.          Schaden:
  4063.          Sobald die Zaehlzelle den Wert 10 erreicht hat:
  4064.          - blockiert Rechner
  4065.          Im BB zu lesen: Your Amiga is fucked from a nice GYROS usw.
  4066.    - GYROS-SOFIA-Clone:
  4067.          Nur Text geaendert. Das Teil stammt nie und nimmer aus Sofia.
  4068.             206f6e65 7320534f 46494120 abababab  ones SOFIA ....
  4069.    - GYROS-SOFIA-Inst.     gepackt: 1524 Bytes
  4070.                           entpackt: 1952 Bytes
  4071.          Ein 3c(a7)-Link File (s.o.), das einen GYROS-SOFIA.BB im
  4072.          Speicher verankern soll. Das Teil war an 2.MZaus (richtig,
  4073.          das Original-Programm liegt auf der VT-Disk im Unterver-
  4074.          zeichnis Utility) gelinkt. VT bietet nur loeschen an. Ein
  4075.          Ausbau lohnt nicht. Da bei der Verankerung im Speicher,
  4076.          absolute Speicheradressen, die bei vielen Rechnern nicht
  4077.          belegt sind, verwendet werden, erscheint haeufig der GURU.
  4078.  
  4079.    - HACKERS  siehe bei SHIT
  4080.          Unter diesem Namen wurde mir ein BB zugeschickt. Aber auch
  4081.          im Speicher war dieser Name nicht nachvollziehbar.
  4082.  
  4083.    - HAPPY NEW YEAR BB   21.11.92
  4084.          Cool, im Programm DoIo  immer ab $7EC00
  4085.          Namensbegruendung: im BB ist zu lesen:
  4086.             2d2b2d20 48415050 59204e45 57205945 -+- HAPPY NEW YE
  4087.             4152202d 2b2d4ef9 0fc00000 43f90007 AR -+-N.....C...
  4088.  
  4089.          Vermehrung: kaum moeglich
  4090.          Begruendung: endlich hat es jemand geschafft, einen
  4091.          HunkReloc32 im BB unterzubringen.
  4092.                                        000003ec ................
  4093.             00000006 00000000 000000e4 000000dc ................
  4094.             000000bc 0000006e 0000003e 00000022 .......n...>..."
  4095.             00000000 000003f2 00000000 00000000 ................
  4096.          Dies hat zur Folge, dass der OrigDoIo an einer Stelle
  4097.          abgelegt wird, und sobald er gebraucht wird, an einer
  4098.          ganz anderen Stelle im BB gesucht wird. Die Folgen
  4099.          sind klar.
  4100.          Meine Empfehlung: Anfaenger uebt weiter am Joystick.
  4101.          Glaubt mir, da ist euer Erfolgserlebnis groesser.
  4102.  
  4103.    - HARDEX VIRUS   SADDAM-Clone  s.u.
  4104.  
  4105.    - HardSpeeder  File   s.o. bei FileGhost
  4106.  
  4107.    - Hauke   Byte-BanditClone   s.o
  4108.          Text geaendert: Hauke Jean Marc    usw
  4109.  
  4110.    - Haukeexterminator I   Disk-DoctorClone  s.o
  4111.          Text geaendert: Haukeexterminator I     usw
  4112.  
  4113.    - HEIL Virus BB  Cool immer $7C070  immer ab $7C000
  4114.          Bei mir mit KS2.04 nach Reset kein neuboot von Disk.
  4115.          Unter KS1.3 werden nach dem Reset 2 Interrupts installiert.
  4116.             Nr. 3 = Ports = $7C1C6 = SS.install
  4117.             Nr. 5 = VERTB = $7C1E8 = SS.greets
  4118.          VT entfernt beim loeschen die Namen und setzt die Codezeiger
  4119.             auf 0 mit RemIntServer. Also keine Gefahr mehr. vgl. VT =
  4120.             Listen = IntVec
  4121.          Sobald die Zaehlzelle den Wert #$500 erreicht hat wird eine
  4122.          Graphikroutine angesprungen:
  4123.          schwarzer Hintergrund, helle Schrift
  4124.          Hakenkreuz,SS-Rune,Hakenkreuz und dann
  4125.             your computer is infected by SS-Virus!
  4126.          Danach ist ein Reset notwendig, da das VirusPrg. sich in einer
  4127.          Endlosschleife befindet.
  4128.          Der BB ist codiert mit eori.l #"HEIL",(a0)+
  4129.          Von der Definition handelt es sich nicht um einen BB-Virus,
  4130.          da keine Vermehrungsroutine gefunden wurde.
  4131.          siehe auch MOSH, SS-Virus
  4132.  
  4133.    - Hilly  KickTag, KickCheckSum, Kick1.2
  4134.             DoIo im Prg mit absolutem ROMeinsprung
  4135.             Test auf spezielle Kickstartversion (patched bei $FC0090)
  4136.             Falls vorhanden kein Virusaufbau.
  4137.             Fordert trackdisk.device nicht an, deshalb koennen Schreib-
  4138.             zugriffe auf die Festplatte erfolgen !!
  4139.             Lage im Speicher: immer ab $7f300 (ResStruc.)
  4140.             Vermehrung: ueber BB
  4141.             sonst keine Routine gefunden (keine Graphik usw.)
  4142.  
  4143.    - Hireling Protector V1.0     anderer Name: Charlie Braun
  4144.             ForpibClone  s.o.
  4145.             nur anderer Text
  4146.  
  4147.    - Hochofen  Link  auch mit KS2.04  verlaengert ein File um 3000 Bytes
  4148.             KEINE bekannten Vektoren verbogen !!!!
  4149.             Wurde mir als Trabbi zugeschickt. Da ich diesen Namen nicht
  4150.             nachvollziehen kann (kommt im Prg-code nicht vor), nenne
  4151.             ich ihn Hochofen (im 1. Hunk zu lesen).
  4152.             Taskname: Greetings to Hochofen
  4153.             Vermehrung:
  4154.             NUR moeglich beim Start eines bereits verseuchten Prgs.
  4155.             Scannt Root durch (examine, exnext usw.) und sucht nach
  4156.             Files, die
  4157.                   - ausfuehrbar ($3F3)
  4158.                   - kleiner als 200000 Bytes
  4159.                   - noch nicht befallen
  4160.                         sind.
  4161.             Haengt sich dann als erster Hunk an und verlaengert das
  4162.             File um 3000 Bytes (Hunk nicht codiert).
  4163.             Hinweis: NICHT jedes verseuchte File ist lauffaehig ! s.u.
  4164.             Schaeden:
  4165.             Task: Greetings to Hochofen
  4166.             im Task:   KEIN VermehrungsPrgTeil
  4167.             zeitabhaengig:
  4168.                   BildschirmHintergrund   schwarz  rot  gelb
  4169.                      mit Maustaste wegklicken
  4170.                   Requester   Fasten seat-belt!
  4171.                      mit Maustaste wegklicken
  4172.                   Task wird wieder entfernt
  4173.             Fehler: kennt viele Hunktypen NICHT und veraendert durch
  4174.             einen Schleifenfehler dann den Hunktyp um +1. Als Beispiel,
  4175.             weil ich es da zuerst bemerkt habe:
  4176.             Kennt hunksymbol ($3F0) nicht und macht daraus hunkdebug ($3F1).
  4177.             In unbekannten Hunks werden auch in einer Schleife Bytes
  4178.             FALSCH geaendert.
  4179.             Verseuchte Files die den Computer zum Absturz bringen, ver-
  4180.             aendern bei mir auch die Hardwareuhr !!!!
  4181.             Vermehrung getestet: ja auch mit ROM KS2.04
  4182.             Ausbau getestet: ja mit VT 2.37
  4183.  
  4184.    - HODEN-Virus   BB    nur KS1.2, da absoluter DoIo-Einsprung
  4185.             DoIo, KickTag, KickCheckSum, im Speicher immer $7f000
  4186.             Fordert trackdisk.device NICHT.
  4187.             Vermehrung: ueber BB
  4188.             Kennzeichen: nach fuenf Kopien wandert ein gelber Kopf
  4189.             von links nach rechts ueber den Bildschirm.
  4190.             unverschluesselt steht im BB:  HODEN V33.17
  4191.             Clone: COHEN-Virus
  4192.  
  4193.    - HULKSTERS-Virus  BB   Pentagon-Clone s.u.
  4194.             Text geaendert: z.B.  SACHSEN/ANHALT  usw.
  4195.  
  4196.    - Hunklab-BootJob   File
  4197.       Mit BootJob wurde ein BB in ein ausfuehrbares File umgewandelt.
  4198.       Dieses BootJob-File wurde mit HunkLab an ein anderes File ange-
  4199.       haengt. Fertigen Sie bitte eine Kopie dieses Files an und unter-
  4200.       suchen Sie es genauer.
  4201.       VT sollte Ausbau anbieten.
  4202.       Vgl. auch TAI7-Installer, East-Star-Install, CRACKER-Ext.Inst.
  4203.       KIMBLE.BB-Inst., Firedom.BB-Inst.
  4204.  
  4205.    - HunkLab-Link ??  Link  von VT NUR im ungepackten Zustand erkannt !!!
  4206.             Es soll sich um ein XCopy-Programm handeln, das es ermoeg-
  4207.             licht, sowohl NutzPrg.e als auch Viren vor bereits vorhandene
  4208.             Programme zu haengen. Ganz ehrlich. Ich verstehe die Welt
  4209.             nicht mehr. Wie kann eine Firma so ein Programm verkaufen,
  4210.             das es jedem Anfaenger AUCH erlaubt, Viren an ein vor-
  4211.             handenes Programm zu linken ????? ABER NOCH EINMAL: Nicht
  4212.             jedes mit Hunklab veraenderte Programm muss ein Virus-
  4213.             teil enthalten.
  4214.             Zu Beginn des 1.Hunks ist zu lesen:
  4215.               58892f49 003c4cdf 7fff4e75 556e6974 X./I.<L...NuUnit
  4216.               6564a046 6f726365 53000000 00000001 ed.ForceS.......
  4217.             Bitte nehmen Sie fuer den Ausbau eine Kopie ihrer Disk.
  4218.             Ich habe nur 5 verseuchte Files (AIBON). Da ich Hunk-
  4219.             Lab nicht besitze, kann ich keine weiteren Files linken.
  4220.             Die Routine koennte also wackeln. Bitte teilen Sie mir
  4221.             festgestellte Fehler mit. Danke
  4222.             Fileerkennung und Ausbau mit VT: 05/06.12.92
  4223.         Hinweis 30.12.92: Es soll in der Szene ein modifiziertes
  4224.             Hunklabprogramm (oder aehnlich programmiert) Verwendung
  4225.             finden. Es kann also zu Verwechslungen kommen und die
  4226.             Programme sind vielleicht nach dem Ausbau NICHT mehr
  4227.             lauffaehig. Fertigen Sie also BITTE eine Kopie und ver-
  4228.             suchen Sie mit dieser den Ausbau.
  4229.  
  4230.    - ICE    SCAClone, Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  4231.             Vermehrung: ueber BB
  4232.             Textausgabe durch GraphikRoutine
  4233.             unverschluesselt steht im BB:
  4234.             Greets from The Iceman & The IRQ  usw.
  4235.  
  4236.    - Incognito     anderer Name Trojan
  4237.             DoIo, KickMem, KickTag, KickCheckSum, FastMem ja
  4238.             nur KS1.2, da absoluter DoIo-Einsprung ins ROM
  4239.             Vermehrung: ueber BB
  4240.             sonst keine Schaeden und kein Text
  4241.             im BB: nichts zu sehen, da trackdisk.device verschluesselt.
  4242.  
  4243.    - INDIANA JONES  BB  Cool immer $7E656   immer ab $7E600
  4244.            im Prg: DoIo $7E690, FindRes $7E676   KS2.04: ja
  4245.            Fordert trackdisk.device NICHT
  4246.            Warhawk-Clone
  4247.            Unterschied: die Textausgabe ueber Graphik-Routine wurde
  4248.            entfernt.
  4249.            Vermehrung: BB
  4250.        Namensbegruendung: Wenn Sie im BB die $7F-Zeichen richtig anordnen,
  4251.             ergibt sich:
  4252.        ····#··#··.#·##···#·####·#···#·####······####·####·#···#·###·###
  4253.        ····#··##·.#·#·#··#·#..#·##··#·#··#·········#·#··#·##··#·#···#··
  4254.        ····#··#·#.#·#··#·#·# .#·#·#·#·#··#·········#·#··#·#·#·#·##.·###
  4255.        ····#··#·.##·#·#··#·####·#··##·####·······#·#·#··#·#··##·#···..#
  4256.        ····#··#··.#·##···#.#·.#·#···#·#··#······#··#·####·#···#·###·###
  4257.        ··········································##····················
  4258.  
  4259.  - INFECTOR  Virus BB  ein Fast Eddie Clone
  4260.          Nur Texte geaendert. Wieder einmal eine Meisterleistung !!!
  4261.          KickTag, KickCheckSum
  4262.          KS2.04 nein
  4263.          im Prg nach Reset noch DoIo, $6c, im Speicher immer $7F000
  4264.          fordert trackdisk.device NICHT.
  4265.          Im BB ist an $1c !IN! zu lesen
  4266.          Wird aktiv wenn Block 880 gelesen wird
  4267.          Schaeden:
  4268.          blockiert nach 15 oder 20 Min. Rechner (Farbspiel)
  4269.          schreibt eigenen Virus-BB
  4270.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  4271.          in diesen Block ab $100  INFECTOR GO! .
  4272.          Block: 732
  4273.          000000f0: 34071070 b9f9b1c6 3b3bf014 47d8b589 4..p....;;..G...
  4274.          00000100: 494e4645 43544f52 20474f21 f403d488 INFECTOR GO!....
  4275.          00000110: 607c98e2 5e0d3de0 28ca7775 a94a0f0e `...^.=.(.wu.J..
  4276.          Dieser Block und auch das File kann NICHT gerettet werden.
  4277.  
  4278.          Benennt Disknamen um  >INFECTOR BY DARK< . Arbeitet mit $6E000,
  4279.          dies ist nur bei einer DD-Disk der RootBlock !!
  4280.          Block: 880
  4281.          000001a0: 00000000 00001624 00000359 00000b1d .......$...Y....
  4282.          000001b0: 1d3e494e 46454354 4f522042 59204441 .>INFECTOR BY DA
  4283.          000001c0: 524b3c00 00000000 00000000 00000000 RK<.............
  4284.          Auf einer HD-Disk wird also ein zusaetzliches File zerstoert.
  4285.  
  4286.          Codiert jeden BB neu mit ByteWert von $DFF006  eor.b d1,(a0)+ .
  4287.          Decodiert eigenen BB  mit  eor.b d6,(a0)+ .
  4288.          Decodiert im Speicher :
  4289.             THIS IS THE FIRST VIRUS WRITTEN BY THE DARK AVENGER !!!
  4290.          siehe auch oben bei Fast Eddie
  4291.  
  4292.    - Infiltrator Link
  4293.             anderer Name Klein-Virus (von mir nicht nachvollziehbar)
  4294.          Arbeitet erst ab dos.library-Version #36 oder hoeher (also
  4295.          keine Vermehrung mit KS1.2 oder KS1.3)
  4296.          Verbiegt OldLoadSeg (NewLoadseg wird nicht verbogen)
  4297.          Ueberprueft ob Virus schon installiert mit Zeichenfolge "1992".
  4298.          Verlaengert ein File um 1052 Bytes.
  4299.          Am File ist das Virusprogramm codiert mit eori.b x,(A0)+ .
  4300.          Das Byte x aendert sich bei jedem neuen Linkvorgang in Abhaengig-
  4301.          keit von $DFF006 .
  4302.          Im Programm ist ein Textteil codiert mit:
  4303.                    move.w #$80,d0
  4304.             loop:  eor.b d0,(a0)+
  4305.                    dbra d0,loop
  4306.          Decodiert ist dann zu lesen:
  4307.             Howdy hacker! This is The Infiltrator!  usw.
  4308.  
  4309.          Versucht auch ein File "user.data",0 zu oeffnen.
  4310.  
  4311.          Arbeitsweise:
  4312.  
  4313.             - Sucht nach dem Langwort, das die Laenge des 1.CodeHunks
  4314.               enthaelt und erhoeht den Wert um $107 .
  4315.             - Schreibt zu Beginn des 1. CodeHunks 6100xxyy (bsr xxyy)
  4316.                d.h. der OriginalSourceCode wird ueberschrieben.
  4317.             - Haengt sich codiert am Ende des 1.OriginalCodeHunks an.
  4318.                d.h. keine Erhoehung der HunkAnzahl.
  4319.  
  4320.          Vermehrungsbedingungen:
  4321.             - Disk validated
  4322.             - mindestens 8 Bloecke Platz
  4323.             - 1. CodeHunk nicht groesser als $1ffc * 4 = $7FF0
  4324.                   (von Virusprogramm getestet )
  4325.             - Test 1. Wort im CodeHunk auf
  4326.                - $4EF9 (Jmp)    falls ja keine Verseuchung
  4327.                - $4EB9 (Jsr)    falls ja keine Verseuchung
  4328.             - Test ob schon von Infiltrator verseucht
  4329.               1. Wort im CodeHunk auf
  4330.                - $6100 (bsr)    falls ja 2. Test an anderer Stelle auf
  4331.                 - $48E7FFFE     falls ja schon verseucht, deshalb Ende.
  4332.            Ergebnis: verseucht auch libs, devices  usw.
  4333.                      AUCH auf FESTPLATTE !!!!!
  4334.          NACHTRAG 26.07.92 : entgegen dem schon befallen Selbsttest ist
  4335.             es mir gelungen das Virusprogrammteil 2x an diskfont.library
  4336.             zu linken !!!!
  4337.  
  4338.          Erfolg: NICHT alle Programme sind danach lauffaehig !!!!!
  4339.                (von Shell mehr als von WB)
  4340.  
  4341.          Ausbau: VT versucht den Originalzustand wieder herzustellen.
  4342.             Falls es Probleme gibt, wenden Sie sich bitte an mich.
  4343.             NACH dem FileTest machen Sie bitte ein EinzelFileCopy
  4344.             auf eine leere formatierte Disk. Zwei Gruende:
  4345.                - die Fragmentierung der Files wird aufgehoben
  4346.                   (Disk ist wieder schneller)
  4347.                - es werden nur benutzte Bloecke kopiert, d.h. jetzt
  4348.                  nicht mehr von Files belegte Bloecke werden nicht
  4349.                  mitkopiert und so kann dann auch BlockITest keinen
  4350.                  Infiltrator auf der NEUEN Disk in einem unbenutzten
  4351.                  Block finden.
  4352.  
  4353.          Suche: Sie MUESSEN mit FileTest suchen. Bei BlockKette kann
  4354.             eine Meldung unterbleiben, wenn von den 3 Testlangworten
  4355.             2 im Block x und 1 LW im Block x+1 liegen.
  4356.  
  4357.          Bitte: Suchen Sie NICHT nach verseuchten Files, solange ein
  4358.             sogenanntes "Nutzprogramm" aktiv ist, das loadseg verbiegt.
  4359.             Hinter diesem Nutzprg koennte der Infiltrator liegen !!!
  4360.             Folge: Das Nutzprogramm ueberprueft beim Laden das File
  4361.             und stellt fest, dass das File von ihm NICHT zu bearbeiten
  4362.             ist (also z.B. nicht gepackt) und uebergibt an den "OrigLoad-
  4363.             Seg-Vektor". Nur leider ist der "OrigLoadSeg-Vektor" auf die
  4364.             Infiltrator-Routine verbogen !!!!  Ihre Erfolgsaussichten
  4365.             sind NULL  !!!!!!
  4366.  
  4367.    - INFLUENZA   BB   Cool $7F320, DoIo $7F0FC, $60, immer ab $7F000
  4368.          Fordert trackdisk.device NICHT
  4369.          Turk-Clone
  4370.          Unterschiede:
  4371.              - Cool-Einsprung im Prg. verschoben
  4372.              - keine DisplayAlert-Routine
  4373.          Vermehrung: ueber BB
  4374.          Schaeden:
  4375.              - schreibt FUCK nach $60
  4376.              - Sobald in $300 (absolut!) der Wert #10 steht, wird die
  4377.                Disk von Zylinder 0-39 formatiert.
  4378.          Namensbegruendung: im BB ist zu lesen:
  4379.              20202020 48452048 45203c2d 20202d2b     HE HE <-  -+
  4380.              2d204920 4e204620 4c205520 45204e20 - I N F L U E N
  4381.              5a204120 2d2b2d20 202d3e20 20205355 Z A -+-  ->   SU
  4382.  
  4383.    - Inger IQ      ByteBandit/Forpib-Clone  s.d.
  4384.             Text:  ---Inger IQ Virus - Ersmark 1953---
  4385.  
  4386.    - INGO-ZENKER-Clone   BB  KS2.04: ja  im Speicher immer ab $7F800
  4387.          Cool $7F86c DoIo $7F894
  4388.          NEU: $6c
  4389.          Fordert trackdisk.device NICHT
  4390.          Versucht im BB durch lesbaren Text zu taeuschen:  
  4391.            426f6f74 6c6f6164 65722062 7920496e Bootloader by In
  4392.            676f2021 20283136 20466562 20313939 go ! (16 Feb 199
  4393.            33290000 00000000 00000000 00000000 3)..............
  4394.          Im Speicher ist zu lesen:
  4395.            001b0610 00014cdf 7fff4e75 4e6f7720 ......L..NuNow
  4396.            49606d20 696e2074 68652033 30204765 I`m in the 30 Ge
  4397.            6e657261 74696f6e 21496e67 6f206973 neration!Ingo is
  4398.            20424143 4b202121 20284841 48414845  BACK !! (HAHAHE
  4399.            48454849 2921444f 53000000 00000000 HEHI)!DOS.......
  4400.  
  4401.          Der BB holt in Wirklichkeit ab $70000 auf Speichermedium (bei
  4402.          Disk Zyl 40 Sektor 16-19) 4 Bloecke. Die ersten beiden Bloecke
  4403.          enthalten das Virusteil. Die restlichen beiden Bloecke enthalten
  4404.          den ehemaligen Orginal-BB. Dabei wurde ab der DOS-Kennung
  4405.          == INGO!! == eingetragen. Dies behindert die Vermehrung nicht,
  4406.          da das Virusteil erst ab $C in den Orginal-BB einspringt.
  4407.          Das Virusteil meldet sich NICHT.
  4408.          Vermehrung und Schaeden:
  4409.          Der Orginal-BB der eingelegten Disk wird nach $7FC00 geholt,
  4410.          == INGO!! == eingetragen und dann mit dem Virus-Teil nach Zyl 40
  4411.          Sektor 16 ff. abgespeichert. File-Bloecke an dieser Stelle oder
  4412.          die BitMap (im Test passiert) werden ueberschrieben und koennen
  4413.          NICHT gerettet werden !! Tut mir leid. Danach wird der Bootloader
  4414.          in den BB geschrieben.
  4415.          Falls der BB-loader erkannt wurde, sollte das Gadget O-BB aktiviert
  4416.          werden. Sie koennen damit versuchen, den Original-BB von Zyl 40
  4417.          zu holen. VT schreibt dann die Dos0-Kennung und $370 neu. Danach
  4418.          wird die BB-CheckSum neu berechnet. Diesen BB koennen sie dann mit
  4419.          Speicher-BB zurueckschreiben oder im File-Req abspeichern.
  4420.          Vielleicht haben Sie Glueck und ihre Disk bootet wieder. Der
  4421.          Fehler auf Zyl 40 kann aber NICHT behoben werden.
  4422.          Auf Festplatte arbeiten Sie bitte so NICHT. Holen Sie das Backup
  4423.          des Rigid-Bereichs hervor (das haben Sie doch oder ???) und
  4424.          schreiben Sie den Rigid-Bereich mit ihrer Kontroller-Software
  4425.          (ist mir lieber so) oder wenn es gar nicht anders geht mit VT-
  4426.          Restore zurueck.
  4427.          NEU: Ueber $6c wird eine Speicherstelle aufgezaehlt. Sobald der
  4428.          Wert $3000 erreicht ist, werden beim naechsten DoIo-Zugriff ab
  4429.          $6E000 (ist nur bei DD-Disk der Rootbereich) $1800 Bytes geschrie-
  4430.          ben. Die ersten $400 Bytes enthalten immer das Wort iNGo und die
  4431.          restlichen $1400 Bytes Speichermuell von $70400.
  4432.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  4433.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  4434.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  4435.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  4436.          Sollten Sie so eine Disk haben, so ist eine Rettung leider un-
  4437.          moeglich. Sie koennen zwar einmal Disksalv2 probieren, aber
  4438.          ich hatte damit NICHT viel Erfolg.
  4439.          Hinweis 28.11.93: Das VirusTeil verseucht auch FFS-Disketten.
  4440.          Da aber immer ein DOS0-BB geschrieben wird (ist ausgetestet),
  4441.          wird beim naechsten Schreibzugriff (z.B. copy File) die Disk-
  4442.          Struktur noch weiter zerstoert.
  4443.  
  4444.    - INGO  BB   DoIo, KickTag, KickCheckSum   KS2.04: ja
  4445.          Fordert trackdisk.device NICHT
  4446.          LADS/ZEST-Clone  s.u.
  4447.          Unterschied: DisplayAlert abgeschaltet
  4448.          Namensbegruendung: im BB ist zu lesen:
  4449.              f00f494e 474f2049 53205350 45414b49 ..INGO IS SPEAKI
  4450.              4e472021 212100ff 00fc2344 45415448 NG !!!....#DEATH
  4451.  
  4452.    - INGO'S RETURN   BB  abcd bei $396  duerfte zur Lamer-Familie gehoeren.
  4453.          schreibt FUCK!! in irgendeinen Block
  4454.          BeginIo, KickTag, KickCheckSum, SumKickData
  4455.          KS2.04 nein
  4456.          Codiert jeden Virus-BB neu
  4457.          Namensbegruendung: decodiert mit eor.b d0,(a0)+ ist im Speicher
  4458.          zu lesen:
  4459.                >>INGO`S RETURN << suffer!
  4460.          Von INGO`S RETURN zerstoerte Bloecke in einem File sind NICHT
  4461.          mehr zu retten. Tut mir leid.
  4462.  
  4463.    - init_cli     anderer Name: AMIGAKNIGHTVIRUS   s.o.
  4464.  
  4465.    - INTEL.Gag    sofort loeschen    Laenge: 3384 Bytes
  4466.          Keine verbogenen Vektoren, keine Vermehrungsroutine
  4467.          Im File ist uncodiert zu lesen:
  4468.            54482f53 00245645 523a206c 6f616477 TH/S.$VER: loadw
  4469.            62203337 2e312028 31362e31 2e393129 b 37.1 (16.1.91)
  4470.            0a0d0000 776f726b 62656e63 682e6c69 ....workbench.li
  4471.          In Abhaengigkeit von $DFF006 wird entweder der loadwb-Befehl
  4472.          ausgefuehrt oder der Versuch unternommen, eine Graphik auszu-
  4473.          geben (blauer Hintergrund, helle Zeichnung). Ich habe auf
  4474.          KEINEM Rechnertyp eine SAUBERE Zeichnung gesehen. Die Weiter-
  4475.          arbeit ist danach nicht moeglich. VT bietet loeschen an. Bitte
  4476.          kopieren Sie den Original-loadwb-Befehl neu nach c .
  4477.  
  4478.  
  4479.    - INTERLAMER-Virus   anderer Name: A.I.S.F.-Virus   siehe oben
  4480.  
  4481.    - IQ Breaker virus   BB  anderer Name: BadBytes3-Virus  siehe oben
  4482.  
  4483.    - IRAK3-Virus   BB und Link   CCCP-Clone   siehe oben
  4484.          KS1.3  ja
  4485.          KS2.04 ja
  4486.          Mehrfachlinks: ja
  4487.          Defekte Files: ja   (Hunkstruktur defekt nur loeschen moeglich)
  4488.       Nur Text geaendert:
  4489.            70004e75 4952414b 20332056 49524df8 p.NuIRAK 3 VIRM.
  4490.            006c43fa 0018b3d6 67062356 00042c89 .lC.....g.#V..,.
  4491.  
  4492.    - IRQ-TeamV41.0   Link-Virus, verlaengert ein Prg. um 1096 Bytes
  4493.                      Einsprung nach Reset: KickTag
  4494.                      Einsprung bei Arbeit: OldOpenLib
  4495.             laeuft nicht mit KS2.04
  4496.          Textanzeige im CliTitel: (entschluesselt mit eor.l d0,(a0)+
  4497.          addq.l #3,d0 ; fuer einen neuen Virus wird der Inhalt von
  4498.          d0 ueber move.l alterWert,d0 u. add.l $dff004,d0 veraendert)
  4499.              AmigaDOS presents:a new virus by the IRQ-TeamV41.0
  4500.          entweder wird c/dir oder das erste File der startup-sequence
  4501.          befallen. K e i n  File wird zweimal befallen. Das File
  4502.          darf nicht laenger als 100 000 Bytes sein.
  4503.       Entfernung: 1.Zeile in startup. loeschen
  4504.                   OrigFile besorgen und neu kopieren
  4505.  
  4506.    - IRQ II    wie IRQ I, aber die Routine auf Test schon befallen
  4507.          (cmpi. #$fffe6100,30(a4,d6.l) wurde verfaelscht. Das heisst:
  4508.          das erste File von der startup-sequence wird solange befallen,
  4509.          (d.h. verlaengert) bis die Disk voll ist.
  4510.       Nachtrag:gilt fuer IRQI+II; mit meiner FastmemKarte ist n a c h
  4511.          einem Reset keine Vermehrung mehr moeglich ?????
  4512.       Hinweis: Ich besitze ein IRQ2-File mit sechs Links
  4513.       Hinweis 03.09.92: Ab VT2.44 sollten mehrere IRQ2-Links ans gleiche
  4514.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  4515.       sich bitte. Danke
  4516.  
  4517.  
  4518.    - JEFF-BUTONIC V1.31/05.11.88    PrgFileVirus   3408 Bytes
  4519.  
  4520.          DoIo, KickTag, KickCheckSum, $68
  4521.          schreibt sich in die 1. Zeile der Startup-Sequence einer
  4522.          nicht schreibgeschuetzten Disk. Tarnnamen s.u. Die Anzahl
  4523.          der neuen Buchstaben wird am Ende der Startup-Sequence weg-
  4524.          genommen.
  4525.  
  4526.          Texte codiert mit: eori.l #$AAAAAAAA,(a0)+
  4527.  
  4528.  
  4529.      Text fuer DisplayAlert:
  4530.  
  4531.              "Einen ganz wunderschönen guten Tag!"
  4532.  
  4533.       "* I am JEFF - the new Virus generation on Amiga *"
  4534.  
  4535.                 "(w) by the genious BUTONIC."
  4536.  
  4537.            "V 1.31/05.11.88 - Generation Nr.00037"
  4538.  
  4539.     "Greetings to * Hackmack *,* Atlantic *, Wolfram, Frank,"
  4540.  
  4541.  "Miguel, Alex, Gerlach, and to the whole Physik-LK from MPG !!"
  4542.  
  4543.  
  4544.   Texte fuer die Fensterleiste:
  4545.  
  4546.     "Ich brauch jetzt'n Bier!"
  4547.     "Stau auf Datenbus bei Speicherkilometer 128!"
  4548.     "Mehr Buszyklen für den Prozessor!"
  4549.     "Ein dreifach MITLEID für Atarist!"
  4550.     "BUTONIC!"
  4551.     "Schon die Steinzeitmenschen benutzten MS-DOS...einige sogar heut noch!"
  4552.     "Schon mal den Sound vom PS/2 gehört???"
  4553.     "PC/XT-AT: Spendenkonto 004..."
  4554.     "Unabhängigkeit & Selbstbestimmung für den Tastaturprozessor!"
  4555.     "Paula meint, Agnus sei zu dick."
  4556.     "IBM PC/XT: Ein Fall für den Antiquitätenhändler..."
  4557.     "Sag mir, ob du Assembler kannst, und ich sage dir, wer du bist."
  4558.  
  4559.  
  4560.   Tarnnamen:
  4561.  
  4562.       fuer RootDir:                        in Startup-Sequence:
  4563.  
  4564.        AddBuffers                            "AddBuffers 20"
  4565.        Add21K                                "Add21K "
  4566.        Fault                                 "Fault 206"
  4567.        break                                 "break 1 D"
  4568.        changetaskpri                         "changetaskpri 5"
  4569.        wait                                  "wait "
  4570.        $A0                                   $A020
  4571.        $A0A0A0                               $A0A0A020
  4572.        Arthus                                "Arthus "
  4573.        Helmar                                "Helmar "
  4574.        Aloisius                              "Aloisius "
  4575.   ??   $20                                   $2020          ??
  4576.    die Erzeugung des $20-Tarnnamen ist nicht gelungen, steht aber im
  4577.    Virus-Prg.
  4578.  
  4579.      Nachtrag 03.03.93: Es ist ein JEFF-BUTONIC V1.31 Clone aufgetaucht.
  4580.        Laenge bleibt 3408 Bytes. Nur Texte geaendert. Bilden Sie sich
  4581.        selbst ihre Meinung. Wird von VT als JEFF-BUTONIC V1.31. erkannt.
  4582.  
  4583.     DisplayAlert-Text:
  4584.                 Es tut mir leid es ihnen zu sagen !
  4585.               *Ihr computer hat AiDS ein neuer Virus*
  4586.                    Gemacht von Donald & Micky
  4587.                 IM Jahre 1992 - Generation Nr.05426
  4588.        Grüße gehen an : Metalwarrior - Mozart - Tiger 1 - Poge
  4589.       Außerdem noch an : Meinen Virus-Freund David Hasselhoff !
  4590.  
  4591.      Texte fuer Fensterleiste:
  4592.          Tina zeig mir deine Votz
  4593.          Hey du Depp am Computer ! was is ?
  4594.          Hilfe die NFL-Kappen Kommen !
  4595.          Redskins - Fickt euch alle !!!
  4596.          Evil C !
  4597.          Der Vorkotzer er will nicht kotzen !! Rechtfertige er sich !
  4598.          Easy and fast-- Schnebber-Pax !!
  4599.          Burger du Drecksack !!
  4600.          Popper überfährt man mit einem Chopper !!
  4601.          Rod Grod Med Flod !!
  4602.          Fuck for oil And for NLF-Deppen !!
  4603.          Ihr Assigen NFL-Ficker ihr seid alle schwul und dumm !!
  4604.  
  4605.       neue Dateinamen fuer das Virus-file:
  4606.          "D.Hasselhoff "
  4607.          "Jesus  "
  4608.          "Archippus"
  4609.          "Philemon "
  4610.          "-->PAX<--      "
  4611.          "---->",$3E
  4612.          $A020
  4613.          $A0A020
  4614.          "NKOTB  "
  4615.          "Ephesus"
  4616.          "Guardians"
  4617.          $2020
  4618.          $2020
  4619.  
  4620.      Nachtrag 01.08.93: Es ist ein JEFF-BUTONIC V1.31 Clone aufgetaucht.
  4621.        Versions_Nr. 4.55  (siehe unten)
  4622.        KS2.04 : ja
  4623.        Laenge bleibt 3408 Bytes. Nur Texte geaendert. Bilden Sie sich
  4624.        selbst ihre Meinung.
  4625.        VT bei FileTest:
  4626.        Wird als JEFF-BUTONIC V1.31 erkannt, da der Name codiert ist.
  4627.        VT bei SpeicherTest:
  4628.        Wird als JEFF-BUTONIC V4.55 erkannt, da der Name im Speicher
  4629.        decodiert ist.
  4630.            neue Texte:
  4631.            e0014cdf 7fff4ef9 00f810d4 006c1848 ..L...N......l.H
  4632.            616c6c6f 20686f66 66656e74 6c696368 allo hoffentlich
  4633.            2073746f 65726520 69636820 73656872  stoere ich sehr
  4634.            202100ff 0034302a 20492061 6d204a45  !...40* I am JE
  4635.            4646202d 20746865 206f6c64 20566972 FF - the old Vir
  4636.            75732066 616d696c 7920666f 7220616e us family for an
  4637.            20416d69 6761202a 00ff008c 3c287729  Amiga *....<(w)
  4638.            20627920 74686520 6e696365 6c792020  by the nicely
  4639.            4255544f 4e49432e 00ff0064 48562034 BUTONIC....dHV 4
  4640.            2e35352f 32392e30 322e3933 202d2047 .55/29.02.93 - G
  4641.            656e6572 6174696f 6e204e72 2e303030 eneration Nr.000
  4642.            303100ff 001c5a4b 696c6c69 6e677320 01....ZKillings
  4643.            676f746f 2a20426f 6f745820 2020202a goto* BootX    *
  4644.            2c2a2056 69727573 5a202020 2a2c2056 ,* VirusZ   *, V
  4645.            69727573 5f436865 636b6572 202c00ff irus_Checker ,..
  4646.            000c6456 69727573 636f7065 2c204d61 ..dViruscope, Ma
  4647.            7573202c 20566972 75732d43 6865636b us , Virus-Check
  4648.            6572202c 20566972 75732043 6f6e7472 er , Virus Contr
  4649.            6f6c2061 6e642062 69672056 54202121 ol and big VT !!
  4650.            00ff4aa9 01000000 48616c6c 6f206769 ..J.....Hallo gi
  4651.            62206469 6520436f 6c612068 65722021 b die Cola her !
  4652.            004c6173 73206469 65204368 69707320 .Lass die Chips
  4653.            726f6573 74656e20 756e6420 6e696368 roesten und nich
  4654.            7420726f 7374656e 20212121 21004e69 t rosten !!!!.Ni
  4655.            6d6d2064 69652042 69726e65 20776567 mm die Birne weg
  4656.            20736f6e 7374206b 72616368 74732100  sonst krachts!.
  4657.            57656e6e 20447520 6e696368 74207370 Wenn Du nicht sp
  4658.            75727374 2064616e 6e206769 62747320 urst dann gibts
  4659.            24210042 6f54694e 75432100 53636861 $!.BoTiNuC!.Scha
  4660.            656d2044 69636820 44752042 616e6175 em Dich Du Banau
  4661.            7365206c 61737320 65732073 61757365 se lass es sause
  4662.            204a756e 67652020 2e2e2e61 62657220  Junge  ...aber
  4663.            6e696368 74207363 686c6170 70692e2e nicht schlappi..
  4664.            2e210057 696c6c73 74204475 204e6163 .!.Willst Du Nac
  4665.            6868696c 6665206f 64657220 77617320 hhilfe oder was
  4666.            6973206c 6f732020 3f004769 62206573 is los  ?.Gib es
  4667.            20617566 20447520 6c61686d 65722073  auf Du lahmer s
  4668.            6f636b65 2e2e2e00 57657220 616e6465 ocke....Wer ande
  4669.            726e2065 696e6520 47727562 65206772 rn eine Grube gr
  4670.            61656274 20666165 6c6c7420 73656c62 aebt faellt selb
  4671.            73742069 6e206469 6573656c 62696765 st in dieselbige
  4672.            20212121 00576f20 77696c6c 73746520  !!!.Wo willste
  4673.            64656e20 6a65747a 74207769 65646572 den jetzt wieder
  4674.            2068696e 004b616e 6e737420 4475206d  hin.Kannst Du m
  4675.            616c2052 75686520 67656265 6e204475 al Ruhe geben Du
  4676.            20616c74 6572204b 6e6f6368 656e2d4b  alter Knochen-K
  4677.            65726c20 2e2e2e00 4c696562 73742044 erl ....Liebst D
  4678.            75205669 72656e2c 2064616e 6e207765 u Viren, dann we
  4679.            69737320 69636820 61756368 2c207765 iss ich auch, we
  4680.            72204469 63682061 6d206d65 69737465 r Dich am meiste
  4681.            6e206861 73737400 0000              n hasst...
  4682.  
  4683.            neue Tarnnamen in Startup-Seq.:
  4684.            4c 6f616457 42202020 20202020 00      = "LoadWB       ",0
  4685.            4d6f75 6e742020 00                    = "Mount  ",0
  4686.            436c73 20202020 202000                = "Cls      ",0
  4687.            56 69727573 59202020 00               = "VirusY   ",0
  4688.            736574 636c6f63 6b206f70 74206920 00  = "setclock opt i ",0
  4689.            696e66 6f2000                         = "info ",0
  4690.            a02000                                = "  ",0
  4691.            a0a0 a02000                           = "    ",0
  4692.            62656c69 782000                       = "Obelix ",0
  4693.            49 64656669 782000                    = "Idefix ",0
  4694.            41 73746572 69782020 00               = "Asterix  ",0
  4695.            202000                                = "  ",0
  4696.  
  4697.      Nachtrag 02.08.93:
  4698.            Es ist ein JEFF V4.55 aufgetaucht, der mit Hunklab an
  4699.            SnoopDos angelinkt ist. (siehe unten bei SnoopDos-JEFF)
  4700.            Wurde bisher schon als HunkLab erkannt bei FileTest und
  4701.            RICHTIG ausgebaut.
  4702.            Wurde bisher schon als JEFF-Virus erkannt bei SpeicherTest.
  4703.  
  4704.    - JEFF-BUTONIC V3.00/9.2.89   PrgFileVirus  Laenge: 2916 Bytes
  4705.             Name im Hauptverzeichnis: A0A0A0
  4706.             1.Zeile in startup. A0A0A0209B41
  4707.             DoIo, KickTag, KickCheckSum
  4708.             Vermehrung: jede nicht schreibgeschuetzte DOS-Disk mit startup
  4709.             Entfernung: 1.Zeile in startup loeschen
  4710.                         File in DfX: loeschen
  4711.                            Entschuesselungsroutine:
  4712.       entschluesselter Text:                       move.w #$013a,D0
  4713.          Hi.                                     loop:
  4714.          JEFF`s speaking here...                   move.w (A0)+,(a1)
  4715.          (w) by the genious BUTONIC.               eori.w #$b4ed,(A1)+
  4716.          usw. insgesamt ueber $270 Bytes Text      dbf D0, loop
  4717.        Nachtrag: entdeckter Spezialfall:
  4718.          Auszuege erzeugt mit VT/zZyl/druck
  4719.                     R-Zyl  Bl      2  FHeader ChS: ok
  4720.          0000: 00000002 00000372 00000001 00000000 .......r........
  4721.          0010: 00000374 753f2cf2 00000000 00000000 ...tu?,.........
  4722.               ;....nur Null
  4723.          0130: 00000000 00000374 00000000 00000000 .......t........
  4724.          0140: 00000000 00000004 00000000 00000000 ................
  4725.                         ^^^^^^^^=Taeuschlaenge
  4726.               ;....nur Null
  4727.          01a0: 00000000 0000014e 0000013b 00000511 .......N...;....
  4728.          01b0: 10737461 72747570 2d736571 75656e63 .startup-sequenc
  4729.          01c0: 65000000 00000000 00000000 00000000 e...............
  4730.          01d0: 00000000 00000000 00000000 00000000 ................
  4731.          01e0: 00000000 00000000 00000000 00000000 ................
  4732.          01f0: 00000000 00000371 00000000 fffffffd .......q........
  4733.                     R-Zyl  Bl      4  DATA-Bl ChS: ok
  4734.          0000: 00000008 00000372 00000001 0000000b .......r........
  4735.                                           ^^^^^^^^ = 11 = wirkliche Laenge
  4736.          0010: 00000000 c4404f07 a0a0a020 9b410a74 .....@O.... .A.t
  4737.                                                 ^^
  4738.          0020: 2e780a00 1819999f 99860700 001f9986 .x..............
  4739.                ^^^^^^ = Originalladeprogramm = t.x
  4740.       Ablauf: Es handelt sch um eine Spiele-Disk, bei der die startup-
  4741.          sequence nur aus einer Zeile mit dem Inhalt "t.x",0a - also
  4742.          vier Zeichen - bestand. Das Virusteil hat sich nun an den Anfang
  4743.          der startup gesetzt und die Filelaenge im FileHeader-Block
  4744.          (s.o. $372=882) NICHT geaendert. Im DataBlock (s.o. $374=884)
  4745.          steht aber $b = 11 .
  4746.          $a0,$a0,$a0,$20,$9b,$41,$0a = Virusteil = 7
  4747.          "t.x",$0a                   = LadePrg.  = 4    = 11
  4748.          Es wurde mehrfach ausprobiert. Das Virusteil wird gestartet
  4749.          und danach wird das Spiel gestartet.
  4750.          SID zeigt als Filelaenge 4 an. Wird nun ED gestartet und die
  4751.          1.Zeile geloescht (es wird NUR EINE Zeile geladen) und danach
  4752.          neu abgespeichert, so geht "t.x",0a VERLOREN !!!! Das Spiel
  4753.          wird nicht mehr geladen !!!!! Man kann den Virusnamen aber auch
  4754.          nicht einfach stehen lassen, weil dann die startup mit "Programm
  4755.          nicht gefunden" abgebrochen wird. Schauen Sie sich also bitte
  4756.          mit VT oder einem DiskMonitor (ein FileMonitor REICHT NICHT) das
  4757.          File Startup-Sequence genauer an. Die Blocklage der Startup-
  4758.          Sequence koennen Sie in BlockKette bestimmen (schalten Sie
  4759.          SeitenStopp ein).
  4760.  
  4761.    - JEFF-BV3.00Hunklab
  4762.          Fall 1:         File   Laenge ungepackt: 33704 Bytes
  4763.          An das Prg. SeekSpeed wurde mit Hunklab ein Jeff V3.00 ange-
  4764.          linkt. Wird im Speicher als Jeff V3 erkannt.
  4765.          VT bietet bei Filetest Ausbau an.
  4766.          Fall 2:         File   Laenge ungepackt: 9396 Bytes
  4767.          An das Prg. mount wurde mit Hunklab ein Jeff V3.00 ange-
  4768.          linkt. Wird im Speicher als Jeff V3 erkannt.
  4769.          VT bietet bei Filetest Ausbau an.
  4770.  
  4771.    - JEFF-BUTONIC V3.10   Filevirus   Laenge: 2916 Bytes
  4772.          lesen Sie Auswirkungen unter Jeff 3.00
  4773.          Programmcodeteile wurden verschoben (soll Anti-Viren-Prge wohl
  4774.          taeuschen ??) + codierte Texte geaendert: z.b. Sauf blos keinen
  4775.          Wodka! usw.   Codierung weiterhin:  eori.w #$b4ed,(a1)+
  4776.  
  4777.          Ursprungprogramm:
  4778.             *JEFF* VIRUSKILLER     Mastercruncher: 7368
  4779.                                          entpackt: 9064
  4780.             andere Namen: Jeff-Maker, Jeff-Remover
  4781.          taeuscht durch Texte Jeff-Suche vor, schreibt aber in Wirklich-
  4782.          keit JEFF 3.10 auf Disk in Df0:
  4783.          Virus gefunden - bitte warten
  4784.          Startup-Sequence desinfiziert
  4785.          und Virus beseitigt!           usw.
  4786.          In diesem Prg ist JEFF V3.10 codiert [ eori.b $FF,(a0)+ ] ent-
  4787.          halten.
  4788.  
  4789.   - JEFF-BUTONIC V3.20   Filevirus   Laenge 2900
  4790.          Jeff 3.0 Clone Beweis:codierter Text gleich
  4791.          Die 16 gewonnenen Bytes kommen z.B. von der Adressierungsaenderung
  4792.          .l in .w .
  4793.          Das VirusPrg laeuft zwar an und verbiegt die Vektoren, aber bei
  4794.          einem Diskwechsel kommt der GURU.
  4795.          Eine Vermehrung konnte also von mir NICHT erreicht werden. Also
  4796.          keiner Erwaehnung wert. Leider nicht. Dieses unsichtbare File
  4797.          wurde auf einer A3000-HD in c gefunden. Die Startup-sequence
  4798.          war modifiziert und verhinderte den ordnungsgemaessen Bootvorgang.
  4799.          Ein 2.Fall wurde im Feb. im Fido-Netz besprochen, wobei hier
  4800.          aber nur ueber die Vektoren geschrieben wurde und das namentliche
  4801.          Nicht-Erkennen des Prg.s .
  4802.          Da bei einer HD der Rootblock nicht mit $6e000 gefunden werden
  4803.          kann, darf es gar nicht zu einer Vermehrung kommen. Ich vermute
  4804.          deshalb, dass ein anderes Prg. die Installierung vornimmt. Der
  4805.          Prg.Name ist NICHT bekannt.  Stand:07.03.92
  4806.          Empfehlung: SOFORT loeschen und startup-seq. ueberpruefen.
  4807.  
  4808.    - JEFF-BUTONIC V4.55   Laenge:3408  JEFF-BUTONIC-V1.31-Clone
  4809.          (siehe oben)
  4810.  
  4811.    - Jeffkiller V2.67 Trojan    anderer Name: DIGITAL-DREAM-Inst.
  4812.          siehe oben
  4813.  
  4814.    - JINX-BB-Virus     1024 Bytes
  4815.          KickTag, KickCheckSum, SumKickData, BeginIo, Exec-Vec 5
  4816.          Speicherlage: abhaengig von SysStkLower und Wert aus $DFF007
  4817.          KS2.04: Ja
  4818.          Vermehrung: BB
  4819.          Decodiert mit "eori.b d0,(a0)+" ist im Speicher zu lesen:
  4820.            7badaba9 7a004a49 4e580074 7261636b {...z.JINX.track
  4821.            6469736b 2e646576 69636500 00000000 disk.device.....
  4822.  
  4823.    - JITR          Cool, DoIo, FastMem ja, im Speicher immer ab $7ec10
  4824.          Vermehrung: ueber BB
  4825.          Sonst keine Routine vorhanden !!!! VirusPrg. nur $200 Bytes lang.
  4826.          Im BB lesbar:
  4827.             I'm a safe virus! Don't kill me! I want to travel!
  4828.                And now a joke : ATARI ST
  4829.             This virus is a product of JITR
  4830.  
  4831.    - Joshua
  4832.       senkrechtstehender Text Joshua (ueber Graphikroutine)
  4833.       Begin, Kickmem, KickTag, KickCheck, Vec5
  4834.  
  4835.    - Joshua 2     anderer Name: Joshua3 oder Switch-Off
  4836.       Cold, Begin, Vec5
  4837.       hat Probleme mit einem Befehl im C-SubD. von WB1.3
  4838.       Bootblock jetzt verschluesselt:  loop: move.b (A0),D0
  4839.                                              eori.b #$18,D0
  4840.       das eor-Byte wechselt und steht auch   move.b D0,(A0)+
  4841.       an $3ff des BBs. Zu erkennen ist der   cmpa.l A1,A0
  4842.       Joshua 2 am Ende des BBs an der Byte-  bne loop
  4843.       folge, wobei sich aber das X je nach   rts
  4844.       eor-Byte aendert: .XX...XXX........XX.XX.XXXX...X.XX.
  4845.       die Punkte koennen auch durch andere Zeichen belegt sein
  4846.       Hinweis 17.07.93: In letzter Zeit wird wieder eine zunehmende
  4847.       Verseuchung der BBe mit Joshua2 beobachtet. Versuche an einem
  4848.       A600 (OHNE Speichererweiterung) haben gezeigt, dass das Teil
  4849.       bei der Installierung zwar mit einem GURU antwortet (wg.Vec5),
  4850.       nach einem Reset aber ueber COLD weiterhin im Speicher aktiv
  4851.       UND vermehrungsfaehig ist !!!!
  4852.  
  4853.    - Joshua 3    anderer Name und richtig: Joshua 2
  4854.       es existiert eine BB-Sammlung, die einen wirklichen ByteBandit
  4855.       (aufs Byte im Speicher) Joshua1 nennt. Hieraus ergibt sich
  4856.       dann eine falsche Nummer. Nachtrag: Diese BB-Sammlung wurde
  4857.       inzwischen (15.04.91) in diesem Punkt korrigiert !!
  4858.  
  4859.    - JoshuaKill.BB   siehe unten bei    erkannte Virenfinder
  4860.  
  4861.    - JT-Protec-Virus   sofort loeschen
  4862.       Versucht durch Texte zu taeuschen:
  4863.        00: 444f5300 766df475 00000370 61000072 DOS.vm.u...pa..r
  4864.              ;....                    ^^^^^^^^
  4865.        40: 4a542056 69727573 2050726f 74656374 JT Virus Protect
  4866.        50: 6f722031 2e30202d 20546869 73206973 or 1.0 - This is
  4867.        60: 20612063 7573746f 6d204242 2c20646f  a custom BB, do
  4868.        70: 204e4f54 206b696c 6c206d65 21140048  NOT kill me!..H
  4869.                                             ^^
  4870.        80: e7fffe61 0e4cdf7f ff4e7505 98000141 ...a.L..Nu....A
  4871.            ^^^^^^           ;......
  4872.            80808080 002d2042 61736564 206f6e20 .....- Based on
  4873.            74686520 47524541 54204242 2d766972 the GREAT BB-vir
  4874.            75737072 6f746563 746f7220 62792047 usprotector by G
  4875.            454f5247 20483052 4d414e21 2121202d EORG H0RMAN!!! -
  4876.       Zum Glueck ist die Version, die ich besitze NICHT lauf-
  4877.       faehig, da beim zusammensetzen des BBs ein Zaehlfehler unter-
  4878.       gekommen ist. Der Sprungbefehl trifft bei $80 auf einen un-
  4879.       gueltigen Befehl. Waere der Programmteil um 1 Byte verschoben
  4880.       und damit lauffaehig, so wuerde es sich um einen Coder-Clone
  4881.       handeln.
  4882.  
  4883.    - Julie   anderer Name Tick oder VIRUS PREDATOR
  4884.          immer $7f800, cool, DoIo, BeginIo und  $20
  4885.          arbeitet nicht sauber mit 1MB Chip
  4886.          testet einige Zeiger und drei Werte (z.B. auf $7ec00)
  4887.          Vermehrung: ohne Warnung ueber (nur ausfuehrbare) BB's
  4888.             decodiert mit not.b (a0)+ steht im Speicher:
  4889.                `  VIRUS PREDATOR  (4-88-SPAIN)  ID: 027798336  `
  4890.          also ist der Name Julie eigentlich falsch !!
  4891.  
  4892.    - KaKo-Virus   BB    Extreme-Clone  s.o.
  4893.          Unterschiede zu Extreme:
  4894.          - Rootblockzeiger ($00000370) ersetzt durch "KaKo"
  4895.            = Namensbegruendung
  4896.          - String "dos.library" im BB verlagert
  4897.          - String "intuition.library" im BB verlagert
  4898.          - DisplayAlert-Text jetzt Leerzeichen
  4899.          Rest siehe bei Extreme-Virus
  4900.          Wurde bisher schon als Virus erkannt im BB und im Speicher !!!
  4901.  
  4902.    - KaKoloadwb  File  Laenge: 2804 Bytes ungepackt  T.F.C.loadwb-Clone
  4903.          Aktiviert WB und installiert im Speicher KaKo-Virus-BB .
  4904.          Vermehrung nur als BB moeglich
  4905.          Unterschiede zu T.F.C :
  4906.          - Text am Fileanfang mit teilweise sinnlosen Zeichen ueber-
  4907.            schrieben. Es ist aber auch z.B. loadwb lesbar.
  4908.          - T.F.C.-BB durch KaKo-BB ersetzt.
  4909.          Wurde bisher schon als Virus erkannt bei FileTest und im
  4910.          Speicher !!!
  4911.  
  4912.    - Kauki   immer $7ec00, Cool, im Prg. $80, $84, $88
  4913.          im Prg. auch noch DoIo, schreibt aber spaeter im Prg DoIo von
  4914.          KS1.2 zurueck (nach Vermehrung)
  4915.          den meisten Platz brauchen die Chopperlisten. Das ChopperIntro
  4916.          laeuft auch mit KS1.3 . Kauki im BB nicht sichtbar.
  4917.  
  4918.    - Kefrens     SCA-Clone
  4919.          Text im BB:
  4920.                        Ohh noo!!!!
  4921.                I think something is wrong!
  4922.                    and even better...
  4923.                Some of your disks are sick
  4924.                        Watch out!
  4925.                        By Kefrens
  4926.                       offcourse!!!
  4927.  
  4928.    - Kefrens 2  wie Kefrens = SCA-Clone nur Text verschoben
  4929.  
  4930.    - KHOMEINI-Virus    MAD II  Clone  s.u.
  4931.          Nur Texte geaendert.
  4932.          Im BB ist uncodiert zu lesen:
  4933.            596f7572 20646973 6b287329 20686173 Your disk(s) has
  4934.            20626565 6e20706f 73736573 73656420  been possessed
  4935.            62792074 6865204b 484f4d45 494e4920 by the KHOMEINI
  4936.            56697275 73212121 21204576 656e2061 Virus!!!! Even a
  4937.            66746572 20686973 20646561 74682068 fter his death h
  4938.            65207461 6b657320 72657665 6e676521 e takes revenge!
  4939.            21212048 412d4841 2d48412d 48412020 !! HA-HA-HA-HA
  4940.  
  4941.    - KICK-Virus  SADDAM-Clone  wird von VT als SADDAM-Clone erkannt
  4942.          Blocklangwort: KICK
  4943.          Namensbegruendung: im Speicher ist decodiert zu lesen
  4944.            6b2e6465 76696365 00010820 204b4943 k.device...  KIC
  4945.            4b202056 49525553 00000000 03f30000 K  VIRUS........
  4946.            00000000 00010000 00000000 00000000 ................
  4947.            01c50000 03e90000 01c55573 65204b69 ..........Use Ki
  4948.            636b7374 61727420 312e322f 312e3300 ckstart 1.2/1.3.
  4949.            00000000 00000000 00000000 00000000 ................
  4950.          Use Kick... ist uncodiert im Disk-Validator-File zu lesen.
  4951.          Behandlung: siehe bei SADDAM     09.04.93
  4952.  
  4953.    - Killed Virus  BB  immer $7EC00, Cool $7EC92, DoIo $7ECCA
  4954.          KS2.04: ja   Fordert trackdisk.device NICHT
  4955.          Vermehrung und Schaden: BB
  4956.          Namensbegruendung: im BB zu lesen:
  4957.            72790020 4b696c6c 65642000 4ef90000 ry. Killed .N...
  4958.            0000ffff fdf6436f 70793a30 32390000 ......Copy:029..
  4959.          Beim Boot-Vorgang li.MT  Text ueber Graphik
  4960.             heller Hintergrund, dunkle Schrift
  4961.                  Copy:029
  4962.          Danach re. MT:  gleiche Farben:   Killed
  4963.  
  4964.    - KIMBLE.BB Virus  CREEPING EEL Clone siehe oben
  4965.          Vergleiche: Creeping EEL, Executors
  4966.          Nur Text geaendert: (im BB ist zu lesen)  
  4967.            002f0082 54686973 20697320 616e2041 ./..This is an A
  4968.            6e746976 69727573 3a202020 20200000 ntivirus:     ..
  4969.            001e00b4 4b204920 4d204220 4c204520 ....K I M B L E
  4970.            2043204f 204d2045 20532020 42204120  C O M E S  B A
  4971.            434b0000 003c00be 20205573 65206974 CK...<..  Use it
  4972.            2e2ea120 4b494d42 4c452021 20200000 ... KIMBLE !  ..
  4973.          Rest siehe oben bei Creeping EEL
  4974.  
  4975.    - KIMBLE.BB-Inst.  File   Laenge: 3212 Bytes
  4976.          Mit der Hunklab-Bootjob-Methode wurde der BB an den c-Befehl
  4977.          type angelinkt.  40.3 (11.4.94)  ??????
  4978.          Hunklab-Bootjob s.o.
  4979.          Die Wahrscheinlichkeit, dass ein LAUFFAEHIGER BB entsteht, ist
  4980.          gering.
  4981.          VT bietet Ausbau an.
  4982.  
  4983.  
  4984.  --------------------------------------------------------------------------
  4985.  
  4986.    Heiner Schneegold
  4987.    Am Steinert 8
  4988.    97246 Eibelstadt
  4989.    Deutschland
  4990.  
  4991.    Tel: 09303/8369
  4992.    (19.00 - 20.00 Uhr)
  4993.  
  4994.        
  4995.  Heiner
  4996.  
  4997.