home *** CD-ROM | disk | FTP | other *** search
/ Amiga Collections: Franz PD / Franz PD Disk #189 (199x)(Rhein-Sieg-Soft).zip / Franz PD Disk #189 (199x)(Rhein-Sieg-Soft).adf / AntiCicloVir_V1.5 / AntiCicloVir_V1.5.DOK < prev    next >
Text File  |  1992-08-11  |  144KB  |  3,944 lines
  1.        
  2.                     AntiCicloVir V1.5 -Dokumentation
  3.  
  4.                             C   1992
  5.  
  6.                               by
  7.  
  8.                            Matthias Gutt
  9.                             Kantstr.16
  10.                           W-2120 Lüneburg
  11.                           Tel.:04131/49624
  12.                          ( 20.30 - 21.30 Uhr )
  13.  
  14.  Inhalt:
  15.  
  16.  1.0 Allgemeines
  17.  
  18.  2.0 Funktionen von AntiCicloVir Linkvirus-Statikum 1.5
  19.  
  20.  2.1 Virus-Check im Speicher
  21.  
  22.  2.2 Virus-Check auf der Diskette
  23.  
  24.  3.0 Benutzung des Linkviruskillers
  25.  
  26.  4.0 Sonstiges
  27.  
  28.  5.0 Anhang A (Computerviren)
  29.  
  30.      1. `Revenge of the Lamer Exterminator I+II`
  31.      2. `Lamer LoadWB`
  32.      3. `Lamer VirusX`
  33.      4. `Return Of The Lamer Exterminator`
  34.      5. `BGS9 I+II`
  35.      6. `Bret Hawnes`
  36.      7. `CCCP`
  37.      8. `Color (TURK V1.3)`
  38.      9. `CompuPhagozyte 1+2``
  39.     10. `CompuPhagozyte II`
  40.     11. `Disktroyer V1.0`
  41.     12. `Disaster-Master V2`
  42.     13. `Golden Rider`
  43.     14. `Gotcha Lamer"   
  44.     15. `IRQ`
  45.     16. `JEFF Butonic"
  46.     17. `SADDAM`
  47.     18. `Smily Cancer I+II`
  48.     19. `Terrorists`
  49.     20. `T.F.C. Revenge LoadWB`
  50.  
  51.  
  52. 6.0 Anhang B (Bootblock-Viren)
  53.  
  54.      1. `16 Bit Crew`
  55.      2. `2001`
  56.      3. `AEK`
  57.      4. `AIDS`
  58.      5. `AIDS2`
  59.      6. `Alien New Beat V1.0`
  60.      7. `Amiga Freak`
  61.      8. `Amiga Master`
  62.      9. `ASV V0.000123`
  63.     10. `Australian Parasite`
  64.     11. `Bamiga Sector One`
  65.     12. `Big Boss`
  66.     13. `Blackflash V2.0`
  67.     14. `Blade Runners`
  68.     15. `BlizzPro V3.1`
  69.     16. `BlizzPro V3.3`
  70.     17. `Blow Job`
  71.     18. `Butonic 1.1`
  72.     19. `Byte Bandit`
  73.     20. `Byte Bandit +`
  74.     21. `Byte Bandit 2`
  75.     22. `Byte Bandit turbo`
  76.     23. `Byte Voyager`
  77.     24. `Byte Voyager II`
  78.     25. `Byte Warrior`
  79.     26. `CCCP`
  80.     27. `Clonk`
  81.     28. `Coders Nightmare`
  82.     29. `DAG`
  83.     30. `DAT`89`
  84.     31. `Destructor V1.2`
  85.     32. `Digital Emotions`
  86.     33. `Disk-Doktors`
  87.     34. `Disk Herpes`
  88.     35. `Diskguard V1.0`
  89.     36. `Divina Exterminator I`
  90.     37. `Dotty`
  91.     38. `DUMDUM`
  92.     39. `Extreme`
  93.     40. `F.A.S.T.`
  94.     41. `F.I.C.A.`
  95.     42. `Forpib`
  96.     43. `Frity`
  97.     44. `Gadaffi`
  98.     45. `Glasnost`
  99.     46. `Graffiti`
  100.     47. `Gremlin`
  101.     48. `GX.Team`
  102.     49. `H.C.S.`
  103.     50. `H.C.S. II`
  104.     51. `Hilly`
  105.     52. `HODEN V33.17`
  106.     53. `Ice`
  107.     54. `Incognito`
  108.     55. `Inger IQ`
  109.     56. `JITR`
  110.     57. `Joshua`
  111.     58. `Joshua 2`
  112.     59. `Julie`
  113.     60. `Kauki`
  114.     61. `Kefrens`
  115.     62. `L.A.D.S`
  116.     63. `LAMER Exterminator (alt)`
  117.     64. `LAMER Exterminator I`
  118.     65. `LAMER Exterminator II`
  119.     66. `LAMER Exterminator III`
  120.     67. `LAMER Exterminator IV`
  121.     68. `LAMER Exterminator V`
  122.     69. `LAMER Exterminator VI`
  123.     70. `LAMER Exterminator VIII`
  124.     71. `Loverboy & Sexmachine` 
  125.     72. `LSD`
  126.     73. `MAD`
  127.     74. `MAD II`
  128.     75. `MEXX`
  129.     76. `MGM 89`
  130.     77. `Microsystems`
  131.     78. `Nasty-Nasty`
  132.     79. `North Star`
  133.     80. `North Star II`
  134.     81. `Obelisk`
  135.     82. `Obelisk 2`
  136.     83. `PARATAX`
  137.     84. `PARATAX II`
  138.     85. `PARATAX III`
  139.     86. `Pentagon-Slayer`
  140.     87. `Pentagon-Slayer 2`
  141.     88. `Pentagon-Slayer 3`
  142.     89. `Revenge`
  143.     90. `Revenge Bootloader`
  144.     91. `SACHSEN No. 1`
  145.     92. `SADDAM HUSSEIN`
  146.     93. `SCA`
  147.     94. `SCARFACE`
  148.     95. `Sendarion #1`
  149.     96. `Sherlock2.0`
  150.     97. `SS`
  151.     98. `SS II`
  152.     99. `Supply Team`
  153.    100. `Target`
  154.    101. `Telstar`
  155.    102. `Termigator`
  156.    103. `T.F.C. Revenge``
  157.    104. `TimeBomb`
  158.    105. `Tomates Gentechnic`
  159.    106. `TURK V1.3`
  160.    107. `U.K. Lamer Style`
  161.    108. `Ultrafox`
  162.    109. `Virus Slayer V1.0`
  163.    110. `Virus V1`
  164.    111. `Warhawk`
  165.    112. `ZACCESS V1.0`
  166.    113. `ZACCESS V2.0`
  167.    114. `ZACCESS V3.0`
  168.    115. `ZLX`
  169.    116. `Zombi I`
  170.  
  171.  
  172. 7.0 Anhang C (Externe Betriebssystem-Routinen)
  173.  
  174.      1. `Disk-Validator`
  175.      2. `RAM-Handler`
  176.      3. `Port-Handler`
  177.  
  178.  
  179.  
  180.  
  181.  
  182.  
  183.  
  184.  
  185.                       1.0 Allgemeines
  186.  
  187. Das Programm `AntiCicloVir V1.5` ist PD-Software und darf im unver-
  188. ändertem Zustand frei weiter gegeben werden.
  189. `AntiCicloVir V1.5` wurde den PD-Serien `AmigaLibraryDisks`,`FRANZ_PD`
  190. ,`,`Kickstart`,`Unicorn-PD`,`GSF_PD`, `ASSEMBLER_PD`, `TIME_PD` und
  191. `Exec_PD`  zum Veröffentlichen angeboten.
  192. Dieser Linkviruskiller darf aber auch in jeder anderen Serie
  193. und auch ohne dieses DOC-File veröffentlicht werden.
  194. `AntiCicloVir V1.5` darf auch zum Schutz von Disketten im `c`-
  195. Verzeichnis jeder PD-Serie erscheinen.
  196. Sollte ich dieses Programm jedoch im unangemessenen Zustand auf
  197. einer PD-Diskette finden, so behalte ich mir das Recht vor, dieser
  198. PD-Serie die weitere Veröffentlichung von `AntiCicloVir V1.5` zu
  199. untersagen.
  200. NICHT erlaubt sind Änderungen am Binär-code dieses Programms !
  201. Nur zum eigenen Gebrauch darf dieses Programm verändert werden.
  202. Dann darf es aber unter keinen Umständen weitergegeben werden !
  203. Auch dann nicht, wenn die Änderungen rückgängig gemacht worden
  204. sind !
  205. Das unerlaubte Ändern von Programm-Teilen und Ausgabe-Texten 
  206. aus `AntiCicloVir V1.5` kann strafrechtlich verfolgt werden !!
  207. Im Übrigen kann ich auch nicht für die volle Fehler-Freiheit dieses
  208.  Linkviruskillers garantieren.
  209. Über Fehlfunktionen oder Mängel, die Sie bei `AntiCicloVir V1.5`
  210. gefunden haben, können Sie mich jederzeit unterrichten !
  211. Nutzen Sie dabei bitte die am Ende dieses Files stehende Anschrift !
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220.             2.0 Funktionen von `AntiCicloVir Linkvirus-Statikum 1.5`
  221.  
  222.  
  223.   
  224. Das Programm `AntiCicloVir V1.5` ist ein recht einfach zu bedienender
  225.  Linkviruskiller.  
  226. Es wird wie ein `CLI`-Befehl vom AmigaDOS aus gestartet.
  227. Das ist besonders für Anfänger nützlich, die keine Zeit haben
  228. komplizierte Linkviruskiller-Anleitungen durchzuarbeiten !
  229. Hinzu kommt, daß die Bearbeitungsgeschwindigkeit von Disketten
  230. sehr hoch ist !
  231. Außerdem kann `AntiCicloVir V1.5` nicht nur Linkviren auf der Diskette,
  232. sondern auch Linkviren im Speicher erkennen.
  233. Das Programm kann übrigens auch die externen Betriebssystem-Routinen
  234. im Verzeichnis `L` ( `Disk-Validator`,`RAM-Handler` und `Port-Handler` )
  235. auf Veränderungen überprüfen, wenn zusätzlich zum Namen des angewählten
  236. Laufwerks noch das Verzeichnis `L` angegeben wird !
  237. Beispiel: `AntiCicloVir DF0:L` !
  238. Damit lassen sich schon zukünftige `Linkviren` aufspüren !
  239. Beim Aufruf der Hauptfunktion des Programmes wird sogar eine `System-
  240. Vektoren-Tabelle` angezeigt, die Informationen über den Zustand des
  241. Rechners nach einem Reset ausgibt !
  242. Zusätzlich kann das Programm auch noch 116 `Bootblock`-Viren im Speicher
  243. erkennen, die im Anhang B beschrieben sind !
  244. Der Linkviruskiller kann sich auch selbst auf eine Veränderung hin
  245. überprüfen und somit einer Gefahr durch eine Linkvirusinfektion
  246. entgehen !
  247. Mittlerweile ist `AntiCicloVir` auch resetfest und gibt nach jedem 
  248. `Reboot` ein Farbsignal aus !
  249. Damit wären auch schon alle Aufgaben dieses Linkviruskillers im
  250. Wesentlichen genannt !
  251.  
  252.  
  253.  
  254.  
  255.                     2.1 Virus-Check im Speicher
  256.  
  257.  
  258. Wenn Sie dieses Programm vom `CLI` aus ohne Angaben von Pfadnamen
  259. oder Diskettenverzeichnissen starten, dann wird nur ein Virus-
  260. Check im Speicher ausgeführt !
  261. Zur Zeit erkennt `AntiCicloVir V1.5` die Viren `Revenge of the Lamer
  262. Exterminator`,`BGS 9 I`,`BGS 9 II`,`,`Return of the Lamer Exterminator`,
  263. `Bret Hawnes`,`CCCP`,`Color (TURK V1.3)`,`CompuPhagozyte 1`,
  264. `CompuPhagozyte 2`,`CompuPhagozyte II`,`Disaster Master V2`,
  265. `IRQ`,`JEFF Butonic V3.10`,`Gotcha Lamer`,`Golden Rider`,`SADDAM`,
  266. `Smily Cancer` und `Terrorists` im Speicher und entfernt sie !
  267. Sobald ein Virus im Speicher entdeckt wurde, wird eine Warnung
  268. ausgegeben und das Virus automatisch gelöscht.
  269. Leider kann der Linkviruskiller dabei nicht zwischen den Viren
  270. `BGS 9`, und `BGS 9 II` unterscheiden.
  271. Deshalb warnt er sie vor beiden Viren.
  272. In dieser Version wurde nun die Erkennungsroutine für die Viren
  273. `BGS 9`,`BGS 9 II` und `Terrorists` durch eine neue Routine ersetzt !
  274. Bei den bisherigen Versionen wurden diese Viren nicht direkt im Speicher
  275. erkannt, sondern anhand einer bestimmten Resident-Struktur !
  276. Da diese Resident-Struktur auch von einigen seriösen Programmen benutzt
  277. wird, kam es gelegentlich zu Verwechselungen !
  278. Mittlerweile kann `AntiCicloVir` alle drei Viren direkt im Speicher
  279. erkennen.
  280. Während das `Terrorists`-Virus von den `BGS 9`-Viren unterschieden werden
  281. kann, sieht es bei den beiden `BGS 9`-Viren jedoch anders aus.
  282. Diese beiden Viren sind nahezu identisch, so daß `AntiCicloVir` im
  283. Speicher nicht zwischen `BGS 9` und `BGS 9 II` unterscheiden kann !
  284. Da die Viren nun direkt erkannt werden, kommt es nun zu keinen 
  285. Verwechselungen mit seriösen Programmen mehr !
  286. Bitte lesen Sie dazu auch die Kapitel `BGS 9` und `Terrorists` im 
  287. `Anhang A` !
  288. Wenn Sie dieses Programm gestartet haben, verändern sich zuerst
  289. die Bildschirmfarben .
  290. Dies deutet immer daraufhin, daß das Programm aktiviert wurde und
  291. noch funktioniert.
  292. Hierauf erscheint die `System-Vektoren-Tabelle`, in denen die
  293. aktuellen Adressinhalte der Zeiger `ColdCapture`,`CoolCapture`,
  294. `WarmCapture`,`KickMemPtr`,`KickTagPtr` und `KickCheckSum`
  295. angegeben werden.
  296. Ich glaube, daß ich Ihnen die nähere Bedeutung, dieser auch Anfängern
  297. bekannten System-Zeiger, nicht erklären brauche.
  298. Zeigt ein Vektor nicht auf die Adresse `$00000000`, so befindet
  299. sich ein resetfestes Programm im Speicher.
  300. In den meisten Fällen wird es sich dabei wohl eher um `Bootblock`-
  301. Viren, als um `Linkviren` handeln !
  302. Anschließend wird ein Virus-Check des Speichers durchgeführt.
  303. Aber auch dann, wenn kein Virus im Speicher gefunden wurde, setzt
  304. `AntiCicloVir V1.5` automatisch die Vektoren `ColdCapture`, 
  305. `CoolCapture` und `KickTagPtr` wieder auf null.
  306. Abschließend wird noch der Speicher auf 116 `Bootblock`-Viren überprüft,
  307. die im `Anhang B` beschrieben worden sind !
  308. Wenn Sie dieses Farbsignal lästig finden oder wenn es unter Ihrem
  309. Betriebssystem ( `KickStart 2.04` ??? ) evtl. einen Systemabsturz
  310. verursacht, dann können Sie als Option `-n` beim Aufrufen angeben,
  311. damit das Farbsignal unterdrückt wird !
  312. Nachdem der Virus-Check beendet worden ist, werden Sie nach einem
  313. erneuten Start von `AntiCicloVir` feststellen, daß der `CoolCapture`-
  314. Vektor verbogen worden ist !
  315. Dabei handelt es sich nicht etwa um ein neues Virus, sondern um die
  316. Reset-Routine von `AntiCicloVir V1.5` !
  317. Diese Routine steht immer ab $7E000 über `CoolCapture` resetfest im
  318. Speicher und erzeugt nach dem Reset ein Farbsignal !
  319. Solange dieses Farbsignal erscheint, bedeutet dies, daß `AntiCicloVir`
  320. resetfest im Speicher steht und keine weitere Reset-Routine ( Virus )
  321. mehr aktiv ist !
  322. Diese Routine überwacht nach jedem Reset die System-Vektoren auf
  323. Veränderungen.
  324. Zeigt ein Vektor nicht mehr auf null oder `CoolCapture` nicht mehr
  325. auf $7E000, so werden die Vektoren gelöscht und ein zweiter Reset
  326. wird ausgeführt !
  327. Wenn `AntiCicloVir` zweimal gestartet wurde, wird die Reset-Routine
  328. beim zweiten Mal wieder gelöscht !!
  329. Sie ist also hauptsächlich dann sinnvoll, wenn `AntiCicloVir` nur einmal
  330. gestartet wird, beispielsweise von der `s/startup-sequence` aus !
  331. Erscheint das Farbsignal nach dem Reset nicht mehr, obwohl `AntiCicloVir`
  332. ordnungsgemäß installiert wurde, so bedeutet dies, daß sich 
  333. möglicherweise ein Virus im Speicher befindet und `AntiCicloVir V1.5` ge-
  334. löscht hat !
  335. Wird kurz nach dem Farbsignal ein Reset von Seiten der Reset-Routine
  336. ausgeführt, so deutet dies auf die Anwesenheit eines Viruses hin, welches
  337. jedoch erfolgreich von `AntiCicloVir` gelöscht wurde.
  338. Da die Reset-Routine die Viren nicht namentlich erkennt, sollten Sie
  339. anschließend mit dem Hauptprogramm, von der Diskette aus, den Speicher
  340. auf Viren untersuchen !
  341. Denn `AntiCicloVir` kann auch noch einige Viren im Speicher erkennen,
  342. nachdem sie gelöscht wurden.
  343. Bevor Sie unter AmigaDOS mit Files arbeiten oder mit einem Link-
  344. viruskiller Disketten durchchecken, sollten Sie vorher immer den
  345. Speicher überprüfen !
  346. Denn manche Linkviren können sich schon beim Diskettenwechsel
  347. weiterkopieren, während Sie Ihre Disketten auf Linkviren checken.
  348. Es gibt einige Linkviruskiller, die Viren nur auf der Disk als
  349. File erkennen können, aber gerade dies hat den Nachteil, daß diese
  350. Viren nicht effektiv entfernt werden können.
  351. Denn stellen Sie sich beispielsweise vor, daß Sie gerade Ihre komplette
  352.  Disketten-Sammlung auf Linkviren mit einem derartigen Viruskiller
  353. überprüfen, während sich ein Linkvirus im Speicher befindet !!
  354. Das Ergebnis wäre, daß womöglich nun Ihre komplette Disketten-
  355. Sammlung mit Linkviren verseucht wäre !!
  356. Der sicherste Schutz gegen Linkviren bleibt jedoch immer noch
  357. der Schreibschutz !
  358. Denn es wird nie einen Viruskiller geben, der alle aktuellen Viren
  359. erkennen kann.
  360. Dafür gibt es einfach zu viele Virus-Programmierer !
  361.  
  362.  
  363.  
  364.  
  365.  
  366.  
  367.  
  368.                    2.2 Virus-Check auf der Diskette
  369.  
  370.  
  371. Wenn Sie Ihre Disketten auf Linkviren checken wollen, dann müßen
  372. Sie zusätzlich zum Namen, unter dem Sie `AntiCicloVir V1.5` vom `CLI`
  373. aus aufrufen, auch noch das entsprechende Laufwerk,Verzeichnis
  374. oder die entsprechende Datei angeben !
  375. Dabei erscheint im Übrigen kein Grafik-Signal mehr, sondern die
  376. entsprechende Diskette wird sofort gecheckt !
  377. Doch auch bei dieser Funktion wird vorher noch der Speicher auf
  378. Linkviren überprüft !
  379. Wird ein Virus auf der Diskette gefunden, dann wird eine Warnung
  380. ausgegeben und das Virus gelöscht !
  381. Momentan erkennt `AntiCicloVir` die Viren `Revenge of the Lamer Exterminator`,
  382. `Revenge of the Lamer Exterminator II`,`BGS 9`,`BGS 9 II`,`Bret Hawnes`,
  383. `Lamer LoadWB`,`Lamer VirusX`,`Color (TURK V1.3)`,`CompuPhagozyte 1`,
  384. `CompuPhagozyte 2`,`CompuPhagozyte II`,`DAG Creator`,`Disaster-Master V2`,
  385. `Disktroyer V1.0`,`JEFF Butonic V3.10`,`Gotcha Lamer-Virus-Creator
  386. (MINIDEMO.EXE)`,`Return of the Lamer Exterminator`,`SADDAM`,
  387. `Smily Cancer II`,`T.F.C. Revenge LoadWB` und `Terrorists` !
  388. Informationen zu diesen 23 File-Viren finden Sie im Anhang A !
  389. Die Bearbeitungsgeschwindigkeit von `AntiCicloVir_V1.5` ist sehr hoch !
  390. Denn das Programm, weiß wo es diese Viren auf der Diskette zu
  391. suchen hat, so daß es nicht ganze Verzeichnisse durchstöbern
  392. braucht, was natürlich sehr viel Zeit kostet !
  393. Fast im selben Moment, in dem Sie `AntiCicloVir V1.5` mit der Angabe
  394. des Pfadnamens gestartet haben, ist es auch schon mit dem Virus-Check
  395. fertig !
  396. Sie brauchen also nicht, bei 10 Disketten-Neuzugängen alle
  397. fünf Verzeichnisse pro Disk auf Linkviren durchzuchecken, sondern legen
  398. einfach die Disk ein und tippen :` AntiCicloVir DF0:` und in
  399. kürzester Zeit ist die komplette neue Diskette geprüft !
  400. Diesen Geschwindigkeitsvorteil bezahlen Sie allerdings mit einem
  401.  Sicherheitsmangel ! 
  402. Denn diese 23 Fileviren gehören zu den am weitesten verbreiteten
  403.  ihrer Spezies, aber es gibt natürlich auch noch andere !
  404. Trotzdem habe ich vor, auch bei den nächsten Versionen von `AntiCicloVir`,
  405.  die mehr Linkviren erkennen werden können, die Bearbeitungsgeschwindigkeit
  406.  so hoch wie möglich zu halten.
  407. Denn ich weiß aus eigener Erfahrung wie lästig es sein kann, mit
  408. einem Linkviruskiller jedes File einer einzelnen Disk auf Linkviren
  409. zu checken; vor allem dann ,wenn man viele PD-Disketten tauscht  !
  410. `AntiCicloVir V1.5` unterstützt alle vier Laufwerke, sowie das RAM-
  411. Verzeichnis !  
  412. Wichtig ist es noch zu wissen, daß `AntiCicloVir` in dieser Version
  413. sich nun auch selbst auf Veränderungen hin überprüfen kann.
  414. Gegen `Langfinger`, die einige Passagen des ASCII-Textes ändern
  415. wollen, nützt dies zwar nichts, da nicht das komplette Programm
  416. geprüft wird !
  417. Aber mit dieser Routine kann jedes ( auch unbekannte ) `Linkvirus`
  418. aufgespürt werden, welches sich selbst in `AntiCicloVir` abgespeichert
  419. hat !!!
  420. Diese `Selbstkontroll-Routine` funktioniert nur, wenn Sie den 
  421. Linkviruskiller unter dem Namen `AntiCicloVir` in`s Hauptverzeichnis
  422. einer Diskette abgespeichert haben und nun mit der Angabe des
  423. Laufwerks als Option ( Beispiel: `AntiCicloVir DF0:` ),die Diskette
  424. im entsprechenden Laufwerk checken !
  425. Dabei wird die `Hunk-Tabelle` auf neue Einträge überprüft !
  426. Wurde ein neuer Eintrag gefunden ( `Linkvirus` ), so wird eine Warnung
  427. ausgegeben.
  428.  
  429. ACHTUNG !!!
  430. Es kann sein, daß `AntiCicloVir V1.5` sich selbst als infiziert einstuft,
  431. wenn es mit einem bestimmten Komprimierungsprogramm bearbeitet wurde !
  432.  
  433. Auch wenn `AntiCicloVir_V1.5` festgestellt hat, daß es mit einem
  434. `Linkvirus` infiziert ist, arbeitet es normalerweise ganz gewöhnlich
  435. weiter und ist nicht beeinträchtigt !
  436. Ist `AntiCicloVir` also mit einem derartigem Virus infiziert, so sollten
  437. Sie es auf keinem Fall dazu benutzen, um weitere Disketten zu checken,
  438. da nun die Gefahr besteht, daß alle kontrollierten Disketten mit diesem
  439. Virus infiziert werden !!!
  440. Deshalb rate ich Ihnen zum Kontrollieren von Disketten, eine virusfreie
  441. Kopie von `AntiCicloVir` zu benutzen und das infizierte Programm mir zu
  442. zusenden, damit ich es analysieren kann.
  443. Falls vorhanden, werden Sie von mir die aktuellste Version, sowie eine
  444. kurze Beschreibung des Viruses, erhalten !
  445. Bei einer Infektion mit dem `Smily Cancer`-Virus (siehe Anhang A) ist mir
  446. aufgefallen, daß `AntiCicloVir` danach nur noch funktioniert, wenn es
  447. ohne Option gestartet wird.
  448. Bei der Angabe irgendeiner Option zum Programmnamen, kommt es, bei einem
  449. mit einem `Smily Cancer`-Virus infizierten `AntiCicloVir`, zu einem
  450. `task held error` !!!
  451. Der Grund dafür, ist mir nicht klar !
  452. Aber ich vermute, daß der Fehler im `Smily Cancer`-Virus liegt !
  453. Übrigens kann die Version 1.5 meines Linkviruskillers nun auch den
  454. Aufruf von Viren aus der `startup-sequence` löschen.
  455. Dabei wird ein Linkviruskiller-eigener Text (Eigenwerbung) in die unteren
  456. Bytes der `startup-sequence` geschrieben.
  457. Damit verschwindet automatisch ein möglicher ( unsichtbarer ) Virusaufruf.
  458. Dieser Kommentartext schützt die betroffene Diskette, auch vor einer
  459. erneuten Infektion mit manchen `Linkviren` !!!
  460. Einige `Linkviren` suchen in der `startup-sequence` an erster Stelle
  461. nach einem ASCII-Text und warten bis sie auf ein Returnzeichen treffen.
  462. Sie nehmen an, daß die ASCII-Zeichen vor dem Returnzeichen den Aufruf
  463. eines Programmes darstellen und suchen nun dieses Programm auf der
  464. Diskette, um sich dort hineinkopieren zu können.
  465. Da der Kommentartext kein gültiger Dateiname ist, werden die Viren dieses
  466. Programm nicht auf der Diskette finden und können sich somit nicht
  467. weiterkopieren !!
  468. Mit der Version 1.5 von `AntiCicloVir` können Sie nun auch die externen
  469. Betriebssystem-Routinen im Verzeichnis `L` Ihrer Disketten überprüfen !
  470. Dabei wird nur geprüft ,ob die Routinen `Disk-Validator`,`RAM-Handler`
  471. und `Port-Handler` den Standard-Routinen entsprechen !
  472. Spezielle `Disk-Validator`-Viren wie `SADDAM` oder `Return of the Lamer
  473. Exterminator` können aber nur bei Angabe des Laufwerks ohne Verzeichnis
  474. erkannt werden !
  475. Leider gibt es zur Zeit noch vier weitere `Disk-Validator`, die mir
  476. nicht bekannt sind und die `AntiCicloVir V1.5` als `non-standard Disk-
  477. Validator` einstuft !
  478. Da `AntiCicloVir` in der jetzigen Version nur 23 bzw. 24 Fileviren
  479. erkennt, brauchen Sie beim Durchchecken einer Diskette keine
  480. Unterverzeichnisse anzugeben, sondern einfach nur das `Laufwerk`,
  481. in dem sich die betroffene Diskette befindet !
  482.  
  483.  
  484.  
  485.  
  486.  
  487.  
  488.                   3.0 Benutzung von `AntiCicloVir V1.5`
  489.  
  490.   
  491. Sie sollten jeden Disketten-Neuzugang mit `AntiCicloVir V1.5` prüfen !
  492. Oft kommt es zwar nicht vor, daß sich ein Linkvirus auf einer neuen
  493.  Diskette befindet, aber ausschließen kann man es auch nicht !
  494. Schließlich ist es noch zu empfehlen `AntiCicloVir` ins `c`-
  495. Verzeichnis jeder Diskette zu kopieren, die man schützen will
  496. und den Aufruf in die `s/startup-sequence` zu schreiben !
  497. So lassen sich Linkviren sofort nach der Infektion einer Diskette
  498. im Speicher aufspüren und können gelöscht werden !
  499. Eine sehr wichtige Erweiterung stellt auch die `System-Vektoren-
  500. Tabelle` dar, anhand derer man ablesen kann, ob sich ein resetfestes
  501. Programm im Speicher befindet.
  502. In den meisten Fällen wird es sich hierbei wohl um `Bootblock`-
  503. Viren handeln !
  504. Ein paar `Bootblock`-Viren können ja nun mittlerweile auch im Speicher
  505. erkannt werden. 
  506. Allerdings kann `AntiCicloVir V1.5` keinen effektiven Schutz vor `Bootblock`-
  507. Viren bieten, da es erstens noch zu wenige von ihnen erkennt und
  508. zweitens die `Bootblock`-Viren nur im Speicher aufspüren kann !
  509. Also genau dann, wenn sie schon Ihr System erobert und mit ihrem
  510. Zerstörungswerk begonnen haben !
  511. Die Routine zum Erkennen von `Bootblock`-Viren habe ich nur deshalb
  512. eingebaut, da es nicht selten vorkommt, daß beim Durchchecken von Disketten
  513. auf `Linkviren` sich schon ein `Bootblock`-Virus im Speicher befindet
  514. und ebenfalls Disketten infizieren kann !
  515. Hat `AntiCicloVir` also mal ein `Bootblock`-Virus im Speicher gefunden,
  516. dann sollten Sie Ihre Disketten mit einem Programm wie beispielsweise
  517. `VirusX` kontrollieren !
  518. `AntiCicloVir` kann nun auch von der `Workbench`-Oberfläche aus gestartet
  519. werden !
  520. Die neu eingebaute Reset-Routine macht zwar leider nicht den kompletten
  521. `Linkviruskiller` resetfest, doch sie schützt Sie zumindest vor neuen
  522. Viren, die sich resetfest schreiben wollen !
  523. Sie sollten immer darauf achten, ob nach dem Reset das Farbsignal noch
  524. erscheint !
  525. Große Dienste im Kampf gegen Linkviren kann auch der `CLI`-Befehl
  526.  `List` leisten !
  527. Sollten Sie nach einem Virus-Check mit `AntiCicloVir` trotzdem
  528. noch mißtrauisch sein, dann können Sie sich die Verzeichnisse
  529. der Diskette auflisten lassen !
  530. Finden Sie dort Files, die mit einem unsichtbaren Namen abgespeichert
  531. worden sind oder Files die gerade heute abgespeichert worden
  532. sind, was am Zusatz `Today` ersichtlich ist, dann besteht Linkviren-
  533. Gefahr !!
  534.  
  535.  
  536.  
  537.  
  538.  
  539.  
  540.  
  541.  
  542.  
  543.  
  544.  
  545.                       4.0 Sonstiges
  546.  
  547. Natürlich bin ich immer an neuen `File`- und `Link`-Viren interessiert !
  548. Sollten Sie selbst neue Viren haben, dann können Sie sie an meine
  549. Adresse mit einem entsprechenden Vermerk gekennzeichnet schicken !
  550. Ich werde Ihnen dann die neueste Version von `AntiCicloVir` zuschicken
  551. und Sie in meiner `Dokumentation` erwähnen !
  552. Ich möchte noch einmal darauf hinweisen, daß ich für die volle Fehler-
  553. freiheit von `AntiCicloVir` nicht garantieren kann.
  554. Allerdings habe ich unzählige Male alle Routinen in verschiedensten
  555. Situationen getestet und mir ist nie ein Fehler aufgefallen !
  556. Im Gegensatz zu vielen meiner früheren Programme, bin ich davon überzeugt,
  557. daß `AntiCicloVir` zu 100 % so funktioniert, wie es funktionieren
  558. sollte.
  559. Haben Sie dennoch Bedenken, dann können Sie die Disketten ,welche Sie
  560. mit dem Linkviruskiller checken, mit einem Schreibschutz versehen,
  561. damit bei einem evtl. Schreibzugriff des Viruskillers auf die Diskette
  562. keine Datei zerstört wird.
  563. Die anschließend erscheinende `Requester`-Meldung von Seiten des
  564. Betriebssystems können Sie `canceln`, so daß der Linkviruskiller
  565. den Schreibzugriff abbricht !
  566. Es wurde mit dem `seka v1.5` in ASSEMBLER geschrieben und müßte unter
  567. allen gängigen `KickStart`s laufen.
  568. Es werden keine bestimmten System-Bibliotheks-Versionen beansprucht
  569. und das Programm benötigt auch keine festen ROM-Adressen !
  570. Ich habe dieses Programm extra so programmiert, daß es unter allen
  571. gängigen und hoffentlich auch zukünftigen KickStart-Versionen 
  572. funktionieren müßte !
  573. Das Programm benötigt die Datenregister : d0-d6
  574. "   "        "        "   Adressregister: a0--a6
  575. Das Programm benötigt die Systembibliotheken:
  576.                                 `exec.library ( keine Version bevorzugt. )
  577.                                 `dos.library` ( keine Version bevorzugt )
  578. "   "        "        "         `intuition.library` ( keine Version bevorzugt )
  579.  
  580.                    Bibliotheksfunktionen: `AllocAbs`
  581.                                           `AllocMem`
  582.                                           `Close`
  583.                                           `CloseLibrary`
  584.                                           `CloseWindow`
  585.                                           `Delay`
  586.                                           `DeleteFile`
  587.                                           `FindTask`
  588.                                           `GetMsg`
  589.                                           `Open`
  590.                                           `OpenLibrary`
  591.                                           `OpenWindow`
  592.                                           `Read`
  593.                                           `Rename`
  594.                                           `WaitPort`
  595.                                           `Write`
  596.                                           
  597. Mittlerweile wurde die Routine, zum Zwischenspeichern der zu untersuchenden
  598. Programme und Dateien, erneuert und geändert !
  599. War es bisher immer üblich, daß `AntiCicloVir` diese Informationen ab
  600. $75000 im Speicher sicherte, so ist es nun möglich einen beliebigen
  601. Speicherbereich zu reservieren !
  602. Bei der Speicherreservierung mit `AllocAbs` bestand zum Einem die Gefahr,
  603. daß `AntiCicloVir` unter höheren `KickStarts` als V1.2 nicht korrekt
  604. funktionieren würde ( GURU ) und zum Anderem die Gefahr, daß bei überladenem
  605. Speicher Systemabstürze auftreten könnten !
  606. Da `AntiCicloVir` jetzt mit `AllocMem` arbeitet, dürfte es keine Probleme
  607. mehr geben und es müßte unter allen `KickStarts` laufen !!!
  608. Wie üblich benötigt `AntiCicloVir` beim Checken von Disketten 5000 Bytes
  609. Speicherplatz.
  610.  
  611. Übrigens wurden überflüssige und doppelt vorkommende ASCII-Texte
  612. aus `AntiCicloVir V1.5` entfernt, um Speicherplatz zu sparen.
  613.                      
  614.  
  615.  
  616.  
  617.  
  618.  
  619.  
  620.  
  621.  
  622.  
  623.  
  624.  
  625.  
  626.                            Anhang A
  627.  
  628. In diesem Anhang werden noch einmal die Computerviren beschrieben,
  629. die `AntiCicloVir V1.5` erkennt.
  630.  
  631.  
  632.  
  633.  
  634.  
  635.                  `REVENGE OF THE LAMER-EXTERMINATOR`
  636.  
  637. Von diesem Virus erkennt `AntiCicloVir` die beiden Varianten des 
  638. `Revenge of the Lamer-Exterminator`-Viruses 1 und das `Revenge of
  639. the Lamer-Exterminator`-Virus 2. 
  640. Über diese Viren wurde schon oft viel geschrieben.
  641. Momentan gibt es acht verschiedene Bootblock-Viren, des Types `LAMER
  642. EXTERMINATOR` und das `U.K. LAMER Style`-Bootblock-Virus, sowie fünf
  643.  verschiedene Fileviren dieser Art:
  644. `Revenge of the Lamer-Exterminator 1`,`Revenge of the Lamer-Exterminator 2`,
  645. `Lamer loadwb`,`Lamer VirusX` und `Return of the Lamer-Exterminator` !
  646. Davon erkennt zur Zeit `AntiCicloVir` alle `File-` und `Bootblock`-Viren !
  647. Das `Return of the LAMER Exterminator`-Virus ist das derzeit aktuellste
  648. Virus der `LAMER Exterminators` und ich vermute wohl auch letzte,
  649. da ich schon lange von diesen Programmierern nichts mehr gelesen habe !
  650. Die `Ideologie` der Programmierer der `Lamer Exterminator`-Viren ist es,
  651. alle Anfänger bzw. Leute, die den Amiga nur zum `Daddeln` brauchen zu
  652. frustrieren, damit sie den Amiga aufgeben.
  653. Nach deren Meinung schaden diese Leute nur dem Image des Amiga`s und
  654. trugen zum erheblichen Teil dazu bei, daß dieser Rechner zum `Spiele-
  655. computer` verschrien wurde.
  656. Sie gehen davon aus, daß es sich bei diesen `LAMER`n ( bedeutet so viel,
  657. wie `Anfänger` oder `Versager`) um Leute handelt, die entweder 
  658. nicht genügend Ahnung von ihrem Rechner haben ( und auch nicht 
  659. haben wollen ) oder daß diese Leute sowieso `unintelligent` sind.
  660. Diese Viren sind somit auch gewisse `LAMER-Tests`, denn nach der
  661. Meinung der Programmierer können nur Anfänger auf derartige Programme
  662. hereinfallen und gerade die sollen ja mit diesen Programmen wohl
  663. auch getroffen werden. 
  664. Sie erhoffen sich davon, daß ständiges Formatieren und Zerstören von
  665. Disketten ihnen den Spaß am Amiga verdirbt ...
  666.  
  667. `AntiCicloVir V1.5` erkennt die beiden Varianten des `Revenge of the
  668. Lamer-Exterminator`-Viruses, sowie das `Revenge of the Lamer-Exterminator`-
  669. Virus 2 !
  670. Im Folgenden werde ich hauptsächlich nur das `R.L.E.`-Virus Nr. 1
  671. beschreiben.
  672.  
  673. Vom `Revenge of the Lamer-Exterminator`-Virus 1 gibt es zwei Varianten !
  674. Die erste tarnt sich als `Dos-speedup`-Programm mit dem Namen
  675. `DosSpeed` und kann wohl nur durch einen unwissenden Benutzer selbst
  676. aktiviert werden, der dieses Programm von der Diskette startet.
  677. Die zweite Variante tarnt sich als unsichtbares Programm auf der
  678. Diskette und schreibt ihren Aufruf in die `s/startup-sequence` !
  679. Mit jedem Abarbeiten der `s/startup-sequence` nach einem Boot-Vorgang
  680. wird das Virus aktiviert.
  681. Das Virus schreibt sich unter einem Namen, der in hexadezimal dem Wert
  682. `A0A0A0A0A0` entspricht, auf die Diskette.
  683. Geben Sie im AmigaDOS den Befehl `type "[Tastenkombination]"` an, dann
  684. können Sie dieses unsichtbare Programm aufgelistet bekommen.
  685. Auch wenn Sie die `s/startup-sequence` auflisten, können Sie den
  686. Aufruf an erster Stelle an den Bytes `A0A0A0A0A0` erkennen.
  687. Im Diskettenverzeichnis werden Sie dieses Virus jedoch vergeblich
  688. suchen, da es sich nicht über`s File-System, sondern mit Hilfe des
  689. `trackdisk.device` auf die Diskette kopiert hat !
  690.  
  691. Sobald das Virus gestartet wurde, setzt es eine `MemList`-Struktur in
  692. den Speicher und verbiegt den `KickTagPtr`.
  693. So ist es nach jedem RESET aktiv.
  694. Im Speicher richtet es aber noch eine Menge anderer Dinge an, die
  695. ich gar nicht alle genau beschreiben kann, da ich mir das Virus-
  696. Programm im Speicher noch nicht so genau angeschaut habe !
  697. Schon während des Abarbeitens der `s/startup-sequence`, kann es
  698. zu grafischen Störungen kommen.
  699. Das Virus scheint auch verschiedene Adressen und Register zu manipulieren,
  700. so daß Viruskiller beispielsweise genarrt werden.
  701. Befindet sich das Virus nämlich im Speicher, so erkennen es viele
  702. Viruskiller gar nicht auf der Diskette.
  703. Wenn Sie sich jetzt die `s/startup-sequence` einer befallenen Diskette
  704. oder etwa das Virus selbst anschauen wollen, so werden Sie nichts
  705. finden !!
  706. Denn das Virus im Speicher hat sich praktisch auf der Disk ausgeblendet.
  707. Deshalb sollten Sie sich auch IMMER vergewissern, ob sich nicht womöglich
  708. das `Revenge of the Lamer-Exterminator`-Virus im Speicher befindet,
  709. wenn Sie gerade mit einem Linkviruskiller eine Diskette auf dieses
  710. Virus hin überprüfen !!
  711.  
  712. Nachdem sich das Virus in den Speicher kopiert hat, beginnt es noch ca.
  713. acht bis zehn Minuten lang den Anwender zu ärgern, indem es mal beim
  714. Abarbeiten der `s/startup-sequence` verschiedenste Fehler verursacht
  715. oder Programme stört.
  716. Mal läßt es den Mauszeiger im `zz`-Zustand verweilen, dann läßt es
  717. `Icon`s oder ganze Programme scheinbar aus bestimmten Verzeichnissen
  718. verschwinden oder es löst sinnlose Fehler-Meldungen aus !
  719.  
  720. Ist diese `Galgenfrist` abgelaufen, so beginnt das Virus mit der
  721. `Formatierungsroutine`.
  722. Ist die aktuelle Diskette zu diesem Zeitpunkt schreibgeschützt, so
  723. macht sich das Virus nur durch ein verräterisches Aufblinken der
  724. `Laufwerks-LED` bemerkbar und bricht die Routine sofort wieder ab
  725. und wartet weitere zehn Minuten !!
  726.  
  727. Ist die Diskette jedoch nicht schreibgeschützt, so beginnt das Virus
  728. damit die Diskette zu formatieren und schreibt wohl in jeden Daten-
  729. block das Wort `Lamer` hinein ! 
  730. Nachdem die Diskette zerstört ist, erscheint noch ein drei Seiten ( ! )
  731. langer `Alert` !
  732. Der einfachere Weg, um sich in den Genuß derartigen Textwerkes zu
  733. bringen besteht darin, daß man sich seine Diskette von dem `Revenge
  734. of the Lamer-Exterminator`-Virus zerstören läßt und sich anschließend
  735. den `Alert` durchliest !
  736. Der etwas kompliziertere Weg wäre das Durchlesen des Anhanges A aus
  737. meiner Dokumentation.
  738. Hier folgt nun also gleich der englischsprachige Text aus diesem
  739. `Alert` !
  740. Für uns dummen `Lamer`s wurde dieser Text extra in einem sehr
  741. simplen umgangssprachlichen Englisch abgefaßt, so damit wir ( die
  742. Zielgruppe ) ihn ja auch verstehen können.
  743. Ich möchte noch einmal betonen, daß der Inhalt dieses folgenden Textes
  744. keineswegs mit meiner Meinung übereinstimmt !!!!!!
  745. Deshalb habe ich ihn auch in Anführungszeichen gesetzt !!
  746. Ebenfalls erwähnen möchte ich, daß die einzelnen Absätze mit dem
  747. von mir wiedergegebenen Text, nicht mit dem Originaltext übereinstimmen
  748. müssen !
  749. Es folgt der `Revenge of the Lamer-Exterminator`-Alert:
  750.  
  751.  
  752.  
  753.  
  754.                Revenge Of The Lamer-Exterminator
  755.  
  756.                          RED ALERT:
  757.  
  758. `It has come to my attention that the person using this computer
  759.  is a LAMER. (+)
  760.  We the people, who are responsible for the "Revenge of the LAMER
  761.  Exterminator" Virus, believe that only intelligent folk are fit
  762.  to use the AMIGA Personal Computer.
  763.  Since you were apparently not smart enough to prevent infection of
  764.  your computer and software by this virus
  765.  ( You should have used a condom )
  766.  we must assume that you are a LAMER ( a.k.a. LOSER ) and therefore
  767.  we had no alternative but to erase your floppy disk(s) in order
  768.  to get your attention.
  769.  
  770.                    - Press Any Mousebutton -
  771.  
  772.  We are eagerly looking forward to the first Amiga magazine that
  773.  explains the inner workings of this brilliant ( at least we think
  774.  so ) virus.
  775.  However, we are not very confident, since the three versions of
  776.  the original LAMER Exterminator Virus have never really been
  777.  properly analysed in any Amiga magazine.
  778.  
  779.  We have made this virus a little bit more aggressive so that more
  780.  people will recognize it and hopefully will learn something so as
  781.  to overcome the dreadful disease of LAMERism.
  782.  
  783.  By the way , the A in LAMER is pronounced like the A in DAY ( LAMER
  784.  people do not know proper English in our experience )
  785.  
  786.                    - Press Any Mousebutton -
  787.  
  788.  
  789.                   Signed
  790.  
  791.  Foundation for the Extermination of LAMERS. ( ++ )
  792.  
  793.  (+) You can recognize a LAMER or LOSER as someone who can only
  794.  use the Ctrl-Amiga-Amiga keys on his Amiga, and might even know
  795.  how to load X-Copy ...
  796.  
  797.  (++) Due to the primitive and violent nature of some LAMERS,
  798.  we have decided against revealing our real identities, so as
  799.  to prevent unnecessary visits to the local hospital on our part !`
  800.  
  801.                    Coming soon to a theatre near
  802.                               you:
  803.  
  804.                      +++ The Lamer Exterminator -
  805.                          A new Beginning +++
  806.  
  807.                             Rated PG
  808.  
  809.        - Press Any Mousebutton To Continue Being A LAMER -
  810.  
  811.  
  812. Soweit der Text aus dem `Revenge of the Lamer-Exterminator`-Virus !
  813. Bleibt mir noch hinzu zu fügen, daß sich das Virus nicht ein zweites
  814. Mal auf die selbe Diskette kopiert, sondern sich - im Gegenteil - 
  815. sogar wieder löscht !
  816. Dabei vergißt es allerdings seinen Aufruf aus der `s/startup-sequence`
  817. zu entfernen, weshalb es zu AmigaDOS-Fehlermeldungen kommt, falls diese
  818. Diskette ein weiteres Mal gebootet wird.
  819.  
  820. Das `Revenge of the Lamer-Exterminator`-Virus 2 funktioniert so ähnlich
  821. wie sein `Vorgänger` !
  822. Zu diesem Virus möchte ich jedoch noch einmal etwas anmerken !
  823. In den gängigen Virus-Archiven wird, das um ein paar hundert Bytes 
  824. kleinere `Revenge of the Lamer Exterminator`-Virus, als Virus Nr. 2
  825. bezeichnet und das größere Virus als Virus Nr. 1 !
  826. Nach einigen Tests bin ich jedoch der Meinung, daß das `Revenge of the
  827. Lamer Exterminator`-Virus 1 in Wirklichkeit das `Revenge of the Lamer
  828. Exterminator`-Virus 2 ist und umgekehrt !
  829. Für diese Theorie sprechen folgende Argumente:
  830.  
  831. 1. `VirusX 4.00` erkennt das `Revenge of the Lamer Exterminator`-Virus 1
  832.    zwar im Speicher, doch dafür kann es es nicht löschen !!!
  833.    Deshalb vermute ich, daß das `Revenge of the Lamer Exterminator`-Virus 1
  834.    in Wirklichkeit das `Revenge of the Lamer Exterminator`-Virus 2 ist
  835.    und `VirusX 4.00` zwar dieses neue Virus erkennt, da es Ähnlichkeit
  836.    mit dem alten hat, es aber wegen einiger Erweiterungen nicht mehr
  837.    löschen kann !
  838.  
  839. 2. Das `R.L.E.`-Virus 2 hat eine Routine nicht, die das `R.L.E.`-Virus 1
  840.    hat !!!
  841.    Das `R.L.E.`-Virus 1 kann sich auf der Diskette unsichtbar machen !
  842.    D.h. daß wenn sich das `R.L.E.`-Virus 1 im Speicher befindet, man es
  843.    mit Viruskillern nicht mehr auf der Diskette erkennen kann !
  844.    Man kann es auch nicht mit `Type "[Tastenkombination]"` auflisten und
  845.    der Hexadezimal-Wert `A0A0A0A0A0` erscheint auch nicht mehr in der
  846.    `s/startup-sequence` !
  847.    Es ist kaum einzusehen, weshalb die neue Variante eines Viruses
  848.    eine Tarnkappen-Funktion weniger haben soll, als die alte !
  849.  
  850. 3. Das `R.L.E.`-Virus 1 ist ein paar Bytes größer ,als das `R.L.E.`-
  851.    Virus 2 !
  852.    Dies kommt daher, daß das `R.L.E.`-Virus 2 einige Routinen nicht
  853.    mehr hat, die noch im `R.L.E.`-Virus 1 enthalten sind !
  854.    Gewöhnlich ist es allerdings so, daß die neuen Varianten von
  855.    Viren einige Bytes größer sind als ihre Vorgänger ...
  856.  
  857. 4. Da das `R.L.E.`-Virus 1 besser programmiert worden ist, als das
  858.    `R.L.E.`-Virus 2, hatte es bessere Vermehrungschancen als dieses.
  859.    Deshalb hat sich, das meiner Meinung nach, neuere `R.L.E.`-Virus 1
  860.    schneller verbreiten können, als das `R.L.E.`-Virus 2 !
  861.    Wahrscheinlich haben es deswegen einige Viruskiller-Programmierer
  862.    früher erhalten ,als das `R.L.E.`-Virus 2, welches vermutlich das
  863.    erste `Revenge of the Lamer Exterminator`-Virus war !
  864.    Diese Viruskiller-Programmierer haben dann wohl dem neuen
  865.    `Revenge of the Lamer Exterminator`-Virus die Nr. 1 gegeben und
  866.    dem alten `Revenge of the Lamer Exterminator`-Virus die Nr. 2.
  867.  
  868. Im Gegensatz zur Version 1.0 von `AntiCicloVir`, erkennt die neue Version
  869. 1.1 das `Revenge of the Lamer-Exterminator`-Virus nun auch im
  870. Speicher und warnt Sie davor !
  871. Leider kann es das Virus nicht komplett aus dem Speicher löschen, da
  872. es einfach zu viele Vektoren verbiegt (über ein halbes Dutzend ) !
  873. Bei derartig vielen verbogenen Vektoren besteht für mich zum Einem
  874. die Gefahr, daß ich nicht weiß wie man einzelne Zeiger zurücksetzt,
  875. oder sie gar übersehe und zum Anderen die Gefahr, daß die Adressen
  876. bestimmter `ROM`-Routinen unter anderen `KickStart`-Versionen ver-
  877. schieden sind und `AntiCicloVir` so evtl. auf anderen Rechnern nicht
  878. funktioniert !!
  879. Deshalb erscheint nachdem `AntiCicloVir` dieses Virus im Speicher
  880. gefunden hat, eine Meldung in der Sie aufgefordert werden alle
  881. W I C H T I G E N Diskettenoperationen abzuschließen und anschließend
  882. einen Reset auszuführen !!
  883. Das Programm hat die Resident-Vektoren mittlerweile zurückgesetzt,
  884. so daß es nach einem Reset gelöscht ist.
  885. Aber ansonsten ist dieses Virus noch vollkommen aktiv im Speicher
  886. tätig und kann innerhalb der nächsten acht Minuten Ihre Diskette
  887. zerstören !!!
  888. Deshalb sollten Sie wirklich nur WICHTIGE Diskettenoperationen ausführen
  889. ( Beispiel: Eine wichtige Datei, die nur im Speicher steht, noch schnell
  890.             auf eine Disk abspeichern ! )
  891. A C H T U N G !!!
  892. Mir ist es beim Testen dieses Viruses passiert, daß es eine Diskette
  893. auch beim normalen AmigaDOS-Schreibzugriff zerstört hat !
  894. Es kann also sein, daß es durch Schreiboperationen ebenfalls aktiviert
  895. wird !
  896. A C H T U N G !!!
  897. Auch nachdem `AntiCicloVir_V 1.5` dieses Virus im Speicher erkannt und
  898. zwei Zeiger gelöscht hat, kann es es weiterhin nicht auf der Diskette
  899. erkennen, so lange es im Speicher steht !
  900. Deshalb am besten gleich Reset auslösen !!
  901. Dafür erkennt es aber beide Varianten des `Revenge of the Lamer-Exterminator`-
  902. Virus 1 und das `Revenge of the Lamer-Exterminator`-Virus 2 und löscht
  903. sie sofort !
  904. Bei der Version 1.0 des Linkviruskillers mußten Sie noch den Aufruf
  905. `eigenhändig` aus der `s/startup-sequence` löschen.
  906. Doch dieses ist bei der Version 1.1 nicht mehr nötig, da der Linkviruskiller
  907. diese Aufgabe übernimmt !!
  908.  
  909.  
  910.  
  911.  
  912.  
  913.  
  914.  
  915.  
  916.  
  917.  
  918.  
  919.  
  920.                            `Lamer LoadWB`
  921.  
  922.  
  923. Bei diesem 4172 Bytes großen Virus handelt es sich um ein Programm,
  924. welches sich im `c`- oder Hauptverzeichnis als `CLI`-Befehl
  925. `LoadWB` tarnt !
  926. Gleich nach seinem Aufruf erzeugt es allerdings das alte `LAMER 
  927. Exterminator`-Bootblock-Virus im Speicher und lädt anschließend die
  928. `Workbench` !
  929. Das `LAMER Exterminator`-Virus ist hiernach sofort aktiv und kann alle
  930. ungeschützten Disketten infizieren, indem es sich in den `Bootblock`,
  931. der jeweiligen Disketten kopiert !
  932. Das `LoadWB`-Programm kann sich jedoch selbst nicht weiterkopieren !
  933. Bei diesem Programm handelt es sich auch noch um ein sehr altes
  934. Exemplar, aus der Phase der `LAMER Exterminator`-Programmierung !
  935. Der ASCII-Text `The LAMER Exterminator ...` im Programm `LoadWB`
  936. ist beispielsweise nicht kodiert und kann so leicht als Virus
  937. identifiziert werden !
  938. `AntiCicloVir_V1.5` kann das `Bootblock`-Virus `LAMER Exterminator`
  939. im Speicher löschen ! ( Bitte lesen Sie dazu auch `LAMER Exterminator (alt) `
  940. im `Anhang B` ! )
  941. Mein Linkviruskiller kontrolliert jeden `LoadWB`-Befehl im `c`- oder
  942. Hauptverzeichnis und warnt Sie und löscht ihn, wenn es sich um
  943. das `Lamer LoadWB`-Virus handelt !
  944. Da es sich selbst nicht weiterkopiert, kann es sich nur auf Disketten
  945. befinden, auf die es jemand mit oder ohne Absicht kopiert hat !
  946. Es wird also nicht weit verbreitet sein !
  947.  
  948.  
  949.  
  950.  
  951.  
  952.  
  953.  
  954.  
  955.  
  956.  
  957.  
  958.                            `Lamer VirusX`
  959.  
  960. Dieses 13192 Bytes große Virus tarnt sich als `VirusX 3.10` von Steve Tibbett !
  961. Es ist eine recht gute Fälschung von Steve Tibbett`s `VirusX`, doch im
  962. Gegensatz zum echten `VirusX` ist der ASCII-Text nicht kodiert und das
  963. Programm verwendet unsinnige Gerätenamen, wie beispielsweise `DF6:` oder
  964. `DF9:` !
  965. Entgegen meinen früheren Behauptungen erzeugt dieses `VirusX 3.10` nicht
  966. das alte `LAMER Exterminator`-Virus im Speicher, sondern das Virus
  967. `LAMER Exterminator VIII` !
  968. Selbstverständlich erkennt das `Lamer VirusX`-Virus das `LAMER Exterminator`-
  969. Bootblock-Virus nicht im Speicher !
  970. Dafür kann es anscheinend die `Bootblock`-Viren `Obelisk`,`North Star`,
  971. `SCA`,`Byte Bandit`,`Byte Warrior`,`Revenge`,`Pentagon-Slayer` und
  972. `SystemZ`, sowie das `IRQ`-Linkvirus erkennen !
  973. `Lamer VirusX` kopiert sich selbst als `Filevirus` nicht weiter !
  974. `AntiCicloVir V1.5` kann das `Lamer VirusX`-Virus nur unter dem Namen
  975. `VirusX` im Haupt- oder `c`-Verzeichnis erkennen !
  976. Ein verdächtiges `VirusX` in einem anderen Verzeichnis sollten Sie
  977. also zur Kontrolle in`s Haupt- oder `c`-Verzeichnis kopieren !
  978.  
  979.  
  980.  
  981.  
  982.                   `Return Of The Lamer Exterminator`
  983.  
  984.  
  985. Dieses 1848 Bytes große `Filevirus` ist meiner Meinung nach das gefährlichste
  986. Programmvirus ,das in dieser Dokumentation beschrieben wird !
  987. Es ist das zweite `Disk-Validator`-Virus ( siehe auch `SADDAM` ) !
  988. Ob dieses Virus das erste Virus war, welches sich als `Disk-Validator`
  989. weiterkopiert, oder ob es erst nach dem `SADDAM`-Virus programmiert
  990. wurde, ist mir nicht bekannt !
  991. Jedenfalls bin ich mir sicher, schon sehr früh von diesem Virus gelesen
  992. zu haben, als es das `SADDAM`-Virus noch nicht gab.
  993. Deshalb vermute ich, daß der `Return Of The Lamer Exterminator` das erste
  994. `Disk-Validator`-Virus war !
  995. Da das `SADDAM`-Virus im Gegensatz zum `Return Of The Lamer Exterminator`-
  996. Virus, auch ein eigenes `L`-Verzeichnis auf einer infizierten Diskette
  997. anlegen kann, konnte es sich wesentlich schneller verbreiten, als das
  998. `Return Of The Lamer Exterminator`-Virus !
  999. Im übrigen kann sich das `SADDAM`-Virus auch unter `KickStart 1.3` ohne
  1000. `Setpatch r` weiterkopieren, da es den `ColdCapture`-Vektoren benutzt,
  1001. was ein weiterer Vermehrungsvorteil wäre !
  1002. Wie bereits erwähnt, tarnt sich das `Return Of The Lamer Exterminator`-Virus
  1003. als `Disk-Validator` im Verzeichnis `L` einer infizierten Diskette !
  1004. Im Gegensatz zum echten `Disk-Validator`, beinhaltet es keinen `ASCII`-Text.
  1005. Es kopiert sich nur auf Disketten, die selbst ein `L`-Verzeichnis besitzen
  1006. und kann also kein eigenes Verzeichnis anlegen !
  1007. Auf jede Diskette, auf die es sich kopiert hat, speichert es eine ungültige
  1008. `BAM` ( `Block Allocation Map` ) ab !
  1009. Diese ungültige `BAM` veranlaßt das Betriebssystem Ihres Rechners, schon
  1010. beim Einlegen einer infizierten Diskette, den `Disk-Validator` zu starten.
  1011. Dadurch wird das Virus automatisch aktiviert !!!
  1012. In der `BAM` jeder Diskette stehen die Angaben über die bereits belegten
  1013. Datenblöcke einer Diskette.
  1014. Diese Angaben sind für AmigaDOS wichtig, damit es beim späteren Abspeichern
  1015. von Programmen weiß, welche Blöcke nicht mehr überschrieben werden können !
  1016. Ist diese `BAM` ungültig, so hat die Diskette einen `Disk Validating Error`
  1017. und muß `validiert` werden !
  1018. Das Betriebssystem startet dafür die Routine `Disk-Validator` im Verzeichnis
  1019. `L`, um alle Block-Angaben in den Speicher zu lesen, damit die Diskette
  1020. doch noch beschrieben werden kann !
  1021. Ich weiß zwar nicht, wie es auf höheren `KickStart`s als 1.3 geregelt ist,
  1022. aber ich würde dafür plädieren, daß `Commodore` diese nur 1848 Bytes
  1023. große `Disk-Validator`-Routine in`s ROM verfrachtet, damt weitere
  1024. Viren dieser Art erst gar keine Chancen mehr haben !!!
  1025. Beachten Sie bei diesem Virus auch, daß es schon beim Einlegen einer
  1026. infizierten Diskette als Virus im Speicher steht !
  1027. Im Speicher verbiegt es die Vektoren `KickTagPtr` und `KickCheckSum` auf
  1028. eine eigene `MemList`-Struktur, mit der es resetfest im Speicher bleibt !
  1029. Der `BeginIO`-Vektor wird verbogen und noch eine ganze Menge weitere
  1030. Vektoren, die ich leider alle gar nicht zurücksetzen kann ...
  1031. Das Virus kopiert sich also beim Einlegen einer Diskette und beim Booten
  1032. weiter, sofern diese Disketten ein `L`-Verzeichnis besitzen !
  1033. Besonders gemein an diesem Virus ist, daß man es nicht von der Diskette
  1034. löschen kann, wenn es schon im Speicher steht !
  1035. Aber nun die zweite schlechte Nachricht: 
  1036. JEDESMAL WENN MAN EINE INFIZIERTE DISKETTE IN`S LAUFWERK LEGT, KOPIERT
  1037. SICH DAS VIRUS SCHON IN DEN SPEICHER !!!
  1038.  
  1039. Löschen kann man den Virus-`Disk-Validator` deshalb nicht, weil bei jedem
  1040. Versuch, wenn das `Return Of The Lamer Exterminator`-Virus schon im Speicher
  1041. steht, die Fehlermeldung `object in use` erscheint !
  1042. Ich vermute, daß folgender simpler Trick dafür verantwortlich ist !
  1043. Wenn man eine Datei öffnet, um von ihr Daten zu lesen und vergißt sie
  1044. zu schließen, dann `denkt` AmigaDOS, daß die Datei gerade bearbeitet
  1045. wird und bricht jeden Schreibzugriff auf sie ab !
  1046. Vermutlich funktioniert dies auch so ähnlich bei diesem Virus.
  1047. Man kann das Virus zwar nicht löschen, dafür kann man es aber mittels
  1048. des `CLI`-Befehls `Rename` umbenennen und gefährlich ist dieses Virus
  1049. nur dann, wenn es als `Disk-Validator` im Verzeichnis `L` steht !
  1050.  
  1051. Nun zu den Zerstörungen !
  1052. Das `Return Of The Lamer Exterminator`-Virus schreibt nach einiger Zeit
  1053. das Wort `LAMER` in einige Datenblöcke und zerstört so die Informationen
  1054. in den Programmdateien !!!
  1055. Das Virus ist auch in der Lage die Disketten in allen Laufwerken zu
  1056. zerstören, indem es deren `Rootblöcke` mit dem Wort `LAMER` formatiert !
  1057. Dabei gibt es gleichzeitig einen `Alert` aus : 
  1058.               `Return of the Lamer Exterminator`
  1059.  
  1060. `AntiCicloVir V1.5` kann das `Return Of The Lamer Exterminator`-Virus
  1061. jetzt auch im Speicher erkennen.
  1062. Allerdings kann es nicht gelöscht werden, da zu viele Vektoren zurück-
  1063. gesetzt werden müßten, die unter anderen `KickStart`s wieder andere
  1064. Adressen beinhalten !
  1065. Wenn `AntiCicloVir V1.5` ein `Return Of The Lamer Exterminator`-Virus
  1066. auf der Diskette gefunden hat, dann können Sie sich sicher sein, daß
  1067. es im selben Augenblick schon im Speicher steht !!!
  1068. Da mein Linkviruskiller dieses Virus nicht löschen kann, wenn es im
  1069. Speicher steht, benennt er es einfach in `:L/LAMER-Virus` um !
  1070.  
  1071. Zwar wird das `Return Of The Lamer Exterminator`-Virus nicht aus dem
  1072. Speicher gelöscht, doch das ist kein so großes Problem !
  1073. Wenn Sie die Disketten auf dieses Virus hin überprüfen wollen, dann verwenden
  1074. Sie bitte jedes Mal den Schreibschutz.
  1075. Andernfalls könnte sich das Virus von einer infizierten Diskette aus in
  1076. den Speicher kopieren und nun jede `cleane` Disk ebenfalls befallen.
  1077. Haben Sie alle Disketten auf dieses Virus geprüft, so schalten Sie bitte
  1078. den Amiga ab, damit es aus dem Speicher gelöscht wird !
  1079. Nach dem Einschalten sollten Sie von einer virusfreien Diskette `booten` !
  1080. Jetzt können Sie alle infizierten Disketten nacheinander in`s Laufwerk
  1081. legen und mit `AntiCicloVir V1.5` desinfizieren !
  1082. Zwar kopiert sich das Virus wieder auf jede neue Diskette, doch das ist
  1083. unwichtig, da die Disketten ja sowieso schon infiziert waren.
  1084. Nachdem Sie ein `Return Of The Lamer Exterminator`-Virus auf einer
  1085. Diskette umbenannt haben, kopiert sich das Virus nicht anschließend
  1086. wieder neu auf die Diskette !
  1087. Nur wenn Sie die desinfizierte Diskette ein zweites Mal ohne Schreib-
  1088. schutz in`s Laufwerk legen, wird sie neu-infiziert !
  1089. Und das sollten Sie vermeiden !!!!!!
  1090. Sollten Sie alle Disketten desinfiziert haben, so müßen Sie den Rechner
  1091. unbedingt ein zweites Mal ausschalten, damit das `Return Of The Lamer
  1092. Exterminator`-Virus auch aus den Speicher gelöscht wird !
  1093. Schalten Sie nun wieder den Amiga ein, so können Sie behaupten, daß Ihr
  1094. Rechner das `Lamer Exterminator Fieber` überstanden hat und wieder
  1095. wohlauf ist ...
  1096.  
  1097. Leider werden die desinfizierten Disketten nun noch einen `Disk Validating
  1098. Error` haben, an dem aber nicht der `Linkviruskiller`, sondern das
  1099. Virus schuld ist.
  1100. Um die ungültige `BAM` wieder herzustellen, sollten Sie diese Disketten
  1101. `validiern` !
  1102. Gehen Sie dabei wie folgt vor !
  1103. Kopieren Sie sich bitte die `CLI`-Befehle von der `Workbench`-Diskette
  1104. in`s `RAM` !
  1105. Legen Sie nun diese `fehlerhaften` Disketten ein !
  1106. Das Betriebssystem wird nun einen `Disk Validating Error` melden und nach
  1107. der `Workbench`-Diskette verlangen.
  1108. Anschließend wird es wieder nach der `fehlerhaften` Diskette verlangen,
  1109. um sie zu `validieren`.
  1110. Ist diese Diskette `validiert`, so können vorläufig wieder Schreibzugriffe
  1111. auf ihr ausgeführt werden.
  1112. Löschen Sie beispielsweise eine unwichtige Datei ( `:L/LAMER-Virus` ),
  1113. damit die Diskette nach diesem Schreibzugriff vom Betriebssystem wieder
  1114. eine gültige `BAM` erhält !
  1115. Jetzt ist die Diskette wieder o.k. !
  1116.  
  1117. Daten auf Disketten, die das `Return Of The Lamer Exterminator`-Virus 
  1118. formatiert hat sind unwiederruflich verloren !!!
  1119.  
  1120.  
  1121.  
  1122.  
  1123.  
  1124.  
  1125.  
  1126.  
  1127.  
  1128.  
  1129.  
  1130.  
  1131.                              `BGS 9`
  1132.  
  1133.  
  1134. Nicht ganz so gefährlich, aber dennoch lästig ist das `BGS 9`-Virus !
  1135. Es versteckt sich als unsichtbares Programm im Verzeichnis `DEVS` und
  1136. wird beim Booten der jeweiligen Diskette aktiv !
  1137. Mittlerweile gibt es zwei Versionen dieses Fileviruses !
  1138. Nachdem dieses Virus aktiviert wurde, schreibt es eine `MemList`-Struktur
  1139. in den Speicher und setzt die Vektoren `KickMemPtr`,`KickTagPtr` und
  1140. `KickCheckSum` !
  1141. Dieses Virus im Speicher wird glücklicherweise nur beim Reset aktiv und
  1142. verbiegt sonst nichts im Rechner !
  1143. Es startet keine Zerstörungsroutinen und richtet auch keine Schäden
  1144. auf den Disketten an.
  1145. Lästig kann es dennoch sein, da es nach jedem vierten Reset folgenden
  1146. Text auf den Bildschirm ausgibt: 
  1147.  
  1148.  
  1149. `                       A COMPUTER VIRUS IS A
  1150.                              DISEASE
  1151.  
  1152.                           TERRORISM IS A
  1153.                            TRANSGRESSION
  1154.  
  1155.                          SOFTWARE PIRACY IS A
  1156.                                CRIME
  1157.  
  1158.                           THIS IS THE CURE
  1159.  
  1160. BBB      GGGGGG    SSSS    99999            
  1161. B  B     G        S        9   9         
  1162. B  B     G          S      9   9             
  1163. BBB      G           S     99999              Bundesgrenzschutz Sektion 9
  1164. B  B     G GGGG       S        9              Sonderkommando "EDV"
  1165. B  B     G    G        S       9
  1166. BBB      GGGGGG    SSSS    99999`
  1167.  
  1168.  
  1169. `AntiCicloVir V1.5` erkennt beide Computerviren ( `BGS 9` und `BGS 9 II` )
  1170. auf der Diskette und löscht sie !
  1171. Die unsichtbaren Dateien der `BGS 9`-Viren können nun auch im
  1172. Hauptverzeichnis erkannt werden !
  1173. Allerdings halte ich es für sehr unwahrscheinlich, daß sie von den
  1174. `BGS 9`-Viren auch im Hauptverzeichnis erzeugt werden !
  1175. Deshalb wird im Ausgabetext auch nur das `DEVS`-Verzeichnis erwähnt;
  1176. auch dann, wenn sie im Hauptverzeichnis gefunden wurden !
  1177. Außerdem werden auch beide Viren im Speicher erkannt !
  1178. Bisher war es so,daß die Viren der Gruppe `BGS9 I/II/Terrorists` nur
  1179. durch das Vorhandensein einer bestimmten Resident-Struktur von
  1180. `AntiCicloVir` im Speicher erkannt wurden !
  1181. Doch das kann in der Vergangenheit zu vielen Verwechselungen mit
  1182. Resident-Strukturen von seriösen Programmen geführt haben.
  1183. Deshalb erkennt der `Linkviruskiller` die Viren nun direkt im
  1184. Speicher und kann so auch zwischen den `BGS9`-Viren und dem
  1185. `Terrorists`-Virus unterscheiden.
  1186. Diese Erkennungsroutinen sind nun zu 100 % zuverlässig, so daß eine
  1187. Verwechselung mit seriösen Programmen ausgeschlossen ist !
  1188. Doch leider können die Viren `BGS 9` und `BGS 9 II` im Speicher
  1189. nicht voneinander unterschieden werden !
  1190. Sie sind nahezu identisch und unterscheiden sich nur in zwei Details
  1191. voneinander !
  1192. Zum Einen wurde ein Byte im unsichtbaren Namen des `BGS9`-Viruses auf
  1193. der Diskette geändert und zum Anderen wurde ein Byte in der Kodierung
  1194. des ASCII-Textes im Speicher geändert !
  1195. Ich vermute, daß diese Änderungen nur vorgenommen wurden, um einen
  1196. bestimmten Viruskiller zu täuschen !
  1197. Die `BGS 9`-Viren funktionieren auch unter `KickStart 2.04` !
  1198.  
  1199.  
  1200.  
  1201.  
  1202.  
  1203.  
  1204.  
  1205.  
  1206.  
  1207.  
  1208.  
  1209.                        `Bret Hawnes`
  1210.  
  1211. Dieses 2608 Bytes große `Filevirus` tarnt sich als unsichtbares Programm
  1212. im Hauptverzeichnis jeder infizierten Diskette und schreibt seinen
  1213. Aufruf in die `s/startup-sequence` !
  1214. Somit hat das `Bret Hawnes`-Virus gewisse Ähnlichkeiten mit den `Revenge
  1215. of the Lamer Exterminator`-Viren, obwohl ich schreiben muß, daß diese
  1216. weit aus professioneller programmiert worden sind !
  1217. Es steht als unsichtbare Datei auf der Diskette, die dem Hexadezimal-Wert:
  1218. `C0A0E0A0C0` entspricht !
  1219. Im Speicher setzt es eine `MemList`-Struktur und ist mit den Vektoren
  1220. `KickTagPtr` und `KickCheckSum` resetfest !
  1221. Das Virus kopiert sich nur beim `Booten` weiter !
  1222. Außerdem verbiegt es noch den Interrupt-3-Vektoren, sowie die Adresse
  1223. der `SumKickData`-Routine auf sich selbst !
  1224. Nach neun Vermehrungen zerstört dieses Virus Disketten !
  1225. Sind zwanzig Minuten vergangen, so wird folgender Text ausgegeben:
  1226.  
  1227. `GUESS WHO`S BACK ??? VEP. BRET HAWNES BLOPS YOUR SCREEN
  1228.  I`VE TAKEN THE CONTROL OVER YOUR AMIGA !!!
  1229.  THERE IS ONLY ONE CURE: POWER OFF AND REBOOT ! ! ! `
  1230.  
  1231. Das Virus steht immer ab $7F000 im Speicher und löscht übrigens auch den
  1232. `CoolCapture`-Vektoren !
  1233. `AntiCicloVir V1.5` erkennt das Virus auf der Diskette und löscht es !
  1234. Im Speicher löscht es die Zeiger `KickTagPtr` und `KickCheckSum` !
  1235. So kann sich das Virus nicht mehr weiterkopieren !
  1236. Allerdings bleibt noch der Interrupt-3-Vektor ( `$6c` ) gesetzt !
  1237. `AntiCicloVir V1.5` kann ihn nicht auf die ROM-Adresse zurücksetzen,
  1238. da diese bei allen `KickStart`-Versionen verschieden ist.
  1239. Allerdings ist dies nicht so schlimm, denn dieser Vektor dient dem
  1240. Virus nur dazu, nach allen 20 Minuten den o.g. Text auszugeben !
  1241. Nach einem Reset ist dieser Vektor wieder zurückgesetzt !
  1242. Bleibt noch der verbogene Vektor der `SumKickData`-Routine.
  1243. Im Normalfall ist auch dieser Vektor harmlos und wird auch nach einem
  1244. Reset zurückgesetzt !
  1245. Sollte allerdings kurz nachdem das `Bret Hawnes`-Virus gelöscht wurde,
  1246. ein anderes Programm versuchen sich resetfest zu schreiben und dabei
  1247. die `SumKickData`-Routine benutzen, so wird statt diesen Programmes
  1248. das `Bret Hawnes`-Virus wieder resetfest geschrieben !
  1249.  
  1250.  
  1251.  
  1252.  
  1253.  
  1254.  
  1255.  
  1256.  
  1257.  
  1258.                              `CCCP`
  1259.  
  1260. Das `CCCP`-Virus,mit einer Länge von 1044 Bytes, war das erste, 
  1261. welches sich sowohl als `Bootblock`- als auch als `Linkvirus` 
  1262. weiterkopieren konnte !
  1263. Es kopiert sich nach jedem Reset in den `Bootblock` nicht schreibgeschützter
  1264. Disketten und schreibt sich als `Hunk` in das erste ausführbare
  1265. Programm, das es im `Rootblock` findet !
  1266. Im Speicher setzt es den `CoolCapture`-Vektoren auf seine eigene Adresse
  1267. und verbiegt den `Interrupt-3`-Vektoren auf eine eigene Interrupt-Struktur.
  1268. Diese Interrupt-Struktur überwacht nun 50 (!) mal in der Sekunde den
  1269. `CoolCapture`-Vektoren und schreibt die viruseigene Adresse dort wieder
  1270. hinein, sobald sie gelöscht wurde.
  1271. Einmaliges Löschen des `CoolCapture`-Vektoren reicht also nicht aus, um
  1272. die Reset-Routine des `CCCP`-Viruses zu entfernen !
  1273. Vorher müßte unbedingt der `Interrupt-3`-Vektor auf die jeweilige ROM-
  1274. Adresse wieder zurückgesetzt werden.
  1275. Da diese leider bei allen `KickStart`-Versionen verschiedenen ist, tut
  1276. `AntiCicloVir` lieber nicht an diesem Vektor herumspielen ...
  1277. Mein Linkviruskiller kann das `CCCP`-Virus also nur im Speicher anzeigen
  1278. und gibt in diesem Falle die Empfehlung aus, einen anderen Viruskiller
  1279. zu benutzen oder den Amiga auszuschalten !
  1280. Schäden richtet das `CCCP`-Virus keine an und ist sonst auch ziemlich
  1281. unauffällig.
  1282. Wer mit einem gewöhnlichem `Bootblock`-Viruskiller arbeitet, der das
  1283. `CCCP`-Virus noch nicht erkennt, wird merken, daß es ziemlich hartnäckig
  1284. ist !
  1285. Zwar kann es immer am ASCII-Text `CCCP.VIRUS` im `Bootblock` erkannt und
  1286. gelöscht werden, doch wird es einem arglosen Viruskiller wohl kaum gelingen,
  1287. dieses Virus aus dem Speicher zu löschen, so daß es sich beim nächsten
  1288. `Reboot` wieder auf die `desinfizierte` Diskette kopiert.
  1289. Außerdem steht es ja immer noch als `Linkvirus` gut versteckt auf derselben
  1290. Diskette, was eine weitere Begründung für die Hartnäckigkeit dieses
  1291. Viruses wäre !
  1292.  
  1293.  
  1294.  
  1295.  
  1296.  
  1297.  
  1298.  
  1299.  
  1300.  
  1301.  
  1302.  
  1303.                        `Color(TURK V1.3)`
  1304.  
  1305.  
  1306. Dieses Virus tarnt sich als simples `Grafik-Demo` auf einer Diskette,
  1307. welches drei farbige Balken auf dunklem Hintergrund erzeugt !
  1308. Es ist 2196 Bytes lang.
  1309. Nachdem Sie sich dieses Demo angeschaut und das Programm beendet
  1310. haben, wird das `Color`-Virus ab $70000 und das `TURK V1.3`-Bootblock-
  1311. Virus ab $7F000 im Speicher installiert !
  1312. Der `DoIO`-Vektor wird auf die Adresse des `Color`-Viruses im Speicher
  1313. und der `CoolCapture`-Vektor auf eine scheinbar sinnlose Adresse
  1314. verbogen !
  1315. Bei jedem Diskettenwechsel schreibt das `Color`-Virus den Virus-Bootblock
  1316. `TURK V1.3` auf die betroffene Diskette !
  1317. `Color` selbt kann sich nicht weiterkopieren !
  1318. Nachdem dieses Programm im Speicher stand, hat es übrigens sinnlos einen
  1319. Speicherbereich von 60 - 80 kB belegt !
  1320. Wenn Ihnen dieses Grafik-Demo mal auf einer Diskette begegnet, dann
  1321. sollten Sie nach dem Erscheinen des DOS-Fensters NICHT gleich die rechte
  1322. Maustaste drücken, um das Demo zu beenden, sondern sich es kurz
  1323. anschauen und dann abbrechen !
  1324. Wegen eines Programmierfehlers ( ??? ) wird bei einem Abbruch vorm
  1325. Starten des `Demos`, nämlich nicht das Fenster und womöglich auch
  1326. keine Systembibliothek geschlossen !
  1327. Das dürfte bei nachfolgenden Programmen dann zu Fehler-Meldungen führen !
  1328. Bei einem Reset stürzt der Rechner allerdings ab, da der Wert im
  1329. `CoolCapture`-Vektoren auf eine Adresse zeigt, die weder die des
  1330. `Color`- noch die des `TURK`-Viruses ist.
  1331. Ich habe aber gelesen, daß dies wohl absichtlich so sein soll.
  1332. `AntiCicloVir_V1.5` erkennt das `Color`-Virus nachdem es aktiviert
  1333. wurde im Speicher, warnt Sie und löscht den `CoolCapture`-Vektoren !
  1334. Das `Color`-Virus ist allerdings noch aktiv und schreibt nach jedem
  1335. Disk-Wechsel das `TURK V1.3`-Virus in den Bootblock.
  1336. Denn das Programm kann den `DoIO`-Vektoren nicht zurücksetzen !
  1337. Dies war mir zu riskant, da ja jedes neue Betriebssystem des Amiga`s
  1338. die Routine zum Einlesen von Disketten an einer anderen Stelle hat !!!
  1339. Setzen Sie also selbst den Vektoren zurück oder führen Sie einen
  1340. Reset aus !
  1341. Auf der Diskette sucht der Linkviruskiller nur nach einem Programm
  1342. mit dem Namen `Color` im `c`- oder Hauptverzeichnis !
  1343. Wenn `AntiCicloVir` ein derartiges Programm gefunden hat, dann
  1344. analysiert er es und warnt Sie im Falle des `Color`-Viruses !
  1345. Allerdings ist es sehr unwahrscheinlich, daß dieses Programm auf
  1346. allen Disketten unter dem Namen `Color` in den o.g. Verzeichnissen
  1347. abgespeichert wurde !
  1348. Deshalb empfiehlt es sich, ein verdächtiges Grafik-Demo selbst oder vom
  1349. Linkviruskiller zu analysieren lassen, indem man es in`s Hauptverzeichnis
  1350. unter dem Namen `Color` kopiert !
  1351.  
  1352.  
  1353.  
  1354.  
  1355.  
  1356.  
  1357.  
  1358.  
  1359.  
  1360.  
  1361.  
  1362.  
  1363.  
  1364.  
  1365.  
  1366.  
  1367.  
  1368.  
  1369.  
  1370.                        `CompuPhagozyte 1+2`
  1371.  
  1372. Die beiden `CompuPhagozyte`-Viren sind `Fileviren`, die sich selbst als
  1373. `Viruskiller` tarnen !
  1374. Das `CompuPhagozyte`-Virus tarnt sich als `Virus-Checker V4.0` mit einer
  1375. Bytelänge von 1452 Bytes und das `CompuPhagozyte_2`-Virus tarnt sich
  1376. als `VirusX 5.0` mit einer Bytelänge von 1148 Bytes !
  1377. Beide Programme verbiegen keine Vektoren !
  1378. Sie stehen immer im Verzeichnis `c` unter den Namen `Virus-Checker` oder
  1379. `VirusX` !
  1380. Werden Sie von einem unwissenden Anwender gestartet, um beispielsweise
  1381. Disketten auf Viren zu untersuchen, dann kopieren die Programme zuerst
  1382. eine Datei unter ihrem Namen aus dem `c`-Verzeichnis in den Speicher
  1383. ab der Stelle $7C000 !
  1384. Wird nun bei einem aktiviertem `Viruskiller` dieser Art eine neue Diskette
  1385. zum Checken eingelegt, dann schreibt das Virus seinen eigenen Maschinen-
  1386. sprachekodex aus dem Speicher in eine Datei in`s `c`-Verzeichnis unter
  1387. dem Tarnnamen des Viruses !
  1388. Wird mal eine Diskette eingelegt, auf der sich kein `c`-Verzeichnis befindet,
  1389. dann starten die Viren eine Zerstörungsroutine !
  1390. Die Diskette, die diese Routine ausgelöst hat, bleibt relativ verschont,
  1391. da auf ihr nur ein paar Daten abgespeichert werden, die allerdings keinen
  1392. Schaden anzurichten scheinen !
  1393. Jede nachfolgende eingelegte Diskette wird jedoch komplett zerstört:
  1394. `DF0:BAD` !!!
  1395. `AntiCicloVir V1.5` erkennt diese Viren auf der Diskette und löscht sie.
  1396. Auch im Speicher kann `AntiCicloVir V1.5` erkennen, ob diese Viren vor
  1397. einiger Zeit aktiviert wurden und Sie warnen !
  1398.  
  1399.           
  1400.  
  1401.  
  1402.  
  1403.  
  1404.  
  1405.  
  1406.  
  1407.  
  1408.  
  1409.  
  1410.  
  1411.                           `COMPUPhagozyte II`
  1412.  
  1413. Dieses 568 Bytes große `Filevirus` tarnt sich als CLI-Befehl `cls` auf
  1414. Disketten !
  1415. Im Gegensatz zu üblichen `cls`-Befehlen löscht es den Bildschirm nicht
  1416. über eine spezielle ROM-Routine, sondern durch 30 Returncodes !
  1417. Es steht resetfest ab $7C000 über `CoolCapture` im Speicher und verbiegt
  1418. keine weiteren Vektoren !
  1419. Dieses Virus ist wahrscheinlich das harmloseste in meiner ganzen Sammlung.
  1420. Denn es kopiert sich nicht weiter, richtet keine Schäden an und gibt
  1421. auch keine Texte aus.
  1422. Es werden lediglich einige Reset-Vektoren gelöscht.
  1423. Sonst passiert nichts.
  1424. Also ein sehr harmloser Parasit !
  1425. `AntiCicloVir V1.5` sucht im Verzeichnis `c` und im Hauptverzeichnis
  1426. nach diesem Virus und kann es auch im Speicher erkennen und löschen.
  1427.  
  1428.  
  1429.  
  1430.  
  1431.  
  1432.  
  1433.                           `DAG Creator`
  1434.  
  1435.  
  1436. Dieses 7000 Bytes große Programm ist eigentlich kein Virus !
  1437. Hierbei handelt es sich viemehr um einen `Virusmaker`, der jedem
  1438. Anwender klar zu verstehen gibt, wozu er programmiert wurde !
  1439. Das Programm kopiert sich also nicht heimlich weiter und zerstört auch
  1440. keine Disketten !
  1441. Es erzeugt auf Wunsch auf der Diskette im Laufwerk `DF1` ein `Bootblock`-
  1442. Virus namens `DAG`.
  1443. Dieses `Bootblock`-Virus ist allerdings eine äußerst primitive `SCA`-
  1444. Mutation, bei der nicht einmal der `SCA`-Text komplett entfernt wurde.
  1445. Lesen Sie hierzu auch bitte das Kapitel `DAG` aus Anhang B !
  1446. `AntiCicloVir V1.5` löscht den `DAG Creator`, falls er ihn unter seinem
  1447. Namen im `c`- oder Hauptverzeichnis antrifft !
  1448.   
  1449.  
  1450.  
  1451.  
  1452.  
  1453.  
  1454.  
  1455.  
  1456.  
  1457.                        `DISASTER-MASTER V2`
  1458.  
  1459.  
  1460. Dieses 1740 Bytes große Virus tarnt sich als `Clear Screen`-Befehl
  1461. unter dem Namen `cls` im `c`-Verzeichnis und schreibt einen eigenen
  1462. Aufruf in die `s/startup-sequence`: `cls *` !
  1463. Das Virus kann entweder von einem unwissenden Anwender aktiviert werden,
  1464. der es aus dem `c`-Verzeichnis als `cls` startet !
  1465. Dabei wird der Bildschirm gelöscht und das Virus in den Speicher kopiert.
  1466. Wenn es von der `startup-sequence` aus gestartet wird, dann benutzt es
  1467. die Option `*`.
  1468. Dabei wird der sichtbare Bildschirm nicht gelöscht und das Virus
  1469. bleibt so unbemerkt und kann sich in den Speicher kopieren !
  1470. Im Speicher verbiegt es die Vektoren `KickTagPtr` und `KickCheckSum`.
  1471. So ist es nach jedem Reset aktiv und kopiert sich als `cls` in`s
  1472. `c`-Verzeichnis neuer Disketten und schreibt den Befehl `cls *` in
  1473. die `s/startup-sequence` !
  1474. Bei diesem Virus handelt es sich um einen harmlosen Parasiten, der
  1475. keine Schäden anrichtet, sondern sich nur weiterkopiert !
  1476. Dieses Virus wird auch vom `T.C.R. Intromaker` erzeugt, der in
  1477. einigen PD-Serien erschienen ist !
  1478. `AntiCicloVir_V1.5` kann dieses Virus von der Diskette und aus
  1479. dem Speicher löschen, sobald es es erkannt hat !
  1480. Wenn sich dieses Virus im Speicher befindet, kann manchmal die
  1481. `AmigaDOS`-Anzeige am linken oberem Bildschirmrand verschwinden !
  1482. Dieses Virus scheint aber noch ein paar `Gag`s mehr `drauf zu haben,
  1483. als ich in meiner letzten Dokumtation beschrieben habe !
  1484. So kann es beispielsweise nach dem `Booten` von der `Systemdiskette`,
  1485. das übliche `AmigaDOS`-Fenster in einen `Screen` umwandeln, wie man
  1486. ihn beispielsweise von der `Workbench`-Oberfläche oder einigen 
  1487. `Textanzeigeprogrammen` her kennt !
  1488. Das `Disaster Master V2`-Virus kann auch eine `Guru-Meditation` aus-
  1489. lösen, wobei die Fehlernr. dem Herstellungsdatum dieses Viruses
  1490. entspricht !
  1491. Bei dieser Fehlermeldung gibt sich dieses Virus bekannt und bietet
  1492. die Möglichkeit sich selbst zu löschen an !
  1493.  
  1494.  
  1495.  
  1496.  
  1497.  
  1498.  
  1499.  
  1500.  
  1501.  
  1502.  
  1503.  
  1504.  
  1505.  
  1506.                          `Disktroyer V1.0`
  1507.  
  1508. Dieses 804 Bytes große `Filevirus` tarnt sich als `Clear Screen`-Befehl
  1509. auf jeder Diskette: `cls` !
  1510. Wird es beispielsweise von der `s/startup-sequence` aktiviert, so verbiegt
  1511. es den Vektoren der `AllocMem`-Routine auf eine eigene Routine !
  1512. Jedesmal wenn ein Programm versucht mit dieser Routine freien Speicher
  1513. für eigene Zwecke zu allokieren, so wird automatisch das Virus
  1514. aktiviert !
  1515. Das `Disktroyer V1.0`-Virus überprüft dann sofort den Schreibschutz
  1516. aller Disketten in allen angeschlossenen Laufwerken !
  1517. Sind die Disketten nicht geschützt, dann werden von ihnen alle Daten
  1518. gelöscht und die Disketten sind zerstört !
  1519. Anschließend wird eine `Alert`-Meldung ausgegeben !
  1520. Das `Disktroyer V1.0`-Virus kann sich selbst nicht weiterkopieren und
  1521. verbiegt außer dem `AllocMem`-Vektor keine weiteren Zeiger und ist
  1522. auch nicht resetfest !
  1523. Es ist sogar sehr wahrscheinlich, daß sich das Virus selbst zerstört,
  1524. wenn ein nachfolgendes Programm auf derselben Diskette die `AllocMem`-
  1525. Routine benutzt !
  1526. `AntiCicloVir V1.5` kann dieses Virus als `cls`-Befehl erkennen und
  1527. löscht es von der Diskette !
  1528. Im Speicher wird es bisher noch nicht erkannt !
  1529.  
  1530.  
  1531.  
  1532.  
  1533.  
  1534.  
  1535.  
  1536.  
  1537.  
  1538.  
  1539.  
  1540.                              `Golden Rider`
  1541.  
  1542.  
  1543. Das `Golden Rider`-Virus ist das zweite `echte Linkvirus` in meiner
  1544. Dokumentation !
  1545. Dieses Virus steht immer ab $7C000 über `CoolCapture` resetfest im
  1546. Speicher !
  1547. Es verbiegt ansonsten noch die Vektoren `DoIO` und `Open` aus der `dos.
  1548. library` !
  1549. Dieses `Linkvirus` funktioniert, meiner Meinung nach anders, als übliche
  1550. Linkviren !
  1551. Während Linkviren wie `CCCP` oder `Smily Cancer` beispielsweise ein
  1552. eigenen `Hunk` in ein infiziertes Programm schreiben und diesen in dessen
  1553. `Hunk`-Tabelle eintragen, kopiert sich das `Golden Rider`-Virus selbst
  1554. in den ersten Programm-`Hunk` !
  1555. Dadurch kann man es nicht mehr über die `Hunk`-Tabelle erkennen, sondern
  1556. muß den kompletten ersten `Hunk` eines Programmes auf dieses Virus
  1557. checken !
  1558. Das Virus ersetzt einfach den Befehl `RTS` am Ende des ersten `Hunk`s
  1559. durch `NOP` und kopiert sich selbst dann hinter diese Stelle.
  1560. Dadurch wird beim Beenden des ersten `Hunk`s nicht in die aufrufende
  1561. Ebene zurückgesprungen, sondern nur der Programmzähler erhöht und
  1562. anschließend das Virusprogramm ausgeführt !
  1563. Das Virus zerstört keine Disketten und gibt auch keine Meldetexte aus.
  1564. Momentan wird es von `AntiCicloVir V1.5` auch nur im Speicher erkannt.
  1565. Dieses Virus ist ohnehin schwerer zu erkennen als andere Linkviren.
  1566. Allerdings ist der Text: `>>> Golden Rider <<< by ABT` immer am Ende
  1567. des ersten `Hunk`s lesbar !
  1568.  
  1569.  
  1570.  
  1571.  
  1572.  
  1573.  
  1574.  
  1575.                           `Gotcha Lamer`
  1576.  
  1577. Das `Gotcha Lamer`-Virus scheint so eine Art Festplatten-Virus zu sein.
  1578. Denn dieses, nur 372 Bytes große Virus, kopiert sich nur in einige `CLI`-
  1579. Befehle im `c`-Verzeichnis der Festplatte !
  1580. Ein `Reptil` namens `MINIDEMO.EXE` gilt als Erzeugerprogramm dieses `Link-
  1581. viruses` !
  1582. Nach seinem Aufruf wurde unter meinem `Amiga KickStart V1.2` zwar kein
  1583. Demo erzeugt, dafür aber hat das Programm versucht das `Gotcha Lamer`-
  1584. Virus nach: `dh0:c/dir`,`dh0:c/run`,`dh0:c/cd` und `dh0:c/execute` zu
  1585. kopieren !
  1586. Im Speicher verbiegt das `Gotcha Lamer`-Virus den `DoIO`-Vektoren auf seine
  1587. eigene Adresse.
  1588. Es selbst kopiert sich allerdings nicht in weitere Programme !!!
  1589. Dafür kann es allerdings eine Zerstörungsroutine starten, wobei es auch den
  1590. Text: `HAHAHE ... Gotcha LAMER !!!` ausgibt !
  1591. `AntiCicloVir V1.5` beinhaltet keine Routine zum Checken der Festplatte,
  1592. weshalb das `Gotcha Lamer`-Virus dort nicht erkannt wird.
  1593. Im Speicher kann es nur angezeigt werden, da ich, wegen der verschiedenen
  1594. Betriebssystem-Versionen des Amiga`s, den `DoIO`-Vektoren nicht zurücksetzen
  1595. möchte.
  1596. Führen Sie also einen Reset aus !
  1597. Dafür wird aber das Erzeugerprogramm `MINIDEMO.EXE` im Haupt- oder `c`-
  1598. Verzeichnis erkannt und gelöscht, wenn es unter diesem Namen abgespeichert 
  1599. wurde.
  1600.  
  1601.  
  1602.  
  1603.  
  1604.  
  1605.  
  1606.  
  1607.  
  1608.  
  1609.  
  1610.                              `IRQ`
  1611.  
  1612. Dieses 1096 Bytes große `Linkvirus`, gilt als das älteste und erste `Amiga-
  1613. Linkvirus`.
  1614. Es kopiert sich als `Hunk` entweder in das erste ausführbare Programm aus
  1615. der `s/startup-sequence` oder es infiziert den `CLI`-Befehl `dir`, falls
  1616. es kein anderes ausführbares Programm gefunden hat !
  1617. Im Speicher ist es resetfest mittels des `KickTagPtr` und der `KickCheckSum`.
  1618. Zum Weiterkopieren benutzt es den `OldOpenLibrary`-Vektor !
  1619. Die `OldOpenLibrary`-Routine entstammt dem `KickStart V1.0` und sollte von
  1620. neueren Programmen nicht mehr verwendet werden, da es mittlerweile eine
  1621. bessere Routine namens `OpenLibrary` gibt !
  1622. Die `OldOpenLibrary`-Routine wurde unter den neuen Betriebssystem-Versionen
  1623. nur deshalb erhalten, damit ältere Programme auf den neueren Amiga-Modellen
  1624. auch noch laufen !
  1625. Die `OpenLibrary`-Routinen werden von Programmen benutzt, um die System-
  1626. bibliotheken zu öffnen !
  1627. Denn sämtliche für Programme wichtige Routinen, sind schon im Betriebssystem
  1628. enthalten und können somit von Programmen genutzt werden !
  1629. Das `IRQ`-Virus richtet keine Schäden an, kann aber durch Texte in der
  1630. Fensterleiste wie folgende recht nerven: `AmigaDOS presents a new virus by
  1631. the IRQ-Team V41.0`.
  1632. AntiCicloVir V1.5 kann dieses `Linkvirus` noch nicht auf der Diskette er-
  1633. kennen.
  1634. Dafür wird es aber im Speicher erkannt und die Resident-Vektoren werden
  1635. gelöscht, so daß das Virus nach einem Reset nicht mehr aktiv ist !
  1636.  
  1637.  
  1638.  
  1639.  
  1640.  
  1641.  
  1642.  
  1643.  
  1644.  
  1645.  
  1646.  
  1647.  
  1648.  
  1649.  
  1650.  
  1651.                        `JEFF Butonic V3.10`
  1652.  
  1653. Dieses 2916 Bytes große `Filevirus` kopiert sich unter einem unsichtbaren
  1654. Namen, der in hexadezimal dem Wert `A0A0A0` entspricht, weiter !
  1655. Damit funktioniert es ähnlich wie die `Fileviren` `Revenge Of The Lamer
  1656. Exterminator` und `Bret Hawnes` !
  1657. Außer seinen Namen schreibt dieses Virus auch noch einen Maschinensprache-
  1658. befehl in die `s/startup-sequence`, so daß ein Editieren mit dem `CLI`-Befehl
  1659. `ed` unmöglich ist ( `File contains binary !` ) !
  1660. Im Speicher verbiegt es die Vektoren `KickTagPtr`,`KickCheckSum` und `DoIO` !
  1661. Es ist resetfest und kopiert sich somit nach jedem Reset auf eine Diskette,
  1662. die nicht schreibtgeschützt ist und eine `s/startup-sequence` hat !
  1663. Die Vektoren werden noch von einer weiteren Routine permanent überwacht,
  1664. so daß einmaliges Löschen nicht ausreicht !
  1665. `AntiCicloVir V1.5` verwendet hierbei wieder eine eigene Interrupt-Routine,
  1666. um die Resident-Vektoren zu löschen.
  1667. Sie sollten danach einen Reset ausführen ! 
  1668. Auf der Diskette erkennt `AntiCicloVir V1.5` ebenfalls das `JEFF Butonic`-Virus
  1669. V3.10 und löscht auch den Aufruf aus der `s/startup-sequence` !
  1670. Das `JEFF Butonic`-Virus V3.10 zerstört keine Disketten.
  1671. Es wird auch von einem Programm namens `*JEFF*VIRUSKILLER` erzeugt !
  1672.  
  1673.  
  1674.  
  1675.  
  1676.                             `SADDAM`
  1677.  
  1678.  
  1679. Dieses 1848 Bytes große Virus tarnt sich als `Disk-Validator` im Verzeichnis
  1680. `L` auf infizierten Disketten !
  1681. Jede mit einem `SADDAM`-Virus infizierte Diskette hat einen
  1682. `Disk-Validating Error`,den das `SADDAM`-Virus selbst angelegt hat.
  1683. Dieses `Filevirus` ist das erste, welches sich unter AmigaDOS selbst
  1684. aufrufen kann, ohne daß es vom Anwender durch Booten oder Starten eines
  1685. verseuchten Programmes etwa aktiviert  wurde !!!!!!
  1686. Das Einlegen, einer mit einem `SADDAM`-Virus infizierten Diskette, reicht
  1687. aus, damit sich das Virus in den Speicher kopieren kann !
  1688. Es simuliert einen echten `Disk-Validator` und hat auch diesselbe Größe
  1689. des Original-`Disk-Validators`, doch im Gegensatz zu diesem, ist es
  1690. bis auf das Wort `BitMap CheckSum Error` total kodiert und kann so
  1691. von Anfängern schwer unterschieden werden !
  1692. Es kopiert sich auf jede nicht schreibgeschützte Diskette im Laufwerk
  1693. `DF0:` als `Disk-Validator` !
  1694. Wenn es kein `L`-Verzeichnis auf einer Diskette findet, dann kann es
  1695. dieses Verzeichnis selbst anlegen !
  1696. Bei bereits vorhandenem `Disk-Validator`, kopiert sich das Virus einfach
  1697. `drüber !!
  1698. Der `Disk-Validator` ist eine Art `externe Betriebssystem-Routine`,die
  1699. von `AmigaDOS` immer dann aufgerufen wird, wenn es auf eine Diskette
  1700. mit ungültiger `BAM` ( `Block Allocation Map` ) trifft !
  1701. In der `BAM` jeder Diskette steht zum Beispiel wieviele und welche
  1702. Blöcke schon belegt sind.
  1703. Ist diese `BAM` ungültig, so hat die Diskette einen `Disk-Validating Error`
  1704. und das Betriebssystem muß mit Hilfe einer Routine die entsprechenden
  1705. Block-Angaben selbst herausfinden !
  1706. Diese Routine ist der `Disk-Validator` im Verzeichnis `L` !
  1707. Mit dessen Hilfe wird herausgefunden, wieviele und welche Blöcke
  1708. einer Diskette schon belegt sind.
  1709. Das `SADDAM`-Virus beinhaltet ebenfalls die Routine eines `Disk-Validators`
  1710. und wird auch vom Betriebssystem bei ungültiger `BAM` aufgerufen.
  1711. Dieses Virus legt auf jeder Diskette, auf der es sich kopiert, einen
  1712. Fehler in der `BAM` an, der das Betriebssystem später ständig beim
  1713. Einlegen dieser Diskette zwingen wird, den `L/Disk-Validator`, also das
  1714. `SADDAM`-Virus zu starten !
  1715. Das `SADDAM`-Virus ist mittels des `ColdCapture`-Vektoren resetfest im
  1716. Speicher; es verbiegt aber noch ca. ein Dutzend weitere Zeiger !!
  1717. Es ist nach jedem Reset und nach jedem Diskettenwechsel aktiv und
  1718. kopiert sich auf die aktuelle Diskette !
  1719. Das `SADDAM`-Virus zerstört die Disketten, indem es nach einiger Zeit
  1720. einige Blöcke in `IRAK` umbenennt und deren Inhalt mit einem bestimmten
  1721. Wert kodiert !
  1722. Diese kodierten Datenblöcke werden von AmigaDOS nicht mehr anerkannt
  1723. und lösen so `Read/Write Errors` aus !
  1724. Mir ist aufgefallen, daß sich das `SADDAM`-Virus nicht auf Disketten
  1725. kopieren kann, wenn man ihnen die Namen `DF1`,`DF2` oder `DF3` gibt !!!
  1726. `AntiCicloVir_V1.5` kann das `SADDAM`-Virus zwar im Speicher erkennen,
  1727. aber nicht löschen !
  1728. Die bisherige Erkennungsroutine für das `SADDAM`-Virus im Speicher habe
  1729. ich gegen ,eine nun viel sichere Routine, ausgetauscht.
  1730. Da sich das `SADDAM`-Virus immer an der selben Speicherstelle, mit einer
  1731. Schwankung von acht Bytes aufhielt, überwachte die alte Routine nur
  1732. die Werte im `ColdCapture`-Vektoren, um das `SADDAM`-Virus zu erkennen.
  1733. Doch dies war mir zu unsicher, da die Möglichkeit bestand, daß ein
  1734. seriöses Reset-Programm ebenfalls mit dem `SADDAM`-Virus verwechselt werden
  1735. könnte !
  1736. Die jetzige Erkennungsroutine ist 100 %`ig sicher !
  1737. Die vielen verbogenen Vektoren wieder auf ihre `ROM`-Adressen zurück-
  1738. zusetzen, war mir wegen der verschiedenen `KickStart`-Versionen zu
  1739. gefährlich ( Systemabstürze ) !
  1740. Deshalb sollten Sie zum Löschen des Viruses einen anderen Viruskiller
  1741. benutzen oder den Amiga ausschalten.
  1742. Reset nützt nichts !!!
  1743. Auf der Diskette erkennt `AntiCicloVir_V1.5` das `SADDAM`-Virus, warnt Sie
  1744. und löscht es !
  1745. Da die Gefahr besteht, daß sich schon beim Durchchecken Ihrer Sammlung,
  1746. ein mögliches `SADDAM`-Virus in den Speicher kopiert, empfiehlt es
  1747. sich, zuerst alle Disketten mit aktiviertem Schreibschutz zu testen !
  1748. Anschließend sollten die mit einem `SADDAM`-Virus infizierten Disketten
  1749. aussortiert und der Amiga ausgeschaltet werden.
  1750. Danach können Sie den Amiga wieder einschalten und mit `AntiCicloVir`
  1751. die `SADDAM`-Viren von den befallenen Disketten löschen !
  1752. Zwar kopiert sich das Virus wieder in den Speicher, aber dafür wird
  1753. es nur beim Diskettenwechsel aktiv !
  1754. Wenn das `SADDAM`-Virus von einer infizierten Diskette gelöscht wurde,
  1755. kopiert es sich erst wieder auf diese, wenn sie zum zweiten Mal einge-
  1756. legt wird ( und das sollten Sie vermeiden !!! ) !
  1757. Nachdem Sie alle Disketten vom `SADDAM`-Virus befreit haben, werden Sie
  1758. merken, daß alle einen `Disk-Validating Error` haben, an dem aber nicht
  1759. `AntiCicloVir_V1.5`, sondern das Virus schuld ist.
  1760. Gewiß kann man in komplizierter Weise diesen Fehler auch mit einem
  1761. Diskettenmonitor entfernen, aber es geht auch viel einfacher mit Hilfe
  1762. des Betriebssystems !
  1763. Dieser `Disk-Validating Error` ist zwar harmlos, aber lästig, da man
  1764. auf derartigen Disketten keine Programme oder Dateien mehr abspeichern
  1765. kann !
  1766. Legen Sie also einfach die `Workbench`-Diskette ein, auf der sich
  1767. hoffentlich der echte `Disk-Validator` befindet und booten Sie von
  1768. ihr !
  1769. Nachdem Sie sich im `CLI` und die `CLI`-Befehle im `RAM` befinden,
  1770. sollten Sie nun eine Diskette mit dem `Disk-Validating Error` einlegen !
  1771. Daraufhin wird das Betriebssystem den `Disk-Validating Error` melden
  1772. und nach der `Workbench`-Diskette verlangen, auf der sich ja der
  1773. `Disk-Validator` befindet.
  1774. Mit Hilfe dieses `Disk-Validator`s` werden nun die Anzahl und Adressen
  1775. der belegten Blöcke auf der fehlerhaften Diskette in den Speicher
  1776. kopiert und somit ist die Diskette für AmigaDOS vorerst wieder gültig.
  1777. Jetzt können Sie vorläufig wieder Schreibzugriffe auf diese Diskette
  1778. ausüben und das sollten Sie auch tun !
  1779. Denn bei jedem Schreibzugriff auf einer Diskette, wird eine neue gültige
  1780. `BAM` angelegt und die Diskette hat somit keinen `Disk-Validating Error`
  1781. mehr !!!
  1782. Löschen Sie nun also irgendeine unwichtige oder schreiben Sie eine
  1783. wichtige Datei auf diese Disk, damit die `BAM` wieder stimmt !!
  1784. Sie können beispielsweise `.info` löschen !
  1785.  
  1786. Schwieriger ist es mit den Disketten, auf denen das `SADDAM`-Virus
  1787. schon einzelne Datenblöcke kodiert hat !
  1788. Wenn Sie die vorerst verloren gegangenen Daten nicht mehr brauchen,
  1789. mit der Diskette aber sinnvoll weiterarbeiten wollen, dann können
  1790. Sie auch das Programm `DiskDoctor` benutzen, um die `Read/Write Errors`
  1791. zu beseitigen !
  1792. Lesen Sie dazu bitte auch das `AmigaDOS-Handbuch` von `Commodore` !
  1793.  
  1794. Es gibt übrigens noch ein zweites Virus, welches sich als `L/Disk-Validator`
  1795. tarnt : `Return Of The Lamer Exterminator`
  1796. Ich möchte aber schon jetzt um die Zusendung aller weiteren, von mir
  1797. nicht erwähnten Viren, die sich hinter dem Namen `Disk-Validator`
  1798. verbergen, bitten !!
  1799. Außerdem bin ich auch an allen weiteren harmlosen `Disk-Validatoren`
  1800. interessiert !!
  1801.  
  1802. Beim Testen der `Disk-Validator`-Viren `Return of the Lamer Exterminator`
  1803. und `SADDAM` sind mir folgende Gemeinsamkeiten zwischen beiden Viren
  1804. aufgefallen, die ich Ihnen nicht vorenthalten möchte :
  1805.  
  1806. 1. Beide Viren ( `Return of the Lamer Exterminator` und `SADDAM` ) werden
  1807.    von `VirusX 4.00` mit dem `Bootblock`-Virus `Australian Parasite`
  1808.    verwechselt !
  1809.  
  1810. 2. Beide Viren haben den kodierten ASCII-Text nahezu an der selben
  1811.    Stelle im Programm !
  1812.  
  1813. 3. Beide Viren lösen nach dem ersten CLI-Aufruf einen Systemstillstand
  1814.    aus.
  1815.  
  1816. 4. Beide Viren benutzen die gleiche finale Zerstörungsroutine, zum
  1817.    Löschen der Daten auf allen eingelegten Disketten, mit anschließender
  1818.    `Alert`-Meldung !
  1819.  
  1820. 5. Außer den Reset-Vektoren benutzen die Viren ansonsten gleiche
  1821.    Systemadressen .
  1822.  
  1823.  
  1824. Das `SADDAM`-Virus wurde mir von Gregory Sapsford ,Fohlenkamp 33,
  1825. W-4600 Dortmund 13 zugesandt !
  1826.  
  1827.  
  1828.  
  1829.  
  1830.  
  1831.  
  1832.  
  1833.  
  1834.  
  1835.  
  1836.  
  1837.  
  1838.  
  1839.  
  1840.                          `Smily Cancer I+II`
  1841.  
  1842.  
  1843. Das `Smily Cancer`-Virus mit einer Bytelänge von 3916 Bytes,ist das erste
  1844. `Linkvirus`, welches in dieser Dokumentation erwähnt wird !
  1845. Es kopiert sich in`s jeweils erste Programm, welches von der `s/startup-
  1846. sequence` aufgerufen wird !
  1847. Es schreibt einen weiteren `Hunk`-Eintrag in die `Hunk-Tabelle` und setzt
  1848. seinen Virus-eigenen `Hunk` an erster Stelle !
  1849. So wird das Virus bei jedem Booten in den Speicher geladen !
  1850. Im Speicher verbiegt es die Vektoren `KickTagPtr`,`KickCheckSum`,`BeginIO`
  1851. und `SumKickData` auf seine eigene Adresse !
  1852. Es wird beim Reset und beim Diskettenwechsel aktiv und kopiert sich so
  1853. weiter !
  1854. Nach 20 erfolgreichen Vermehrungen verändert sich der Mauszeiger in einen
  1855. gelben Kopf ( Smily ) und es wird folgender Text ausgegeben 
  1856. ( Achtung ! Mögliche Übertragungsfehler !  ):
  1857.  
  1858. `HI THERE !!! A NEW AGE IN VIRUS MAKING HAS BEGUN !
  1859.  THANK TO US ... THANK TO: --- CENTURIONS ---
  1860.  
  1861.  AND WE HAVE THE PLEASURE TO INFORM YOU THAT SOME
  1862.  OF YOUR DISKS ARE INFECTED BY OUR FIRST MASTERPIECE
  1863.  CALLED : `THE SMILY CANCER`
  1864.  HAVE FUN LOOKING FOR IT ...
  1865.  AND STAY TUNED FOR OUR NEXT PRODUCTIONS.
  1866.  CENTURIONS: THE FUTURE IS NEAR !`
  1867.  
  1868. `AntiCicloVir_V1.5` erkennt das `Smily Cancer`-Linkvirus leider noch
  1869. nicht auf der Diskette, dafür aber im Speicher und löscht es !
  1870. Nachdem Sie vor diesem Virus gewarnt worden sind, werden die Vektoren
  1871. `KickTagPtr` und `KickCheckSum` zurückgesetzt, so daß das Virus nicht
  1872. mehr resetfest ist ! 
  1873. Allerdings kann es sich noch mittels des `BeginIO`-Vektoren weiterkopieren !
  1874. Da ich keine Adressen verändern möchte, die bei allen `KickStart`-Versionen
  1875. verschieden sind, setzt `AntiCicloVir` in diesem Falle nicht den
  1876. `BeginIO`-Vektor zurück, sondern schreibt einen Maschinensprachebefehl im
  1877. `Smily Cancer`-Virus so um, daß es zwar aktiv ist, sich aber nicht
  1878. mehr weiterkopieren kann !
  1879. Bleibt nur noch der verbogene Vektor der `SumKickData`-Routine übrig !
  1880. Dieser wird nicht zurückgesetzt und ist auch nicht so wichtig.
  1881. Allerdings kann sich das `Smily Cancer`-Virus wieder resetfest schreiben,
  1882. wenn direkt nach dem Entfernen dieses Viruses aus dem Speicher, ein
  1883. anderes Programm versucht hat sich resetfest zu schreiben !
  1884. Benutzt ein anderes Virus oder ein Viruskiller nämlich die `SumKickData`-
  1885. Routine, um die `KickCheckSum` seiner Reset-Routine berechnen zu lassen,
  1886. dann wird nicht dieses Programm installiert, sondern das `Smily Cancer`-
  1887. Virus !
  1888. Erst nach einem Reset ist das `Smily Cancer`-Virus zu 100 % gelöscht !
  1889. Bei dem `Smily Cancer II`-Virus handelt es sich um ein 4676 Bytes großes
  1890. `Filevirus`, welches sich als `CLI`-Befehl `loadwb` tarnt !
  1891. Es führt die `LoadWB`-Routine aus und kopiert anschließend das alte
  1892. `Smily Cancer`-Linkvirus in den Speicher !
  1893. Das `Smily Cancer`-Linkvirus wurde ja auch schon von der alten Version
  1894. erkannt !
  1895. `AntiCicloVir V1.5` erkennt das `Smily Cancer II`-Virus auf der
  1896. Diskette und löscht es.
  1897. `Smily Cancer II` kann sich selbst nicht weiterkopieren ! ( siehe auch
  1898. `Lamer LoadWB` oder `T.F.C. Revenge LoadWB` )
  1899.  
  1900.  
  1901.  
  1902.  
  1903.  
  1904.  
  1905.  
  1906.                           `Terrorists`
  1907.  
  1908. Das `Terrorists`-Virus ( 1612 Bytes ) wird wohl eine Mutation des
  1909. alten `BGS 9`-Viruses sein (siehe `BGS 9`) !
  1910. Dieses Virus steht als unsichtbares Programm im Hauptverzeichnis jeder
  1911. infizierten Diskette und wird beim Booten über die `s/startup-sequence`
  1912. aufgerufen !
  1913. Um resetfest im Speicher zu stehen, verbiegt dieses Virus die Vektoren
  1914. `KickMemPtr`,`KickTagPtr` und `KickCheckSum` !
  1915. Es kopiert sich nur weiter und scheint keine weiteren Schäden anrichten
  1916. zu können !
  1917. Es ist jedoch ebenfalls lästig wie das `BGS 9`-Virus, da es zu einem
  1918. bestimmten Zeitpunkt folgenden Text ausgibt:
  1919.  
  1920. `THE NAME HAVE BEEN CHANGED TO PROTECT THE INNONCENT ...
  1921.  THE TERRORISTS HAVE YOU UNDER CONTROL
  1922.  EVERYTHING IS DESTROYED
  1923.  YOUR SYSTEM IS INFECTED
  1924.  THERE IS NO HOPE FOR BETTER TIMES
  1925.  THE FIRST TERRORISTS VIRUS !!!`
  1926.  
  1927.  
  1928. Dieses Virus kann von `AntiCicloVir_V1.5` jetzt auch im Speicher
  1929. von den `BGS 9`-Viren unterschieden werden, da die Erkennungsroutine
  1930. für die Viren der Gruppe `BGS9 I/II/Terrorists` ausgewechselt wurde !
  1931. Auf der Diskette erkennt es `AntiCicloVir` auch und gibt eine entsprechende
  1932. Meldung aus bevor es es löscht !
  1933.  
  1934.  
  1935.  
  1936.  
  1937.  
  1938.  
  1939.                       `T.F.C. Revenge LoadWB`
  1940.  
  1941. Dieses 2804 Bytes große `Filevirus` tarnt sich auf der Diskette als
  1942. `LoadWB`-Befehl und simuliert nach seinem Aufruf diesen Befehl !
  1943. Es erzeugt im Speicher das `Bootblock`-Virus `T.F.C. Revenge` ( siehe
  1944. Anhang B ) !
  1945. Das `Bootblock`-Virus wird in zwei verschiedene Speicherbereiche kopiert !
  1946. Einmal schreibt es das `Filevirus` nach $7F800 und anschließend nach
  1947. $FF800 in den Speicher !
  1948. Synchron hierzu werden die Vektoren `KickTagPtr`,`KickCheckSum`,`DoIO`,
  1949. sowie der Interrupt-Vektor für den Rasterstrahl verbogen - auf die
  1950. Adressen des `Bootblock`-Viruses !
  1951. `AntiCicloVir V1.5` erkennt das `T.F.C. Revenge LoadWB`-Virus auf der
  1952. Diskette und löscht es !
  1953. Auch das `Bootblock`-Virus `T.F.C. Revenge` wird erkannt.
  1954. Näheres zur Verfahrensweise mit diesem Virus finden Sie im Anhang B !
  1955. Lesen Sie auch die Dokumtationen zu `Lamer LoadWB` und `Smily Cancer II` !
  1956.  
  1957.  
  1958.  
  1959.  
  1960.  
  1961.  
  1962.  
  1963.  
  1964.  
  1965.  
  1966.  
  1967.                              `Anhang B`
  1968.  
  1969. In diesem Anhang werden nun noch einmal alle `Bootblock`-Viren beschrieben,
  1970. die `AntiCicloVir V1.5` im Speicher erkennt !
  1971. Bedenken Sie bitte, daß `AntiCicloVir` kein `Bootblock`-Viruskiller ist,
  1972. sondern die `Bootblock`-Viren im Speicher nur löscht, weil sie lästig
  1973. sein könnten beim Kontrollieren der Disketten auf `Linkviren` !
  1974. Die `Bootblock`-Viren werden in Kurzform dokumentiert !
  1975.  
  1976.  
  1977.  
  1978.  
  1979.  
  1980.  
  1981.  
  1982.  
  1983. Name         : `16 Bit Crew`
  1984.  
  1985. Resetvektoren: `CoolCapture`
  1986. Vektoren für
  1987. Vermehrung   : `CoolCapture`
  1988. Schäden      :  keine
  1989. Anmerkung    : Dieses Virus steht immer ab $7EC00 im Speicher !
  1990.  
  1991.  
  1992.  
  1993. Name         : `2001`
  1994.  
  1995. Resetvektoren: `CoolCapture`
  1996. Vektoren für
  1997. Vermehrung   : `CoolCapture`
  1998. Schäden      : keine
  1999. Anmerkung    : Bei diesem Virus handelt es sich um einen der unendlich
  2000.                vielen `SCA`-Mutanten !
  2001.                Außer geändertem Text, wurde eine Routine so geändert, daß
  2002.                nach jedem Reset, ohne Diskette im Laufwerk, eine `Guru 
  2003.                Meditation` ausgelöst wird !
  2004.  
  2005.  
  2006.  
  2007. Name         : `AEK`
  2008.  
  2009. Resetvektoren: `CoolCapture`
  2010. Vektoren für
  2011. Vermehrung   : `CoolCapture`
  2012. Schäden      : keine.
  2013. Anmerkung    : Dieses Virus ist ein schon ziemlich alter `SCA`-Mutant, bei dem
  2014.                nur der ASCII-Text geändert wurde !
  2015.  
  2016.  
  2017.  
  2018.  
  2019. Name         : `AIDS`
  2020.  
  2021. Resetvektoren: `CoolCapture`
  2022. Vektoren für
  2023. Vermehrung   : `CoolCapture`
  2024. Schäden      : keine
  2025. Anmerkung    : Bei diesem `SCA`-Mutanten wurde nur der Text geändert !
  2026.  
  2027.  
  2028.  
  2029.  
  2030. Name         : `AIDS2`
  2031.  
  2032. Resetvektoren: `CoolCapture`
  2033. Vektoren für
  2034. Vermehrung   : sind mir noch nicht bekannt.
  2035. Schäden      : mir sind keine bekannt.
  2036. Anmerkung    : Bei diesem zweiten `AIDS`-Virus handelt es sich um eine
  2037.                Mutation des `Bootblock`-Viruskillers `Vkill`, der ursprünglich
  2038.                zum Löschen von `Bootblock`-Viren kreiert wurde.
  2039.                Die Mutation namens `AIDS` kopiert sich nun, getarnt als
  2040.                Viruskiller, auf jede Diskette und löscht so auch harmlose
  2041.                `Boot-Intros` etc.
  2042.                Da mir der original `Bootblock`-Viruskiller `VKill` noch nicht
  2043.                vorliegt, kann es sein, daß `AntiCicloVir` diesen mit dem
  2044.                `AIDS`-Virus verwechselt.
  2045.                Dieses Virus kann nicht komplett gelöscht werden.
  2046.                Deshalb ist ein Reset notwendig.
  2047.  
  2048. Name         : `Alien New Beat V1.0`
  2049.  
  2050. Resetvektoren: `ColdCapture`
  2051.                `CoolCapture`
  2052. Vektoren für
  2053. Vermehrung   : `ColdCapture`
  2054.                `CoolCapture`
  2055.                `DoIO`
  2056. Schäden      : Löscht `Bootblock`-Viren.
  2057. Anmerkung    : Dieses `Bootblock`-Virus funktioniert nur bis `KickStart 1.2` !
  2058.  
  2059.  
  2060.  
  2061. Name         : `Amiga Freak`
  2062.  
  2063. Resetvektoren: `KickTagPtr`
  2064.                `KickCheckSum`
  2065. Vektoren für
  2066. Vermehrung   : `KickTagPtr`
  2067.                `KickCheckSum`
  2068.                `BeginIO`
  2069. Schäden      : mir sind keine bekannt.
  2070. Anmerkung    : Bei diesem Virus handelt es sich um einen `Forpib/Byte Bandit`-
  2071.                Mutanten, bei dem nur der ASCII-Text geändert wurde !
  2072.                Auch dieses `Bootblock`-Virus muß durch einen Reset gelöscht
  2073.                werden.
  2074.  
  2075.  
  2076.  
  2077. Name         : `Amiga Master`
  2078.  
  2079. Resetvektoren: `CoolCapture`
  2080. Vektoren für
  2081. Vermehrung   : `CoolCapture`
  2082. Schäden      : keine.
  2083. Anmerkung    : Bei diesem `SCA`-Mutanten wurde nur der ASCII-Text
  2084.                ausgewechselt.
  2085.  
  2086.  
  2087.  
  2088.  
  2089. Name         : `ASV V0.000123`
  2090.  
  2091. Resetvektoren: `CoolCapture`
  2092. Vektoren für
  2093. Vermehrung   : keine.
  2094. Schäden      : Dieses Virus verbiegt den Zeiger der `Forbid`-Routine auf
  2095.                seine eigene Routine im Speicher, die `ChipMem` löscht !
  2096. Anmerkung    : Das `ASV V0.000123`-Virus kopiert sich nicht weiter !
  2097.  
  2098.  
  2099.  
  2100.  
  2101. Name         : `Australian Parasite`
  2102.  
  2103. Resetvektoren: `CoolCapture`
  2104. Vektoren für
  2105. Vermehrung   : `CoolCapture`
  2106.                `DoIO`
  2107. Schäden      : Das `Australian Parasite`-Virus kann den Bildschirminhalt
  2108.                verdrehen !
  2109. Anmerkung    : Auch das `Australian Parasite`-Virus muß durch einen Reset
  2110.                endgültig gelöscht werden !
  2111.                ACHTUNG : `VirusX 4.00` verwechselt die Viren `Return of the
  2112.                Lamer Exterminator` und `SADDAM` mit dem `Australian Parasite`-
  2113.                Virus !!!
  2114.  
  2115.  
  2116.  
  2117. Name         : `Bamiga Sector One`
  2118.  
  2119. Resetvektoren: `CoolCapture`
  2120. Vektoren für
  2121. Vermehrung   : `CoolCapture`
  2122. Schäden      : keine.
  2123. Anmerkung    : Bei diesem `SCA`-Mutanten wurde lediglich der `ASCII`-Text
  2124.                ausgetauscht.
  2125.  
  2126.  
  2127. Name         : `Big Boss`
  2128.  
  2129. Resetvektoren: `CoolCapture`
  2130. Vektoren für
  2131. Vermehrung   : `CoolCapture`
  2132. Schäden      : keine.
  2133. Anmerkung    : Bei diesem `SCA`-Mutanten wurde wieder einmal nur der
  2134.                ASCII-Text ausgewechselt.
  2135.  
  2136.  
  2137.  
  2138. Name         : `Blackflash V2.0`
  2139.  
  2140. Resetvektoren: `CoolCapture`
  2141. Vektoren für
  2142. Vermehrung   : `CoolCapture`
  2143. Schäden      : keine.
  2144. Anmerkung    : keine.
  2145.  
  2146.  
  2147.  
  2148.  
  2149. Name         : `Blade Runners`
  2150.  
  2151. Resetvektoren: `CoolCapture`
  2152. Vektoren für
  2153. Vermehrung   : `CoolCapture`
  2154. Schäden      : keine.
  2155. Anmerkung    : Auch bei diesem `SCA`-Mutanten wurde nur der Text verändert ...
  2156.  
  2157.  
  2158.  
  2159.  
  2160. Name         : `BlizzPro V3.1`
  2161.  
  2162. Resetvektoren: `CoolCapture`
  2163. Vektoren für
  2164. Vermehrung   : ???
  2165. Schäden      : Dieses Programm löscht folgende `Bootblock`-Viren: `NORTH STAR`,
  2166.                `BYTE BANDIT`,`BYTE WARRIOR`,`REVENGE`,`GADAFFI`,
  2167.                `LAMER EXTERMIN.`!
  2168. Anmerkung    : Bei diesem Programm handelt es sich lediglich um einen
  2169.                `Bootblock` Viruskiller, der sich nur auf infizierte Disketten
  2170.                kopiert !
  2171.  
  2172.  
  2173.  
  2174.  
  2175. Name         : `BlizzPro V3.3`
  2176.  
  2177. Resetvektoren: `CoolCapture`
  2178. Vektoren für
  2179. Vermehrung   : ???
  2180. Schäden      : wie `BlizzPro V3.1`
  2181. Anmerkung    : Dieses Programm funktioniert in etwa ähnlich wie `BlizzPro
  2182.                V3.1` !
  2183.  
  2184.  
  2185.  
  2186.  
  2187. Name         : `Blow Job`
  2188.  
  2189. Resetvektoren: `KickTagPtr`
  2190.                `KickCheckSum
  2191. Vektoren für
  2192. Vermehrung   : `KickTagPtr`
  2193.                `KickCheckSum`
  2194. Schäden      : keine.
  2195. Anmerkung    : Dieses Virus täuscht im `Bootblock` durch den Text: 
  2196.                `Memory Allocator 3.01`.
  2197.  
  2198.  
  2199.  
  2200. Name         : `Butonic 1.1`
  2201.  
  2202. Resetvektoren: `CoolCapture`
  2203. Vektoren für
  2204. Vermehrung   : `CoolCapture`
  2205. Schäden      : keine.
  2206. Anmerkung    : Immer wenn dieses Virus im Speicher steht und 
  2207.                während des `Bootens` auf ein `Butonic`-Virus auf der einge-
  2208.                legten Diskette trifft, gibt es folgenden Text auf blauem
  2209.                Hintergrund aus : `Butonic 1.1 Greetings to Hackmack` !
  2210.  
  2211.  
  2212.  
  2213.         
  2214. Name         : `Byte Bandit`
  2215.  
  2216. Resetvektoren: `KickTagPtr`
  2217.                `KickCheckSum`
  2218. Vektoren für
  2219. Vermehrung   : `KickTagPtr`
  2220.                `KickCheckSum`
  2221.                `BeginIO`
  2222. Schäden      : mir sind keine bekannt !
  2223. Anmerkung    : Dieses `Bootblock`-Virus wird von `AntiCicloVir V1.5` nicht
  2224.                vollständig gelöscht, weshalb ein Reset ausgeführt werden muß !
  2225.  
  2226.  
  2227.  
  2228.  
  2229. Name         : `Byte Bandit +`
  2230.  
  2231. Resetvektoren: `KickTagPtr`
  2232.                `KickCheckSum`
  2233. Vektoren für
  2234. Vermehrung   : `KickTagPtr`
  2235.                `KickCheckSum`
  2236.                `BeginIO`
  2237. Schäden      : Dieses neue `Byte Bandit`-Virus belegt sinnlos Speicherbereich,
  2238.                so daß größere Programme nicht laufen.
  2239. Anmerkung    : Auch dieses `Byte Bandit`-Virus kann nur durch einen Reset
  2240.                endgültig gelöscht werden !
  2241.  
  2242.  
  2243.  
  2244.  
  2245. Name         : `Byte Bandit 2`
  2246.  
  2247. Resetvektoren: `KickTagPtr`
  2248.                `KickCheckSum`
  2249. Vektoren für
  2250. Vermehrung   : `KickTagPtr`
  2251.                `KickCheckSum`
  2252.                `BeginIO`
  2253. Schäden      : Mir sind keine Schäden zu diesem Virus bekannt.
  2254. Anmerkung    : Merkwürdigerweise ruft dieses `Byte Bandit`-Virus gleich zweimal
  2255.                die `dos.library` auf !
  2256.                Auch `Byte Bandit 2` kann nur über einen Reset gelöscht werden.
  2257.  
  2258.  
  2259.  
  2260. Name         : `Byte Bandit turbo`
  2261.  
  2262. Resetvektoren: `KickTagPtr`
  2263.                `KickCheckSum`
  2264. Vektoren für
  2265. Vermehrung   : `KickTagPtr`
  2266.                `KickCheckSum`
  2267.                `BeginIO`
  2268. Schäden      : Zu diesem Virus sind mir keine Schäden bekannt !
  2269. Anmerkung    : Dieses `Byte Bandit`-Virus ist kürzer als alle anderen `Byte
  2270.                Bandit`-Viren, was darauf schließen läßt, daß einige Routinen
  2271.                entfernt worden sind (möglicherweise der `Copy-Counter).
  2272.                Auf der Diskette, die mir Michael Flühler ( Knobelstr. 13, CH-
  2273.                8855 Wangen ) zugesandt hatte, war dieses Virus als `Turbo-
  2274.                Bootblock` getarnt !
  2275.                Daher der Name.
  2276.                Allerdings wird der Zusatz `turbo` nicht weiterkopiert.
  2277.                Dieses Virus kann von `AntiCicloVir` nicht komplett gelöscht
  2278.                werden, wodurch ein Reset nötig wird !
  2279.  
  2280.  
  2281. Name         : `Byte Voyager`
  2282.  
  2283. Resetvektoren: `KickTagPtr`
  2284.                `KickCheckSum`
  2285. Vektoren für
  2286. Vermehrung   : `KickTagPtr`
  2287.                `KickCheckSum`
  2288.                `DoIO`
  2289. Schäden      : Dieses `Bootblock`-Virus zerstört Disketten, indem es in
  2290.                Block 880 schreibt: `Infected by BYTE VOYAGER !!!!!!` !
  2291. Anmerkung    : Das `Byte Voyager`-Virus kann nur durch einen Reset komplett
  2292.                aus dem Speicher gelöscht werden !
  2293.  
  2294.  
  2295.  
  2296. Name         : `Byte Voyager II`
  2297.  
  2298. Resetvektoren: `KickTagPtr`
  2299.                `KickCheckSum`
  2300. Vektoren für
  2301. Vermehrung   : `KickTagPtr`
  2302.                `KickCheckSum`
  2303.                `DoIO`
  2304. Schäden      : Auch das `Byte Voyager`-Virus II zerstört Disketten dadurch, daß
  2305.                es in Block 880 schreibt: `Another Virus by Byte Voyager` !
  2306. Anmerkung    : Das `Byte Voyager`-Virus II muß ebenfalls durch einen Reset
  2307.                komplett gelöscht werden !
  2308.  
  2309.  
  2310.  
  2311. Name         : `Byte Warrior`
  2312.  
  2313. Resetvektoren: `KickTagPtr`
  2314.                `KickCheckSum`
  2315. Vektoren für
  2316. Vermehrung   : `KickTagPtr`
  2317.                `KickCheckSum`
  2318.                `DoIO`
  2319. Schäden      : keine.
  2320. Anmerkung    : Das `Byte Warrior`-Virus kann leider nicht vollständig aus
  2321.                dem Speicher gelöscht werden.
  2322.                Deshalb sollten Sie einen Reset auslösen !
  2323.                Das `Byte Warrior`-Virus funktioniert, wegen eines festen ROM-
  2324.                Rücksprunges aus der `DoIO`-Routine, nur noch unter `KickStart
  2325.                1.2` !
  2326.  
  2327.  
  2328.  
  2329.  
  2330. Name         : `CCCP`
  2331.  
  2332. Resetvektoren: `CoolCapture`
  2333. Vektoren für
  2334. Vermehrung   : `CoolCapture`
  2335. Schäden      : Mir sind keine Schäden bekannt !
  2336. Anmerkung    : Das `CCCP`-Virus ist das erste Virus, welches sich gleichzeitig
  2337.                als `Bootblock`- und `Linkvirus` weiterkopieren kann !
  2338.                Da dieses Virus den Interrupt-3-Vektoren verbiegt, kann das
  2339.                `CCCP`-Virus nicht von `AntiCicloVir` gelöscht werden.
  2340.                Denn die Interrupt-3-Struktur überwacht die Adresse des Viruses
  2341.                im `CoolCapture`-Vektoren und verhindert so ein Rücksetzen
  2342.                dieses Zeigers.
  2343.                Leider kann auch nicht die Interrupt-3-Struktur gelöscht werden,
  2344.                da dazu die ROM-Adresse nach $6c geschrieben werden müßte und
  2345.                die ist bei bei allen KickStart-Versionen unterschiedlich ! 
  2346.                Deshalb sollten Sie einen anderen Viruskiller benutzen oder den
  2347.                Amiga vorübergehend abschalten !
  2348.                Lesen Sie dazu auch `Anhang A` !
  2349.  
  2350.  
  2351.      
  2352. Name         : `CLONK`
  2353.  
  2354. Resetvektoren: `KickMemPtr`
  2355.                `KickTagPtr`
  2356.                `KickCheckSum`
  2357. Vektoren für
  2358. Vermehrung   : `KickMemPtr`
  2359.                `KickTagPtr`
  2360.                `KickCheckSum`
  2361.                `DoIO` 
  2362. Schäden      : Dieser `Bootblock`-Viruskiller kopiert sich nach Abfrage über
  2363.                jeden `non-standard`-Bootblock !
  2364. Anmerkung    : Das `CLONK`-Virus wird von den älteren Versionen von
  2365.                `AntiCicloVir` mit den Viren der Gruppe `BGS9 I/II/Terrorists`
  2366.                verwechselt. `VirusX 4.00` verwechselt `CLONK` mit dem `Disk-
  2367.                Doktors`-Virus. Gerade dieses Virus muß auf jedem Fall durch
  2368.                einen Reset gelöscht werden, nachdem `AntiCicloVir` die Vektoren
  2369.                zurückgesetzt hat !
  2370.  
  2371.  
  2372.  
  2373. Name         : `Coders Nightmare`
  2374.  
  2375. Resetvektoren: `KickTagPtr`
  2376.                `KickCheckSum`
  2377. Vektoren für 
  2378. Vermehrung   : `KickTagPtr`
  2379.                `KickCheckSum`
  2380.                `DoIO`
  2381. Schäden      : Dieses `Bootblock`-Virus simuliert einen Viruskiller !
  2382. Anmerkung    : Neben den oben erwähnten Vektoren wird auch noch $68
  2383.                vom Virus auf eine eigene Adresse verbogen !
  2384.                Das `Coders Nightmare`-Virus kann nur durch einen Reset
  2385.                vollständig aus dem Speicher entfernt werden !
  2386.  
  2387.  
  2388.  
  2389. Name         : `DAG`
  2390.  
  2391. Resetvektoren: `CoolCapture`
  2392. Vektoren für
  2393. Vermehrung   : `CoolCapture`
  2394. Schäden      : keine.
  2395. Anmerkung    : Hier war mal wieder einer ganz fleißig gewesen und hat es
  2396.                geschaft, einen Teil des ASCII-Textes aus dem `SCA`-Virus
  2397.                gegen `Try ANTIVIRUS from DAG` auszutauschen !
  2398.                Da der restliche Teil des ASCII-Textes noch dem des `SCA`-
  2399.                Viruses entspricht, wird es von älteren `AntiCicloVir`-Versionen
  2400.                mit dem `SCA`-Virus verwechselt !
  2401.                Das `DAG`-Bootblock-Virus wird vom `DAG Creator` ( siehe
  2402.                Anhang A) in `DF1:` erzeugt !
  2403.  
  2404.  
  2405.  
  2406. Name         : `DAT`89`
  2407.  
  2408. Resetvektoren: `KickTagPtr`
  2409.                `KickCheckSum`
  2410. Vektoren für
  2411. Vermehrung   : `KickTagPtr`
  2412.                `KickCheckSum`
  2413.                `DoIO`
  2414. Schäden      : Dieses `Bootblock`-Virus simuliert einen Viruskiller !
  2415.                Doch in Wahrheit zerstört es die `Root`-Blöcke von Disketten,
  2416.                wodurch diese unlesbar werden und sämtliche Daten verloren
  2417.                gehen !
  2418. Anmerkung    : Das `DAT`89`-Virus kann nur durch einen Reset komplett gelöscht
  2419.                werden !
  2420.                Es steht immer ab $7F800 im Speicher und funktioniert nur noch
  2421.                unter `KickStart 1.2` !
  2422.  
  2423.  
  2424.  
  2425. Name         : `Destructor V1.2`
  2426.  
  2427. Resetvektoren: `ColdCapture`
  2428. Vektoren für
  2429. Vermehrung   : keine.
  2430. Schäden      : Dieses Virus überschreibt nach dem ersten Reset jeden vierten
  2431.                Track und zerstörten so Disketten !
  2432. Anmerkung    : Das `Destructor V1.2`-Virus kann sich selbst nicht
  2433.                weiterkopieren.
  2434.                
  2435.  
  2436.  
  2437.  
  2438. Name         : `Digital Emotions`
  2439.  
  2440. Resetvektoren: `CoolCapture`
  2441. Vektoren für
  2442. Vermehrung   : `CoolCapture`
  2443. Schäden      : Dieses `Bootblock`-Virus überschreibt manchmal Track 0 mit
  2444.                dem Wort `Virus` und kann so `Read/Write Errors` verursachen.
  2445. Anmerkung    : keine.
  2446.  
  2447.  
  2448.  
  2449.  
  2450. Name         : `Disk-Doktors`
  2451.  
  2452. Resetvektoren: `ColdCapture`
  2453.                `CoolCapture`
  2454.                `WarmCapture`
  2455. Vektoren für
  2456. Vermehrung   : `ColdCapture`
  2457.                `CoolCapture`
  2458.                `WarmCapture`
  2459.                `DoIO`
  2460. Schäden      : Dieses `Bootblock`-Virus kopiert manchmal einige Daten aus
  2461.                der `ExecBase`-Struktur in den Speicher und verschwendet so
  2462.                sinnlos Speicherkapazität !
  2463.                Es zerstört nach einiger Zeit Disketten, indem es den
  2464.                `Rootblock` ( Zylinder 40 ) formatiert !
  2465. Anmerkung    : Dieses `Bootblock`-Virus kann von `AntiCicloVir V1.5` nicht
  2466.                gelöscht werden, weshalb es sich empfiehlt den Rechner komplett
  2467.                abzuschalten !
  2468.                Das `Disk-Doktors`-Virus gehört zu einer ganz neuen Generation
  2469.                von `Bootblock`-Viren !
  2470.                Die `Capture`-Vektoren zeigen auf Adressen im Speicher, die
  2471.                nicht identisch sind mit der Adresse des Maschinensprachekodex
  2472.                , welcher an viel höherer Stelle im Speicher steht !
  2473.                Das `Disk-Doktors`-Virus funktioniert nur unter `KickStart 1.2`.
  2474.  
  2475.  
  2476. Name         : `Disk-Herpes`
  2477.  
  2478. Resetvektoren: `CoolCapture`
  2479. Vektoren für
  2480. Vermehrung   : `CoolCapture`
  2481. Schäden      : Das `Disk-Herpes`-Virus überschreibt manchmal den `Root`-Block
  2482.                mit dem Speicherinhalt ab $60000 und kann dadurch ganze 
  2483.                Disketten zerstören !
  2484. Anmerkung    : Das `Disk-Herpes`-Virus steht immer ab $7EC00 im Speicher !
  2485.                Viele bekannte Viruskiller verwechseln `Disk-Herpes` übrigens
  2486.                im Speicher und im `Bootblock` mit dem `Phantasnumble`-Virus !
  2487.  
  2488.  
  2489.  
  2490.  
  2491. Name         : `Diskguard V1.0`
  2492.  
  2493. Resetvektoren: `CoolCapture`
  2494. Vektoren für
  2495. Vermehrung   : `CoolCapture`
  2496.                 ???
  2497. Schäden      : Dieses Programm ist ein `Bootblock`-Viruskiller und kopiert sich
  2498.                selbst nach Abfrage auf `non-standard` Bootblöcke !
  2499. Anmerkung    : keine.
  2500.  
  2501.  
  2502.  
  2503. Name         : `Divina Exterminator I`
  2504.  
  2505. Resetvektoren: `CoolCapture`
  2506. Vektoren für
  2507. Vermehrung   : `CoolCapture`
  2508.                `DoIO`
  2509. Schäden      : Nach drei Vermehrungen wird die `K`-Taste abgefragt und bis
  2510.                zur zehnten in einer Zählstelle abgelegt.
  2511.                Danach wird in die Adresse der `ExecBase`-Struktur eine Null
  2512.                geschrieben, was einige Zeit darauf zu einem Systemabsturz
  2513.                führen dürfte !
  2514. Anmerkung    : Dieses Virus überschreibt die `SetPatch`-Liste ab $C0, was
  2515.                für `KickStart V1.3`-Benutzer wichtig sein dürfte.
  2516.                Es ist außerdem in der Lage den Original-`Bootblock` vorzu-
  2517.                täuschen !!!
  2518.                Dieses Virus kann von `AntiCicloVir` nicht komplett gelöscht
  2519.                werden, weshalb ein Reset nötig ist.
  2520.  
  2521.  
  2522.  
  2523. Name         : `Dotty`
  2524.  
  2525. Resetvektoren: `KickTagPtr`
  2526.                `KickCheckSum`
  2527. Vektoren für
  2528. Vermehrung   : `KickTagPtr`
  2529.                `KickCheckSum`
  2530. Schäden      : Dieses Virus soll die `PRIVAT - intuition -struktur` erweitern.
  2531. Anmerkung    : keine.
  2532.  
  2533.  
  2534.  
  2535.  
  2536. Name         : `DUMDUM`
  2537.  
  2538. Resetvektoren: `CoolCapture`
  2539. Vektoren für
  2540. Vermehrung   : `CoolCapture`
  2541.                `DoIO`
  2542. Schäden      : Mit diesem `Bootblock`-Virus können Sie Ihre Disketten
  2543.                formatieren !!!
  2544. Anmerkung    : Auch dieses Virus kann von `AntiCicloVir` nicht komplett
  2545.                gelöscht werden.
  2546.                Um eine Routine, die die Vektoren ständig neu setzt nieder zu
  2547.                halten, wird eine eigene Interrupt-Struktur installiert.
  2548.                Um das Virus zu entfernen, ist aber ein Reset unabdingbar !!!
  2549.  
  2550.  
  2551.  
  2552.            
  2553. Name         : `Extreme`
  2554.  
  2555. Resetvektoren: `KickTagPtr`
  2556.                `KickCheckSum`
  2557. Vektoren für
  2558. Vermehrung   : `KickTagPtr`
  2559.                `KickCheckSum`
  2560.                `DoIO`
  2561. Schäden      :Dieses Virus tarnt sich als Viruskiller und löscht Viren von
  2562.               allen Disketten indem es sie zerstört ! (Auch `ne Möglichkeit
  2563.               Viren loszuwerden ...)
  2564. Anmerkung    : Das `Extreme`-Virus steht gleichzeitig ab $ 7F800 und ab
  2565.                $ FF800 im Speicher !
  2566.                Das einmalige Rücksetzen der `Kick`-Vektoren nützt bei diesem
  2567.                Virus nicht, da der `KickTagPtr` vom Rasterstrahl-Interrupt
  2568.                überwacht und nach jedem Löschversuch sofort wieder neu
  2569.                gesetzt wird.
  2570.                `AntiCicloVir` kann allerdings die `KickCheckSum` löschen,
  2571.                da diese vom Virus wohl nicht überwacht wird.
  2572.                Sie sollten anschließend einen Reset ausführen, damit die
  2573.                Resident-Struktur zerstört wird.
  2574.                Beim zweiten Starten von `AntiCicloVir` werden Sie feststellen,
  2575.                daß der `KickTagPtr` noch gesetzt ist.
  2576.                Dieser kann nun vom Linkviruskiller direkt gelöscht werden !
  2577.                Führen Sie nun einen zweiten Reset aus, damit das Virus end-
  2578.                gültig gelöscht ist !
  2579.  
  2580.  
  2581.  
  2582.  
  2583. Name         : `F.A.S.T.`
  2584.  
  2585. Resetvektoren: `CoolCapture`
  2586. Vektoren für
  2587. Vermehrung   : `CoolCapture`
  2588.                `DoIO`
  2589. Schäden      : Mir sind keine Schäden bekannt.
  2590. Anmerkung    : Dieses Virus stammt von der `Federation against Software-
  2591.                Piracy` und ist offenbar wohl nur gegen Raubkopierer gerichtet.
  2592.                Jedenfalls hat es sich auf meinen Disketten ( `Workbench-
  2593.                Diskette` ) nicht weiter kopieren können !
  2594.                Dieses Virus verbiegt auch noch den Einsprungsvektor zur 
  2595.                `FreeMem`-Routine !
  2596.                `AntiCicloVir` kann es nicht komplett aus dem Speicher löschen,
  2597.                 weshalb unbedingt ein Reset ausgeführt werden muß !!!
  2598.  
  2599.  
  2600.  
  2601.  
  2602. Name         : `F.I.C.A.`
  2603.  
  2604. Resetvektoren: `KickTagPtr`
  2605.                `KickCheckSum`
  2606. Vektoren für
  2607. Vermehrung   : `KickTagPtr`
  2608.                `KickCheckSum`
  2609.                `BeginIO`
  2610. Schäden      : ... wohl keine, da es `nur` gegen `QUARTEX` und nicht gegen
  2611.                uns Anwender gerichtet ist !
  2612. Anmerkung    : Dieses `Bootblock`-Virus ist übrigens auch in der Lage auf den
  2613.                Disketten einen `Standard Bootblock` vorzutäuschen, wenn es
  2614.                im Speicher steht.
  2615.                Auch das `F.I.C.A.`-Virus kann, nachdem es `AntiCicloVir`
  2616.                erkannt hat, nur durch einen Reset aus dem Speicher entfernt
  2617.                werden !
  2618.  
  2619.  
  2620.  
  2621.  
  2622. Name         : `Forpib`
  2623.  
  2624. Resetvektoren: `KickTagPtr`
  2625.                `KickCheckSum`
  2626. Vektoren für
  2627. Vermehrung   : `KickTagPtr`
  2628.                `KickCheckSum`
  2629.                `BeginIO`
  2630. Schäden      : Mir sind keine bekannt.
  2631. Anmerkung    : Bei diesem Virus handelt es sich um eine Mutation des
  2632.                `Byte Bandit`-Viruses und es wird auch genauso wie dieses
  2633.                gelöscht !
  2634.  
  2635.  
  2636.  
  2637. Name         : `Frity`
  2638.  
  2639. Resetvektoren: `KickTagPtr`
  2640.                `KickCheckSum`
  2641. Vektoren für
  2642. Vermehrung   : `KickTagPtr`
  2643.                `KickCheckSum`
  2644.                `BeginIO`
  2645. Schäden      : Mir sind keine bekannt.
  2646. Anmerkung    : Genauso wie `Forpib`, bloß anderer Name.
  2647.  
  2648.  
  2649.  
  2650.  
  2651.    
  2652. Name         : `Gadaffi`
  2653.  
  2654. Resetvektoren: `CoolCapture`
  2655.                `KickTagPtr`
  2656.                `KickCheckSum`
  2657. Vektoren für
  2658. Vermehrung   : `CoolCapture`
  2659.                `KickTagPtr`
  2660.                `KickCheckSum`
  2661.                `DoIO`
  2662. Schäden      : `foltert` und `quält` Ihr Laufwerk ... ich hatte an meinem
  2663.                internen Laufwerk schon `mal Hardware-Schäden gehabt !
  2664. Anmerkung    : Auch dieses `Bootblock`-Virus kann von `AntiCicloVir V1.5`
  2665.                nicht vollständig gelöscht werden !
  2666.                Damit ein unbekanntes Interrupt-Programm die Reset-Vektoren
  2667.                des Viruses nicht ständig neu setzt, startet `AntiCicloVir`
  2668.                einen eigenen Interrupt, der den Interrupt-Vektor 3 benutzt !
  2669.                Anschließend sollte ein Reset ausgeführt werden, damit das
  2670.                Virus gelöscht werden kann !
  2671.                Wegen einer festen Rücksprungadresse aus der `DoIO`-Routine
  2672.                zum ROM funktioniert dieses Virus nur unter `KickStart 1.2` !
  2673.  
  2674.  
  2675.  
  2676.  
  2677. Name         : `Glasnost`
  2678.  
  2679. Resetvektoren: `KickTagPtr`
  2680.                `KickCheckSum`
  2681. Vektoren für
  2682. Vermehrung   : `KickTagPtr`
  2683.                `KickCheckSum`
  2684.                `DoIO` ???
  2685. Schäden      : Das `Glasnost`-Virus blockiert nach 15 bis 20 Minuten den
  2686.                Amiga und schreibt einen 4(!) Block großen `Bootblock` !
  2687.                Dabei werden Programme, die in Block 2 & 3 abgespeichert
  2688.                worden sind, zerstört !!!
  2689.                Danach sucht sich das Virus einen Datenblock von der Diskette
  2690.                aus und schreibt in diesen vier Langworte.
  2691.                Programme, in denen ein solcher Datenblock enthalten war, werden
  2692.                zerstört !!!
  2693. Anmerkung    : Da ich das `Glasnost`-Virus bisher noch nicht testen konnte,
  2694.                kann `AntiCicloVir` es nur im Speicher anzeigen, aber nicht
  2695.                löschen !
  2696.  
  2697.  
  2698.  
  2699.  
  2700. Name         : `Graffiti`
  2701.  
  2702. Resetvektoren: `CoolCapture`
  2703. Vektoren für
  2704. Vermehrung   : `CoolCapture`
  2705. Schäden      : keine.
  2706. Anmerkung    : Dieses Virus soll 3D-Grafiken erzeugen können.
  2707.                `VirusX 4.00` verwechselt es im Speicher mit dem `16 BIT-Crew`-
  2708.                Virus !
  2709.  
  2710.  
  2711. Name         : `Gremlin`
  2712.  
  2713. Resetvektoren: `CoolCapture`
  2714. Vektoren für
  2715. Vermehrung   : `CoolCapture`
  2716. Schäden      : keine.
  2717. Anmerkung    : Dieses Virus verändert auch noch den Vektor der `SumKickData`-
  2718.                Routine !
  2719.                Vielleicht sollten Sie bei diesem Virus lieber auch einen
  2720.                Reset ausführen !?!?
  2721.  
  2722.  
  2723.  
  2724. Name         : `GX.Team`
  2725.  
  2726. Resetvektoren: `CoolCapture`
  2727.                `KickTagPtr`
  2728.                `KickCheckSum`
  2729. Vektoren für
  2730. Vermehrung   : `CoolCapture`
  2731.                `KickTagPtr`
  2732.                `KickCheckSum`
  2733.                `DoIO`
  2734. Schäden      : Richtet keine Schäden an.
  2735. Anmerkung    : Dieses Virus funktioniert, wegen eines direkten ROM-Einsprunges
  2736.                in die `DoIO`-Routine, nur noch unter `KickStart V1.2` !
  2737.                Eine virus-eigene Struktur überwacht ständig die Vektoren,
  2738.                wodurch ein einmaliges Löschen sinnlos ist.
  2739.                Deshalb installiert `AntiCicloVir` eine eigene Interrupt-
  2740.                Struktur und gibt eine Reset-Empfehlung aus !
  2741.  
  2742.  
  2743.  
  2744.  
  2745. Name         : `H.C.S.`
  2746.  
  2747. Resetvektoren: `CoolCapture`
  2748. Vektoren für
  2749. Vermehrung   : `CoolCapture`
  2750. Schäden      : keine
  2751. Anmerkung    : Dieses Virus fällt durch das ständige und nervige Geblinke
  2752.                der `Power`-LED auf. `AntiCicloVir V1.5` löscht auch diese
  2753.                Routine !
  2754.  
  2755.  
  2756.  
  2757. Name         : `H.C.S. II`
  2758.  
  2759. Resetvektoren: `CoolCapture`
  2760. Vektoren für
  2761. Vermehrung   : `CoolCapture`
  2762. Schäden      : keine.
  2763. Anmerkung    : Dieses Virus soll so eine Art `Antivirus` sein und erkennt
  2764.                einige andere `Bootblock`-Viren: `SCA`,`Byte Warrior`,`North
  2765.                Star I+II`,`SYSTEMZ`,`BlizzPro`, etc ...
  2766.                Außer daß die `Power-LED` nun schneller blinkt und evtl.
  2767.                einige `Bootblock`-Viren mehr erkannt werden, hat sich sonst
  2768.                nicht viel geändert.
  2769.                Wenn `AntiCicloVir` versucht die `Power-LED` wieder normal
  2770.                einzuschalten, dann kann dies mit einiger Verzögerung ein-
  2771.                treten.
  2772.  
  2773.  
  2774.  
  2775. Name         : `Hilly`
  2776.  
  2777. Resetvektoren: `KickTagPtr`
  2778.                `KickCheckSum`
  2779. Vektoren für
  2780. Vermehrung   : `KickTagPtr`
  2781.                `KickCheckSum`
  2782. Schäden      : mögliche Schreibzugriffe auf die Festplatte ???
  2783. Anmerkung    : Dieses Virus funktioniert, wegen eines direkten ROM-Einsprunges
  2784.                in die `DoIO`-Routine, nur noch unter `KickStart V1.2` !
  2785.                Das `Hilly`-Virus sucht auch nach bestimmten `KickStart`-
  2786.                Versionen und installiert sich nicht, falls diese vorhanden
  2787.                sind.
  2788.  
  2789.  
  2790.  
  2791.  
  2792. Name         : `HODEN V33.17`
  2793.  
  2794. Resetvektoren: `KickTagPtr`
  2795.                `KickCheckSum`
  2796. Vektoren für
  2797. Vermehrung   : `KickTagPtr`
  2798.                `KickCheckSum`
  2799.                `DoIO`
  2800. Schäden      : keine.
  2801. Anmerkung    : Auch dieses Virus funktioniert, wegen eines direkten Einsprunges
  2802.                in die `DoIO`-Routine, nur noch unter `KickStart V1.2` !
  2803.                `AntiCicloVir` kann nur die `Kick`-Vektoren löschen.
  2804.                Um das `HODEN V33.17`-Virus komplett aus dem Speicher zu
  2805.                entfernen, führen Sie bitte einen Reset aus !
  2806.  
  2807.  
  2808.  
  2809.  
  2810. Name         : `ICE`
  2811.  
  2812. Resetvektoren: `CoolCapture`
  2813. Vektoren für
  2814. Vermehrung   : `CoolCapture`
  2815. Schäden      : keine.
  2816. Anmerkung    : Bei diesem `SCA`-Mutanten wurde nur der ASCII-Text
  2817.                ausgewechselt.
  2818.  
  2819.  
  2820.  
  2821.  
  2822. Name         : `Incognito`
  2823.  
  2824. Resetvektoren: `KickMemPtr`
  2825.                `KickTagPtr`
  2826.                `KickCheckSum`
  2827. Vektoren für
  2828. Vermehrung   : `KickMemPtr`
  2829.                `KickTagPtr`
  2830.                `KickCheckSum`
  2831.                `DoIO`
  2832. Schäden      : keine.
  2833. Anmerkung    : Das `Incognito`-Virus funktioniert, wegen eines direkten Ein-
  2834.                sprunges in die `DoIO`-Routine, nur noch unter `KickStart V1.2`.
  2835.                Dieses Virus soll am Ende des `Bootblockes` Tabellen
  2836.                abspeichern, die sich je nach Speicherlage und Konfiguration
  2837.                des Amigas ändern.
  2838.                Wenn das Virus `gebootet` wird, werden die Tabellen erneuert.
  2839.                Bei meinem Amiga hat sich das `Incognito`-Virus nicht weiter-
  2840.                kopiert.
  2841.                `AntiCicloVir V1.5` kann dieses Virus nur anzeigen, es aber
  2842.                nicht löschen !
  2843.                Die Versionen 1.0 - 1.2 von `AntiCicloVir` verwechseln es mit
  2844.                den Viren der Gruppe `BGS9 I/II/Terrorists` !
  2845.  
  2846.  
  2847.  
  2848.  
  2849. Name         : `Inger IQ`
  2850.  
  2851. Resetvektoren: `KickTagPtr`
  2852.                `KickCheckSum`
  2853. Vektoren für
  2854. Vermehrung   : `KickTagPtr`
  2855.                `KickCheckSum`
  2856.                `BeginIO`
  2857. Schäden      : Mir sind keine bekannt.
  2858. Anmerkung    : Bei diesem `Byte Bandit`-Mutanten wurde nur der Text geändert.
  2859.                Er wird genauso gelöscht wie `Byte Bandit` selbst !
  2860.  
  2861.  
  2862.  
  2863.  
  2864. Name         : `JITR`
  2865.  
  2866. Resetvektoren: `CoolCapture`
  2867. Vektoren für
  2868. Vermehrung   : `CoolCapture`
  2869.                `DoIO`
  2870. Schäden      : keine.
  2871. Anmerkung    : Dieses Virus wird von `AntiCicloVir` nicht komplett gelöscht,
  2872.                weshalb ein Reset nötig ist.
  2873.  
  2874.  
  2875.  
  2876.  
  2877. Name         : `Joshua`
  2878.  
  2879. Resetvektoren: `KickMemPtr`
  2880.                `KickTagPtr`
  2881.                `KickCheckSum`
  2882. Vektoren für
  2883. Vermehrung   : `KickMemPtr`
  2884.                `KickTagPtr`
  2885.                `KickCheckSum`
  2886.                `BeginIO`
  2887. Schäden      : keine Schäden.
  2888. Anmerkung    : Dieses Virus erzeugt über eine Grafik-Routine einen senkrecht
  2889.                stehenden Text.
  2890.                `AntiCicloVir` kann es nicht ganz aus dem Speicher entfernen !
  2891.                ( Reset )
  2892.                ACHTUNG !!!
  2893.                Die Versionen 1.0 - 1.2 von `AntiCicloVir` verwechseln das
  2894.                `Joshua`-Virus mit den Viren der Gruppe `BGS 9 I/II/Terrorists`!
  2895.  
  2896.  
  2897.  
  2898.  
  2899. Name         : `Joshua 2`
  2900.  
  2901. Resetvektoren: `ColdCapture`
  2902. Vektoren für
  2903. Vermehrung   : `ColdCapture`
  2904.                `BeginIO`
  2905. Schäden      : keine Schäden.
  2906. Anmerkung    : Dieses Virus kann von `AntiCicloVir` im Speicher nur angezeigt
  2907.                werden !
  2908.                Schalten Sie also den Amiga entweder ab oder benutzen Sie einen
  2909.                anderen Viruskiller !
  2910.  
  2911.  
  2912.  
  2913. Name         : `Julie`
  2914.  
  2915. Resetvektoren: `CoolCapture`
  2916. Vektoren für
  2917. Vermehrung   : `CoolCapture`
  2918.                `BeginIO`
  2919.                `DoIO`
  2920. Schäden      : keine.
  2921. Anmerkung    : Das `Julie`-Virus kann von `AntiCicloVir` nur angezeigt, dafür
  2922.                aber nicht gelöscht werden !
  2923.  
  2924.  
  2925.  
  2926.  
  2927. Name         : `Kauki`
  2928.  
  2929. Resetvektoren: `CoolCapture`
  2930. Vektoren für
  2931. Vermehrung   : `CoolCapture`
  2932. Schäden      : keine.
  2933. Anmerkung    : Dieses Virus erzeugt beim `Booten` ein `Chopper-Intro`.
  2934.  
  2935.  
  2936.  
  2937.  
  2938. Name         : `Kefrens`
  2939.  
  2940. Resetvektoren: `CoolCapture`
  2941. Vektoren für
  2942. Vermehrung   : `CoolCapture`
  2943. Schäden      : keine.
  2944. Anmerkung    : Bei diesem `SCA`-Mutanten wurde nur der ASCII-Text ausgetauscht.
  2945.  
  2946.  
  2947.  
  2948. Name         : `L.A.D.S`
  2949. Resetvektoren: `KickTagPtr`
  2950.                `KickCheckSum`
  2951. Vektoren für
  2952. Vermehrung   : `KickTagPtr`
  2953.                `KickCheckSum`
  2954.                `DoIO`
  2955. Schäden      : keine.
  2956. Anmerkung    : Dieses Programm tarnt sich selbst als `virus-hunter`, obwohl
  2957.                es selbst ein Virus ist !
  2958.                Beim `Booten` gibt es einen `Alert` aus :
  2959.                `            L.A.D.S virus hunter
  2960.  
  2961.                                no virus in memory
  2962.  
  2963.                              Press any mousebutton    `
  2964.                Tatsächlich findet jedoch kein Virus-Test statt !!!
  2965.                Dafür kopiert sich aber nun `L.A.D.S` selbst als Virus
  2966.                weiter !
  2967.                `AntiCicloVir` kann es nicht komplett aus dem Speicher löschen.
  2968.                Deshalb also -> Reset !
  2969.  
  2970.  
  2971.  
  2972.  
  2973. Name         : `LAMER Exterminator (alt)`
  2974.  
  2975. Resetvektoren: `KickTagPtr`
  2976.                `KickCheckSum`
  2977. Vektoren für
  2978. Vermehrung   : `KickTagPtr`
  2979.                `KickCheckSum`
  2980.                `BeginIO`
  2981. Schäden      : Das  alte `LAMER Exterminator`-Virus beginnt nach einigen
  2982.                `Rebootes` damit, in einige Datenblöcke das Wort `Lamer` zu
  2983.                 schreiben, wodurch `read/write errors` entstehen.
  2984. Anmerkung    : Das alte `LAMER Exterminator`-Virus kann von `AntiCicloVir`
  2985.                nicht zu 100 % gelöscht werden.
  2986.                Es werden nur die Resident-Vektoren zurückgesetzt, wodurch
  2987.                das Virus nach einem Reset gelöscht wird !
  2988.                Führen Sie also einen Reset aus !!!
  2989.                Dieses Virus wurde beim Testen übrigens NICHT von `VirusX 4.00`
  2990.                im Speicher erkannt !
  2991.  
  2992.                Grundsätzliches über `LAMER`-Exterminator-Viren:
  2993.  
  2994.                Bevor ich die nächsten `LAMER Exterminator`-Viren dokumentiere,
  2995.                möchte ich noch auf einige Fakten hinweisen, die für alle
  2996.                `LAMER Exterminator`-Viren gelten !
  2997.                Um den `Sinn` der `LAMER Exterminations` zu verstehen, sollten
  2998.                Sie das Kapitel `Revenge Of The LAMER Exterminator` aus dem
  2999.                `Anhang A` lesen !
  3000.                Die `LAMER Exterminator`-Viren waren die ersten auf dem Amiga,
  3001.                die die Gefahren eines unzulässigen Virenschutzes am
  3002.                anschaulichsten darstellten ...
  3003.                Sie sind praktisch jedem Amiga-Besitzer bekannt !
  3004.                Auf infizierten Disketten erzeugen sie oft `key checksum
  3005.                errors`. Stehen sie erst einmal im Speicher, dann sind sie auch
  3006.                in der Lage, auf infizierten Disketten Standard-`Bootblöcke`
  3007.                vorzutäuschen.
  3008.                Außerdem wechseln sie ständig ihr Aussehen, so daß sie in jedem
  3009.                `Bootblock` anders erscheinen, was mit der Verschlüsselungs-
  3010.                routine bewirkt wird.
  3011.  
  3012.  
  3013.  
  3014.  
  3015. Name         : `LAMER Exterminator I`
  3016.  
  3017. Resetvektoren: `KickTagPtr`
  3018.                `KickCheckSum`               
  3019. Vektoren für
  3020. Vermehrung   : `KickTagPtr`
  3021.                `KickCheckSum`
  3022.                `BeginIO`
  3023. Schäden      : Das `LAMER Exterminator`-Virus I zerstört einzelne Datenblöcke,
  3024.                indem es sie mit dem Wort `LAMER` überschreibt !
  3025. Anmerkung    : Weiteres können Sie unter `LAMER Exterminator (alt)` lesen !
  3026.                Dieses Virus wurde von `VirusX 4.00` ebenfalls nicht im
  3027.                Speicher erkannt !
  3028.  
  3029.  
  3030.  
  3031.       
  3032. Name         : `LAMER Exterminator II`
  3033.  
  3034. Resetvektoren: `KickTagPtr`
  3035.                `KickCheckSum`
  3036. Vektoren für
  3037. Vermehrung   : `KickTagPtr`
  3038.                `KickCheckSum`
  3039.                `BeginIO`
  3040. Schäden      : Dieses Virus zerstört ebenfalls Disketten, indem es das Wort
  3041.                `LAMER` in einige Datenblöcke schreibt und dadurch `read/write
  3042.                errors` hervorruft !
  3043. Anmerkung    : Beim Testen mit `VirusX 4.00` wurde dieses Virus ebenfalls nicht
  3044.                erkannt !
  3045.                Weiteres können Sie unter `LAMER Exterminator (alt)` lesen.
  3046.  
  3047.  
  3048.  
  3049.  
  3050.  
  3051. Name         : `LAMER Exterminator III`
  3052.  
  3053. Resetvektoren: `KickTagPtr`
  3054.                `KickCheckSum`
  3055. Vektoren für
  3056. Vermehrung   : `KickTagPtr`
  3057.                `KickCheckSum`
  3058.                `BeginIO`
  3059. Schäden      : Das Virus `LAMER Exterminator III` verschiebt den Original-
  3060.                `Bootblock` in die Blöcke 2 & 3 und kann dadurch ein Programm,
  3061.                welches aus diesen Datenblöcken bestand, zerstören.
  3062.                Beim `Booten` startet das Virus anschließend den echten
  3063.                `Bootblock` und versucht so, eine `saubere` Disk vorzutäuschen.
  3064. Anmerkung    : `AntiCicloVir` kann leider das alte `LAMER Exterminator`- und
  3065.                das `LAMER Exterminator`-Virus III nicht auseinanderhalten !
  3066.                Das `LAMER Exterminator`-Virus III wurde von `VirusX 4.00` nicht
  3067.                erkannt !
  3068.                Weiteres können Sie unter `LAMER Exterminator (alt)` lesen.
  3069.          
  3070.  
  3071.  
  3072.  
  3073. Name         : `LAMER Exterminator IV`
  3074.  
  3075. Resetvektoren: `KickTagPtr`
  3076.                `KickCheckSum`
  3077. Vektoren für
  3078. Vermehrung   : `KickTagPtr`
  3079.                `KickCheckSum`
  3080.                `BeginIO`
  3081. Schäden      : Das `LAMER Exterminator`-Virus IV überschreibt einen Datenblock
  3082.                85 * mit dem Wort `LAMER` und zerstört so Programme !
  3083. Anmerkung    : Weiteres zu den `LAMER Exterminator`-Viren können Sie auch
  3084.                unter `LAMER Exterminator (alt)` lesen !
  3085.                Dieses Virus wurde zwar von `VirusX 4.00` im Speicher als
  3086.                `LAMER Exterminator` erkannt, doch kam es leider zu einem
  3087.                `Address Error` (GURU) !
  3088.  
  3089.  
  3090.  
  3091. Name         : `LAMER Exterminator V`
  3092.  
  3093. Resetvektoren: `KickTagPtr`
  3094.                `KickCheckSum`
  3095. Vektoren für
  3096. Vermehrung   : `KickTagPtr`
  3097.                `KickCheckSum`
  3098.                `BeginIO`
  3099. Schäden      : Auch dieses Virus überschreibt einen Datenblock 85 * mit dem
  3100.                Wort `LAMER` und richtet damit ähnliche Schäden an, wie
  3101.                `LAMER Exterminator IV` !
  3102. Anmerkung    : Weitere Informationen über die `LAMER Exterminator`-Viren
  3103.                erhalten Sie auch unter `LAMER Exterminator (alt)` !
  3104.                Dieses Virus wurde von `VirusX 4.00` nicht erkannt.
  3105.                `AntiCicloVir` kann leider die `LAMER Exterminator`-Viren IV & V
  3106.                im Speicher nicht voneinander unterscheiden !
  3107.  
  3108.  
  3109.  
  3110.  
  3111. Name         : `LAMER Exterminator VI`
  3112.  
  3113. Resetvektoren: `KickTagPtr`
  3114.                `KickCheckSum`
  3115. Vektoren für
  3116. Vermehrung   : `KickTagPtr`
  3117.                `KickCheckSum`
  3118.                `BeginIO`
  3119. Schäden      : Auch das `LAMER Exterminator`-Virus VI schreibt 85 * das Wort
  3120.                `LAMER` in einen Datenblock ...
  3121. Anmerkung    : Mehr zum Thema `LAMER Exterminator` finden Sie unter `LAMER
  3122.                Exterminator (alt)` in diesem Anhang !
  3123.                Das `LAMER Exterminator`-Virus VI überwacht auch noch die
  3124.                Vektoren `ColdCapture` und `CoolCapture`.
  3125.                `VirusX 4.00` hatte beim Testen dieses Virus mit `Lamer II`
  3126.                verwechselt !
  3127.  
  3128.  
  3129.  
  3130.  
  3131. Name         : `LAMER Exterminator VIII`
  3132.  
  3133. Resetvektoren: `KickTagPtr`
  3134.                `KickCheckSum`
  3135. Vektoren für
  3136. Vermehrung   : `KickTagPtr`
  3137.                `KickCheckSum`
  3138.                `BeginIO`
  3139. Schäden      : Dieses Virus beinhaltet eine Formatierungsroutine für alle
  3140.                Laufwerke und kann so gleich mehrere Disketten zerstören ...
  3141. Anmerkung    : Auch an dieser Stelle möchte ich noch einmal auf `LAMER
  3142.                Exterminator (alt)` verweisen !
  3143.                Dieses Virus wird natürlich erst recht nicht von `VirusX 4.00`
  3144.                erkannt !
  3145.  
  3146.  
  3147.  
  3148.  
  3149. Name         : `Loverboy & Sexmachine`
  3150.  
  3151. Resetvektoren: `CoolCapture`
  3152. Vektoren für
  3153. Vermehrung   : `CoolCapture`
  3154. Schäden      : keine.
  3155. Anmerkung    : Bei diesem `16 Bit-Crew`-Mutanten wurde nur der ASCII-Text aus-
  3156.                getauscht !
  3157.  
  3158.  
  3159.  
  3160.               
  3161. Name         : `LSD`
  3162.  
  3163. Resetvektoren: `CoolCapture`
  3164. Vektoren für
  3165. Vermehrung   : `CoolCapture`
  3166. Schäden      : keine
  3167. Anmerkung    : Ein weiterer `SCA`-Mutant bei dem nur der Text geändert wurde .
  3168.  
  3169.  
  3170.  
  3171. Name         : `MAD`
  3172.  
  3173. Resetvektoren: keine
  3174. Vektoren für
  3175. Vermehrung   : `BeginIO`
  3176. Schäden      : mir sind keine bekannt ...
  3177. Anmerkung    : Bei diesem Virus handelt es sich um eine Mutation des
  3178.                `Byte Bandit`-Virus !
  3179.                Außer das der Text geändert wurde, ist dieses Virus nun auch
  3180.                nicht mehr resetfest.
  3181.                Sie sollten es also durch einen Reset löschen, denn
  3182.                `AntiCicloVir` kann den `BeginIO`-Vektoren nicht zurücksetzen !
  3183.  
  3184.  
  3185.  
  3186. Name         : `MAD II`
  3187.  
  3188. Resetvektoren: `WarmCapture`
  3189.                `KickTagPtr`
  3190.                `KickCheckSum`
  3191. Vektoren für
  3192. Vermehrung   : `WarmCapture`
  3193.                `KickTagPtr`
  3194.                `KickCheckSum`
  3195.                `DoIO`
  3196. Schäden      : versucht Kurzschluß auszulösen, durch `patchen` des Wertes im
  3197.                Register für die Netzspannungs-Frequenz ( ExecBase ) ???
  3198. Anmerkung    : Auch dieses Virus kann von `AntiCicloVir` nicht vollständig
  3199.                gelöscht werden, weshalb ich einen Reset empfehle !
  3200.                Vorher wird ebenfalls eine eigene Interrupt-Struktur über
  3201.                den Interrupt-3-Vektoren installiert.
  3202.                Wegen einer festen Rücksprungadresse zum ROM aus der `DoIO`-
  3203.                Routine stürzt auch dieses `Bootblock`-Virus unter allen
  3204.                anderen `KickStart`s außer 1.2 ab !
  3205.  
  3206.  
  3207.  
  3208.  
  3209. Name         : `MEXX`
  3210.  
  3211. Resetvektoren: `CoolCapture`
  3212. Vektoren für
  3213. Vermehrung   : `CoolCapture`
  3214. Schäden      : keine.
  3215. Anmerkung    : Auch bei diesem `SCA`-Mutanten wurde nur der ASCII-Text
  3216.                geändert !
  3217.  
  3218.  
  3219.  
  3220.  
  3221. Name         : `MGM 89`
  3222.  
  3223. Resetvektoren: `CoolCapture`
  3224. Vektoren für
  3225. Vermehrung   : `CoolCapture`
  3226.                `DoIO`
  3227. Schäden      : keine.
  3228. Anmerkung    : keine.
  3229.  
  3230.  
  3231.  
  3232.  
  3233. Name         : `Microsystems`
  3234.  
  3235. Resetvektoren: `ColdCapture`
  3236.                `CoolCapture`
  3237. Vektoren für
  3238. Vermehrung   : `ColdCapture`
  3239.                `CoolCapture`
  3240. Schäden      : keine.
  3241. Anmerkung    : Im `Bootblock` hat dieses Virus ziemlich viel Ähnlichkeit mit
  3242.                einem `SCA`-Virus und besitzt sogar die selbe `Boot CheckSum` !
  3243.                Deshalb wird es von so manch einem Viruskiller mit dem `SCA`-
  3244.                Virus verwechselt !!!
  3245.                Aber es ist keines und funktioniert im Speicher auch ganz
  3246.                anders.! So holt es beispielsweise die Namen für Bibliotheks-
  3247.                aufrufe direkt aus dem ROM.
  3248.  
  3249.  
  3250.  
  3251.  
  3252. Name         : `Nasty-Nasty`
  3253.  
  3254. Resetvektoren: `CoolCapture`
  3255. Vektoren für
  3256. Vermehrung   : `CoolCapture`
  3257.                `DoIO`
  3258. Schäden      : Das `Nasty-Nasty`-Virus zerstört nach jeder fünften Kopie
  3259.                Disketten !
  3260. Anmerkung    : Wegen Direkteinsprünge in einige ROM-Routinen funktioniert es
  3261.                nur unter `KickStart V1.2` !
  3262.  
  3263.  
  3264.  
  3265.             
  3266. Name         : `North Star`
  3267.  
  3268. Resetvektoren: `CoolCapture`
  3269. Vektoren für
  3270. Vermehrung   : `CoolCapture`
  3271. Schäden      : keine.
  3272. Anmerkung    : keine.
  3273.  
  3274.  
  3275.  
  3276.  
  3277. Name         : `North Star II`
  3278.  
  3279. Resetvektoren: `CoolCapture`
  3280. Vektoren für
  3281. Vermehrung   : `CoolCapture`
  3282. Schäden      : keine.
  3283. Anmerkung    : keine.
  3284.  
  3285.  
  3286.  
  3287.  
  3288. Name         : `Obelisk`
  3289.  
  3290. Resetvektoren: `CoolCapture`
  3291. Vektoren für
  3292. Vermehrung   : `CoolCapture`
  3293. Schäden      : Das `Obelisk`-Virus schreibt manchmal das Wort `GURU` nach $60
  3294.                und zerstört dadurch den Ausnahmevektor, der in`s ROM
  3295.                ( IR-Ebene 7 ) weist !
  3296. Anmerkung    : Dieses Virus verrät sich sehr leicht durch ein eigenes `Boot-
  3297.                Intro` ( Deutschlandflagge + Schrift: `OBELISK SOFTWORKS CREW` )
  3298.                , welches es nach jedem Systemstart erzeugt !
  3299.  
  3300.  
  3301.  
  3302.  
  3303.  
  3304. Name         : `Obelisk 2`
  3305.  
  3306. Resetvektoren: `KickTagPtr`
  3307.                `KickCheckSum`
  3308. Vektoren für
  3309. Vermehrung   : `KickTagPtr`
  3310.                `KickCheckSum`
  3311.                `BeginIO`
  3312. Schäden      : Eigentlich keine.
  3313.                Allerdings ist das Virus in der Lage eine `Disk-Format`-Routine
  3314.                vorzutäuschen, bei der jedoch nichts zerstört wird !
  3315. Anmerkung    : `VirusX 4.00` zeigt zuerst das `Australian Parasite`-Virus im
  3316.                Speicher an und dann `Obelisk 2` !
  3317.  
  3318.  
  3319.  
  3320. Name         : `PARATAX`
  3321.  
  3322. Resetvektoren: `CoolCapture`
  3323. Vektoren für
  3324. Vermehrung   : `CoolCapture`
  3325. Schäden      : keine.
  3326. Anmerkung    : Hierbei handelt es sich wieder einmal um einen `SCA`-Mutanten
  3327.                mit geändertem ASCII-Text.
  3328.  
  3329.  
  3330.  
  3331.  
  3332. Name         : `PARATAX II`
  3333.  
  3334. Resetvektoren: `ColdCapture`
  3335.                `CoolCapture`
  3336. Vektoren für
  3337. Vermehrung   : `ColdCapture`
  3338.                `CoolCapture`
  3339.                `DoIO`
  3340. Schäden      : Aus `faulheitstechnischen Gründen` habe ich leider keine Lust
  3341.                alles noch einmal aufzuschreiben und verweise Sie deshalb zum
  3342.                `DiskDoktors`-Kapitel ...
  3343. Anmerkung    : Bei diesem Virus handelt es sich um eine Mutation des
  3344.                `DiskDoktors`-Virus, bei der hauptsächlich der ASCII-Text
  3345.                geändert wurde. Neu ist ansonsten noch, daß das Virus nun nicht
  3346.                mehr den "WarmCapture`-Vektoren benutzt !
  3347.  
  3348.  
  3349.  
  3350.  
  3351. Name         : `PARATAX III`
  3352.  
  3353. Resetvektoren: `CoolCapture`
  3354. Vektoren für
  3355. Vermehrung   : `CoolCapture`
  3356. Schäden      : keine.
  3357. Anmerkung    : Hier hat sich `mal wieder ein `Lamer` besonders viel Mühe
  3358.                gemacht und den `16 Bit-Crew`-Text gegen einen eigenen ausge-
  3359.                tauscht, sowie 50 (!) * in den `Bootblock` `PARATAX`
  3360.                geschrieben ... schön doof.
  3361.  
  3362.  
  3363.  
  3364. Name         : `Pentagon-Slayer`
  3365.  
  3366. Resetvektoren: `CoolCapture`
  3367. Vektoren für
  3368. Vermehrung   : `CoolCapture`
  3369. Schäden      : `killt` einige `Bootblock`-Viren.
  3370. Anmerkung    : keine.
  3371.  
  3372.  
  3373.  
  3374.  
  3375. Name         : `Pentagon-Slayer 2`
  3376.  
  3377. Resetvektoren: `CoolCapture`
  3378. Vektoren für
  3379. Vermehrung   : `CoolCapture`
  3380. Schäden      : erkennt und löscht einige bekannte `Bootblock`-Viren.
  3381. Anmerkung    : keine.
  3382.  
  3383.  
  3384.  
  3385.  
  3386. Name         : `Pentagon-Slayer 3`
  3387.  
  3388. Resetvektoren: `CoolCapture`
  3389. Vektoren für
  3390. Vermehrung   : `CoolCapture`
  3391. Schäden      : erkennt und löscht einige bekannte `Bootblock`-Viren
  3392. Anmerkung    : keine.
  3393.  
  3394.  
  3395.  
  3396.  
  3397. Name         : `Revenge`
  3398.  
  3399. Resetvektoren: `CoolCapture`
  3400. Vektoren für
  3401. Vermehrung   : `CoolCapture`
  3402.                `DoIO`
  3403. Schäden      : keine
  3404. Anmerkung    : Dieses `Bootblock`-Virus kann nicht komplett aus dem Speicher
  3405.                entfernt werden von `AntiCicloVir V1.5` !
  3406.                Führen Sie deshalb bitte einen Reset aus !
  3407.                Nach einiger Zeit verändert das Virus Ihren Mauszeiger in ...
  3408.                ( ach ja wie schrieb Steve Tibbett doch : `... brings up an
  3409.                 obscene pointer ...` )
  3410.                Das `Revenge`-Virus steht immer ab $7E000 im Speicher !
  3411.  
  3412.  
  3413.  
  3414. Name         : `Revenge Bootloader`
  3415.  
  3416. Resetvektoren: `KickTagPtr`
  3417.                `KickCheckSum`
  3418. Vektoren für
  3419. Vermehrung   : `KickTagPtr`
  3420.                `KickCheckSum`
  3421.                `BeginIO`
  3422. Schäden      : keine.
  3423. Anmerkung    : Es sind Ähnlichkeiten mit `Byte Bandit` vorhanden, die aber
  3424.                nicht auf eine Mutation, sondern wohl eher auf die selbe Quelle
  3425.                hindeuten !
  3426.  
  3427.  
  3428.       
  3429. Name         : `SACHSEN No. 1`
  3430.  
  3431. Resetvektoren: `CoolCapture`
  3432. Vektoren für
  3433. Vermehrung   : `CoolCapture`
  3434. Schäden      : keine.
  3435. Anmerkung    : keine.
  3436.  
  3437.  
  3438.  
  3439.  
  3440. Name         : `SADDAM HUSSEIN`
  3441.  
  3442. Resetvektoren: `KickTagPtr`
  3443.                `KickCheckSum`
  3444. Vektoren für
  3445. Vermehrung   : `KickTagPtr`
  3446.                `KickCheckSum`
  3447. Schäden      : keine.
  3448. Anmerkung    : Das `SADDAM HUSSEIN`-Virus versucht im `Bootblock` durch:
  3449.                `A2000 MB Memory Controller V2` zu täuschen !
  3450.                ( Siehe auch `Blow Job` ! )
  3451.  
  3452.  
  3453.  
  3454.  
  3455.  
  3456. Name         : `SCA`
  3457.  
  3458. Resetvektoren: `CoolCapture`
  3459. Vektoren für
  3460. Vermehrung   : `CoolCapture`
  3461. Schäden      : natürlich keine.
  3462. Anmerkung    : Das `SCA`-Virus war womöglich das erste Virus auf dem Amiga !
  3463.                Um so weniger verblüfft auch die Tatsache, daß ein gewisser 
  3464.                Prozentsatz aller Neuerscheinungen von `Bootblock`-Viren
  3465.                `SCA`-Mutanten sind !
  3466.  
  3467.  
  3468.  
  3469.  
  3470. Name         : `SCARFACE`
  3471.  
  3472. Resetvektoren: `KickTagPtr`
  3473.                `KickCheckSum`
  3474. Vektoren für
  3475. Vermehrung   : `KickTagPtr`
  3476.                `KickCheckSum`
  3477.                `BeginIO`
  3478. Schäden      : keine.
  3479. Anmerkung    : keine.
  3480.  
  3481.  
  3482.  
  3483.  
  3484. Name         : `Sendarion #1`
  3485.  
  3486. Resetvektoren: `CoolCapture`
  3487. Vektoren für
  3488. Vermehrung   : `CoolCapture`
  3489.                `DoIO`
  3490. Schäden      : keine.
  3491. Anmerkung    : Bei diesem Virus handelt es sich diesmal nicht um einen `SCA`-
  3492.                ,sondern `REVENGE`-Mutanten mit geändertem ASCII-Text ...
  3493.  
  3494.  
  3495.  
  3496.  
  3497. Name         : `Sherlock2.0`
  3498.  
  3499. Resetvektoren: `CoolCapture`
  3500. Vektoren für
  3501. Vermehrung   : `CoolCapture`
  3502.                `DoIO`
  3503. Schäden      : Das Antivirus `Sherlock2.0` überschreibt nach Abfrage `non-
  3504.                standard`-Bootblöcke und ist somit eigentlich kein Virus !
  3505. Anmerkung    : Dieses Programm ist ( so glaube ich ) das erste, das einen
  3506.                deutschsprachigen ASCII-Text im `Bootblock` beinhaltet.
  3507.  
  3508.  
  3509.  
  3510.  
  3511. Name         : `SS`
  3512.  
  3513. Resetvektoren: `CoolCapture`
  3514. Vektoren für
  3515. Vermehrung   : keine.
  3516. Schäden      : keine.
  3517. Anmerkung    : Dieses Virus soll nach einem Reset eine entsprechende Grafik-
  3518.                routine ausgeben, die aber wohl nicht unter `KickStart V1.2`,
  3519.                sondern erst ab 1.3, funktioniert.
  3520.                Außerdem werden noch die Interrupt-Vektoren `PORTS` und `VERTB`
  3521.                verbogen.
  3522.                Das `SS`-Virus kopiert sich nicht weiter.
  3523.                Dieses Virus kann nur durch einen Reset sicher gelöscht werden !
  3524.  
  3525.  
  3526.  
  3527.  
  3528. Name         : `SS II`
  3529.  
  3530. Resetvektoren: `CoolCapture`
  3531. Vektoren für
  3532. Vermehrung   : keine.
  3533. Schäden      : keine.
  3534. Anmerkung    : Dieses Computervirus funktioniert wohl so ähnlich, wie das erste
  3535.                `SS`-Virus und wird auch so gelöscht.
  3536.                Statt mit `!SS!` wurde dieser `Bootblock` nun mit `HEIL` ver-
  3537.                schlüsselt.
  3538.  
  3539.  
  3540.  
  3541.  
  3542. Name         : `Supply Team`
  3543.  
  3544. Resetvektoren: keine.
  3545. Vektoren für
  3546. Vermehrung   : keine.
  3547. Schäden      : keine
  3548. Anmerkung    : Dieses Programm ist eigentlich kein Computervirus !
  3549.                Es ist wohl mehr zum Löschen von Viren gedacht, kopiert sich
  3550.                nicht weiter und richtet auch keine Schäden an !
  3551.                Es verbiegt den `BeginIO`-Vektoren und überwacht einige Reset-
  3552.                vektoren ...
  3553.  
  3554.  
  3555.  
  3556.  
  3557. Name         : `Target`
  3558.  
  3559. Resetvektoren: `CoolCapture`
  3560. Vektoren für
  3561. Vermehrung   : `CoolCapture`
  3562. Schäden      : Das `Target`-Virus durchsucht ab Block 880 jede Diskette nach
  3563.                einer bestimmten Zeichenfolge ( Diskname ) und schreibt, falls
  3564.                es fündig geworden ist, ab Spur 80 Datenmüll auf die Diskette.
  3565. Anmerkung    : Das `Target`-Virus wird von `target.install ( Malta )` erzeugt.
  3566.  
  3567.  
  3568.  
  3569.  
  3570.  
  3571. Name         : `Telstar`
  3572.  
  3573. Resetvektoren: `ColdCapture`
  3574.                `CoolCapture`
  3575. Vektoren für
  3576. Vermehrung   : keine.
  3577. Schäden      : Der eigentliche Name von `Telstar` ist `Virusprotector 6.0` und
  3578.                es handelt sich bei diesem Programm um ein Antivirus, welches
  3579.                sich nicht weiter kopiert, sondern gegen einige `Bootblock`-
  3580.                Viren gerichtet ist: `SCA`, `Byte Warrior`, `DiskDoktors`,
  3581.                `LAMER Exterminator` etc ...
  3582. Anmerkung    : keine.
  3583.  
  3584.  
  3585.  
  3586.  
  3587. Name         : `Termigator`
  3588.  
  3589. Resetvektoren: `CoolCapture`
  3590. Vektoren für
  3591. Vermehrung   : `CoolCapture`
  3592.                `DoIO`
  3593. Schäden      : Das `Termigator`-Virus stört manchmal den `Boot`-Vorgang, indem
  3594.                es verschiedene `GURU-Meditationen` auslöst !
  3595.                Ob dies Absicht ist, ist mir nicht bekannt !
  3596. Anmerkung    : Das `Termigator`-Virus überwacht mit einer eigenen Struktur
  3597.                seine Vektoren, so daß einmaliges Löschen nutzlos ist !
  3598.                `AntiCicloVir` installiert eine eigene Interrupt-Struktur, die
  3599.                die Virus-Struktur niederhält und die Resetvektoren löscht !
  3600.                Damit das `Termigator`-Virus komplett gelöscht wird, müßen Sie
  3601.                einen Reset ausführen !
  3602.                Wegen absoluter Einsprünge in`s ROM, funktionert es nur unter
  3603.                `KickStart V1.2` !
  3604.  
  3605.  
  3606.  
  3607.  
  3608.  
  3609. Name         : `T.F.C. Revenge`
  3610.  
  3611. Resetvektoren: `KickTagPtr`
  3612.                `KickCheckSum`
  3613. Vektoren für
  3614. Vermehrung   : `KickTagPtr`
  3615.                `KickCheckSum`
  3616.                `DoIO`
  3617. Schäden      : kann Disketten in allen Laufwerken zerstören, die nicht schreib
  3618.                geschützt sind !
  3619. Anmerkung    : Dieses `Bootblock`-Virus wird vom `Filevirus` `T.F.C. Revenge
  3620.                LoadWB` erzeugt, welches in `Anhang A` dokumetiert wurde !
  3621.                Es steht entweder an der Speicherstelle $7F800 oder bei $FF800.
  3622.                `AntiCicloVir V1.5` kann es beim ersten Mal nicht komplett
  3623.                löschen, sondern nur die `KickCheckSum` zurücksetzen !
  3624.                Führen Sie deshalb bitte einen Reset aus !
  3625.                Wenn Sie `AntiCicloVir V1.5` ein zweites Mal starten, dann
  3626.                werden Sie feststellen, daß nur noch der `KickTagPtr` gesetzt
  3627.                ist.
  3628.                Dieser wird nun von `AntiCicloVir` gelöscht.
  3629.                Führen Sie einen zweiten Reset aus, damit das Virus endgültig
  3630.                gelöscht ist !
  3631.  
  3632.  
  3633.  
  3634.  
  3635. Name         : `TimeBomb`
  3636.  
  3637. Resetvektoren: keine
  3638. Vektoren für
  3639. Vermehrung   : sind mir nicht bekannt !
  3640. Schäden      : überschreibt manchmal `Track 80` mit Speicherinhalt ab $20000 !
  3641.                Dadurch wird die `AmigaDOS`-Disketten-Struktur zerstört !
  3642. Anmerkung    : Mir ist nicht bekannt wie sich dieses Virus weiterkopiert und
  3643.                mit meinem Amiga hat eine Vervielfachung dieses `Bootblock`-
  3644.                Viruses auch nicht geklappt !
  3645.                Ich habe aber irgendwo gelesen, daß sich dieses Virus nicht
  3646.                über den Speicher weiterkopiert, sondern statt dessen sich
  3647.                selbst beim `Booten` von der Diskette im Laufwerk `DF0` nach
  3648.                `DF1` ( `Bootblcok` ) kopiert !
  3649.  
  3650.  
  3651.  
  3652.  
  3653. Name         : `Tomates Gentechnic`
  3654.  
  3655. Resetvektoren: keine.
  3656. Vektoren für
  3657. Vermehrung   : sind mir nicht bekannt.
  3658. Schäden      : Überschreibt manchmal `Track 80` mit Speicherinhalt ab $20000 !
  3659.                Dadurch wird die `AmigaDOS`-Disketten-Struktur zerstört !
  3660. Anmerkung    : Bei diesem Virus handelt es sich um eine Mutation des
  3661.                `TimeBomb`-Viruses, wobei nur der ASCII-Text ausgetauscht wurde!
  3662.                Lesen Sie also bitte auch `TimeBomb` im selben Anhang !
  3663.  
  3664.  
  3665.  
  3666.  
  3667. Name         : `TURK V1.3`
  3668.  
  3669. Resetvektoren: `CoolCapture`
  3670. Vektoren für
  3671. Vermehrung   : `CoolCapture`
  3672.                `DoIO`
  3673. Schäden      : Das `TURK`-Virus schreibt nach $60 `TURK` in den Speicher !
  3674. Anmerkung    : Dieses `Bootblock`-Virus wird vom `Filevirus` `Color` erzeugt
  3675.                ( siehe Anhang A ) !
  3676.                Es kann auch nur durch einen Reset komplett gelöscht werden !
  3677.  
  3678.  
  3679.  
  3680.  
  3681. Name         : `U.K. Lamer Style`
  3682.  
  3683. Resetvektoren: `KickTagPtr`
  3684.                `KickCheckSum`
  3685. Vektoren für
  3686. Vermehrung   : `KickTagPtr`
  3687.                `KickCheckSum`
  3688.                `BeginIO`
  3689. Schäden      : keine.
  3690. Anmerkung    : Das `U.K. Lamer Style`-Virus wird von vielen bekannten Virus-
  3691.                killern mit dem `Revenge Of The Lamer Exterminator`-Virus
  3692.                verwechselt !
  3693.                Und in der Tat hat es auch viele Ähnlichkeiten mit diesem
  3694.                `Filevirus` ( siehe Anhang A ).
  3695.                Das `U.K. Lamer Style`-Virus  benutzt beispielsweise auch die
  3696.                `clist.library` und ähnliche Vektoren wie das `R.L.E.`-Virus.
  3697.                Es bestehen auch Ähnlichkeiten zu den `LAMER Exterminator`-
  3698.                Bootblock-Viren, so daß ich es ebenfalls zur Gruppe dieser
  3699.                Viren rechnen würde !
  3700.                Doch im Gegensatz zu diesen zerstört es keine Disketten.
  3701.                Das `U.K. Lamer Style`-Virus ist in den `Bootblöcken` immer
  3702.                kodiert und auch im Speicher bleibt noch der Name `U.K. Lamer
  3703.                Style` verschlüsselt.
  3704.                Dem Namen nach zu urteilen vermute ich, daß dieses Virus eine
  3705.                Art Verspottung bzw. `Narrenkappe` für Anfänger sein soll,
  3706.                da `Lamer Style` übersetzt ja so viel bedeutet wie `Anfänger
  3707.                Mode/Bekleidung` !
  3708.                Dieses Virus enthält auch keine Ausgabetexte !
  3709.                
  3710.  
  3711.  
  3712.  
  3713. Name         : `Ultrafox`
  3714.  
  3715. Resetvektoren: `CoolCapture`
  3716. Vektoren für
  3717. Vermehrung   : `CoolCapture`
  3718. Schäden      : keine.
  3719. Anmerkung    : Wegen eines absoluten `DoIO`-ROM-Einsprunges, funktioniert auch
  3720.                dieses `Bootblock`-Virus nur noch unter `KickStart V1.2` !
  3721.  
  3722.  
  3723.  
  3724.  
  3725. Name         : `Virus Slayer V1.0`
  3726.  
  3727. Resetvektoren: `CoolCapture`
  3728. Vektoren für
  3729. Vermehrung   : `CoolCapture`
  3730.                `DoIO`
  3731. Schäden      : keine.
  3732. Anmerkung    : Dieses Programm ist eigentlich ein Antivirus und richtet sich
  3733.                gegen `Bootblock`-Viren !
  3734.                Auch hier ist es so, daß wegen absoluter Adressierung bezüglich
  3735.                des `DoIO`-Vektoren, ein Weiterarbeiten außerhalb von `KickStart
  3736.                V1.2` nicht möglich ist !
  3737.                `AntiCicloVir` kann das `Virus-Slayer`-Virus nicht komplett aus
  3738.                dem Speicher entfernen, weshalb ein Reset nötig sein wird !
  3739.  
  3740.  
  3741.  
  3742.  
  3743. Name         : `Virus V1`
  3744.  
  3745. Resetvektoren: `CoolCapture`
  3746. Vektoren für
  3747. Vermehrung   : `CoolCapture`
  3748.                `DoIO`
  3749. Schäden      : keine.
  3750. Anmerkung    : Dieses `Bootblock`-Virus arbeitet auch mit `KickStart V2.04` !
  3751.                Es muß ebenfalls durch einen Reset aus dem Speicher komplett
  3752.                entfernt werden, nachdem `AntiCicloVir` den `CoolCapture`-
  3753.                Vektoren zurück gesetzt hat !
  3754.  
  3755.  
  3756.  
  3757.  
  3758.  
  3759. Name         : `Warhawk`
  3760.  
  3761. Resetvektoren: `CoolCapture`
  3762. Vektoren für
  3763. Vermehrung   : `CoolCapture`
  3764. Schäden      : keine.
  3765. Anmerkung    : keine.
  3766.  
  3767.  
  3768.  
  3769.  
  3770. Name         : `ZACCESS V1.0`
  3771.  
  3772. Resetvektoren: `CoolCapture`
  3773. Vektoren für
  3774. Vermehrung   : `CoolCapture`
  3775. Schäden      : keine.
  3776. Anmerkung    : Bei diesem Virus handelt es sich wieder einmal um eine `SCA`-
  3777.                Mutation mit geändertem ASCII-Text !
  3778.  
  3779.  
  3780.  
  3781.  
  3782. Name         : `ZACCESS V2.0`
  3783.  
  3784. Resetvektoren: `KickTagPtr`
  3785.                `KickCheckSum`
  3786. Vektoren für
  3787. Vermehrung   : `KickTagPtr`
  3788.                `KickCheckSum`
  3789.                `BeginIO`
  3790. Schäden      : mir sind keine bekannt.
  3791. Anmerkung    : Bei diesem Virus handelt es sich um eine Mutation des `Byte
  3792.                Bandit`-Viruses, bei der nur der ASCII-Text ausgewechselt
  3793.                wurde und die genauso gelöscht wird wie das `Byte Bandit`-
  3794.                Virus selbst !
  3795.  
  3796.  
  3797.  
  3798.  
  3799. Name         : `ZACCESS V3.0`
  3800.  
  3801. Resetvektoren: `KickTagPtr`
  3802.                `KickCheckSum`
  3803. Vektoren für
  3804. Vermehrung   : `KickTagPtr`
  3805.                `KickCheckSum`
  3806.                `BeginIO`
  3807. Schäden      : löscht wie `Extreme` Viren, indem es ganze Disketten formatiert.
  3808. Anmerkung    : Bei diesem Virus handelt es sich um eine `Extreme`-Mutation mit
  3809.                geändertem ASCII-Text !
  3810.                Dieses Virus muß wie `Extreme` aus dem Speicher entfernt werden!
  3811.  
  3812.  
  3813.  
  3814.  
  3815. Name         : `ZLX`
  3816.  
  3817. Resetvektoren: `CoolCapture`
  3818. Vektoren für
  3819. Vermehrung   : `CoolCapture`
  3820. Schäden      : keine.
  3821. Anmerkung    : Und nun wieder einmal ein `SCA`-Mutant ...
  3822.  
  3823.  
  3824.  
  3825.  
  3826.  
  3827. Name         : `Zombi I`
  3828.  
  3829. Resetvektoren: `CoolCapture`
  3830. Vektoren für
  3831. Vermehrung   : `CoolCapture`
  3832. Schäden      : Das `Zombi`-Virus schreibt den `Root`- & `BitMap`-Block (`BAM`)
  3833.                neu !
  3834.                Dabei erhält die Diskette den Namen `Zombi I` !
  3835.                Da das Virus den `BitMap`-Block immer nach $371 schreibt, was
  3836.                jedoch nicht so bei allen AmigaDOS-Versionen geregelt ist, kann
  3837.                eine Datei, die dort steht, zerstört werden !!!
  3838.                Außerdem werden alle Hashwerte auf Null gesetzt.
  3839.  
  3840.  
  3841.  
  3842.  
  3843.                              `Anhang C`
  3844.  
  3845. In diesem Anhang werden die externen Betriebssystem-Routinen des Amiga`s
  3846. im Verzeichnis `L` kurz dokumentiert ! 
  3847. Bei Starten von `AntiCicloVir V1.5` mit den Parametern :` AntiCicloVir DF0:L`
  3848. beispielsweise, werden die Routinen `Disk-Validator`,`RAM-Handler` und
  3849. `Port-Handler` im Verzeichnis `L`, der Diskette im internen Laufwerk
  3850. überprüft !
  3851. Entsprechen diese Routinen nicht dem Standard von `AntiCicloVir`, so erscheint
  3852. eine `non-standard`-Meldung, ansonsten `OK` !
  3853.  
  3854.  
  3855.  
  3856.  
  3857.  
  3858.                           `Disk-Validator`
  3859.  
  3860.  
  3861. Der `Disk-Validator` ist das erste Opfer der Virus-Programmierer geworden !
  3862. Zur Zeit sind mir nur die Viren `Return Of The Lamer Exterminator` und
  3863. `SADDAM` bekannt, die den `Disk-Validator` zur Tarnung und Vermehrung
  3864. benutzen !
  3865. Doch ich befürchte, daß es bald mehr werden !
  3866. Der `Disk-Validator` wird vom Betriebssystem immer dann gestartet, wenn
  3867. eine Diskette mit einem `Disk Validating Error` eingelegt wird !
  3868. Also immer dann, wenn eine Disk eine ungültige `BAM` ( `Block Allocation Map` )
  3869. hat !
  3870. Sie kennen sicherlich die Situation, daß Sie noch schnell eine Datei auf eine
  3871. nahezu volle Diskette abspeichern wollen und plötzlich kommt eine
  3872. `Disk Full`-Meldung !
  3873. Doch damit ist der Ärger noch längst nicht vorbei !
  3874. Wenn Sie später diese Diskette benutzen werden, so hat sie einen `Disk
  3875. Validating Error`, an dem das Betriebssystem des Amiga`s selbst schuld ist !
  3876. Denn jedesmal wenn eine Datei auf eine Diskette abgespeichert wird, erklärt das
  3877. Betriebssystem die `BAM` für ungültig.
  3878. Anschließend folgt der Abspeichervorgang.
  3879. Stellt das Betriebssystem nun fest, daß die Diskette schon voll ist, so wird
  3880. eine Fehlermeldung ausgegeben und der Schreibzugriff abgebrochen.
  3881. Allerdings wird dabei vergessen, die für ungültig erklärte alte `BAM` wieder
  3882. für gültig zu erklären !!!
  3883. So kommt also der `Disk Validating Error` zustande !
  3884. `Commodore` sollte die nur 1848 Bytes große Routine zukünftig in`s ROM
  3885. verlegen, damit die bisher ( für PC- & sonstige Verhältnisse ) noch moderaten
  3886. Amiga-Viren nicht eines Tages auch so aggressiv werden ...
  3887. Es gibt tatsächlich keine bessere Art ein Virus auf dem Amiga zu programmieren,
  3888. als über den `Disk-Validator-Trick` !
  3889. Bei ungültiger `BAM` muß sowieso immer der `Disk-Validator` vom Betriebssystem
  3890. gestartet werden und wenn sich das Virus selbst als `Disk-Validator`
  3891. abspeichert, so wird es schon beim bloßen Einlegen einer Diskette aktiv !
  3892. Bitte senden Sie mir alle `non-standard Disk-Validator` zu, damit neue
  3893. `Disk-Validator`-Viren sofort erkannt werden !!!
  3894.  
  3895.  
  3896.  
  3897.  
  3898.  
  3899.  
  3900.  
  3901.  
  3902.  
  3903.  
  3904.  
  3905.  
  3906.                             `RAM-Handler`
  3907.  
  3908.  
  3909. Bisher sind mir noch keine `RAM-Handler`-Viren bekannt !
  3910. Der `RAM-Handler` dürfte für Virus-Programmierer weniger interessant sein,
  3911. als etwa der `Disk-Validator` !
  3912. Der `RAM-Handler` wird wohl immer nach dem `Booten` einer Diskette aktiviert,
  3913. um das Gerät `RAM:` anzulegen !
  3914. Ein mögliches `RAM-Handler`-Virus würde also automatisch beim `Booten` aktiv
  3915. werden ! ( Hoffentlich habe ich jetzt niemanden auf irgendwelche Ideen gebracht
  3916. ... )
  3917. Bitte schicken Sie mir auch alle `non-standard RAM-Handler` zu !
  3918.  
  3919.  
  3920.  
  3921.  
  3922.  
  3923.  
  3924.  
  3925.  
  3926.  
  3927.  
  3928.                                `Port-Handler`
  3929.  
  3930. Bisher sind mir noch keine `Port-Handler`-Viren bekannt !
  3931. Ich möchte aber jetzt schon um die Zusendung aller `non-standard Port-Handler`
  3932. bitten !
  3933.  
  3934.  
  3935.  
  3936.  
  3937.  
  3938.  
  3939.  
  3940. Matthias Gutt              
  3941. Kantstr.16
  3942. W-2120 Lüneburg
  3943. Tel.: 04131/49624 ( 20.30 -21.30 Uhr )
  3944.