home *** CD-ROM | disk | FTP | other *** search
/ Fresh Fish 5 / FreshFish_July-August1994.bin / bbs / util / vt-2.65.lha / VT-2.65 / VT.Dokumente / VT.kennt_L-Z < prev    next >
Encoding:
Text File  |  1994-06-19  |  227.4 KB  |  4,983 lines
  1.  
  2.     *************************************************************
  3.     *                                                           *
  4.     *  In eigener Sache:                                        *
  5.     *  Ich, Heiner Schneegold, habe als Programmierer von VT    *
  6.     *  NIE irgendwelche Rechte am Programm oder an den Texten   *
  7.     *  aufgegeben.                                              *
  8.     *  Deshalb lege ich fest:                                   *
  9.     *  VT und/oder VT-Texte duerfen weder ganz noch teilweise   *
  10.     *  auf einer SHI-SUPERKILLER-Disk oder einer anderen von    *
  11.     *  SHI herausgegebenen Disk veroeffentlicht werden.         *
  12.     *  Begruendung:                                             *
  13.     *  Trotz mehrmaliger Bitten um Abhilfe hat die Leitung von  *
  14.     *  SHI Icons ("kranker Computer") von VT abgeaendert, Pro-  *
  15.     *  grammteile und/oder Texte weggelassen. Dies entspricht   *
  16.     *  weder meinen Vorstellungen noch dem Freeware-Gedanken.   *
  17.     *  Eibelstadt, 17.12.93                                     *
  18.     *  Heiner Schneegold                                        *
  19.     *                                                           *
  20.     *************************************************************
  21.  
  22.  
  23.    VT2.65 kennt_L-Z:
  24.    =================
  25.                   (oder sollte erkennen)
  26.  
  27.    Stand: 18.06.94
  28.  
  29.    Heiner Schneegold
  30.    Am Steinert 8
  31.    97246 Eibelstadt
  32.    Deutschland
  33.    Tel. 09303/8369     (bitte nur 19.00 - 20.00 Uhr)
  34.  
  35.  
  36.    - L.A.D.S     DoIo, KickTag, KickCheckSum, immer $7F400
  37.          versucht eine Taeuschung durch DisplayAlert beim Booten:
  38.             (Text auch im BB lesbar)
  39.                        L.A.D.S Virus Hunter
  40.                         No virus in memory
  41.                       Press any mouse button
  42.          Entgegen der Aussage findet KEIN Virustest statt, sondern das
  43.          eigene Programm wird resetfest installiert.
  44.          Vermehrung: jeder BB einer Disk OHNE Rueckfrage
  45.          bei Wert 5 in der Zaehlzelle:
  46.          veraendert x- und y-Koordinaten bei Mausbewegungen
  47.          sobald die Zaehlzelle den Wert 8 erreicht:
  48.          ein Teil des Virusprogramms wird entschluesselt mit
  49.                         eori.b #$41,(a0)+
  50.          und mit DisplayAlert ausgegeben:
  51.                   AMIGA COMPUTING Presents:
  52.                       The GREMLIN Virus
  53.              All Code (c) 1989 By Simon Rockman
  54.  
  55.          Hinweis 17.11.92: siehe auch MKV-Filevirus
  56.  
  57.  
  58.    - Labtec-Trojan      File
  59.          Gefunden in: NoCare27.lha
  60.          NoCare Impl-gepackt Laenge: 13556 Bytes
  61.          NoCare entpackt Laenge:     28848 Bytes
  62.          Im entpackten File ist zu lesen:
  63.            65206461 792e004c 65742773 20647562 e day..Let's dub
  64.            20746869 73206f6e 652c2074 6865204c  this one, the L
  65.            61627465 63205669 7275732c 206f6b3f abtec Virus, ok?
  66.            00733a73 74617274 75702d73 65717565 .s:startup-seque
  67.            6e636500 733a6e6f 63617265 00633a6c nce.s:nocare.c:l
  68.            6f616477 6200733a 75736572 2d737461 oadwb.s:user-sta
  69.            72747570 00733a73 74617274 75706969 rtup.s:startupii
  70.            00633a6c 68610063 3a617263 00633a7a .c:lha.c:arc.c:z
  71.            6f6f0063 3a656e64 69660073 79733a77 oo.c:endif.sys:w
  72.            62737461 72747570 2f766972 75735f63 bstartup/virus_c
  73.            6865636b 65720073 79733a77 62737461 hecker.sys:wbsta
  74.            72747570 2f766972 75737a00 633a233f rtup/virusz.c:#?
  75.            00507265 73732041 4e59204b 65792054 .Press ANY Key T
  76.            6f20476f 20426163 6b20546f 20444f53 o Go Back To DOS
  77.          Keine Vermehrung.
  78.          Keine verbogenen Vektoren
  79.          KS1.3 : Aktivierung der Zerstoerungsroutine auf A2000 68000
  80.                  Chip- und Fastmem nicht gelungen.
  81.          KS2.04: Abhaengig vom Datum (13.5.) . Das Jahr scheint keine
  82.                  Rolle zu spielen. Die Zerstoerungsroutine konnte mit
  83.                  1993 und 1994 aktiviert werden.
  84.          Ablauf: Es werden Files geloescht (Namen s.o.). Das Loeschen
  85.                  des ganzen Unterverzeichnisses C (c:#?) konnte nicht
  86.                  nachvollzogen werden. Danach wird ein Text im Cli
  87.                  ausgegeben:
  88.        Hi there! It`s probably been awhile since you`ve seen one of these
  89.        - a virus!  usw.
  90.          Wenn Sie jetzt SOFORT ein Undelete-Prg. aufrufen, werden Sie
  91.          die verlorenen Files mit grosser Wahrscheinlichkeit zurueck-
  92.          holen koennen.
  93.          VT bietet loeschen des Trojan-Files an.
  94.  
  95.    - Lame Game Virus   BB   TimeBomb V1.0 Clone  siehe unten
  96.          Text fuer DisplayAlert:
  97.            144a4553 55532120 57686174 2061206c .JESUS! What a l
  98.            616d6520 67616d65 21204920 6a757374 ame game! I just
  99.            20686164 20746f20 464f524d 41542069  had to FORMAT i
  100.            74212121 21210001 00000000 42b90007 t!!!!!......B...
  101.  
  102.    - LameBlame!    anderer Name: Taipan-LameBlame
  103.          Cool, DoIo  auch KS2.04
  104.          BB codiert mit Wert aus $DFF006
  105.          Schaeden:
  106.          Vermehrung mit BB
  107.          sobald Zaehlzelle 8 erreicht hat:
  108.          DisplayAlert: LameBlame! by Tai-Pan usw.
  109.          sonst nichts
  110.          Herkunft: Virusinstall V2.0
  111.          siehe auch: Chaos, Taipan-Chaos, CHEATER HIJACKER, POLISH,
  112.  
  113.    - Lameralt    abcd bei $3a6    = Lamer! Exterminator
  114.          schreibt Lamer! in irgendeinen Block und da 2 Bytes uebrig bleiben
  115.          am Schluss noch !!.
  116.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  117.          Im Speicher decodiert mit:
  118.                ADD.B D1,(A0)
  119.                EOR.B D0,(A0)+
  120.          kann man lesen:
  121.            fffc4e75 74726163 6b646973 6b2e6465 ..Nutrackdisk.de
  122.            76696365 00005468 65204c41 4d455220 vice..The LAMER
  123.            45787465 726d696e 61746f72 20212121 Exterminator !!!
  124.          Zerstoerter Block:
  125.            Block:    1348
  126.            4c616d65 72214c61 6d657221 4c616d65 Lamer!Lamer!Lame
  127.            72214c61 6d657221 4c616d65 72212121 r!Lamer!Lamer!La
  128.               ;......
  129.            4c616d65 72214c61 6d657221 4c616d65 Lamer!Lamer!Lame
  130.            72214c61 6d657221 4c616d65 72212121 r!Lamer!Lamer!!!
  131.          Der Block kann NICHT gerettet werden. Ein File das diesen
  132.          Block vorher belegt hat ist VERLOREN !
  133.  
  134.    - Lamerneu    abcd bei $396    = LAMER! Exterminator
  135.          schreibt LAMER! in irgendeinen Block und da 2 Bytes uebrig bleiben
  136.          am Schluss noch !!
  137.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  138.          decodiert in den Speicher mit:
  139.             EOR.B D0,(A0)+
  140.          d.h. der add-Befehl s.o. fehlt
  141.  
  142.    - Lamer1      fedc bei $342
  143.          schreibt LAMER
  144.          Begin, KickTag, KickCheckSum
  145.    - Lamer2      abcd bei $392
  146.          schreibt LAMER
  147.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData 
  148.    - Lamer3      abcd bei $3f4
  149.          (OrigBB in 2 u. 3)
  150.          Fastmem ja, Begin, KickTag, KickCheckSum, SumKickData
  151.  
  152.    - Lamer4      abcd bei $3ae
  153.       BeginIo, KickTag, KickCheckSum und SumKickData
  154.       Vermehrung: ueber BB
  155.       KS1.3: ja
  156.       Fastmem: nein
  157.       KS2.04: nicht gelungen
  158.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  159.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  160.          mit $DFF006 ermittelt.
  161.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  162.       schluesselungsByte wird mit $DFF007 festgelegt.
  163.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt.
  164.       Clone: siehe bei STARCOMReturn
  165.  
  166.    - Lamer5      abcd bei $3aa   FastMem ja
  167.       BeginIo, KickTag, KickCheckSum und SumKickData
  168.       Vermehrung: ueber BB
  169.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  170.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  171.          mit $DFF006 ermittelt.
  172.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  173.       schluesselungsByte wird mit $DFF007 festgelegt.
  174.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  175.  
  176.    - Lamer6      abcd bei $396   FastMem ja
  177.                   aehnlich Lamerneu Unterschied 48Bytes
  178.       BeginIo, KickTag, KickCheckSum und SumKickData
  179.       Vermehrung: ueber BB
  180.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  181.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  182.          mit $DFF006 ermittelt.
  183.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  184.       schluesselungsByte wird mit $DFF007 festgelegt.
  185.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  186.       zusaetzlich im Prg. noch Remove Node, Test auf Cool u. Cold .
  187.       Clone: STARCOM 4 siehe unten
  188.  
  189.    - Lamer7     andere Namen: Selfwriter, Pseudoselfwriter
  190.       keine signifikante Endekennung, Laenge BB $3BD,
  191.       BeginIo, KickTag, KickCheckSum
  192.       Vermehrung: ueber BB
  193.       Zerstoerung: ueberschreibt einen Block mit 85 x Lamer! und da
  194.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  195.          mit $DFF006 ermittelt.
  196.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  197.       schluesselungsByte wird mit $DFF007 festgelegt.
  198.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  199.       und !!!! mit allocabs eingetragen. (machen andere Lamer nicht)
  200.  
  201.    - Lamer8    keine Endekennung
  202.       BeginIo, KickTag, KickCheckSum, SumKickData
  203.       Vermehrung: ueber BB
  204.       Schaden: Format alle LW
  205.       Ein neuer BB wird wieder verschluesselt mit eori.w . Das Ver-
  206.       schluesselungswort wird mit $dff006 festgelegt.
  207.       BB ist verschluesselt von $3e bis $3cc
  208.  
  209.    - LamerBBdefekt  BB   Empfehlung: sofort loeschen
  210.       Typ A:
  211.          Immer Guru. BB-CheckSum falsch. In eor-Schleife herumgepfuscht
  212.       Typ B:
  213.          Immer GURU. Code im BB um mehrere Bytes verschoben. trackdisk.
  214.          device und LAMER am Schluss zu lesen.
  215.       Wahrscheinlich gibt noch mehr ????
  216.  
  217.    - LAMER8-File   haengt an VirusX  Laenge: 13192 Bytes
  218.       Wird im Speicher von VT als LAMER8 erkannt und entfernt.
  219.       Wichtig:
  220.       VirusX erkennt LAMER8 im Speicher NICHT !!!!!
  221.       Vermehrung:
  222.       NUR als LAMER8-Bootblock moeglich, NICHT als Linkfile !!!!
  223.       Deshalb in FileTest nur Loeschangebot.
  224.  
  225.    - Lamer! Exterminator-File  gepackt: 2260 Bytes (Zahl stimmt)
  226.                              ungepackt: 1824 Bytes
  227.       KS2.04: Ja
  228.       Verbogene Vektoren: siehe oben
  229.       Tarnung:
  230.       Fuehrt neben Installierung von Lameralt.BB im Speicher auch den
  231.       endcli-Befehl (KS1.3) aus. Aenderung gegenueber OrigBefehl:
  232.       process wird zu task, 2 Werte $52 werden zu $51
  233.       Vermehrung:
  234.       NUR als Lameralt-Bootblock moeglich, NICHT als Linkfile !!!!
  235.       Da jeder den endcli-Befehl in c hat (KS2.04 nicht mehr), gibt
  236.       es in FileTest nur Loeschangebot. Danach bitte von OrigWB endcli
  237.       nach c neu kopieren.
  238.       VT kennt: 16.10.92
  239.  
  240.       Hinweis:
  241.       Es wird ein "Lamer"-Bootblock weitergegeben, bei dem Lamer
  242.       Exterminator im BB zu lesen ist. Dieser BB ist NICHT bootfaehig
  243.       und wird deshalb von VT nur als  Nicht-Standard-BB erkannt.
  244.  
  245.    - Lamer-LoadWB  FileVirus Laenge: 4172 Bytes
  246.       KickTag, KickCheckSum, SumKickData, BeginIo
  247.       in SubDir c
  248.       in LoadWB sichtbar: The LAMER Exterminator !!!
  249.       Virus haengt vor dem LoadWB-Teil
  250.       schreibt zuerst das Virusprogramm in den Speicher und fuehrt dann
  251.       den LoadWB-Befehl aus.
  252.       Kann sich nicht als LoadWb vermehren, sondern schreibt einen
  253.       Lamer-BB
  254.  
  255.    - Lamer Bomb     anderer Name: Gotcha LAMER   s.o.
  256.  
  257.    - Laurin-Virus  SADDAM-Clone  Wird von VT als SADDAM-Clone erkannt.
  258.       Blocklangwort: $a0a0a0a0
  259.       Namensbegruendung: im Speicher ist decodiert zu lesen
  260.            74726163 6B646973 6B2E6465 76696365 trackdisk.device
  261.            00010820 4C617572 696E2056 69727573 ... Laurin Virus
  262.       Behandlung: siehe bei SADDAM
  263.  
  264.  
  265.    - le RoLE   franz. Name fuer Return of The Lamer Exterminator  s.u.
  266.  
  267.    - LEVIATHAN-Virus  BB und File (Laenge 1056 Bytes)
  268.          Cool $7F89A  nach Reset: DoIo $7FAB4  OldOpenLib $7F8E2
  269.          KS1.3 : ja  KS2.04 : nach RESET Endlosreset (Computer ausschalten)
  270.          Fordert trackdisk.device NICHT
  271.          Namensbegruendung: im BB und im File ist zu lesen:
  272.           -=- LEVIATHAN -=-
  273.          Vermehrung und Schaeden:
  274.          Beim ersten Start des Programms wird nur Cool verbogen. Nach
  275.          einem Reset werden dann DoIo und OldOpenLib verbogen.
  276.          Vermehrung als BB:
  277.          Findet mit verbogenen DoIo statt, wenn ein lesender Zugriff
  278.          auf Block 880 (nur bei DD-Disk Rootblock) stattfindet. Das
  279.          Virusteil wird nach $7F000 kopiert und einige NOPs durch den
  280.          BB-Header ersetzt.
  281.          Abhilfe: neuen Original-BB mit VT aufkopieren.
  282.          Vermehrung als File:
  283.          Findet mit verbogenem OldOpenLib-Vektor immer auf sys: statt.
  284.          Es wird ein Test auf schon verseucht durchgefuehrt.
  285.             79007379 733a732f 73746172 7475702d y.sys:s/startup-
  286.             73657175 656e6365 00007379 733a732f sequence..sys:s/
  287.             c0000000 03f30000 00000000 00010000 ................
  288.          Die erste Zeile der s-seq wird eingefuegt:
  289.          startup-sequence Original:
  290.             636c730a 0a000000 00000000 00000000 cls.............
  291.          startup-sequence verseucht:
  292.             732fc00a 636c730a 0a000000 00000000 s/..cls.........
  293.          Das Virusprogramm selbst wird nach s mit Namen $C0 kopiert
  294.          (siehe oben). Laenge des Virusfiles 1056 Bytes. Der File-
  295.          name ist als Sonderbuchstabe A sichtbar.
  296.          Abhilfe: Loeschen Sie mit VT das Virusfile in s .
  297.                   Vergessen Sie bitte nicht mit einem Editor, die
  298.                   erste Zeile in der Startup-Sequence zu loeschen.
  299.          Allgemein:
  300.          Sowohl mit dem BB als auch mit dem File waren BEIDE Ver-
  301.          seuchungstypen zu erreichen.
  302.          Im Virus steckt noch ein codierter Text, der NIE erreicht
  303.          wird:
  304.             005e4611 0a190027 51c8fff8 594f5520 .^F....'Q...YOU
  305.             41524520 54484520 4f574e45 52204f46 ARE THE OWNER OF
  306.             2041204e 45572047 454e4552 4154494f  A NEW GENERATIO
  307.             4e204f46 20564952 55532120 49542046 N OF VIRUS! IT F
  308.             55434b53 20594f55 52205354 41525455 UCKS YOUR STARTU
  309.             502d5345 5155454e 43452120 48415645 P-SEQUENCE! HAVE
  310.             2046554e 2e2e2e2e 20000000           FUN.... ...
  311.  
  312.    - LHACHECK-BBS-Trojan     Laenge ungepackt: 3836 Bytes
  313.          Einbruchswerkzeug   Keine verbogenen Vektoren
  314.          Keine Vermehrung
  315.          Soll nach Text im File (usage):
  316.              - defekte Lha-Archive erkennen und loeschen
  317.              - BBS-Adverts anhaengen oder loeschen
  318.          Im File ist weiter zu lesen:
  319.             00322456 45523a20 4c484143 4845434b .2$VER: LHACHECK
  320.             20312e31 20283139 2e30322e 39342920  1.1 (19.02.94)
  321.             62792042 6c616465 2f4e6f43 7261636b by Blade/NoCrack
  322.                ;......
  323.             0000474f 442d4642 54522e4c 48410000 ..GOD-FBTR.LHA..
  324.          Decodiert mit  eor.l d0,(a0)+  kann man dann aber auch noch
  325.          lesen:
  326.             536e6f6f 70446f73 0052414d 3a4d312e SnoopDos.RAM:M1.
  327.             44415800 4242533a 55534552 2e444154 DAX.BBS:USER.DAT
  328.             41000000 00000000 00000000 00000000 A...............
  329.          Das Trojan-Teil startet nicht, falls SnoopDos gefunden wird.
  330.          Es wird dann nur der LHACHECK-Teil ausgefuehrt.
  331.          VT bietet Loeschen an.
  332.          Ein Ausbau ist nicht moeglich, da das Trojan-Teil eingearbeitet
  333.          ist. Besorgen Sie sich bitte das Original-LHACHECK-File, falls
  334.          es das Teil gibt.
  335.  
  336.    - Liberator virus v1.21  anderer Name: MemCheck s.u.
  337.  
  338.    - Liberator Virus V3.0  Laenge: ungepackt 10712 (ich hab nur die un-
  339.          gepackte Version, deshalb erkennt VT auch nur das ungepackte
  340.          File !!!)
  341.          Namensbegruendung: s.u.
  342.          KS2.04: JA    68030: JA
  343.          bleibt NICHT im Speicher nach Aenderung von .fastdir .
  344.          Richtiger Name fuer das File: cv
  345.          Versucht durch Cli-Ausgabe zu taeuschen:
  346. Check Vectors rev 5.1  All Rights Reserved  more TUPperware © by Mike Hansell
  347. Reset vectors ok, Nothing resident, Trackdisk.device not intercepted,
  348. DoIO ok, VBlank ok, dos.library not intercepted.
  349. System appears to be free of viruses and trojans!
  350.  
  351.          Legt in Wirklichkeit .fastdir an (bei mir auf 3 SCSI-HD in einem
  352.          Durchlauf). Laenge: 2/3 Bytes . Startwert auf allen Festplatten
  353.          in .fastdir  $310a = 1 Return  . Hinweis: .fastdir hat danach im
  354.          Namen noch 2 leerzeichen ($20)  Auszug aus FileheaderBlock:
  355.                   0         0         0 ............
  356.                13f1       3d5       484 ............
  357.             a2e6661  73746469  72202000 ..fastdir  .
  358.                   0         0         0 ............
  359.  
  360.  
  361.          Schreibt in :s/startup-sequence: cv >NIL:
  362.             in DH0 bei mir (Auszug):
  363.           execute s:startup-sequence2
  364.           cv >NIL:        ;also fast am Schluss !!!!
  365.           endcli >NIL:
  366.  
  367.               DH1 bei mir= Wechselplatte zu der Zeit nicht gemounted
  368.  
  369.            in DH2 bei mir (AusZug):
  370.           LoadWB
  371.           cv >NIL:        ;also fast am Schluss !!!!!
  372.           EndCLI >NIL:
  373.  
  374.            in DH3 bei mir:
  375.           LoadWB -debug
  376.           cv >NIL:        ;also fast am Schluss !!!!!
  377.           endcli >NIL:
  378.          Es wurden ALLE 3 s-seq in EINEM Durchgang veraendert !!!!
  379.          MUESSEN Sie also nach dem Entfernen des VirusFiles AUCH loeschen
  380.          Das Virus-File cv wird NICHT kopiert !!!
  381.          Beim naechsten Start (vgl. s-seq) wird der Wert in .fastdir er-
  382.          hoeht. Auszug:
  383.                0000: 320A                                2.
  384.          spaeter wird .fastfile-Laenge von 2 auf 3 und dann auf 4 Bytes
  385.          erhoeht. Sobald erreicht ist: 3130300a = #100 wird ein Text
  386.          ausgegeben:
  387.   Congratulations your hard disk has been liberated of virus protection!!
  388.  
  389.          Hello from the Liberator virus v3.0 - Digital Deviant
  390.  
  391.                     The anti-anti-virus is here again!
  392.  
  393.                       Lets play trash the hard disk
  394.                          and ram the disk heads
  395.  
  396.                       Only hardcore belgian rave can
  397.                         truely liberate the mind!
  398.  
  399.                         The liberator 15/01/92
  400.  
  401.     Empfehlung: Liberator 3 und .fastdir loeschen . s.-seq in den
  402.                     den Ursprungszustand zuruecksetzen.
  403.         Hinweis: Durch die Virus-Programmierung kann es passieren, dass
  404.         nach der Aktivierung Locks auf .fastdir noch bestehen. VirusPrg
  405.         gibt den lock nicht frei. Diese Gefahr besteht nur, wenn sich
  406.         das aktive VirusPrg ueber ihre BootDisk (s-seq) gestartet hat.
  407.         VT meldet dann beim Loeschversuch DOS-Fehler. Entfernen Sie
  408.         dann bitte die Zeile aus der s-seq und booten Sie neu. Da das
  409.         VirusPrg nicht mehr aktiviert wird, koennen keine locks mehr
  410.         entstehen und das Loeschen der Virus-Files MUSS moeglich sein.
  411.         Fileerkennung mit VT getestet: 18.10.92
  412.  
  413.    - Liberator Virus V5.01
  414.          Laenge: Impl4      7828
  415.          Laenge: ungepackt 16924
  416.          Weiterentwicklung von V3.0 (sehr viele source-Teile gleich)
  417.          Der "richtige" Name duerfte PV (s.u.) sein.
  418.          Liberator-Namensbegruendung s.u.
  419.  
  420.          Versucht durch Cli-Ausgabe zu taeuschen:
  421.   PV(Protect Vectors) v1.02 by Peter Stuer
  422.   July 22, 1992 FREEWARE
  423.  
  424.   Reset vectors ok, Nothing resident, Trackdisk.device not intercepted,
  425.   DoIO ok, VBlank ok, low interrupts ok, dos.library not intercepted.
  426.  
  427.   monitoring vectors...
  428.  
  429.   Fully Kickstartv2.xx compatible, stops all viruses, checks disk-validators,
  430.   Use run to push this program into the background.
  431.  
  432.     Die Tests wurden mit df0: und df1: durchgefuehrt.
  433.     Nach der Cli-Ausgabe wird gesucht und nach df1: kopiert
  434.          :c/run, :c/br  (runback), :s/.info (nach o ein Leerzeichen = $20)
  435.          .info-Laenge: 4 Bytes, .info-Startinhalt bei mir: $00000064
  436.          Hinweis: Sie MUESSEN also neben dem eigentlichen Virusfile auch
  437.          .info in s loeschen.
  438.          Kopiert :c/PV . Dabei wird IMMER der letzte Buchstabe des Files
  439.          zufallsbedingt geaendert (also aus PV wird Pe oder Pb usw.) .
  440.          Vermutlich um die Erkennung ueber Filenamen unmoeglich zu
  441.          machen. Auf Disk wurde KEIN .fastdir angelegt.
  442.          Aendert die s.-seq . (MUESSEN Sie von Hand zuruecksetzen)
  443.           vorher:
  444.                cls
  445.           nach Befall:
  446.                br c:pe
  447.                cls
  448.         Nachtrag 01.12.93: Es liegt jetzt eine komplette Disk (PD-England)
  449.         vor (mit stars). Dank an den deutschen Zusender.
  450.         Tests wurden mit HD0: durchgefuehrt.
  451.         In das Rootverzeichnis wird ".fastdir",A0,20 (4 Bytes) kopiert.
  452.         Nach S wird ".info",20 (4 Bytes) kopiert.
  453.         Nach C wird kopiert:
  454.             - run  (2568)  bitte loeschen
  455.             - br   (948)   bitte loeschen
  456.             - pvx  (7828)  wird von VT erkannt
  457.         Die Aenderung des 3. Buchstaben wurde mehrfach nachvollzogen.
  458.         Aber es gibt immer noch die alte Disk (s.o.) und falls von
  459.         dieser Disk der Lib 5.01 aktiviert wird, so wird weiterhin der
  460.         2. Buchstabe geaendert !!!!
  461.         Nachweis:
  462.         Fileheaderblock Virusteil:
  463.         alte Version:  (Filename immer nur 2 Buchstaben)
  464.           01a0: 00000000 000014c8 0000027f 00000491 ...............
  465.           01b0: 02706200 00000000 00000000 00000000 .pb.............
  466.                 ^^
  467.           01c0: 00000000 00000000 00000000 00000000 ................
  468.         neue (gepackte) Version:  (Filename immer 3 Buchstaben)
  469.           01a0: 00000000 000016c2 00000408 000000b1 ................
  470.           01b0: 03707678 00000000 00000000 00000000 .pvx............
  471.                 ^^
  472.           01c0: 00000000 00000000 00000000 00000000 ................
  473.  
  474.         Aenderungen alle Versionen:
  475.         Aendert die s.-seq.:
  476.         vorher:
  477.            ;....
  478.            C:SetPatch QUIET
  479.            C:Version >NIL:
  480.            ;....
  481.         nachher:
  482.            ;....
  483.            C:SetPatch QUIET
  484.            br c:pvs
  485.            C:Version >NIL:
  486.            ;....
  487.         d.h. die Zeile wird variabel eingesetzt und nicht immer als
  488.              1. Zeile
  489.  
  490.         WICHTIG !!!!!  WICHTIG !!!!!
  491.         Aendert die Shell-Startup (falls vorhanden):
  492.         vorher:
  493.              ;......
  494.              Prompt "%N.%S> "
  495.              Alias Clear "Echo *"*E[0;0H*E[J*" "
  496.              Alias XCopy "Copy CLONE "
  497.              ;......
  498.         nachher:
  499.              ;......
  500.              Prompt "%N.%S> "
  501.              Alias Clear "Echo *"*E[0;0H*E[J*" "
  502.              Alias XCopy "Copy CLONE "
  503.              ;liberatorV - controlling me!
  504.              alias copy delete
  505.              alias delete "echo *"No file to delete, can't find*""
  506.              ;......
  507.         MERKE !!!!!!
  508.         Falls Sie von einem Medium mit dieser Shell-Startup gebootet
  509.         haben, genuegt es NICHT, nur die Zeilen aus der Shell-Startup
  510.         zu entfernen und neu abzuspeichern. Durch die Abarbeitung der
  511.         Shell-Startup wurde im Computer der copy-Befehl bereits durch
  512.         den delete-Befehl ersetzt. Sie MUESSEN einen Reset ausfuehren,
  513.         um die Abarbeitung der NEUEN RICHTIGEN Shell-Startup zu er-
  514.         zwingen !!!!!!!!
  515.  
  516.          Das VirusFile enthaelt noch folgenden Text:
  517.      Congratulations this disk has been liberated of virus protection!!
  518.  
  519.           Hello from the Liberator virus v5.01 - Random Disaster
  520.  
  521.                    The anti-anti-virus is here again!
  522.  
  523.                      Lets play trash the hard disk
  524.                         and ram the disk heads
  525.  
  526.                            The piracy curse
  527.                    Liberator V - The future is near.
  528.  
  529.           Look out for Liberator VI - The final nightmare ...
  530.                coming soon from a lame swapper near you!
  531.  
  532.      Respect to the virus masters Lamer Exterminator,crime & Contrast.
  533.  
  534.                And remember - be excellent to each other!
  535.  
  536.                          The liberator 27/07/92
  537.                            Virus Generation :
  538.  
  539.     Diesen Text habe ich auf dem Bildschirm im Gegensatz zu Lib 3
  540.         NICHT gesehen. 
  541.         Empfehlung: Liberator 5, .info loeschen, s.-seq. UND shell-start-
  542.         up (falls vorhanden) aendern .
  543.         Hinweis: Durch die Virus-Programmierung kann es passieren, dass
  544.         nach der Aktivierung Locks auf s/.info und .fastdir noch bestehen.
  545.         VirusPrg gibt den lock nicht frei. Diese Gefahr besteht nur, wenn
  546.         sich das aktive VirusPrg ueber ihre BootDisk (s-seq) gestartet hat.
  547.         VT meldet dann beim Loeschversuch DOS-Fehler. Entfernen Sie
  548.         dann bitte die Zeile aus der s-seq und booten Sie neu. Da das
  549.         VirusPrg nicht mehr aktiviert wird, koennen keine locks mehr
  550.         entstehen und das Loeschen der Virus-Files MUSS moeglich sein.
  551.         Fileerkennung mit VT getestet:         18.10.92
  552.         Fileerkennung gepackt mit VT getestet: 01.12.93
  553.         VT versucht auch .info und .fastdir zu loeschen. Geht aber nicht,
  554.         wenn locks vorhanden sind.
  555.         Speichererkennung mit VT getestet:     01.12.93
  556.         VT versucht den Process abzuschalten. In VT/Listen/Tasks darf
  557.         "Background CLI [c:pxy]" nicht mehr auftauchen. Sie muessen aller-
  558.         dings mit einem GURU rechnen. Lieber ist es mir, wenn Sie in
  559.         VT/Tools einen KReset ausloesen !!!!!
  560.  
  561.    - LinkEm-Link  File
  562.         Lauffaehigkeit: wahrscheinlich nur KS1.3
  563.         VT glaubt ein File gefunden zu haben, bei dem mehrere Files mit
  564.         dem Programm LinkEm zusammengesetzt wurden.
  565.         VT empfiehlt Loeschen
  566.  
  567.    - Little Sven  BB   anderer Name: Cameleon, Chameleon
  568.          BB ist codiert (immer neu !!).
  569.          Ein Teil der Codierung: eor.b d1,(a0)+
  570.          Decodiert ist im Speicher zu lesen:
  571.             The Curse of Little Sven!
  572.          Cool, BeginIo, Supervisor, DisplayAlert im Programm dann: DoIo,
  573.          FreeSignal
  574.  
  575.          Vermehrung: BB
  576.  
  577.          Schaeden:
  578.          - Codiert FileDatenBloecke  Kennung: $ABCD0008
  579.          (Langwort 0 eines Blocks)
  580.          Die Programme laufen, solange Little Sven im Speicher aktiv ist.
  581.          Abhilfe: VT kann diese Datenbloecke decodieren. Falls Sie also
  582.          beim FileTest oder BlockKetteTest den Requester Little Sven
  583.          erhalten, brechen Sie bitte ab und starten BlockITest .
  584.          - Verschiebt den Original-Bootblock codiert nach Block2+3.
  585.            VT kann dies rueckgaengig machen (klicken Sie auf O-BB.
  586.            Dieses Gadget war frueher Lam3 und schreiben Sie den BB zurueck).
  587.            A B E R  !!!!!!!!
  588.            Falls Block 2+3 vorher von einem File belegt war, so wurden
  589.            durch das Virusprogramm 2 Datenbloecke zerstoert. Das File
  590.            ist unbrauchbar. Es ist KEINE Rettung moeglich. VT sollte
  591.            bei BlockKetteTest b.T.Data Block 2 zeigen. Oeffnen Sie
  592.            den FileRequester (Sp-File-Sp) und loeschen Sie das File.
  593.          - Enthaelt eine Routine, die 80 Steps nach innen ausfuehrt und
  594.            dabei Daten schreibt. Diese Routine habe ich NICHT erreicht
  595.            bei Tests. Alle Daten auf der Disk waeren dann unbrauchbar ???
  596.          Wird erzeugt beim Starten von XCopyPro V6.5  (Laenge:28336)
  597.          und kopiert sich dann weiter.
  598.          Hinweis: im April 92 lag die OrigVersionsNr. von Xcopy erst
  599.             bei 5.2x (glaub ich).
  600.          Gefunden in: xcopy65e.lha  Laenge: 25360
  601.  
  602.    - LOGIC BOMB   anderer Name: PARADOX I   s.d.
  603.  
  604.    - LOOK-BBS-Trojan  Name uebernommen nicht nachvollziehbar im Speicher
  605.          Laenge gepackt:  1392 Bytes
  606.          Laenge entpackt: 1456 Bytes
  607.          Verbogener Vektor: Cool auf Endlos-Farbroutine NACH DisplayAlert
  608.          Keine Vermehrungsroutine
  609.          Wahrscheinlich von CONMAN.
  610.          Im entpackten File ist zu lesen:              
  611.            00000000 00536e6f 6f70446f 7300646f .....SnoopDos.do
  612.            732e6c69 62726172 79004155 583a0042 s.library.AUX:.B
  613.            42533a55 5345522e 44415441 00434f4e BS:USER.DATA.CON
  614.            3a302f30 2f333230 2f313030 2f524541 :0/0/320/100/REA
  615.            444d4521 004e494c 3a00433a 4d4f554e DME!.NIL:.C:MOUN
  616.            54204155 583a0000 0c200a20 0a1b5b32 T AUX:... . ..[2
  617.          Gefahr nur fuer Mailbox-Betreiber.
  618.          Empfehlung loeschen.
  619.          Sucht nach SnoopDos.
  620.          Versucht AUX anzumelden Nein dann Ende
  621.          Schreibt aus USER.DATA Teile nach AUX:
  622.          Wahrscheinlich ein Einbruchsversuch.
  623.          Oeffnet zur Taeuschung ein Fenster und gibt Reset-Text aus:
  624.            0a1b5b32 3b316d1b 5b3b3432 6d20506c ..[2;1m.[;42m Pl
  625.            65617365 20576169 74202121 21202020 ease Wait !!!
  626.            1b5b306d 0a1b5b32 3b316d1b 5b3b3432 .[0m..[2;1m.[;42
  627.            6d204c6f 6164696e 67204441 54412e2e m Loading DATA..
  628.              ;.....
  629.            534f5252 59204d49 5353494e 47204441 SORRY MISSING DA
  630.            54412046 494c4520 32202120 504c4541 TA FILE 2 ! PLEA
  631.            53452052 45424f4f 54202121 21201b5b SE REBOOT !!! .[
  632.          Wem das noch nicht reicht, bekommt noch einen DisplayAlert
  633.          Text angeboten: FATAL HARDWARE ERROR  usw. und eine Endlos-
  634.          schleife (s.o.) .
  635.  
  636.  
  637.    - LOOP-COMBO-Virus     File  Laenge: 1848 Bytes
  638.          Auf Disk als Disk-Validator getarnt
  639.          KS 1.3: ja
  640.          KS 2.0: nein
  641.          Vermehrung: nein   reines Zerstoerungsprogramm
  642.          Im File ist an $490 uncodiert zu lesen:   
  643.            00242429 000c222a 02d07041 6e642041 .$$).."*..pAnd A
  644.            6761696e 20467563 6b656420 75702100 gain Fucked up!.
  645.          Decodiert mit eori.b d1,(a1)+ ist im File zu lesen:
  646.            144d4954 204d4952 204e4943 48542c20 .MIT MIR NICHT,
  647.            44552041 46464520 21212121 21000100 DU AFFE !!!!!...
  648.            0a1e5645 52535543 4860204c 49454245 ..VERSUCH` LIEBE
  649.            52204d41 4c204549 4e454e20 4c4f4f50 R MAL EINEN LOOP
  650.            2d434f4d 424f2121 0001000a 284f4445 -COMBO!!....(ODE
  651.                  usw.
  652.          Schaden:
  653.          Sobald unter KS 1.3 eine Disk mit ungueltigem BitMapZeiger
  654.          eingelegt wird, wird das Teil gestartet.
  655.          Kopfstep Disk danach bad
  656.          Versuchen Sie mit Disksalve noch etwas zu retten.
  657.          Textausgabe mit DisplayAlert .
  658.          Loeschen Sie bitte unbedingt das Teil auch wenn SIE schon
  659.          KS 2.0 oder mehr haben. Falls Sie so eine Disk weitergeben
  660.          kann sonst ihr Bekannter mit Ks1.3 eine boese Ueberraschung
  661.          erleben. Spielen Sie bitte auch einen sauberen Disk-Validator
  662.          auf. Danke
  663.  
  664.    - LOVEMACHINE-Virus  BB  Warhawk-Clone  s.u.
  665.            44452042 59202020 4c204f20 56204520 DE BY   L O V E
  666.            4d204120 43204820 49204e20 45273930 M A C H I N E'90
  667.  
  668.    - LSD!      (noch ein SCA!)
  669.  
  670.    - lummin-Virus  File  siehe unten bei XaCa-Virus
  671.  
  672.    - LUPO-Virus   File   Nano-Clone  s.u.
  673.               Laenge PP gepackt: 1420 Bytes
  674.               Laenge ungepackt : 1484 Bytes
  675.       Name des Files VOR der Vermehrung wahrscheinlich memclear
  676.       Namensbegruendung: s.u.
  677.       Unterschiede zu Nano:
  678.           - anderer Text
  679.           - unsichtbarer Filename soll " " sein
  680.        Eine Meisterleistung !!!!!
  681.            3a200000 00000000 3a732f73 74617274 : ......:s/start
  682.            ^^^^^^
  683.            75702d73 65717565 6e636500 20000000 up-sequence. ...
  684.            0000200a 00c80a2e 2e2e6120 6e657720 .. .......a new
  685.            76697275 73207275 6e6e6572 2066726f virus runner fro
  686.            6d204c20 55205020 4f202120 2000140a m L U P O !  ...
  687.  
  688.              ^^ = ": ",0 = unsichtbarer Filename fuer Root
  689.       Die Vermehrung von LUPO findet UNGEPACKT statt !!! 
  690.       Weiterhin ist bemerkenswert, dass in die startup-sequence eine
  691.       Zeile mit einem Leerzeichen und return eingebaut werden soll. Nach
  692.       meinem Wissensstand wird ein normales Leerzeichen in der startup-
  693.       sequence nicht als Filename , sondern als Leerzeile behandelt.
  694.       Also wird das vermehrte Virusteil NIE aufgerufen.
  695.       Speichererkennung von VT: als LUPO
  696.       Fileerkennung von VT    : als NANO   mehr ist die Sache nicht wert.
  697.  
  698.    - LZ-Virus
  699.       Linkvirus, verlaengert ein File um 400 Bytes
  700.       testet Hauptversionsnummer der dos.library, falls groesser 34 oder
  701.       kleiner 33 keine Aktivierung, verbiegt GlobVec 06 = Write
  702.       linkt sich hinter CodeHunk (meist 1.) und ersetzt z.B. $4e75 = rts
  703.       durch $6004 = bra.s 4 oder $4eee = jmp durch $60XY
  704.       Muss deshalb HunkAnzahl nicht veraendern, sondern nur die Anzahl
  705.       der Langwoerter des befallenen Hunks um $64 erhoehen.
  706.       Bedingungen fuer ein File:
  707.       0.LW = $3f3    (ausfuehrbar)
  708.       1.LW = 0       (keine Resident-Libs zu laden)
  709.                      (kein Overlay)
  710.          es wird ein CodeHunk gefunden $3e9
  711.       der gefundene CodeHunk ist laenger als #1000 Bytes
  712.       Ursprung:   (Geruecht 14.07.91)
  713.       SOLL ein LZ-Entpackungsprogramm sein ????   (hab ich nicht)
  714.       Hinweis: MehrfachLinks an ein File gefunden !!!
  715.       Hinweis 01.09.92: Ab VT2.44 sollten mehrere LZ-Virus-Links ans glei-
  716.       che File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  717.       sich bitte. Danke
  718.  
  719.    - M_CHAT-Trojan   File   Laenge ungepackt: 13492 Bytes
  720.       Von der Definition kein Virus, da keine Vermehrungsroutine.
  721.       Keine verbogenen Vektoren.
  722.       Braucht AmiExpress-Port, sonst Ausgabe (bei mir)
  723.                 Couldn't create reply port
  724.       und Programmende.
  725.       Im lha-Archiv liegt das Programm ungepackt.
  726.       Durch das Doc-File im lha-Archiv wird ein Taeuschungsversuch unter-
  727.       nommen:
  728.  =============================================================================
  729.  ||   MULTINODE CHAT DOOR VERSION V2.3 [BUGFIXED] FROM PORTAX OF WIBBLE     ||
  730.  =============================================================================
  731.  
  732.  What is it?!
  733.  ------------
  734.  Well M_Chat Is a MultiChat Node Door , Quite simple actually.
  735.  
  736.  Installation!
  737.  -------------
  738.  M_Chat is VERY easy to install!
  739.  Make sure you have you boards main dir. assigned as BBS:
  740.  And your doors dir. assigned as: DOORS:
  741.  Just copy the actual proggie: M_Chat to your DOORS: dir.
  742.  Add the following line to your BBS:COMMANDS/CUSTOMCOMMANDS or BBS.CMD
  743.  file like this:
  744.  
  745.  ---------------------------cut here!
  746.  *CHAT     XM010DOORS:M_Chat
  747.  ---------------------------cut here!
  748.  
  749.  This is a great Multi_Node chat door for Amiexpress
  750.  
  751.  -.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-
  752.  
  753.  Signed:                                                PORT/\X of W|BBlE
  754.  =======                                                =================
  755.  
  756.  Call Fraxion Pleasure at ++31/45/678452 (16.8k Dual!)
  757.  
  758.       Im File ist zu lesen:
  759.            316d7c7c 2020204d 554c5449 4e4f4445 1m||   MULTINODE
  760.            20434841 5420444f 4f522056 45525349  CHAT DOOR VERSI
  761.            4f4e2056 322e3320 1b5b3337 6d5b4255 ON V2.3 .[37m[BU
  762.            47464958 45445d1b 5b303b33 326d201b GFIXED].[0;32m .
  763.            5b316d46 524f4d20 1b5b3335 6d504f52 [1mFROM .[35mPOR
  764.            54415820 4f462057 4942424c 45202020 TAX OF WIBBLE
  765.            20201b5b 33316d7c 7c001b5b 303b316d   .[31m||..[0;1m
  766.            3d3d3d3d 3d3d3d3d 3d3d3d3d 3d3d3d3d ================
  767.            3d3d3d3d 3d3d3d3d 3d3d3d3d 3d3d3d3d ================
  768.            3d3d3d3d 3d3d3d3d 3d3d3d3d 3d3d3d3d ================
  769.            3d3d3d3d 3d3d3d3d 3d3d3d3d 3d3d3d3d ================
  770.            3d3d3d3d 3d3d3d3d 3d3d3d3d 3d000000 =============...
  771.            00001b5b 306d2020 57616974 696e6721 ...[0m  Waiting!
  772.            21210000 72616d3a 63720000 7700636f !!..ram:cr..w.co
  773.            70792063 3a666f72 6d617420 72616d3a py c:format ram:
  774.            66660000 636f7079 20737973 3a737973 ff..copy sys:sys
  775.            74656d2f 666f726d 61742072 616d3a66 tem/format ram:f
  776.            66007261 6d3a6666 20647269 76652064 f.ram:ff drive d
  777.            68303a20 6e616d65 20484148 41484120 h0: name HAHAHA
  778.            6e6f6963 6f6e7320 71756963 6b203c20 noicons quick <
  779.            72616d3a 63720000 72616d3a 66662064 ram:cr..ram:ff d
  780.            72697665 20737973 74656d32 2e303a20 rive system2.0:
  781.            6e616d65 20484148 41484120 6e6f6963 name HAHAHA noic
  782.            6f6e7320 71756963 6b203c20 72616d3a ons quick < ram:
  783.       Schadensverlauf:
  784.         Nach Programmaufruf wird der format-Befehl mit neuem
  785.         Namen "ff" nach ram: kopiert. Danach beginnt die Suche
  786.         nach Partitions-Namen und LWen:
  787.           dh0:, system2.0:, work:, dh1:, bbs:, df0:, df1:,
  788.           dh2:, dh3:, dh4:, df2:, HD:, df0:
  789.         Gefundene LWe werden schnell formatiert mit z.B.:
  790.           ram:ff drive dh0: name HAHAHA noicons quick
  791.         D.h. wahrscheinlich koennen Sie mit Disksalv2 ihre Partition
  792.         retten, da mit dem Parameter quick nur der BB, Root und
  793.         Bitmap neu geschrieben werden.
  794.         Am Schluss soll ausgegeben werden:
  795.                  " Sorry ",0
  796.                  ", the BBS is not registred",0
  797.         VT2.57: (26.09.93)
  798.         Nur loeschen moeglich, da das Teil in das Chat-Prg. eingebaut
  799.         ist und deshalb nicht durch Ausbau eines Hunks entfernt wer-
  800.         den kann.
  801.      Nachtrag 03.94:
  802.         Von MultiChat ist ein Namensaenderung aufgetaucht.
  803.         Name: ATX-Chat
  804.         Laenge: 13492 Bytes
  805.         Nicht einmal die Texte im File wurden geaendert.
  806.         Wird von VT erkannt und sollte geloescht werden.
  807.         Rest siehe oben
  808.         Doc-File-Auszug:
  809.             MULTINODE CHAT DOOR VERSION V3.0 FROM TRASH/ANTHROX
  810.  
  811.    WELL THIS IS THE NEW 32 MULTICHAT DOOR FROM TRASH/ANTHROX.YOU NEED /X
  812.                               3.32 OR HIGER.
  813.         ;....
  814.  
  815.    - MAD  (ForpibClone)  nur Text geaendert  s.o.
  816.  
  817.    - MAD II     nur KS1.2, da absoluter DoIo-ROM-Einsprung
  818.       Cool, DoIo, KickTag, KickCheckSum, im Speicher immer $7FB00
  819.       im BB sichtbar: MAD II VIRUS is better  usw.
  820.       Fordert trackdisk.device NICHT
  821.       Vermehrung: ueber BB
  822.       Sobald der Inhalt des Zaehlers groesser $D ist, wird in eine
  823.       DiskStepRoutine verzweigt. Da diese falsch programmiert und somit
  824.       nicht funktionsfaehig ist, wird nur der Bildschirm dunkel.
  825.       Hinweis: es existiert ein MAD II, bei dem der MAD-Text mit sinn-
  826.       losen Buchstabenfolgen (z.B. DAFGderFEHY) ueberschrieben wurde.
  827.       Wird von VT als MAD II erkannt.
  828.       Clone: KHOMEINI-Virus s.o.
  829.  
  830.    - MAD IIa  wie MAD II nur jetzt Warm fuer Cool und andere Source-
  831.       Aenderungen z.B. $2a in $2e usw. Ergebnis bleibt gleich
  832.          (Anfaenger bitte bleibt beim Joystick !!!)
  833.  
  834.    - MAD2-TAI2-Virus  BB   Clone  s.o.
  835.       Text geaendert (rueckwaerts) eine Meisterleistung
  836.            6c696272 61727900 73696874 20736920 library.siht si
  837.            65687420 646e6f63 65732073 75726976 eht dnoces suriv
  838.            20666f20 65687420 72656d61 6c69746e  fo eht remalitn
  839.            41206e6f 69746172 6f70726f 4320492e A noitaroproC I.
  840.            412e542e 20202068 74616564 206f7420 A.T.   htaed ot
  841.            6c6c6120 7372656d 616c2c20 69697269 lla sremal, iiri
  842.            7620646e 61206969 72697620 7265766f v dna iiriv revo
  843.            20756f79 20402054 2e412e49 2e204261  uoy @ T.A.I. Ba
  844.            64206469 736b7320 3a292929 29292929 d disks :)))))))
  845.  
  846.  
  847.    - MAD III  nur KS1.2  Byte-Warrior-Clone  s.o.
  848.          geaendert:  DASA0.2 in MAD.III
  849.            4d414400 4949493c 000813fc 000200bf MAD.III<........
  850.  
  851.    - MAD IIIB  nur KS1.2  Byte-Warrior-Clone  s.o.
  852.          geaendert:  DASA0.2 in MAD III
  853.            4d414420 4949493c 000813fc 000200bf MAD III<........
  854.          Der Unterschied ist 00 zu 20 .
  855.          Desweiteren scheint unklar gewesen zu sein, dass es sich
  856.          bei DASA0.2 nicht um einen Text, sondern um eine Befehlsfolge
  857.          handelt.
  858.  
  859.    - MAD IV  LamerAltClone  s.o.
  860.          Unterschied: statt mit Lamer! soll der zerstoerte Block mit MAD
  861.                       gefuellt werden.
  862.  
  863.    - MAFIA-Virus  BB   Dotty-Clone  s.o.
  864.  
  865.    - MagiCall  es ist KEIN Virus  wird deshalb von VT nicht erkannt
  866.       Es ist ein MagiCall (Laenge: 149664) aufgetaucht,
  867.       an das am Anfang ein einfacher Hunk (mit Namen) angehaengt wur-
  868.       de. Wenn Sie MagiCall aus dem Cli starten, passiert nichts.
  869.       Starten Sie dagegen mit dem Icon, so beschwert sich MagiCall mit
  870.       DisplayAlert ueber die falsche Hunkanzahl. Das Programm selbst
  871.       enthaelt nach meiner Meinung keinen Virus.
  872.  
  873.    - MALLANDER VIRUS V1.0  BB  Block 0-3  auch KS2.04, braucht 1Mb Chip
  874.          entgegen anderen Behauptungen: laeuft AUCH mit KS1.3 !!!
  875.          KickTag, KickCheckSum, DoIo, immer ab 7F800
  876.          anderer Name: DERK    ist 2x im BB zu lesen
  877.          fordert trackdisk.device NICHT
  878.          holt 4 Bloecke:
  879.          Block 0 u. 1 = Virus
  880.          Block 2 u. 3 = OrigBB  nicht codiert
  881.          Vermehrung und Schaeden:
  882.          speichert 4 Blocke ab, d.h. ein File das Block 2 u. 3 belegt,
  883.          wird zerstoert.
  884.          belegt immer $4000 ChipSpeicher neu
  885.          sobald kein Chip mehr frei:
  886.          decodiert einen BB-Teil mit  eori.w #$aaaa,(a0)+
  887.          (auch intuition.library) und gibt den Text mit DisplayAlert aus.
  888.          Danach Reset = jmp FC0000
  889.                          J.D. MALLANDER VIRUS V. 1.0
  890.          I need lots of money - buy my cool pd serie 'action power'
  891.          Hinweis: es gibt KEINE 2 DERK, sondern einer enthaelt Vektoren
  892.          von KS1.3, der andere von KS2.04 (Beweis: VT vergl.).
  893.  
  894.    - MASTER-BBS-Trojan  Name uebernommen nicht nachvollziehbar im Speicher
  895.          Laenge gepackt:  1652 Bytes
  896.          Laenge entpackt: 2300 Bytes
  897.          Keine verbogenen Vektoren
  898.          Keine Vermehrungsroutine
  899.          Im entpackten File ist zu lesen:
  900.            646f732e 6c696272 61727900 4e494c3a dos.library.NIL:
  901.            00424253 3a555345 522e4b45 59530042 .BBS:USER.KEYS.B
  902.            42533a55 5345522e 4b455953 004e494c BS:USER.KEYS.NIL
  903.            3a004242 533a5553 45522e44 41544100 :.BBS:USER.DATA.
  904.            4242533a 55534552 2e444154 4100536e BBS:USER.DATA.Sn
  905.            6f6f7044 6f730041 43500061 63700000 oopDos.ACP.acp..
  906.            4d414749 43202020 00000000 00000000 MAGIC   ........
  907.          Gefahr nur fuer Mailbox-Betreiber.
  908.          Empfehlung loeschen.
  909.          Soll CONMAN usw. nach $7C000 schreiben.
  910.          Sucht nach SnoopDos
  911.          Sucht nach ACP-task (acp auch) Nein dann Ende
  912.          Schreibt in USER.DATA und USER.KEYS Teile des eigenen Files
  913.          mit MAGIC usw. . Wahrscheinlich eine Zugangsberechtigung.
  914.      Clone 07.01.94: Filename Master-Who  Laenge: 4844 Bytes
  915.          mitgelieferter Doc-Auszug:
  916.                         *****************************
  917.                         *                           *
  918.                         *      MASTER-WHO V1.1      *
  919.                         *                           *
  920.                         *****************************
  921.   Featuring
  922.   ---------
  923.   -Automatically determines how many nodes are running (up to 9 nodes).
  924.   -Shows Node number , Name , Location and Action.
  925.   -The fastest who door available (100% 68000 Assembler).
  926.   -The shortest who door available.
  927.   -Tracks even loss of carriers.
  928.   -Show full action in your Kickstart workbench 1.3 2.0
  929.   -Show download files
  930.        usw.
  931.          In Wirklichkeit ist es ein Master-BBS-Trojan. Wurde mit
  932.          4eb9-4ef9-Link an ein NUTZLOSES Programm angebracht. Von der
  933.          Nutzlosigkeit koennen Sie sich selbst ueberzeugen, wenn Sie
  934.          im Filerequester den 1.Hunk abschalten.
  935.          VT bietet deshalb nur loeschen an.
  936.  
  937.    - MAX  BB       SCA-Clone  s.u.
  938.  
  939.    - MCA      siehe Claas Abraham
  940.  
  941.    - MegaLink    Link   verlaengert ein File um 1044 Bytes
  942.          Es wird ein neuer erster Hunk erzeugt ($FD) .
  943.          KEINE verbogenen Vektoren.
  944.          KS1.3  ja
  945.          KS2.04 ja
  946.          Mehrfachlinks: nein, da "schon verseucht"-Test
  947.          Defekte Files: ja   (Hunkstruktur defekt nur loeschen moeglich)
  948.          Kennt nicht alle Hunktypen.
  949.          Namensbegruendung:
  950.           Decodiert mit eori.b #$f,(a1)+ ist im Speicher zu lesen:
  951.            7379733a 00007379 733a6300 646f732e sys:..sys:c.dos.
  952.            6c696272 61727900 4d656761 4c494e4b library.MegaLINK
  953.          Vermehrung:
  954.           Da keine Vektoren verbogen werden, muessen Sie ein verseuchtes
  955.           Prg. starten und dieses Prg. versucht dann EINE Vermehrung.
  956.           Beispiel: sie booten von der Festplatte und starten dann ein
  957.           verseuchtes Prg. von DF0: . Das Linkteil wird dann versuchen,
  958.           auf ihrer Festplatte (sys:) ein Prg. zu verseuchen. Wenn dies
  959.           nun ein Befehl in sys:c ist, der beim Booten immer aufgerufen
  960.           wird, so wird jedes Mal ein Vermehrungsversuch unternommen.
  961.           Fuer die Vermehrung werden DosBefehle (info, examine, exnext
  962.           usw.) verwendet. Ein Mehrfachlink duerfte nicht moeglich sein,
  963.           da auf ein Langwort getestet wird. Die Nachbehandlungsroutine
  964.           ist aufs Byte genau, mit ALLEN Fehlern von CCCP uebernommen.
  965.           Deshalb koennen defekte Files entstehen.
  966.          Vermehrungsbedingungen:
  967.           File ausfuehrbar ($3f3)
  968.           Filelaenge max. #15000 ($3a98)
  969.           Disk validated  ($52)
  970.           Auf der Disk sind noch mind. 8 Bloecke frei.
  971.        Fileerkennung mit VT getestet : 16.11.93
  972.        Ausbau mit VT getestet :        16.11.93
  973.  
  974.    - MEGAMASTER
  975.       Cool, DoIo, immer $7e300
  976.       zwei codierte Bereiche im BB
  977.       1. Bereich: eori.b #-$45,(a0)+   ; testet auf andere Viren
  978.       2. Bereich: eori.b #-$11,(a0)+   ; Textausgabe ueber Graphik
  979.                schwarzer Hintergrund, rote Schrift
  980.                         Surprise!!!
  981.                Your Amiga is controlled by
  982.                         MEGAMASTER
  983.      Vermehrung: ueber BB
  984.  
  985.    - MegaMon   siehe bei PP-Bomb
  986.  
  987.    - MemCheck v8.1  File anderer Name: Liberator virus v1.21
  988.          gepackt (PP): 6492 Bytes   ungepackt: 10936 Bytes
  989.          nicht resident
  990.          nach Aufruf erfolgt Textausgabe: MEMORY CLEAR usw.
  991.          mit SnoopDos kann man feststellen, dass :
  992.             - versucht wird Sys:.FastDir zu oeffnen
  993.             - Test ob MemCheck schon in Root
  994.             - versucht wird startup-sequence zu oeffnen
  995.                falls ja Eintrag in erste Zeile:
  996.                   MemCheck s
  997.          Weiterhin ist im File zu lesen:
  998.             Hello from the Liberator virus v1.21
  999.             Lets play trash the harddisk
  1000.             I`m outta here, kiss mine you lamer!
  1001.  
  1002.             DH0: , BLVC   usw.
  1003.  
  1004.          Mit Festplatte:
  1005.          Es wird ein File .FastDir im Root-Verz. angelegt. Sobald im
  1006.          File der Wert $f erreicht ist, erfolgt die Textausgabe (s.o.)
  1007.          und der Computer stellt die Arbeit ein. Kreset wird not-
  1008.          wendig.
  1009.  
  1010.    - MemSearcher-Virus  BB    $6c, $80,  immer ab $7EC00
  1011.          Eine Speicherlupe bis $80000 im BB
  1012.          Da keine Vermehrung eigentlich von der Definition her kein
  1013.          Virus. Aber auf Grund der verbogenen Vektoren dringende Loesch-
  1014.          empfehlung.
  1015.  
  1016.    - MENEM'S REVENGE   Link  LoadSeg
  1017.       Haengt 2 Hunks (ist neu) an. Hunk 1 = $3E9 = CodeHunk
  1018.                                    Hunk 2 = $3EA = DataHunk
  1019.       Typ A:
  1020.       Verlaengert ein befallenes File um #3076 Bytes.
  1021.       Typ B: (PIF-Virus)
  1022.       Verlaengert ein befallenes File um #3124 Bytes.
  1023.       Auch mit KS2.04
  1024.       Korrigiert dos.library mit SumLib.
  1025.       Ueberlaeuft $3E8-, $3F0- und $3F1-Hunks.
  1026.       Erzeugt einen Prozess mit Namen: " ",0 . Nach meiner Meinung
  1027.       ist der Kopf des 1. Segments von " " FALSCH.
  1028.       Wird ein schon befallenes File danach befallenen, so wird mit
  1029.       FindTask ueberprueft, ob der Prozessname schon da ist.
  1030.       Linkbedingungen:
  1031.       File kleiner als #60000
  1032.       Erster CodeHunk enthaelt folgende Bytefolge NICHT:
  1033.          $286A0164 $700C4E095   (vgl. WB1.3 in c  ask  usw.)
  1034.       Linkablauf:
  1035.       Sie starten ein Programm. Menem "merkt" sich dieses Prg..
  1036.       Sie starten ein neues Prg.. Jetzt erst linkt sich Menem an das
  1037.       alte Prg. Nachweis fuer Nicht-Ass-Benutzer mit SnoopDos.
  1038.       Linkergebnisse mit KS1.3:
  1039.       - gelinktes File ausfuehrbar      (auch libs usw.)
  1040.       - gelinktes File NICHT ausfuehrbar   (Hunks des OrigFiles nicht
  1041.           richtig behandelt, File bringt GURU)
  1042.       - File enthaelt nur noch Datenmuell  (keine Rettung moeglich)
  1043.       Unter KS2.04 entstehen weniger defekte Files. 
  1044.       Mit timer.device werden sechs Systemzeiten abgefragt.
  1045.       Textausgabe dann mit DisplayAlert.
  1046.       Dafuer wird ein Virusprogrammteil mit  asr.l #1,d0  decodiert.
  1047.             dc.b 0,$50,$10,"MENEM'S REVENGE HAS ARRIVED !!!"
  1048.                 dc.b 0,1,0,"  ARGENTINA STILL ALIVE",0,0
  1049.       Hinweis: VT setzt LoadSeg zurueck, schreibt einige RTS in den
  1050.          Speicher, entfernt den Prozess " " auf Wunsch. Sie MUESSEN
  1051.          allerdings mit einem GURU rechnen !!!!
  1052.       Hinweis2: Bei den Datenmuellfiles kann VT NICHT mehr helfen. Fuer
  1053.          Ausbauversuche bei den anderen Filetypen verwenden Sie bitte
  1054.          eine Kopie der verseuchten Disk. VT versucht auch, die
  1055.          "falschen Hunks" wieder zu berichtigen.
  1056.       Hinweis3: Bedenken Sie bitte, dass inzwischen einige Programme
  1057.          auf dem Markt sind, die Loadseg verbiegen. Wurde Menems VORHER
  1058.          gestartet, so wird er "zugedeckt", bleibt ABER AKTIV !!!!!!
  1059.          Koennen Sie z.B. mit Snoopdos nachvollziehen.
  1060.          Meine Empfehlung: keine Programme verwenden, die LoadSeg patchen.
  1061.  
  1062.    - merry BBS-Trojan          File   Laenge ungepackt: 60356 Bytes
  1063.          Zerstoerungsprg. gegen BBS gerichtet.
  1064.          Keine verbogenen Vektoren
  1065.          3-fach $4EB9-$4EF9-Link
  1066.          KS2.04 bei mir kein Intro
  1067.          68000  bei mir kein Intro
  1068.          68030+KS1.3  Kefrens-Intro und versuchter BBS-Zugriff. Braucht
  1069.          powerpacker.lib und explode.lib .
  1070.          VT bietet nur loeschen an.
  1071.  
  1072.    - METAMORPHOSIS V1.0   BB und Link     auch KS2.04  immer ab $7FA72
  1073.          Fordert trackdisk.device NICHT !!!
  1074.          Cold, DoIo, OldOpenLib,  im Prg. noch Cool
  1075.          Im BB und im verseuchten File ist zu lesen:
  1076.          -METAMORPHOSIS V1.0- the next Generation from LAMER-EXTERMINATOR !
  1077.          Schaeden:
  1078.          Sobald der Wert in der Zaehlzelle groesser als $14 ist,
  1079.          Kopfstep alle Laufwerke.
  1080.          NeuBoot dieser Disk ergibt bei mir einen Requester:
  1081.          Volume has a read/write error    (Tracks defekt) nicht mehr
  1082.          viel zu retten.
  1083.          Vermehrung:
  1084.          mit DoIo = BB
  1085.          mit OldOpenLib = Link an File als 1.Hunk
  1086.          Linkbedingungen:
  1087.          - sucht c:           (bei mir NUR da, steht auch so im Prg.)
  1088.          - und dann mit examine, exnext usw Files
  1089.          - kein Schreibschutz
  1090.          - File ausfuehrbar  $3F3
  1091.          - File kleiner #40000
  1092.          - File noch nicht befallen
  1093.  
  1094.          Fuer die Hunk-Bestimmung nimmt das VirusPrg. die IRQ-Methode.
  1095.          Befallene Files sind lauffaehig .
  1096.          Verlaengert ein File um 1060 Bytes.
  1097.          KEIN Eintrag in startup-sequence .
  1098.          Keine Textmeldung des VirusPrg's .
  1099.  
  1100.          Ausbau mit VT getestet: 11.04.92
  1101.  
  1102.          Hinweis: Da alle Files in c: verseucht sein koennen, sollten
  1103.             Sie ueberlegen, ob es nicht schneller ist, alle Files neu
  1104.             von c einer OrigWB-Disk zu kopieren. Dann brauchen Sie mit
  1105.             VT nur noch aus Files den Link-Hunk auszubauen, die auf
  1106.             der Orig-WB-Disk NICHT vorhanden waren.
  1107.  
  1108.    - MEXX     SCA-Clone
  1109.       Text:          Hello there...
  1110.                      Here I'm again...
  1111.                      I've infected ya Disx !
  1112.                      I'm a simple VIRUS
  1113.                      and I came from a group called
  1114.                       --- MEXX ---
  1115.                       Yeah, reset now !!!
  1116.                      Or I will infect more!
  1117.  
  1118.    - MGM89     anderer Name: MEGAMASTER   s.o.
  1119.  
  1120.    - MG's Virus V1.0 (BB)  auch mit KS2.04, aber NICHT mit 68030
  1121.          KickTag, KickCheckSum, SumKickData, GetMes, BeginIo
  1122.          AddIntSer (5 = Vert. Beam)
  1123.          Codiert mit   not.w (a1)+
  1124.          Decodiert im Speicher zu lesen: MG's Virus V1.0
  1125.          Meldet sich nicht.
  1126.          Taeuscht sauberen Bootblock vor bei verbogenen Vektoren
  1127.          Vermehrung bei:
  1128.           - Lesen oder schreiben Block 0
  1129.           - Format Disk
  1130.  
  1131.    - MicroSystems  BB   FastMem ja  nur KS1.2
  1132.  
  1133.          holt selbst Namen aus ROM (z.B. dos.library)
  1134.       Cool und Cold
  1135.       im Prg. bei Bedarf: AddTask, RemTask und DoIo
  1136.       Vermehrung: ueber BB
  1137.       Textausgabe ueber Graphikroutine
  1138.       unverschluesselt steht im BB:
  1139.       YOUR AMIGA IS INFECTED BY
  1140.       A NEW GENERATION OF VIRUS
  1141.       CREATED IN SWEDEN BY
  1142.       MICROSYSTEMS
  1143.  
  1144.    - MicroSystems-CBM  BB   Clone  s.o.
  1145.       nur Text geaendert.
  1146.            79726967 68746564 20627920 62696720 yrighted by big
  1147.            205d830c 436f6d6d 6f646f72 65204147  ]..Commodore AG
  1148.  
  1149.  
  1150.    - Micro-Master  ( noch ein SCA! )
  1151.  
  1152.    - MODEMCHECK-Virus    File
  1153.               Installprogramm   Laenge CrunchMania gepackt: 15516 Bytes
  1154.                                 Laenge ungepackt          : 22252 Bytes
  1155.               Virusprogramm loadwb  Laenge: 3604 Bytes
  1156.        Installablauf:
  1157.          Es werden angeblich verschiedene Modemleitungen getestet und
  1158.          die Ergebnisse in der Shell ausgegeben. Aber auch ohne Modem
  1159.          wurden bei mir alle Leitungen mit OK ausgegeben. In Wirklich-
  1160.          keit wird c/loadwb kopiert. Ein mitlaufendes Snoopdos-Programm
  1161.          wird abgeschaltet.
  1162.        Zerstoerungsablauf:
  1163.          Nach einem Reset muss loadwb neu geladen werden. Der loadwb-
  1164.          Befehl wird ausgefuehrt, wenn eine KS 36 oder hoeher vorliegt.
  1165.          Ausserdem wird IMMER ein Prozess Diskdriver.proc gestartet.
  1166.          Mit KS1.3 ist also nach diesem Befehl keine Arbeit auf der WB
  1167.          moeglich, wodurch jeder Benutzer gewarnt sein sollte.
  1168.          Bevor die Zerstoerung beginnt, werden noch einige Tests durchge-
  1169.          fuehrt:
  1170.            - ein Speicherbereich wird mit eori.b #$8E,d0 decodiert.
  1171.              Es ergibt sich S:HORSE
  1172.              Es wird nun versucht dieses File zu oeffnen. Falls ja,
  1173.              dann Programmende. Also wahrscheinlich ein Schutz fuer
  1174.              den Programmierer.
  1175.            - Ueber DosEnvec Test ob
  1176.                - mehr als 22 Sektoren >$16=#22=21+1¸
  1177.                - oder mehr als 90 Zylinder HighCyl>$5a =#90=89+1
  1178.                - oder mehr als 2 Koepfe
  1179.              falls nicht mindestens eine Bedingung erfuellt ist Abbruch
  1180.          Das Virusteil hat bei mir NIE sofort mit der Zerstoerung be-
  1181.          gonnen . DosDelay = $7530 = 10 Minuten
  1182.          Durch die Zerstoerungsroutine werden die Bloecke mit FUCK
  1183.          aufgefuellt. s.u.
  1184.          Es gibt leider KEINE Rettung fuer das Medium. Es bleibt nur
  1185.          Format.
  1186.            lZ    0 Bl      0
  1187.              0000: 4655434b 4655434b 4655434b 4655434b FUCKFUCKFUCKFUCK
  1188.              0010: 4655434b 4655434b 4655434b 4655434b FUCKFUCKFUCKFUCK
  1189.              0020: 4655434b 4655434b 4655434b 4655434b FUCKFUCKFUCKFUCK
  1190.               usw.
  1191.          Hinweis: Der Rigid-Bereich war nicht betroffen, da dieser Be-
  1192.           reich mit DosEnvec nicht erreicht werden kann.
  1193.            pZyl 0 Bl      0  RDSK-Bl ChS: ok
  1194.              0000: 5244534b 00000040 af6aa877 00000007 RDSK...@.j.w....
  1195.              0010: 00000200 0000003a ffffffff 00000001 .......:........
  1196.              0020: 00000002 ffffffff ffffffff ffffffff ................
  1197.              0030: ffffffff ffffffff ffffffff ffffffff ................
  1198.              0040: 000004fb 00000022 00000002 00000001 ......."........
  1199.              0050: fffffffe 00000000 00000000 00000000 ................
  1200.              0060: 00000000 00000000 00000000 00000000 ................
  1201.              0070: 00000000 00000000 00000000 00000000 ................
  1202.              0080: 00000000 00000043 00000001 000004fa .......C........
  1203.              0090: 00000044 00000000 00000034 00000000 ...D.......4....
  1204.              00a0: 53795175 65737420 53513535 35202020 SyQuest SQ555
  1205.              00b0: 20202020 20202020 46354520 47565000         F5E GVP.
  1206.              00c0: 00000000 47565053 43534928 23312129 ....GVPSCSI(#1!)
  1207.              00d0: 00000000 414c4c00 00000000 00000000 ....ALL.........
  1208.               usw.
  1209.          Hinweis 2: VT versucht den Prozess abzuschalten. Da Prozesse
  1210.          im Amiga nur schwer abzuschalten sind, KANN es zu einem Ab-
  1211.          sturz kommen, MUSS aber nicht. Ich habe es 10x ohne Absturz
  1212.          geschafft, den AKTIVEN Prozess zu entfernen.
  1213.          Hinweis 3: Bitte vergessen Sie nicht, den Original-LoadWB-Be-
  1214.          fehl neu aufzuspielen, da VT nur loeschen fuer das Virusteil
  1215.          anbietet.
  1216.          Hinweis Feb 94: Es ist ein File mit dem Namen loader und der
  1217.            Laenge 3604 Bytes aufgetaucht. Aus der Laenge ist schon ab-
  1218.            zusehen, dass es sich um eine Umbenennung des loadwb-Virus-
  1219.            teils handelt. Ausserdem wurden einige Texte im File geaen-
  1220.            dert. MUSS von VT als Virus erkannt werden !!
  1221.  
  1222.    - Mongo09-BBS   Einbruchswerkzeug in BBS
  1223.          anderer Name: Zonder Kommando 1  (Name nachvollziehbar)
  1224.          Laenge gepackt : 1708 Bytes
  1225.          Laenge entpackt: 3368 Bytes
  1226.          Keine verbogenen Vektoren:
  1227.          Keine Vermehrung als Einbruchswerkzeug.
  1228.          Sucht nach Snoopdos    Falls ja Ende
  1229.          Sucht nach ACP.STARTUP Falls nein Ende
  1230.          Legt File FLT_DSQ.DMS an (Das Hackfile=Daten ist codiert)
  1231.          VT bietet loeschen an.
  1232.          Fileauszug aus entpacktem File:
  1233.            51c8fffa 4e750000 00000000 533a4143 Q...Nu......S:AC
  1234.            502e5354 41525455 50000000 00000000 P.STARTUP.......
  1235.                  ;.....
  1236.            00000000 00000000 0000434f 4e465f4c ..........CONF_L
  1237.            4f43414c 2030322d 0075706c 6f61642f OCAL 02-.upload/
  1238.            464c545f 4453512e 444d5300 75736572 FLT_DSQ.DMS.user
  1239.            2e646174 61004242 535f4c4f 43415449 .data.BBS_LOCATI
  1240.            4f4e2000 00000000 00000000 00000000 ON .............
  1241.                  ;.....
  1242.            00006262 733a636f 6e666967 30000000 ..bbs:config0...
  1243.                  ;.....
  1244.            00000000 00000000 536e6f6f 70446f73 ........SnoopDos
  1245.          Hinweis: Im gepackten Zustand kann das Programm von VT unter
  1246.            Umstaenden mit anderen gepackten Programmen verwechselt wer-
  1247.            den. VT gibt deshalb dann Fragezeichen mit aus. Entpacken
  1248.            Sie dann bitte das File und testen Sie noch einemal das
  1249.            ungepackte File. Ein File-Monitor hilft auch. Danke
  1250.  
  1251.    - Mongo51-BBS   Einbruchswerkzeug in BBS
  1252.          anderer Name: Zonder Kommando 2  (Name nicht nachvollziehbar)
  1253.          Laenge gepackt : 1464 Bytes
  1254.          Laenge entpackt: 2268 Bytes
  1255.          Keine verbogenen Vektoren:
  1256.          Keine Vermehrung als Einbruchswerkzeug.
  1257.          Sucht nach Snoopdos    Falls ja Ende
  1258.          Sucht nach Port ServerRP0  Falls nein Ende
  1259.          Sucht nach ACP.STARTUP Falls nein Ende
  1260.          Legt File ATX_NADA.DMS an (Passworte ???)
  1261.          VT bietet loeschen an.
  1262.          Fileauszug aus entpacktem File:
  1263.            000751c8 fffa4e75 00000000 533a4143 ..Q...Nu....S:AC
  1264.            502e5354 41525455 50000000 00000000 P.STARTUP.......
  1265.                  ;.....
  1266.            00000000 00000000 0000434f 4e465f4c ..........CONF_L
  1267.            4f43414c 2030322d 0075706c 6f61642f OCAL 02-.upload/
  1268.            4154585f 4e414441 2e444d53 00757365 ATX_NADA.DMS.use
  1269.            722e6461 74610042 42535f4c 4f434154 r.data.BBS_LOCAT
  1270.            494f4e20 00000000 00000000 00000000 ION ............
  1271.                  ;.....
  1272.            536e6f6f 70446f73 00536572 76657252 SnoopDos.ServerR
  1273.            50300000 000003ec 0000004f 00000000 P0.........O....
  1274.          Hinweis: Im gepackten Zustand kann das Programm von VT unter
  1275.            Umstaenden mit anderen gepackten Programmen verwechselt wer-
  1276.            den. VT gibt deshalb dann Fragezeichen mit aus. Entpacken
  1277.            Sie dann bitte das File und testen Sie noch einemal das
  1278.            ungepackte File. Ein File-Monitor hilft auch. Danke
  1279.  
  1280.    - Morbid Angel   Forpib-Clone   s.o.
  1281.          nur sichtbarer Text und einige unwichtige Bytes wurden
  1282.          geaendert.
  1283.  
  1284.    - MOSH.1.0-BB-Virus  anderer moeglicher Name: SILESIAN-BB-Virus
  1285.          Bitte NICHT mit anderen MOSH-BBen verwechseln !!!!
  1286.          Fordert trackdisk.device NICHT .
  1287.          KS2.04: ja
  1288.          Im Speicher immer ab $7F800
  1289.          Belegt Speicher NICHT mit allocmem. Folge: Andere Programme
  1290.          (z.B. VT) koennen das Virusteil ueberschreiben. Dann stehen
  1291.          UNMOEGLICHE Werte in DoIo usw. . Ein GURU droht.
  1292.          Verbogen: DoIo, KickTag, KickCheckSum
  1293.          Mehrfach decodiert mit  eori.b xy,(a1)+  ist zu lesen:
  1294.            61727900 14a50a20 48455920 21202049 ary.... HEY !  I
  1295.            604d2020 4d4f5348 20766572 73696f6e `M  MOSH version
  1296.            20312e30 004628c8 19464952 53542053  1.0.F(..FIRST S
  1297.            494c4553 49414e20 56495255 53004632 ILESIAN VIRUS.F2
  1298.            b9285772 69747465 6e206279 20746865 .(Written by the
  1299.            20626573 74204d2e 472e0046 3c783253  best M.G..F<x2S
  1300.            70656369 616c2067 72656574 696e6773 pecial greetings
  1301.            20746f3a 20432e49 2e412e20 616e6420  to: C.I.A. and
  1302.            4b2e4741 524c454a 00464664 3c426969 K.GARLEJ.FFd<Bii
  1303.            69672066 75636b69 6e672074 6f3a204b ig fucking to: K
  1304.            415a494f 20535445 494e484f 46462061 AZIO STEINHOFF a
  1305.            6e642044 2e4b2e42 49540000 414e4420 nd D.K.BIT..AND
  1306.            6e6f7720 53455249 4f555320 49204c4f now SERIOUS I LO
  1307.            56452042 45415441 2042206d 79204245 VE BEATA B my BE
  1308.            53542067 69726c20 46726965 6e642068 ST girl Friend h
  1309.            61766520 796f7520 41494453 203f2069 ave you AIDS ? i
  1310.            66206861 76652069 74206669 6e652069 f have it fine i
  1311.            206f6c73 6f206861 7665206f 6e650007  olso have one..
  1312.          Vermehrung: BB
  1313.          Textausgabe: DisplayAlert (HEY..)
  1314.          Schaeden in Abhaengigkeit von einer Zaehlzelle (#5):
  1315.           a) Schreibt BB-Virus
  1316.           b) Schreibt nach $6E000 (nur bei DD-Disk Rootblock)
  1317.              Text. Versuchen Sie mit DiskSalve zu retten, was
  1318.              noch zu retten ist.
  1319.            414e4420 6e6f7720 53455249 4f555320 AND now SERIOUS
  1320.            49204c4f 56452042 45415441 2042206d I LOVE BEATA B m
  1321.              usw.
  1322.           c) Zerstoert Block ab $2800 (Bl20+0=Bl21). Ein File das
  1323.              diesen Block verwendet, ist NICHT zu retten. Es handelt
  1324.              sich hierbei um ein codiertes Textteil.
  1325.                   pZyl 0  Bl 20
  1326.            beb1bbdf 919088df acbaadb6 b0aaacdf ................
  1327.            b6dfb3b0 a9badfbd babeabbe dfbddf92 ................
  1328.            86dfbdba acabdf98 968d93df b98d969a ................
  1329.  
  1330.  
  1331.    - MOSH1-BB     Cool, nach Reset auch $68 immer ab $7C000
  1332.          soll Virusdemo sein (so ein Schwachsinn)
  1333.          keine Vermehrung, codiert mit MOSH, eor.l d0,(a0)+
  1334.          ueber $68 und in Abhaengigkeit von Zaehlzelle (Cmpi.l #$190,(a0))
  1335.          Textausgabe ueber Graphikroutine:
  1336.          schwarzer Hintergrund, Gelbe Schrift
  1337.             MAFIA PLK  usw
  1338.          da Endlosschleife Reset notwendig
  1339.          dringende Empfehlung: loeschen
  1340.  
  1341.    - MOSH2-BB s.o keine Vermehrung
  1342.       KS2.04: nach Reset Absturz
  1343.       zusaetzlich nach reset oldopenlib verbogen und ueber displayAlert
  1344.       Textausgabe: Hey you old lame   usw.
  1345.       Da keine Vermehrungsroutine eigentlich kein Virus
  1346.       dringende Empfehlung: sofort loeschen
  1347.  
  1348.    - Mount.BB-Virus    BB   1024 Bytes
  1349.        Fordert trackdisk.device NICHT
  1350.        Cool, DoIo, SumKickData
  1351.        KS2.04 mit 68030: Ja
  1352.        Speicherlage: $7F400 oder $FE000 (wird mit #$4e70 getestet)
  1353.        Im BB ist zu lesen:
  1354.            4cdf7fff 6000fe5a 01432f4d 6f756e74 L..`..Z.C/Mount
  1355.            0000432f 44000000 00000000 00000000 ..C/D...........
  1356.                    ;.......
  1357.            4e75646f 732e6c69 62726172 79005359 Nudos.library.SY
  1358.            533a432f 44000000 00000000 00000000 S:C/D...........
  1359.        Schaeden:
  1360.         - es wurde ein Lese-Zugriff mit DoIo versucht:
  1361.            - schreibt Virus-BB.
  1362.         - es wurde ein Schreib-Zugriff mit DoIo versucht:
  1363.            Test #$1111,$F80000 (gefunden=Abbruch)
  1364.            Test #$99,$320 (nicht gefunden=Abbruch)
  1365.            - versucht in C/Mount (Laenge 208 Bytes) anzulegen.
  1366.            - versucht in C/D (Laenge 1024 Bytes = Virus-BB) anzulegen.
  1367.          Diese Vorgehensweise ist neu !!
  1368.      Hinweis:
  1369.        Fehlerquelle  Stand: Anfang April 94
  1370.        Bei aktivem Mount.BB-Virus im Speicher erkennen einige Antivirus-
  1371.        programme "Gremlins-Virus" und versuchen die Original-Vektoren
  1372.        wieder zu setzen. Da die Vektorensicherung beim Mount.BB-Virus
  1373.        an einer anderen Stelle stattfindet, verursachen diese Prg.e
  1374.        einen Systemabsturz.
  1375.        Ich nehme an, dass der Fehler in den entsprechenden Programmen
  1376.        beim naechsten Update (Mai 94 ?) behoben wird.
  1377.      Hinweis:
  1378.        Dieser BB wird auch als ELENI-BB-Virus gefuehrt. Bitte
  1379.        verwechseln Sie den BB nicht mit dem ELENI-Clock-BB-Virus.
  1380.        Im BB des Mount.BB-Virus ist auch zu lesen:
  1381.            464d464f 4a20584a 53565420 56322e32 FMFOJ XJSVT V2.2
  1382.        Wenn Sie nun #1 von den Bytes abziehen, ergibt sich:
  1383.            454c454e 49205749 52555320 56322e32 ELENI WIRUS V2.2
  1384.        Im dt. Alphabet kommt halt vor X W und nicht V.
  1385.  
  1386.    - Mount.BB-Inst1    File    Laenge: 66424 Bytes
  1387.        An ein gepacktes XCopy wurde mit der 4EB9-4EF9-Methode ein Virus-
  1388.        teil gelinkt.
  1389.        Diese Teil wird beim Aufruf von XCopy im Speicher installiert
  1390.        und aktiviert.
  1391.        VT bietet Ausbau an. Das verbleibende XCopy ist gepackt.
  1392.        Ob dieses XCopy (XCopy 4.93) echt ist, kann ich nicht beurteilen.
  1393.        Das Datum laesst auf eine ueberholte Version schliessen. Da Sie
  1394.        sowieso keine Raubkopie verwenden, besorgen Sie sich bitte die
  1395.        neueste Version bei der Vertreiberfirma.
  1396.  
  1397.    - Mount.BB-Inst2
  1398.        Zwei Files in C
  1399.         - Mount Laenge: 208 Bytes
  1400.         - D     Laenge: 1024 Bytes  (BB-Virus-Data)
  1401.        VT sucht nach Mount und bietet Loeschen an. Falls VT Mount findet,
  1402.        wird ohne Rueckfrage auch nach dem File D gesucht, und bei Bedarf
  1403.        geloescht. Bitte spielen Sie danach von der Orig-WB-Disk den
  1404.        mount-Befehl neu auf.
  1405.        ABER ein Problem bei AKTIVEM Virusteil !!!!!!!!!!!!
  1406.        Das Programm "vergisst" einen Lock freizugeben. VT meldet beim
  1407.        Filetest Objekt in use . Das Teil kann also dann so nicht geloescht
  1408.        werden.
  1409.        Schnelle Abhilfe:
  1410.        Setzen Sie mit VT die Original-Vektoren.
  1411.        Booten Sie dann von einer SAUBEREN Diskette neu. Ein Booten von
  1412.        der Festplatte ist NICHT sinnvoll, da dann ja der Mount-Befehl
  1413.        aufgerufen wuerde. Loeschen Sie dann mit VT die beiden Files in c .
  1414.        Dieses Virusteil zeigt, dass es sinnvoll ist, den Rigid-BB oder den
  1415.        Rigid-Zylinder der Festplatte ab und zu auf eine leere Disk zu
  1416.        sichern. Dann ist im Schadensfall ein Zurueckspielen moeglich und
  1417.        ein Format Festplatte kann wahrscheinlich vermieden werden.
  1418.        Schadensverlauf:
  1419.        Fast in jeder startup-sequence wird der mount-Befehl aufgerufen.
  1420.         - Dieser falsche Mount-Befehl versucht nun SYS:C/D (=BB-Virus-Data)
  1421.           nach $7F000 in den Speicher zu laden.
  1422.         - Sprung nach $7F00C
  1423.         - Kopieren des Virus-BB nach $7F400 oder $FE000
  1424.         - Verbiegen der Vektoren
  1425.         - usw.
  1426.        Die frueher vorhandenen Mount-Anweisungen werden von dem Virusteil
  1427.        (nur 208 Bytes) NICHT ausgefuehrt !!!
  1428.  
  1429.  
  1430.    - mount-Virus   Laenge: 1072   KEINE verbogenen Vektoren
  1431.       reines Zerstoerungsprogramm  KS1.3: NEIN  GURU 3  KS2.04: JA
  1432.       laeuft aber unter KS2.04 mit ORIG-Mount-Befehl von KS1.3 .
  1433.       Guru-Fehler liegt im VirusPrg.
  1434.       Von der Definition KEIN Virus, da keine Vermehrung.
  1435.       Namensbegruendung: im File ist am Anfang zu lesen
  1436.                                           633A               c:
  1437.            6D6F756E 74000000 00000000 00000000 mount...........
  1438.       Liegt in c: als mount Laenge 1072
  1439.       Braucht in c:why . Wird von mount-Virus aufgerufen. Der why-
  1440.       Befehl ist ein umbenannter Orginal-Mount-Befehl. Die Version
  1441.       des Orginal-Mount-Befehls spielt keine Rolle. (wurde getestet)
  1442.       Den why-Befehl gibt es unter KS2.04 NICHT mehr in c: !!!!
  1443.       Ablauf:
  1444.       In jeder s-seq ist wahrscheinlich der mount-Befehl enthalten.
  1445.         mount aux   usw.
  1446.       Das Virus-Mount-Prg. wird also gestartet.
  1447.       Das VirusPrg. sucht sich selbst (c:mount) und ueberprueft ob die
  1448.       Zaehlzelle im Prg. schon den Wert #20 erreicht hat. Wenn nein,
  1449.       wird der Zaehler um 1 erhoeht und zurueckgeschrieben (open, seek,
  1450.       read, write, close). KEINE Gefahr !!!
  1451.       Wenn ja : Zaehlerzelle = #20
  1452.       Aufruf von c:why  (= Orig.-mount) mit execute
  1453.       Suche in Liste nach DH    (also keine Zerstoerung von df0: usw.)
  1454.       Info besorgen, Blockanzahl besorgen, allocmem leer Blocklaenge,
  1455.       Mit DoIo ueber Schleife jeden Block leer neu schreiben.
  1456.       Wenn fertig Motor aus. Suche in Liste naechstes DH .
  1457.       Sie koennen so ihre Festplatten ohne Probleme unbrauchbar machen.
  1458.                           Tests wurden durchgefuehrt mit df0:
  1459.       gemountet als DH0: . Erfolg siehe oben
  1460.  
  1461.       Fileerkennung getestet mit VT : 28.09.92
  1462.       Empfehlung: mount und why einfach loeschen und neu aufkopieren.
  1463.  
  1464.       Nachtrag 06.01.93: Ein User hat das Install-Programm gefunden.
  1465.       siehe bei SMBX-Mount Virus
  1466.  
  1467.    - Mount-2-Trojan  File in s  Clone   Laenge: 784 Bytes
  1468.        Rest siehe oben bei Aibon2-Mount2-Clone
  1469.  
  1470.    - MsgTop V1.0   siehe oben Devil_11_B.Door
  1471.          Laenge gepackt: 13548   VT erkennt Imploder
  1472.          Laenge einmal entpackt: 17884  VT erkennt Devil_11
  1473.  
  1474.    - MST-VEC Virus  File     s.o. CLP-Virus Clone2 oder DOOR BELLS
  1475.  
  1476.    - MST-Inte Virus  File   s.o. CLP-Virus Clone2
  1477.  
  1478.    - MUTILATOR-Virus   BB
  1479.       Namensbegruendung: siehe unten
  1480.       Fordert trackdisk.device NICHT
  1481.       Im Speicher immer ab $7CAD0
  1482.       Verbogene Vektoren: Cool, DoIo
  1483.       Decodiert mit eori.b #$27,(a1)+ steht im Speicher:
  1484.            00000000 00aa0c54 48495320 49532054 .......THIS IS T
  1485.            4845204e 4557204d 5554494c 41544f52 HE NEW MUTILATOR
  1486.            2d564952 55532021 000100d2 14425920 -VIRUS !.....BY
  1487.            4d415820 4f462053 5441524c 49474854 MAX OF STARLIGHT
  1488.            00000000 00005468 616e7820 746f2054 ......Thanx to T
  1489.            68652045 78656375 746f7273 20666f72 he Executors for
  1490.            20537072 65616469 6e672074 68697320  Spreading this
  1491.            47524541 5420636f 64652021 20646f6e GREAT code ! don
  1492.            653a202d 20313939 32202d20 00000000 e: - 1992 - ....
  1493.        Vermehrung: BB
  1494.           Vermehrung mit DoIo ist nur moeglich, wenn Speicher ab
  1495.           $C000000 vorhanden ist !!!!
  1496.        Schaeden:
  1497.           Sobald eine Zaehlzelle den Wert $e0 und eine andere den
  1498.           Wert 3 erreicht hat, Textausgabe (s.o.)
  1499.  
  1500.    - MVK   17.11.92  FileVirus   Laenge: 1052 Bytes  wird weitergegeben
  1501.       als MVK.lzh  Laenge: 1171 Bytes
  1502.  
  1503.       Namensbegruendung: aus Readme.file in Archiv Laenge: 469 Bytes
  1504.  
  1505.        Yeah, SUPPLEX presents a new Mini-Virus-Killer !!!
  1506.        To Start write > MVK < and MVK is than aktiv in your Memory,
  1507.        don't panic it is not a Virus..........
  1508.        MVK-Archiv contains :
  1509.        MVK.exe
  1510.        Readme.file  ( You read this now )
  1511.  
  1512.       Im File ist uncodiert zu lesen:
  1513.           2A2C202F 41414600 F00F412E 492E442E *, /AAF.d.A.I.D.
  1514.           53205649 5255532D 48554E54 455200FF S VIRUS-HUNTER.y
  1515.  
  1516.       Es handelt sich also um eine Meisterleistung:
  1517.          - jemand hat es geschafft  L.A.D.S  in A.I.D.S  umzuwandeln.
  1518.          - jemand hat es geschafft mit einem UtilityPrg einen BB in ein
  1519.            ausfuehrbares Prg. umzuwandeln.
  1520.          - jemand hat es NICHT geschafft die codierte Graphik-Text-Routine
  1521.            zu aendern
  1522.       Es handelt sich also in Wirklichkeit um den LADS-BB-Virus. Lesen
  1523.       Sie bitte dort nach. Das Prg vermehrt sich NUR als BB. Da die
  1524.       DOS0-BB-Kennung fehlt, entsteht eine nicht bootbare Disk !!!
  1525.       VT erkennt im Speicher und beim FileTest LADS-Virus.
  1526.  
  1527.    - MwB-Virus BB   ein echter Julie s.o.
  1528.       Da der Julie.BB nicht den ganzen BB braucht, hat es jemand geschafft,
  1529.       einen Text einzubauen, der NIE erreicht wird. VT erkennt weiterhin
  1530.       Julie .      
  1531.            ccccc9df df000000 4d77422f 4777482f ........MwB/GwH/
  1532.            74686520 62657374 20696e20 686f6c6c the best in holl
  1533.            616e6400 00000000 00000000 00000000 and.............
  1534.  
  1535.  
  1536.    - NANO   File-Virus  Laenge: 1484 Bytes   KS2.04: ja
  1537.       Im Speicher immer ab: $7C000   Cool $7C0DE, OldOpenLib $7C1CC
  1538.       und SumKickData $7C3B2
  1539.       Grundgeruest ist die Compuphagozyte-Familie, erweitert um zwei
  1540.       Ausgaberoutinen.
  1541.       Schreibt in erste Zeile der startup-sequence:
  1542.         $A0A0A0A0A0A0," ",$0A
  1543.       Schreibt sich als unsichtbares ($A0A0A0A0A0A0) Programm in die
  1544.       Root-Dir (erzwungen durch : ).
  1545.       Beim Test gab es Probleme fuer das Virus-Prg, die richtige Startup-
  1546.       Sequence-Laenge zurueckzuschreiben. Sie muessen also mit dem Total-
  1547.       verlust der Startup-Sequence rechnen. Weiterhin wird die startup-
  1548.       sequence immer wieder verseucht (Beispiel s.u.), OHNE Test auf schon
  1549.       veraendert. Also eine typische ANFAENGER-Programmierung.
  1550.            a0a0a0a0 a0a0200a a0a0a0a0 a0a0200a        .       .
  1551.            a0a0a0a0 a0a0200a a0a0a0a0 a0a0200a        .       .
  1552.            a0a0a0a0 a0a0200a 636c730a 0a020000        .cls.....
  1553.  
  1554.       Hat zwei Zaehlzellen:
  1555.            a) Ausgabe der Deutschlandfarben
  1556.            b) DisplayAlert:
  1557.                     ... another masterpiece by  N A N O  !!!
  1558.         GREETINGS TO:
  1559.         Byte Bandit, Byte Warrior, DEF JAM, DiskDoktors
  1560.         FANTASY, Foundation For The Extermination Of Lamers,
  1561.         I.R.Q. Team, Obelisk Softworks Crew, S.C.A., UNIT A ...
  1562.       VT2.52 erkennt und loescht: 31.03.93
  1563.       Bitte denken Sie daran, auch die startup-sequence zu aendern !!!
  1564.  
  1565.    - Nano 2 FileVirus  Laenge: 1472 Bytes
  1566.       Im Speicher immer ab $7C000, Vektoren werden teilweise nach
  1567.       $7A000 gerettet.
  1568.       Namensbegruendung:
  1569.       Im File ist zu lesen:
  1570.        Virus in 9.91 by Nano  (die Jahreszahl duerfte falsch sein)
  1571.       Ein codierter Bereich fehlt im Gegensatz zu CompuPhagozyte 8
  1572.       ALLE verbogenen Vektoren und Routinen sind gleich, liegen aber
  1573.       natuerlich an verschobenen Speicherstellen, da der Eingangstext
  1574.       von CompuPhagozyte 8 laenger ist. Also lesen Sie bitte das gleiche
  1575.       Verhalten bei CompuPhagozyte 8 nach.
  1576.        Fehlerquelle2 :
  1577.        Das Virusteil verraet sich nach einem Reset und schreibge-
  1578.        schuetzter Disk mit einem SystemRequest:
  1579.                    Volume
  1580.                    xyz
  1581.                    is write protected
  1582.       VT loescht Nano2 . Sie muessen mit einem Editor die 1.Zeile
  1583.       der Startup-sequence loeschen !!!!!!
  1584.  
  1585.    - NaST  29.03.92  File    Laenge: 2608 Bytes
  1586.       auch KS2.04
  1587.       Grundgeruest: BGS9
  1588.          KickMem, KickTag, KickCheckSum, Openwindow (int.lib)
  1589.       Neu: $6c, FindTask, OldOpenLib, NewOpenLib
  1590.            dafuer fehlt decode BitPlanes
  1591.       Herkunft des Namens:  2x im Virus-File zu lesen
  1592.       verschiebt Orig-File unsichtbar nach c
  1593.        $A020A020A020202020A0202020A0
  1594.       VT versucht zuerst rename und falls OrigFile nicht gefunden,
  1595.       wird angeboten das Virus-File allein zu loeschen. Dann muessen
  1596.       Sie aber wahrscheinlich die 1.Zeile der startup-sequence aendern.
  1597.  
  1598.    - Nasty-Nasty  BB  nur KS1.2  immer ab $7F000
  1599.     Cool, DoIo, Userstate, Superstate, Alert
  1600.       Vermehrung und Schaeden:
  1601.          - BB
  1602.          - sobald die Zaehlzelle den Wert 5 erreicht hat:
  1603.                format Disk
  1604.       Das VirusPrg gibt keine Meldung aus. Im BB ist Nasty-Nasty! zu
  1605.       lesen.
  1606.  
  1607.    - NAZI-Virus  BB   s.u.  SCA-PKK  Virus
  1608.  
  1609.    - New Age Virus    Link
  1610.       Verbogener Vektor: DosWrite
  1611.       Verlaengert ein File um 668 Bytes
  1612.       KS 1.3: nein
  1613.       KS 2.0: ja    mit Test ob in dos.lib $4EF9 verwendet wird
  1614.       Nicht Resetfest
  1615.       Verseuchte Files sind SELTEN lauffaehig. VT bietet nur loeschen
  1616.       an.
  1617.       Im verseuchten File ist uncodiert zu lesen:  
  1618.            4bc20000 00030032 4e657720 41676520 K......2New Age
  1619.            56697275 7320a920 31393932 20427920 Virus . 1992 By
  1620.            4576696c 204a6573 7573646f 732e6c69 Evil Jesusdos.li
  1621.       Vermehrungsbedingungen:
  1622.             File groesser 4096 Bytes
  1623.             File kleiner 65536 Bytes
  1624.             File ist ausfuehrbar 3F3
  1625.             Die ersten vier Bytes im 1.Hunk enthalten nicht
  1626.               $4e75 oder $4AFC   (wg. Lib)
  1627.       Das Teil schreibt sich an den Anfang des 1.Hunks und verschiebt
  1628.       den Rest. Die HUNK-Reloc-Behandlungsroutine ist so schlecht, dass
  1629.       kaum ein verseuchtes File richtig arbeiten kann.
  1630.  
  1631.    - NO BANDIT   (siehe unten Virenfinder)
  1632.  
  1633.    - NoCare-Virus   s.o. Labtec-Trojan
  1634.  
  1635.    - No head     s.b. ByteBanditPlus
  1636.  
  1637.    - No Name 1    anderer und richtiger Name :  Byte Bandit 2
  1638.       kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  1639.       SpeicherLage ueber structMemList, Speicherreservierung fuer
  1640.       neuen  BBVirus mit allocmem, Zaehlstelle: Virusstart + $1c
  1641.       Vermehrung: ueber BB
  1642.       Im BB lesbar: trackdisk.device (weit unten)
  1643.       ein ByteBanditClone, ohne Tastaturabfrage, nur 5 Kopien und
  1644.       kuerzer gesetzter Zeit
  1645.  
  1646.    - NoName2   BB   Cool, DoIo, SumKickData  auch KS2.04
  1647.       Vermehrungszaehler: bei mir  $269
  1648.       Es ist mir ein Raetsel, warum dieser BB solange unbemerkt bleiben
  1649.       konnte. Im letzten Jahr hat es kein Virus weiter als $10 ge-
  1650.       bracht. Dann hat ihn jemand spaetestens entdeckt.  ???
  1651.       Erstinstallierung im Speicher von BB:
  1652.       Falls Cool und KickTag nicht Null oder DoIo nicht Original, dann
  1653.       RESET.
  1654.       Nach Installierung und Reset sichert der Virus sein Prg durch
  1655.       AllocAbs.
  1656.       Vermehrung und Schaden:
  1657.       ueber BootBlock
  1658.       Rueckgabewert von SumKickData in d0 enthaelt Wert aus $DFF006.
  1659.       Virus meldet sich NIE. Kein Name versteckt oder codiert, deshalb
  1660.       NoName2 . Im BB ist ab $264  trackdisk.device zu lesen.
  1661.  
  1662.    - No-Guru V2.0   Filelaenge: 1224 Bytes (mit PP-Data-Prg.teil)
  1663.       Nach meiner Meinung nur gefaehrlich fuer AmiExpress-Benutzer
  1664.          (hab ich nicht)
  1665.       verbiegt: Alert, Autorequest
  1666.       Textausgabe im Cli:   u.a.
  1667.          Making life with AmiExpress just that little bit easier...
  1668.       Sucht nach bss:user.data ; Falls vorhanden werden $8000 Bytes
  1669.       geladen. Der geladene Teil wird nach renegade, jock rockwell
  1670.       oder spiral durchsucht und gegebenenfalls geaenderte Daten
  1671.       zurueckgeschrieben.
  1672.       Empfehlung: loeschen
  1673.  
  1674.    - NorthStar   anderer Name: Starfire  s.u.
  1675.  
  1676.    - NoVi   (File)  TerroristsClone s.u.  Laenge:1612 Bytes
  1677.       Aenderungen: TTV1 geaendert in NoVi
  1678.          Orig-File wird jetzt nach sys:c/.fastdir,$A0 verschoben.
  1679.  
  1680.    - Nuked007    siehe bei SHIT
  1681.  
  1682.    - Obelisk1  ( Deutschlandfahne + Graphiktext) Einsprung:cool
  1683.                schreibt in Speicherstelle $00000060 das Wort GURU
  1684.                zerstoert damit den Ausnahmevector, der ins ROM
  1685.                IR-Ebene 7 zeigt !!
  1686.  
  1687.    - Obelisk2   Begin, KickTag, KickCheckSum, Vec5
  1688.                 Einsprung:KickTag ,drei ZaehlZellen, Ausgabe:Graphik-
  1689.                 text mit FormatAndrohung, wird nur durch KopfAnschlag
  1690.                 vorgetaeuscht !! Nachweis mit TrackDisplay !!
  1691.                 Speicherstelle $60 s.o.
  1692.  
  1693.    - O.M.S.A Virus  BB   TimeBomb V1.0 Clone  siehe unten
  1694.          Nur Texte geaendert.
  1695.             Text fuer DisplayAlert:
  1696.            14486568 652e2e2e 4c6f6f6b 73206c69 .Hehe...Looks li
  1697.            6b652079 6f757220 6469736b 20676f74 ke your disk got
  1698.            20667563 6b656421 2054616b 65206120  fucked! Take a
  1699.            73686f77 65722121 21000000 42b90007 shower!!!...B...
  1700.             Namensbegruendung:
  1701.            4f2e4d2e 532e4120 76697275 73207631 O.M.S.A virus v1
  1702.            2e302100 00000000 00000000 00000000 .0!.............
  1703.  
  1704.  
  1705.    - OP1    (Neuseeland)  richtiger Name: Joshua
  1706.  
  1707.    - OPAPA     Begin, KickTag, KickCheckSum, Vec5
  1708.                Zaehlzelle: ja, Vermehrung: ueber BB jedes LW
  1709.                Textausgabe (ueber Graphik) OPAPA-VIRUS READY STEADY FORMAT
  1710.                Kopf steppt nach Track 0 alle LW
  1711.          Clone: 04.03.92   Text entfernt
  1712.  
  1713.    - Overkill VIRUS  BB  Block 0-3  auch KS2.04, immer ab $7F700
  1714.          Cool, KickCheckSum,SumKickData, DoIo
  1715.          fordert trackdisk.device NICHT   = auch HD !!!!!!!
  1716.          Namensbegruendung:
  1717.          decodiert ist im Speicher zu lesen: Overkill by the ENEMY !
  1718.          Decodierroutineteil:
  1719.             sub.b d6,d5
  1720.                         move.b d5,(a5)+
  1721.          holt 4 Bloecke:
  1722.          Block 0 u. 1 = Virus
  1723.          Block 2 u. 3 = OrigBB  nicht codiert
  1724.          Vermehrung:
  1725.          Codiert jeden Virus fuer BB neu in Abhaengigkeit von $DFF006
  1726.          speichert 4 Blocke ab, d.h. ein File das Block 2 u. 3 belegt,
  1727.          wird zerstoert.
  1728.          Schaden: (auch HD!!!!!!!!)
  1729.          - Bestimmt ueber $DFF006 eine Blocknummer
  1730.          - Schreibt ZWEI Bloecke (ist neu) mit Speicherinhalt.
  1731.            d.h. im unguenstigen Fall wird Block1 an das Ende eines Files
  1732.            und Block2 an den Beginn eines zweiten Files geschrieben.
  1733.            Diese Files sind NICHT zu retten. Im 1.ZerstoerungsBlock
  1734.            steht ab $22 Overkill by the ENEMY !. Da KEINE Blockaus-
  1735.            wertung erfolgt, kann auch ein Dir-Block, ListBlock usw.
  1736.            zerstoert werden. Versuchen Sie bitte mit disksalv zu retten,
  1737.            was noch brauchbar ist.
  1738.            Zyl 0 Block  55
  1739.                ^
  1740.          0000: 0007f708 00000000 4afc0007 f7080007 ........J.......
  1741.          0010: ff00011f 00450007 f7220007 f7220007 .....E..."..."..
  1742.          0020: f7d64f76 65726b69 6c6c2062 79207468 ..Overkill by th
  1743.          0030: 6520454e 454d5920 21002879 0007fab0 e ENEMY !.(y....
  1744.            Sie sehen: Es kann auch den Rigid-Bereich erwischen !!!
  1745.  
  1746.            Mit OrigBB koennen Sie den Block2-3 nach Block0-1 kopieren
  1747.            und abspeichern.
  1748.            VT kennt BB und Speicher: 17.10.92
  1749.  
  1750.    - PARADOX I  KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7F800
  1751.                Vermehrung und Schaden: Bootblock
  1752.                Text sichtbar im BB:
  1753.                * A new age of virus-production has begun ...
  1754.                This time PARADOX brings you the "LOGIC BOMB" Virus !!! *
  1755.  
  1756.    - PARADOX II  Kicktag, KickChecksum im Prg. DoIo u $6c, immer $7F000
  1757.                verschluesselt mit move.b $DFF006,D1 und eor.b d1,(a0)+
  1758.                Vermehrung und Schaden: Bootblock
  1759.                Text nach Entschluesselung:
  1760.                This is the second VIRUS by PARADOX  -
  1761.                For swapping call: 42-455416 - ask for Hendrik Hansen
  1762.  
  1763.    - PARAMOUNT  nur KS1.2 Kicktag, KickCheckSum, DoIo, immer $7F800
  1764.                Byte-Warrior-Clone, loescht Cold und Cool
  1765.                fordert trackdisk.device NICHT
  1766.                Vermehrung:BB
  1767.                im BB zu lesen: PARAMOUNT SOFTWORKS usw.
  1768.  
  1769.    - PARATAX   SCA-Clone, Cool immer 7EC3E, nur anderer Text
  1770.  
  1771.    - PARATAX II    Disk-Dokters-Clone, nur KS1.2 da DoIo-ROMEinsprung
  1772.                Cold, Cool, DoIo, im Prg. Vec5
  1773.                im BB sichtbar: PARATAX II
  1774.                clipboard.device durch ".dos.library" ersetzt
  1775.                je nach Zaehlerstand wird eigener BB geschrieben oder
  1776.                Disk ab Cylinder 40 (ROOT) formatiert
  1777.  
  1778.    - PARATAX III    16BitCrewClone   s.o.
  1779.                Unterschied: The 16Bit Crew 1988 in  PARATAX III (!!!)
  1780.                             geaendert
  1781.                eine echte Meisterleistung
  1782.  
  1783.    - Parfum-Virus   Saddam-Disk-Validator-Clone  s.u.            
  1784.            6b2e6465 76696365 00010820 50617266 k.device... Parf
  1785.            756d2056 69727573 00000000 03f30000 um Virus........
  1786.  
  1787.    - PayDay   BB  eigentlich ein AntiVirusBB   schauen Sie unten
  1788.  
  1789.    - PentagonCircle     cool,kickchecksum
  1790.                Fastmem ja, im Speicher immer ab $7fb00, im Prg. noch DoIo
  1791.                testet auf einige Viren, Alert-Meldung
  1792.                Vermehrung: ueber BB
  1793.                Text im BB sichtbar: z.B.
  1794.                The Pentagon Circle VirusSlayer by Mr.Moutainlake!
  1795.  
  1796.    - Pentagon-defekt
  1797.             Es wird ein Pentagon-BB weitergegeben, in dem das
  1798.             4.LW Null ist. Dieser Bootblock ist NICHT bootfaehig.
  1799.  
  1800.    - PentagonVirusSlayer2:  cool, KickCheckSum, immer ab $7f000
  1801.                Fastmem ja, im Prg. DoIo, Programmierung voellig anders
  1802.                als Pentagon, Alert-Meldung
  1803.                Vermehrung: ueber BB
  1804.                Text im BB sichtbar: z.B.
  1805.                The Pentagon Circle VirusSlayer 2 by Mr.Mountainlake!
  1806.  
  1807.    - PentagonVirusSlayer3:  Cool, KickCheckSum, immer ab $7e000
  1808.                Fastmem ja, im Prg. DoIo, FindResident
  1809.                Alert-Meldung
  1810.                Vermehrung: ueber BB
  1811.                Text im BB sichtbar: z.B.
  1812.                The Pentagon Circle VirusSlayer by Mr.Mountainlake!
  1813.  
  1814.    - PentagonCircle 4    cool,kickchecksum
  1815.                im Speicher immer ab $7fb00, im Prg. noch DoIo
  1816.                beim Booten immer GURU !!!  Grund: es hat jemand geschafft
  1817.                "dos.libr" zu erzeugen. Der Rest fehlt. ABER !!!!
  1818.                bevor diese Fehlerquelle erreicht wird, wurde schon Cool
  1819.                verbogen. Wenn Sie jetzt nur 512 kb Chipmem haben und beim
  1820.                2. Start die Maustaste druecken, wird der Bildschirm gruen.
  1821.                Jetzt legen Sie einen "echten" BB ein und schon kann sich
  1822.                der Pentagon-BB vermehren. Aber auch der vermehrte BB
  1823.                enthaelt obengenannten Fehler.
  1824.                Empfehlung deshalb : sofort loeschen
  1825.  
  1826.    - PERVERSE I  anderer Name: BOOTX-Virus  s.o.
  1827.  
  1828.    - PHA Trojan     Filename: pha-1994.exe
  1829.       Begleittext:    P H E N O M E N A  ' 9 3 - SWEDISH ELITE! usw.
  1830.       siehe auch bei CLP-Trojan, UA62-ACP-Trojan
  1831.       ZerstoerungsFile:
  1832.       Gepackt:  Laenge  57508 Bytes
  1833.       Entpackt: Laenge 120624 Bytes
  1834.       Keine verbogenen Vektoren.
  1835.       Keine Vermehrung
  1836.       Es handelt sich um eine CLP-Variante (Text geaendert), die an
  1837.       ein XCopy mit Weihnachtsmotiv gehaengt wurde (mit 4EB9-$EF9-Link).
  1838.       Im XCopy-Teil wurde eine Versionsangabe gefunden:xcopver
  1839.            24564552 3a205843 6f707920 31322e39 $VER: XCopy 12.9
  1840.            33006100 2d286100 01c02c79 00000004 3.a.-(a...,y....
  1841.       Ob es diese Version wirklich gibt, kann ich nicht sagen.
  1842.       Schaden:
  1843.       Schreibt in alle Files in S: egal ob Data oder Prg. einen Text.
  1844.       Ed-startup vorher:
  1845.            73692030 20203120 2250726f 6a656374 si 0  1 "Project
  1846.            220a7369 20312020 3220224f 70656e2e ".si 1  2 "Open.
  1847.            2e2e2020 20204553 436f7022 20226f70 ..    ESCop" "op
  1848.            203f202f 46696c65 3a202f22 0a736920  ? /File: /".si
  1849.            32202034 0a736920 33202032 20225361 2  4.si 3  2 "Sa
  1850.       Ed-startup nachher:
  1851.            64522e57 486f2077 69736865 7320796f dR.WHo wishes yo
  1852.            75206120 68617070 79206e65 77207965 u a happy new ye
  1853.            6172212e 2e2e2054 68697320 77617320 ar!... This was
  1854.            646f6e65 20696e20 31737420 6a616e75 done in 1st janu
  1855.            61727920 31393934 2054494d 453a2030 ary 1994 TIME: 0
  1856.            393a3030 2e2e2e20 68616821 2e2e2e20 9:00... hah!...
  1857.            4f4b2e2e 2e205068 756b6b20 74686973 OK... Phukk this
  1858.            20677579 73207570 20666f72 20757320  guys up for us
  1859.            3a205248 59532f46 4149524c 49474854 : RHYS/FAIRLIGHT
  1860.            2c204543 484f2647 5549444f 20414e44 , ECHO&GUIDO AND
  1861.            20414c4c 204e415a 49205348 49544845  ALL NAZI SHITHE
  1862.            41445321 2053544f 50204641 53434953 ADS! STOP FASCIS
  1863.            4d202a4e 4f57212a 2e2e2e20 20202f64 M *NOW!*...   /d
  1864.            522e5748 4f212022 0a736920 38202031 R.WHO! ".si 8  1
  1865.       Die Files werden unbrauchbar und VT bietet loeschen an. Die
  1866.       Wirkungsweise ist also aehnlich wie bei CLP-Trojan (hab ich
  1867.       nicht).
  1868.       Fileerkennung:
  1869.       gepackt: VT erkennt PHA Trojan mit FRAGEZEICHEN. VT kann sich
  1870.       also taeuschen. Bitte kopieren Sie das Teil auf eine leere
  1871.       Disk und entpacken sie das Teil mit einem Prg. ihrer Wahl.
  1872.       entpackt: VT erkennt PHA Trojan ohne Fragezeichen. Es handelt
  1873.       sich um einen 4EB9-4EF9-Link. Wenn Sie das XCopy-Teil unbedingt
  1874.       ausprobieren wollen, so waehlen Sie Ausbau. Falls das Teil nach
  1875.       dem Ausbau NICHT laeuft, dann gehen Sie bitte in den Filerequester
  1876.       und schalten dort mit 1Linkaus das Trojanteil ab. Aber noch einmal:
  1877.       Ich kenne dieses XCopy-Teil NICHT. Es koennen sich in diesem Teil
  1878.       weitere Gemeinheiten befinden. Kaufen Sie ein Original-XCopy, wenn
  1879.       Sie so etwas brauchen.
  1880.  
  1881.    - PIF-Virus  s.o. bei MENEM'S REVENGE
  1882.        Der codierte DisplayAlert-Text ist nicht geaendert.
  1883.  
  1884.    - PLASTIQUE  BB      Cool $7ED5E   immer ab: $7EC00  auch KS2.04
  1885.          von der Definition kein Virus, da keine Vermehrung. Die
  1886.          Routinen sind zwar vorhanden, werden aber NIE erreicht.
  1887.  
  1888.          Namensbegruendung:  im BB zu lesen:
  1889.            00000000 00000000 00000000 003e3e3e .............>>>
  1890.            2050204c 20412053 20542049 20512055  P L A S T I Q U
  1891.            20452020 3c3c3c2e 2e2e2e00 00000000  E  <<<.........
  1892.  
  1893.      Grundgeruest ist der 16-Bit-Crew-BB. Der Cool-Einsprung
  1894.          wurde geaendert, deshalb ist keine Vermehrung ueber DoIo
  1895.          moeglich.
  1896.          Schaeden: Sobald eine Zaehlzelle den Wert #10 erreicht hat,
  1897.          werden mehrere Vektoren auf den ROM-Beginn verbogen, d.h.
  1898.          sobald die Vektoren benutzt werden, wird ein Absturz her-
  1899.          vorgerufen.
  1900.    - POLISH   BB            Cool, DoIo  auch KS2.04
  1901.          BB codiert mit Wert aus $DFF006
  1902.          Schaeden:
  1903.          Vermehrung mit BB
  1904.          Sobald Zaehlzelle 8 erreicht hat: DisplayAlert
  1905.          Unterschied zu anderen Chaos-BBen:
  1906.               add.b d0,(a0)+  durch  eor.b d0,(a0)+  ersetzt.
  1907.          Decodierter DisplayAlert-Text:
  1908.            61636b64 69736b00 00960c50 4f4c4953 ackdisk....POLIS
  1909.            4820502d 31422049 53205255 4e4e494e H P-1B IS RUNNIN
  1910.            472e2e20 20202020 2047454e 45524154 G..      GENERAT
  1911.            494f4e20 3a203030 32320000 000048e7 ION : 0022....H.
  1912.          siehe auch: Chaos, Taipan-Lameblame, CHEATER HIJACKER, Taipan-
  1913.           Chaos, Lameblame,
  1914.  
  1915.    - POWERBOMB  ByteBandit/Forpib-Clone    s.o.
  1916.          Text: POWERBOMB SYSTEMS PRESENTS: BYTE BANDIT V2.0 !!!
  1917.  
  1918.    - PowerTeam  BB    KickTag, KickCheckSum, BeginIo
  1919.                nicht mit KS2.04
  1920.                Teile des BB's codiert mit eor.w d1,(a0)+
  1921.                Schaeden:
  1922.                - Sobald die Zaehlzelle den Wert $a erreicht hat,
  1923.                  Textausgabe mit DisplayAlert und dann bei mir
  1924.                  Absturz. Text:
  1925.                   Virus Meditation #0026051990.PowerTeam
  1926.  
  1927.    - PP-Bomb   Powerpacker, File-Trojan, keine Vermehrung, Vers.Nr. 3.2
  1928.       - 3 Programmteile
  1929.          - kurzer CodeHunk mit 2 jsr-Befehlen (notwendig fuer Ablauf)
  1930.          - crunched Bomb-Teil
  1931.          - Powerpacker 3.0b (ich glaube: NICHT veraendert und nicht ge-
  1932.                              crunched)
  1933.       Bomb-Teil:
  1934.       wird zuerst angesprungen, decrunched Laenge: 9880 Bytes
  1935.       Aztec-Prg mit dt. Fehlermeldungen (z.B. Fehler bei DISKFONTBASE)
  1936.       - sucht zuerst SnoopDos-Task; falls ja Bomb-Ende
  1937.       - sucht in c von dh0: und/oder dh1: nach why und setzt das File
  1938.         auf 0 Bytes
  1939.       - enthaelt alle Dos-Befehle um Files zu veraendern (sucht auch
  1940.         auf dh0: und dh1:, ist getestet).
  1941.       - soll AmiExpress veraendern (hab ich nicht)
  1942.       - weitere Eintraege: BBS: DH0:BBS/ DH1:BBS/ DH0: DH1:
  1943.       Ursprung:
  1944.                   qtx_pow.lzh       139670 Bytes
  1945.       Empfehlung:  (s.u.)
  1946.         loeschen und Original-Powerpacker aufkopieren
  1947.       Nachtrag 29.12.92: Es wurde mir ein weiteres verseuchtes File
  1948.         zugeschickt.  Name: snap   Laenge: 44260 Bytes
  1949.         Daraufhin wurden die Linkversuche mit PP wiederholt und mit
  1950.         snap neu durchgefuehrt. An beide Files kann sich der PP-Bomb-
  1951.         Teil  NICHT  von selbst linken. Es hat also jemand nachgehol-
  1952.         fen.
  1953.       Nachtrag 30.12.92: Es wurde in VT eine PP-Bomb-Ausbauroutine
  1954.         eingebaut. Diese Routine koennte wackeln. Fertigen Sie BITTE
  1955.         deshalb VOR dem Ausbauversuch ein Kopie an. Testen Sie nach
  1956.         dem Ausbau bitte die Lauffaehigkeit des verkuerzten Programms.
  1957.         Danke
  1958.       Nachtrag 16.02.93: Es ist ein weiterer PP-Bomb Clone aufgetaucht.
  1959.         Haengt an Died. Died verseucht Laenge: 67028 Bytes
  1960.         Ausgabe: PP-Bomb 2
  1961.         Besonderheit: Das PP-Bomb-Trojan-Teil wurde in der Laenge ge-
  1962.         kuerzt !!! Da im gepackten Teil eine Hunk-Kennung von $3EA auf
  1963.         $3E9 geaendert wurde, besteht Absturzgefahr ???? (2.Start von
  1964.         verseuchtem Died auf A4000 = GURU)
  1965.         Erkennung und Ausbau mit VT getestet: 16/17.02.93
  1966.       Nachtrag 17.02.93: Es ist ein weiterer PP-Bomb Clone aufgetaucht.
  1967.         Haengt an MegaMon. MegaMon verseucht Laenge: 26856 Bytes
  1968.         Ausgabe: PP-Bomb 3
  1969.         Besonderheit: Das PP-Bomb-Trojan-Teil wurde in der Laenge ge-
  1970.         kuerzt !!!
  1971.         Erkennung und Ausbau mit VT getestet: 17.02.93
  1972.       Nachtrag 10.12.93: Es ist ein weiterer PP-Bomb Clone aufgetaucht.
  1973.         Haengt an Died V2.8 .
  1974.         Died V2.8 verseucht UND gepackt Laenge: 31320 Bytes
  1975.         Besonderheit: Es handelt sich um das verseuchte Died-Prg. (s.o.).
  1976.         Die ASCII-Version wurde erhoeht, der PP-Bomb-Teil mit $4eb9 ange-
  1977.         linkt und dann das ganze File noch gepackt.
  1978.         VT bietet loeschen an.
  1979.         Wenn Sie das Died-Prg. V2.8 umbedingt haben wollen (es ist wirk-
  1980.         lich nur ein ASCII-Fake), so entpacken Sie bitte das Prg. Danach
  1981.         bietet VT Ausbau an.
  1982.         Died V2.8 Virusteil ausgebaut Laenge: 61692 Bytes
  1983.         Erkennung und Ausbau mit VT getestet: 10.12.93
  1984.       Nachtrag 25.12.93: Es ist ein weiterer PP-Bomb Clone aufgetaucht.
  1985.         Haengt an ModuleMaster V1.7 .
  1986.         ModuleMaster verseucht Laenge :    20364 Bytes
  1987.         ModuleMaster Virusteil ausgebaut : 15108 Bytes
  1988.         Ausgabe: PP-Bomb 4
  1989.         Erkennung und Ausbau mit VT getestet: 25.12.93
  1990.       PP-Bomb-Virusteil entpackt Auszug:
  1991.                                       42425300             BBS.
  1992.            44483000 44483100 44483000 44483100 DH0.DH1.DH0.DH1.
  1993.            4242533a 00444830 3a424253 2f004448 BBS:.DH0:BBS/.DH
  1994.            313a4242 532f0044 48303a00 4448313a 1:BBS/.DH0:.DH1:
  1995.             ......
  1996.                     536e6f6f 70446f73 00433a57 `...SnoopDos.C:W
  1997.            68790077                            hy.w
  1998.  
  1999.    - PRIMAVERA-Virus   BB    EXTREME-Clone  siehe oben
  2000.         Nur Text geaendert. Im BB ist zu lesen:
  2001.            696f6e2e 6c696272 61727900 00b01554 ion.library....T
  2002.            68652052 65747572 6e206f66 20507269 he Return of Pri
  2003.            6d612056 65726120 56697275 73212121 ma Vera Virus!!!
  2004.  
  2005.    - Pstats-Virus  File  Laenge ungepackt: 19784 Bytes
  2006.         GFA-Basic-Programm. Keine verbogenen Vektoren
  2007.         Zielgerichtet gegen PHOBOS. Ein Mailbox-Programm (kenne ich nicht).
  2008.         Bleibt nicht im Speicher. Von der Definition ein reines Zer-
  2009.         stoerungsprogramm und kein Virus, da keine Vermehrung. Also KEINE
  2010.         Gefahr fuer "normale" Amiga-User. Es wird nach einigen Filenamen
  2011.         gesucht und dann deren Inhalt mit Speichermuell ueberschrieben.
  2012.               S:PHOBOS.CONF
  2013.               NETZCONFIG
  2014.               BRETTERCONFIG
  2015.               USERCONFIG
  2016.         Einige der oben genannten Filenamen werden auch noch mit der Er-
  2017.         weiterung .TAPO, .BAK, .CONF1 usw. gesucht. Nach der Zerstoerungs-
  2018.         arbeit wird also das Mailboxsystem nicht mehr laufen.
  2019.         Empfehlung: loeschen
  2020.         Es gibt da nichts auszubauen, da das Virusteil IM GFA-Teil sitzt.
  2021.         Der Programmierer MUSS also den sourcecode von pstats besitzen.
  2022.         Zumindestens ist mir kein Recompiler fuer GFA-Basic bekannt.
  2023.  
  2024.  
  2025.    - Pseudoselfwriter   andere Namen: Selfwriter, Lamer7
  2026.  
  2027.    - PVL.BB   (L)
  2028.         Nach meiner Meinung NIE lauffaehig. Warum er dann doch hier
  2029.         steht. Weil dieser BB als Virus weitergegeben wird und damit
  2030.         die Erbsenzaehler eine Ruhe geben. Ich habe auf jeder Maschine
  2031.         nur den GURU gesehen und wenn man versucht den BB zu re-
  2032.         assemblieren, sieht man auch warum.
  2033.         Versucht durch Text zu taeuschen:
  2034.            00261054 68697320 4469736b 20497320 .&.This Disk Is
  2035.            6e6f7420 496e6665 63746564 20427920 not Infected By
  2036.            416e7920 4b696e64 204f6620 56697275 Any Kind Of Viru
  2037.            73204974 73204f6b 61792021 00010012 s Its Okay !....
  2038.            204c6566 74204d6f 75736542 7574746f  Left MouseButto
  2039.            6e3a2043 6f6e7469 6e756520 776f726b n: Continue work
  2040.            202c2052 69676874 204d6f75 73654275  , Right MouseBu
  2041.            74746f6e 3a204272 65616b20 20200000 tton: Break   ..
  2042.            00341054 68697320 6469736b 20697320 .4.This disk is
  2043.            6f6b6179 20636f6e 74696e75 65207769 okay continue wi
  2044.            74682079 6f757220 776f726b 696e6720 th your working
  2045.            20200001 0012204c 65667420 4d6f7573   .... Left Mous
  2046.            65427574 746f6e3a 20436f6e 74696e75 eButton: Continu
  2047.            6520776f 726b202c 20526967 6874204d e work , Right M
  2048.            6f757365 42757474 6f6e3a20 42726561 ouseButton: Brea
  2049.            6b202020 0000ffff ffffffff ffffffff k   ............
  2050.  
  2051.  
  2052.    - QRDL V1.1  Link verlaengert ein File um 2320 Bytes
  2053.      Vermehrung nur gelungen mit KS1.3 und Chip 512 kein Fastmem
  2054.      KS37.300 (A600) : immer GURU 3
  2055.  
  2056.          Haengt sich als 1.Hunk (neuer) ein.
  2057.          Zuerst gefunden an: PPLoadSeg  Laenge verseucht: 3484 Bytes
  2058.          Namensbegruendung: nach eor.b d5,(a0)+ ist im Speicher zu
  2059.          lesen:
  2060.            00000000 28432931 3939322D 30342D31 ....(C)1992-04-1
  2061.            36205152 444C2E20 52656C65 61736520 6 QRDL. Release
  2062.            312E3120 426F726E 20696E20 506F6C61 1.1 Born in Pola
  2063.            6E642C20 47727420 746F204A 61636B20 nd, Grt to Jack
  2064.          Verbogene Vektoren je nach Aktivierungsstand:
  2065.            Cool, DoIo, NewOpenLib, OpenWindow, $78(a6)->,
  2066.          Schaden A:
  2067.            Sucht den BitMapBlock einer Disk und gibt alle Bloecke
  2068.            frei. Fehler konnte erzeugt werden.
  2069.          Schaden B:
  2070.            Linkt sich an das erste File der startup-sequence.
  2071.            Mit KS1.3 (s.o.) gelungen
  2072.  
  2073.            Speichererkennung getestet:        20.11.92
  2074.            Fileerkennung und Ausbau getestet: 20.11.92
  2075.        Hinweis: Sie muessen auf Aufforderung PPLOADSeg loeschen,
  2076.            sonst besteht die Gefahr, dass VT den QRDL im Speicher
  2077.            uebersieht. Ich wiederhole mich ungern, aber noch einmal:
  2078.            Fuer einen sinnvollen Filetest mit VT  MUSS!!!! der Speicher
  2079.            sauber sein. Dies gilt nicht nur fuer QRDL, sondern allge-
  2080.            mein.
  2081.  
  2082.    - RAF-Virus  BB  WARHAWK-Clone  s.u.
  2083.            Nur Text geaendert. Eine Meisterleistung
  2084.            Im BB ist zu lesen:
  2085.            4b54494f 4e2e2020 20204120 56495255 KTION.    A VIRU
  2086.            53204120 44415920 4b454550 53205448 S A DAY KEEPS TH
  2087.            4520424f 4f54424c 4f434b53 20415741 E BOOTBLOCKS AWA
  2088.            59212121 21212120 20205241 46002c28 Y!!!!!!   RAF.,(
  2089.          Hinweis: Das Programm sichert den Bereich ab $7E600 NICHT.
  2090.          D.h. ein anderes Prg. z.B. VT kann genau an diese Stelle
  2091.          geladen werden. Da der verbogene Coolzeiger in der Exec
  2092.          liegt und dieser Bereich ja geschuetzt ist, kann es zur Aus-
  2093.          gabe "unbekanntes Prg" kommen. Mit 5 MB wurde dieses Virusteil
  2094.          im Speicher richtig erkannt, aber natuerlich bleibt unter KS1.3
  2095.          bei dieser Speichergroesse, nach einem RESET das Prg. nicht er-
  2096.          halten und eine Vermehrung ist ueber DoIo nicht moeglich.
  2097.  
  2098.    - Random Access      CopperIntro
  2099.          schreibt GURU nach $60, nicht resident, keine Vermehrung
  2100.          Empfehlung: sofort loeschen
  2101.          von der Definition KEIN Virus, aber schaedlich wg. $60
  2102.  
  2103.    - Red October V1.7  Link   Name im Prg nicht nachvollziehbar
  2104.          auch KS2.04, Laenge Ursprungsfile ungepackt: 1296 Bytes
  2105.          keine verbogenen Vektoren, schnelle Vermehrung (20min eine
  2106.          Disk komplett verseucht). Haengt sich vor den ersten Hunk
  2107.          und verlaengert das File um 1296 Bytes. In einem verseuchten
  2108.          File ist um $500 zu lesen: timer.device, dos.library, ram:
  2109.          ram:1 . Virus meldet sich NIE. Manche verseuchten Files ver-
  2110.          suchten zwar noch erfolgreich eine Vermehrung, aber bei Aus-
  2111.          fuehrung des eigentlichen Prg.s GURU. VT versucht auch diese
  2112.          Files retten.
  2113.       Schaeden in Abhaengigkeit von der Computer-Systemzeit:
  2114.             Computer-Sekunden teilbar durch 3 = Vermehrungsversuch
  2115.             Computer-Sekunden teilbar durch 16 = RESET
  2116.         Vermehrungsbedingungen:
  2117.          - nur bei Aufruf eines verseuchten Files
  2118.          - sucht mit lock, info, examine, exnext andere Files
  2119.          - testet auf Schreibschutz (#80)
  2120.          - File ausfuehrbar ($3F3)
  2121.          - File kleiner #50000
  2122.          - File noch nicht befallen
  2123.          - KEIN Test auf Disk voll
  2124.       VT-Test: 27.03.92  Ursprungsfile wird geloescht (da gibt es
  2125.           nichts auszubauen).
  2126.           Aus verseuchten Files (auch GURU-Files s.o.) wird Link aus-
  2127.           gebaut. ALLE Files waren wieder im Originalzustand und voll
  2128.           lauffaehig.
  2129.  
  2130.    - Registrator-Virus  File  s.o. bei AeReg.BBS-Trojan
  2131.  
  2132.    - Rel 01.28 Virus   File  s.o. DOOR_BELLS-Virus
  2133.  
  2134.    - Rene    anderer Name: bei mir Lamer8
  2135.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  2136.          das Verhalten einem Lamervirus entspricht, halte ich eine
  2137.          Zuordnung zur Lamer-Gruppe fuer richtig.
  2138.  
  2139.    - REP-Virus    SCA-Clone  nur Text geaendert
  2140.           32165468 65204d65 67612d4d 69676874 2.The Mega-Might
  2141.           79205245 50202121 dc6e0000 4ef90000 y REP !!.n..N...
  2142.           00004121 52455021 52455021 52455021 ..A!REP!REP!REP!
  2143.  
  2144.    - Return Of The Lamer       PrgFileVirus    Laenge 1848 Bytes
  2145.             nur KRESET (Entschuldigung)
  2146.          tarnt sich als Disk-Validator
  2147.          KickTag, KickCheckSum, BeginIo und andere
  2148.          zu erkennen an: hat im Gegensatz zum Orig.Disk-Validator keinen
  2149.          lesbaren ASCII-Text
  2150.          Schaeden in Abhaengigkeit von der Zeit:
  2151.          a) bestimmt eine Blocknummer ueber $DFF007 und schreibt 64 x
  2152.             LAMER!!! hinein
  2153.          b) Fastformatroutine fuer alle Laufwerke und ueber DisplayAlert
  2154.             Textausgabe:
  2155.             The Return Of The Lamer Exterminator
  2156.          c) schreibt den falschen Disk-Validator auf Disk
  2157.  
  2158.    - Revenge Bootloader!  Begin, KickTag, KickCheckSum, Vec5
  2159.                Fastmem: nein
  2160.                Vermehrung ueber BB
  2161.  
  2162.    - Revenge V1.2       cool,doio,vec5 , im Speicher immer $7e000
  2163.            und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  2164.           Vermehrung: ueber BB
  2165.          Schaden: nach einger Zeit neuer Mauszeiger
  2166.          im BB sichtbar: Revenge V1.2GCount:
  2167.  
  2168.    - Revenge of the Lamer   PrgFileVirus Laenge 4560 Bytes
  2169.                nur KRESET (Entschuldigung)
  2170.                es werden mir zuviele Zeiger verbogen (10!!)
  2171.                entschluesselt steht im Speicher:
  2172.                dos.library.graphics.library.intuition.library.
  2173.                trackdisk.device.DOS s/startup.sequence   usw.
  2174.                Name:$A0A0A0A0A0 steht im Hauptverzeichnis und
  2175.                1.Zeile Startup
  2176.                testet vor Vermehrung ob genuegend Platz auf Disk ist
  2177.                nach 6 Resets (denke ich), Formatieren aller eingelegten
  2178.                nicht schreibgeschuetzten Disks
  2179.                3 Seiten Alert-Meldung
  2180.  
  2181.    - Revenge of the Lamer 2
  2182.                PrgFileVirus   Laenge 4448 Bytes
  2183.                einige Write-Test-Routinen fehlen,
  2184.                sonst wie Revenge of the Lamer
  2185.  
  2186.    W A R N U N G: es ist mir beim Testen gelungen, Revenge of the
  2187.       Lamer 1 u. 2 so zu vermehren, dass SID und andere Prg.e die
  2188.       5 A0  n i c h t  anzeigen. Mein FileRequester auch nicht. Das
  2189.       VirusPrg. wird aber  a u c h  bei diesen Disks aktiviert und
  2190.       vermehrt sich !!!  Mit einem DiskMonitor kann das Prg. ge-
  2191.       funden werden. Bei meinem PrgTest erscheint dann:
  2192.                Rev. Lam. unsichtbar
  2193.       Dies ist kein Schwachsinn, sondern der Sachverhalt wurde von
  2194.       anderen Programmierern nach meiner Entdeckung gegengeprueft und
  2195.       eine Fehlfunktion bei ExNext KS1.3 entdeckt. Dieser Fehler ist
  2196.       bei KS2.0 behoben.
  2197.       (vgl. auch Fish 429  Dr.doc)
  2198.  
  2199.    - RIPPER             Programcode = Northstar, nur anderer Text
  2200.                         cool im Prg. DoIo  immer ab $7ec00
  2201.                         Vermehrung: BB
  2202.       Text (auch im BB sichtbar):ATARI KILLS COMMODORE! RIP! RIP THE RIPPER
  2203.       usw.
  2204.  
  2205.    - Riska   Forpib-Clone     s.o.
  2206.  
  2207.    - Rob Northern   File    Laenge: 2616    BGS9 Clone  s.o
  2208.          Rob Northern im File lesbar
  2209.          Anfaengeraenderung:      !!!!
  2210.          testet immer noch auf TTV1 obwohl nicht mehr vorhanden
  2211.          schreibt nur 2608 Bytes zurueck (Geruechte behaupten, dies
  2212.          waere die Originallaenge von BGS9 ???)
  2213.          vergisst 3F3 zu schreiben
  2214.          d.h. ein vermehrtes Prg ist NICHT mehr lauffaehig
  2215.          d.h. die startup-sequence einer verseuchten Disk bricht ab
  2216.          VT findet weiterhin BGS9 im Speicher.
  2217.          Bei BlockKette wird Rob nicht gefunden, da 3F3 fehlt.
  2218.          Ausbau mit FileTest.  Stand 14.03.92
  2219.  
  2220.  
  2221.    - Rude Xerox = DIGITAL AGE = Forpib-Clone
  2222.          nur Text geaendert
  2223.  
  2224.    - SACHSEN VIRUS NO.1    Cool, immer ab $78000
  2225.          fordert trackdisk.device
  2226.          BB-Teile codiert mit  move.b #$70,d0
  2227.                                add.b d0,(a0)+
  2228.          decodiert im Speicher: ** SACHSEN VIRUS NO.1 ** usw
  2229.          Vermehrung: BB
  2230.          sonst keine Schaeden und keine Meldung
  2231.          GURU-Gefahr: sobald das Virus im Speicher ist und ein RESET
  2232.          ausgefuehrt wird, wird CloseDevice verbogen. Mit FastMem ab
  2233.          $200000 dann GURU.
  2234.  
  2235.    - SACHSEN VIRUS NO.3    Cool, DoIo, Wait, immer ab $78000
  2236.          belegt Block 0-3  (d.h. ein File ab Block 2 wird auch zerstoert.
  2237.          Fordert trackdisk.device NICHT  (HD!!!!)
  2238.          Alle Texte codiert.
  2239.          Vermehrung: BootBlock 0 - 3
  2240.          Schaeden:
  2241.          Schreibt nach Block 880 (Root bei Disk) neuen Disknamen
  2242.             SACHEN NO.3 ON DISK !!!
  2243.          Schreibt in Block (abhaengig von $DFF006) 64 x SACHSEN3
  2244.          Sollte dieser Block in einem File liegen, so ist dieses
  2245.          File NICHT mehr zu retten.
  2246.          DisplayAlert und dann RESET
  2247.             SACHSEN VIRUS NO.3 in Generation :        is running...
  2248.                (bei mir Generation 23)
  2249.  
  2250.    - SADDAM HUSSEIN Bootblockvirus    (vgl. auch BlowJob)
  2251.          KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7f000
  2252.          Taeuscht durch Text im Bootblock:
  2253.          A2000 MB Memory Controller V2
  2254.          Vermehrung und Schaden: Bootblock
  2255.          Sobald die Zaehlzelle den Wert $7530 erreicht hat, wird ein
  2256.          Programmteil mit subi.b #$71,D0 entschluesselt und mit display-
  2257.          Alert der Text ausgegeben:
  2258.           TOO BAD BROTHER ... SADDAM HUSSEIN STRIKES BACK !!!
  2259.           THE ONLY ESCAPE IS TO TURN THE POWER OFF !!!
  2260.  
  2261.  
  2262.    - SADDAM-VIRUS     Disk-Validator   Laenge:1848 Bytes
  2263.       KS2.04 und hoeher NEIN  (Disk-Validator liegt da im ROM)
  2264.       Festplatte NEIN  (es wird mit trackdisk.device gearbeitet)
  2265.       HINWEIS: wird manchmal von VirusX mit Australian Parasite
  2266.       verwechselt !!!!
  2267.       Das erste Virusprogramm, das mit 1 MB Chip, Kick1.3 und OHNE
  2268.       setpatch r einen Reset mit der Tastatur uebersteht !!!!!!!!
  2269.       Cold, BeginIo, Close im Trackdisk.device, Rasterstrahl $90(a6)
  2270.       im Prg. dann noch OpenWindow, InitResident, direkte Dos.lib-Ein-
  2271.       spruenge.
  2272.  
  2273.       entschluesselt im Speicher mit:    eor.b d0,(a0)+
  2274.                                          subq.l #2,d0
  2275.                                          dbra d1,loop
  2276.  
  2277.       Zum Verschluesseln eines neuen SADDAM-Disk-Validators wird
  2278.       ein Wert aus $DFF007 in d0 abgelegt.
  2279.  
  2280.       Speicherlage: SysStkLower - veraenderter Wert aus $DFF007 - Virus-
  2281.                     programmlaenge
  2282.  
  2283.       Name decodiert: " SADDAM VIRUS"
  2284.  
  2285.       Schaeden und Gefahren:
  2286.       Das Einlegen einer Disk mit ungueltiger BitMap genuegt,
  2287.       um SADDAM zu aktivieren !!!!
  2288.       abhaengig von der Zaehlzelle:
  2289.       KopfStep alle Laufwerke (Disk danach BAD) und DisplayAlert:
  2290.                             SADDAM-VIRUS
  2291.       Ueberschreibt jeden echten Disk-Validator auf einer ungeschuetzten
  2292.       Disk !!!!!
  2293.       Falls auf einer Disk kein l-Dir vorhanden ist, wird es erstellt
  2294.       und dann der verseuchte Disk-Validator hineinkopiert. Noch KEIN
  2295.       anderes Virusprogramm hat Unterverzeichnisse angelegt !!!!
  2296.       Sucht ueber den FileHeaderBlock den ersten FileDataBlock und
  2297.       schreibt in T.DATA das LWort IRAK . Der Rest des FileDataBlocks
  2298.       wird mit    eor.l d1,(a0)+
  2299.                   dbra d0,loop
  2300.               verschluesselt. Bei aktivem SADDAM-VIRUS wird statt IRAK
  2301.       der richtige Wert 8 angezeigt! (Taeuschung !! vgl. Lamergruppe,
  2302.       die sauberen BB vortaeuscht!)
  2303.       Schreibt manchmal in ROOT in $13c (=Zeiger auf BitMapBlock) den
  2304.       Wert Null. Mit Glueck finden Sie in $140 den Originalwert (abge-
  2305.       legt vom Virusprogramm) .
  2306.       Wenn Sie Pech haben, hat ein anderer Virusprogrammteil diese
  2307.       Stelle kurz danach auch auf Null gesetzt. Versuchen Sie dann mit
  2308.       einer Bootdisk den OriginalDisk-Validator zu starten oder versuchen
  2309.       Sie mit einem Disk-Monitor zu Fuss den BitMapBlock zu finden und
  2310.       wieder in $13c einzutragen. Oder lesen Sie BitMapTest.dok (11.07.91)
  2311.       Hinweis: Versuchen Sie bitte NICHT decode IRAK auf einem fms.device
  2312.          (Grund: phys. und logischer Block verschieden). Sie muessen
  2313.          IRAK auf einer Disk decodieren !!!!!
  2314.       Hinweis 2: Ich besitze inzwischen (21.10.91) einen SADDAM-Disk-
  2315.          Validator mit der Laenge: 1892 Bytes . Dieser Disk-Validator
  2316.          aktiviert sich trotz Null in $138 und $13c nicht, sondern der
  2317.          System-Requester erscheint !!!!
  2318.       Hinweis 3: Um IRAK-codierte Bloecke zu reparieren, verwenden Sie
  2319.          bitte BlockITest. Geht sehr schnell im Vergleich zum FileTest.
  2320.          Danke
  2321.       Hinweis 4  28.07.93
  2322.          WICHTIG !!!!!  Dieser Hinweis gilt NUR fuer KS1.3, da ab KS2.04
  2323.          der Disk-Validator im ROM sitzt.
  2324.          Es handelt sich um ein "brutales" Vorgehen, das Sie nur als
  2325.          letzte Rettung verwenden sollten.
  2326.          Mir wurde eine Disk zugeschickt, die neben dem SADDAM-Disk-Vali-
  2327.          dator auch noch jede Menge bad-HeaderKey-Fehler hatte. Der
  2328.          Bitmapzeiger war noch in Ordnung !!! und es waren noch keine
  2329.          Files codiert.
  2330.          Unter KS2.04 konnte das Virus-File ohne Probleme geloescht wer-
  2331.          den.
  2332.          Aber mit KS1.3 gab es Probleme wegen der anderen Fehler.
  2333.          Gefundener und mehrmals wiederholter Weg:
  2334.           - Man braucht KS1.3 (und nur dann kann dieser Weg notwendig
  2335.                                sein, zusaetzliche Fehler siehe oben)
  2336.           - Eine SCHREIBGESCHUETZTE Bootdisk mit sauberen Disk-Validator
  2337.           - Eine verseuchte Disk mit zusaetzlichen Fehlerquellen.
  2338.          Ablauf:
  2339.          Starten Sie VT
  2340.          Falls VT SADDAM im Speicher findet, loeschen.
  2341.          Dann RootblockTest
  2342.             - bei Bedarf Bitmapzeiger richten
  2343.             - Disk-Validator umbenennen in fal.DisV
  2344.          Dann BlockITest
  2345.             - sobald VT SADDAM findet
  2346.                  - zeigen
  2347.                  - loeschen  (Frage nach Filetest ignorieren)
  2348.          Dann BB->File->BB
  2349.             - Laufwerk waehlen
  2350.             - L waehlen
  2351.             - fal.DiskV anklicken
  2352.             - Delete
  2353.          Falls jetzt groessere Fehler ausser SADDAM auf der Disk sind,
  2354.          erscheint ein GURU. (Hat nichts mit VT zu tun, sondern mit
  2355.          dem Betriebssystem)
  2356.          Falls nur ein LW, Disk entnehmen und von sauberer Disk neu
  2357.          booten.
  2358.          SADDAM-Disk einlegen
  2359.          Requester erscheint und verlangt Bootdisk (wg.Disk-Validator).
  2360.          Bootdisk einlegen und wieder entnehmen.
  2361.          SADDAM-Disk einlegen und warten bis Licht ausgeht. Original-
  2362.          Disk-Validator behebt Fehler.
  2363.          VT-Disk einlegen und VT starten.
  2364.          SADDAM-Disk einlegen
  2365.          mit BB->File->BB  fal.DiskV loeschen. Geht jetzt OHNE GURU.
  2366.          Dieser Diskwechsel entfaellt bei 2 LWen. Legen Sie ihre
  2367.          Saubere Bootdisk in DF0 und die SADDAM-Disk in DF1 .
  2368.          Hinweis fuer Othmar: Die bad HeaderKey-Fehler werden behoben,
  2369.          wenn Sie jetzt alle Files von der ehemaligen SADDAM-Disk im
  2370.          Einzelfile-Copymodus (also copy df1: ram: all) ins RAM kopieren
  2371.          und dann wieder zurueck (copy ram: df1: all) .
  2372.          Nocheinmal !!! Dieser umstaendliche Weg war nur notwendig:
  2373.              - bei KS1.3
  2374.              - wegen der bad HeaderKey-Fehler
  2375.                (die gleiche Disk OHNE bad HeaderKey war auch unter
  2376.                 KS1.3 ohne Probleme zu bearbeiten. Also loesche
  2377.                 SADDAM-Virus mit FileTest !!!)
  2378.  
  2379.    - SADDAM-Clones  verwenden statt IRAK  LAME, LOOM, RISC,
  2380.          a0a0a0a0, 363636a0  usw.
  2381.          Testen Sie mit BlockITest und verneinen Sie decode und schauen
  2382.          sich den Block an. Langwort 0 enthaelt das Erkennungslangwort.
  2383.          Decode in BlockITest sollte richtig arbeiten. Falls nein, rufen
  2384.          Sie mich bitte an. Danke
  2385.    - SADDAM-Clones Teil2:
  2386.          Es sind einige Clones (z.B. SADDAM 2 u. 4  (Name nicht nachvoll-
  2387.          ziehbar) ) aufgetaucht, die als Disk-Validator etwas anders
  2388.          codiert sind. Sind von VT aber schon (l:Disk-Validator) beim
  2389.          Filetest als falsch erkannt worden. Naja jetzt hab ich sie und
  2390.          konnte einen Test durchfuehren. Danke
  2391.  
  2392.    - SADDAM-7 Disk-Validator
  2393.          Vermehrung mit KS1.3 als Disk-Validator: ja
  2394.          Codiert die Files nicht, sondern zerstoert die Files, indem
  2395.          SADDAM7! hineingeschrieben wird. Diese Files sind NICHT zu
  2396.          retten. Beim 2. Versuch ein anderes File zu laden und damit
  2397.          zu zerstoeren, habe ich IMMER den GURU3 gesehen. Das Teil muesste
  2398.          sich also sehr schnell verraten.
  2399.                      Block:     890
  2400.             0000: 53414444 414d3721 53414444 414d3721 SADDAM7!SADDAM7!
  2401.             0010: 53414444 414d3721 53414444 414d3721 SADDAM7!SADDAM7!
  2402.             0020: 53414444 414d3721 53414444 414d3721 SADDAM7!SADDAM7!
  2403.          VT kann deshalb nur File loeschen anbieten.
  2404.  
  2405.    - SADDAM-File  Laenge: 14524 Bytes   NICHT lauffaehig  Error 121
  2406.          Grund: Hunklaengenangabe immer noch $1c5 . Sofort loeschen
  2407.  
  2408.    - SADDAM ][  Disk-Validator  Laenge: 1848 Bytes
  2409.          Verhalten: s.o.
  2410.          Schreibt IRAK
  2411.          Aenderungen:
  2412.          Name: "  SADDAM ][  "
  2413.          andere Decodierroutine:
  2414.              z.B.   subq.l #3,d0  (Orig. subq.l #2,d0)
  2415.        Nachtrag 02.01.93: Clone aufgetaucht. Verwendet als Kennung 1.29
  2416.        Nachtrag 15.04.93: Mir wurde ein SADDAM ][ zugeschickt, der
  2417.          sofort mit GURU bei Benutzung antwortet. Ein Anfaenger, wahr-
  2418.          scheinlich mit Monitor-Kenntnissen, hat genau in der Codier-
  2419.          Routine zugeschlagen. Mit diesem Teil ist KEINE Verseuchung
  2420.          moeglich. Loeschen Sie das Teil aus L: und kopieren Sie den
  2421.          Original-Disk-Validator neu.
  2422.  
  2423.    - SADDAM-Clone besondere Art  Name geaendert in HARDEX VIRUS
  2424.          Soll statt IRAK  HARD  schreiben. Wie das gehen soll, ist
  2425.          mir aber noch nicht klar.
  2426.          Begruendung:
  2427.          Der Nachprogrammierer hat nicht nur Namen geaendert, sondern
  2428.          auch noch 'trackdisk.device' geloescht. Deshalb kann BeginIo
  2429.          nicht verbogen werden. Also keine Codierung eines Blocks
  2430.          moeglich. VT erkennt SADDAM . Bitte einfach loeschen.
  2431.      Nachtrag 05.03.93: es ist ein neuer Clone augetaucht.
  2432.          Laurin-Virus  Wird von VT als SADDAM-Clone erkannt.
  2433.          Blocklangwort: $a0a0a0a0
  2434.          Namensbegruendung: im Speicher ist decodiert zu lesen
  2435.            74726163 6B646973 6B2E6465 76696365 trackdisk.device
  2436.            00010820 4C617572 696E2056 69727573 ... Laurin Virus
  2437.          Behandlung: siehe bei SADDAM
  2438.      Hinweis 05.03.93: Falls Sie noch mit KS1.3 arbeiten, so kopieren
  2439.          Sie sich bitte einen ORIGINAL-Disk-Validator auf die VT-Disk.
  2440.          Die Arbeit wird erleichtert. Ich darf das nicht, da es sich
  2441.          um ein Commodore-File handelt.
  2442.      Nachtrag 28.03.93: es ist ein neuer Clone aufgetaucht.
  2443.          Animal-Virus  Wird von VT als SADDAM-Clone erkannt.
  2444.          Blocklangwort: $363636a0
  2445.          Namensbegruendung: im Speicher ist decodiert zu lesen
  2446.            74726163 6B646973 6B2E6465 76696365 trackdisk.device
  2447.            00010820 416E696D 616C2056 69727573 ... Animal Virus
  2448.          Behandlung: siehe bei SADDAM
  2449.      Nachtrag 09.04.93: es ist ein neuer Clone aufgetaucht.
  2450.          KICK-Virus  Wird von VT als SADDAM-Clone erkannt.
  2451.          Blocklangwort: KICK
  2452.          Namensbegruendung: im Speicher ist decodiert zu lesen
  2453.            6b2e6465 76696365 00010820 204b4943 k.device...  KIC
  2454.            4b202056 49525553 00000000 03f30000 K  VIRUS........
  2455.            00000000 00010000 00000000 00000000 ................
  2456.            01c50000 03e90000 01c55573 65204b69 ..........Use Ki
  2457.            636b7374 61727420 312e322f 312e3300 ckstart 1.2/1.3.
  2458.            00000000 00000000 00000000 00000000 ................
  2459.          Use Kick... ist uncodiert im Disk-Validator-File zu lesen.
  2460.          Behandlung: siehe bei SADDAM
  2461.      Nachtrag 18.04.93: es ist ein neuer Clone aufgetaucht.
  2462.          NATO-Virus . Wird von VT als SADDAM-Clone erkannt.
  2463.          Blocklangwort: NATO
  2464.          Namensbegruendung: im Speicher ist decodiert zu lesen
  2465.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  2466.            00010820 20204e41 544f2056 49525553 ...   NATO VIRUS
  2467.            00000000 03f30000 00000000 00010000 ................
  2468.            00000000 00000000 01c50000 03e90000 ................
  2469.            01c54772 65617465 73742048 756d616e ..Greatest Human
  2470.            20204572 726f7200 00000000 00000000   Error.........
  2471.          Greatest... ist uncodiert im Disk-Validator-File zu lesen.
  2472.          Behandlung: siehe bei SADDAM
  2473.      Nachtrag 15.05.93: es ist ein neuer Clone aufgetaucht.
  2474.          AFFE-Virus . Wird von VT als SADDAM-Clone erkannt.
  2475.          Blocklangwort: AFFE
  2476.          Im Speicher ist zu lesen:
  2477.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  2478.            00010820 476f7269 6c612056 69727573 ... Gorila Virus
  2479.            00000000 03f30000 00000000 00010000 ................
  2480.            00000000 00000000 01c50000 03e90000 ................
  2481.            01c52167 6e696874 6f6e2079 61732c72 ..!gnihton yas,r
  2482.            6165682c 65655300 00000000 00000000 aeh,eeS.........
  2483.          Man koennte auch Gorilla richtig schreiben.
  2484.      Nachtrag 18.05.93: es ist ein neuer Clone aufgetaucht.
  2485.          IRAN-Virus . Wird von VT als SADDAM-Clone erkannt.
  2486.          Blocklangwort: IRAN
  2487.          Im Speicher ist zu lesen: 
  2488.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  2489.            00010820 41796174 6f6c6c61 68766972 ... Ayatollahvir
  2490.            00000000 03f30000 00000000 00010000 ................
  2491.            00000000 00000000 01c50000 03e90000 ................
  2492.            01c56e61 6320756f 79207461 6877206c ..nac uoy tahw l
  2493.            6c61206c 6c696b00 00000000 00000000 la llik.........
  2494.          Ist schon schlecht, dass man mit einem Speichermonitor
  2495.          Virus abkuerzen muss, weil man nicht sagen kann, ob man
  2496.          das naechste Null-Wort noch verwenden darf. Meine
  2497.          Empfehlung: Gebts endlich auf. Jeder gesteht euch zu,
  2498.          dass ihr einen Satz fast vollstaendig richtig rueckwaerts
  2499.          schreiben koennt. Aber von Viren habt ihr KEINE Ahnung.
  2500.          Und ein AntiVirusPrg verwirrt ihr SO NIE.
  2501.      Nachtrag 24.05.93: es ist ein neuer Clone aufgetaucht.
  2502.          GRAL-Virus . Wird von VT als SADDAM-Clone erkannt.
  2503.          Blocklangwort: GRAL
  2504.          Im Speicher ist zu lesen:
  2505.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  2506.            00010820 486f6c79 4772616c 56697269 ... HolyGralViri
  2507.            00000000 03f30000 00000000 00010000 ................
  2508.            00000000 00000000 01c50000 03e90000 ................
  2509.            01c52120 6c6c6568 20656874 206f7420 ..! lleh eht ot
  2510.            79617720 65687400 00000000 00000000 yaw eht.........
  2511.      Nachtrag 07.08.93: es ist ein neuer Clone aufgetaucht.
  2512.          4711 oder Parfum-Virus. Wird von VT im Speicher und beim
  2513.          File- oder BlockITest, als SADDAM-Clone erkannt.
  2514.          Neu ist, dass das Teil mit Hunk-
  2515.          Lab an SnoopDos V2.1 gelinkt war. Lesen Sie unten bei
  2516.          SnoopDos-SADDAM-Virus
  2517.          Blocklangwort: 4711
  2518.            Block:     209
  2519.            34373131 0001a2d0 0001a201 0001a3e8 4711............
  2520.          Im falschen Disk-Validator ist nichts sinnvolles zu lesen.
  2521.          Im Speicher ist zu lesen:
  2522.            6b2e6465 76696365 00010820 50617266 k.device... Parf
  2523.            756d2056 69727573 00000000 03f30000 um Virus........
  2524.  
  2525.  
  2526.    - SAO PAULO Virus   BB   im Speicher immer ab $7FC00
  2527.          Cool $7FF3A  nach Reset DoIo  $7FF56   KS2.04: ja
  2528.          Fordert trackdisk.device NICHT .
  2529.          Namensbegruendung: im BB ist zu lesen
  2530.                   SA0 PAULO!
  2531.          Fast der ganze Block 0 ist leer (Taeuschungsversuch ???) .
  2532.          Der Virencode steht in Block 1.
  2533.          Das Virusteil meldet sich nie .
  2534.  
  2535.    - SARON        Es ist KEIN Virus
  2536.       Es ist ein XCopy 6.5 pro (Laenge: 27196 oder 28020) aufge-
  2537.       taucht, das beim Start im Cli zuerst in grossen Buchstaben
  2538.       SARON usw. ausgibt. Nach meiner Meinung enthaelt das File
  2539.       KEINEN Virus.
  2540.       VT bietet bei Filetest Ausbau an.
  2541.  
  2542.    - SATAN-Virus  BB  immer ab: $7CD30   Cool $7CDA6  im Prg DoIo $7CDD2
  2543.       Fordert trackdisk.device NICHT .
  2544.       Vermehrung und Schaeden: BB
  2545.       Der Text im BB wird NIE erreicht .
  2546.       Namensbegruendung: im BB ist zu lesen
  2547.            21212120 48696572 20737072 69636874 !!! Hier spricht
  2548.            20646572 20534154 414e2021 21212120  der SATAN !!!!
  2549.  
  2550.    - SATAN-Virus   anderer Name EXORCIST-Virus   siehe oben
  2551.       Bitte verwechseln Sie die beiden SATAN nicht.
  2552.  
  2553.    - SCA Dos Kill   siehe bei D&A Virus
  2554.  
  2555.    - SCA!  BB        im Speicher immer ab $7EC00
  2556.         Cool, DoIo
  2557.         Fordert trackdisk.device NICHT
  2558.         Testet aber auf DOS0
  2559.         Sichert seinen Speicherbereich NICHT !!!!!
  2560.         Mit nur 1MB Chip und KEIN Fastmem nach Reset deshalb (DoIo
  2561.         ist dann verbogen) Ueberschreibgefahr und damit GURU. Das
  2562.         liegt NICHT an VT, sondern kann mit anderen grossen Programmen
  2563.         genauso nachvollzogen werden !!!! Ohne Virus im Speicher muss
  2564.         auch mit nur 1MB Speicher der BB sicher erkannt werden.
  2565.  
  2566.    - SCA 2  keine Gefahr, nie bootfaehig, immer GURU
  2567.          deshalb in meinem Prg. nur Nicht-Standard-BB
  2568.          Begruendung: read $200 nach $7FC00 von Zylinder 79 und
  2569.                       dann jmp $7FA00 (alles klar Anfaenger !!)
  2570.  
  2571.    - SCA-666  BB   Clone s.o.
  2572.          Nur Text geaendert
  2573.            20212121 8c783216 416e7469 63687269  !!!.x2.Antichri
  2574.            73740069 7320636f 6d6d696e 67208232 st.is comming .2
  2575.            3216616e 64207275 6c657320 74686520 2.and rules the
  2576.            6d616e6b 696e6421 dc6e0000 4ef90000 mankind!.n..N...
  2577.            00004120 36363620 36363620 36363620 ..A 666 666 666
  2578.  
  2579.    - SCA-Baltasar  BB   Clone s.o.
  2580.          Nur Text geaendert 
  2581.            20202c20 8c783216 42616c74 61736172   , .x2.Baltasar
  2582.            2d566972 75732031 39393420 20208232 -Virus 1994   .2
  2583.  
  2584.    - SCA KarlMarx  BB  Clone  s.o.
  2585.          Nur Text geaendert
  2586.            32166672 6f6d204b 61726c20 4d617278 2.from Karl Marx
  2587.            2056492e 20202021 dc6e0000 4ef90000  VI.   !.n..N...
  2588.            00006663 6b75756f 7920636b 6679756f ..fckuuoy ckfyuo
  2589.  
  2590.    - SCA-MAX-Virus BB  Clone  s.o.
  2591.            6f732e6c 69627261 72790000 44454154 os.library..DEAT
  2592.            4820464f 52205654 20424144 45535420 H FOR VT BADEST
  2593.            4c414d45 52202021 21212020 20d2aa2d LAMER  !!!   ..-
  2594.              ;.....
  2595.            32162047 72656574 73206672 6f6d204d 2. Greets from M
  2596.            61737465 72202020 dc6e0000 4ef90000 aster   .n..N...
  2597.            0000412e 4d41583f 4d41583f 4d41583f ..A.MAX?MAX?MAX?
  2598.          Ein weiterer geistiger Tiefflug von MAX, mehr kann er halt
  2599.          nicht.
  2600.  
  2601.    - SCA-NASA  Virus  BB
  2602.          Nur Text geaendert
  2603.            17646f6e 6520696e 20313939 33206279 .done in 1993 by
  2604.            2041746f 6d697820 bea04113 20206f66  Atomix ..A.  of
  2605.            204e4153 41202121 21212020 2e2e2e50  NASA !!!!  ...P
  2606.  
  2607.    - SCA-PAL Virus BB  Clone  s.o.
  2608.            3216522e 492e502e 20706f6f 72205043 2.R.I.P. poor PC
  2609.            20202121 21202020 dc6e0000 4ef90000   !!!   .n..N...
  2610.            00004121 50414c21 50414c21 50414c21 ..A!PAL!PAL!PAL!
  2611.  
  2612.    - SCA-PDS Virus BB  Clone  s.o.
  2613.            65204779 73692066 6f722070 72657369 e Gysi for presi
  2614.            64656e74 206f6620 42524420 20d2aa2d dent of BRD  ..-
  2615.            17504453 20697320 74686520 6f6e6c79 .PDS is the only
  2616.  
  2617.    - SCA-PKK Virus BB  Clone  s.o.
  2618.            20206e32 5a0e4e41 5a492d56 49525553   n2Z.NAZI-VIRUS
  2619.            20212121 8c783216 4d75736c 696d7320  !!!.x2.Muslims
  2620.            74616b65 20796f75 72206c69 66658232 take your life.2
  2621.            3216696e 20796f75 72206f77 6e206861 2.in your own ha
  2622.            6e647320 20212121 dc6e0000 4ef90000 nds  !!!.n..N...
  2623.            00004121 504b4b21 504b4b21 504b4b21 ..A!PKK!PKK!PKK!
  2624.  
  2625.    - SCA-Sphinx-BB    Clone s.o.
  2626.          Nur Text geaendert:
  2627.            50041f6b 696c6c20 616c6c20 6b6e6f77 P..kill all know
  2628.            6e207669 72757320 20757365 20697420 n virus  use it
  2629.            666f7232 5a0e7072 6f746563 74696f6e for2Z.protection
  2630.            20212121 8c783216 4e75204e 75202e2e  !!!.x2.Nu Nu ..
  2631.            2e2e2e2e 202e2e2e 2e2e2e2e 2e2e8232 .... ..........2
  2632.            32165370 68696e78 2066726f 6d205452 2.Sphinx from TR
  2633.  
  2634.    - SCA-TAI-Virus BB  Clone  s.o.
  2635.          Nur Text geaendert
  2636.            75732020 8c783216 54686520 416e7469 us  .x2.The Anti
  2637.            6c616d65 7220496e 636f7270 6f726174 lamer Incorporat
  2638.            696f6e20 66726f6d 204b6172 6c204d61 ion from Karl Ma
  2639.            72782056 492e2020 dc6e0000 4ef90000 rx VI.  .n..N...
  2640.            00004121 54414921 54414921 54414921 ..A!TAI!TAI!TAI!
  2641.  
  2642.    - SCA defekt oder weitere Clones
  2643.          Es wird immer wieder versucht, das Original abzuaendern.
  2644.          z.B. Block 0 ist Original-SCA, Block 1 (also ab $200) ist
  2645.          irgendein Datenschrott. Ein solcher BB liegt vor und wird
  2646.          von VT als SCA-Clone erkannt.
  2647.          Begruendung: Die Vermehrungsroutine liegt in Block 0 und
  2648.          wird auch ausgefuehrt. Zum Absturz kommt es erst, wenn der
  2649.          Text ausgegeben werden soll.
  2650.  
  2651.    - scan.x-BBS-Bomb
  2652.          Keine verbogenen Vektoren.
  2653.          Reset nach der Zerstoerungsroutine.
  2654.          Es ist ein bnuke15.lha Archiv aufgetaucht. Laenge: 35050 Bytes
  2655.          Dieses Archiv enthaelt mehrere Files, die fuer BBS nuetzlich
  2656.          sein sollen: bossnuke.x 35308, ULOG.X 18560  usw.
  2657.          Ein derartiges Programmpaket mit V1.0 gibt es wirklich und
  2658.          das ist sauber.
  2659.          An ULOG.X ist nun ein Hunk angehaengt am Ende. Dieser letzte
  2660.          Teil ist codiert mit    EORI.B    #$12,D1 .
  2661.          Dieser codierte Teil erstellt 2 Files:
  2662.          a:   BBS:COMMANDS/BBSCMD/L.info   Laenge: 1060
  2663.                In diesem Icon ist zu lesen:
  2664.            00000b41 43434553 533d3030 31000000 ...ACCESS=001...
  2665.            00164c4f 43415449 4f4e3d64 6f6f7273 ..LOCATION=doors
  2666.            3a736361 6e2e7800 0000000d 4d554c54 :scan.x.....MULT
  2667.            494e4f44 453d4e4f 00000000 0b505249 INODE=NO.....PRI
  2668.            4f524954 593d3000 0000000b 53544143 ORITY=0.....STAC
  2669.            4b3d3430 39360000 00000954 5950453d K=4096.....TYPE=
  2670.            58494d00 00000000 00000000 00000000 XIM.............
  2671.          Es kommt also scan.x vor. Das Icon-Bild zeigt eine Steckkarte.
  2672.  
  2673.          b:   doors:scan.x    Laenge: 712
  2674.           Dieses File enthaelt ausser DOS3 und dos.library nichts
  2675.           lesbares.
  2676.           Dieses Teil enthaelt die Zerstoerungsroutine.
  2677.           Ablauf:
  2678.           Ueber Zeiger in der dos.lib werden LWe gesucht. Die
  2679.           Routine wurde sehr aehnlich schon vom Modem-Virus (FUCK)
  2680.           benutzt.
  2681.          Durch die Zerstoerungsroutine werden die Bloecke mit DOS3
  2682.          aufgefuellt. s.u.
  2683.          Es gibt leider KEINE Rettung fuer das Medium. Es bleibt nur
  2684.          Format. Versuche mit einer Syquest und DiskSalv2 waren nicht
  2685.          sehr erfolgreich.
  2686.                    pZyl 1 Bl     22
  2687.            444f5333 444f5333 444f5333 444f5333 DOS3DOS3DOS3DOS3
  2688.            444f5333 444f5333 444f5333 444f5333 DOS3DOS3DOS3DOS3
  2689.            444f5333 444f5333 444f5333 444f5333 DOS3DOS3DOS3DOS3
  2690.            444f5333 444f5333 444f5333 444f5333 DOS3DOS3DOS3DOS3
  2691.          Neu und schlimm: Das Programm erreicht durch  subq.w #2,d1
  2692.          auch den Rigid-Bereich (s.o. pZyl) . Das konnte der Modem-
  2693.          Check-Virus noch nicht. Das scan.x-File arbeitet auch ohne
  2694.          BBS .
  2695.          VT bietet loeschen an fuer:
  2696.          ULOG.X ,scan.x und L.info .
  2697.          Hinweis: falls es bei L.info Fehlerkennungen bei FileTest
  2698.          gibt, informieren Sie mich bitte.
  2699.          Von einer Erkennung der zerstoerten DOS3-Bloecke wurde abge-
  2700.          sehen, da eine format-routine existieren koennte, die genau
  2701.          so formatiert.
  2702.          Hinweis: Falls Sie glauben, dass irgendein Virusteil mit
  2703.          dem formatieren beginnt, schalten Sie SOFORT ihren Computer
  2704.          aus. Sie verlieren dann mit etwas Glueck nur EINE Partition.
  2705.          Das ist zwar schaedlich fuer die Hardware, aber halt der
  2706.          letzte Notnagel !!!!
  2707.  
  2708.  
  2709.    - SCARFACE   BeginIo, KickTag, KickCheckSum, Vec5
  2710.          FastMem nein
  2711.          Vermehrung: ueber BB
  2712.          ResetRoutine, die ueber Vec5 gesteuert wird (Zaehlzelle > $2710)
  2713.          Im BB sichtbar:  z.B. SCARFACE
  2714.  
  2715.    - scsi-Virus     File   Laenge ungepackt: 1560 Bytes
  2716.          reines Zerstoerungsprogramm
  2717.          KEINE verbogenen Vektoren
  2718.          KS3.0: ja
  2719.          Keine Vermehrungsroutine
  2720.          Fileauszug:
  2721.            2c780004 4eaefe3e 4e75733a 24e724a1 ,x..N..>Nus:$.$.
  2722.                                  ^^^^^^^^^^^^^
  2723.            00000000 00000000 00000000 00000000 ................
  2724.            00000000 00000000 00000000 00000000 ................
  2725.            00000000 00000000 00000000 00000000 ................
  2726.            00000000 00000000 00000000 00000000 ................
  2727.            00000000 00000000 00000000 00000000 ................
  2728.            00000000 646f732e 6c696272 61727900 ....dos.library.
  2729.            8b624828 91819187 1e000000 00000000 .bH(............
  2730.            ;;;;;;;; :::::::::::
  2731.  
  2732.            ;;;;  decodiert mit subi.b #$28,d0 ergibt:  "c: ",0
  2733.            ::::  decodiert mit subi.b #$1E,d0 ergibt:  "scsi",0
  2734.  
  2735.          Ablauf:
  2736.            Test ob der Filename (^^^^) "s:$",E7,"$",A1,0 vorhanden
  2737.            ist. Falls ja, Virusprogrammende
  2738.            DateStamp wird aufgerufen und auf $15A0 = 27.Feb.93
  2739.            ueberprueft.
  2740.            -Falls die Computerzeit noch nicht so weit ist, wird
  2741.             mit LoadSeg das Original-Programm aufgerufen ("c: ",0)
  2742.             und durch einen direkten Einsprung abgearbeitet. Danach
  2743.             wird UnloadSeg aufgerufen und das Virusprogramm beendet.
  2744.            -Falls die Systemzeit den 27.Feb.93 erreicht hat:
  2745.             Ueber dosbase+$22 wird die device-Liste durchsucht.
  2746.             Verglichen werden NUR devices (keine Vol usw.) mit
  2747.             scsi  (s.o.). Also ein Test auf vier Buchstaben.
  2748.               d.h. alles was mit scsi beginnt, wird ausgewaehlt.
  2749.                   auch scsi3... usw.
  2750.               NICHT ausgewaehlt wird SCSI oder gvpscsi usw.
  2751.             Danach wird der ROOT-Block berechnet und durch Auffuellen
  2752.             mit Nullen zerstoert.
  2753.             WICHTIG:
  2754.             Da dieser Vorgang in einer Schleife ablaeuft, werden ALLE
  2755.             Root-Bloecke von ALLEN Laufwerken und ALLEN Partitionen, die
  2756.             die Vorgabe erfuellen, zerstoert. Hab ich mit einer Wechsel-
  2757.             platte und drei Partitionen ausprobiert.
  2758.  
  2759.             VT erkennt das Virus-File und bietet Rename mit dem Original-
  2760.             File in c: an. Falls das Original-File in c: nicht gefunden
  2761.             wird, schlaegt VT vor, das Virus-File allein zu loeschen.
  2762.  
  2763.             Hinweis:
  2764.             Mit DiskSalv Repair konnten alle Partition wieder herge-
  2765.             stellt werden, da der Root-Block jeweils neu aufgebaut wurde.
  2766.             Bitte besorgen Sie sich deshalb DiskSalv (neuste Version 93)
  2767.             BEVOR der Unfall passiert. DiskSalv belegt die Partition
  2768.             mit dem Namen wanagi-wachipi . Also so aehnlich wie diskdoctor
  2769.             mit Lazarus frueher.
  2770.  
  2771.             Wichtig 2:
  2772.             Es MUSS ein INSTALL-Programm geben. Dieses ist bis jetzt
  2773.             nicht bekannt. Bitte helfen Sie mit bei der Suche. Danke !
  2774.               Denn niemand benennt freiwillig ein Original-Programm
  2775.               in ein unsichtbares File in c: um.
  2776.  
  2777.  
  2778.    - Self-Writer  andere Namen: Pseudoselfwriter   bei mir Lamer7
  2779.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  2780.          das Verhalten einem Lamervirus entspricht, halte ich eine
  2781.          Zuordnung zur Lamer-Gruppe fuer richtig.
  2782.  
  2783.    - Sendarian   Revenge V1.2-Clone, Cool, DoIo, Vec5, im Speicher $7e000
  2784.          und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  2785.          Vermehrung: ueber BB
  2786.          Schaden: nach einiger Zeit neuer Mauszeiger
  2787.          im BB sichtbar: Sendarian #1Count:
  2788.  
  2789.    - Sentinel-Virus   BB   Excrement-Clone (Texte geaendert)
  2790.          Nachtrag 08.07.93:
  2791.          Es wird auch der Name USSR 492 verwendet, da aber auf "Sent"
  2792.          im Virus selbst getestet wird, halte ich den Namen Sentinel
  2793.          fuer sinnvoller.
  2794.          Cool: $7F47A   DoIo: $7F4C2  immer ab: $7F400
  2795.          KS2.06: GURU B nach Reset
  2796.          Fordert trackdisk.device NICHT
  2797.          Namensbegruendung: im BB ist zu lesen:
  2798.               61727900 53656e74 696e656c 21002d7c ary.Sentinel!.-.
  2799.          Vermehrung: BB
  2800.          linke Maustaste= Abbruch und Cool-Vektor loeschen
  2801.          Test auf DOS-Kennung
  2802.          Test ob schon verseucht mit cmpi.l #"Sent",$6c(a4)
  2803.          Was natuerlich FALSCH ist. An dieser Stelle steht Sent NIE !!!
  2804.          Richtig waere $54(a4). Anfaenger merke, nicht jeder der Texte
  2805.          aendern kann, versteht auch die Codierung. (vgl. bei EXCREMENT)
  2806.          Schaeden: Sobald eine Zaehlzelle den Wert $A erreicht hat,
  2807.             blinkt die LED. Mehr ist bei mir nicht passiert.
  2808.          anderer Name: USSR 492
  2809.  
  2810.    - SEPULTURA-Virus  File   Laenge ungepackt: 1876 Bytes
  2811.          KS1.3 : ja
  2812.          KS2.04: Endlos-GURU . Sie muessen den Computer ausschalten.
  2813.                  Tastatur-Reset fuehrt wieder zu GURU. Laden eines Files
  2814.                  z.B. KReset ist auch nicht moeglich.
  2815.          Verbogene Vektoren: KickTag, KickCheckSumPointer
  2816.                              Open, Lock, Delete, Rename, LoadSeg
  2817.          Zeitweise verbogene Vektoren: $6c, FindResident
  2818.          Das Programm rettet fast KEINE Vektoren !!!!!
  2819.          Arbeitet mit df0:, df1: und df2: . Mehr Laufwerke hat der
  2820.          Programmierer wahrscheinlich nicht.
  2821.          Namensbegruendung: s.u. lat. sepultura = Begraebnis
  2822.  
  2823.          Ein Speicherbereich wird decodiert mit: eori.b #$FB,(a0)+
  2824.            0000646f 732e6c69 62726172 79006466 ..dos.library.df
  2825.            303a732f 73746172 7475702d 73657175 0:s/startup-sequ
  2826.            656e6365 00006466 303aa0a0 a0a00000 ence..df0:......
  2827.                                  ^^^^^^^^^
  2828.          ^^^^^ unsichtbarer Filename "A0A0A0A0" in Root von df0/1/2 .
  2829.          Die Null der beiden df0: wird bei Bedarf im Programm-Code
  2830.          durch 1 oder 2 ersetzt.
  2831.  
  2832.          Ausgabe eines Textes mit DisplayAlert in Abhaengigkeit
  2833.          von $DFF006 .
  2834.          Fuer DisplayAlert wird bei Bedarf ein Speicherbereich
  2835.          decodiert mit: eori.b #$FA,(a0)+       
  2836.            790000fa 0a486920 4775797a 20212100 y....Hi Guyz !!.
  2837.            0100a014 53455055 4c545552 41207374 ....SEPULTURA st
  2838.            72696b65 73206261 636b2077 69746820 rikes back with
  2839.            74686569 72206e65 77000100 fa232056 their new....# V
  2840.            49525553 21212100 01009632 4c6f6f6b IRUS!!!....2Look
  2841.              usw.......
  2842.          Hinweis: Ein Satz, der decodiert wird, erscheint nicht beim
  2843.           Alert. Wahrscheinlich hat sich der Programmierer verzaehlt.
  2844.  
  2845.          Vor Schreibzugriff auf Disk wird getestet auf:
  2846.              - validated
  2847.              - max $6a0=1696 Bloecke belegt
  2848.  
  2849.          Empfehlung: unsichtbares File in Root loeschen und in startup-
  2850.           sequence die entsprechende Zeile entfernen.
  2851.          VT kennt: 14.04.93
  2852.          VT setzt ALLE Vektoren zurueck .
  2853.  
  2854.    - Sepultura2.26-Virus  File   Laenge ungepackt: 1980 Bytes
  2855.          KS1.3 : ja
  2856.          KS2.04: ja
  2857.          68030 : bei mir GURU 3
  2858.          Verbogene Vektoren: Open, Lock, Delete, Rename, LoadSeg
  2859.          NICHT resetfest (also KickTag nicht mehr verbogen)
  2860.          Arbeitet mit df0:, df1: und df2: .
  2861.  
  2862.          Im Speicher wird decodiert mit: eori.b #$XY,(a0)+
  2863.          XY aendert sich bei jeder Vermehrung in Abhaengigkeit
  2864.          von $DFF006.
  2865.           6C696272 61727900 6466303A 732F7374 library.df0:s/st
  2866.           61727475 702D7365 7175656E 63650000 artup-sequence..
  2867.           6466303A A0A0A0A0 00000000          df0:    ....
  2868.                    ^^^^^^^^
  2869.          ^^^^^ unsichtbarer Filename "A0A0A0A0" in Root von df0/1/2 .
  2870.          Die Null der beiden df0: wird bei Bedarf im Programm-Code
  2871.          durch 1 oder 2 ersetzt.
  2872.          Namensbegruendung:
  2873.          Im Speicher ist zu lesen:
  2874.                                      20536570              Sep
  2875.           756C7475 72612028 56322E32 36290000 ultura (V2.26)..
  2876.          Bitte aendern Sie auch die startup-sequence !!!
  2877.  
  2878.    - SHI-Virus  BB           s.o. Aust.Par-Clone  BB
  2879.          Nur Text geaendert
  2880.  
  2881.    - SHIT-Virus  (BB)   nicht mit KS2.04, nicht mit FastMem
  2882.          KickTag, KickCheckSum, BeginIo, Vec5, $64, $68, $6c
  2883.          haeufig GURU
  2884.          Zeitzaehler: 8 Min
  2885.          setzt irgrndwann $60 auf 0
  2886.          codiert mit: eor.w d0, (a0)+
  2887.                       add.w $xyz(pc),d0
  2888.          Im codierten BB ist zu lesen: Nuked007 (wobei Nu=RTS)
  2889.          Zugeschickt wurde mir der BB als Ethik-BB. Diesen Namen kann
  2890.          ich nicht nachvollziehen.
  2891.          Zugeschickt wurde mir ein BB als HACKERS-BB. Diesen Namen kann
  2892.          ich nicht nachvollziehen (auch nicht im Speicher).
  2893.          Schaeden in Abhaengigkeit von der Zaehlzelle:
  2894.             - schreibt $1400 Bytes ab Block 0   (Absicht ???)
  2895.                  zerstoert also auch Files die ab Block 2 liegen
  2896.             - schreibt in einen Block ab $30 SHIT
  2897.                   addiert 8 zu $10 im Block (bei OFS=NextDataBlock)
  2898.                   addiert 8 zu $14 im Block (bei OFS=BlockCheckSum)
  2899.                   schreibt den veraenderten Block dann 1 Position
  2900.                   spaeter zurueck.
  2901.             Diese Files sind NICHT zu retten !!!!!!!!
  2902.          Gefaehrlich: in weniger als 5 Minuten habe ich 12 SHIT-Bloecke
  2903.             auf einer Disk erzeugt !!!
  2904.          Decodiert ist im Speicher zu lesen:
  2905.            002450a8 001050a8 0014217c 53484954 .$P...P...!|SHIT
  2906.              ;.....
  2907.            6000fd1a 74726163 6b646973 6b2e6465 `...trackdisk.de
  2908.            76696365 00616d69 6761646f 732e6c69 vice.amigados.li
  2909.            62726172 79000000 00003a4b 00fe9c3e brary.....:K...>
  2910.  
  2911.    - SILESIAN-BB-Virus   s.o.  MOSH.1.0-BB-Virus
  2912.  
  2913.    - SMBX-Mount Virus  File  Laenge ungepackt: 65488 Bytes
  2914.          KEINE verbogenen Vektoren.
  2915.          Installiert Mount-Virus  (s.o.)
  2916.          Namensbegruendung: im File ist zu lesen:
  2917.            00000000 00001897 733a534d 42582d44 ........s:SMBX-D
  2918.            4f532e63 66675573 6572203a 20526573 OS.cfgUser : Res
  2919.             ......
  2920.            6963652f 2f2f2f2f 202d444f 532d5368 ice///// -DOS-Sh
  2921.            656c6c20 56202863 29313939 312f3932 ell V (c)1991/92
  2922.          Ein aufmerksamer User hat das Teil gefunden. Danke !!!!!!
  2923.          Es handelt sich um ein Shell-Programm, das mit einem Mail-
  2924.          box-Programm mitgeliefert werden soll?
  2925.          Das codierte Mount-Virus-Teil liegt von $EC38 bis $F068 im
  2926.          File. Es handelt sich beim Shell-Programm um eine Gfa-Basic-
  2927.          Compilierung und die Decodierung findet IM Gfa-Teil statt.
  2928.          Deshalb muss nach meiner Meinung der Programmierer des Mount-
  2929.          Virus-Teils den Source-Code des Basicprogramms besitzen.
  2930.          Ein Ausbau ist aus oben genannten Gruenden nicht moeglich.
  2931.          Empfehlung deshalb: loeschen und bei der Lieferfirma nach dem
  2932.          Programmierer forschen !!!
  2933.  
  2934.    - SnoopDos1.6-Virus  Einbruchsprogramm in AmiExpress
  2935.          Von der Definition kein Virus, da keine Vermehrungsroutine ge-
  2936.          funden wurde.
  2937.          gefunden in: SNOOPD16.LHA  35444
  2938.          Snoopdos-Laenge: 11312 Bytes    Orig.SnoopDos1.5 : 10540 Bytes
  2939.          Es wurde SD1.5 verwendet und ein neuer Hunk als 1. angehaengt.
  2940.          Die Hunkanzahl erhoeht sich von 3 auf 4. Der neue 1. Hunk
  2941.          ist codiert mit:
  2942.                     loop:  move.w #$2d1,d2
  2943.                            eor.b d2,(a2)+
  2944.                            dbf d2,loop
  2945.          Nach Decodierung ist zu lesen:
  2946.             4ED46172 702E6C69 62726172 79004242 NOarp.library.BB
  2947.             53004242 533A7573 65722E64 61746100 S.BBS:user.data.
  2948.             4242533A 75736572 2E6B6579 7300002A BBS:user.keys..*
  2949.             4242533A 4E6F6465 302F6C6F 676F6E2E BBS:Node0/logon.
  2950.             74787400 44455854 45520000 00000000 txt.DEXTER......
  2951.             00000000 00000000 00000000 00000000 ................
  2952.             00000052 45545552 4E000000 3D3E2046 ...RETURN...=> F
  2953.             414E5441 20434F4E 4E454354 20323030 ANTA CONNECT 200
  2954.             31203C3D 00000000 3034392D 34333133 1 <=....049-4313
  2955.             36333633 34000000 00FF0000 00005858 63634....y....XX
  2956.             58585858 58585800 008F0013 007570CC XXXXXXX......upI
  2957.  
  2958.         Empfehlung: Virus-File loeschen , logon loeschen und Orig.
  2959.             SnoopDos neu aufspielen. Keine Gefahr fuer Amiga-Be-
  2960.             nutzer ohne Mailbox.
  2961.         VT erkennt File: 23.10.92
  2962.         Hinweis 01.11.92:   gelesen im FIDO-Netz
  2963.         Laut Eddy Carroll (Prg. von Snoopdos) gibt es auch ein
  2964.         echtes SnoopDos 1.6, das allerdings nicht offiziell ver-
  2965.         breitet wurde. Das echte SD1.6 (hab ich nicht) soll bei
  2966.         Aufruf von version den Versions-Text ausgeben. Mein Test:
  2967.         Das SnoopDos1.6-Virus enthaelt den Text NICHT.
  2968.  
  2969.    - SnoopDos-JEFF-Virus  File   Laenge: 15336 Bytes
  2970.         Von der Definition ein trojanisches Pferd
  2971.         Jeff Butonic entfernt: 11568 Bytes
  2972.         A4000/40 : nur ohne cache
  2973.         Mit Hunklab wurde an SnoopDos ein Jeff-Butonic V4.55 ge-
  2974.         linkt. (JEFF siehe oben)
  2975.         Ob das SnoopDos-File V1.9 echt ist, kann ich nicht ent-
  2976.         scheiden.
  2977.         Mir ist die Version 1.9 (mein Kenntnisstand: Aug.93)
  2978.         nicht bekannt. Es koennte also jemand die Versionsnummer
  2979.         mit einem Monitor erhoeht haben. SnoopDos ist aber sauber.
  2980.            ff84584f 4cdf4080 4e752456 45523a20 ..XOL.@.Nu$VER:
  2981.            536e6f6f 70446f73 20312e39 20283132 SnoopDos 1.9 (12
  2982.            2e30352e 39332900 50726f63 65737320 .05.93).Process
  2983.            6e616d65 20202020 20202020 20204675 name          Fu
  2984.         VT erkennt bei File-Test: SnoopDos-JEFF
  2985.         VT erkennt im Speicher  :
  2986.          - Sie haben sich NICHT an die Anweisungen gehalten und
  2987.            SnoopDos NICHT abgeschaltet vor Benutzung von VT:
  2988.               "SnoopD.u.anderesPrg ist im Speicher"
  2989.          - Sie haben SnoopDos vorher abgeschaltet:
  2990.               "JEFF BUTONIC V4.55 ist im Speicher"
  2991.  
  2992.    - SnoopDos-Saddam-Virus  File   Laenge: 13776 Bytes
  2993.         Von der Definition ein trojanisches Pferd
  2994.         Saddam-Clone entfernt: 11568 Bytes
  2995.         Mit Hunklab wurde an SnoopDos ein Saddam-Clone-4711 ge-
  2996.         linkt. (Saddam-Clone siehe oben)
  2997.         Ob das SnoopDos-File V2.1 echt ist, kann ich nicht ent-
  2998.         scheiden. Aber unwahrscheinlich, da gleiche Laenge wie V1.9.
  2999.         Mir ist die Version 2.1 (mein Kenntnisstand: Aug.93)
  3000.         nicht bekannt. Es koennte also jemand die Versionsnummer
  3001.         mit einem Monitor erhoeht haben. SnoopDos ist aber sauber.
  3002.            4e752456 45523a20 536e6f6f 70446f73 Nu$VER: SnoopDos
  3003.            20322e31 20283232 2e30372e 39332900  2.1 (22.07.93).
  3004.        Verhalten:
  3005.          SnoopDos V2.1 hab ich bei verseuchtem File NIE auf dem Bild-
  3006.          schirm gesehen.
  3007.         KS2.04:
  3008.          Das File stuerzt mit GURU 3 ab und nach Tastatur-Reset ist
  3009.          der Speicher sauber.
  3010.         KS1.3:
  3011.          Das File wird geladen und dann tut sich NICHTS mehr. Snoop-
  3012.          Dos V2.1 ist bei mir nicht erschienen.
  3013.          Tastatureingaben erscheinen auf dem Bildschirm, werden aber
  3014.          nicht ausgefuehrt.
  3015.          UND JETZT KOMMT DAS SCHLIMME:
  3016.          Nach einem Tastatur-Reset arbeitet der SADDAM-Disk-Validator
  3017.          im Speicher (man erinnere sich: Saddam hat eine Cold-Reboot-
  3018.          Routine, die AUCH mit FastMem arbeitet). Das Kreset-Prg im
  3019.          Unterverzeichnis von VT-Schutz hilft aber auch dagegen.
  3020.  
  3021.    - SOFIA Virus   BB   GYROS-Clone  s.o.
  3022.  
  3023.    - Sonja VIRUS   BB      KS2.04: NEIN
  3024.     Fordert trackdisk.device: JA
  3025.     BeginIo, KickTag, KickCheckSum
  3026.     Codiert mit Wert aus $DFF007
  3027.     DecodierRoutine: eor.b d0,-(a1)
  3028.     Im Speicher findet man dann z.B.:
  3029.                     00007472 61636B64 69736B2E      ..trackdisk.
  3030.            64657669 63650014 49742773 20536F6E device..It's Son
  3031.            6A612056 49525553 21212100 28632939 ja VIRUS!!!.(c)9
  3032.            31206279 204D4300                   1 by MC.
  3033.  
  3034.     Vermehrung: als BB
  3035.     Schaeden:
  3036.     Sobald eine Zaehlzelle den Wert $14 erreicht hat, wird eine
  3037.         Format-Routine aufgerufen. Formatiert wird Track 2, 4, 6 usw.
  3038.         (Mal was Neues). Dann wird nach Block #880 ein neuer Rootblock
  3039.         geschrieben. RootBlockAuszug:
  3040.          1A0: 00000000 00000000 00000000 00000000 ................
  3041.          1B0: 14497427 7320536F 6E6A6120 56495255 .It's Sonja VIRU
  3042.          1C0: 53212121 00286329 39312062 79204D43 S!!!.(c)91 by MC
  3043.          1D0: 00000000 00000000 00000000 00000000 ................
  3044.  
  3045.         Am Schluss wird nach $FC0000 (reset) gesprungen. Die Disk
  3046.         ist unbrauchbar. Es ist NICHTS mehr zu retten. Da der Disk-
  3047.         name durch das Byte 1B0 = $14 in der Laenge begrenzt wird,
  3048.         erfolgt die Ausgabe nur bis zum letzten ! .
  3049.  
  3050.     BootBlock-Erkennung mit VT getestet:  23.09.92
  3051.         Speicher-Erkennung mit VT getestet :  23.09.92
  3052.  
  3053.    - SPEEDER-Virus  Zerstoerungsfile      anderer und richtiger
  3054.         Name: Descriptor-Virus  siehe oben
  3055.  
  3056.    - Sphinx-BB   SCA-Clone s.o.
  3057.  
  3058.    - SS Virus BB  Cool immer $7C078  immer ab $7C000
  3059.          Bei mir mit KS2.04 nach Reset kein neuboot von Disk.
  3060.          Unter KS1.3 werden nach dem Reset 2 Interrupts installiert.
  3061.             Nr. 3 = Ports = $7C1D6 = SS.install
  3062.             Nr. 5 = VERTB = $7C1F8 = SS.greetings
  3063.          VT entfernt beim loeschen die Namen und setzt die Codezeiger
  3064.             auf 0 mit RemIntServer. Also keine Gefahr mehr. vgl. VT =
  3065.             Listen = IntVec
  3066.          Sobald die Zaehlzelle den Wert #$500 erreicht hat wird eine
  3067.          Graphikroutine angesprungen:
  3068.          schwarzer Hintergrund, helle Schrift
  3069.          Hakenkreuz,SS-Rune,Hakenkreuz und dann
  3070.             your computer is infected by SS-Virus!
  3071.          Danach ist ein Reset notwendig, da das VirusPrg. sich in einer
  3072.          Endlosschleife befindet.
  3073.          Der BB ist codiert mit eor.l d0,(a0)+
  3074.          Von der Definition handelt es sich nicht um einen BB-Virus,
  3075.          da keine Vermehrungsroutine gefunden wurde.
  3076.          siehe auch MOSH, HEIL-Virus
  3077.  
  3078.    - STARCOMReturn-Virus   BB   richtig: The Return of STARCOM
  3079.          anderer Name: STARCOM 2
  3080.          LAMER 4 -Clone  siehe oben
  3081.          Es wurden nur Texte geaendert. Decodiert ist im Speicher zu
  3082.          lesen:
  3083.            51c8fffc 4e757472 61636b64 69736b2e Q...Nutrackdisk.
  3084.            64657669 63650054 68652052 65747572 device.The Retur
  3085.            6e206f66 20535441 52434f4d 21212121 n of STARCOM!!!!
  3086.            21bfabcd 00fc0a78 00fe9c3e 0000a4e8 !......x...>....
  3087.          Da der BB codiert ist und GENAU die LAMER4-Routine verwendet
  3088.          wird, erkennt VT weiterhin LAMER4. Im Speicher sollte das
  3089.          Teil als STARCOMRETURN erkannt werden.
  3090.          Eine Meisterleistung ist das Zerstoerungslangwort STC! . Es
  3091.          wurde dabei uebersehen, das das Original noch das Wort R!
  3092.          setzt oder war man nicht in der Lage, die Schleife zu aendern.
  3093.              Block:     350
  3094.            53544321 52215354 43215221 53544321 STC!R!STC!R!STC!
  3095.            52215354 43215221 53544321 52215354 R!STC!R!STC!R!ST
  3096.                   ;......
  3097.            53544321 52215354 43215221 53544321 STC!R!STC!R!STC!
  3098.            52215354 43215221 53544321 52212121 R!STC!R!STC!R!!!
  3099.          Sollte so ein Block in einem File liegen (BlockKette), so ist
  3100.          KEINE Rettung des Files moeglich. Tut mir leid.
  3101.  
  3102.  
  3103.    - STARCOM 1 Virus   CCCP-Clone siehe oben  also BB und Link
  3104.          KS1.3  ja
  3105.          KS2.04 ja
  3106.          Mehrfachlinks: ja
  3107.          Defekte Files: ja   (Hunkstruktur defekt nur loeschen moeglich)
  3108.          Eine Meisterleistung: NUR der ASCII-Text wurde geaendert:
  3109.           70004e75 53544152 434f4d21 21214df8 p.NuSTARCOM!!!M.
  3110.  
  3111.    - STARCOM 3 Virus  Byte Voyager 1 Clone  siehe oben  BB
  3112.          Eine Meisterleistung: NUR Text geaendert
  3113.          Wird im codierten BB von VT weiterhin als Byte Voyager 1 er-
  3114.          kannt, da der BB aufs Byte uebereinstimmt.
  3115.          Sollte von VT im Speicher richtig erkannt werden.
  3116.          Decodiert ist dort zu lesen:
  3117.            fff64681 23410004 4cdf0303 4e751e54 ..F.#A..L...Nu.T
  3118.            68652052 4556454e 4745206f 66205354 he REVENGE of ST
  3119.            4152434f 4d202121 21000000 00000000 ARCOM !!!.......
  3120.          Schreibt auch in Bock 880 (nur bei Disk Root)
  3121.            Block:     880
  3122.          01b0: 1e546865 20524556 454e4745 206f6620 .The REVENGE of
  3123.          01c0: 53544152 434f4d20 21212100 00000000 STARCOM !!!.....
  3124.          Dies bewirkt bei Disk einen neuen Namen.
  3125.          Fordert Trackdisk.device NICHT
  3126.          Hinweis: Das Programm sichert den Bereich ab $7F000 NICHT.
  3127.          D.h. ein anderes Prg. z.B. VT kann genau an diese Stelle
  3128.          geladen werden. Da der verbogene KickTagzeiger in der Exec
  3129.          liegt und dieser Bereich ja geschuetzt ist, kann es zur Aus-
  3130.          gabe "unbekanntes Prg" oder "ResStruc ungerade" kommen. Mit
  3131.          5 MB wurde dieses Virusteil im Speicher richtig erkannt, aber
  3132.          natuerlich bleibt unter KS1.3 bei dieser Speichergroesse, nach
  3133.          einem RESET das Prg. nicht erhalten und eine Vermehrung ist
  3134.          ueber DoIo nicht moeglich.
  3135.  
  3136.    - STARCOM4-Virus   BB  
  3137.          LAMER 6 -Clone  siehe oben
  3138.          Es wurden nur Texte geaendert. Decodiert ist im Speicher zu
  3139.          lesen:
  3140.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  3141.            00412074 6f756368 206f6620 53544152 .A touch of STAR
  3142.            434f4d20 76697275 73212000 b800abcd COM virus! .....
  3143.          Da der BB codiert ist und GENAU die LAMER6-Routine verwendet
  3144.          wird, erkennt VT weiterhin LAMER6. Im Speicher sollte das
  3145.          Teil als STARCOM 4 Virus erkannt werden.
  3146.          Eine Meisterleistung ist das Zerstoerungslangwort STC! . Es
  3147.          wurde dabei uebersehen, das das Original noch das Wort R!
  3148.          setzt oder war man nicht in der Lage, die Schleife zu aendern.
  3149.              Block:     480
  3150.            53544321 52215354 43215221 53544321 STC!R!STC!R!STC!
  3151.            52215354 43215221 53544321 52215354 R!STC!R!STC!R!ST
  3152.                   ;......
  3153.            53544321 52215354 43215221 53544321 STC!R!STC!R!STC!
  3154.            52215354 43215221 53544321 52212121 R!STC!R!STC!R!!!
  3155.          Sollte so ein Block in einem File liegen (BlockKette), so ist
  3156.          KEINE Rettung des Files moeglich. Tut mir leid.
  3157.  
  3158.    - STARCOM 5 Virus   BB  boot-aids Virus Clone  siehe oben
  3159.          Im BB und Speicher ist uncodiert zu lesen:
  3160.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  3161.            00005468 65205354 4152434f 4d204176 ..The STARCOM Av
  3162.            656e6765 7220312e 30302021 00010000 enger 1.00 !....
  3163.          Vermehrung: BB
  3164.          Schaeden: soll STC!aw in einen Block schreiben und damit
  3165.          das File unbrauchbar machen. KEINE Rettung moeglich.
  3166.          Besonderheit: In Boot-aids existiert eine Routine:
  3167.                      cmpi.b #8,3(a0)
  3168.                      bne.s $FEEF6
  3169.          Dies bewirkt, dass nur Datenbloecke zerstoert werden koen-
  3170.          nen. Diese Routine wird bei Starcom 5 abgeschaltet, da
  3171.          bne.s durch ein NOP ersetzt wurde.
  3172.  
  3173.    - STARCOM 6 Virus  BB  Forpib-Clone siehe oben
  3174.          Eine Meisterleistung: nur Text geaendert im BB.
  3175.            2020202a 2a2a2054 68652053 74617263    *** The Starc
  3176.            6f6d2042 4c41434b 4f555421 20286329 om BLACKOUT! (c)
  3177.            20313939 33202a2a 2a202020 20202020  1993 ***
  3178.  
  3179.    - STARFIRE/NorthStar 1   anderer Name  BlackStar
  3180.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 1
  3181.          testet nicht auf SystemZ, nur auf SCA, ByteBandit = DisplayAlert
  3182.          Vermehrung: ueber BB
  3183.          Im BB lesbar:
  3184.          Virus detected on this disk  usw.
  3185.          Reset,WriteProt OFF (bei NorthStar2 nicht vorhanden)
  3186.          Clones: East-Star
  3187.  
  3188.    - STARFIRE/NorthStar 2 = OldNorthStar  ????
  3189.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 2
  3190.          testet auf SCA, ByteBandit, SystemZ, NorthStar1, Folge=DisplayAlert
  3191.          Vermehrung: ueber BB
  3192.          Im BB lesbar:
  3193.          VIRUS detected on this disk  usw.
  3194.          My AntiVirus is better!    (bei NorthStar1 nicht vorhanden)
  3195.          Clones: z.B. Payday.BB
  3196.  
  3197.    - Starfire2    nur Block 0, sehr viel Text: The Virusbusters North Star
  3198.          Es ist kein Virus.
  3199.  
  3200.    - STARLIGHT   File  2600   BRET HAWNES - Clone (siehe oben)
  3201.          KS2.04 : ja
  3202.          Laenge 8 Bytes weniger als Original, weil 03EC-Hunk ent-
  3203.          fernt wurde.  Vermehrt sich das Teil, so ist die Laenge
  3204.          wieder 2608, da der 03EC-Hunk vom Virus angelegt wird.
  3205.          Wird von VT nur als Bret-Virus erkannt.
  3206.          Der lesbare Text (nicht der codierte) wurde geaendert.
  3207.          Am Fileanfang:
  3208.            0000027D 60000018 53544152 4C494748 ...}`...STARLIGH
  3209.            54203120 50524F44 55435449 4F4E2C79 T 1 PRODUCTION,y
  3210.          Am Fileende:
  3211.            F9526100 FED66000 FA02444F 20594F55          .DO YOU
  3212.            204C494B 45204D59 20464952 53542056  LIKE MY FIRST V
  3213.            49525553 203F2044 4F4E4520 4259204D IRUS ? DONE BY M
  3214.            43444A2D 4444454E 49545921 20323130 CDJ-DDENITY! 210
  3215.            32393000 00000000 000003F2 000003EB 290....
  3216.          Wird vielleicht von anderen AntivirusPrg als Starlight
  3217.          - Virus erkannt. VT bleibt bei BRET HAWNES.
  3218.  
  3219.  
  3220.    - STARLIGHT   BB     Warhawk-Clone  s.u.
  3221.          Nur Text geaendert.
  3222.  
  3223.    - STARLIGHT II  BB   MicroSystems-Clone s.o.
  3224.          Nur Text geaendert.
  3225.  
  3226.    - Stockmarket-BBS   Filename: stock.rexx   Laenge: 74576 Bytes
  3227.          Nach meiner Meinung fuer Nicht-Mailbox-Spieler ungefaehrlich.
  3228.          VT bietet nur loeschen an.
  3229.          Schaeden: Kann ich nicht nachvollziehen. Deshalb ein Textauszug
  3230.          OHNE Garantie:
  3231.    -----------------------------------------------------------------------
  3232.    WARNING WARNING WARNING WARNING WARNING WARNING WARNING WARNING WARNING
  3233.    -----------------------------------------------------------------------
  3234.  I Just wanna inform all of you /X sysops, than a file -L-STOCK.LHA (a door
  3235.  game for /X) has a fucking BACKDOOR !!!!
  3236.  If you enter BUY option and write a number highest than possible (for
  3237.  example a number 20 or 100 or any more than allowed than your Upload Status
  3238.  will be restored to 0 !!!!! 0 bytes !!!!! All your uploads will be canceled!
  3239.  
  3240.  
  3241.    - Suntronic       Cool, DoIo, nur Kick1.2 da absolute ROM-Einspruenge
  3242.                      Vermehrung ueber BB   , immer $7fa00
  3243.                      Suntronic-Text im BB sichtbar
  3244.  
  3245.    - SuperBoy     Cool, im Prg DoIo, im Speicher immer ab $7ec00
  3246.          Vermehrung ueber BB
  3247.          Alertmeldung mit  .... The Famous SuperBoy
  3248.  
  3249.    - SwiftWare   siehe bei: Devil_V8_B.Door
  3250.          im File ist zu lesen:
  3251.            4E5D4E75 0C092020 53776966 74576172 N]Nu..  SwiftWar
  3252.            65207625 642E2564 202D2000 1B5B313B e v%d.%d - ..[1;
  3253.            25646D00 00427920 4A616262 61682026 %dm..By Jabbah &
  3254.            20504F57 001B5B25 646D0000 202D2054  POW..[%dm.. - T
  3255.            6F702055 706C6F61 64657220 5574696C op Uploader Util
  3256.  
  3257.    - Switch-Off    anderer Name: Joshua 2 s.o.
  3258.  
  3259.    - Suicide-Virus   BB   immer ab $7E120, Kicktag, KickChecksum,
  3260.        Supervisor , KS2.04: GURU
  3261.        Fordert trackdisk.device NICHT .
  3262.        Kodiert mit Byte aus $DFF006   eor.b d1,(a0)+  jeden BB fuer
  3263.        Vermehrung neu.
  3264.        Meldet sich nicht .
  3265.        Schaeden und Vermehrung: BB
  3266.        Namensbegruendung:  dekodiert ist im Speicher zu lesen:
  3267.            3e3e2053 75696369 6465204d 61636869 >> Suicide Machi
  3268.            6e652062 79204d41 5820696e 2032342e ne by MAX in 24.
  3269.            30392e31 39393220 3c3c0000 2c790000 09.1992 <<..,y..
  3270.  
  3271.    - SUMPF.Prg (L)  File  Laenge: 952 Bytes
  3272.        Wird als Scherz-Programm weitergegeben. Als ob es nicht genug
  3273.        Aerger mit den Viren gaebe. Wird von VT erkannt und Loeschen
  3274.        Sie bitte das Teil sofort. Bitte schauen Sie auch die startup-
  3275.        sequence an. Von der Definition natuerlich kein Virus, da keine
  3276.        Vermehrung. Verbiegt $6c und zurueck. Der Originalwert von $6c
  3277.        kann von dem Programm bei Prozessoren, die mit VecPage arbeiten,
  3278.        NICHT zurueckgesetzt werden. A4000/40: Programm laeuft
  3279.        Es wird mit DisplayAlert ein Text ausgegeben:
  3280.      Warnung !! Zuviele Befehle in den Menüs! Arbeitet da ein Hard-Virus ?!
  3281.                      usw. ersparen Sie mir den Rest.
  3282.  
  3283.    - T.ET.E   BB Virus   anderer Name:BB-Prot     Zombi 1 Clone  s.u.
  3284.        Unterschied zu Zombi:
  3285.        versucht beim Booten durch die XCopy-Meldung
  3286.            NO VIRUS ON BOOTBLOCK   zu taeuschen.
  3287.        Die codierte Zombi-Meldung (intuition) wurde ueberschrieben.
  3288.        Schreibt in den zerstoerten  Rootblock als Diskname:
  3289.         01b0: 07542e45 542e4520 00000000 00000000 .T.ET.E ........
  3290.        Im Virus-BB ist zu lesen:
  3291.            4ef90007 a0363e42 422d5072 6f742062 N....6>BB-Prot b
  3292.            79205420 4520696e 20313200 30360031 y T E in 12.06.1
  3293.            3939353c 0007ee00 0007ee50 2001fffe 995<.......P ...
  3294.        Da beim Neuschreiben des RootBlocks, die ZOMBI-CheckSum (= falsch
  3295.        fuer T.ET.E) verwendet wird, duerfte wieder einmal ein An-
  3296.        faenger am Werk gewesen sein. 
  3297.  
  3298.    - TFC Evergreen 47.11  BB   Clone  s.u.
  3299.           Text geaendert. Wird weiterhin als TFC erkannt
  3300.            7069643a 000100cb 40544643 20457665 pid:....@TFC Eve
  3301.            72677265 656e2020 56697275 73203437 rgreen  Virus 47
  3302.            2e313100 01005070 49742069 73206120 .11...PpIt is a
  3303.  
  3304.  
  3305.    - T.F.C. Revenge V1.03  Clone Extreme s.o.
  3306.           Text geaendert und Text im BB verschoben
  3307.  
  3308.    - T.F.C. Revenge V2.14
  3309.           Versionsnummer und Datum geaendert, Rest s.o.
  3310.  
  3311.    - T.F.C. Revenge LoadWB     File, Laenge ungepackt: 2804 Bytes
  3312.       Fuehrt LoadWB-Befehl aus und legt T.F.C. Revenge BB im Speicher
  3313.       ab. Verbogene Vektoren siehe bei Extreme.
  3314.       Vermehrung nur als Bootblock moeglich.
  3315.  
  3316.    - TAI-Virus   BB  anderer Name: SCA-TAI-Virus  s.o.
  3317.  
  3318.    - TAI2-Virus  BB  anderer Name: MAD2-TAI2-Virus s.o.
  3319.  
  3320.    - TAI3-FORPIB-Virus  BB  s.o.
  3321.       Text geaendert
  3322.            444f5300 b8e19b72 54414933 6000003e DOS....rTAI3`..>
  3323.            54686973 20697320 6120426f 6f746c61 This is a Bootla
  3324.            64657220 616e6420 416e7469 76697275 der and Antiviru
  3325.            73212044 6f6e7420 6b696c6c 20697420 s! Dont kill it
  3326.            5654322e 36303a00 00000253 48e77f7f VT2.60:....SH.
  3327.       Hinweis 28.10.93:
  3328.            - Zu diesem Zeitpunkt ist VT2.57 aktuell
  3329.            - Ich habe fuer VT noch NIE (und habe es auch nicht vor!!!!),
  3330.              einen speziellen BB programmiert. Lassen Sie sich also
  3331.              bitte nicht verwirren. Danke
  3332.  
  3333.    - TAI4-TimeBomb.V  BB   TimeBomb V1.0-Clone s.u.
  3334.            14202048 61766520 61206e69 63652064 .  Have a nice d
  3335.            61792020 536f7272 7920204c 6f6f6b20 ay  Sorry  Look
  3336.            666f7220 542e412e 492e2020 74686520 for T.A.I.  the
  3337.            62657374 2e2e0001 00000000 42b90007 best........B...
  3338.  
  3339.    - TAI5-BB  s.o. DUMDUM-Clone
  3340.  
  3341.    - TAI6 BB und File s.o CCCP-Clone
  3342.  
  3343.    - TAI7 BB  s.o LAMER1-Clone
  3344.       Das Teil wird von VT als BB nur als LAMER erkannt, da nicht einmal
  3345.       der Zerstoerungstext LAMER geaendert wurde.
  3346.  
  3347.    - TAI7-Inst.   Laenge gepackt: 2936 Bytes  Laenge entpackt: 4176 Bytes
  3348.       Namensbegruendung: s.u.
  3349.       An loadwb wurde mit Hunklab ein BootJob-File gehaengt.
  3350.       In diesem BootJob-File wurde der Programmierername geaendert und
  3351.       es enthaelt einen LAMER1-BB.
  3352.       Lesbarer Text:
  3353.            2e2e2ea7 2e3a2825 26372954 2e412e49 .....:(%&7)T.A.I
  3354.            2e30372e 3a2c2e2e 2e2e2039 2e2ea724 .07.:,.... 9...$
  3355.            32727472 61636b64 69736b2e 64657669 2rtrackdisk.devi
  3356.       Gepackt sollte VT loeschen anbieten.
  3357.       Entpackt sollte VT Ausbau anbieten.
  3358.       Vorsicht: Im gepackten Zustand koennte VT das File verwechseln.
  3359.       Entpacken Sie das File dann erst zur Sicherheit mit einem ge-
  3360.       eigneten Entpacker. Danke
  3361.  
  3362.    - TAI8 BB   s.o. 16BIT-Crew Clone
  3363.  
  3364.    - TAI9 BB   s.o. DAT 89 Clone
  3365.  
  3366.    - TAI10-Inst.  BB-Installer   Laenge Virusteil: 1336 Bytes
  3367.       Im Virusteil ist zu lesen:
  3368.            2eff2127 54414920 3130002d 1c535553 ..!'TAI 10.-.SUS
  3369.       Verwendet absolute Speicheradressen, die nicht in jedem Amiga
  3370.       vorhanden sind. Ich habe auf JEDER Maschine, auf der ich das Teil
  3371.       ausprobieren konnte, nur den GURU gesehen. Falls jemand mehr
  3372.       "Glueck" hat, bitte ich um eine Nachricht. Danke
  3373.       Am File sollte das Teil erkannt werden und VT sollte Ausbau an-
  3374.       bieten. Das Teil soll einen TAI10-CLONK.BB installieren (s.u.) .
  3375.  
  3376.       Hinweis 21.01.94: Es ist ein aehnlicher Link an ein File aufge-
  3377.       taucht. Soll VirusSlayer installieren. Wird ebenfalls als TAI10-
  3378.       Inst. erkannt. Da die Routine gleich ist, koennte ein Programm,
  3379.       das diese Arbeit macht, existieren ??????
  3380.  
  3381.    - TAI10-CLONK-Virus  BB   CLONK-Virus s.u.
  3382.       Nur Text geaendert:
  3383.            20746f20 6b696c6c 20626f6f 74766972  to kill bootvir
  3384.            75732e2e 2eff2127 54414920 3130002d us....!'TAI 10.-
  3385.            1c535553 50494349 4f555320 424f4f54 .SUSPICIOUS BOOT
  3386.            424c4f43 4b20464f 554e442e 2e2e00c0 BLOCK FOUND.....
  3387.  
  3388.    - TAI11 Compu3-Clone   File  Laenge 592  Rest s.o. CompuPhagozyte 3
  3389.       Namensbegruendung:
  3390.            20542041 20492020 31312020 202e2e2e  T A I  11   ...
  3391.  
  3392.    - TAI13-BB  4 Bloecke  Glasnost-Clone  s.o.
  3393.       Wird von VT beim BB-Test als Glasnost erkannt.
  3394.       In Block 4 ist uncodiert zu lesen:
  3395.            646f732e 6c696272 61727900 20542e41 dos.library. T.A
  3396.            2e492e31 333c0000 002e5380 43ec000c .I.13<....S.C...
  3397.  
  3398.    - Taipan-Chaos    anderer Name: Chaos  s.o.
  3399.       siehe auch: Chaos, Taipan-Lameblame, CHEATER HIJACKER, POLISH,
  3400.  
  3401.    - Taipan-LameBlame  anderer Name: LameBlame  s.o.
  3402.       siehe auch: Chaos, Taipan-Chaos, CHEATER HIJACKER, POLISH,
  3403.  
  3404.    - Target   cool,  im Prg. DoIo , immer $7ec00
  3405.       schreibt auf jede nicht schreibgeschuetzte Disk, die in Block
  3406.       880 ab $1b0/1 (=Diskname)  eine bestimmte Zeichenfolge
  3407.       enthaelt, ab Track 80 bis Ende (mal was Neues) sinnlose Daten
  3408.       Ursprungsprogramm:target.install (Malta)
  3409.  
  3410.    - TeleCom-Virus   File   Laenge: 756 Bytes
  3411.       Cool immer $C71082, im Programm noch DoIo und FindRes .
  3412.       Braucht Execbase im Speicher ab $C00000 .
  3413.       Nur mit KS1.3, da absolute ROM-Einspruenge .
  3414.       Namensbegruendung:
  3415.       Decodiert mit eori.b #$27,(a1)+ ist im Speicher zu lesen:
  3416.            732f7374 61727475 702d7365 7175656e s/startup-sequen
  3417.            63650000 2054656c 65436f6d 20d80000 ce.. TeleCom ...
  3418.       Vermehrung:
  3419.        -Schreibt in startup-sequence 1.Zeile $A00A . Also den
  3420.         nichtsichtbaren Filenamen $A0 und ein Return.
  3421.        -Kopiert sich selbst ins Root-Verzeichnis mit Filename $A0.
  3422.       Einfach loeschen und in startup-sequence mit einem Editor
  3423.       die 1.Zeile loeschen.
  3424.       Hinweis: Der unsichtbare Filename $A0 wird auch von BGS9-3
  3425.       fuer das verschobene Originalprogramm verwendet. Es koennte
  3426.       also zu Verwechslungen kommen.
  3427.  
  3428.    - Telstar   Cold, Cool, Zaehlzelle $C0
  3429.      ganz gemein, taeuscht durch Text Virusprotector 6.0 vor, entschluesselt
  3430.          (neg.b) BBteile nach $7fc00, jeder 4/2.Reset Graphikausgabe (holl.
  3431.          Flagge und Text u.a. Telstar), keine Vermehrungsroutine gefunden.
  3432.  
  3433.    - Termigator: Kick 1.2 (da absolute ROM-Einspruenge)
  3434.          immer $7f4d0, Cool und DoIo
  3435.          entschluesselte Alertmeldung:
  3436.          Only the TERMIGATOR'VIRUS makes it possible! Bye!...
  3437.          Vermehrung: ueber BB
  3438.  
  3439.    - Terrorists     PrgFileVirus  Laenge 1612 Bytes
  3440.          KickMem, KickTag, KickCheckSum
  3441.          Textausgabe mit GraphikRoutine
  3442.          nimmt Namen des 1.Files in der Startup an
  3443.          verschiebt OrigPrg ins Hauptverzeichnis
  3444.          (unsichtbar A0202020A02020A020A0A0)
  3445.          Vermehrung: jede nichtschreibgeschuetzte Disk mit Startup
  3446.          im PrgFile sichtbar: TTV1
  3447.          schwarzer Hintergrund, weisse Schrift, zeilenweise
  3448.  
  3449.                   THE NAMES HAVE BEEN CHANGED
  3450.                   TO PROTECT THE INNOCENT...
  3451.                   THE TERRORISTS HAVE YOU UNDER CONTROL
  3452.                   EVERYTHING IS DESTROYED
  3453.                   YOUR SYSTEM IS INFECTED
  3454.                   THERE IS NO HOPE FOR BETTER TIMES
  3455.                   THE FIRST TERRORISTS VIRUS !!!
  3456.          Hinweis: es wird ein unsichtbares File (Name s.o.) weiterge-
  3457.             geben mit der Laenge #64 und dem Inhalt "Protection file!".
  3458.             Dieses File soll einen Terrorists-Befall der Disk verhindern.
  3459.          Clone: NoVi
  3460.  
  3461.    - THAHO8  BB     es ist KEIN Virus  Empfehlung: loeschen
  3462.          VT kennt: 21.10.92
  3463.          Die Format- und BB-Kopier-Routine im BB ab $1FE wird NIE er-
  3464.          reicht. Ueber Graphik wird auf schwarzem Hintergrund mit
  3465.          heller Schrift ausgegeben:
  3466.  
  3467.                  THAHO8 VIRUS V2.0
  3468.  
  3469.          Im BB ist zu lesen:
  3470.           00000000 54686973 20697320 74686520 ....This is the
  3471.           6D696768 74792054 6861686F 38205669 mighty Thaho8 Vi
  3472.           72757320 56322E30 21202045 61742073 rus V2.0!  Eat s
  3473.           6869742C 204C414D 45522120 20546861 hit, LAMER!  Tha
  3474.           686F2054 6861686F 20546861 686F2054 ho Thaho Thaho T
  3475.           6861686F 20546861 686F2054 6861686F haho Thaho Thaho
  3476.  
  3477.    - The FAT Stinkbomb 2  BB   EXTREME-Clone
  3478.          Bei mir FAT 2 Virus siehe oben
  3479.  
  3480.    - The FAT Stinkbomb 1  BB   TimeBomb V1.0-Clone
  3481.          Bei mir FAT 1 Virus siehe oben
  3482.  
  3483.    - The Return of STARCOM    siehe bei STARCOMReturn
  3484.  
  3485.    - THE SMILY CANCER   LinkVirus, verlaengert das Prg. um 3916 Bytes
  3486.          Fastmem ja, im Speicher immer ab $7F000, KickTag, KickCheckSum,
  3487.          SumKickData, im Prg. noch BeginIo und $6c = Vec3
  3488.          PrgTeile decodiert mit ror.b #2,d1 oder codiert mit rol.b #2,d1
  3489.          befaellt das erste File der startup-sequence,
  3490.          testet  n i c h t  auf Sonderzeichen im Filenamen,
  3491.          d.h. jedes File wird befallen
  3492.          nach 20 Vermehrungen:
  3493.          Mauszeiger aendert sich in gelben Kopf (smily) mit blauem Hut
  3494.          und Endlosausgabe einer roten Laufschrift:
  3495.    "????????.........."
  3496.    " HI THERE!!! A NEW AGE IN VIRUS MAKING HAS BEGUN!!!"
  3497.    " THANX TO US... THANKX TO: --- CENTURIONS ---  "
  3498.    " AND WE HAVE THE PLEASURE TO INFORM YOU THAT SOME"
  3499.    " OF YOUR DISKS ARE INFECTED BY OUR FIRST MASTERPIECE"
  3500.    " CALLED: ` THE SMILY CANCER `  "
  3501.    " HAVE FUN LOOKING FOR IT... AND STAY TUNED FOR OUR NEXT PRODUCTIONS.  "
  3502.    " CENTURIONS: THE FUTURE IS NEAR!"
  3503.    "                     "
  3504.  
  3505.    Ausserdem ist im decodierten Prg noch zu lesen:
  3506.    (erscheint nicht in der Laufschrift)
  3507.    HELLO HACKERS OUT THERE!! A NEW FORCE HAS BORN IN ITALY:
  3508.    --- CENTURIONS ---. OUR TEAM IS COMPOSED OF 2 GUYZ:
  3509.    ME & HIM.(AHAHHA!)
  3510.    THE AIM OF - - CENTURIONS - - IS JUST VIRUS MAKING..
  3511.    WE HAVE LOTTA FUN DOING THIS AND WE ALSO HOPE TO GIVE FUN TO THE
  3512.    KILLERS MAKERS (HI STEVE TIBBETT!) HAW! HAW! HAW!
  3513.     SIGNED: ME & HIM / CENTURIONS
  3514.    Hinweis: Ich besitze ein Smily-File mit vier Links
  3515.  
  3516.    - The Smily Cancer II   Filevirus  Laenge: 4676  2x verschluesselt
  3517.       nach 1x entschluesseln mit   eori.b #$90,d1
  3518.                                    subi.b #$22,d1
  3519.       kann man am Fileende lesen:
  3520.             CENTURIONS STRIKES BACK: THE SMILY CANCER II
  3521.  
  3522.       Beim Starten des Programms wird der loadwb-Befehl simuliert und
  3523.       das Virusteil setzt sich im Speicher fest. Die Vermehrung erfolgt
  3524.       dann als Smily 1, d.h. es findet KEINE Vermehrung als Smily II
  3525.       statt. siehe oben
  3526.  
  3527.     Hinweis: Es wird ein Smily-File (Laenge 4792 Bytes, ab $200 im
  3528.          File Text zu lesen) in Deutschland weitergegeben, das
  3529.          NICHT lauffaehig ist (April 92). Dieses Prg wird von VT  NICHT
  3530.          erkannt, da keine Gefahr besteht. Lasst solche Scherze und
  3531.          verunsichert nicht die Amiga-Benutzer !!!!
  3532.     Hinweis 03.09.92: Ab VT2.44 sollten mehrere SmilyLinks ans gleiche
  3533.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  3534.       sich bitte. Danke
  3535.     Hinweis 16.04.93: Es ist ein Smily Clone aufgetaucht.
  3536.       Laenge: verlaengert ein File um 3916 Bytes
  3537.       FAST KEIN mit Absicht verseuchtes File war lauffaehig. Das laesst
  3538.       den Schluss zu, dass der addbuffers-befehl von Hand manipuliert
  3539.       wurde.
  3540.       VT hat die Files wieder auf die Original-Laenge verkuerzt und die
  3541.       Startup-Sequence war danach wieder lauffaehig.
  3542.       Unterschied zu Original: Der Sprung-Befehl zur Decodier-Routine
  3543.       wurde geaendert.
  3544.       weiteres Verhalten: siehe oben
  3545.     Hinweis 12.06.93: Es tauchen immer haeufiger defekte Smily-Files auf.
  3546.       VT sollte beim Ausbauversuch eine defekte Hunk-Struktur erkennen
  3547.       und das Loeschen des Files anbieten. Bitte vergessen Sie dann nicht,
  3548.       die Startup-Sequence zu ueberpruefen und bei Bedarf das unverseuchte
  3549.       Originalfile neu aufzukopieren.
  3550.  
  3551.    - The Traveller 1.0
  3552.       KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7F000
  3553.       abhaengig vom Zaehlerstand: Textausgabe
  3554.          roter,gruener und blauer Balken, schwarze Schrift
  3555.             NEVER HEARD OF VIRUS-PROTECTION ??? -LAMER !!!
  3556.       Vermehrung und Schaden: BB   (auch HD !!!!!!!!!)
  3557.  
  3558.    - Tick
  3559.          siehe unter Julie
  3560.  
  3561.    - TimeBomb V0.9    Trojanisches Pferd
  3562.       wird mit dem Prg. BMassacre erzeugt (da steht auch TimeBomb V0.9)
  3563.       besteht aus 2 Teilen in SubDir c und Root:
  3564.          in c: .info      = Virus   Laenge: 7840 Bytes
  3565.       in Root: pic.xx     = Zaehler (Startwert=6)  Laenge: 1 Byte
  3566.       in der 1.Zeile der startup steht: c/.info
  3567.       nicht resident, keine Vermehrungsroutine in .info
  3568.       Verhalten: vermindert bei jedem Neustart den Wert in pic.xx um 1 .
  3569.       Sobald 0 erreicht ist, wird die Disk formatiert (Track 0-159) .
  3570.       Damit der Wert in pic.xx geaendert werden kann, darf die Disk
  3571.       nicht schreibgeschuetzt sein. Falls doch, erscheint:
  3572.          User Request : Please remove write Protection and press
  3573.                         left Mouse Button to continue..
  3574.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  3575.       der Disk nicht moeglich.
  3576.       Im Cli wird immer ausgegeben:
  3577.             RAM CHECKED - NO VIRUS FOUND.
  3578.  
  3579.    - TimeBomb V0.9 Clone   Trojanisches Pferd
  3580.          Wird von VT als Timebomb erkannt.
  3581.       besteht aus 2 Teilen in SubDir c und Root:
  3582.          in c: .info      = Virus   Laenge mit PP: 1584 Bytes
  3583.       in Root: setmap     = Zaehler (Startwert=FF)  Laenge: 1 Byte
  3584.       in der 1.Zeile der startup steht: c/.info
  3585.       nicht resident, keine Vermehrungsroutine in .info
  3586.       Verhalten: vermindert bei jedem Neustart den Wert in setmap um 1 .
  3587.       Sobald 0 erreicht ist, wird die Disk formatiert (Track 0-150) .
  3588.       Textausgabe danach:
  3589.          Hey Looser ! Boot again !
  3590.       Damit der Wert in df0:setmap geaendert werden kann, darf die Disk
  3591.       nicht schreibgeschuetzt sein. Falls doch, erscheint:
  3592.          User Request : Please remove write Protection and press
  3593.                         left Mouse Button to continue..
  3594.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  3595.       der Disk nicht moeglich.
  3596.       Im Cli wird ausgegeben:
  3597.             DISC SPEEDER BY BUD usw
  3598.       VT bietet im FileTest loeschen an und sucht auch nach setmap (1Byte).
  3599.       Falls gefunden, wird auch setmap im Rootverzeichnis geloescht.
  3600.  
  3601.  
  3602.    - TimeBomb V1.0  BB-Virus
  3603.      ( verbiegt keine "bekannten" Zeiger )
  3604.      (je nach Zaehlerstand wird eigener BootBlock geschrieben,
  3605.      (( Einsprung bei #$70208))
  3606.      oder Track 80 (Directory) mit Speicherinhalt ab #$20000 ueberschrieben
  3607.          = Disk wird unlesbar !!!)
  3608.      (( Einsprung bei #$70026))
  3609.      Sichert eigenen Speicher NICHT. Kann also ueberschrieben werden !!!
  3610.      Clone: FAT 1 Virus, O.M.S.A Virus, Lame Game Virus, TAI4-Virus,
  3611.  
  3612.    - Time Bomber    Trojanisches Pferd
  3613.       wird mit dem Prg. TimeBomber erzeugt
  3614.       besteht aus 2 Teilen in RootDir:
  3615.       virustest         = Virus   Laenge: 936 Bytes
  3616.       virustest.data    = Zaehler (Startwert=5)  Laenge: 1 Byte
  3617.       in der 1.Zeile der startup steht: virustest
  3618.       nicht resident, keine Vermehrungsroutine in virustest
  3619.       Verhalten: vermindert bei jedem Neustart den Wert in virustest.data
  3620.       um 1 .Sobald 0 erreicht ist, wird die Disk formatiert.
  3621.       Damit der Wert in virustest.data geaendert werden kann, darf die
  3622.       Disk nicht schreibgeschuetzt sein. Falls doch, erscheint:
  3623.          User Request : Please remove write Protection and press
  3624.                         left Mouse Button to continue..
  3625.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  3626.       der Disk nicht moeglich.
  3627.       Im Cli wird immer ausgegeben:
  3628.             RAM checked - no virus found.
  3629.  
  3630.    - Time Bomber-Inst.    File   Laenge ungepackt: 45640 Bytes
  3631.       Programm um nach Df0: die 2 Time Bomber Files (s.o.) zu schreiben.
  3632.       Wird von selbst NICHT aktiv.
  3633.       Keine verbogenen Vektoren.
  3634.       VT bietet loeschen an.
  3635.  
  3636.    - Timer-Virus   Files
  3637.        2 Files: timer   Laenge:4812     setmap  Laenge:1712
  3638.        Verbiegt $74 (ZeroPage)  Verbiegt $74 VecPage NICHT
  3639.           (Hallo Enforcer-Freunde)
  3640.        Beim timer-File handelt es sich um das install-Programm.
  3641.        Zur Taeuschung wird ein Fenster (V1.1) geoeffnet und es erfolgt
  3642.        die Ausgabe:      Ram  ....
  3643.                          Chip ....
  3644.                          Time ....
  3645.                          Date ....
  3646.        In Wirklichkeit wird aber versucht :c/setmap und/oder :system/setmap
  3647.        zu kopieren. Die Unterverzeichnisse muessen existieren und koennen
  3648.        vom timer-Prg NICHT angelegt werden. Nachweis: z.B. snoopdos
  3649.        Das timer-File enthaelt das setmap-File uncodiert.
  3650.  
  3651.        Beim naechsten reset wird nun der falsche setmap-Befehl aufgerufen,
  3652.        wenn er in ihrer s.-seq. steht.
  3653.                      - installiert Zeichensatz
  3654.                      - verbiegt $74 auf eigene Routine
  3655.                      - oeffnet console.device
  3656.  
  3657.        $74-Routine:
  3658.                      - arbeitet am seriellen Port
  3659.                       $DFF018, $DFF019
  3660.                      - testet nach meiner Meinung eingehende Zeichen
  3661.                      - hat den execute-Befehl
  3662.                      - enthaelt eine Zeitschleife
  3663.                      - am Schluss jmp Orig.-$74
  3664.        Koennte ein Prg. sein, um in eine Mailbox einzubrechen ????
  3665.        $74-Erkennung mit VT getestet    : 29.09.92
  3666.        timer-Erkennung mit VT getestet  : 29.09.92
  3667.        setmap-Erkennung mit VT getestet : 29.09.92
  3668.        Empfehlung: loeschen Sie die beiden Files mit VT und kopieren Sie
  3669.                    bei Bedarf das setmap-File neu auf.
  3670.        Zeichen, die so im Orig_Setmap_File NICHT vorkommen:
  3671.            00004E75 72616D64 72697665 2E646576 ..Nuramdrive.dev
  3672.            69636500 636F6E73 6F6C652E 64657669 ice.console.devi
  3673.            63650000 3A646576 732F6B65 796D6170 ce..:devs/keymap
  3674.            732F6400 00000000 00000000 00000000 s/d.............
  3675.            646F732E 6C696272 61727900 00000000 dos.library.....
  3676.            .
  3677.            .
  3678.            .
  3679.            00000000 00000000 00000000 646F732E ............dos.
  3680.            6C696272 61727900 52414D3A 436F6D6D library.RAM:Comm
  3681.            616E642D 30302D54 30310000 00000000 and-00-T01......
  3682.  
  3683.  
  3684.    - TNK    noch ein SCA-Clone          08.04.92
  3685.         im BB zu lesen:
  3686.            32162054 68697320 77617320 54686520 2. This was The
  3687.            4e657720 4b696420 dc6e0000 4ef90000 New Kid .n..N...
  3688.            0000412e 544e4b21 544e4b21 544e4b21 ..A.TNK!TNK!TNK!
  3689.            544e4b21 544e4b21 544e4b21 544e4b21 TNK!TNK!TNK!TNK!
  3690.  
  3691.    - Tomates-Gentechnic-Service  = TimeBomb-BB-Clone
  3692.             nur der Text wurde veraendert
  3693.  
  3694.    - Tomates-Gentechnic-Service 2 = Coder.BB
  3695.         Wieder eine Meisterleistung. Der Text wurde geaendert.
  3696.         Lesen Sie bitte bei Coder.BB nach.
  3697.         Im BB ist zu lesen:
  3698.            546f6d61 7465732d 47656e74 6563686e Tomates-Gentechn
  3699.            69632d53 65727669 63652032 2e30202d ic-Service 2.0 -
  3700.            2d2d2054 68652042 65737420 696e2045 -- The Best in E
  3701.            75726f70 65203139 39322021 21201400 urope 1992 !! ..
  3702.               ;.......
  3703.            8059a5c9 d5cd8084 8400416e 74697669 .Y........Antivi
  3704.            7275732d 436f6465 20426567 696e2024 rus-Code Begin $
  3705.            37666130 302d59a5 c9d5cd80 84842d45 7fa00-Y.......-E
  3706.            6e642024 37666134 3020446f 6e742069 nd $7fa40 Dont i
  3707.            6e737461 6c6c2074 68697320 4d414749 nstall this MAGI
  3708.            432d424f 4f54424c 4f434b20 4265726c C-BOOTBLOCK Berl
  3709.            696e204a 756c7927 393259a5 c9d5cd80 in July'92Y.....
  3710.            84486176 65206120 676f6f64 20776179 .Have a good way
  3711.  
  3712.         Im Speicher wird mit ror.b #2,d1 und FALSCHER Laenge decodiert:
  3713.            20202020 2020746f 6d617465 732d6765       tomates-ge
  3714.            6e746563 686e6963 2d736572 76696365 ntechnic-service
  3715.            20212120 67726565 74696e67 7320746f  !! greetings to
  3716.            2065696e 732d676d 62682061 6e64206b  eins-gmbh and k
  3717.            6f626f6c 2d646174 61202121 21202056 obol-data !!!  V
  3718.  
  3719.    - TOPDOG    anderer Name: Top util  s.u.
  3720.  
  3721.    - Top util Virus  Laenge ungepackt: 2260 Bytes
  3722.      Namensbegruendung:
  3723.      Top util By Zacker of EnSoniC V1.0 ist im File zu lesen.
  3724.      Wurde mir ungepackt zugeschickt. Wird deshalb von VT nur unge-
  3725.      packt erkannt. Bleibt NICHT im Speicher, deshalb keine Speicher-
  3726.      erkennung notwendig. Von der Definition kein Virus, da keine Ver-
  3727.      mehrung. Ein Zerstoerungsfile gegen BBS gerichtet. Also fuer den
  3728.      User ohne Mail-Box ungefaehrlich. Versucht durch Cli-Ausgabe zu
  3729.      taeuschen:
  3730.              Top util By Zacker of EnSoniC V1.0
  3731.         Call Zack BBS 16.8 HST 407-232-6324 HST ONLY !!
  3732.  
  3733.     USEAGE: Top (num /ALL) <-Hfname> <-Sfname> <-Ttext>
  3734.     num : Min. megs to get on the list
  3735.     ALL : Show all users (default to BBS:User.rpt)
  3736.     -H  : Use the file name after -H as the TOP hdr
  3737.           if no -s is used default =  BBS:user.rpt
  3738.     -T  : text to be used with top dog
  3739.         : TOPDOG (I just added)
  3740.     -S  : Use the file name after -S as TOP list
  3741.  
  3742.      Schaden in Wirklichkeit:
  3743.      bbs:user.data wird mit Laenge 66 Bytes neu angelegt, d.h. ein
  3744.      altes user.data-file geht verloren:
  3745.      0000: 0CEBEAE5 EAA0F4E9 E9E9F4E7 B4A0E9F7 
  3746.      0010: EDF6E5F7 E5F7E9A0 E9F2E5F7 E7E5F7A0 
  3747.      0020: 67726577 67206565 20200A20 54686520 grewg ee  . The
  3748.      0030: 54687265 65204D75 736B6574 65657273 Three Musketeers
  3749.      0040: 200A
  3750.      Fileerkennung mit VT : 02.11.92
  3751.      Empfehlung: File einfach loeschen
  3752.  
  3753.    - Trabbi  Link  anderer Name: Hochofen  s.o.
  3754.  
  3755.    - Traveling Jack
  3756.       LinkVirusPrg mit variabler HunkLaenge
  3757.       verbiegt DosBase+$2E  (= dos.library-Zeiger ins ROM), nicht resetfest
  3758.       a) schreibt ein File auf Disk VIRUS.xy   Laenge immer 198 Bytes
  3759.          x u. y sind HexZahlen, die ueber $BFE801 bestimmt werden.
  3760.  
  3761.          Text in VIRUS.xy:
  3762.       The Traveling Jack....
  3763.       I'm traveling from town to town looking for respect,
  3764.       and all the girls I could lay down make me go erect.
  3765.                             -Jack, 21st of September 1990
  3766.  
  3767.       b) linkt sich an andere Prg.e
  3768.       Bedingungen:
  3769.       DOS0-Disk, Disk validated, 12 Bloecke frei auf Disk, Filelaenge
  3770.       mind. 2000 Bytes, FileName mind. 5 Zeichen, FileName enthaelt
  3771.       kein Zeichen kleiner als $40,
  3772.       kein Info.File
  3773.       Typ A:
  3774.       LinkHunkLaengenBerechnung:
  3775.       $24C + Wert aus $DFF006
  3776.       decodiert im Speicher $909+1 Bytes
  3777.       Typ B:
  3778.       LinkHunkLaengenBerechnung:
  3779.       $25B + Wert aus $DFF006
  3780.       decodiert im Speicher $945+1 Bytes
  3781.  
  3782.    - Travelling Jack 3  gibt es nicht, es handelt sich um Typ B, glauben
  3783.       Sie mir. Einige andere VirenChecker machen einen Fehler, indem sie
  3784.       die Hunklaengenaenderung nicht beachten und erkennen deshalb nur
  3785.       EINEN Typ B, obwohl mehrere moeglich sind. (Stand 28.09.91)
  3786.  
  3787.    - TRIPLEX-Virus    BB    Cool, DoIo  auch KS2.04
  3788.          belegt im Speicher $800 Bytes, ist 2x im Speicher
  3789.       Vermehrung und Schaeden: BB
  3790.       VirusPrg. meldet sich NICHT
  3791.       im BB ist zu lesen:
  3792.          This nice little Virus was written in 1990  usw.
  3793.  
  3794.    - TRISECTOR 911 Virus BB   immer $7F000
  3795.       KS2.04 : nein
  3796.       fordert trackdisk.device NICHT
  3797.       KickTag, KickChecksum
  3798.       nach 1. Reset auch:
  3799.       DoIo,
  3800.       Vermehrung und Schaeden:
  3801.          BB und  $94(a6) fuer Zeitbestimmung
  3802.  
  3803.    - TRISTAR-Viruskiller V1.0
  3804.       Es ist NICHT der Original TRISTAR- BB gemeint, sondern jemand hat
  3805.       den Text in einen Target-BB  (sehr kurzer Code) eingesetzt.
  3806.       Oh, ihr Anfaenger !!   VT erkennt Target  s.o.
  3807.  
  3808.    - Trojan   BB  anderer Name: Incognito    s.o.
  3809.  
  3810.    - TROJAN 3.0  File Laenge ungepackt: 10536 Bytes
  3811.          Einbruchsprogramm gegen BBS, also fuer Normaluser ohne Mailbox
  3812.          ungefaehrlich. Empfehlung: einfach loeschen
  3813.          Versucht durch Cli-Ausgabe zu taeuschen:
  3814.  
  3815.   TROJAN KILLER V3.0  (23/8/92)
  3816.  
  3817.   Please enter the full path U have to your download dir
  3818.   < eg. BBS:warez/upload >
  3819.   The directory?:
  3820.   Checking for known trojans on harddisk...
  3821.   Report: 0 trojan(s) found'
  3822.   Checking for known trojans in memory...!
  3823.   Trojan(s) found on harddisk   : 0!
  3824.   Trojan(s) found in memory     : 0
  3825.   Please contact ->NYLONMAN<- for new trojan killers!!!
  3826.   Note: This program only works on AmiExpress 1.xx and 2.xx Press <<ENTER>>
  3827.  
  3828.   in Wirklichkeit:
  3829.         liest aus:
  3830.               BBS:user.data
  3831.         legt ab in:
  3832.               /demo99.lha
  3833.  
  3834.         liest aus:
  3835.               BBS:user.keys
  3836.         legt ab in:
  3837.               /demo98.lha
  3838.  
  3839.   Es handelt sich natuerlich NICHT um lha-Files. Die Files werden in dem
  3840.   Unterverzeichnis abgelegt, das Sie oben nach ?: eingegeben haben.
  3841.   Loeschen Sie bitte diese zwei "lha"-Files von Hand.
  3842.   Trojan-File-Erkennung mit VT getestet: 20.10.92
  3843.  
  3844.    - TTS-Virus  BB   siehe oben bei BadBytes1-Virus
  3845.  
  3846.    - TURK_V1.3      Cool, DoIo, im Speicher immer $7f000
  3847.          schreibt TURK nach $60
  3848.          Vermehrung: ueber BB
  3849.          Textausgabe (entschluesselt mit subq #6,d0) ueber DisplayAlert:
  3850.             Amiga Failure... Cause: TURK VIRUS Version 1.3!
  3851.          im BB sichtbar: TURK
  3852.  
  3853.    - TWINZ SANTA CLAUS    Coder-Clone  s.o.
  3854.          Text geaendert im BB: THE SANTA CLAUS VIRUS !!!! usw.
  3855.  
  3856.    - U.K.LamerStyle   anderer Name: Clist s.o.
  3857.  
  3858.    - UA62-ACP-Trojan
  3859.       siehe auch bei CLP-Trojan, PHA Trojan
  3860.       Gefunden in Archiv ua62.lha   Laenge: 28761 Bytes
  3861.       ZerstoerungsFile:
  3862.       Mit 3E8-Hunk und gepackt: Laenge 26868 Bytes
  3863.       Entpackt:                 Laenge 51956 Bytes
  3864.       Schadensteil ausgebaut  : Laenge 45616 Bytes
  3865.       Keine verbogenen Vektoren.
  3866.       Keine Vermehrung
  3867.       Namensbegruendung: siehe Auszug
  3868.       Schaden:
  3869.       Schreibt in alle Files in S: egal ob Data oder Prg. einen Text.
  3870.       Ed-startup vorher:
  3871.            73692030 20203120 2250726f 6a656374 si 0  1 "Project
  3872.            220a7369 20312020 3220224f 70656e2e ".si 1  2 "Open.
  3873.            2e2e2020 20204553 436f7022 20226f70 ..    ESCop" "op
  3874.            203f202f 46696c65 3a202f22 0a736920  ? /File: /".si
  3875.            32202034 0a736920 33202032 20225361 2  4.si 3  2 "Sa
  3876.       Ed-startup nachher:
  3877.            64522e57 486f206f 4620414c 46202841 dR.WHo oF ALF (A
  3878.            4c69454e 204c6946 4520466f 524d2920 LiEN LiFE FoRM)
  3879.            57695348 45532055 2041204d 45525259 WiSHES U A MERRY
  3880.            20582d4d 41532165 3a202f22 0a736920  X-MAS!e: /".si
  3881.            32202034 0a736920 33202032 20225361 2  4.si 3  2 "Sa
  3882.       Manchmal wurden die Files auch mit dem Text versehen und der Rest
  3883.       mit Speichermuell gefuellt. Dies war abhaengig vom Prozessortyp.
  3884.       Ed-startup nachher 2:
  3885.            64522e57 486f206f 4620414c 46202841 dR.WHo oF ALF (A
  3886.            4c69454e 204c6946 4520466f 524d2920 LiEN LiFE FoRM)
  3887.            57695348 45532055 2041204d 45525259 WiSHES U A MERRY
  3888.            20582d4d 4153214b 200b0200 00fc2640  X-MAS!K .....&@
  3889.            221b0c41 03ec6650 48416138 2409524b "..A..fPHAa8$.RK
  3890.       Die Files werden unbrauchbar und VT bietet loeschen an. Die
  3891.       Wirkungsweise ist also aehnlich wie bei CLP-Trojan (hab ich
  3892.       nicht).
  3893.       Fileerkennung:
  3894.       VT erkennt 3E8-Hunk und bietet Ausbau an.
  3895.       Nach dem Ausbau erkennt VT Powerpacker. Bitte entpacken Sie das
  3896.       File mit Powerpacker. Sie stellen dann fest, dass es sich um
  3897.       einen 4EB9-4EF9-Link handelt. VT erkennt jetzt beim Filetest
  3898.       UA62-ACP-Trojan und bietet Ausbau an (hoffe ich). Das entstehende
  3899.       File hat etwas mit BBS zu tun. Mehr kann ich dazu nicht sagen,
  3900.       da ich das Mailbox-Prg. nicht habe. Ich bekomme dann die Meldung:
  3901.       acp.info nicht gefunden oder tooltype NODES fehlen usw. . Sind Sie
  3902.       mit dem Prg. vorsichtig. Es koennte noch ein Trojan im Prg. sein !
  3903.  
  3904.    - UF-Virus   anderer Name: UltraFox  s.u.
  3905.  
  3906.    - Uhr-BB  Virus      Cool DoIo $6c
  3907.         Speicherlage: abhaengig vom Inhalt $4e(a6) minus $800
  3908.         Fordert trackdisk.device NICHT
  3909.         KS2.04: Nein, da Routine Speicher schon verseucht $6c+1 auf
  3910.             kleiner $FC testet.
  3911.         BB wird decodiert mit eor.b d0,d2 usw.
  3912.         Namensbegruendung: Da kein Text gefunden wurde, wurde ein
  3913.         Schadensfall (s.u.) fuer den Namen herangezogen.
  3914.         Vermehrung: BB
  3915.         - Test ob BB schon verseucht
  3916.         - Neue Codierung mit eor.b d2,d1 (Dx zu Decodierung anders).
  3917.           Der Startwert von d2 wird mit $BFE801 festgelegt.
  3918.         Schaeden:
  3919.         Enthaelt mehrere Zaehlzellen. Eine Zaehlzelle wird auf 0-6
  3920.         getestet.
  3921.           z.B. Wert 2
  3922.           addq.b #3,D80002    (Namensbegruendung!!!)
  3923.           Addiere 3 Sekunden. Diese Speicherstelle stimmt aber nach
  3924.           meinem Wissensstand nur fuer den A2000A . Fuer den A2000B
  3925.           waere die richtige Speicherstelle $DC0000 .
  3926.           z.B. Wert 3
  3927.           erhoehe VHPOSR um $300
  3928.           z.B. Wert 4
  3929.           Wartezaehlschleife mit $B000
  3930.           z.B. Wert 5
  3931.           Mauspos -$605
  3932.           usw.
  3933.  
  3934.    - ULDV8   kein Fastmem, KickTag, KickCheckSum, BeginIo, IntVec 5
  3935.          im BB sichtbar: ULDV8
  3936.          fordert trackdisk.device
  3937.          Vermehrung:BB
  3938.  
  3939.    - ULog V1.8   siehe oben Devil_11_B.Door
  3940.  
  3941.    - ULOG.X     BBS-Bomb   siehe oben bei scan.x
  3942.  
  3943.    - UltraFox       Cool, im Prg. DoIo, FastMem ja,
  3944.          kennzeichnet eigenen Speicher NICHT als belegt
  3945.          fordert trackdisk.device nicht
  3946.          Vermehrung: ueber BB
  3947.          im Speicher immer ab $7eb00
  3948.          Zaehlzelle groesser $f = Textausgabe, Graphikroutine
  3949.          Hintergrund dunkelblau, Balken hellblau, Schrift gelb.
  3950.          Greetings from ULTRAFOX of Aust.
  3951.  
  3952.    - Umyj Dupe   nur KS1.2, da absoluter DoIo-Romeinsprung
  3953.          KickTag, KickCheckSum, DoIo, immer ab $7F800
  3954.          Fordert trackdisk.device nicht !!!
  3955.          Schaeden und Vermehrung:
  3956.          Bootblock
  3957.          Schreibt in Block 880 (ist nur bei Disk der RootBlock)
  3958.             Umyj Dupe   usw.
  3959.          DisplayAlert:
  3960.             Umyj Dupe   usw.
  3961.  
  3962.    - USSR492-Virus   BB   Excrement-Clone (Texte geaendert)
  3963.          anderer Name: Sentinel siehe oben
  3964.          Es wird auch der Name USSR 492 verwendet, da aber auf "Sent"
  3965.          im Virus selbst getestet wird, halte ich den Namen Sentinel
  3966.          fuer sinnvoller, zumal dieser Name auch an gleicher Stelle
  3967.          wie EXCREMENT im Original steht.
  3968.  
  3969.    - V1  BB   siehe oben bei EXECUTORS.BB
  3970.  
  3971.    - VCCofTNT-Virus  BB
  3972.          Graphikausgabe:
  3973.                VCC of TNT
  3974.             ACCESS FORBIDDEN
  3975.          Schreibt VCC9 nach #34(a6)
  3976.          Fordert trackdisk.device NICHT
  3977.          auch KS2.04
  3978.          Schaeden:
  3979.          schreibt sofort unsinnige Werte aus dem Speicher in den BB
  3980.          und den Root-Block
  3981.          Ergebnis: Not a Dos Disk
  3982.          Empfehlung: sofort loeschen
  3983.          Wird auch als AutoBootingBootProtector V2.0 weitergegeben.
  3984.  
  3985.    - Vermin  Cool, im Prg DoIo  immer ab $7eb10
  3986.          fuellt nicht benoetigten Platz im BB mit Inhalt von $DFF006 auf.
  3987.          Vermehrung und Schaden: Bootblock
  3988.  
  3989.    - VIPHS-Virus   BB   BeginIo, Kicktag, KickCheckSum, Vec5, im Prg $6c
  3990.          KS2.04: nein
  3991.          Versucht zu taeuschen im BB durch:
  3992.             ANTIVIRUS 1989 by VIPHS
  3993.          Verwendet den ByteBandit-Code um $20 verschoben und $6c
  3994.          Auswirkungen s.o. bei ByteBandit
  3995.  
  3996.    - VirConSet-Virus  BB   (VirusConstructionSet)
  3997.          immer ab $7F000, Cool $7F0BE, DoIo $7F0D2
  3998.          Fordert trackdisk.device NICHT
  3999.          Schaeden und Vermehrung:
  4000.          in Abhaengigkeit von der Zaehlzelle (5) wird
  4001.           - ein Virus-BB geschrieben oder
  4002.           - mit DisplayAlert ein Text ausgegeben. Schwachpunkt: Intuition-
  4003.             Base wird immer im $C00000-Bereich abgelegt.
  4004.          Die schlimmste Sache:
  4005.          Der BB wird mit dem Programm Virusconstructionset erzeugt.
  4006.          Laenge gepackt (PP): 10192 Bytes
  4007.          Sie werden aufgefordert, einen max 60 Zeichen langen Display-
  4008.          Alert-Text einzugeben. Den erzeugten BB koennen Sie dann auf
  4009.          Disk in DF0: abspeichern.
  4010.          Weiterhin ist noch ein codierter (addi.b #$27,(a0)+) Text im
  4011.          BB vorhanden, der NIE erreicht wird:
  4012.                                  5468 69732056           This V
  4013.            69727573 20776173 206d6164 65207769 irus was made wi
  4014.            74682053 7461724c 69676874 60732056 th StarLight`s V
  4015.            69727573 436f6e73 74727563 74696f6e irusConstruction
  4016.            73536574 2120636f 64656420 6279204d sSet! coded by M
  4017.            41580000                            AX..
  4018.  
  4019.    - VirConSet2-Virus    BB
  4020.          Cool und nach Reset DoIo
  4021.          KS1.3 : ja
  4022.          Fordert trackdisk.device NICHT
  4023.          Schaeden und Vermehrung:
  4024.          Typ A: BB uncodiert
  4025.          Typ B: BB codiert mit  eori.b d0,(a0)+  (immer gleich)
  4026.          Test auf Cool schon verbogen
  4027.          Speicherbedarf mit AllocMem
  4028.          Vermehrung mit DoIo falls lesend auf Block 880 (ist nur bei
  4029.          DD-Disk Rootblock) zugegriffen wird.
  4030.          Falls die Zaehlzelle $7FFF0 den Wert 5 erreicht hat, wird
  4031.          mit DisplayAlert ein Text (mit VirusConstructionSet 2 fest-
  4032.          gelegt) ausgegeben.
  4033.          Weiterhin ist noch ein codierter (eori.l #$aaabacad,(a0)+)
  4034.          Text im BB vorhanden, der NIE erreicht wird:
  4035.                                  2054 68697320            This
  4036.            56495255 53207761 73206372 65617465 VIRUS was create
  4037.            64207769 74682074 68652056 49525553 d with the VIRUS
  4038.            20434f4e 53545255 4354494f 4e205345  CONSTRUCTION SE
  4039.            54204949 2020414c 4c20436f 64652062 T II  ALL Code b
  4040.            79204d61 78206f66 20537461 724c6967 y Max of StarLig
  4041.            68742032 322f342f 31393933 21212100 ht 22/4/1993!!!.
  4042.  
  4043.          Erzeuger: VirusConstructionSet 2
  4044.  
  4045.    - VIRI-Virus  BB    s.o. bei F.I.C.A-VIRI-Clone
  4046.          Nur Text geaendert
  4047.  
  4048.    - VIRUS FIGHTER V1.0  BB  auch mit KS2.04 VKill-Clone   s.u.
  4049.          Prg-Code = VKill
  4050.          DecodierLW geaendert: "1991"  (nuetzt bei VT NICHTS!! )
  4051.          decodierter Text fuer Requester anders:
  4052.             VIRUS FIGHTER V1.0  usw.
  4053.  
  4054.    - VirusHunter (L)   File
  4055.          Sofort loeschen    Laenge gepackt:   2888 Bytes
  4056.                             Laenge ungepackt: 4528 Bytes
  4057.          Das Prg. fuehrt nach "Test"-Ende ohne Rueckfrage einen
  4058.          Reset aus. Ihre ungesicherten Daten sind weg !!!
  4059.          Im File ist ungepackt zu lesen:
  4060.            001b0a0d 57656c63 6f6d6520 746f2048 ....Welcome to H
  4061.            61726477 6172652d 56697275 732d4875 ardware-Virus-Hu
  4062.            6e746572 0a0d5665 7273696f 6e203130 nter..Version 10
  4063.            2e323020 6f6e2032 312e3037 2e393220 .20 on 21.07.92
  4064.              ;.....
  4065.            0a0d4368 65636b69 6e672052 6f6d2d56 ..Checking Rom-V
  4066.            656b746f 7273202e 2e2e2052 6f6d2069 ektors ... Rom i
  4067.            7320696e 66656374 65642121 210a0d53 s infected!!!..S
  4068.              ;usw.
  4069.          Hinweis: Im gepackten Zustand koennte es zu Fehlerkennungen
  4070.                   kommen.
  4071.  
  4072.    - VIRUS PREDATOR BB: anderer und eigentlich falscher Name: Julie s.o.
  4073.  
  4074.    - VIRUS TERMINATOR V6.0    trojanisches Pferd  Mega1-Cr: 1880 Bytes
  4075.                auch KS2.04
  4076.          Versucht durch Text zu taeuschen:
  4077.             VIRUS TERMINATOR V6.0 by Rudolf Neiber (1992)  usw.
  4078.          Installiert in Wirklichkeit im Speicher CHEATER HIJACKER Virus-BB
  4079.             Wird von VT im Speicher als CHEATER HIJACKER erkannt.
  4080.             Sollte von VT im FileTest als VIRUS TERMINATOR 6 erkannt wer-
  4081.             den.
  4082.          Empfehlung: sofort loeschen
  4083.  
  4084.    - Virus V1    immer ab $7EC00  Cool $7ec62, DoIo $7eca8
  4085.          Arbeitet auch mit KS2.04 !
  4086.          Fordert trackdisk.device NICHT !!!
  4087.          Schaeden und Vermehrung:
  4088.          ueber Bootblock
  4089.          sobald die Zaehlzelle den Wert $F erreicht hat:
  4090.          Textausgabe mit Graphics-Routinen
  4091.             dunkler Hintergrund
  4092.             Virus V1 (rot)
  4093.             Wir sind wieder da ahaaa.. (gruen)
  4094.          Der letzte Text ist auch im BB zu lesen
  4095.  
  4096.    - Virusblaster V2.3   ungepackt 9232 Bytes
  4097.          keine Vermehrung, keine Vektoren verbogen,
  4098.          (also von der Definition her KEIN Virus, aber auf Zerstoerung
  4099.          ausgelegt)
  4100.          zerstoert Disk in Df0
  4101.          meldet sich im Cli als AntiVirenProgramm von M&T 7/91
  4102.          einfach loeschen
  4103.          Herkunft: Virusblaster.LZH  27944 Bytes
  4104.             - Doc-File (geaendertes VT2.26doc-File)
  4105.             - Virusblaster   PP   7292 Bytes
  4106.  
  4107.    - virustest    anderer Name: TimeBomber  s.o.
  4108.  
  4109.    - VirusZ1.02  File  Laenge ungepackt: 1148  Clone
  4110.          siehe oben bei CompuPhagozyte 2
  4111.          Hinweis: a) Die Versionsnummer gibt es am 27.12.93 noch gar
  4112.                      nicht.
  4113.                   b) Die Laenge muss das Prg. sofort verraten.
  4114.  
  4115.    - VKill 1.0     anderer Name: Aids, veraendert PutMsg
  4116.            mit FastMem:
  4117.   (loescht j e d e n nicht schreibgeschuetzten Bootblock o h n e Warnung !!!,
  4118.                     auch wenn es ein Orig. Bootblock ist !! )
  4119.            mit nur ChipMem:
  4120.      (schreibt ohne Warnung eigenen Bootblock)
  4121.          EntschluesselungsLW: " KEN"
  4122.  
  4123.    - VT-Faster Virus   File  CompuPhagozyte 4 - Clone  s.o.
  4124.         So ein Programm habe ich nie geschrieben.
  4125.  
  4126.    - WAFT  BB   Cool, DoIo  auch mit KS2.04 Vermehrung
  4127.          Teile des BB`s codiert mit eori.b #-$31,(a0)+
  4128.             ergibt u.a. Text: W A F T  usw
  4129.          Vermehrung u. Schaeden:
  4130.             - BB
  4131.             - DisplayAlert
  4132.             - sucht Screen- u. Windowstruktur
  4133.  
  4134.    - WAHNFRIED  BB   Cool immer $7F0D8   PutMsg immer $7F0DE
  4135.          KS 2.06: ja
  4136.          fordert trackdisk.device  NICHT
  4137.          Namensbegruendung:
  4138.          im BB ist immer zu lesen
  4139.            20574148 4E465249 45442053 5452494B  WAHNFRIED STRIK
  4140.            45532041 4741494E 20212120 20202020 ES AGAIN !!
  4141.          Vermehrung:
  4142.         ueber BB
  4143.            Allerdings ist ein vermehrter BB nicht mehr bootfaehig,
  4144.            da die BB-CheckSum nicht nachgebessert wird.
  4145.          Schaeden:
  4146.        Eine Zaehlzelle wird bei der Aktivierung des Viruses mit
  4147.            dem Wert $14 beschrieben. Sobald in der Zaehlzelle der
  4148.            Wert 0 erreicht wird, wird mit DisplayAlert ein Text ausge-
  4149.            geben. Dieser Text wird im Speicher decodiert mit:
  4150.                           eori.b #$a7,d0
  4151.               move.b d0,(a1)+
  4152.            Text:
  4153.            Hardware Failure    Press left mouse button to continue
  4154.                    Guru Meditation    #00000015.00C03L12
  4155.                    Hooligen-Bits randalieren im Datenbus!
  4156.                                                       Gruß Erich!
  4157.  
  4158.  
  4159.    - Warhawk   Cool, im Prg. DoIo, liegt immer ab $7e600
  4160.          Fordert trackdisk.device nicht
  4161.          Clone: 04.03.92  Text entfernt
  4162.          Clone: RAF-Virus, LOVEMACHINE-Virus  s.o.
  4163.          Das Virusteil sichert den eigenen Speicherbereich NICHT. Es
  4164.          kann also ueberschrieben werden.
  4165.  
  4166.    - Warshaw Avenger   BeginIo, KickTag, KickChechSum, SumKickData
  4167.          grosse Aehnlichkeiten mit Lamer, BB aber unverschluesselt
  4168.          schreibt je nach Zaehlerstand BB oder schreibt in einen
  4169.          Diskblock (Lage je nach $dff006) $55 x Warsaw und 1 x !! .
  4170.  
  4171.    - XaCa-Virus    Disk-Killer Clone  s.o.
  4172.          Laenge PP-gepackt: 1440 Bytes
  4173.          Laenge ungepackt : 1368 Bytes
  4174.          Filename: disktest
  4175.          Jemand hat es wieder einmal geschafft, einen Text zu aendern.
  4176.          Wird weiterhin als Diskkiller-Virus erkannt. Tut mir leid,
  4177.          die Muehe war umsonst.
  4178.          Im entpackten File ist zu lesen:
  4179.            20205861 4361206c 756d6d69 6e205631   XaCa lummin V1
  4180.            2e352020 200a2020 20202020 20202020 .5   .
  4181.            20202020 20202020 20202020 20202020
  4182.            20202020 20200a43 41544348 204d4520       .CATCH ME
  4183.            49462059 4f552043 414e2120 47524820 IF YOU CAN! GRH
  4184.            usw.
  4185.  
  4186.    - XCOPY2-BB   eigentlich ein Anti-BB  sehen Sie deshalb unten
  4187.          Dort gehoert er eigentlich auch nicht hin, da er nicht nach
  4188.          Viren sucht, aber ich wollte den BB in diesem Dokument behal-
  4189.          ten und nicht nach "andere BB" auslagern
  4190.  
  4191.    - XCopyPro6.5-Trojan
  4192.          Erzeugt beim Starten von XCopyPro V6.5  (Laenge:28336)
  4193.          den BB  Little Sven
  4194.          Hinweis: im April 92 lag die OrigVersionsNr. von Xcopy erst
  4195.             bei 5.2x (glaub ich).
  4196.          Gefunden in: xcopy65e.lha  Laenge: 25360
  4197.          VT bietet Ausbau an.
  4198.  
  4199.    - XENO     Link-Virus, verlaengert das befallene Prg. um 1124 Bytes
  4200.          verbiegt DosOpen, DosLock und DosLoadSeg
  4201.          erhoeht Hunk-Zahl im File-Header nicht !!!
  4202.          testet vor Befall Filenamen auf 0-9, a-z und A-Z,
  4203.          Folge: Programme, deren Namen SonderZeichen enthalten, werden
  4204.          n i c h t  befallen.
  4205.          Ausserdem werden  a l l e  Prg., die im Unterverzeichnis
  4206.          l oder devs stehen, n i c h t  verseucht.
  4207.  
  4208.          Textausgabe (Output, Write) in Abhaengigkeit von $DFF006
  4209.          Text wird erst zur Ausgabe decodiert ( eori.b #-$80,(a0)+ ) :
  4210.             Greetings Amiga user from the Xeno virus!
  4211.          in einem verseuchten File ist in der Naehe von $460 mit einem
  4212.          Monitor zu sehen:
  4213.                l.devs.fastfilesystem.
  4214.  
  4215.    - XENO a    kleine Veraenderung um AntiVirusPrg.e zu taeuschen
  4216.          09.03.92
  4217.          Nachtrag 02.11.92: mehrere Xeno-links ans gleiche File sollten
  4218.          in einem Durchgang ausgebaut werden.
  4219.  
  4220.    - XENO-nichtlauff   File
  4221.          Kleine Veraenderung um AntiVirusPrg.e zu taeuschen.
  4222.          Aber der Zusammenhang zwischen Hunkanzahl und notwendigen Hunk-
  4223.          laengenangaben scheint nicht klar zu sein (Anfaenger).
  4224.          Das File ist NIE lauffaehig.
  4225.          Amiga-Dos meldet:  Error code 121
  4226.                             Bad loadfile hunk
  4227.          VT bietet loeschen an.
  4228.  
  4229.    - Xerox = DIGITAL AGE = Forpib-Clone
  4230.          nur Text geaendert
  4231.  
  4232.    - XLINK  V3.0  File
  4233.          VT glaubt ein File gefunden zu haben, das mit XLINK erzeugt
  4234.          wurde. Es handelt sich angeblich um ein Szenen-Programm, mit
  4235.          dem 2 ausfuehrbare Programm-Files zu 1 File zusammengelinkt
  4236.          werden koennen. Also geeignet fuer VirenProduktion !!!
  4237.          Muss aber NICHT immer negativ verwendet werden. VT sucht in
  4238.          dem File NICHT nach Viren-Mustern. Sie muessen selbst eine
  4239.          Entscheidung treffen.
  4240.          HINWEIS ab VT2.54 :
  4241.          Sie koennen jetzt im File-Requester Teil 1 oder 2 abschalten.
  4242.          Link1aus - schaltet den Programmteil 1 ab.
  4243.          Link2aus - schaltet den Programmteil 2 ab.
  4244.          Dies kann natuerlich nur ein NOTNAGEL sein. Besser ist es, wenn
  4245.          Sie mir das verseuchte Teil zuschicken und noch mehr erleichtern
  4246.          Sie mir meine Arbeit, falls Sie zufaellig das Programm auch im
  4247.          ungelinkten Zustand besitzen.
  4248.          Bitte fertigen Sie sich von dem gelinkten Programm zwei ver-
  4249.          schiedene Namenskopien auf einer sonst leeren Disk an. Schalten
  4250.          Sie danach an Kopie 1 den Link 1 ab und an Kopie 2 den Link 2 ab.
  4251.          Wenn Sie Glueck haben, ist ein lauffaehiges Programm dann ohne
  4252.          Virusteil oder ohne Intro !!
  4253.          Aber !!!  Es ist auch moeglich, dass das Haupt-Programm NICHT
  4254.          mehr laeuft. Warum ?  Beispiel:
  4255.          Eine Gruppe hat ein Intro vor ein Spiel gelinkt. Dann koennen
  4256.          in diesem Intro schon Veraenderungen am Computer (FastRam ab-
  4257.          schalten usw.) vorgenommen werden, die das Spiel voraussetzt.
  4258.          Ohne das Intro ist das Spiel dann logischerweise nicht lauf-
  4259.          faehig. MERKE: Ein so veraendertes File gibt man NICHT weiter!!!
  4260.  
  4261.  
  4262.    - XPRZSPEED-Virus   anderer Name: ZSPEED-Virus    s.u.
  4263.  
  4264.    - Z.E.S.T  BB    LADS-Clone  s.o
  4265.          Aenderung: lesbarer Text, kein TaeuschAlert, verschluesselter
  4266.          Text ist gleich  (Anfaenger)
  4267.          lesbarer Text: Z.E.S.T is the B.E.S.T Virus-Killer usw.
  4268.  
  4269.    - ZACCESS V1.0    16Bit-Clone   s.o.
  4270.          nur Text geaendert
  4271.  
  4272.    - ZACCESS V2.0    Forpib-Clone  s.o.
  4273.          nur Text geaendert
  4274.  
  4275.    - ZACCESS V3.0    Extreme-Clone s.o.
  4276.          nur Text geaendert
  4277.  
  4278.    - ZAPA_B.Door   Filename DM-Trash
  4279.          Laenge gepackt:  4764   VT erkennt P-Packer
  4280.          Laenge entpackt: 7636   VT erkennt ZAPA
  4281.              gegen AmiExpress ???
  4282.          dm-tr.lha 5135 Bytes  entpackt: dm-trash 4764 Bytes
  4283.          folgender Text (doc) ist zur Taeuschung enthalten:
  4284.          New virus ...caused by the new FIXED (?) Version
  4285.          of DMS 1.11 Turbo!
  4286.          It is some kind of linkvirus and uses Devices
  4287.          like DH0:, LIBS:, and BBS: (!!) usw.
  4288.  
  4289.          Eigene Versuche mit FangFiles (habe AmiExpress nicht) haben
  4290.          ergeben, dass eben von dm-trash folgende Files veraendert wer-
  4291.          den:  bbs:config1  bbs:user.data  bbs:user.key 
  4292.          Die Files wurden verlaengert und ZAPA eingetragen.
  4293.          dm-trash. Vermutlich soll ein Superlevel fuer einen Boxzu-
  4294.          gang geschaffen werden. Also fuer normale Amiga-User kein
  4295.          Problem.
  4296.          VT bietet loeschen an.
  4297.  
  4298.    - ZENKER-Virus   BB  KS2.04: ja  im Speicher immer ab $7F800
  4299.          Cool $7F86c DoIo $7F894
  4300.          Fordert trackdisk.device NICHT
  4301.          Versucht im BB durch lesbaren Text zu taeuschen:
  4302.               Commodore Bootloader (20 Oct 1987)
  4303.          Dieser BB holt in Wirklichkeit ab $70000 auf Speichermedium (bei
  4304.          Disk Zyl 40 Sektor 16-19) 4 Bloecke. Die ersten beiden Bloecke
  4305.          enthalten das Virusteil. Die restlichen beiden Bloecke enthalten
  4306.          den ehemaligen Orginal-BB. Dabei wurde ab der DOS-Kennung
  4307.          == ZENKER == eingetragen. Dies behindert die Vermehrung nicht,
  4308.          da das Virusteil erst ab $C in den Orginal-BB einspringt.
  4309.          Das Virusteil meldet sich NICHT.
  4310.          Vermehrung und Schaeden:
  4311.          Der Orginal-BB der eingelegten Disk wird nach $7FC00 geholt,
  4312.          == Zenker == eingetragen und dann mit dem Virus-Teil nach Zyl 40
  4313.          Sektor 16 ff. abgespeichert. File-Bloecke an dieser Stelle oder
  4314.          die BitMap (im Test passiert) werden ueberschrieben und koennen
  4315.          NICHT gerettet werden !! Tut mir leid. Danach wird der Bootloader
  4316.          in den BB geschrieben.
  4317.          Falls der BB-loader erkannt wurde, sollte das Gadget O-BB aktiviert
  4318.          werden. Sie koennen damit versuchen, den Original-BB von Zyl 40
  4319.          zu holen. VT schreibt dann die Dos0-Kennung und $370 neu. Danach
  4320.          wird die BB-CheckSum neu berechnet. Diesen BB koennen sie dann mit
  4321.          Speicher-BB zurueckschreiben oder im File-Req abspeichern.
  4322.          Vielleicht haben Sie Glueck und ihre Disk bootet wieder. Der
  4323.          Fehler auf Zyl 40 kann aber NICHT behoben werden.
  4324.          Auf Festplatte arbeiten Sie bitte so NICHT. Holen Sie das Backup
  4325.          des Rigid-Bereichs hervor (das haben Sie doch oder ???) und
  4326.          schreiben Sie den Rigid-Bereich mit ihrer Kontroller-Software
  4327.          (ist mir lieber so) oder wenn es gar nicht anders geht mit VT-
  4328.          Restore zurueck.
  4329.          Erkennung und Loeschung mit VT2.51 getestet:
  4330.          Speicher        19.03.93
  4331.          BB              19.03.93
  4332.          BlockITest      19.03.93
  4333.          BlockKette      19.03.93
  4334.          hole O-BB       21.03.93
  4335.          Hinweis 25.10.93: Das VirusTeil verseucht auch FFS-Disketten.
  4336.          Da aber immer ein DOS0-BB geschrieben wird (ist ausgetestet),
  4337.          wird beim naechsten Schreibzugriff (z.B. copy File) die Disk-
  4338.          Struktur noch weiter zerstoert.
  4339.  
  4340.  
  4341.    - ZOMBI I-Virus   Cool, im Prg DoIo, immer ab $7A000
  4342.          fordert trackdisk.device NICHT
  4343.          Vermehrung: BB
  4344.          Schaeden:
  4345.          Sobald die Zaehlzelle den Wert $F erreicht hat:
  4346.          - RootBlock und Bitmapblock neu schreiben !!!!
  4347.          - Name der Disk dann: Zombi I
  4348.          - Textausgabe mit DisplayAlert
  4349.             Text wird decodiert nach $70000 mit eori.l #$AAAAAAAA,(A0)+
  4350.                >>>>>    Hello AMIGA User !!!!!    <<<<<
  4351.                            HERE IS ZOMBI I
  4352.                    If you want to clean your Disks
  4353.                     use Zombie I without risks !
  4354.  
  4355.          Da der BitMapBlock immer nach $371 geschrieben wird, was aber
  4356.          im DOS nicht zwingend festgelegt ist, kann ein File, das beim
  4357.          Block $371 beginnt, zerstoert werden. Alle Hashwerte im Root-
  4358.          Block werden auf Null gesetzt. Beim BitMapTest erkennen Sie
  4359.          diese Disk am Namen Zombi I ab $1B0.
  4360.          Rettung: DiskDoc oder DiskSalv aufrufen.
  4361.  
  4362.    - Zonder Kommando 1  File   (Name nachvollziehbar)
  4363.          anderer Name: Mongo09  s.o.
  4364.  
  4365.    - Zonder Kommando 2  File   (Name nicht nachvollziehbar)
  4366.          anderer Name: Mongo51  s.o.
  4367.  
  4368.    - ZSPEED-Virus   File  Laenge ungepackt: 9556
  4369.          gefunden in Archiv: XPRZSPEED.LHA  8703
  4370.          Von der Definition kein Virus, da keine Vermehrung, sondern
  4371.          Zerstoerungs-File gegen AmiExpress (BBS). Also KEINE Gefahr
  4372.          fuer den Normal-User.
  4373.          Empfehlung: einfach loeschen UND s.seq aendern !!!
  4374.            lesbarer Textauszug am Fileende:
  4375.            00000058 0000005A 06060000 5850522D ...X...Z....XPR-
  4376.            53706565 64657220 56332E32 202D2041 Speeder V3.2 - A
  4377.            43544956 45202D20 30343A31 33424253 CTIVE - 04:13BBS
  4378.            64656C65 74652062 62733A23 3F20616C delete bbs:#? al
  4379.            6C626273 3A446970 5F696E5F 44554445 lbbs:Dip_in_DUDE
  4380.            ....
  4381.            4746412D 42415349 43000000 00000000 GFA-BASIC.......
  4382.          Versucht in doc zu taeuschen:
  4383.      This tool was coded in order to improve your Z-Modem transfers.
  4384.      And it works really good in 30 % of our TEST-Downloads there was
  4385.      an acceleration of nearly 6-7 % !!!
  4386.         Fileerkennung mit VT getestet :    08.10.92
  4387.         WICHTIG: wird von VT im Speicher NICHT gefunden !!!!!
  4388.         Deshalb sollten Mailbox-Betreiber ab und zu in  vt/listen/task
  4389.         suchen nach:
  4390.      $003ae000  wait      process     Background CLI [xprzspeedV3.2.exe]
  4391.  
  4392.         Schadensverlauf:
  4393.          - soll mit run gestartet werden
  4394.          - gibt dann im cli aus: XPR-Speeder V3.2 - ACTIVE
  4395.          - oeffnet nur einen Port OHNE Namen
  4396.         (deshalb auch keine Speichererkennung mit VT  vgl. VT/Listen/Port)
  4397.          - wird um 04:13 Uhr (Nacht) aktiviert
  4398.          - delete bbs:#? all
  4399.          - holt delete (zumindest bei mir wird in Sys: danach gesucht)
  4400.          - loescht alle Files in bbs:
  4401.          - loescht ram:temp
  4402.          - legt Dip_in_DUDE neu an
  4403.          - vergroessert dieses File bis die Partition voll ist
  4404.          - dann ein System-Requester bbs voll
  4405.          - dieses File enthaelt bei mir nur Muell und die geloeschten
  4406.            Filenamen
  4407.  
  4408.    - erkannte Virenfinder:
  4409.      =====================
  4410.       teilweise KickRomV1.2, haeufig mit Bootblock-Schreibzugriff,
  4411.       veraltet, resident, werden nach Abfrage geloescht
  4412.  
  4413.       - ABC-VKiller    Empfehlung: sofort loeschen
  4414.             immer ab $7F400, KickTag im Prg. DoIo
  4415.             lila Bildschirm
  4416.             Im BB ist zu lesen:
  4417.            20566972 75734b69 6c6c6572 2f446574  VirusKiller/Det
  4418.            6563746f 72205631 2e303120 20202020 ector V1.01
  4419.            41204142 43205072 6f647563 74696f6e A ABC Production
  4420.  
  4421.       - ACID Terminator V3.0  AntiVirusBB
  4422.             nicht fuer KS2.04 geeignet, da absolute Werte geschrieben
  4423.             werden.
  4424.             Empfehlung deshalb: loeschen
  4425.  
  4426.       - AmigaDOS Viruskiller V2.1 immer ab 7F3F0, resetfest
  4427.             verbiegt DoIo, KickTag, OpenOldLib, und im Prg OpenWindow
  4428.             Schreibt in CLI-Leiste AmigaDOS  Viruskiller 2.1
  4429.             meldet veraenderten Bootblock und bietet BB-AmigaDOS an.
  4430.             GURU mit KS2.04 deshalb Empfehlung loeschen
  4431.  
  4432.       - Anti-Virus_Boot V1.1 c1991 by Hoeppelsoft
  4433.             KickTag, KickMem, KickCheckSum
  4434.             bei Erstinstallierung: gruener Bildschirm
  4435.             bei Reset : Bildschirm mit blauen Streifen
  4436.             eigentlich harmlos, aber:
  4437.             verhindert bei mir mit KS2.04 booten von Festplatte
  4438.             Empfehlung deshalb :   loeschen
  4439.  
  4440.       - ASS VirusProtector V1.0  (KickV1.2, Tonfolge)
  4441.             FastMem ja, KickTag, KickCheckSum, Vec5
  4442.  
  4443.           6e6b7320 746f2074 68652041 53532056 nks to the ASS V
  4444.           49525553 2050524f 54454354 4f522056 IRUS PROTECTOR V
  4445.           312e3020 2a2a2a00 00000000 00000000 1.0 ***.........
  4446.  
  4447.       - Blizzard Protector V1.0
  4448.             testet Cool, Vec3, falls veraendert wird ohne Warnung
  4449.             eigener BB geschrieben (verwendet dazu ueber den verbogenen
  4450.             CoolVector das andere Prg (jsr 82(a0))
  4451.             Empfehlung: loeschen
  4452.  
  4453.       - BlizzPro V3.1    cool, Fastmem ja,
  4454.             im Prg. closedevice (oh, was neues)
  4455.             Vermehrung: ueber BB
  4456.             erkennt einige Viren, schreibt aber KS1.2 DoIo zurueck
  4457.             Meldung ueber DisplayAlert
  4458.             unverschluesselter Text im BB:
  4459.             BlizzPro V3.1  und Virennamen
  4460.  
  4461.       - BlizzPro V3.3     Cool gegenueber BlizzPro V3.1 verschoben
  4462.             NICHT mit KS2.04
  4463.             kein Virus = Bildschirm gruen
  4464.             sonst s.o.
  4465.             unverschluesselter Text im BB:
  4466.             BlizzPro V3.3  und Virennamen
  4467.             Empfehlung: sofort loeschen
  4468.  
  4469.       - CLONK-Virus  DoIo, KickMem, KickTag, KickCheckSum, SumKickData
  4470.             nur 512KB Chip (oder resetfestes 1MB), da zur Aktivierung
  4471.             immer ein Reset ausgefuehrt wird. (7D042 nach $80, TRAP 0)
  4472.             Ursprungsprogramm: Clonk! (Alcatraz)
  4473.             Clone: TAI10-CLONK-Virus s.o.
  4474.  
  4475.       - DISKGUARD v1.0   cool, im Prg DoIo, immer $7FA00
  4476.             Vermehrung: ueber BB
  4477.             Meldung fremder BB.e: mit DisplayAlert
  4478.             schreibt immer  DoIo von KS1.2, Folge: Guru mit KS1.3
  4479.             Empfehlung: loeschen
  4480.  
  4481.       - Exterminator 2   cool, im Prg DoIo
  4482.             FastMem: nein
  4483.             KS2.04:  nein
  4484.             Empfehlung deshalb: L=loeschen
  4485.  
  4486.       - H.C.S I      veraendert cool, im Prg DoIo, loescht KickTag
  4487.                      im Speicher immer ab $7EC00
  4488.                      Vermehrung: jeder DOS-BB ohne Warnung !!!!
  4489.            4F4C4420 482E432E 5320414E 54492D56 OLD H.C.S ANTI-V
  4490.            49525553 202D2048 2E432E53 20273432 IRUS - H.C.S '42
  4491.            3230202A 2A2A0000 00607E2A 2A2A2042 20 ***...`~*** B
  4492.  
  4493.  
  4494.       - H.C.S II  veraendert cool       laenger als HCS1
  4495.                   erkennt einige alte BBViren ( Alertmeldung )
  4496.                   beim ersten Bootblockschreiberfolg wird noch der
  4497.                   DoIo-Vector verbogen und bleibt verbogen
  4498.                   bei leerem Laufwerk blinkt PowerLed
  4499.  
  4500.       - JoshuaKill.BB        Cool, DoIo
  4501.          KS3.0: ja
  4502.          a)fordert trackdisk.device NICHT
  4503.          b)belegt bei Bedarf OHNE Check Speicher ab $7FF00
  4504.             - Empfehlung deshalb: Loeschen
  4505.          Aufgaben:
  4506.             Testet Vektoren und sucht mit DoIo im BB nach Joshua.
  4507.             Mit DisplayAlert wird bei Bedarf ein Text ausgegeben.
  4508.             Joshua.BB wird ueberschrieben.
  4509.          Im BB ist u.a. zu lesen:
  4510.            THIS BOOTBLOCK IS NO VIRUS! IT KILLS JOSHUA VIRUS I+II!
  4511.  
  4512.       - Outlaw-VirusChecker
  4513.          keine Vermehrung, erkennt SCA. Schreibt aber immer KS1.2 Werte
  4514.          (z.B. Vec5 $fc12fc) zurueck. Folge: GURU mit KS1.3
  4515.          nicht resident
  4516.          Empfehlung: loeschen
  4517.  
  4518.       - M&U  V5.5 u. V6.1   KickTag, KickCheckSum immer $7F400
  4519.          nach Reset auch DoIo, prueft die Standard-Vektoren und
  4520.          springt bei der Erstinstallation, falls diese nicht 0 sind,
  4521.          ins ROM zum Reset.
  4522.          Fehler: or.l $550(a6),d0  (richtig:$226)
  4523.          Stand: Feb. u. Maerz 90
  4524.          Empfehlung deshalb: sofort loeschen
  4525.  
  4526.       - MemClear.BB        Cool $7F0AE
  4527.          Keine Vermehrung, KS2.06: ja  Empfehlung: Loeschen
  4528.          Setzt Reset-Vektoren auf Null und verbiegt dann Cool wieder
  4529.          Namensbegruendung: im BB uncodiert zu lesen
  4530.            203e204d 656d6f72 79436c65 6172426f  > MemoryClearBo
  4531.            6f745631 2e323520                   otV1.25
  4532.  
  4533.       - Monkey-Killer   AssProt-Clone  Empfehlung loeschen  s.o.
  4534.          Endlich hat es jemand geschafft den Text abzuaendern. Leider
  4535.          erkennt VT diesen BB weiterhin als ASS-Prot.BB .
  4536.  
  4537.  
  4538.       - N-STAR-Killer  BB   Empfehlung loeschen
  4539.             Testet Cool und KickTag auf 0
  4540.             Falls ja   blauer Hintergrund und weiter
  4541.             Falls nein ROM-Reset $FC0004
  4542.             Keine verbogenen Vektoren
  4543.             Keine Vermehrungsroutine
  4544.             Datenschrott (falls vorhanden) hinter dem Text wird NIE
  4545.             erreicht.
  4546.             Version V1.7:
  4547.            79002020 20202020 56312e37 20202020 y.      V1.7
  4548.            20205649 5255534b 494c4c45 52204652   VIRUSKILLER FR
  4549.            4f4d2a2a 204e4f52 54482053 54415220 OM** NORTH STAR
  4550.             Version V2.0:
  4551.            61727900 20202020 20205632 2e302020 ary.      V2.0
  4552.            20202020 56495255 534b494c 4c455220     VIRUSKILLER
  4553.            46524f4d 2a2a204e 4f525448 20535441 FROM** NORTH STA
  4554.            52202a2a 20202057 72697474 656e2062 R **   Written b
  4555.  
  4556.  
  4557.       - NO BANDIT  soll ByteBandit am Bootblockbefall hindern
  4558.          Text:  NO BANDIT ANYMORE!  R.T.
  4559.          Empfehlung: loeschen
  4560.  
  4561.       - PayDay.BB   Als AntiVirusBB gebaut           Starfire2-Clone
  4562.          Dringende Empfehlung: Loeschen, da voellig veraltet.
  4563.          Namensbegruendung:
  4564.          Im BB ist zu lesen: PayDay !!!
  4565.          Cool $7EC0E, im Prg DoIo $7ECF0, im Speicher immer ab $7EC00
  4566.          KS2.04: Guru 4 nach Reset
  4567.          Fordert trackdisk.device NICHT
  4568.          Ablauf:
  4569.          Testet auf DOS0-Kennung
  4570.          Testet jeweils 1 Langwort, z.B Band, fuer verschiedene BB-Viren.
  4571.          Falls eines gefunden wird, wird mit DisplayAlert ein Text aus-
  4572.          gegeben und das Schreiben des Payday-BBs angeboten.
  4573.          Ich rate dringend davon ab, da Probleme mit KS2.04 ent-
  4574.          stehen und nicht einmal 10 BB erkannt werden.
  4575.  
  4576.       - Sherlock     AntiVirenBB , Cool, DoIo, resident im Speicher,
  4577.          im Speicher immer ab 7FA00, benutzt zusaetzlich 7CA00,
  4578.          Textausgabe mit DisplayAlert
  4579.          schreibt bei mehr als 512KB  BeginIo an falsche Stelle,
  4580.          Empfehlung: loeschen
  4581.          Hinweis: 04.03.92 (Brief)
  4582.             soll Disks zerstoeren. Getestet: nicht aufgetreten
  4583.  
  4584.  
  4585.       - SystemZ V3.0, 4.0, 4.1, 5.0, 5.1, 5.3, 5.4, 6.1, 6.3, 6.4, 6.5
  4586.          KickTag, KickCheckSum, loescht Cool, im Prg. DoIo
  4587.          Melodie und Farbbalken
  4588.          ab 6.3 keine speicherabsolute Adresse mehr
  4589.          neuer Name Virusprotector (meldet sich vor Schreibzugriff)
  4590.                z.B. :
  4591.             20535953 54454D20 5A205649 52555320  SYSTEM Z VIRUS
  4592.             2050524F 54454354 4F522056 342E3020  PROTECTOR V4.0
  4593.  
  4594.       - Trackers Antivirus V1.2
  4595.          blauer Streifen, helle Schrift
  4596.          2 alte absolute ROM-Einspruenge
  4597.          Empfehlung deshalb: sofort loeschen
  4598.  
  4599.       - VIRUS HUNTER  Kicktag $7F300, KickCheckSum $7F307 immer ab $7F300
  4600.          war ein AntiVirusBB fuer KS1.2  Empfehlung heute: sofort loeschen
  4601.          Begruendung:
  4602.             direkte RomEinspruenge
  4603.             jsr $FC06DC, $94(a6)=$FC12FC, schreibt nach $238(a6) dieser
  4604.             Teil wird aber seit KS2.04 genutzt !!!   usw.
  4605.  
  4606.       - Virus-Killer
  4607.             KickMem, KickTag, KickCheckSum
  4608.  
  4609.       - VIRUS SLAYER V1.0     Cool, DoIo, im Speicher immer $7FA00
  4610.          nur KS1.2 da DoIo absolut ROM
  4611.          veraltet, Empfehlung: loeschen
  4612.          Vermehrung: ueber BB
  4613.          Clone 21.01.94: Erzeugt mit TAI10-Inst. (s.o.)
  4614.          Nur ASCII-Text geloescht.
  4615.          Wird weiterhin als VirusSlayer erkannt:
  4616.            2e202e2e 2e202e20 2e2e2e2d 202e2e20 . ... . ...- ..
  4617.            2e2d2e20 2e2e2d20 2e2e2e21 2e2e2e20 .-. ..- ...!...
  4618.            2e2d2d2e 202e2e2e 2e202e2e 202d2e20 .--. .... .. -.
  4619.  
  4620.       - XCOPY2-BB   Empfehlung: Loeschen
  4621.          KS2.04 ja
  4622.          Fordert trackdisk.device NICHT
  4623.          KickTag, KickCheckSum, im Prg. DoIo, Speicherlage mit
  4624.          AllocMem
  4625.          Ablauf:
  4626.          Beim naechsten Reset wird der Bildschirm gruen.
  4627.          NUR wenn Sie beim Bootvorgang BEIDE Maustasten druecken,
  4628.          wird ein normaler BB geschrieben.
  4629.          Fuer mich ist das KEIN Virus, da OHNE das Wollen des Be-
  4630.          nutzers NICHTS passiert und nicht jeder die Tasten-
  4631.          kombination kennt.
  4632.          Namensbegruendung:
  4633.          Am Ende von Block 0  ist XCOPY2 zu lesen. Der Block 1 wird
  4634.          vom BB-Prg nicht benoetigt und mit 0 aufgefuellt.
  4635.  
  4636.       - ZVirusKiller V1.5  BB   KickTag, KickCheckSum, veraltet
  4637.          Empfehlung: loeschen
  4638.          Text: ZViruskiller V 1.5 usw.
  4639.  
  4640.  
  4641.    - harmlose Programme:    ????????
  4642.      ===================
  4643.  
  4644.       - ANTI-Disk-Validator  Laenge: 1848 Bytes
  4645.          in einen Disk-Validator von WB1.3 wurde das Wort ANTI ein-
  4646.          gebaut. Ueber diesen String wird mit bra.s hinweggesprungen.
  4647.          Die zusaetzlichen 8 Bytes werden wieder eingespart durch die
  4648.          Umwandlung von zwei Longs in Short im weiteren Programm.
  4649.          Dieses Programm ist harmlos. Um aber das Durcheinander bei
  4650.          den Disk-Validatoren gering zu halten, empfehle ich:
  4651.             LOESCHEN !!!!!
  4652.          Nachtrag Feb 94: Es ist ein Programm aufgetaucht, das so einen
  4653.           Anti-Disk-Validator schreibt (fragt aber erst nach). Da als
  4654.           Versionsnummer 1.7 angegeben wird, vermute ich, dass dieses
  4655.           Programm schon laenger existiert.
  4656.           Name: Bush    Laenge gepackt:  7696 Bytes
  4657.                       Laenge ungepackt: 13344 Bytes
  4658.           Dieses Programm wird in der Beschreibung als SADDAM-Killer
  4659.           vorgestellt.
  4660.  
  4661.       - PowerUp  ein GagPrg.  Laenge: 800 Bytes      KEIN Virus !!!!!!
  4662.          keine verbogenen Vektoren. Kein Schreibzugriff
  4663.          Empfehlung: loeschen
  4664.          Ablauf:
  4665.          - nach dem Start wird ein PrgTeil decodiert mit eori.b #$AB,(a0)+
  4666.          - in der shell erfolgt die Ausgabe:
  4667.                  PowerUp ist installiert. Viel Spaß!!!
  4668.          - promptzeichen kommt NICHT
  4669.          - 1. Zeitschleife (dosDelay) laeuft an.
  4670.          - Ausgabe ueber AutoRequest
  4671.                  Achtung!
  4672.                  PowerUp wurde entfernt, da der
  4673.                  Rechner zu heiß wurde.
  4674.                  Neue Installation erst nach Abkühlung der
  4675.                  Logik-Chips möglich!
  4676.                   Oh, schade                  Oh, schade
  4677.          - Nach Mausklick immer noch kein prompt
  4678.          - 2. Zeitschleife laeuft an
  4679.          - DisplayAlert
  4680.                     A P R I L , A P R I L !!!
  4681.          - Nach Mausklick erscheint Prompt-Zeichen
  4682.  
  4683.    - schaedliche Programme:
  4684.      ======================
  4685.  
  4686.       - AcidInfector v1.5   File
  4687.          Loeschen           Laenge gepackt:   1076 Bytes
  4688.                             Laenge ungepackt: 1384 Bytes
  4689.          Fordert zur Installierung von BB-Viren auf.
  4690.            68652041 6369642d 496e6665 63746f72 he Acid-Infector
  4691.            20762031 2e350a0a 0d496e73 65727420  v 1.5...Insert
  4692.            6469736b 20746f20 62652069 6e666563 disk to be infec
  4693.            7465642c 20616e64 20707265 73732052 ted, and press R
  4694.            65747572 6e3a0a0d 4572726f 72202d76 eturn:..Error -v
  4695.            69727573 6e616d65 20646f65 73206e6f irusname does no
  4696.          Hinweis: Erkennung in gepackter Form NICHT sicher (??). Testen
  4697.          Sie bitte das File, bevor Sie es loeschen.
  4698.  
  4699.       - AmiExpress 3.20 Fake    (17.01.94)
  4700.          Wird von VT NICHT erkannt !!!!!
  4701.          Soll mehrere Backdoors enthalten (Fremdaussage NICHT nachge-
  4702.          prueft !!! ). Fuer Nicht-Mailboxbetreiber ungefaehrlich. Und
  4703.          fuer die Mailboxbetreiber auch nur falls sie die Raubkopie
  4704.          installieren !!!
  4705.          Filename:  ACP        45612 Bytes
  4706.                     acp.info    1182 Bytes
  4707.                     Express   212356 Bytes
  4708.  
  4709.       - Blieb6   Laenge: 7612
  4710.          Oeffnet dh0:bbs/config1 oder dh1:bbs/config1 und verlaengert
  4711.          das File auf 1972 Bytes. Versucht dann explode.library zu laden,
  4712.          um sich selbst weiter zu entpacken. Dabei erscheint bei mir sofort
  4713.          der GURU auf jedem Test-Rechner und bei jeder KS . Falls Sie
  4714.          mehr Glueck haben, bitte eine Nachricht. Danke
  4715.  
  4716.       - BootblockMassacre    gepackt: 9592
  4717.          bietet install von verschiedenen alten BB-Viren   (1988)
  4718.          Wird von VT NICHT erkannt, da SIE gewollt die Viren installieren
  4719.          muessen. Das Prg. wird von selbst NICHT aktiv !!!!!
  4720.  
  4721.       - BootShop         Defjam: 108008   MasterCr: 67892
  4722.          Dringende Empfehlung: Loeschen
  4723.          Erlaubt das Installieren von ueber 40 BB-Viren
  4724.          Hinweis: Erkennung in gepackter Form NICHT sicher (??). Testen
  4725.          Sie bitte das File, bevor Sie es loeschen.
  4726.  
  4727.       - BootX5.02   gibt es noch gar nicht (Stand:26.06.92)
  4728.          Jemand mit Filemonitorkenntnis hat mehrmals das Wort Porky
  4729.          eingebaut. Sofort loeschen
  4730.  
  4731.       - ByteWarriorCreater   gepackt: 6012 Bytes  (TNM)
  4732.                            ungepackt: 7360 Bytes
  4733.          Erzeugt mit Fastmem eine NDOS-Disk
  4734.          Ohne Fastmem wird der ByteWarrior in den Bootblock geschrieben
  4735.  
  4736.       - DAG_Creator     ungepackt: 7000 Bytes oder 7360 Bytes
  4737.             anderer Name: Infector V2.0    gepackt:4956
  4738.             schreibt DAG-Virus in BB von df1:
  4739.          VT sollte die Version mit Laenge 7360 Bytes ungepackt erken-
  4740.          nen.
  4741.  
  4742.       - Disk.info   Laenge: 370 Bytes  KEINE Vermehrung
  4743.          Ein OriginalWB1.3-Icon wurde in der Struktur geaendert. (Text
  4744.          eingebaut z.B. This is a little present for all Lamers
  4745.          abroad ). Sobald Sie diese Disk einlegen und es muesste das
  4746.          Disk-Icon auf der WB angezeigt werden, stuerzt der Rechner
  4747.          ab. Haben Sie die Startup-Sequence im Cli abgebrochen, so
  4748.          muss kein Icon dargestellt werden und deshalb koennen Sie
  4749.          mit dieser Disk ohne Probleme arbeiten. Abhilfe: Ersetzen
  4750.          Sie Disk.info .
  4751.  
  4752.       - DiskRepair V2.6     Laenge:37740
  4753.          Schreibt nach dem ersten Scandurchgang einen LEEREN RootBlock
  4754.          mit Namen PHOENIX . Beim 2. Durchgang werden aber dann die
  4755.          Files wieder eingetragen.  ABER  !!!!!
  4756.          es wird immer ein nicht ausfuehrbarer BootBlock geschrieben ???
  4757.          Der Fehler liegt nach meiner Meinung im File bei $80d0 . Ich
  4758.          rate also von diesem Prg. ab !!!
  4759.  
  4760.       - DM-Trash     06.08.92      s.o. ZAPA_B.Door
  4761.              gegen AmiExpress ???
  4762.          dm-tr.lha 5135 Bytes  entpackt: dm-trash 4764 Bytes
  4763.          folgender Text (doc) ist enthalten:
  4764.          New virus ...caused by the new FIXED (?) Version
  4765.          of DMS 1.11 Turbo!
  4766.          It is some kind of linkvirus and uses Devices
  4767.          like DH0:, LIBS:, and BBS: (!!) usw.
  4768.  
  4769.          Eigene Versuche mit FangFiles (habe AmiExpress nicht) haben
  4770.          ergeben, dass eben von dm-trash folgende Files veraendert wer-
  4771.          den:  bbs:config1  bbs:user.data  bbs:user.key 
  4772.          Die Files wurden verlaengert.
  4773.          dm-trash. Vermutlich soll ein Superlevel fuer einen Boxzu-
  4774.          gang geschaffen werden. Also fuer normale Amiga-User kein
  4775.          Problem.
  4776.  
  4777.       - Guardian.DMS  sofort loeschen
  4778.          Nach dem Entpacken auf Disk entsteht guardian.config,
  4779.          startup-sequence und andere Files.
  4780.          Gefaehrlich:
  4781.  
  4782.          guardian.config
  4783.          v1.0 dh0:bbs/
  4784.          v1.0 dh1:bbs/
  4785.          2
  4786.             - v1.0 ist in c auf der Disk ein umbenannter delete-Befehl
  4787.  
  4788.          startup-sequence
  4789.          echo " "
  4790.          echo "      GUARDIAN MULTITOOL INSTALL      "
  4791.          echo " "
  4792.          echo "Please wait"
  4793.          v1.0 dh0:bbs/user.data
  4794.          v1.0 dh0:bbs/user.keys
  4795.          v1.0 dh0:bbs/config1
  4796.          v1.0 dh0:s/startup-sequence
  4797.          check drive dh0: Name Guardian-Multi
  4798.          wait 3
  4799.          echo " "
  4800.          echo "Operation complete "
  4801.             - check ist in c auf der Disk ein umbenannter format-Befehl
  4802.  
  4803.       - Infect     Laenge ungepackt: 1384
  4804.          schreibt File (z.B. BB) in BB eines LW's DFx
  4805.          kann sowohl positiv als auch negativ genutzt werden
  4806.  
  4807.       - Infector V2.0   = DAG_Creator  s.o.
  4808.  
  4809.       - Keeper V2.0   gepackt: 34272 Bytes
  4810.          Hat einige Viren zum installieren FEST eingebaut.
  4811.  
  4812.       - Lhwarp_V1.40   Laenge: 47880 Bytes (ungepackt)
  4813.                Hinweis eines Users: mit Impl: 24788, mit PP: 27828
  4814.          Schreibt bei mir auf Zieldisk, falsche DiskStruktur beim Entpacken.
  4815.          Disk dann unbrauchbar. Bitte fuehren Sie aber mit unwichtigen
  4816.          Disks selbst Tests durch und testen Sie mit BlockKette.
  4817.  
  4818.       - LZ 2.0             Hinweis: Stand 21.09.91
  4819.          In Boxen ist ein LZ2.0 aufgetaucht, mit Laenge 37380 Bytes
  4820.          entpackt. Muss sich um einen Patch handeln und soll Archive
  4821.          zerstoeren. Hab ich, wird aber von VT nicht erkannt.
  4822.          Die hoechste OriginalVersionsNummer von LZ war am 22.09.91
  4823.          LZ 1.92 .
  4824.  
  4825.       - Show Sysops Util  06.08.92       wird von VT NICHT erkannt
  4826.          Laenge: 5780   entpackt: 7860
  4827.          Sucht nach BBS:USER.DATA und gibt Daten am Bildschirm aus.
  4828.          An einem FangFile konnten keine Veraenderungen festge-
  4829.          stellt werden. Dies kann aber bei einem Mailboxprg. anders
  4830.          sein. Fuer normale Amiga User nach meiner Meinung keine
  4831.          Gefahr und Sysops wissen sich zu helfen oder ??
  4832.  
  4833.       - Sysinfo V2.2   PP: 3928   ungepackt: 5656
  4834.          enthaelt: delete BBS:#? all  (gegen AmiExpress)
  4835.                                          wird von VT NICHT erkannt
  4836.          Diese Funktion konnte ich bei Tests auf keinem Amiga-Typ, mit
  4837.          dem ich testen kann, ausloesen. Das Programm belegt Speicher
  4838.          und zeigt dann sehr schnell den GURU bei irgendeiner Arbeit
  4839.          auf der WB. Falls Sie mehr "Glueck" haben, bitte eine Nach-
  4840.          richt. Danke
  4841.             793F0000 0D0A5379 7374656D 496E666F y?....SystemInfo
  4842.             2056322E 320D0A00 0A506C65 61736520  V2.2....Please
  4843.             .
  4844.             ....
  4845.             3A320000 64656C65 74652042 42533A23 :2..delete BBS:#
  4846.             3F20616C 6C202054 3A340000 000003F2 ? all  T:4.....
  4847.  
  4848.       - Sysinfo V1.1   (Original)  ungepackt: 5680
  4849.          enthaelt NICHT !!! : delete BBS:#? all
  4850.          also auch kein Zerstoerungsprogramm gegen AmiExpress !!!
  4851.             303B316D 53797374 656D496E 666F2056 0;1mSystemInfo V
  4852.             312E3120 28432920 496F616E 6E697320 1.1 (C) Ioannis
  4853.             43686174 7A69616E 6472656F 752C2031 Chatziandreou, 1
  4854.             3939302C 20426F63 68756D20 4652471B 990, Bochum FRG.
  4855.  
  4856.       - uinfo        Laenge:13048   wird von VT  NICHT  erkannt
  4857.          Sucht nach AEDoorPort (AmiExpress ???) und Userdaten.
  4858.          Also fuer NormalUser ohne MailBox keine Gefahr.
  4859.          10.09.92
  4860.  
  4861.       - Virusconstructionset       Laenge gepackt (PP2): 10192 Bytes
  4862.          Sie werden aufgefordert, einen max 60 Zeichen langen Display-
  4863.          Alert-Text einzugeben. Den erzeugten BB koennen Sie dann auf
  4864.          Disk in DF0: abspeichern. 
  4865.          Hinweis: Erkennung in gepackter Form NICHT sicher (??). Testen
  4866.          Sie bitte das File, bevor Sie es loeschen.
  4867.  
  4868.       - VirusConstructionSet 2       Laenge gepackt (PP3): 32360 Bytes
  4869.                                             entpackt     : 47944 Bytes
  4870.          Sie werden aufgefordert, einen max 60 Zeichen langen Display-
  4871.          Alert-Text einzugeben. Weitehin koennen Sie den Virusnamen
  4872.          festlegen, der dann immer im BB sichtbar ist. Mit F1 oder F2
  4873.          legen Sie fest, ob der BB codiert abgespeichert wird.
  4874.          Hinweis: Erkennung in gepackter Form NICHT sicher (??). Testen
  4875.          Sie bitte das File, bevor Sie es loeschen.
  4876.  
  4877.       - Virusmaker V1.0              Laenge gepackt (PP): 15641 Bytes
  4878.                                             entpackt    : 84216 Bytes
  4879.          erzeugt nach Wahl: Byte Bandit, Byte Warrior, S.C.A., North-
  4880.          Star 1+2, System Z
  4881.          Dringende Empfehlung: Loeschen
  4882.          Hinweis: Erkennung in gepackter Form NICHT sicher (??). Testen
  4883.          Sie bitte das File, bevor Sie es loeschen.
  4884.  
  4885.       - X-Ripper V1.1     Laenge: 41360 Bytes (ungepackt)
  4886.          erlaubt mit inst 5 das Schreiben eines Lamer-BBs. Es wird
  4887.          aber eine NDos-Disk daraus, weil die DOS0-Kennung um 8 Bytes
  4888.          verschoben angelegt wird.
  4889.          Hinweis: Erkennung in gepackter Form NICHT sicher (??). Testen
  4890.          Sie bitte das File, bevor Sie es loeschen.
  4891.  
  4892.       Programme gegen BBS, die ich nicht besitze. Bitte zusenden. Danke
  4893.  
  4894. /      ---> Date And Time Uploaded -- Mon 01-Feb-93  2:34:10 PM <---        \
  4895. -----------------------------------------------------------------------------
  4896.  WARNING ! DO NEVER RUN THE FILE "KILLKIM.EXE" ON YOUR BBS COMPUTER !!!
  4897. IT LOOKS FOR THE USER.DATA,USER.KEYS, STARTUP-SEQUENCE & EXPRESS MAINFILE
  4898. AND FILLS THEM WITH THE FOLLOWING TEXT:
  4899.  
  4900. --------------CUT HERE------------------
  4901. STARTUP-SEQUENCE SUCCESSFUL DESTROYED!!! 
  4902. --------------CUT HERE------------------
  4903.  
  4904.  
  4905. --------------CUT HERE-----------------
  4906. USER.KEYS SUCCESSFUL DESTROYED !!! 
  4907. --------------CUT HERE-----------------
  4908.  
  4909.  
  4910. AND SO ON. THEN IT RUNS AN APPENDED LSD INTRO. 
  4911. TO THE LAMER WHO 'CODED'[IT WAS COMPILED AREXX] THAT STUFF:LOOKS PRETTY LAME
  4912. IF THERE'S A REQUESTER ON SCREEN "PLEASE INSERT VOLUME BBS: IN ANY DRIVE"...
  4913. I WOULD AT LEAST CHECK IF BBS: ACTUALLY EXISTS ! 
  4914.                                                       CYCLONE/DUAL CREW
  4915.  
  4916.  
  4917. /      ---> Date And Time Uploaded -- Sun 31-Jan-93  1:31:54 PM <---        \
  4918. -----------------------------------------------------------------------------
  4919.  -------------------------------------------------------------------------
  4920.    WARNING ! WARNING ! WARNING ! WARNING ! WARNING ! WARNING ! WARNING !
  4921.  -------------------------------------------------------------------------
  4922.   THE FILES JISMTRO.EXE IS A TROJAN ! IT CREATES A FILE IN AREA 2 UPLOAD
  4923.             DIR WITH THE NAME TSL-BBS.EXE !!!! DO NOT RUN IT !
  4924.  -------------------------------------------------------------------------
  4925.  
  4926. Maerz 93:
  4927.  
  4928. WARNiNG!
  4929.  
  4930. A File Named 'TRSITW.EXE' Was Spread Some Days Ago, Labeled As A
  4931. New TRSI Intro  - This Is A Damn FAKE! And Even Worse It Has A
  4932. BackDoor In It Which Tries To Open The File 'DH0:BBS/USER.DATA' !
  4933. After That It Looks For A User Called 'EASY-E' And Sets (If Existing)
  4934. His UserLevel To 255 !
  4935.  
  4936. Whoever This Little Creep May Be : Give Him A Kick If Ya' Know Him !
  4937.  
  4938.   ------------------------------------------------------------------------
  4939.  
  4940. April 93:
  4941.  
  4942.  Es ist ein Gfa-Basic-Programm aufgetaucht, das angeblich verschiedene
  4943.  Link-Viren erzeugt.
  4944.    VCS         Laenge PP-crunched: 30276
  4945.    VCS.info    Laenge: 459
  4946.    VCS.data    Laenge: 23632
  4947.    VCS1.data   Laenge: 12536
  4948.  
  4949.  Nach IHRER muehevollen, aber leider vergeblichen Arbeit, wird auf der
  4950.  Disk in df0 ein File mit Namen Tasten-Text erzeugt.
  4951.  
  4952.         Hallo Virustown !
  4953.                          
  4954.         Es ist Sommerzeit und der 1.April 
  4955.  
  4956.  
  4957.        Aber vielleicht ist ja doch ein Virus da ?
  4958.               SCHAU DOCH MAL IN DER UHR NACH ?!!?
  4959.                                                  
  4960.               Hier  ne Tastenkombination:
  4961.               linke Hand: alt,ctrl,q,4,v
  4962.               rechte Hand: Enter,8,Alt,Help,ü
  4963.               Nase: F6
  4964.               Zunge: z
  4965.  
  4966.  Ich finde den "GAG" nicht so stark und denke die erste geloeschte
  4967.  Festplatte, laesst diesen Programmierer mit seiner SINNLOSEN Arbeit,
  4968.  anders denken.
  4969.  
  4970.  --------------------------------------------------------------------------
  4971.  
  4972.    Heiner Schneegold
  4973.    Am Steinert 8
  4974.    97246 Eibelstadt
  4975.    Deutschland
  4976.  
  4977.    Tel: 09303/8369
  4978.    (19.00 - 20.00 Uhr)
  4979.  
  4980.        
  4981.  Heiner
  4982.  
  4983.