home *** CD-ROM | disk | FTP | other *** search
/ Gold Medal Software 3 / Gold Medal Software - Volume 3 (Gold Medal) (1994).iso / virus / redal15.arj / REDALERT.DOC < prev    next >
Text File  |  1993-12-20  |  62KB  |  1,258 lines
  1.  
  2.                                   RED ALERT!
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.                                  Users Manual
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.                           Release 1.15 December 1993
  18.  
  19.  
  20.                              PROFESSIONAL VERSION
  21.  
  22.  
  23.  
  24.  
  25.  
  26.  
  27.                       Copyright (c)1993 Servile Software
  28.  
  29.  
  30.  
  31. 2
  32.                                  INTRODUCTION
  33.  
  34.  
  35.  
  36. In 1986 the world's first "computer virus" was detected. It was nicknamed 
  37. "brain" after its effect of changing the volume label of an infected hard disk 
  38. to read "(c) Brain"  Brain scanned an intended victim (hard disk) for a 
  39. signature in the boot sector. If it did not find the signature it would copy 
  40. itself from memory to the hard disk, and hide its presence by marking the 
  41. areas of the disk it occupied as bad in the disk file allocation table (FAT). 
  42. Brain hides by taking over BIOS interrupt 13h.  When an attempt is made to 
  43. read an infected boot sector using the BIOS absolute disk read function, Brain 
  44. would just show the original boot sector instead.  This meant that if the boot 
  45. sector of an infected hard disk was examined using DEBUG or a similar program, 
  46. everything would appear normal, if brain were active in memory.  
  47.  
  48. The discovery of brain caused an uproar in the media. Paranoida swept the 
  49. computing industry, and hundreds of bright, malicious programmers set about 
  50. creating their own computer viruses. Some more materialistic programmers 
  51. starting writing software that would either detect or destroy computer 
  52. viruses. Some of those authors are known to have written computer viruses and 
  53. hyped the paranoida in order to promote the sales of their own product. One 
  54. American gentleman even went as far as to write a book. In his book he 
  55. describes computer viruses, and how to write them. He even included program 
  56. listings of some. Needless to say many variants of his viruses are still 
  57. infecting computers and destroying data. Shortly after the publication of his 
  58. book, the author released a program which would detect and destroy computer 
  59. viruses.
  60.  
  61. With the discovery that brain used a signature to prevent itself from 
  62. reinfecting a disk, programmers developed the technique of virus signature 
  63. scanning as a defence against potential infection. This technique is still 
  64. widely used among virus scanners. However, it has the fundamental flaw that it 
  65. will not detect a hitherto undiscovered virus. In order for a signature to be 
  66. recorded, a virus must have been discovered. And without a technique for 
  67. detecting an unknown virus, the only way a virus is to be detected is when it 
  68. has infected a system. 
  69.  
  70. As well as computer viruses, there are also rogue programs that can cause 
  71. havoc on a system. These come in tow forms; Trojans, named after the Trojan 
  72. horse that allowed the Greeks access to Troy. And Bombs that are so named 
  73. because they require triggering. 
  74.  
  75. A Trojan is a seemingly innocent program, but when run detroys data on the 
  76. host computer. A bomb is a piece of code within a seemingly innocent program, 
  77. which when triggered, perhaps by the computer's system date, destroys data on 
  78. the host computer. These types of program are very easy to write, and 
  79. impossible to detect with conventional virus scanners. 
  80.  
  81. Red Alert! is a new type of disk protection program. Red Alert! analyses 
  82. programs searching for possible virus infection, trojans and bombs. In this 
  83. way Red Alert! can often identify a new strain of virus or trojan before any 
  84. other virus scanner. Red Alert! also reports some known virii, particuarly the 
  85. multitude of strains manufactured with the Virus Creation Lab (as wriiten and 
  86. 3
  87. released by Nowhere Man and NuKe Warez). 
  88.  
  89. Red Alert! is suitable for use in domestic, business and bulletin board (BBS) 
  90. environments. Because of the slightly different needs of the different hosts 
  91. that may use Red Alert!, Red Alert! may be run in either of two modes. The 
  92. first, normal, mode displays status messages on the PC screen as Red Alert! 
  93. works. The second, quiet, mode does not display any status messages. This 
  94. results in a somewhat faster analysis being carried out and is particuarly 
  95. suited to batch file and BBS operations. A feature that may be of particular 
  96. interest to BBS sysops, is the /MOVE parameter. This enables VERY suspicious 
  97. files to be automatically moved to a specified directory. 
  98.  
  99. Red Alert! is designed to be used along side your existing anti-virus 
  100. software. We recommend F-PROT as the most reliable detector of existing virii 
  101. and new strains. Although F-PROT is still not as good as Red Alert! at 
  102. detecting completely new virii! And F-PROT doesn't detect trojan's. 
  103.  
  104. Red Alert! does nothing more than report (and move files if told to do so). If 
  105. you want to disinfect contaminated programs/files you must use a separate 
  106. product. Remember though, prevention is better than cure. Many virii kill 
  107. their hosts, sometimes intentionally, but sometimes by accident. 
  108.  
  109. All warnings may be individually inhibited, except known virii warnings that 
  110. will ALWAYS trigger a red alert. 
  111.  
  112.  
  113. 4
  114.                              COMMAND LINE OPTIONS:
  115.  
  116.  
  117. Red Alert! may be run from DOS with a variety of optional command line 
  118. parameters:
  119.  
  120. REDALERT [d:][file spec | /ALL]][/NOWARN | /REDONLY][/COMMAND][/QUIET][-enn]
  121.          [/MOVE dir][/MONO]
  122.  
  123. Where d: is an optional drive letter of the disk drive to check.
  124.  
  125. File spec is the specification of the files to check, for example 'unknown.*'. 
  126.  
  127. /NOWARN inhibits WARNING messages 
  128.  
  129. /REDONLY only reports red alert status messages.
  130.  
  131. /ALL checks ALL files whatever extension. The default, if the file 
  132. specification is ommited, is for Red Alert! to check only files with an 
  133. extension of .EXE, .COM, .SYS, .APP. or .BAT A simple trick for uploading 
  134. virii to BBS is to name them with an extension not normally checked by virus 
  135. scanners, such as .DAT, and then to rename the virii files from within an 
  136. otherwise clean Trojan program. The /ALL option bypasses this approach. 
  137.  
  138. /COMMAND runs Red Alert in command line mode. Only Red Alerts are reported.
  139.  
  140. /QUIET prevents the display of any messages, although messages are still 
  141. echoed to file REDALERT.REP 
  142.  
  143. /MOVE <directory> Moves all files triggering a Red Alert into the specified 
  144. directory. The target directory MUST be on the same disk as the files being 
  145. checked. If a .COM and a .EXE form of the same file occur in the same 
  146. directory, and the companion virus warning is enabled, then the .COM file will 
  147. be moved, since this is the file that would be executed by DOS. 
  148.  
  149. /MONO Forces Red Alert! to operate in monochrome mode. This is primarily for 
  150.       use where a monochrome monitor is connected to a colour display card.
  151.  
  152. -enn inhibits the appropriate warning number, where nn is the number of the 
  153. warning to inhibit. Inhibiting warnings also inhibits the moving of suspect 
  154. files that would have otherwise triggered the inhibited warning.
  155. 5
  156.                              COMMAND LINE EXAMPLES
  157.  
  158.  
  159. To check every executable, device driver and batch file on hard disk C:
  160.  
  161.                                   REDALERT C:
  162.  
  163. To check every file on hard disk C:
  164.  
  165.                                REDALERT C: /ALL
  166.  
  167. To check only the file 'suspect.exe' in the current directory:
  168.  
  169.                              REDALERT SUSPECT.EXE
  170.  
  171.  
  172. To check only the file 'suspect.exe' in a specified directory:
  173.  
  174.                        REDALERT C:\DIRECTORY\SUSPECT.EXE
  175.  
  176.  
  177. To check all files in a specified directory:
  178.  
  179.                           REDALERT C:\DIRECTORY /ALL   
  180. or
  181.  
  182.                           REDALERT C:\DIRECTORY\*.*   
  183.  
  184. To check all files of a particular extension in a specified directory:
  185.  
  186.                           REDALERT C:\DIRECTORY\*.EXT   
  187.  
  188.  
  189. To check all files of a particular extension on the disk
  190.  
  191.                           REDALERT *.EXT   
  192.  
  193.  
  194. 6
  195.                       USING RED ALERT! WITH A BATCH FILE
  196.  
  197.  
  198.  
  199. Red Alert! can be simply used with a batch file to test an individual file. If 
  200. Red Alert! detects code or data within the file that triggers a "red alert" 
  201. then ERRORLEVEL ONE will be set. This can be tested by the batch file and 
  202. appropriate action taken. The following is a listing of the example batch 
  203. file, RA.BAT, supplied with Red Alert! 
  204.  
  205. @echo off
  206. rem Sample batch file for BBS testing of files
  207. rem ONLY red alerts will be reported
  208. rem reported findings will NOT be echoed to the screen
  209.  
  210. redalert %1 /QUIET /REDONLY
  211. IF ERRORLEVEL 1 GOTO DANGER
  212. GOTO END
  213. :DANGER
  214. echo %1 is a SUSPICIOUS file
  215. :END
  216. 7
  217.                                INTERACTIVE MODE
  218.  
  219. If you don't specify either of the command line options /QUIET or COMMAND, 
  220. then Red Alert! will operate in the interactive mode. This provides an easy to 
  221. use menu of facilities for repetetive scanning of diskettes, or multiple 
  222. drives.
  223.  
  224. Menu:
  225.  
  226. Facilities are chosen from the menu by moving the highlight bar with the 
  227. cursor up and down arrow keys. The highlighted facility may be selected by 
  228. pressing the return key.
  229.  
  230. ┌──────────────────────────────────────────────────────────────────────────────┐
  231. │Servile Software                R E D   A L E R T               Copyright 1993│
  232. └──────────────────────────────────────────────────────────────────────────────┘
  233.                                                                                 
  234. ┌──────────────────────────────────────────────────────────────────────────────┐
  235. │                             ╔════════════════════╗                           │
  236. │                             ║ Begin Scanning     ║                           │
  237. │                             ║ Specify Warnings   ║                           │
  238. │                             ║ Specify Path       ║                           │
  239. │                             ║ Specify Move Path  ║                           │
  240. │                             ║ View Last Report   ║                           │
  241. │                             ║ Print Last Report  ║                           │
  242. │                             ║ Analyse            ║                           │
  243. │                             ║ Quit               ║                           │
  244. │                             ╚════════════════════╝                           │
  245. │                                                                              │
  246. │                                                                              │
  247. │ ┌─────────────────────────────────────────────────────────────────────────┐  │
  248. │ │                   Begin scanning of the selected path                   │  │
  249. │ │                                                                         │  │
  250. │ │                                    C:                                   │  │
  251. │ │                                                                         │  │
  252. │ └─────────────────────────────────────────────────────────────────────────┘  │
  253. │                                                                              │
  254. └──────────────────────────────────────────────────────────────────────────────┘
  255. 8
  256.  
  257. Begin Scanning:
  258.  
  259. Selecting this option will commence a scan of the path or file indicated in 
  260. the lower box. The scan will take place with the current warnings settings 
  261. which may have been specified by command line parameters, or specified with 
  262. the Specify Warnings menu facility. As scanning occurs, Red Alert! displays 
  263. the current status and operation on screen. These messags may scroll off the 
  264. screen too fast to read. However, all mssages are echoed to the report file 
  265. which may be viewed or printed after scanning has finished. 
  266.  
  267.                SCANNING MAY BE ABORTED BY PRESSING THE ESC KEY. 
  268.  
  269.  
  270. ┌──────────────────────────────────────────────────────────────────────────────┐
  271. │Servile Software                R E D   A L E R T               Copyright 1993│
  272. └──────────────────────────────────────────────────────────────────────────────┘
  273.                                                                                 
  274. ┌──────────────────────────────────────────────────────────────────────────────┐
  275. │[6]WARNING!                                                                   │
  276. │D:\DRAW\THEDRAW.EXE may contain a call to DOS 'rename file' function          │
  277. │[7]WARNING!                                                                   │
  278. │D:\DRAW\THEDRAW.EXE may contain a call to DOS 'delete file' function          │
  279. │[8]YELLOW ALERT!                                                              │
  280. │D:\DRAW\THEDRAW.EXE may contain a call to DOS 'exec' function                 │
  281. │[18]WARNING!                                                                  │
  282. │D:\GRAM\DICTUTIL.EXE is a packed file                                         │
  283. │[6]WARNING!                                                                   │
  284. │D:\GRAM\GMK.EXE may contain a call to DOS 'rename file' function              │
  285. │[7]WARNING!                                                                   │
  286. │D:\GRAM\GMK.EXE may contain a call to DOS 'delete file' function              │
  287. │[18]WARNING!                                                                  │
  288. │D:\GRAM\GMK.EXE is a packed file                                              │
  289. │[8]YELLOW ALERT!                                                              │
  290. │D:\GRAM\GMK.EXE may contain a call to DOS 'exec' function                     │
  291. │[18]WARNING!                                                                  │
  292. │D:\GRAM\GMKCVTWP.EXE is a packed file                                         │
  293. │SCANNING: D:\GRAM\GMKED.EXE                                                   │
  294. └──────────────────────────────────────────────────────────────────────────────┘
  295.  
  296.                           Some innocuous warnings....
  297.  
  298. 9
  299.  
  300. When scanning, Red Alert! will display warning messages. The screen dump below 
  301. illustrates the sort of messages you can expect to be displayed when rogue 
  302. programs are detected:
  303.  
  304.  
  305. ┌──────────────────────────────────────────────────────────────────────────────┐
  306. │Servile Software                R E D   A L E R T               Copyright 1993│
  307. └──────────────────────────────────────────────────────────────────────────────┘
  308.                                                                                 
  309. ┌──────────────────────────────────────────────────────────────────────────────┐
  310. │D:\VIRUS\VIRII\INCSPD.COM may open a file handle to command.com               │
  311. │[32]RED ALERT!                                                                │
  312. │D:\VIRUS\VIRII\INCSPD.COM may open a file handle to ibmdos.com                │
  313. │[28]RED ALERT!                                                                │
  314. │D:\VIRUS\VIRII\INCSPD.COM searches directories for *.COM                      │
  315. │[9]YELLOW ALERT!                                                              │
  316. │D:\VIRUS\VIRII\CODEZERO.COM may contain a call to dos 'set file date/time' fun│
  317. │ction                                                                         │
  318. │[12]RED ALERT!                                                                │
  319. │D:\VIRUS\VIRII\CODEZERO.COM contains code known to lock the keyboard          │
  320. │[15]YELLOW ALERT!                                                             │
  321. │D:\VIRUS\VIRII\CODEZERO.COM contains a reference to '*.COM'                   │
  322. │[20]RED ALERT!                                                                │
  323. │D:\VIRUS\VIRII\CODEZERO.COM contains a reference to '[VCL]'                   │
  324. │[21]RED ALERT!                                                                │
  325. │D:\VIRUS\VIRII\CODEZERO.COM contains known virus commands                     │
  326. │RED ALERT!                                                                    │
  327. │D:\VIRUS\VIRII\CODEZERO.COM is probably infected with a virus                 │
  328. │                                                                              │
  329. └──────────────────────────────────────────────────────────────────────────────┘
  330.                              Viruses detected....
  331.  
  332.  
  333. 10
  334. Specify Warnings:
  335.  
  336. Individual warnings may be toggled on and off. Highlight the warning to 
  337. change, and press the space bar. When the warning is enabled, a tick (√) 
  338. appears to the left of it.
  339.  
  340. As a short cut, you can press key Y to enable all yellow and red alerts, and 
  341. disable all warnings. Or you can press key R to disable all warning mssages 
  342. except red alerts.
  343.  
  344. ┌──────────────────────────────────────────────────────────────────────────────┐
  345. │Servile Software                R E D   A L E R T               Copyright 1993│
  346. └──────────────────────────────────────────────────────────────────────────────┘
  347.                                                                                 
  348. ┌──────────────────────────────────────────────────────────────────────────────┐
  349. │ √ ( 0) has strange time stamp            (18) is a packed file               │
  350. │ √ ( 1) Code to format drive              (19) contains a reference to 'virus'│
  351. │   ( 2) is a hidden executable file     √ (20) contains reference to [VCL]    │
  352. │   ( 3) is a hidden file                √ (21) contains known virus commands  │
  353. │ √ ( 4) may be a VCL encrypted virus    √ (22) is a PKZIP packed file         │
  354. │ √ ( 5) may remain resident in memory   √ (23) Both .COM and .EXE forms       │
  355. │   ( 6) may call rename file function   √ (24) contains code to delete files  │
  356. │   ( 7) may call delete file function   √ (25) is encrypted                   │
  357. │ √ ( 8) may call exec function          √ (26) determines if is an EXE or COM │
  358. │ √ ( 9) may set file date/time          √ (27) code to move itself in memory  │
  359. │   (10) may get/set file attributes     √ (28) searches directories for *.COM │
  360. │ √ (11) contains code to destroy FAT    √ (29) searches directories for *.EXE │
  361. │ √ (12) contains code to lock keyboard  √ (30) contains ANSI key redefinition │
  362. │   (13) may call format function        √ (31) may open a file to command.com │
  363. │ √ (14) contains reference to 'format'  √ (32) may open a file to ibmdos.com  │
  364. │ √ (15) contains a reference to '*.COM' √ (33) may capture interrupt 21       │
  365. │ √ (16) contains reference to IBMIO.COM √ (34) may capture interrupt 13       │
  366. │ √ (17) may call absolute disk write    √ (35) is actually an EXE file        │
  367. │                                                                              │
  368. └──────────────────────────────────────────────────────────────────────────────┘
  369.  
  370.  
  371. 11
  372. Specify Path:
  373.  
  374. To select a new path to be searched, select the "Specify Path" facility from 
  375. the menu. Red Alert! will then wait while you type in the path to be scanned. 
  376. If the entered path is a drive specification, or a directory specification, 
  377. Red Alert! will scan all files in that drive or directory which have an 
  378. extension of: .EXE, .COM, .APP, .SYS or .BAT.
  379.  
  380. If you specify a file or group of files without a drive or directory 
  381. specified, then Red Alert! will search the entire current drive and scan files 
  382. matching the entered name or specification.
  383.  
  384. Entering a directory and a file specification forces Red Alert! to scan just 
  385. the specified files in the named directory. 
  386.  
  387. ┌──────────────────────────────────────────────────────────────────────────────┐
  388. │Servile Software                R E D   A L E R T               Copyright 1993│
  389. └──────────────────────────────────────────────────────────────────────────────┘
  390.                                                                                 
  391. ┌──────────────────────────────────────────────────────────────────────────────┐
  392. │                             ╔════════════════════╗                           │
  393. │                             ║ Begin Scanning     ║                           │
  394. │                             ║ Specify Warnings   ║                           │
  395. │                             ║ Specify Path       ║                           │
  396. │                             ║ Specify Move Path  ║                           │
  397. │                             ║ View Last Report   ║                           │
  398. │                             ║ Print Last Report  ║                           │
  399. │                             ║ Analyse            ║                           │
  400. │                             ║ Quit               ║                           │
  401. │                             ╚════════════════════╝                           │
  402. │                                                                              │
  403. │                                                                              │
  404. │ ┌─────────────────────────────────────────────────────────────────────────┐  │
  405. │ │PATH:[C:                                                                ]│  │
  406. │ │                                                                         │  │
  407. │ │           Enter the path and/or file specification to scan.             │  │
  408. │ │EG:        C:\UPLOAD  or  A:\*.ASC  or  NEWFILE.EXE  or  A:              │  │
  409. │ └─────────────────────────────────────────────────────────────────────────┘  │
  410. │                                                                              │
  411. └──────────────────────────────────────────────────────────────────────────────┘
  412.  
  413. 12
  414. Specify Move Path:
  415.  
  416. You may optionally specify a directory, which must be on the current drive, 
  417. into which to move all files triggering an enabled Red Alert. If you enter a 
  418. blank path, the move operation will be inhibited.
  419.  
  420. ┌──────────────────────────────────────────────────────────────────────────────┐
  421. │Servile Software                R E D   A L E R T               Copyright 1993│
  422. └──────────────────────────────────────────────────────────────────────────────┘
  423.                                                                                 
  424. ┌──────────────────────────────────────────────────────────────────────────────┐
  425. │                             ╔════════════════════╗                           │
  426. │                             ║ Begin Scanning     ║                           │
  427. │                             ║ Specify Warnings   ║                           │
  428. │                             ║ Specify Path       ║                           │
  429. │                             ║ Specify Move Path  ║                           │
  430. │                             ║ View Last Report   ║                           │
  431. │                             ║ Print Last Report  ║                           │
  432. │                             ║ Analyse            ║                           │
  433. │                             ║ Quit               ║                           │
  434. │                             ╚════════════════════╝                           │
  435. │                                                                              │
  436. │                                                                              │
  437. │ ┌─────────────────────────────────────────────────────────────────────────┐  │
  438. │ │PATH:[                                                                  ]│  │
  439. │ │                                                                         │  │
  440. │ │ Enter the directory to move files into, or leave blank to inhibit move  │  │
  441. │ │              (NOTE: Must be a directory on the current disk)            │  │
  442. │ └─────────────────────────────────────────────────────────────────────────┘  │
  443. │                                                                              │
  444. └──────────────────────────────────────────────────────────────────────────────┘
  445.  
  446. 13
  447. View Last Report: (REGISTERED USERS ONLY)
  448.  
  449. Red Alert! always generates a report following a scan. This report is written 
  450. to the directory where redalert.exe is to be found. This report may be viewed 
  451. through Red Alert's "View Last Report" facility. To move around the screen use 
  452. the cursor arrow keys, the page up and page down keys, and the home and end 
  453. eyes to move to the start and end of the current display line. Often a report 
  454. will include lines which are too long to be shown on the screen. Red Alert! 
  455. will allow the screen to scroll from left to right to show the remainder of 
  456. these lines.
  457.  
  458. ┌──────────────────────────────────────────────────────────────────────────────┐
  459. │Servile Software                R E D   A L E R T               Copyright 1993│
  460. └──────────────────────────────────────────────────────────────────────────────┘
  461.                                                                                 
  462. [14]RED ALERT! D:\VIRUS\VIRII\ANTIV.EXE contains a reference to 'format.com'    
  463. [9]D:\VIRUS\VIRII\MI2SOLVE.EXE YELLOW ALERT! may contain a call to dos 'set file
  464. RED ALERT! D:\VIRUS\VIRII\MI2SOLVE.EXE is probably infected with a virus        
  465. [25]RED ALERT! D:\VIRUS\VIRII\MI2SOLVE.EXE is encrypted                         
  466. [26]YELLOW ALERT! D:\VIRUS\VIRII\MI2SOLVE.EXE determines if it is an EXE or COM 
  467. [27]RED ALERT! D:\VIRUS\VIRII\MI2SOLVE.EXE contains code to move itself in memor
  468.                
  469.  
  470.  
  471.  
  472.                                                                  
  473. ┌──────────────────────────────────────────────────────────────────────────────┐
  474. │Move cursor with [PgUp], [PgDn], [Home], [End], [], [|], [|], []  [Esc] Quit│
  475. └──────────────────────────────────────────────────────────────────────────────┘
  476.  
  477.  
  478. Print Last Report: (REGISTERED USERS ONLY)
  479.  
  480. Red Alert! can send the current report to a printer connected to the parallel 
  481. port. No printer formatting instructions are sent before or after printing the 
  482. report, so you should ensure that your printer is correctly setup before 
  483. selecting this facility.
  484.  
  485. 14
  486.                                     REPORT
  487.  
  488.  
  489. Red Alert! always writes the result of its findings to a report file titled 
  490. "redalert.rep". This file is created in the current directory, overwriting any 
  491. existing report file.
  492.  
  493. The report file commences with an author's acknowledgment, and then 
  494. information about the scan that has been conducted. This information includes 
  495. the date of the scan, whether any warnings have been inhibited and the 
  496. specifications of files being analysed. For example:
  497.  
  498. Servile Software                R E D   A L E R T                Copyright 1993
  499.  
  500. Results of scan on date <date>
  501. Checking file specifications *.EXE  *.COM  *.SYS  *.APP *.BAT
  502.  
  503. After the heading text is the body of the report that lists all warnimgs 
  504. appertaining to suspicious files scanned. For example:
  505.  
  506. WARNING! D:\DRAW\THEDRAW.EXE may contain a call to DOS 'rename file' function
  507. WARNING! D:\DRAW\THEDRAW.EXE may contain a call to DOS 'delete file' function
  508. YELLOW ALERT! D:\DRAW\THEDRAW.EXE may contain a call to DOS 'exec' function
  509.  
  510. The report is a standard text file that may be printed or viewed with a text 
  511. editor.
  512.  
  513. For details of the messages reported please refer to the section entitled 
  514. "Messages" in this document.
  515. 15
  516.                                     ANALYSE
  517.  
  518. Interesting information can be obtained about suspect programs with the 
  519. 'analyse' option. This causes Red Alert! to simulate execution of the program. 
  520. Red Alert! displays details of what the program is doing as it does it. Most 
  521. okay programs will display very little. Virus infected programs or programs 
  522. which attack other files will display quite a lot of information!
  523.  
  524.               THE ANALYSIS MAY BE ABORTED BY PRESSING THE ESC KEY
  525.  
  526. ┌──────────────────────────────────────────────────────────────────────────────┐
  527. │Servile Software                R E D   A L E R T               Copyright 1993│
  528. └──────────────────────────────────────────────────────────────────────────────┘
  529.                                                                                 
  530. ┌──────────────────────────────────────────────────────────────────────────────┐
  531. │                             ╔════════════════════╗                           │
  532. │                             ║ Begin Scanning     ║                           │
  533. │                             ║ Specify Warnings   ║                           │
  534. │                             ║ Specify Path       ║                           │
  535. │                             ║ Specify Move Path  ║                           │
  536. │                             ║ View Last Report   ║                           │
  537. │                             ║ Print Last Report  ║                           │
  538. │                             ║ Analyse            ║                           │
  539. │                             ║ Quit               ║                           │
  540. │                             ╚════════════════════╝                           │
  541. │                                                                              │
  542. │                                                                              │
  543. │ ┌─────────────────────────────────────────────────────────────────────────┐  │
  544. │ │PROGRAM:[d:\virus\virii\yankee2.com                                     ]│  │
  545. │ │                                                                         │  │
  546. │ │              Enter the name of the program to analyse                   │  │
  547. │ │                                                                         │  │
  548. │ └─────────────────────────────────────────────────────────────────────────┘  │
  549. │                                                                              │
  550. └──────────────────────────────────────────────────────────────────────────────┘
  551.  
  552. 16
  553. The following screen dumps show the results of analysing one virus infected 
  554. program. Other virus infected programs may display different results.
  555.  
  556. ┌──────────────────────────────────────────────────────────────────────────────┐
  557. │Servile Software                R E D   A L E R T               Copyright 1993│
  558. └──────────────────────────────────────────────────────────────────────────────┘
  559.                                                                                 
  560. ┌──────────────────────────────────────────────────────────────────────────────┐
  561. │Get DTA                                                                       │
  562. │Set DTA                                                                       │
  563. │Get current directory                                                         │
  564. │CD                                                                            │
  565. │Get DTA                                                                       │
  566. │Set DTA                                                                       │
  567. │Find first *.COM                                                              │
  568. │Get DTA                                                                       │
  569. │Open file CPROBE.COM                                                          │
  570. │Read 3 bytes from file [CPROBE.COM]                                           │
  571. │Move file [CPROBE.COM] pointer relative to start of file                      │
  572. │Get file attributes                                                           │
  573. │CPROBE.COM file closed                                                        │
  574. │Set [CPROBE.COM] file attributes                                              │
  575. │Open file CPROBE.COM                                                          │
  576. │Write 3 bytes to file [CPROBE.COM]                                            │
  577. │Move file [CPROBE.COM] pointer relative to start of file                      │
  578. │Get file attributes                                                           │
  579. │Press a key to continue....                                                   │
  580. └──────────────────────────────────────────────────────────────────────────────┘
  581.  
  582. ┌──────────────────────────────────────────────────────────────────────────────┐
  583. │Servile Software                R E D   A L E R T               Copyright 1993│
  584. └──────────────────────────────────────────────────────────────────────────────┘
  585.                                                                                 
  586. ┌──────────────────────────────────────────────────────────────────────────────┐
  587. │Read 3 bytes from file [CPROBE.COM]                                           │
  588. │Move file [CPROBE.COM] pointer relative to start of file                      │
  589. │Get file attributes                                                           │
  590. │CPROBE.COM file closed                                                        │
  591. │Set [CPROBE.COM] file attributes                                              │
  592. │Open file CPROBE.COM                                                          │
  593. │Write 3 bytes to file [CPROBE.COM]                                            │
  594. │Move file [CPROBE.COM] pointer relative to start of file                      │
  595. │Get file attributes                                                           │
  596. │Press a key to continue....                                                   │
  597. │Write 821 bytes to file [CPROBE.COM]                                          │
  598. │Set [CPROBE.COM] file date/time                                               │
  599. │CPROBE.COM file closed                                                        │
  600. │Set [CPROBE.COM] file attributes                                              │
  601. │Set DTA                                                                       │
  602. │CD \                                                                          │
  603. │Get current directory                                                         │
  604. │Aborted by operator....                                                       │
  605. │Press a key to return to the main menu....                                    │
  606. └──────────────────────────────────────────────────────────────────────────────┘
  607.  
  608.  
  609. 17
  610.                             LIVING WITH RED ALERT!
  611.  
  612.  
  613. Red Alert! can generate a vast quantity of warning messages and take a long 
  614. time to scan. A suspect file is best scanned with all warning messages 
  615. enabled. However, allowances should be made that many legitimate programs 
  616. delete files. Even spreadsheet applications often delete files because they 
  617. use temporary files that they later delete. Consequently singular file 
  618. deletion is a low suspicion warning. 
  619.  
  620. Red Alert! is slower than other virus scanners because it has a 
  621. built in code analyser that actually "activates" the programs being tested. 
  622. This activation involves a "quick" test of what the program would do if it was 
  623. run from the current disk and directory. This method of analysis is often 
  624. effective at bypassing encryption. However, it is important that Red Alert! is 
  625. run from the disk where the suspect program will be used.
  626.  
  627. The code analyser can detect a number of VERY suspicious states. These are: 
  628. the program being tested attempts to open either "command.com" or 
  629. "ibmdos.com". These are warnings 31 and 32 and are displayed as: 
  630.  
  631. [31]RED ALERT! <filename> may open a file handle to command.com
  632.  
  633. [32]RED ALERT! <filename> may open a file handle to ibmdos.com
  634.  
  635. And the program tries to take control of either interrupt 13h or 21h. These 
  636. are warnings 33 and 34 and are each displayed in one of two forms. If the 
  637. program under test analyses the address of the interrupt, Red Alert! warns 
  638. that the program may capture the interrupt. If Red Alert! detects that the 
  639. program does change the interrupt, then you will be informed that the program 
  640. does capture the interrupt.
  641.  
  642. [33]RED ALERT! <filename> may capture interrupt 21
  643. [33]RED ALERT! <filename> captures interrupt 21
  644.  
  645. [34]RED ALERT! <filename> may capture interrupt 13
  646. [34]RED ALERT! <filename> captures interrupt 13
  647.  
  648.  
  649. Very few normal programs assign a file handle to either of these files. 
  650. Viruses however will often search for .COM files to infect, and as such may 
  651. attempt to infect either of these files. These warnings give a pretty clear 
  652. indication that the program being scanned IS a virus.
  653.  
  654. One program is known to trigger Red Alert! This is Format.com. It has a 
  655. structure commonly found in viruses, but not in any other programs I have come 
  656. across! This triggers the:
  657.  
  658. RED ALERT! <filename> is probably infected with a virus warning.
  659.  
  660. You should not be complacent about this warning, even when it applies to 
  661. format.com. Instead you should compare your copy of format.com with the master 
  662. copy on your DOS disk.
  663.  
  664. 18
  665. So what suggests a dangerous program? Certainly a "red alert" suggests that 
  666. the program could be dangerous. But, many straight programs can be dangerous. 
  667. If you receive multiple red alerts you should be very suspicious of the file. 
  668. Also, there is in existence a virus creation tool, entitled VCL. This enables 
  669. non-programmers to churn out vast quantities of destructive viruses and 
  670. Trojans. Fortunatelt they all contain the signature "[VCL]". However, due to 
  671. their prolific nature, any reference to VCL triggers a red alert, and you 
  672. should also be suspicious of the program triggering the warning. The 
  673. particuarly nasty warnings are: 
  674.  
  675. [4]RED ALERT! <filename> may be a VCL encrypted virus
  676.  
  677. [12]RED ALERT! <filename> contains code known to lock the keyboard
  678.  
  679. [20]RED ALERT! <filename> contains a reference to '[VCL]'
  680.  
  681. [21]RED ALERT! <filename> contains known virus commands
  682.  
  683. [27]RED ALERT! <filename> contains code to move itself in memory
  684.  
  685. [28]RED ALERT! <filename> searches directories for *.COM
  686.  
  687. [29]RED ALERT! <filename> searches directories for *.EXE
  688.  
  689. [31]RED ALERT! <filename> may open a file handle to command.com
  690.  
  691. [32]RED ALERT! <filename> may open a file handle to ibmdos.com
  692.  
  693. RED ALERT! <filename> is probably infected with a virus
  694.  
  695.  
  696. 19
  697.                              METHODS OF INFECTION
  698.  
  699.  
  700.  
  701.  
  702. In order for a computer virus to infect another system, it has to write 
  703. itself to a disk. It can do this in a variety of ways. 
  704.  
  705. Boot Sector:
  706.  
  707. When the PC is switched on, the BIOS ROM chip loads a program from the floppy 
  708. disk A: or the hard disk, boot sector. This is the first physical sector of 
  709. the disk. This program then takes over the loading of the operating system, 
  710. DOS. A boot sector infection replaces the host computer's disk boot sector 
  711. program with its own program. Then, whenever a computer is booted (started) 
  712. from the infected disk, the rogue program is loaded into memory and takes 
  713. over. 
  714.  
  715. Program Appending:
  716.  
  717. A virus may spread by appending a copy of itself to other programs on a disk. 
  718. These other programs may be .COM, .EXE or anyother executable file. This 
  719. includes overlay files. When the infected program is loaded by the operating 
  720. system, the virus is also loaded into memory and activated.
  721.  
  722. Overwriting:
  723.  
  724. A simpler way for a virus to spread is for it to replace an existing program 
  725. file with itself. This is called overwritng. It is easy to detect because the 
  726. original program no longer operates. 
  727.  
  728. Companion:
  729.  
  730. Another simple form of infection is the companion method. This method makes 
  731. use of the operating system's method of program loading. When a program name 
  732. is supplied to the operating system the operating system first appends the 
  733. extension .COM to the program name and tries to load and run that name. If 
  734. this fails, then the extension is changed for .EXE and the operating system 
  735. tries to load and run this program name. Should this operation fail then the 
  736. operating system replaces the extension with .BAT and tries to load and run a 
  737. batch file. It follows that if two programs have the same name, but one has 
  738. the extension .COM and the other the extension .EXE or .BAT, then the .COM 
  739. program will be loaded and run. Companion infection involves storing the virus 
  740. on the host disk with the same name as an existing .EXE file, but with an 
  741. extension of .COM. The companion virus is then loaded and run by the operating 
  742. system when the operator types in the program name. The companion virus can do 
  743. its business and then load the original program so that the operator is 
  744. unaware of what is happening.
  745.  
  746. Device:
  747.  
  748. A device virus is one which infects bootable disks by appending a 
  749. DEVICE=myname to the file "config.sys", where myname is the name of the virus 
  750. program, in the boot disk's root directory. When the computer is switched on, 
  751. 20
  752. programs listed in the config.sys file are automaticaly loaded into memory. 
  753. This takes place before any other programs, such as those listed in 
  754. "autoexec.bat" are run. With a device virus, it becomes active in memory every 
  755. time a computer is booted from an infected disk. 
  756. 21
  757.                                 TROJANS & BOMBS
  758.  
  759.  
  760.  
  761. A common source of lost computer data is the Trojan. A program that appears 
  762. innocuous, and yet, like the Trojan horse, is deadly. Trojan program's may 
  763. contain a bomb that will wait for a trigger, or just go off when the program 
  764. is run. Consider the following batch file entitled 'install.bat'. You are told 
  765. to run it with the command line: 
  766.  
  767.                                   INSTALL X:
  768.  
  769.  
  770. Where X: is the drive where you want to install the package to. Not uncommon? 
  771. No! But what if the batch file contains the code:
  772.  
  773. echo Y | format %1
  774.  
  775. What will happen is that the specified drive will be reformmated without you 
  776. being given the chance to stop it. Just think if that were your hard disk! Can 
  777. you remember where the master disk for your restore software is? You will need 
  778. it to be able to restore from a backup. Assuming that is that you have a 
  779. backup of your disk! 
  780.  
  781. Fortunately, Red Alert! searches .BAT files and reports dangerous code like 
  782. this.
  783.  
  784. Compiled batch files are more tricky. There are a number of batch file 
  785. compiler products on the market which convert batch files into .COM programs. 
  786. These programs cannot be easily read, unlike batch files. As such they can 
  787. easily hide dangerous instructions. But not from Red Alert!
  788.  
  789. Pictures and text files can also be trojans. The ansi device driver includes a 
  790. facility for reporgramming the computer keyboard. A picture made up of ansi 
  791. commands can also reprogram the 'n' key to produce the code for 'y'. In a 
  792. batch file a picture can be displayed, which also reprograms the keyboard, and 
  793. then the batch file must issue a format C: command. The operator presses 'n' 
  794. to abort the format, and the computer gets the signal to carry on. Nasty! Also 
  795. nasty is reprogramming lots of keys to produce strings such as "format c:", or 
  796. "echo Y | del *.*". All these are quite common techniques used in ansi and 
  797. batch file trojans. Fortunately, Red Alert! searchs for them.
  798. 22
  799.                            TYPES OF DATA DESTRUCTION
  800.  
  801.  
  802. There are many ways to destroy computer data. The two basic methods are 
  803. deletion, and corruption. Deletion simply implies the data is removed from the 
  804. disk. Perhaps by "deleting" a file or by "formatting" the disk. Corruption 
  805. involves replacing data with random values. 
  806.  
  807. A "deleted" file is fairly easy to recover, if no additional files have been 
  808. written to the disk. This is because DOS records the names of all the files on 
  809. a disk in a table. When a file is "deleted" DOS simply replaces the first 
  810. character of the file's name within the table. This prevents DOS from locating 
  811. the file, but the file is left intact on the disk. A program can then replace 
  812. the first characetr of the file's name to recover the file and its data. 
  813.  
  814. It is not so easy to recover data from a formatted disk, but it may sometimes 
  815. be possible if the format program stored "unformat" information. 
  816.  
  817. Recovering data that has been corrupted is impossible! 
  818. 23
  819.                           HOW VIRUSES AVOID DETECTION
  820.  
  821.  
  822.  
  823.  
  824. All computer viruses and trojans are programs. That is they are sequences of 
  825. instructions to the computer. This suggests that a technicaly competent 
  826. computer programmer can "read" them, if he has the proper tools. Computer 
  827. viruses try to avoid detection for as long as possible. The longer they remain 
  828. undetected, the further they can spread and the more damage they can do. If a 
  829. programmer can read a computer virus, he can in theory detect it. Viruses 
  830. often avoid being read by being encrypted. The Brain virus, mentioned earlier, 
  831. also avoided detection by preventing itself being read. However, Brain did not 
  832. avoid being read by being encrypted, rather it trapped any attempts to read it 
  833. and showed other data instead of its own code. This is called the "stealth" 
  834. technique. 
  835.  
  836. The tools used by programmers for reading virus programs depend upon the type 
  837. of virus. A virus stored in a file is read with an assembly debugger. A virus 
  838. stored in the boot sector is read with a disk editor. Both tools are 
  839. susceptable to attack from the viruses they are reading. 
  840.  
  841. A debugger is used to step through a program, executing one command at a time. 
  842. Some viruses include instructions that lock the keyboard. Reading them with a 
  843. debugger is okay untill the keyboard locking commands are executed.
  844.  
  845. Disk editors read disk sectors. Reading disk sectors means making use of the 
  846. BIOS ROM interrupt 13h. Some viruses take control of this interrupt and can 
  847. then decide what to let a disk editor see. Inorder to do this though, the 
  848. virus must already be running, and be in memory. Programs which stay running 
  849. in memory are called "TSR". 
  850.  
  851. Viruses which infect program files must open a file handle to the victim file, 
  852. and then close it. This sets the file's directory entry to the current 
  853. computer date and time. It also sets the A attribute of the directory entry. 
  854. Since it would be an easy matter to notice a change in the directory entry for 
  855. a file, viruses often read the victim file's date, time and attribute entry 
  856. and reset them after infecting the file. 
  857.  
  858. 24
  859.                                    MESSAGES
  860.  
  861. Red Alert! reports three types of message. Warnings, Yellow Alerts, and Red 
  862. Alerts. These range in severity from 'possibly rogue' through to 'very 
  863. possibly rogue'.
  864.  
  865. The least severe 'Warnings' can be disabled with the /NOWARN command line 
  866. option. Then Red Alert! will only report Yellow and Red Alerts. Red
  867. Alert! may produce the following warning messages, where <filename> is 
  868. substituted for the name of the suspicious file:
  869.  
  870. Low Suspicion warnings:
  871.  
  872. [2]WARNING! <filename> is a hidden executable file
  873. (Perhaps a sign of a companion virii).
  874.  
  875. [3]WARNING! <filename> is a hidden file
  876. (Perhaps a sign of a companion virii).
  877.  
  878. [6]WARNING! <filename> may contain a call to DOS 'rename file' function
  879. (As used by some virii).
  880.  
  881. [7]WARNING! <filename> may contain a call to DOS 'delete file' function
  882. (As used by virii).
  883.  
  884. [10]WARNING! <filename> may contain a call to DOS 'Get/Set file attributes'
  885. function
  886. (As used by virii to cover their tracks).
  887.  
  888. [13]WARNING! <filename> may contain a call to DOS 'format' function
  889. (Used to format disk tracks).
  890.  
  891. [18]WARNING! <filename> is a packed file
  892. (Makes analysis unreliable).
  893.  
  894. [19]WARNING! <filename> contains a reference to 'virus'
  895. (Could be a virus or a virus scanner).
  896.  
  897. 25
  898. Medium suspicion Yellow Alerts:
  899.  
  900. These are warnings of a more severe nature than the standard warnings,
  901. suggesting a need for caution with the listed files. These warnings may be 
  902. disabled with either the /REDONLY or /COMMAND command line parameters. 
  903.  
  904. [0]YELLOW ALERT! <filename> has strange time stamp
  905. (May be an infected file)
  906.  
  907. [5]YELLOW ALERT! <filename> may remain resident in memory
  908. (Some viruses go TSR)
  909.  
  910. [8]YELLOW ALERT! <filename> may contain a call to DOS 'exec' function
  911. (As used by companion virii).
  912.  
  913. [9]YELLOW ALERT! <filename> may contain a call to dos 'set file date/time'
  914. function
  915. (As used by virii to hide their tracks)
  916.  
  917. [15]YELLOW ALERT! <filename> contains a reference to '*.COM'
  918. (As used by virii to locate .COM files)
  919.  
  920. [16]YELLOW ALERT! <filename> contains a reference to 'IBMIO.COM'
  921. (A VERY important DOS system file)
  922.  
  923. [17]YELLOW ALERT! <filename> may contain a call to DOS 'absolute disk write'
  924. function
  925. (As used by virus to trash disks).
  926.  
  927. [22]YELLOW ALERT! <filename> is a PKZIP packed file.
  928. (The contained files are hidden to Red Alert!)
  929.  
  930. [22]YELLOW ALERT! <filename> is a PKLITE packed file.
  931. (The program has been compressed with PKLITE)
  932.  
  933. [26]YELLOW ALERT! <filename> learns if it is an EXE or COM
  934. (The program contains code to learn whether it is a .EXE or .COM)
  935. (This is suspicious!)
  936.  
  937. [30]YELLOW ALERT! <filename> may contain ANSI key redefinitions
  938. (If you display/run the file with ANSI.SYS installed it may redefine some)
  939. (keys to produce other values. Common in ANSI-Bomb Trojans)
  940.  
  941. [35]YELLOW ALERT! <filename> is actually an EXE file
  942. (The file is suffixed .COM, but is actually an EXE)
  943. 26
  944. Very Suspicious Red Alerts:
  945.  
  946. These messages are quite severe. They may show the presence of a virus,
  947. trojan or program containing a bomb. It is advisable to check any files listed 
  948. with a red alert status carefully before using them. If the /MOVE parameter 
  949. was specified, these warnings will coincide with the offending file(s) being 
  950. moved to the specified directory. 
  951.  
  952.  
  953. [1]RED ALERT! <filename> may contain code to format drive ?:
  954. (For example "format C:")
  955.  
  956. [4]RED ALERT! <filename> may be a VCL encrypted virus
  957. (Probably a strain of VCL encrypted virus)
  958.  
  959. Warning 11 has two variants. One for general FAT destruction, and one for 
  960. drive C: specific FAT destruction commands:
  961.  
  962. [11]RED ALERT! <filename> contains code known to destroy drive C: FAT data
  963. (Very dangerous instructions commonly found in virii/trojans/bombs)
  964.  
  965. [11]RED ALERT! <filename> contains code known to destroy FAT data
  966. (Very dangerous instructions commonly found in virii/trojans/bombs)
  967.  
  968. [12]RED ALERT! <filename> contains code known to lock the keyboard
  969. (May show a virus).
  970.  
  971. [14]RED ALERT! <filename> contains a reference to 'format.com'
  972. (An unusual and risky program to exec).
  973.  
  974. [14]RED ALERT! <filename> contains a reference to 'format'
  975. (As above, but as used in batch files)
  976.  
  977. [20]RED ALERT! <filename> contains a reference to '[VCL]'
  978. (May show a virus produced with VCL).
  979.  
  980. [21]RED ALERT! <filename> contains known virus commands
  981. (Very probably a virus)!
  982.  
  983. [23]RED ALERT! Both .COM and .EXE forms of <filename>
  984. (May show a companion virus)
  985.  
  986. [24]RED ALERT! <filename> may contain code to delete bulk files
  987. (For example "del *.*")
  988.  
  989. [25]RED ALERT! <filename> is encrypted
  990. (Common among viruses, but also compression systems such as PKLITE)
  991.  
  992. [27]RED ALERT! <filename> contains code to move itself in memory
  993. (Common among TSR viruses)
  994.  
  995. [28]RED ALERT! <filename> searches directories for *.COM
  996. (Typical among viruses)
  997.  
  998. 27
  999. [29]RED ALERT! <filename> searches directories for *.EXE
  1000. (Typical among viruses)
  1001.  
  1002. [31]RED ALERT! <filename> may open a file handle to command.com
  1003. (The code analyser detected an attempt to open a file handle to command.com)
  1004.  
  1005. [32]RED ALERT! <filename> may open a file handle to ibmdos.com
  1006. (The code analyser detected an attempt to open a file handle to ibmdos.com)
  1007.  
  1008. [33]RED ALERT! <filename> may capture interrupt 21
  1009.  
  1010. [33]RED ALERT! <filename> captures interrupt 21
  1011. (Allows the program to redirect DOS function calls)
  1012.  
  1013. [34]RED ALERT! <filename> may capture interrupt 13
  1014.  
  1015. [34]RED ALERT! <filename> captures interrupt 13
  1016. (Allows the program to intercept disk editors)
  1017.  
  1018. Other warning messages cannot be inhibited due to their severity. These 
  1019. include very likely infections of known viruses and the following: 
  1020.  
  1021. RED ALERT! <filename> is probably infected with a virus
  1022. (Almost certainly a virus!)
  1023.  
  1024. RED ALERT! <filename> Contains a reference to 'Dark Avenger'
  1025. (An infamous and prolific virus author)
  1026.  
  1027. Information messages:
  1028.  
  1029. INFO <filename> moved to <path>
  1030. The file triggered a non-inhibited Red Alert, and the command line option
  1031. /MOVE was declared so the file has been moved to the indicated path.
  1032. 28
  1033.                         USING RED ALERT! WITH TRANSCAN
  1034.  
  1035.  
  1036. A number of WildCat BBSs use "Transcan" for scanning uploads. The following 
  1037. text comes from Peter Friedlos, sysop of Ooh! BBS and describes how to use 
  1038. Red Alert! with Transcan: 
  1039.  
  1040.   "It [Red Alert!] works with the /Command line set up.  It upsets the screen 
  1041.   write locally during the transcan though if you compress on line.  I don't 
  1042.   know if there is a "reject" number so that transcan will reject the file but 
  1043.   I just get it to copy the .REP file to a temporary directory and post
  1044.   the results once a night using Postmaster.
  1045.  
  1046.   If you set it up on the page where it lists SCAN and Fprot - it will
  1047.   read the opened files and analyse them. I wouldn't recommend the Move
  1048.   feature with RedAlert if in conjunction with transcan as this will
  1049.   move the tempory files to your "infected" directory and leave the
  1050.   original zip intact.
  1051.  
  1052.   The program works fine if you use it as a stand alone however.  If you
  1053.   make a nightly event to run Red Alert on your new uploads path with
  1054.   the MOVE command it works well.  Don't forget to manually delete any
  1055.   WildCat database entries for any files that get shunted though."
  1056. 29
  1057.                                 What is Int 21?
  1058.  
  1059.  
  1060. Users who are not familiar with system level programming may wonder what the 
  1061. fuss is about "int 21". Int 21 is a "door way" into DOS used by, amongst 
  1062. others, the commands for copying files, deleting files and formatting disks. 
  1063. If a program "captures" int 21, it can control how ordinary DOS commands 
  1064. function. The results could be chaotic! Many legitimate programs make good use 
  1065. of this feature. However, because of the risks involved Red Alert! gives a red 
  1066. alert warning of any program which captures int 21. This should not be taken 
  1067. as an indication that the program is a virus, or a trojan. Rather, that the 
  1068. program in question has great power over the operation of the computer, and 
  1069. could be very dangerous.
  1070.  
  1071.  
  1072. 30
  1073.                                    APPENDIX
  1074.  
  1075.                         Details of some common viruses 
  1076.  
  1077.  
  1078.  
  1079. Details are supplied here about a few common computer viruses. These details 
  1080. are offered to illustrate some of the effects of, and techniques used by 
  1081. computer viruses.
  1082.  
  1083.  
  1084.  
  1085.                                THE VIENNA VIRUS
  1086.  
  1087. The "Vienna" virus is one of the most prolific, and adapted computer viruses 
  1088. in existence. The source code for the Vienna virus was published in a book 
  1089. called "Computer viruses: A High-Tech Disease" written by Ralf Burger, and 
  1090. published in America. The original version, published in the book, only 
  1091. infects files with the extension .COM which are in the current directory.
  1092.  
  1093. When a program infected with the Vienna virus is run, Vienna searchs for an 
  1094. uninfected file and infects it by appending a copy of itself to the victim. 
  1095. Usually, the infected programs will still run. However, one in eight infected 
  1096. programs have the first few bytes replaced with instructions that will cause a 
  1097. restart when the program is run. 
  1098.  
  1099. Files infected with Vienna are quite easy to spot as they have a value of 62 
  1100. in the "seconds" field of the directory time entry. 
  1101.                                                                              
  1102. A variant of the Vienna virus is the "Lisbon" virus, so called because it was 
  1103. discovered in Portugal. The Lisbon variant was a modified form of Vienna 
  1104. intended to avoid signature detection. Lisbon also destroys some infected 
  1105. programs, but unlike Vienna it overwrites the start of the program with the 
  1106. text string "@AIDS". 
  1107.  
  1108. From Bulgaria have come a group of Vienna virus variations which include a
  1109. critical error handler. They don't destroy data by overwriting some program 
  1110. files. Rather they reformat the computer's hard disk drive! 
  1111.  
  1112.  
  1113.                                  VIRAL MESSIAH
  1114.  
  1115. Viral Messiah is a virus which overwrites .COM and .EXE programs. When an 
  1116. infected program is run, Viral Messiah searches the DOS search path and 
  1117. overwrites five programs with a copy of itself. It then displays a poem on the 
  1118. screen, and if a printer is plugged in to the parallel port, the poem is 
  1119. printed as well. Viral Messiah was wriiten by "Nowhere Man" using VCL V1.0
  1120.  
  1121.  
  1122.                                    CODE ZERO
  1123.  
  1124.  
  1125. Code Zero infects .COM programs on the current disk. When an infected program
  1126. is run, Code Zero searches the disk for a program to infect. If it finds one 
  1127. 31
  1128. it appends a copy of itself to the end of the file. Unfortunately, if the file 
  1129. was actually an EXE file masquerading as a .COM file, then the infected 
  1130. program will no longer run. If Code Zero cannot find any more programs to 
  1131. infect it displays  "** CODE ZERO **" and beeps the speaker.
  1132.  
  1133.  
  1134.                                     KINISON
  1135.  
  1136.  
  1137. Kinison infects .COM programs on the current disk. When an infected program is 
  1138. run, Code Zero searches the disk for a program to infect. If it finds one it 
  1139. appends a copy of itself to the end of the file. Unfortunately, if the file 
  1140. was actually an EXE file masquerading as a .COM file, then the infected 
  1141. program will no longer run. If an infected program is run on any Friday the 
  1142. 11th of the month, Kinison displays a message in rememberance of the comedian
  1143. Sam Kinison who was killed by a drunk-driver. It then scrambles the file 
  1144. allocation tables of any disk drives it finds.
  1145.  
  1146.  
  1147.  
  1148.                                  PEARL HARBOR
  1149.  
  1150.  
  1151. Pear Harbor is a companion virus, and a shocking example of a bomb. If an 
  1152. infected program is run on December the 7th the anniversary of the Japanese 
  1153. sneak-attack on Pearl Harbor it  will display a message asking you to remember 
  1154. Pearl Harbor. If the host computer has its country set to JAPAN, then Pearl 
  1155. Harbor will also corrupt all the files in the directory C:\. To quote the 
  1156. author, "How's that for a sneak-attack, Hirohito?"
  1157.  
  1158.  
  1159.                                  YANKEE DOODLE
  1160.  
  1161. The Yankee Doodle virus is circulating in at least two variations. The 
  1162. original infects .EXE files. A variation, Yankee II infects .COM files by 
  1163. appending itself to them. Unfortunately, if the file was actually an EXE file 
  1164. masquerading as a .COM file, then the infected program will no longer run. 
  1165. When an infected program is run, the DOS search path is searched for a file to 
  1166. infect. If the computer's clock reports the time to be between five and seven 
  1167. PM, then the tune "Yankee Doodle" is also played.
  1168.  
  1169.  
  1170.                                 THE AIDS TROJAN
  1171.  
  1172.  
  1173. An infamous computer blackmail attempt took place a few years ago. Many 
  1174. companies, including the one I was working for, received through the post an 
  1175. unsolicited disk. The disk claimed to provide information about the "Aids" 
  1176. virus. The disk contained two programs; install.exe and aids.exe. The main
  1177. program, would not run unless the install program was first run. The install 
  1178. program was actually a trojan. When run install.exe did the following:
  1179.  
  1180.  
  1181. 1. A subdirectory was created on drive C: This subdirectory had a single 
  1182. 32
  1183. character name, ASCII code 255.  This made it hidden from DOS DIR commands.
  1184.  
  1185. 2. Copied INSTALL.EXE from the floppy disk to the new directory as REM .EXE 
  1186. (the space between the "M" and the "." was ASCII code 255, making the file 
  1187. hidden from DIR commands).  
  1188.  
  1189. 3. Renamed AUTOEXEC.BAT to AUTO.BAT.
  1190.  
  1191. 4. Created a new, and hidden AUTOEXEC.BAT file that runs REM.EXE and then 
  1192. displays the message "For convenience, please use AUTO.BAT."  The line calling  
  1193. REM .EXE looked like an ordinary BAT file REM (remark) line.
  1194.  
  1195. 5. Created a file called AUTOEXEC.BAK which consisted of a single line saying 
  1196. "File not PC found."  If this file was displayed with the DOS TYPE command, it 
  1197. would appear as though the file did not exist.
  1198.  
  1199. The scenario then went on as follows. Aids.exe did indeed provide some 
  1200. information about AIDS. However, after 90 os so reboots, REM.EXE would wipe 
  1201. the hard disk leaving a file called PCCYBORG.DOC that said, inter alia, "lease 
  1202. expired." 
  1203.  
  1204. A complex Trojan, and a very unpleasant one.     
  1205.  
  1206.  
  1207.  
  1208.                                  MICHELANGELO
  1209.  
  1210.  
  1211.  
  1212. The Michelangelo virus was first reported in April 1991 in Sweden. The 
  1213. Michelangelo virus infects the boot sector of its host computer, and then 
  1214. remains resident in memory when the computer is switched on. When Michelangelo 
  1215. is active, it infects the boot sector of all disks it comes into contact with. 
  1216. Including floppy disks. If the computer's clock reports the date as being the 
  1217. 6th of March, then the Michelangelo virsu will scramble the computer's hard 
  1218. disk by overwriting it with random characters from memory. As with all memory 
  1219. resident viruses, the amount of memory available for programs is reduced. This 
  1220. is one way of detecting the presence of the Michelangelo virus in memory. 
  1221.  
  1222.  
  1223.  
  1224. 33
  1225. Red Alert! was written during late 1993 by Matthew Probert and published by 
  1226. Servile Software. 
  1227.  
  1228. This is the Shareware version of the program. You may use this program for a 
  1229. period not exceeding thirty days in order to evaluate it. If you decide to 
  1230. keep it, you must register your copy. To register your copy please fill out 
  1231. and print the order form in the file order.doc and send this with a cheque for 
  1232. 19.95 pounds STERLING made payable to M. PROBERT. Send these to the address 
  1233. below. 
  1234.  
  1235. FOREIGN CUSTOMERS NOTE:
  1236.  
  1237. Due to high banking charges in the UK, payments made in foreign currency (eg 
  1238. non-sterling) are subject to an additional five pounds surcharge. For example, 
  1239. if you wish to pay for Red Alert in US dollars, the price is 19.95 pounds plus 
  1240. 5 pounds surcharge. Total 24.95 pounds sterling. With an exchange rate of 1.5 
  1241. dollars to the pound, this works out at 37 US dollars.
  1242.  
  1243. If you have a problem with a possible virus or trojan program please contact:
  1244.  
  1245. Matthew Probert
  1246. Servile Software
  1247. 5 Longcroft Close
  1248. Basingstoke
  1249. Hampshire
  1250. RG21 1XG
  1251.  
  1252. Telephone 0256 478576 
  1253.  
  1254.  
  1255.                 *** Telephone lines are open 7 days a week ***
  1256.  
  1257.  
  1258.