home *** CD-ROM | disk | FTP | other *** search
/ Amiga Collections: Taifun / Taifun 112 (1989-11-15)(Ossowski, Stefan)(DE)(PD).zip / Taifun 112 (1989-11-15)(Ossowski, Stefan)(DE)(PD).adf / VirusX_V3.20 / VirusX.doc < prev    next >
Text File  |  1989-07-02  |  16KB  |  379 lines
  1.  
  2.               VirusX 3.2
  3.  
  4.            by Steve Tibbett
  5.  
  6.  
  7.  
  8. Version Notes:
  9. --------------
  10. Version Notes are now in the VirusX.C file, as is information on
  11. some of the viruses.  
  12.  
  13. Virus Notes:
  14. ------------
  15. Information about each of the individual files
  16. is at the beginning of the C file (just because I spend more time
  17. looking at it than I do looking at this).
  18.  
  19. Introduction:
  20. -------------
  21. Amiga Viruses have been following us around for some time now, and I
  22. think it's about time we got rid of it for good.
  23.  
  24. There are 2 classes of Viruses - There are the "Boot Block Viruses" and
  25. the rest of them.  
  26.  
  27. Boot Block Viruses are named such because they all share this one 
  28. trait:  They are always found in the Boot Block of a disk.  You cannot
  29. get one of these simply by downloading a program, nor through any
  30. non-bootable disk (although a program could be written which would
  31. install the virus when run).
  32.  
  33. Boot Block Viruses are very easy to get rid of - check any new disk
  34. with VirusX, and if it reports anything nonstandard, tread lightly.
  35.  
  36. Non-bootblock viruses are a little tougher to find, and can be near
  37. impossible to find without the right tools.  VirusX will be updated such
  38. that it finds any known virus, that's the best I can offer.
  39.  
  40. Please, I encourage you to give this program to anybody who might have
  41. a virus.  Including your local dealer - some of the dealers in this
  42. area have the virus all over their disks, which they allow customers to
  43. copy, and they don't do anything about it because they don't know how. 
  44. VirusX makes it extremely simple.
  45.  
  46. Installing in your Startup Sequence:
  47. ------------------------------------
  48. You can put VirusX in your Startup-Sequence so that it is automatically
  49. run whenever you boot your system with whatever disk you install it on.
  50. Doing so is very simple - using any text editor, modify the
  51. "S:Startup-Sequence" file (Details on how to do this are available in
  52. many many books, and also in the manual that came with the system I
  53. believe), so that the Startup-Sequence contains simply "VirusX".    When run, it will open a
  54. small window so you know it's there (and it will display the occasional
  55. message in it).  Whenever a disk is inserted into any of the 3.5"
  56. drives, that disk is automagically checked for the SCA virus, and also
  57. checked to see if it's boot sector is "Standard".  If the disk has a
  58. nonstandard boot sector, it is either a new form of virus which I don't
  59. know about yet, or it is a commercial program which uses the boot block
  60. for  something constructive (like booting their game).
  61.  
  62. If VirusX finds a boot block it is suspicious about, it will present the
  63. user with a requester either warning him that the disk has the SCA virus
  64. (or any other current viruse), or telling him that the boot code is
  65. nonstandard.  In either case, he is given the option to either ignore
  66. it, or to Remove it.
  67.  
  68. If the user selects Remove, after he says he's SURE he wants to
  69. rewrite the disk's boot sector (Remember: Never rewrite the boot
  70. sector of a commercial program unless you KNOW that program doesn't
  71. use it for something else.  If the program gives you the AmigaDOS
  72. window before running, you know it is safe to repair that disk.).  
  73. The boot code written back to the disk by VirusX is the same boot code
  74. that the AmigaDOS INSTALL command (and it's compatible counterpart on
  75. one of the fish disks) uses.  
  76.  
  77. If you click in the little "VirusX" window, and type a number from 0
  78. to 3, (Corresponding to the drive # you would like to look at), VirusX
  79. will resize it's window to fit in the ASCII text of these two blocks,
  80. and allow you to view it.  When you run across a "Nonstandard Boot
  81. Block", you can now check and see if the boot block is some sort of
  82. new Virus (Assuming that the author of the Virus left a string in it)
  83. as you will see something like "Revenge Virus 1.2G" or whatever string
  84. that identifies the virus.  Note that not all viruses have text strings
  85. in them, so don't use this method alone to determine whether an 
  86. unknown boot block is a virus or not.  
  87.  
  88. Also, you can check to see which strain of the SCA virus you have
  89. (VirusX will report "an SCA virus", but will not tell you if it is the
  90. "LSD" virus, or the "Zorro/Willow" virus or whatever new ones may
  91. appear).
  92.  
  93. Generally, if boot code is capable of writing itself back to a different
  94. disk than the one it was loaded from, it is a virus.
  95.  
  96. VirusX Options:
  97. ---------------
  98.  
  99. Keystrokes:  (Remember, the VirusX window must be active to type these)
  100.  
  101.    0, 1, 2, 3:  Show you the boot block of whatever drive
  102.                 you select (0 would be DF0:, say), I will show 
  103.                 you the Info window.
  104.                 
  105.             C:  Cause VirusX to re-Check all inserted disks.
  106.             
  107.  
  108. Command Line Options:
  109.  
  110.     x,y : to change where the VirusX window appears, just put the numbers
  111.           you want it at on the command line.  For instance, to put it
  112.           at 50,30, just say VirusX 50 30.
  113.           
  114.    Check: This will cause VirusX to check Memory and any inserted disks,
  115.           then quit immediately without leaving the little window.
  116.  
  117.  
  118.  
  119.  
  120. Nut Alert:
  121. ----------
  122.  
  123. Of course, there are those of you who are thinking that I am some nut
  124. case trying to spread my own virus hidden under the guise of a virus
  125. checker.  Well, just for you, I've included the C source code.  Please,
  126. if you don't trust me, don't discard a useful utility as untrustworthy
  127. for no reason, CHECK THE SOURCE!  Recompile it if you think I'm trying
  128. to slip a fast one on you.  I just want to see viruses out of all of
  129. our lives.
  130.  
  131.  
  132. Distribution Notice:
  133. --------------------
  134. This program is Copyrighted, but is freely redistributable (It's NOT 
  135. Shareware).  Do what you want with it, but  Please don't use it for 
  136. evil purposes. That's what I'm trying to prevent.  (If your conscience 
  137. is compelling you to send me something, send me an original game you're 
  138. bored with... It won't cost you anything, and it'll keep me busy for a 
  139. few hours (or more...).
  140.  
  141. If you are not sure that this is the most current version of VirusX
  142. (and please, before sending me a "virus", check with your local BBS
  143. or user group for the latest version of VirusX to verify that it is
  144. indeed the latest), you will be able to get the latest version of
  145. VirusX though AmigaWorld soon, or so they tell me.  5 bucks, to cover
  146. shipping/handling - check the magazine for info.
  147.  
  148. I write PD/Shareware software in my spare time, and work full time
  149. during the day.  Since I don't do this as a business, I really
  150. can't answer all the mail I get - I barely have time to work on the
  151. program, let alone answering mail... I feel really badly about this,
  152. but there's not much I can do.  I am trying to reply to anybody who
  153. asked for a reply... working on it...  8-)  If you haven't heard from
  154. me, either I lost your letter (it's happened...), or you will hear
  155. from me soon.
  156.  
  157. (Addendum:  Sending me a self-addressed stamped envelope doesn't do
  158. me a whole lot of good because I live in Canada... Just thought
  159. I'd let you know, cuz some people have overlooked this).
  160.  
  161.  
  162. My address:
  163.  
  164.     Steve Tibbett
  165.     2710 Saratoga Pl. #1108
  166.     Gloucester, Ontario
  167.     K1T 1Z2
  168.  
  169.     My BBS: OMX BBS, 613-731-3419.
  170.  
  171.     I can be reached on BIX as "s.tibbett" and on People/Link
  172.     as "SteveX".  I'm also on Compuserve, but with their dumb
  173.     numbering system, I can never remember who I am.
  174.  
  175.  
  176. ---------------------------------------------------------------
  177.  
  178. VIRUS NOTES:
  179. ------------
  180.  
  181. Virus Notes used to be found here.  They are now in the
  182. VirusX.C source file itself - just type the file.  (If you're
  183. scared of 'C', just hit ^C when the comments are done).
  184.  
  185. Notes on some notable viruses are still here.
  186.  
  187.  
  188.  
  189. THE BYTE BANDIT VIRUS:
  190. ----------------------
  191. What the Byte Bandit virus does is once it's in
  192. memory, it copies itself to just above the high memory
  193. pointer on the first hunk of RAM it can find (Which means
  194. it's not always in the same place), wedges itself into the
  195. Interrupt Server chain, into the Trackdisk.device's vectors,
  196. and creates itself a Resident structure so it can hang
  197. around after reboot.
  198.  
  199. It watches EVERY disk inserted, and will write itself to ANY
  200. bootable disk that is inserted!
  201.  
  202. Also, if you Install a disk while this virus is going, it will  just
  203. copy itself back to the disk - which is why it has to be wiped it from
  204. memory.
  205.  
  206. When VirusX finds this virus on a disk, it will also display a "Copy
  207. Count" which is the number of disks that have been infected by that
  208. "Branch" on the "Tree" that the virus is on -  If you infect a disk with
  209. your copy, and your copy is number 300, then that copy will be #301.  If
  210. he infects somebody,  that will be #302, but on YOUR copy, two
  211. infectations down the line, there will be another #302... Anyways, the
  212. copy count on MY Byte Bandit virus is #879... 
  213.  
  214. Note that VirusX will check RAM for this virus as well as the disk. 
  215. This was necessary as you can tell from the description above.
  216.  
  217. Special thanks must go here to Dave Hewett, who, 2 days after I gave him
  218. a copy of the virus, gave me a printed, commented disassembly of the
  219. virus with meaningful labels and everything I needed to stomp it -
  220. Thanks Dave!
  221.  
  222. Thanks must also go to Bruce Dawson of CygnusSoft Software, (author of
  223. that great program, CygnusEd), who went to the trouble of being the First 
  224. person to send me this Virus.
  225.  
  226.  
  227. -------------------------------------------------------------------
  228.  
  229. The IRQ Virus:
  230. --------------
  231.  
  232. The IRQ Virus is the latest Amiga Virus (that I've seen anyway).  This
  233. one stands out from the crowd, in that it is NOT found in the boot
  234. block.
  235.  
  236. This Virus attaches itself to executable programs.  It's prime target
  237. is the C:DIR command, but it will also look at your startup sequence
  238. and attach itself to the first executable program found in the startup
  239. sequence.
  240.  
  241. A sample chain of events:
  242.  
  243.    - You download or otherwise acquire a new program.  This program
  244.      happens to be infected.
  245.    - You execute this program.
  246.    - The Virus then attaches itself to memory (by taking over the
  247.      OldOpenLibrary() vector), and adds a KickTagPtr (for no apparent
  248.      reason).
  249.    - Now, you're on DF0: and you run a program that uses the 
  250.      OldOpenLibrary() vector (hard to predict which ones do...),
  251.      the Virus will open your startup sequence and picks the first
  252.      filename it sees in it, see if it's executable, and if so, it 
  253.      will write itself into that file.  IF it's not executable, it
  254.      will try and write to the DIR command on that disk.
  255.  
  256. As you can see, the only files this virus will infect, will be whatever
  257. comes first in your startup sequence, and the DIR command.  The only way
  258. this Virus could possibly spread via modem is through deliberate sabotage,
  259. (unless the guy actually DID have the program as the first thing in his
  260. startup sequence before sending it to you).
  261.  
  262.  
  263. WHAT IT DOES
  264.  
  265. This Virus is mostly a harmless joke.  It will not kill commercial programs
  266. (at least not any I've seen so far), it doesn't attack anything,
  267. doesn't do anything malicious.  It's not nice to have around, but it's
  268. certainly better than a malicious virus!
  269.  
  270. It changes the title bar of the Initial CLI window when you boot, and it
  271. will try to write to any disk inserted - thus bringing up the "Volume
  272. whatever is write protected" requester whenever you insert a write
  273. protected disk.  
  274.  
  275. It will write itself to any disk you execute a file off of, possibly to the 
  276. DIR command, possibly to the first thing in the startup sequence, 
  277. depending on the startup sequence.
  278.  
  279. This virus will not work under Kickstart 1.3 - you will get Software
  280. Error requesters whenever you run an infected program.  I'm not sure
  281. why, but this is probably good.
  282.  
  283.  
  284. HOW TO KNOW IF YOU HAVE THIS VIRUS
  285.  
  286. You cannot identify a file that has this virus in it just by looking at it.
  287. The virus encrypts the text parts of itself, and encrypts it differently on
  288. each copy - so you can't learn to recognize it.  
  289.  
  290. You can tell your system is infected if you put in a write protected
  291. workbench disk (or any disk that has a startup sequence), and if the system
  292. brings up a "Volume whatever is write protected" requester, then this virus
  293. is in RAM attempting to infect this disk.
  294.  
  295. Running VirusX 3.1 will tell you that this virus is in RAM, and VirusX will
  296. remove it from RAM.
  297.  
  298. The other thing this Virus does is, when it first installs itself in your
  299. system upon reboot, it changes the title bar of the current window,
  300. (usually the initial CLI window, since it IS the first thing in your startup
  301. sequence), to say something like "AmigaDOS Presents:  The IRQ Virus,
  302. V41.0".  This is of course a dead giveaway.
  303.  
  304.  
  305. HOW TO GET RID OF THIS VIRUS
  306.  
  307. To get the virus out of RAM, run VirusX 3.1 and it will tell you if it
  308. found it and that it removed it if it did.  VirusX will check disks the
  309. same way that the Virus does - it will look at the startup sequence,
  310. determine if the first file found (or the DIR command) are infected, and
  311. give you the option of repairing them if they are infected.  
  312.  
  313. You can also get rid of this virus simply by deleting all infected programs
  314. and rebooting.  This virus will not hang around after a reboot.
  315.  
  316. Because this virus can hit a number of files, not all of which VirusX will
  317. find, also included is a small program by Dan James called KV, "KillVirus".
  318. This program will check a whole directory's worth of files for this
  319. specific virus.  
  320.  
  321. VirusX 3.0 will look in the same places the Virus does for possibly
  322. infected programs.  If it finds one, it will pop up a window and show
  323. you where it found it, and ask if it's OK to remove it.
  324.  
  325.  
  326. HOW TO MAKE SURE YOU DON'T GET THIS VIRUS
  327.  
  328. Keep VirusX 3.1 running when you test new programs.  VirusX will alert you
  329. as soon as it sees this virus appear in memory - probably the last program
  330. you ran is infected if VirusX reports it found the virus.
  331.  
  332. ==========================================================================
  333.  
  334. Virus Notes:
  335. ------------
  336.  
  337. These are things that you probably should know, but may not about
  338. what can happen with Viruses.
  339.  
  340.  - If you are trying to format a disk, and you always get a message
  341.    that Cylinder #0 of the disk is bad, it's quite possible you have
  342.    a virus in RAM (or a bad disk).  This is because when the Formatter
  343.    writes to block 0, some viruses will prevent this (trying to save
  344.    themselves).  When the formatter reads the block back to verify,
  345.    it's not the same and it panics.
  346.    
  347.  - Some commercial programs will not work with some viruses in RAM.
  348.  
  349.  - Not all computer failures are caused by viruses!  If you are having
  350.    problems, and you have checked your disks with VirusX (and it reports
  351.    them as clean), try looking elsewhere for the problem.
  352.    
  353.  - There is at least one virus that can (more or less accidentally) hit
  354.    hard disks.  Some of the viruses use the DoIO() vector to watch for
  355.    any read (or write) attempts at block 0.  But not always making
  356.    sure that it is block 0 of the Floppy drive - and if someone is
  357.    writing to block 0 of the hard disk, and the virus intercepts this,
  358.    it can write itself to the hard disk.  The virus CANNOT load from
  359.    hard disk - the hard disk's boot block is never executed.  But if
  360.    your hard disk is an FFS volume, then writing the virus to it will
  361.    in effect change it back to an OFS volume - making what's on it
  362.    unusable.  You can fix this with DiskDoctor (I believe), or using
  363.    DiskX.
  364.    
  365.  
  366. ==========================================================================
  367.  
  368. I'd like to thank Lars Wilklund, Jason Allen Smith, Bruce Dawson,
  369. Robb Walton, Pete Foley, and all the others who have sent me disks
  370. whom I cannot remember.
  371.  
  372. Mucho thanks also to Dan James, who's been helping me all along,
  373. and who did a lot of the finding out about the IRQ Virus.
  374.  
  375. There are MORE viruses out there!  Please, send them to me!
  376.  
  377.     ...Steve
  378.  
  379.