home *** CD-ROM | disk | FTP | other *** search
/ Amiga Collections: Taifun / Taifun 220 (1992-09-10)(Manewaldt, A.)(DE)(PD).zip / Taifun 220 (1992-09-10)(Manewaldt, A.)(DE)(PD).adf / Schutz / VT.kennt < prev    next >
Text File  |  1992-09-12  |  146KB  |  3,314 lines
  1.  
  2.  
  3.    VT2.44 kennt:
  4.    ==============
  5.                   (oder sollte erkennen)
  6.  
  7.    Stand: 09.09.92
  8.  
  9.    - bitte lesen Sie zuerst VT.LiesMich. Danke !
  10.  
  11.    - Serienersteller sollten vorher Kontakt mit mir aufnehmen !!!
  12.  
  13.  
  14.    Heiner Schneegold
  15.    Am Steinert 8
  16.    8701 Eibelstadt
  17.    W-Deutschland
  18.    Tel. 09303/8369     (19.00 - 20.00 Uhr)
  19.  
  20.  
  21.  nicht sicher erkannte Viren: (die ich nicht habe, alte Viren nur 2)
  22.    - Requester enthält vier umgedrehte Fragezeigen
  23.    - das jeweils eine Testlangwort, wurde teilweise aus dem
  24.      SourceCode mehrerer bekannten VirenschutzProgramme (PD) ent-
  25.      nommen.
  26.    - deshalb bei Anzeige nur Kreset oder weiter
  27.  
  28.     - bekannte Viren (die ich habe):
  29.       ==============================
  30.             (werden vom Prg. erkannt und ohne RESET (nein, drei Virus-Prg.e
  31.             nicht mehr s.u.) im Speicher geloescht)
  32.             Test auf drei Langworte im Speicher !!!
  33.             Kein FastMem heisst, dass das VirusPrg mit FastmemKarte bei
  34.             mir abstuerzt, koennte aber mit $C00000 oder einer anderen
  35.             FastMemKarte laufen ????
  36.  
  37.    - .info    anderer Name: TimeBomb V0.9   s.u.
  38.  
  39.    - 16 Bit Crew   Cool, im Prg. noch DoIo, FastMem ja, im Speicher
  40.       immer ab $7ec00
  41.       Vermehrung: ueber BB
  42.       im BB steht unverschluesselt:
  43.       The 16 Bit Crew 1988
  44.  
  45.    - 2001     SCA-Clone, Cool immer 7EC3E, nur anderer Text
  46.  
  47.    - Abraham     siehe Claas Abraham
  48.  
  49.    - aibon-Virus   siehe bei Express2.20-Virus
  50.  
  51.    - Aids      Vkill-Clone siehe dort
  52.          Unterschied: 3 Bytes
  53.             1.Byte: in der Pruefsumme
  54.             2.Byte: Vermehrungszaehler
  55.             3.Byte: Einsprung in entschluesselten Text
  56.         (ein Prg. springt z.B. nach $7ebc3, das 2. Prg. nach $7eba9)
  57.  
  58.    - AIDS-HIV  SCA-Clone, Cool immer 7EC3E, nur anderer Text
  59.  
  60.    - AlienNewBeat    Cold, Cool, DoIo, nur KS1.2, Fastmem ja
  61.          im Speicher immer ab $20000
  62.          Vermehrung: ueber BB          Vermehrungszaehler: $2037e
  63.          Text im BB sichtbar: z.B.
  64.          THIS IS THE ALIEN NEW BEAT BOOT!
  65.  
  66.    - Amiga Freak    Forpib-Clone  s.u.
  67.          nur Name im BB geaendert
  68.  
  69.    - AMIGAKNIGHTVIRUS    Filevirus  Laenge: 6048 (ungepackt)
  70.          DoIo, KickTag, KickCheckSum
  71.          Schreibt in Root das File init_cli und auch in startup-sequence
  72.          Sonst keine Schaeden festgestellt.
  73.          Nach 5 Resets wird der Bildschirm schwarz und rosa Schrift fuer
  74.          Text. Der Text ist bis dahin codiert.
  75.  
  76.             oberer Bildschirmbereich:
  77.                YEAH, THE INVASION HAS STARTED! YOUR
  78.                TIME HAS RUN OUT, AND SOON WE WILL BE
  79.                            EVERYWHERE!
  80.  
  81.             Bildschirmmitte:   Vektordemo
  82.  
  83.             unterer Bildschirmbereich:
  84.                THIS IS GENERATION 0039 OF THE EVIL
  85.                         AMIGAKNIGHTSVIRUS
  86.              GREETINGS TO DUFTY, DWARF, ASID CUCUMBER
  87.               ASTERIX, ANDY, AND ALL AMIGIANS I KNOW
  88.  
  89.          Vectordemo: 3 TextTeile erscheinen mit Zoomeffekt nacheinander
  90.                      a)    Toco of
  91.                      b)      THE
  92.                      c)  AMIGAKNIGHTS
  93.  
  94.  
  95.    - Art Byte Bandit     anderer Name: ByteBanditPlus    s.u.
  96.  
  97.    - ASV-Virus  immer $7DC00, Cool, im Prg Forbid, loescht KickTag usw.
  98.          keine Vermehrungsroutine
  99.          Schaden: verbiegt mit setfunction Forbid auf ChipAllocMem-Routine
  100.                   d.h. bei jedem Forbid-Aufruf geht ChipMem verloren.
  101.  
  102.    - Australian Parasite   Fastmem ja, Cool, DoIo, im Prg. BeginIo
  103.          Vermehrung: ueber BB
  104.          ueber GraphikRoutine wird BildschirmInhalt gedreht
  105.          im BB sichtbar:
  106.          The Australien Parasite!
  107.           By Gremlin 18/5/88!
  108.           Will NOT destroy game bootsectors or corrupt disks,
  109.           and kill other viruses!
  110.       HINWEIS: manchmal gibt VirusX Australian Parasite aus, obwohl
  111.       es sich um den SADDAM Disk-Validator handelt !!!!
  112.  
  113.    - AutoBootingBootProtector V2.0    anderer Name: VCCofTNT-Virus  s.u.
  114.  
  115.    - BAHAN     anderer Name BUTONIC_1.1  siehe dort
  116.  
  117.    - BGS9 I (schiebt Org.Prg. in devs)   Bytes 2608
  118.          laueft mit KS2.04 !!!!!
  119.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  120.          der BGS9 I bei fehlendem devs-Verz. das OrgPrg unsichtbar
  121.          in das Hauptverzeichnis.
  122.          KickMem, KickTag, KickCheckSum, OpenWindow
  123.          PrgTeile verschluesselt mit eori.l #$1AF45869,(a0)+
  124.          unsichtbares File in devs: A0A0A0202020A0202020A0
  125.          am Ende des Prg.Files ist mit einem Monitor zu sehen: TTV1
  126.          beim 4.Reset Textausgabe ueber GraphikRoutine:
  127.          schwarzer Hintergrund, weisse Schrift
  128.             A COMPUTER VIRUS IS A DISEASE
  129.              TERRORISM IS A TRANSGRESSION
  130.              SOFTWARE PIRACY IS A CRIME
  131.  
  132.                   THIS IS THE CURE
  133.  
  134.          BGS9 BUNDESGRENZSCHUTZ SEKTION 9
  135.               SONDERKOMMANDO "EDV"
  136.  
  137.             Entfernung: File in devs in OrginalPrg. umbenennen
  138.                         BGSVirusFile loeschen
  139.                         OrgPrg aus devs in entsprechendes Verzeichnis
  140.                         kopieren
  141.          Hinweis: es wird ein unsichtbares File (Name s.o.) weiterge-
  142.             geben mit der Laenge #64 und dem Inhalt "Protection file!".
  143.             Dieses File soll einen BGS9-Befall der Disk verhindern.
  144.          Clone: 04.03.92
  145.             TTV1 durch FUCK ersetzt
  146.  
  147.    - BGS9 II  aehnlich BGS9 I
  148.          aber File in devs jetzt:
  149.             A0E0A0202020A0202020A0
  150.          Hinweis: $E0 ist ein a mit Akzent
  151.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  152.          der BGS9 II bei fehlendem devs-Verz. das OrgPrg in das
  153.          Hauptverzeichnis.
  154.          Aenderung im Text:    :SOFTWARE'
  155.          Die Veraenderungen liegen im codierten PrgBereich
  156.          Im PrgFile TTV1 sichtbar
  157.  
  158.    - BGS9 III     s.o.
  159.          Neu: unsichtbarer Filename:
  160.             devs:A0,0
  161.             Entfernung: File in devs in OrginalPrg. umbenennen
  162.                         BGSVirusFile loeschen
  163.                         OrgPrg aus devs in entsprechendes Verzeichnis
  164.                         kopieren
  165.  
  166.    - BIG BOSS    SCA-Clone nur Text geaendert s.u.
  167.  
  168.    - BLACKFLASH V2.0     Cool, DoIo, FastMem ja
  169.          im Speicher immer ab $7F000
  170.          Zaehlzelle = $13  Textausgabe mit Graphikroutine (s.u.)
  171.          Schrift rot, Hintergrund schwarz
  172.          Vermehrung: ueber BB
  173.          Text steht unverschluesselt im BB:
  174.          HELLO, I AM AMIGA !
  175.            PLEASE HELP ME !
  176.          I FEEL STICK !
  177.          I HAVE A VIRUS !
  178.          ! BY BLACKFLASH !
  179.  
  180.    - BlackStar       anderer Name: Starfire1/NorthStar1  siehe dort
  181.  
  182.    - Blade Runners   SCA-Clone, immer ab 7EC00, Cool, im Prg. DoIo
  183.          Text: Hello! We are the Blade Runners!     u.s.w.
  184.  
  185.    - BLF-Virus  immer ab $7F000, Cool, DoIo, BeginIo
  186.          loescht KickTag usw.
  187.          Virusprogramm meldet sich NICHT.
  188.          Programmteil decodiert mit    eori.b #$28,(a1)+
  189.             u.a. zu lesen:    This is the new virus by BLF
  190.          Schaden und Vermehrung: BB
  191.  
  192.    - BlowJob   KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7f000
  193.          Taeuscht durch Text Memory Allocator 3.01 vor
  194.          Vermehrung und Schaden: Bootblock
  195.          Sobald die Zaehlzelle den Wert $7530 erreicht hat, wird ein
  196.          Programmteil mit subi.b #$71,D0 entschluesselt und mit display-
  197.          Alert der Text ausgegeben:
  198.             ONCE AGAIN SOMETHING WONDERFULL HAPPENED  (HE HE HE)
  199.            PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF
  200.  
  201.    - BlueBox  Filevirus, keine bekannten Vectoren werden verbogen
  202.          Laenge (gecrunched) 5608, nur Kreset (tut mit leid)
  203.          gedacht fuer Modembesitzer und Mailboxbetreiber, aber KEINE
  204.          Voraussetzung fuer Vermehrung (enthaelt Source fuer seriellen
  205.          Port $DFF030, $DFF018 ???!!!??? behindert Verbindung?!?!)
  206.          Das gecrunchte Prg. (Bluebox) besteht aus 3 Teilen:
  207.          - ein Taeuschprogramm: ermoeglicht Tonfolge mit Zehnertastatur
  208.          - eine komplette icon.library
  209.             - Laenge:6680
  210.             - zusaetzlicher Text: input.device , RAM:
  211.             - andere Jahreszahl
  212.          - ein Kopierteil fuer falsche icon.library
  213.             - testet ob icon.library schon existiert, falls nein
  214.               KEINE Aenderung
  215.             - testet ob Disk validated
  216.             - setzt Protection-Bits zurueck
  217.             - kopiert falsche icon.library
  218.             - arbeitet auch mit HD !!!!!!
  219.          Nach einem Reset wird ueber icon.library ein Process
  220.          'input.device ' (mit Leerzeichen) gestartet. VT findet
  221.          diesen Process, kann ihn aber nicht beenden (KReset).
  222.          Erstellt auf RAM: ein unsichtbares ($A0) File (nicht immer).
  223.          Ausbauhinweise:
  224.          VT erkennt den VirusTraeger Bluebox nur als crunched !!
  225.          Ignorieren Sie das Kreset-Angebot und loeschen Sie zuerst
  226.          die falsche icon.library. Kopieren Sie dann die Orginal-
  227.          icon.library auf die Disk oder HD (sonst nach Reset keine
  228.          WB!!!). Zum Schluss starten Sie bitte das Kreset-Prg.
  229.          Meine Maschine verhielt sich danach wieder normal. Dies
  230.          kann bei Modemprg. oder MailboxPrg. anders sein ??? Probleme
  231.          bitte melden. Danke
  232.          Herkunft: Bluebox.lzh  23033 Bytes
  233.                   -Bluebox            5608    (noch einmal gecrunched)
  234.                   -Bluebox.info       325
  235.                   -Bluebox.DOC        37271
  236.                   -Bluebox.DOC.info   354
  237.  
  238.    - BOMB-Bootblock   es wird dieser Bootblock als Virus weiterge-
  239.          geben. Die Pruefsumme ist als BOMB lesbar. VT erkennt diesen
  240.          Bootblock NICHT !!!  Begruendung:
  241.             - die Pruefsumme meines Exemplars stimmt nicht
  242.             - ich habe keinen ausfuehrbaren PrgCode gefunden
  243.          also ein normaler notinstalled Bootblock
  244.  
  245.    - BOOTX-Virus  BB   KickTag, KickCheckSum  auch KS2.04
  246.          anderer Name: PERVERSE I
  247.          Taeuschungsversuch durch lesbaren Text in BB:
  248.             BOOTX-Viruskiller by P.Stuer
  249.          verraet sich bei mir bei gesetztem Schreibschutz durch
  250.          Systemrequest  read/write error
  251.          Vermehrung: BB
  252.          Schaeden:
  253.          faengt ueber input.device Tastatureingaben ab und gibt Text
  254.          aus. Der Text steht als RAW-Code im BB (amerik.Tastatur !!)
  255.  
  256.          SOFTWARE_PIRATES RUINED MY EXCELLENT PROFESSIONAL DTP_PROGRAM
  257.          I REVENGE MYSELF ON THESE IDIOTS BY PROGRAMMING VIRUSES
  258.          THIS IS PERVERSE I  BECAUSE I LIKE ASSHOLE_FUCKING
  259.          I PROGRAM VIRUSES FOR MS_DOS TOO
  260.  
  261.          Eine Weiterarbeit ist NICHT moeglich. Das Virusprogramm
  262.          muss geloescht werden.
  263.  
  264.    - BRET HAWNES    Filevirus  Laenge: 2608 , immer ab $7F000
  265.           Kicktag, SumKickData, KickCheckSum, OpenNewLib, $6c
  266.           Vermehrung und Schaden:
  267.           schreibt in Root und in 1.Zeile startup: C0A0E0A0C0
  268.  
  269.           nach 20 Minuten blauer Graphikbildschirm und weisse Schrift:
  270.  
  271.             GUESS WHO`S BACK ??? VEP. BRET HAWNES BLOPS YOUR SCREEN
  272.                  I`VE TAKEN THE CONTROLL OVER YOUR AMIGA!!!
  273.              THERE`S ONLY ONE CURE: POWER OFF AND REBOOT ! ! ! ! !
  274.  
  275.           Statt der 10. Vermehrung werden Tracks zerstoert.
  276.  
  277.  
  278.    - BS1! (noch ein SCA )
  279.  
  280.    - BUTONIC 1.1     anderer Name BAHAN (im BB immer lesbar)
  281.          Cool, im Prg. DoIo, immer ab $7ec00, FastMem ja
  282.          Vermehrung: ueber BB wenn DOS0 gefunden
  283.          Textausgabe mit PrintIText (entschluesselt mit eori.b #-1,d1
  284.          nach $7eb0c)
  285.          im Speicher dann sichtbar:
  286.      BUTONIC'S VIRUS 1.1 GREETINGS TO HACKMACK ... <GENERATION NR. #####>
  287.  
  288.    - Byte Bandit       ohne FastMem
  289.          Begin, KickTag, KickCheckSum, Vec5
  290.  
  291.    - Byte Bandit 2    anderer Name: No Name 1  s.u.
  292.  
  293.    - Byte Bandit Clone     ohne Fastmem
  294.       Diff zu OrgByteBandit: 180 Bytes
  295.      (  Byte B.. Text wurde aus BB entfernt !!)
  296.  
  297.    - ByteBanditError
  298.       das OrginalByteBanditVirusPrg. beginnt im BB bei $0C, hier bei $32
  299.       Da die alte BB-Copy Routine verwendet wird, ist das 1.LW im neuen
  300.       Copy-BB nicht DOS0, d.h. die neu verseuchte Disk ist "Not a DOS-Disk"
  301.       also weder boot- noch vermehrungsfaehig
  302.  
  303.    - ByteBanditPlus  Kick1.2 ohne FastMem
  304.                   Begin, KickTag, KickCheckSum, Vec5
  305.       Diff zu OBB: 92 Bytes
  306.       (zusaetzlich trackdisk.... entfernt)
  307.  
  308.    - ByteParasite       reines Zerstoerungsprogramm  Laenge: 2108
  309.       soll auch $6c verbiegen, aber vorher GURU
  310.       Schaeden:
  311.       soll zwischen cd, dir und startup-sequence je 1 Byte austauschen, aber
  312.       sehr sehr schlecht programmiert (Anfaenger spielt besser mit dem
  313.       Joystick). Deshalb meist GURU.
  314.       Keine Vermehrung, keine Textausgabe
  315.  
  316.    - BYTEPARASITE II  File, Laenge ungepackt: 908 Bytes
  317.       Auch mit KS2.04, keine Vektoren verbogen
  318.       Taeuscht durch das Zeigen einer Fensterleiste:
  319.          VirusX: Checking Device Df0:
  320.       Versucht dann von df0:c VirusX nach df1:c zu kopieren und
  321.       verraet sich so wenn in df1: keine Disk liegt durch einen
  322.       Requester.
  323.       Gefahr der Vermehrung besteht nur wenn BYTEPARASITE II als
  324.       VirusX getarnt in df0:c vorhanden ist.
  325.       Aus dem Text im File kann geschlossen werden, dass damit
  326.       ein Antivirusprogrammierer geaergert werden soll:
  327.          But now send me to : (Adresse)
  328.  
  329.    - BYTEPARASITE III   File, Laenge ungepackt: 2160 Bytes
  330.       Cool, KickMem, KickCheckSum  (teilweise sinnlose Werte ausser-
  331.          halb des vorhandenen Speichers)
  332.       $6c  (sinnvoller Wert)
  333.          Das Programm MUSS !!!! im Speicher geloescht werden, sonst
  334.          erscheint nach einigen Arbeiten mit dem Computer sicher
  335.                Task held usw. . Dies ist nicht Absicht, sondern die
  336.          sinnlosen Werte sind verantwortlich.
  337.       Taeuscht durch das Zeigen einer Fensterleiste:
  338.          Virus-Checker V3.0 by   usw
  339.       Sucht c/Virus-Checker und schreibt Prg-Teile (falls gefunden)
  340.       absolut nach $7C000. Versucht in einem anderen LW mit SubDir c
  341.       Virus-Checker anzulegen (bei mir IMMER dann Filelaenge 0).
  342.       Verraet sich durch DOS-Requester.
  343.       Hinweis: Hallo Enforcer-Freunde. VT erzeugt hier beim Test
  344.          einen weiteren Enforcer-Hit. ($6c=ZeroPage)    
  345.       Nachtrag1: 14.01.92 Erkennungsroutine geaendert.
  346.       Nachtrag2: Stand 14.02.92
  347.          Leider haben mich einige Briefe erreicht, die darauf hin-
  348.          weisen, dass Hardwareschaeden (sinnlose Werte s.o.) durch BP3
  349.          verursacht werden. Stellvertretend ein Auszug:
  350.      ".... musste ich feststellen, dass der Steppermotor sich am Spindel-
  351.       ende zur Laufwerksmitte festgedreht hatte....
  352.       ... drehte die Spindel mit der Spitzzange zurueck...
  353.       ... das Laufwerk/Schreib-Lesekopf muss neu justiert werden."
  354.      Es ist also im Amiga-Bereich jetzt auch der Punkt erreicht, dass
  355.      Viren Hardwareschaeden verursachen koennen. NIE !!!!! eine unbe-
  356.      kannte Disk starten. Nehmen Sie sich die Zeit und testen Sie die
  357.      Disk mit einem AntiVirusProgramm ihrer Wahl durch !!!
  358.  
  359.    - BYTE VOYAGER I    Kicktag, KickCheckSum, im Prg. DoIo und $6c
  360.          immer ab $7F000, verschluesselt mit $DFF006
  361.  
  362.       Vermehrung und Schäden (auch HD !!):
  363.       Bootblock und schreibt in Block 880 "Infected by BYTE VOYAGER !!!!!"
  364.       Der Text ist bei Disks der neue Diskname.
  365.  
  366.    - Byte Voyager II    Kicktag, KickCheckSum, im Prg. DoIo und $6c
  367.          immer ab $7F000, verschluesselt mit $DFF006
  368.  
  369.       Vermehrung und Schäden (auch HD !!):
  370.       Bootblock und schreibt in Block 880 "Another Virus by Byte Voyager"
  371.       Der Text ist bei Disks der neue Diskname.
  372.  
  373.    - Byte Warrior (DASA)    (KickV1.2)
  374.          DoIo, KickTag, KickCheckSum
  375.          erster BB-Virus, der verschluesselt wurde
  376.       moegliches Ursprungsprogramm: ByteWarriorCreater
  377.                      gepackt: 6012 Bytes  (TNM)
  378.                    ungepackt: 7360 Bytes
  379.         Erzeugt mit FastMem   NDOS-Disk
  380.         Schreibt ohne FastMem ByteWarrior in Bootblock von DF1:
  381.  
  382.    - Cameleon-Virus  BB    siehe bei Little Sven
  383.  
  384.    - CCCP-Virus    Cool, im Prg. Vec3, DoIo, Openwindow, NewOpenLib !!!!
  385.       erstes VirusPrg. das sich als BB und als Link vermehren kann !!
  386.       im BB sichtbar: CCCP VIRUS
  387.       Link: verlaengert ein File um 1044 Bytes
  388.       befaellt keine Prg.e in l (z.B.libs), d (z.B.devs), f (z.B.fonts)
  389.  
  390.    - CENTURIONS     anderer Name: THE SMILY CANCER   siehe dort
  391.  
  392.    - Challenger   trojanisches Pferd
  393.       Keine Vektoren verbogen.
  394.       Herkunft: FF622  challenger_d.main  Laenge: 126336 Bytes
  395.       Ablauf (vgl. Snoopdos): Sobald Sie das Spiel starten, wird ein
  396.       Orginal-Setclock-Befehl (4884 Bytes) in SYS:devs/keymaps ange-
  397.       legt und in a umbenannt. In c: wird ein neuer Setclock-Befehl
  398.       angelegt:
  399.          Laenge gepackt mit Imploder: 4884  (explode.lib)
  400.                             entpackt: 7344
  401.       Weiterhin wird in SYS:devs/keymaps noch ein File mit Namen rca
  402.       angelegt:
  403.          Laenge gepackt mit Imploder: 5328  (explode.lib)
  404.                             entpackt: 8388
  405.       Vermehrung: nur nach SYS:
  406.       Der setclock-Befehl sollte in der startup-sequence stehen (ab
  407.       KS2.04 NICHT mehr notwendig !!!). Deshalb rufen Sie bei jedem
  408.       Boot-Vorgang auch diesen Befehl auf. Dies ist am 24. Juli eines
  409.       Jahres gefaehrlich. An diesem Tag wird das File rca auch aufge-
  410.       rufen. Es wird ein Text (schwarzer Hintergrund rote Schrift)
  411.       ausgegeben und der Rechner blockiert.
  412.          
  413.            Guten Tag, hier ist der Guru Ihres
  414.            Amiga-Computers. Laut Arbeitsvertrag
  415.            habe ich das Recht auf einen Medita-
  416.            tionstag pro Jahr. In meinem Fall ist
  417.            das der 24. Juli jeden Jahres. Da wir
  418.            heute dieses Datum schreiben, stehe ich
  419.            Ihnen erst morgen wieder zur Verfügung.
  420.            Bitte haben Sie Verständnis dafür, denn
  421.            auch wir Gurus müssen einmal ausruhen.
  422.  
  423.       Es sind noch weitere Texte in rca vorhanden, aber die wurden
  424.       bei mir nicht ausgegeben. Die Zerstoerung von Files wurde
  425.       von mir nicht festgestellt.
  426.       Empfehlung: entsprechende Files in c und keymaps loeschen und
  427.       setclock von OrgWB-Disk neu nach c: kopieren.
  428.       Arbeit mit VT:  (getestet: 16.04.92)
  429.       challenger_d.main  wird geloescht
  430.       c:setclock  es wird ein rename mit devs/keymaps/a versucht. Falls
  431.       nicht vorhanden, wird setclock allein geloescht. Sie muessen dann
  432.       unter KS1.3 setclock von OrgWB-Disk neu kopieren
  433.       devs/keymaps/rca  wird geloescht
  434.  
  435.    - Chaos      anderer Name: Taipan-Chaos
  436.       Cool, DoIo
  437.       BB codiert mit Wert aus $DFF006
  438.       Schaeden:
  439.       Vermehrung mit BB
  440.       sobald Zaehlzelle 8 erreicht hat:
  441.       alle Blocks einer Disk werden mit unsinnigen Werten gefuellt,
  442.       DisplayAlert: Chaos! by Tai-Pan   usw.
  443.       dann reset
  444.       Herkunft: Virusinstall V2.0
  445.  
  446.    - CHAOS-MASTER V0.5   File   PP-Laenge: 12972, ungepackt:16676
  447.             CHAOS-MASTER V0.5 im ungepackten File lesbar
  448.          Filename wahrscheinlich: dir
  449.          KEINE bekannten Vektoren verbogen, nicht resetfest
  450.       Schaeden und Vermehrung:
  451.          - dir-Befehl wird manchmal nicht ausgefuehrt. Ein kleines
  452.            Fenster erscheint: Error xyz, Return-Gadget
  453.             die Zahl xyz kann auch negativ sein und entspricht NICHT
  454.             dem DOS-Error-Code.
  455.          - Sie geben ein: dir df3:
  456.            Das Inhaltsverzeichnis von df3 wird ausgegeben und das
  457.            Virus-File nach df3:c/dir kopiert. Ein bereits vorhandener
  458.            Dir-Befehl wird ueberschrieben.
  459.          - Sie geben ein: dir prefs
  460.            Das Inhaltsverzeichnis von prefs wird ausgegeben und ein File
  461.            disk.info (Laenge:370 Bytes) nach prefs kopiert. Dieses File
  462.            enthaelt am Anfang die Icon-Struktur. Der groessere Teil der
  463.            Struktur ist durch Text ueberschrieben. Folge: Sie klicken
  464.            die Prefs-Schublade an, disk.info muesste als Icon darge-
  465.            stellt werden, geht aber nicht, da Struktur nicht in Ordnung.
  466.            Also stellt der Computer die Arbeit ein. Reset wird notwendig.
  467.            Text in disk.info: Sorry an alle User  usw.
  468.          - Sie geben ein: c/dir df3:
  469.            Inhaltsverzeichnis wird ausgegeben und das Virus-File nach
  470.            df3:c/r  (!!!! Programmierfehler) geschrieben.
  471.       Empfehlung: dir-Befehl loeschen (VT) und von OrgWB neu kopieren.
  472.  
  473.    - Charlie Braun      anderer Name: Hireling Protector V1.0
  474.       ForpibClone  s.u.    nur Text geaendert
  475.  
  476.    - CHEATER HIJACKER  BB   auch KS2.04    LameBlame-Clone s.u.
  477.          DisplayAlert-Text geaendert:
  478.             -+= CHEATER HIJACKER     usw.
  479.       Wird auch erzeugt von VIRUS TERMINATOR V6.0  s.u.
  480.  
  481.    - Check    Filevirus   PP-crunched   Laenge:18644
  482.       Process: HardDisk.device
  483.       in C-Aztek
  484.       Schaeden: alle 5 Min (delay $3a98) Bild (Totenkopf) und Sound
  485.       fuer kurze Zeit
  486.       KEINE Vermehrungsroutine gefunden
  487.  
  488.    - Claas Abraham     andere Namen: Abraham, MCA
  489.       Cold, Cool, KickTag, KickCheckSum, $68
  490.       braucht FastRam !!!!! Angefordert mit #$4,d1 und AllocMem
  491.       (Programmierfehler ????)
  492.       im Prg.Ablauf erst BeginIo
  493.       Vermehrung: ueber BB
  494.       Schaden: nach $F-Resets Formatierung
  495.       Eor-Byte wird fuer neuen BB aus $DFF006 erzeugt
  496.       entschluesselt steht im Speicher:
  497.       >>> Claas Abraham Virus !!! <<<
  498.  
  499.    - Clist-Virus    anderer Name: U.K.LamerStyle
  500.       Begin, Kicktag, KickCheckSum
  501.       entschluesselt steht im Speicher:
  502.    expansion ram.trackdisk.device..clist.library.clist 33.80 (8 Oct 1986).
  503.       Vermehrung: ueber BB
  504.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  505.       schluesselungsByte wird mit $DFF006 festgelegt.
  506.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  507.       und !!!! mit allocabs eingetragen.
  508.  
  509.    - CODER     anderer Name: Coders Nightmare
  510.       immer $7f600, DoIo, KickTag, KickCheckSum, $68
  511.       im BB steht unverschluesselt:
  512.       Bootblock installed with 'CODER' - The Ultimate Viruskiller!!
  513.       Vermehrung: ueber BB
  514.       im Speicher steht (entschluesselt mit ror.b #2,d1):
  515.             Something WONDERFUL has happened!!
  516.          Your Amiga is alive, and it is infected with the
  517.          'Coders Nightmare Virus'. - The ultimate key-killer,
  518.          masterminded by the megamighty Mr. N of
  519.          The Power Bomb Systems!!
  520.  
  521.    - Coders Nightmare    anderer Name: CODER  s.o.
  522.  
  523.    - Color   Filevirus  Laenge: 2196Bytes
  524.          DoIo immer $70000, Cool
  525.          belegt sinnlos 102400 Bytes ChipMem,
  526.          taeuscht durch ein Graphik-Demo, schwarzer Hintergrund und
  527.          drei Balken (rot, gruen, blau) und installiert gleichzeitig
  528.          ab 70000 das Virusprogramm und ab 7F000 den Virus-BB (TURK).
  529.          Veraendert die startup-s. NICHT.
  530.          Schaeden:
  531.          Bei DoIo-Einsprung wird der Virus-BB geschrieben.
  532.          Bei Cool-Einsprung wird $5000 x TURK in den Speicher geschrieben.
  533.  
  534.    - CompuPhagozyte   File  Laenge ungepackt: 1452
  535.          keine Vektoren verbogen
  536.          sichtbar z.B.: The CompuPhagozyte usw.
  537.          Erstellt eine Fensterleiste mit dem Text:
  538.             Virus-Checker V4.0 by ... (Name)
  539.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  540.          Gegensatz zum echten Virus-Checker NICHTS passiert. Wartet
  541.          auf CloseWindow und DiskInserted.
  542.          Schaeden:
  543.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  544.          nicht schreibgeschuetzten Disk mit c/Virus-Checker bei mir das
  545.          Org-Prg auf 1452 Bytes gekuerzt. (also keine Vermehrung)
  546.          Empfehlung: loeschen und Org-Virus-Checker neu aufspielen.
  547.  
  548.    - CompuPhagozyte 2  File  Laenge ungepackt: 1148
  549.          keine Vektoren verbogen
  550.          sichtbar z.B.: The CompuPhagozyte usw.
  551.          Erstellt eine Fensterleiste mit dem Text:
  552.             VirusX 5.00 by ... (Name)
  553.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  554.          Gegensatz zum echten VirusX NICHTS passiert. Wartet auf Close-
  555.          Window und DiskInserted.
  556.          Schaeden:
  557.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  558.          nicht schreibgeschuetzten Disk mit c/VirusX bei mir das
  559.          Org-Prg auf 1148 Bytes gekuerzt. (also keine Vermehrung)
  560.          Empfehlung: loeschen und Org-VirusX 4.01 neu aufspielen.
  561.  
  562.    - CompuPhagozyte 3  File  Laenge ungepackt: 568 , cool,  immer $7C000
  563.        Wird in einem anderen Viren-Checker als Compuphagozyte II gefuehrt.
  564.        Dieser Namensgebung kann ich nicht folgen, da die Unterschiede zu
  565.        C 2 (siehe oben) zu gross sind.
  566.          fuer mich KEIN Virus, Routine veraltet, KEINE Vermehrung
  567.          im Prg zu lesen:
  568.          THE COMPUPhagozyte in 9.91 !!!
  569.          The Emperor Of   usw
  570.          Legt ab $7C000 ein kleines Prg ab, das durch cool resetfest sein
  571.          soll (geht z.B nicht mit 1Mb). Dieses Prg loescht Cold, Warm,
  572.          KickMem, KickTag, KickCheckSum.
  573.          Wird von VT nur im Speicher erkannt.
  574.          Empfehlung: File loeschen
  575.  
  576.    - CompuPhagozyte 4  File  Laenge ungepackt: 916 Bytes
  577.      df0:A0A0A0A0   (unsichtbar in Root)
  578.          df0:s/startup-sequence
  579.          COMPUPhagozyte !!!  am Fileende zu lesen  
  580.      Testet OldOpenLib auf $FC1430  = KS 1.2
  581.  
  582.    - CompuPhagozyte 4a  File  Laenge ungepackt: 892 Bytes
  583.      :A0A0A0A0   (unsichtbar in Root)
  584.          :s/startup-sequence
  585.          COMPUPhagozyte am Fileanfang zu lesen
  586.      - CompuPhagozyte 4 und 4a gleich:
  587.     Cool immer $7C600 , OldOpenLib immer $7E000
  588.         Reserviert mit AllocAbs 3 Speicherbereiche:
  589.          $7C000   ganzes VirusPrg
  590.          $7C600   CoolRoutine fuer RESET
  591.          $7E000   OldOpenLibRoutine fuer Vermehrung
  592.  
  593.         Vermehrung:
  594.      Falls ein anderes Prg die oldopenlib-Routine aufruft, wird
  595.          eine Vermehrung versucht. Kein Schreibschutztest vorher.
  596.          Speicher ab $7C000 soll als A0A0A0A0-File auf Disk geschrieben
  597.          werden. Danach wird die startup-sequence geaendert.
  598.         Empfehlung: sofort loeschen und auch startup-sequence ueber-
  599.                     pruefen.
  600.         Erkennung mit VT getestet: 08.09.92
  601.         Loeschen mit VT getestet : 08.09.92
  602.  
  603.  
  604.    - Crackright    anderer Name: Disk-Doktors  s.u.
  605.  
  606.    - Crime! Linkvirus verlaengert ein File um 1000 Bytes. Haengt sich
  607.       an den ersten Codehunk an. Cool, AllocMem, Dos: Open, LoadSeg,
  608.       Dosbase+$2e
  609.       KS2.04 = NEIN
  610.       Kein Meldeprogrammteil gefunden.
  611.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  612.       Routine fehlt. (nach 3 Links ans gleiche File habe ich aufgehoert)
  613.       Allerdings muss dazwischen immer ein anderes File aufgerufen wer-
  614.       den, damit der Filenamenbuffer (vom VirusPrg. angelegt) ueberschrie-
  615.       ben wird.
  616.       Im Speicher werden 19 Bytes mit eori.b #$5e,-1(a5) decodiert:
  617.                   Crime!00dos.library
  618.       Vermehrungsbedingungen:
  619.             - Flag Disk o.k. ($52)
  620.             - #16 Block free
  621.             - File kleiner als #102400  (#$19000)
  622.             - 1.LW #$3F3  (File ausfuehrbar)
  623.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  624.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  625.               dann $4E71 (NOP) ein.
  626.               oder
  627.               wird bis $3E+1 Wort-Schritte zurueck gefunden. Virus traegt
  628.               dann $60xy (bra.s xy) ein.
  629.             - Name enthaelt nicht: #, *, -, ., ?,
  630.  
  631.       Speichererkennung mit VT getestet: 15.02.92
  632.       Ausbau mit VT getestet:            16.02.92
  633.       wichtig !!!!!!!!!!
  634.       VT sollte im Filetest das befallene File sicher finden. Da die
  635.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  636.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  637.       VT meldet sich dann NICHT !!!
  638.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere CrimeLinks ans gleiche
  639.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  640.       sich bitte. Danke
  641.  
  642.    - Crime!++ Linkvirus verlaengert ein File um 872 Bytes. Haengt sich
  643.       an den ersten Codehunk an. Cool, Wait, Dos: Dosbase+$2e
  644.       KS2.04 = NEIN (die Linkroutine wird zwar aktiviert, aber Dosbase+$2e
  645.          stimmt NICHT. Deshalb kein Link sondern haeufig GURU.
  646.       Kein Meldeprogrammteil gefunden.
  647.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  648.       Routine fehlt. (nach 5 Links ans gleiche File habe ich aufgehoert)
  649.   
  650.       Im Speicher werden $1A5+1 Worte mit eor.w d1,(a0)+ decodiert:
  651.                   Crime!++
  652.          d1 wird bei jedem Linkversuch ueber $DFF00A neu festgelegt.
  653.       Vermehrungsbedingungen:
  654.             - Flag Disk o.k. ($52)
  655.             - #16 Block free
  656.             - File kleiner als #102400  (#$19000)
  657.             - 1.LW #$3F3  (File ausfuehrbar)
  658.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  659.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  660.               dann $4E71 (NOP) ein.
  661.               oder
  662.               wird bis $3F+1 Wort-Schritte zurueck gefunden. Virus traegt
  663.               dann $60xy (bra.s xy) ein.
  664.  
  665.       Speichererkennung mit VT getestet: 24.05.92
  666.       Ausbau mit VT getestet:            25.05.92
  667.  
  668.       wichtig !!!!!!!!!!
  669.       VT sollte im Filetest das befallene File sicher finden. Da die
  670.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  671.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  672.       VT meldet sich dann NICHT !!!
  673.       wichtig 2:
  674.       verseuchte Files sind lauffaehig:
  675.          VT sollte den Urzustand wieder herstellen koennen.
  676.       verseuchte Files sind NICHT lauffaehig:
  677.          Die Linkroutine ist nicht ++ , sondern enthaelt mehrere Fehler-
  678.          quellen, die in Crime! nicht vorhanden waren. EINEN Fehler er-
  679.          kennt VT und versucht ihn beim Ausbau auszubessern. Bitte mit
  680.          einer Kopie ausbauen !!!!
  681.       wichtig 3:
  682.          Es werden AUCH Files mit einem "." im Namen verseucht.
  683.          Beweis: Es wurde ein Datablock ausgedruckt. Danach waren ver-
  684.          seucht: c/print, devs/printer.device, devs/parallel.device,
  685.          und devs/printer/NEC  .
  686.       wichtig 4: Nach dem Ausbau rufen Sie bitte BlockITest auf und
  687.          loeschen alle jetzt noch gefunden Crime!++ - Bloecke (auf
  688.          der Diskkopie!!!). Das entseuchte File wird nicht unbedingt
  689.          an die gleiche Stelle auf der Disk zurueckgespielt und so
  690.          kann ein NICHT mehr aufrufbarer Block stehenbleiben. Danach
  691.          rufen Sie bitte Blockkette auf und testen die Files auf
  692.          richtige Verkettung. Sollten vor BlockITest bei BlockKette
  693.          alle Files noch in Ordnung gewesen sein und jetzt nicht mehr,
  694.          dann fuehren Sie bitte mit der Disk, die noch nicht mit
  695.          BlockItest nachbehandelt wurde ein EinzelFileCopy durch. Auch
  696.          hier werden nur die belegten und benutzten Blocks kopiert.
  697.          UND rufen Sie mich bitte an. Danke
  698.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere Crime++Links ans gleiche
  699.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  700.       sich bitte. Danke
  701.       Ursprung:  driveinfo  trojanisches Pferd  s.u.
  702.  
  703.    - D-Structure A/B-Virus
  704.       immer ab $7C000  oldOpenLib immer $7C06E   Write (-$30) immer
  705.       $7C0CC   nicht resetfest
  706.       Name: D-Structure   in der Mitte des Files zu lesen
  707.       Typ A: Filelaenge: 428 Bytes
  708.       Typ B: Filelaenge: 352 Bytes     (haeufig Absturz)
  709.       Ablauf:
  710.       - allocabs $7C000
  711.       - oldOpenlib wird gerettet und verbogen
  712.       - wenn nun ein anderes Programm oldopenlib aufruft, wird getestet
  713.         ob dos.library geoeffnet werden soll.
  714.           wenn nein:  z.B. intuition.lib
  715.             - newopenlib wird ausgefuehrt und D-Structure wartet weiter
  716.           wenn ja:
  717.             - dosBase wird gerettet
  718.             - Org-Write wird gerettet und verbogen
  719.             - oldopenlib wird zurueckgesetzt
  720.             - newopenlib wird ausgefuehrt
  721.           beim 5. Aufruf von Write wird nun nicht das Gewuenschte ge-
  722.           schrieben (in cli, auf disk usw.), sondern das VirusPrg ab
  723.           $7C000. Dieses File auf Disk ist leider nicht zu retten.
  724.            - VirusPrg meldet sich NICHT !!!!
  725.       Empfehlung: loeschen Sie das VirusPrg und alle zerstoerten Files.
  726.                   Ueberpruefen Sie bitte die startup-sequence.
  727.         D-Structure A/B-File-Erkennung mit VT getestet: 09.09.92
  728.         D-Structure A/B-Speicher mit VT getestet:       09.09.92
  729.  
  730.  
  731.    - DAG   Cool, im Prg DoIo und zurueck, Fastmem ja, immer ab $7ec00
  732.       eine Meisterleistung: in den SCA-Text wurde eingebaut:
  733.                Try ANTIVIRUS from DAG
  734.       Erzeuger: DAG_Creator   ungepackt:7000 Bytes
  735.          schreibt Dag in BB von df1:
  736.  
  737.    - DARTH VADER   File  Laenge: 784 Bytes
  738.       Cool und nach Reset auch OldOpenLib
  739.       Vermehrung und Schaeden:
  740.          - sobald OldOpenLib verbogen ist, versucht sich das Prg.
  741.            im Root-Verzeichnis als $A0 zu vermehren. In die 1.Zeile
  742.            der Startup-Sequence wird $A00A geschrieben.
  743.          - sobald in der Zaehlzelle der Wert 6 steht, wird mit
  744.            Output ausgegeben:
  745.                VIRUS(V1.1) BY DARTH VADER
  746.       Fehlerquellen:
  747.          nicht mit KS2.04
  748.          nicht mit FastMem
  749.          mit 1Mb Chip nur mit setpatch r
  750.          Kann nur eine startup-sequence bis zur Groesse #1000 richtig
  751.          veraendern.
  752.       Empfehlung: loeschen und 1.Zeile in der startup-sequence mit
  753.                   Editor ebenfalls loeschen.
  754.       Loeschen mit VT getestet: 26.04.92
  755.  
  756.    - D&A FileVirus  Laenge:1052 Bytes  anderer Name SCA Dos Kill
  757.       Cool immer $7E3CE und nach Reset auch DoIo
  758.       KS2.04: keine BB-Verseuchung gelungen, Vektoren aber verbogen
  759.       Schaeden: Das FileVirus schreibt bis KS1.3 auf eine nicht schreib-
  760.       geschuetzte Disk einen BB dem die DOS0-Kennung fehlt. Dort steht
  761.       dafuer $00000400 . Das Betriebssystem meldet deshalb mit einem
  762.       Requester "Not a Dos Disk" . Schreiben Sie einfach einen Standard-
  763.       Bootblock auf diese Disk. Der defekte BB ist ein leicht geaenderter
  764.       SCA-BB (z.B. SCA! durch D&A! ersetzt). Das File muessen Sie loeschen.
  765.       Schauen Sie bitte auch in der startup-sequence nach, ob dieser File-
  766.       name vorkommt und loeschen Sie diese Zeile.
  767.       Vermutung: Dieser BB wurde mit einem Prg. erzeugt, das aus einem
  768.       BB ein Execute-File macht. Gibt es leider auch auf FF. Lesen Sie
  769.       dazu auch FileTest bei SP-File-Sp in VT2.xyd .
  770.  
  771.    - DASA  anderer Name: ByteWarrior  s.o.
  772.  
  773.    - DAT '89   nur KS1.2 da DoIoRomEinsprung, KickTag, KickCheckSum
  774.       immer 7F800, versucht durch Text im BB zu taeuschen:
  775.             THIS BOOT RESETS ALL VECTORS   usw.
  776.       Sobald die Zaehlzelle $F erreicht, DisplayAlert:
  777.                      DAT '89!!!
  778.       Fordert NICHT trackdisk.device !!!!
  779.       Schaeden:
  780.          schreibt sich in BB
  781.          zerstoert Block 880 und 881 (bei Disk Root)
  782.  
  783.    - DATA CRIME   CCCP-Clone    s.o.
  784.       BB Vermehrung auch mit ROM KS2.04
  785.          CCCP-VIRUS in DATA CRIME geaendert (irre Leistung)
  786.             hat aber bei VT NICHTS genuetzt !!!, also lasst das
  787.  
  788.    - DATACRIME-killer  BB  s.o. ASV-BB
  789.       Endlich hat es wieder jemand geschafft den ASCII-Text zu aendern ..
  790.          THIS BOOTBLOCK KNOWS SOME OLD AND NEW VIRUSES  usw.
  791.             Wird von VT weiterhin als ASV erkannt. Pech gehabt !!
  792.  
  793.    - Deniz  Cool SCA-Clone
  794.          Vermehrung auch mit KS2.04
  795.          nur Text geaendert
  796.  
  797.    - DERK1 u. 2  BB     richtiger Name: MALLANDER VIRUS V1.0
  798.          Hinweis: Derk1=Derk2
  799.          Beweis fuer Nichtassemblerfreaks: nutzen Sie die Funktion
  800.          vgl. in VT . Die 1 und 2 in der BB-Checksum ergeben sich aus
  801.          den abgespeicherten unterschiedlichen DoIo's. Sonst KEINE
  802.          Unterschiede .
  803.  
  804.    - Destructor   Cold
  805.          im BB sichtbar:
  806.             Destructor_Virus v1.2 Written by Aldo Reset.
  807.             (c) M.C.T. Ltd 1990- Everything is under control !
  808.             (eh!eh!)
  809.          keine Vermehrungsroutine gefunden
  810.          zerstoert beim naechsten Reset ueber Cold eine nicht
  811.          schreibgeschuetzte Disk indem jeder 4. Track ueberschrieben
  812.          wird.
  813.  
  814.    - DIGITAL AGE = Rude Xerox = Forpib-Clone
  815.          nur Text geaendert
  816.  
  817.    - DIGITAL EMOTIONS   Cool, im Prg. DoIo und zurueck, immer $7ec00
  818.          im BB immer sichtbar: *** DIGITAL EMOTIONS ***
  819.          je nach Zaehlerstand
  820.          - wird eigener BB geschrieben oder
  821.          - Track 0 mit 'VIRUS ' beschrieben.  Folge: keine Dos-Disk
  822.          Textausgabe (decodiert mit -1) ueber DisplayAlert:
  823.                 KickStart ROM Corrupted at $c00276
  824.  
  825.    - DirtyTricks  richtiger Name Incognito
  826.       (das VirusPrg speichert am Ende des BB`s Tabellen mit ab, die
  827.        sich nach Speicherlage und Konfiguration des Amiga aendern.
  828.        Beim Booten des Viruses werden die Tabellen neu angelegt !!!)
  829.  
  830.    - DISASTER MASTER V2  ( cls * )   1740 Bytes
  831.          eigenstaendiges Prg. fuer startup-sequence
  832.          KickTag, KickCheck
  833.          im Prg. DoIo und wieder zurueck
  834.          Cool und Cold werden geloescht
  835.       Entfernung: 1.Zeile in startup. loeschen
  836.                   cls in DfX:c loeschen
  837.          Erstellungsprogramm:
  838.          Intro-Maker von T.C.R. Laenge: 10624 Bytes
  839.           (war vor der Entdeckung z.B. auf Franz 47)
  840.  
  841.    - Disk-Doktors (KickV1.2)
  842.          Die angeblichen Mutanten unterscheiden sich in $4 (Pruefsumme)
  843.          und von $390-$3A8 (Variablenablage = bei jedem Reset anders)
  844.  
  845.    - Disk-Herpes    Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  846.          wird haeufig mit Phantasmumble verwechselt, Fastmem ja
  847.          Vermehrung: ueber BB
  848.          Schaden: schreibt auf Track 80 (Root) Speicherinhalt ab
  849.          $60000. Folge: Disk BAD
  850.          Graphikroutine: Deutschlandfahne + Text (auch im BB sichtbar)
  851.               --- Hello Computerfreak ---
  852.             You've got now your first VIRUS
  853.               ** D i s k - H e r p e s **
  854.               Many Disks are infected !!
  855.             Written by >tshteopghraanptha<
  856.                 c 27.07.1987 in Berlin
  857.  
  858.    - Disk.info   Laenge: 370 Bytes  KEINE Vermehrung
  859.          Ein OrginalWB1.3-Icon wurde in der Struktur geaendert. (Text
  860.          eingebaut z.B. This is a little present for all Lamers
  861.          abroad ). Sobald Sie diese Disk einlegen und es muesste das
  862.          Disk-Icon auf der WB angezeigt werden, stuerzt der Rechner
  863.          ab. Haben Sie die Startup-Sequence im Cli abgebrochen, so
  864.          muss kein Icon dargestellt werden und deshalb koennen Sie
  865.          mit dieser Disk ohne Probleme arbeiten. AbHilfe: Ersetzen
  866.          Sie Disk.info .       Herkunft: unbekannt  (Disk-Packer ???)
  867.  
  868.    - Disktroyer V1.0  File Laenge ungepackt: 804 Bytes
  869.          AllocMem
  870.          auch mit KS2.04
  871.          Versucht durch Loeschen des Cli-Fensters zu taeuschen.
  872.          Ich vermute deshalb, dass das File als Cls-Befehl getarnt
  873.          wird.
  874.          Im File zu lesen: Disktroyer V1.0   usw.
  875.          Keine Vermehrungsroutine
  876.          Schaeden, wenn:
  877.             - allocmem angesprungen wird und
  878.                - in der Zaehlzelle der Wert $96 steht
  879.                - Disk im Laufwerk liegt
  880.                - Disk nicht schreibgeschuetzt ist dann:
  881.             - Kopfstep (Zerstoerung der Disk(s)) alle Laufwerke
  882.                (Routinen stehen nach meiner Meinung genau so in einem
  883.                   bekannten Buch !!!!!)
  884.             - DisplayAlert: Disktroyer V1.0    usw.
  885.          Empfehlung: File loeschen (VT) und startup-sequence ueber-
  886.             pruefen
  887.  
  888.    - DiskVal1234      Disk-Validator   Laenge:1848 Bytes
  889.          Grundgeruest ist der SADDAM-Disk-Validator  (siehe unten)
  890.          Aenderungen: nicht mehr codiert als Disk-Validator (lesbar
  891.            am Fileende z.B. strap, mycon.write usw )
  892.            Veraendert Bloecke die mit 8 beginnen:
  893.            Schreibt in diese Bloecke nach $5a  1234  und ab $64 dann
  894.            66x 4e71 (NOP). (Also nicht mehr Austausch von 8 mit IRAK)
  895.  
  896.            Rufen Sie dann ein solches File auf, so stuerzt der Rechner
  897.            ab, da ja wichtiger PrgCode mit NOPs ueberschrieben wurde
  898.            (bei mir wird der Bildschirm gelbbraun).
  899.            So leid es mir tut, diese Files koennen NICHT gerettet wer-
  900.            den. VT bietet loeschen an. Es kann also sein, dass ihre
  901.            ganze Disk unbrauchbar wird.
  902.  
  903.    - DIVINA EXTERMINATOR I   Cool, DoIo, Inter.5 und $64. Im Prg dann
  904.          noch $68 und $6c. Ueberschreibt SetPatchListe ab $C0.
  905.          Codiert BB neu mit Wert aus $DFF006 (steht dann im BB $3F6)
  906.          nach eor.w d0,d1   ist im Speicher zu lesen:
  907.             VIRGO PRESENTS DIVINA EXTERMINATOR I
  908.          Versucht einen sauberen OrgBB vorzutaeuschen.
  909.          Schaeden und Vermehrung: BB
  910.          nach 3 Vermehrungen: beginnt die K-Taste abzufragen und bis
  911.          10 in einer Zaehlzelle abzulegen. Dann wird nach $4 (ExecBase-
  912.          Zeiger) der Wert 0 geschrieben = Absturz
  913.          Ursprung: -p-turbo.dms
  914.  
  915.    - DIVINA II  s.o. DIVINA EXTERMINATOR I
  916.          Das Decodierwort in $3F6 ist anders. Grund s.o.
  917.          (schafft endlich die Brainfiles ab !!! und disassembliert
  918.           den VirenCode sauber und vollstaendig)
  919.  
  920.    - DOSSPEED  (Neuseeland)  richtiger Name: Revenge of the Lamer
  921.  
  922.    - Dotty-Virus    immer $7F000  KickTag, KickCheckSum
  923.          im Programm: DoIo, Vec5
  924.          Fordert trackdisk.device NICHT
  925.          Vermehrung: BB
  926.          weitere Schaeden:
  927.          modifiziert PRIVAT-intuition-struktur
  928.  
  929.    - DUMDUM  BB   auch mit KS2.04    immer ab $7FA00
  930.          Cool, im Prg DoIo, $64, $80  (Hallo Enforcer-Freunde)
  931.             Text im BB lesbar:
  932.          You are the owner of a DUMDUM virus please unprotect
  933.          disk disk to kill!
  934.             (machen Sie das BITTE NICHT)
  935.          Textausgabe mit DisplayAlert
  936.          Schaeden und Vermehrung:
  937.          - Vermehrung ueber BB
  938.          oder:
  939.          - Format Disk
  940.  
  941.    - DriveInfo V0.91 by ESP   trojanisches Pferd, Laenge: 1704 Bytes
  942.          (PP-Data und ein decrunch-header davor)
  943.             entpackt: Laenge: 1740 Bytes
  944.             Im File ist dann z.B. zu lesen: EAST SIDE POWER 91/92
  945.          KS2.04: NEIN  Findet dann KEIN Laufwerk und meldet sich mit
  946.             Requester. Nach kurzer Zeit dann GURU beim Arbeiten.
  947.          Versucht unter KS1.3 zu taeuschen, indem Laufwerksdaten (Drive,
  948.           Volume usw.) ausgegeben werden.
  949.          Verhindert hierbei AutoRequest. Installiert mit addintserver
  950.          "Install yeah!" . Wird nach Crime!++ - Installierung mit Rem-
  951.          IntServer wieder entfernt. Interrupt = 5 .
  952.          Installiert nach etwa EINER Minute (das ist echt neu) Crime!++
  953.          im Speicher (Cool, wait usw. s.o.).
  954.          Empfehlung: sofort loeschen
  955.             siehe auch :  Crime!++
  956.  
  957.    - EM-Wurm        (zielgerichtet gegen EUROMAIL)
  958.          nicht resetfest
  959.          immer:
  960.          schreibt in startup-sequence  $A0,$0A  (1.Zeile)
  961.          eigener Process: clipboard.device
  962.          schreibt in c: $A0, Laenge: 3888 Bytes (ASCII-Text vorhanden)
  963.          schreibt in 5.Byte von c:protect (falls vorhanden) $01
  964.          Folge: protect wird unbrauchbar
  965.          Zerstoerungsroutine:
  966.          Wird nur ausgefuehrt wenn Verzeichnis EM, EUROMAIL oder
  967.          EUROSYS vorhanden ist.
  968.          Ueberschreibt alle Files in obengenannten Schubladen mit
  969.          Speicherinhalt ab MsgPort. In zerstoerten Files ist ab $BC
  970.          clipboard.device zu lesen.
  971.          Dann wird mit dosdelay $259A eine 3 Minuten Pause eingelegt.
  972.          Nach dieser Pause wird die Zerstoerungsroutine wieder in der
  973.          Schleife aufgerufen.
  974.          Ursprungsprogramm:
  975.          QuickInt   PP-crunched  Laenge: 3196 Bytes
  976.          Mein VT loescht den Process  n i c h t, sondern fuellt ihn
  977.          mit NOP's.
  978.          Einige Programmteile, z.B. Autorequester, con usw. konnten
  979.          nicht getestet werden, weil ich EUROMAIL nicht besitze. Diese
  980.          Teile werden ebenfalls mit NOP's ueberschrieben. Falls des-
  981.          halb bei aktivem EUROMAIL-Programm ein GURU erscheint, bitte
  982.          ich um Hilfestellung. Danke !!
  983.  
  984.    - Ethik-Virus   siehe bei SHIT
  985.  
  986.    - Excreminator 1   File    Laenge: 2392 Bytes   auch KS2.04
  987.          KEINE verbogenen Vektoren
  988.          KEINE Vermehrungsroutine
  989.          KEINE Schreibroutine fuer Startup-Seq
  990.          Versucht durch angeblichen Virustest zu taeuschen.
  991.          Im File zu lesen: The Lame Trio  usw.
  992.          verraet sich durch System-Requester: Write-pro....
  993.          Schaeden:
  994.          Versucht in libs Exec.library (4 Bytes) als Zaehlerfile
  995.          (Startwert=5) anzulegen.
  996.          Verringert dann bei jedem Aufruf den Zaehler.
  997.          Bei 0  KopfStep ALLE Laufwerke
  998.          Folge: Not a DOS Disk
  999.          und mit DisplayAlert: LAME SUCKER  usw...
  1000.          danach RESET
  1001.          Empfehlung: beide Files sofort loeschen und gegebenenfalls
  1002.          Startup-Seq. ueberpruefen.
  1003.  
  1004.    - Express2.20-Virus  keine Vermehrung (also von Def. kein Virus)
  1005.          keine verbogenen Vektoren, Zerstoerungsprogramme
  1006.          1. File Express2.20   Laenge: 194064
  1007.          2. File aibon         Laenge: 776
  1008.          aibon haengt am Ende von Express2.20 und wird mit jmp ange-
  1009.          sprungen.
  1010.          Am Ende der Files ist zu lesen bbs: sys: ram: dos.library .
  1011.          Naja werden Sie denken wieder mal gegen Ami-Express gerichtet.
  1012.          Trifft mich nicht, hab ja keine Mail-Box. Halt !!!! Vorsicht !
  1013.          Das Starten von Express2.20 reicht um Sie an die Decke gehen
  1014.          zu lassen.
  1015.          Zerstoerungsablauf:
  1016.          - Sie starten Express2.20 von Sys-Ebene  (halt mal sehen was
  1017.          das Programm macht)
  1018.          - aibon wird nach :s kopiert
  1019.          - :s/startup-sequence wird auf EINE Zeile :s/aibon gekuerzt
  1020.          - Requester   Datentraeger bbs einlegen
  1021.          - Sie haben keine Mailbox und klicken  cancel
  1022.          - Tastatur wird gesperrt
  1023.          - und jetzt gehts los
  1024.          - jedes File in sys: wird eingelesen und mit 42 Bytes Laenge
  1025.            zurueckgeschrieben. Da kommt Freude auf.
  1026.          - Also Tastatur-Reset  (geht leider nicht siehe oben)
  1027.          - Also nehmen Sie not validated in Kauf und schalten schnell
  1028.            den Computer 1 Minute aus.
  1029.          - Computer wieder an UND es wird weiter geloescht
  1030.             (richtig:   sys:s/startup-sequence mit der Zeile :s/aibon
  1031.              existiert noch)
  1032.            Das merken Sie aber erst so nach 40 Sekunden, weil ihre
  1033.            startup-sequence fuer die Festplatte immer eine Zeit braucht.
  1034.          - Um hier noch etwas zu retten brauchen Sie eine WB-Disk von
  1035.            der Sie booten koennen und im Zweifelsfalle ihre Festplatte
  1036.            anmelden zu koennen. Kopieren Sie auf ihre Festplatte eine
  1037.            neue startup-sequence und hoffen Sie, dass Sie schnell genug
  1038.            waren und einige Files noch nicht zerstoert wurden.
  1039.          Nachtrag: Falls bbs: gefunden wurde, werden natuerlich zuerst
  1040.            dort alle Files zerstoert.
  1041.          Herkunft: d-aex220.lha  Laenge 135400
  1042.               angeblich neues Ami-Express
  1043.          Erkennung der beiden Files mit VT getestet:  09.09.92
  1044.  
  1045.    - EXTREME
  1046.          DoIo, KickTag, KickCheckSum, Rasterstrahl
  1047.          entweder 7f800 oder ff800, da Berechnung ueber SysStkLower+$1000
  1048.          lesbarer Text im BB: THE EXTREME ANTIVIRUS  usw.
  1049.          sobald Zaehlzelle Null :
  1050.          Zerstoeren (Disk BAD) aller nicht schreibgeschuetzten Disks
  1051.          in allen LW und Alertmeldung
  1052.          Vermehrung: ueber BB
  1053.  
  1054.    - F.A.S.T.
  1055.          Cool, DoIo , FreeMem, immer ab $7F000
  1056.          Alertmeldung (verschluesselt mit eori-Byte in Abhaengigkeit
  1057.          von $DFF006) und loeschen
  1058.          veraendert auch $C0-$E0  (SetPatchListe!)
  1059.          Vermehrung: BB
  1060.  
  1061.    - F.A.S.T. 1     FAST-Clone
  1062.          im BB wurde der codierte Prg.Teil um einige Bytes verschoben,
  1063.          um im BB-Kopf dos.library einbauen zu koennen. Die Speicher-
  1064.          lage wurde nicht veraendert.
  1065.  
  1066.    - F.I.C.A
  1067.          Beginio, KickTag, KickCheckSum, SumKickData
  1068.          Vermehrung: BB
  1069.          Besonderheit: spielt sauberen BB vor
  1070.          sichtbarer Text im BB ab $288
  1071.          z.B. F.I.C.A RULES!
  1072.  
  1073.  - Fast Eddie  starke Aehnlichkeit mit Glasnost Block 2 u 3
  1074.          KickTag, KickCheckSum
  1075.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  1076.          fordert trackdisk.device NICHT.
  1077.          Wird aktiv wenn Block 880 gelesen wird
  1078.          Schaeden:
  1079.          blockiert nach 15 oder 20 Min. Rechner
  1080.          schreibt eigenen BB
  1081.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  1082.          in diesen Block ab $100  Fast Eddie .
  1083.          Dieser Block kann NICHT gerettet werden.
  1084.          Benennt Disknamen um  ( This disk is infected (HE-HE) ) .
  1085.          Codiert jeden BB neu mit ByteWert von $DFF006  eor.b d1,(a0)+ .
  1086.          Decodiert eigenen BB  mit  eor.b d6,(a0)+ .
  1087.          Decodiert im Speicher :
  1088.             Call 43-444304 and ask for HENRIK HANSEN (FAST EDDIE)
  1089.  
  1090.    - FORPIB    kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  1091.          Vermehrung: ueber BB
  1092.          besorgt sich Speicher ueber MemList, Speicher fuer neuen
  1093.          VirusBB mit AllocMem
  1094.          Im BB sichtbar:  - FORPIB - 09.88 - N° 197102 -    usw.
  1095.  
  1096.    - Freedom     reines Zerstoerungsprogramm  Laenge: 10876Bytes
  1097.          Herkunft: Freedom!.LZH   8153 Bytes
  1098.          Fordert trackdisk.device; keine verbogenen Vektoren
  1099.          versucht durch Text zu taeuschen:
  1100.          Freedom !      by Steve Tibbett
  1101.          Checking df0: for 126 viruses
  1102.          nach kurzer Zeit wird abwechselnd ausgegeben:
  1103.          SADDAM-Virus removed !
  1104.          oder
  1105.          SMILY CANCER-Virus removed !
  1106.          Schaden: schreibt in jeden 5.Block (also auch Root=880)
  1107.             Datenmuell, der nach einigen Tracks sogar den Inhalt
  1108.             wechselt (vermutlich soll Blockerkennung verhindert
  1109.             werden). Durch die vielen zerstoerten Bloecke ist eine
  1110.             Rettung mit DiskSalv unwahrscheinlich. Daten also ab-
  1111.             schreiben und Disk formatieren.
  1112.          Mit etwas Glueck erkennt VT beim BitMapTest eine Freedom-Disk.
  1113.          Beim BlockITest meldet sich VT nicht, da der Muell von Disk zu
  1114.          Disk und auch nach einigen Tracks wechselt.
  1115.  
  1116.  
  1117.    - FrenchKiss   belegt auf Track 0 Block 0 bis 5
  1118.          Ich besitze nur Bl 0 u. 1 . Ein echter Virus !!!
  1119.          Cool, DoIo, $6c, Vec5,
  1120.          immer ab $7f0d0
  1121.          Vermehrung: Block 0 bis 5 auf Track 0
  1122.          Schaeden:
  1123.          Je nach Zaehlerstand wird Track 0 ueberschrieben oder Track 80
  1124.          (bei Disk = Dir ) zerstoert. Mehr kann ich nicht sagen, da ich
  1125.          nur Block 0 u. 1 habe. Bitte schicken Sie mir Ihre verseuchte
  1126.          Disk. Danke !!!
  1127.  
  1128.    - Frity  Forpib-Clone    s.o.
  1129.  
  1130.    - Future Disaster    nur KS1.2, Cool, DoIo, BeginIo, immer ab $7FB00
  1131.          fordert trackdisk.device (also HD nicht)
  1132.          Vermehrung:BB
  1133.          Schaden:
  1134.          sobald die Zaehlzelle den Wert 7 erreicht hat:
  1135.          - schreibt Speicherinhalt ab $10000 nach Block 0 u 1
  1136.          - schreibt Speicherinhalt ab $7Fb00 nach Block 880 und weiter
  1137.          Folge: Disk unbrauchbar
  1138.  
  1139.    - Gadaffi  (KickRomV1.2 Floppymusik)
  1140.          Cool, DoIo, KickTag, KickCheckSum
  1141.  
  1142.    - Gandalf BB  Cool, ExitIntr, PutMsg
  1143.          BB-Teile codiert mit eor.w d1,(a1)+
  1144.             decodiert ist im Speicher zu lesen: Gandalf`s Rache usw.
  1145.          Vermehrung und Schaeden:
  1146.            - schreibt sich auf BB
  1147.            - in Abhaengigkeit von der Zaehlzelle soll die Disk
  1148.              zerstoert werden. Verwechselt aber Disk-Seek mit Disk-Format,
  1149.              DisplayBeep mit DisplayAlert usw. (Anfaenger ??)
  1150.  
  1151.    - GENESTEALER  BB  auch KS2.04  immer ab $7EC00
  1152.          Cool, DoIo
  1153.          Im BB ist zu lesen: GENESTEALER VIRUS!!! by someone...
  1154.          Schaeden und Vermehrung:
  1155.          ueber BB
  1156.          Testet VBlank  ( cmpi.b #$32,$212(a6) )
  1157.          Sollte der Wert NICHT 50 sein, so wird der Rootblock zerstoert.
  1158.          Fordert trackdisk.device NICHT .
  1159.  
  1160.    - GENETIC PROTECTOR V2.00    BB   Dotty-Clone  s.o.  16.03.92
  1161.          nur Text geaendert: GENETIC-ELECTRONICS  usw.
  1162.          Pech gehabt: wird weiterhin als Dotty erkannt
  1163.  
  1164.    - Glasnost  Block 0 bis 3, Laenge also 2048, KickTag, KickCheckSum
  1165.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  1166.          fordert trackdisk.device NICHT.
  1167.          Wird aktiv wenn Block 880 gelesen wird
  1168.          Schaeden:
  1169.          blockiert nach 15 oder 20 Min. Rechner
  1170.          schreibt eigenen BB und zerstoert damit auch Files in Block 2 u. 3
  1171.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  1172.          in diesen Block ab $100 vier Langworte ($11111111, $22222222,
  1173.          $44444444, $88888888). Dieser Block kann NICHT gerettet werden.
  1174.          Text in Block 3: Glasnost VIRUS by Gorba!!  First release
  1175.  
  1176.    - Golden Rider  Linkvirus  im Speicher immer $7C000
  1177.          verbiegt Cool, DoIo, DosOpen
  1178.          Arbeitet nicht mehr mit Doslib-Version 35 oder hoeher.
  1179.          Verlaengert ein File um 868 Bytes, haengt sich auch mehrmals
  1180.          in ein File, da keine Abfrage ob schon befallen.
  1181.          File darf max 100000 Bytes gross sein.
  1182.          File muss executable sein.
  1183.          Filename + Pfad darf nur Zeichen ab A enthalten (Ausnahme / : 1 0 )
  1184.          Eine Zeichenobergrenze wurde im Programm nicht gefunden.
  1185.          Eine Vermehrung findet statt bei:
  1186.             df0:Test/File
  1187.          KEINE Vermehrung mit:
  1188.             df3:Test/F9
  1189.          Das VirusTeil enthaelt keine Melderoutinen.
  1190.          Haengt sich am Ende des 1.Hunks ein und ersetzt RTS durch
  1191.          ein NOP. Sollte kein RTS am Ende des 1. Hunks gefunden wer-
  1192.          den, so wird $38 Schritte ab Hunkende zurueck nach einem
  1193.          RTS gesucht und dann durch BRA.s ersetzt.
  1194.          In ersten Hunk des befallenen Files ist unverschluesselt zu
  1195.          lesen:   >>> Golden Rider <<< by ABT
  1196.          VT versucht den Virusteil auszubauen und ein lauffaehiges
  1197.          Ursprungsprogramm abzuspeichern. KEINE Garantie !!!
  1198.          Arbeiten Sie mit einer Kopie !!!!
  1199.          Vermehrung getestet: ja
  1200.          Ausbau getestet: ja
  1201.          Hinweis: Da sich die 3 Testlangworte in 2 verschiedenen Bloecken
  1202.          befinden koennen, wird der Golden Rider nur im Filetest SICHER
  1203.          erkannt. Bei der Blockkette koennte einer beim Test NICHT ge-
  1204.          meldet werden.
  1205.          Hinweis 31.08.92: Ab VT2.44 sollten mehrere GoldenRider-Links
  1206.          ans gleiche File in einem Durchgang ausgebaut werden. Falls
  1207.          nein, melden Sie sich bitte. Danke
  1208.  
  1209.    - Gotcha LAMER    Filevirus     anderer Name: Lamer Bomb
  1210.          verlaengert File um 372 Bytes, DoIo
  1211.          nur in Files dir, run, cd, execute
  1212.          Schaeden:
  1213.          - KEINE Vermehrung ueber obengenannte Files hinaus
  1214.          - KopfStep
  1215.          - DisplayAlert u. RESET: "HAHAHE...  Gotcha LAMER!!!"
  1216.          Ursprungsprogramm:
  1217.          MINIDEMO.EXE       Laenge: 773 Bytes
  1218.          sucht fuer Link nach:
  1219.          dh0:c/dir, dh0:c/run, dh0:c/cd, dh0:c/execute
  1220.  
  1221.    - Graffiti      aehnlich 16Bit Crew + 3D-Graphik
  1222.          FastMem ja, Cool, im Prg DoIo, im Speicher immer $7ec00
  1223.          Vermehrung: ueber BB
  1224.          Graphikroutine mit 3D
  1225.          unverschluesselt im BB:
  1226.          VIRUS! written by Graffiti
  1227.  
  1228.    - GREMLIN    Cool, KickSumData, im Prg. DoIo, im Speicher immer $7f400
  1229.          Vermehrung: ueber BB
  1230.          Textausgabe mit GraphikRoutine: roter Hintergrund, weisse Schrift
  1231.                         GREMLIN
  1232.  
  1233.    - GX.TEAM    Fastmem ja, nur KS1.2 da absoluter DoIo-Einsprung
  1234.          Cool, DoIo, KickTag, KickCheckSum, im Speicher immer ab $7f4d0
  1235.          Vermehrung: ueber BB
  1236.          Textanzeige mit displayAlert (wird mit sub.b #$41,d0 nach
  1237.          $7f300 entschluesselt):
  1238.          Mais qui voila ???C'est le nouveau VIRUS de GX.TEAM !!
  1239.          AAAHH! Les salauds! Les ...(Insultes diverses)
  1240.          He!He! SILENCE :
  1241.          GX.TEAM entre enfin dans la legende ...
  1242.          BYE!!!
  1243.  
  1244.    - GYROS  Cool, DoIo, immer ab $7EC00
  1245.          fordert trackdisk.device NICHT
  1246.          Vermehrung:BB
  1247.          Schaden:
  1248.          sobald die Zaehlzelle den Wert 10 erreicht hat:
  1249.          - blockiert Rechner
  1250.          im BB zu lesen: Your Amiga is fucked from a nice GYROS usw.
  1251.  
  1252.    - HARDEX VIRUS   SADDAM-Clone  s.u.
  1253.  
  1254.    - Hauke   Byte-BanditClone   s.o
  1255.          Text geaendert: Hauke Jean Marc    usw
  1256.  
  1257.    - Haukeexterminator I   Disk-DoctorClone  s.o
  1258.          Text geaendert: Haukeexterminator I     usw
  1259.  
  1260.    - HEIL Virus BB  Cool immer $7C070  immer ab $7C000
  1261.          Bei mir mit KS2.04 nach Reset kein neuboot von Disk.
  1262.          Unter KS1.3 werden nach dem Reset 2 Interrupts installiert.
  1263.             Nr. 3 = Ports = $7C1C6 = SS.install
  1264.             Nr. 5 = VERTB = $7C1E8 = SS.greets
  1265.          VT entfernt beim loeschen die Namen und setzt die Codezeiger
  1266.             auf 0 mit RemIntServer. Also keine Gefahr mehr. vgl. VT =
  1267.             Listen = IntVec
  1268.          Sobald die Zaehlzelle den Wert #$500 erreicht hat wird eine
  1269.          Graphikroutine angesprungen:
  1270.          schwarzer Hintergrund, helle Schrift
  1271.          Hakenkreuz,SS-Rune,Hakenkreuz und dann
  1272.             your computer is infected by SS-Virus!
  1273.          Danach ist ein Reset notwendig, da das VirusPrg. sich in einer
  1274.          Endlosschleife befindet.
  1275.          Der BB ist codiert mit eori.l #"HEIL",(a0)+
  1276.          Von der Definition handelt es sich nicht um einen BB-Virus,
  1277.          da keine Vermehrungsroutine gefunden wurde.
  1278.          siehe auch MOSH, SS-Virus
  1279.  
  1280.    - Hilly  KickTag, KickCheckSum, Kick1.2
  1281.             DoIo im Prg mit absolutem ROMeinsprung
  1282.             Test auf spezielle Kickstartversion (patched bei $FC0090)
  1283.             Falls vorhanden kein Virusaufbau.
  1284.             Fordert trackdisk.device nicht an, deshalb koennen Schreib-
  1285.             zugriffe auf die Festplatte erfolgen !!
  1286.             Lage im Speicher: immer ab $7f300 (ResStruc.)
  1287.             Vermehrung: ueber BB
  1288.             sonst keine Routine gefunden (keine Graphik usw.)
  1289.  
  1290.    - Hireling Protector V1.0     anderer Name: Charlie Braun
  1291.             ForpibClone  s.o.
  1292.             nur anderer Text
  1293.  
  1294.    - Hochofen  Link  auch mit KS2.04  verlaengert ein File um 3000 Bytes
  1295.             KEINE bekannten Vektoren verbogen !!!!
  1296.             Wurde mir als Trabbi zugeschickt. Da ich diesen Namen nicht
  1297.             nachvollziehen kann (kommt im Prg-code nicht vor), nenne
  1298.             ich ihn Hochofen (im 1. Hunk zu lesen).
  1299.             Taskname: Greetings to Hochofen
  1300.             Vermehrung:
  1301.             NUR moeglich beim Start eines bereits verseuchten Prgs.
  1302.             Scannt Root durch (examine, exnext usw.) und sucht nach
  1303.             Files, die
  1304.                   - ausfuehrbar ($3F3)
  1305.                   - kleiner als 200000 Bytes
  1306.                   - noch nicht befallen
  1307.                         sind.
  1308.             Haengt sich dann als erster Hunk an und verlaengert das
  1309.             File um 3000 Bytes (Hunk nicht codiert).
  1310.             Hinweis: NICHT jedes verseuchte File ist lauffaehig ! s.u.
  1311.             Schaeden:
  1312.             Task: Greetings to Hochofen
  1313.             im Task:   KEIN VermehrungsPrgTeil
  1314.             zeitabhaengig:
  1315.                   BildschirmHintergrund   schwarz  rot  gelb
  1316.                      mit Maustaste wegklicken
  1317.                   Requester   Fasten seat-belt!
  1318.                      mit Maustaste wegklicken
  1319.                   Task wird wieder entfernt
  1320.             Fehler: kennt viele Hunktypen NICHT und veraendert durch
  1321.             einen Schleifenfehler dann den Hunktyp um +1. Als Beispiel,
  1322.             weil ich es da zuerst bemerkt habe:
  1323.             Kennt hunksymbol ($3F0) nicht und macht daraus hunkdebug ($3F1).
  1324.             In unbekannten Hunks werden auch in einer Schleife Bytes
  1325.             FALSCH geaendert.
  1326.             Verseuchte Files die den Computer zum Absturz bringen, ver-
  1327.             aendern bei mir auch die Hardwareuhr !!!!
  1328.             Vermehrung getestet: ja auch mit ROM KS2.04
  1329.             Ausbau getestet: ja mit VT 2.37
  1330.  
  1331.    - HODEN V33.17   nur KS1.2, da absoluter DoIo-Einsprung
  1332.             DoIo, KickTag, KickCheckSum, im Speicher immer $7f000
  1333.             Vermehrung: ueber BB
  1334.             Kennzeichen: nach fuenf Kopien wandert ein gelber Kopf
  1335.             von links nach rechts ueber den Bildschirm.
  1336.             unverschluesselt steht im BB:  HODEN V33.17
  1337.  
  1338.    - HULKSTERS-Virus  BB   Pentagon-Clone s.u.
  1339.             Text geaendert: z.B.  SACHSEN/ANHALT  usw.
  1340.  
  1341.    - ICE    SCAClone, Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  1342.             Vermehrung: ueber BB
  1343.             Textausgabe durch GraphikRoutine
  1344.             unverschluesselt steht im BB:
  1345.             Greets from The Iceman & The IRQ  usw.
  1346.  
  1347.    - Incognito     anderer Name Trojan
  1348.             DoIo, KickMem, KickTag, KickCheckSum, FastMem ja
  1349.             nur KS1.2, da absoluter DoIo-Einsprung ins ROM
  1350.             Vermehrung: ueber BB
  1351.             sonst keine Schaeden und kein Text
  1352.             im BB: nichts zu sehen, da trackdisk.device verschluesselt.
  1353.  
  1354.    - Infiltrator Link
  1355.             anderer Name Klein-Virus (von mir nicht nachvollziehbar)
  1356.          Arbeitet erst ab dos.library-Version #36 oder hoeher (also
  1357.          keine Vermehrung mit KS1.2 oder KS1.3)
  1358.          Verbiegt OldLoadSeg (NewLoadseg wird nicht verbogen)
  1359.          Ueberprueft ob Virus schon installiert mit Zeichenfolge "1992".
  1360.          Verlaengert ein File um 1052 Bytes.
  1361.          Am File ist das Virusprogramm codiert mit eori.b x,(A0)+ .
  1362.          Das Byte x aendert sich bei jedem neuen Linkvorgang in Abhaengig-
  1363.          keit von $DFF006 .
  1364.          Im Programm ist ein Textteil codiert mit:
  1365.                    move.w #$80,d0
  1366.             loop:  eor.b d0,(a0)+
  1367.                    dbra d0,loop
  1368.          Decodiert ist dann zu lesen:
  1369.             Howdy hacker! This is The Infiltrator!  usw.
  1370.  
  1371.          Sucht auch nach einem File user.data
  1372.  
  1373.          Arbeitsweise:
  1374.  
  1375.             - Sucht nach dem Langwort, das die Laenge des 1.CodeHunks
  1376.               enthaelt und erhoeht den Wert um $107 .
  1377.             - Schreibt zu Beginn des 1. CodeHunks 6100xxyy (bsr xxyy)
  1378.                d.h. der OrginalSourceCode wird ueberschrieben.
  1379.             - Haengt sich codiert am Ende des 1.OrginalCodeHunks an.
  1380.                d.h. keine Erhoehung der HunkAnzahl.
  1381.  
  1382.          Vermehrungsbedingungen:
  1383.             - Disk validated
  1384.             - mindestens 8 Bloecke Platz
  1385.             - 1. CodeHunk nicht groesser als $1ffc * 4 = $7FF0
  1386.                   (von Virusprogramm getestet )
  1387.             - Test 1. Wort im CodeHunk auf
  1388.                - $4EF9 (Jmp)    falls ja keine Verseuchung
  1389.                - $4EB9 (Jsr)    falls ja keine Verseuchung
  1390.             - Test ob schon von Infiltrator verseucht
  1391.               1. Wort im CodeHunk auf
  1392.                - $6100 (bsr)    falls ja 2. Test an anderer Stelle auf
  1393.                 - $48E7FFFE     falls ja schon verseucht, deshalb Ende.
  1394.            Ergebnis: verseucht auch libs, devices  usw.
  1395.                      AUCH auf FESTPLATTE !!!!!
  1396.          NACHTRAG 26.07.92 : entgegen dem schon befallen Selbsttest ist
  1397.             es mir gelungen das Virusprogrammteil 2x an diskfont.library
  1398.             zu linken !!!!
  1399.  
  1400.          Erfolg: NICHT alle Programme sind danach lauffaehig !!!!!
  1401.                (von Shell mehr als von WB)
  1402.  
  1403.          Ausbau: VT versucht den Orginalzustand wieder herzustellen.
  1404.             Falls es Probleme gibt, wenden Sie sich bitte an mich.
  1405.             NACH dem FileTest machen Sie bitte ein EinzelFileCopy
  1406.             auf eine leere formatierte Disk. Zwei Gruende:
  1407.                - die Fragmentierung der Files wird aufgehoben
  1408.                   (Disk ist wieder schneller)
  1409.                - es werden nur benutzte Bloecke kopiert, d.h. jetzt
  1410.                  nicht mehr von Files belegte Bloecke werden nicht
  1411.                  mitkopiert und so kann dann auch BlockITest keinen
  1412.                  Infiltrator auf der NEUEN Disk in einem unbenutzten
  1413.                  Block finden.
  1414.  
  1415.          Suche: Sie MUESSEN mit FileTest suchen. Bei BlockKette kann
  1416.             eine Meldung unterbleiben, wenn von den 3 Testlangworten
  1417.             2 im Block x und 1 LW im Block x+1 liegen.
  1418.  
  1419.          Bitte: Suchen Sie NICHT nach verseuchten Files, solange ein
  1420.             sogenanntes "Nutzprogramm" aktiv ist, das loadseg verbiegt.
  1421.             Hinter diesem Nutzprg koennte der Infiltrator liegen !!!
  1422.             Folge: Das Nutzprogramm ueberprueft beim Laden das File
  1423.             und stellt fest, dass das File von ihm NICHT zu bearbeiten
  1424.             ist (also z.B. nicht gepackt) und uebergibt an den "OrgLoad-
  1425.             Seg-Vektor". Nur leider ist der "OrgLoadSeg-Vektor" auf die
  1426.             Infiltrator-Routine verbogen !!!!  Ihre Erfolgsaussichten
  1427.             sind NULL  !!!!!!
  1428.  
  1429.    - Inger IQ      ByteBandit/Forpib-Clone  s.d.
  1430.             Text:  ---Inger IQ Virus - Ersmark 1953---
  1431.  
  1432.    - init_cli     anderer Name: AMIGAKNIGHTVIRUS   s.o.
  1433.  
  1434.    - IRQ-TeamV41.0   Link-Virus, verlaengert ein Prg. um 1096 Bytes
  1435.                      Einsprung nach Reset: KickTag
  1436.                      Einsprung bei Arbeit: OldOpenLib
  1437.             laeuft nicht mit KS2.04
  1438.          Textanzeige im CliTitel: (entschluesselt mit eor.l d0,(a0)+
  1439.          addq.l #3,d0 ; fuer einen neuen Virus wird der Inhalt von
  1440.          d0 ueber move.l alterWert,d0 u. add.l $dff004,d0 veraendert)
  1441.              AmigaDOS presents:a new virus by the IRQ-TeamV41.0
  1442.          entweder wird c/dir oder das erste File der startup-sequence
  1443.          befallen. K e i n  File wird zweimal befallen. Das File
  1444.          darf nicht laenger als 100 000 Bytes sein.
  1445.       Entfernung: 1.Zeile in startup. loeschen
  1446.                   OrgFile besorgen und neu kopieren
  1447.  
  1448.    - IRQ II    wie IRQ I, aber die Routine auf Test schon befallen
  1449.          (cmpi. #$fffe6100,30(a4,d6.l) wurde verfaelscht. Das heisst:
  1450.          das erste File von der startup-sequence wird solange befallen,
  1451.          (d.h. verlaengert) bis die Disk voll ist.
  1452.       Nachtrag:gilt fuer IRQI+II; mit meiner FastmemKarte ist n a c h
  1453.          einem Reset keine Vermehrung mehr moeglich ?????
  1454.       Hinweis: Ich besitze ein IRQ2-File mit sechs Links
  1455.       Hinweis 03.09.92: Ab VT2.44 sollten mehrere IRQ2-Links ans gleiche
  1456.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  1457.       sich bitte. Danke
  1458.  
  1459.  
  1460.    - JEFF-BUTONIC V1.31/05.11.88    PrgFileVirus   3408 Bytes
  1461.  
  1462.          DoIo, KickTag, KickCheckSum, $68
  1463.          schreibt sich in die 1. Zeile der Startup-Sequence einer
  1464.          nicht schreibgeschuetzten Disk. Tarnnamen s.u.
  1465.  
  1466.          Texte codiert mit: eori.l #$AAAAAAAA,(a0)+
  1467.  
  1468.  
  1469.      Text fuer DisplayAlert:
  1470.  
  1471.              "Einen ganz wunderschönen guten Tag!"
  1472.  
  1473.       "* I am JEFF - the new Virus generation on Amiga *"
  1474.  
  1475.                 "(w) by the genious BUTONIC."
  1476.  
  1477.            "V 1.31/05.11.88 - Generation Nr.00037"
  1478.  
  1479.     "Greetings to * Hackmack *,* Atlantic *, Wolfram, Frank,"
  1480.  
  1481.  "Miguel, Alex, Gerlach, and to the whole Physik-LK from MPG !!"
  1482.  
  1483.  
  1484.   Texte fuer die Fensterleiste:
  1485.  
  1486.     "Ich brauch jetzt'n Bier!"
  1487.     "Stau auf Datenbus bei Speicherkilometer 128!"
  1488.     "Mehr Buszyklen für den Prozessor!"
  1489.     "Ein dreifach MITLEID für Atarist!"
  1490.     "BUTONIC!"
  1491.     "Schon die Steinzeitmenschen benutzten MS-DOS...einige sogar heut noch!"
  1492.     "Schon mal den Sound vom PS/2 gehört???"
  1493.     "PC/XT-AT: Spendenkonto 004..."
  1494.     "Unabhängigkeit & Selbstbestimmung für den Tastaturprozessor!"
  1495.     "Paula meint, Agnus sei zu dick."
  1496.     "IBM PC/XT: Ein Fall für den Antiquitätenhändler..."
  1497.     "Sag mir, ob du Assembler kannst, und ich sage dir, wer du bist."
  1498.  
  1499.  
  1500.   Tarnnamen:
  1501.  
  1502.       fuer RootDir:                        in Startup-Sequence:
  1503.  
  1504.        AddBuffers                            "AddBuffers 20"
  1505.        Add21K                                "Add21K "
  1506.        Fault                                 "Fault 206"
  1507.        break                                 "break 1 D"
  1508.        changetaskpri                         "changetaskpri 5"
  1509.        wait                                  "wait "
  1510.        $A0                                   $A020
  1511.        $A0A0A0                               $A0A0A020
  1512.        Arthus                                "Arthus "
  1513.        Helmar                                "Helmar "
  1514.        Aloisius                              "Aloisius "
  1515.   ??   $20                                   $2020          ??
  1516.    die Erzeugung des $20-Tarnnamen ist nicht gelungen, steht aber im
  1517.    Virus-Prg.
  1518.  
  1519.    - JEFF-BUTONIC V3.00/9.2.89   PrgFileVirus  2916Bytes
  1520.             Name im Hauptverzeichnis: A0A0A0
  1521.             1.Zeile in startup. A0A0A0209B41
  1522.             DoIo, KickTag, KickCheckSum
  1523.             Vermehrung: jede nicht schreibgeschuetzte DOS-Disk mit startup
  1524.             Entfernung: 1.Zeile in startup loeschen
  1525.                         File in DfX: loeschen
  1526.                            Entschuesselungsroutine:
  1527.       entschluesselter Text:                       move.w #$013a,D0
  1528.          Hi.                                     loop:
  1529.          JEFF`s speaking here...                   move.w (A0)+,(a1)
  1530.          (w) by the genious BUTONIC.               eori.w #$b4ed,(A1)+
  1531.          usw. insgesamt ueber $270 Bytes Text      dbf D0, loop
  1532.  
  1533.    - JEFF-BUTONIC V3.10   Filevirus   Laenge 2916
  1534.          lesen Sie Auswirkungen unter Jeff 3.00
  1535.          Programmcodeteile wurden verschoben (soll Anti-Viren-Prge wohl
  1536.          taeuschen ??) + codierte Texte geaendert: z.b. Sauf blos keinen
  1537.          Wodka! usw.   Codierung weiterhin:  eori.w #$b4ed,(a1)+
  1538.  
  1539.          Ursprungprogramm:
  1540.             *JEFF* VIRUSKILLER     Mastercruncher: 7368
  1541.                                          entpackt: 9064
  1542.             andere Namen: Jeff-Maker, Jeff-Remover
  1543.          taeuscht durch Texte Jeff-Suche vor, schreibt aber in Wirklich-
  1544.          keit JEFF 3.10 auf Disk in Df0:
  1545.          Virus gefunden - bitte warten
  1546.          Startup-Sequence desinfiziert
  1547.          und Virus beseitigt!           usw.
  1548.          In diesem Prg ist JEFF V3.10 codiert [ eori.b $FF,(a0)+ ] ent-
  1549.          halten.
  1550.  
  1551.   - JEFF-BUTONIC V3.20   Filevirus   Laenge 2900
  1552.          Jeff 3.0 Clone Beweis:codierter Text gleich
  1553.          Die 16 gewonnenen Bytes kommen z.B. von der Adressierungsaenderung
  1554.          .l in .w .
  1555.          Das VirusPrg laeuft zwar an und verbiegt die Vektoren, aber bei
  1556.          einem Diskwechsel kommt der GURU.
  1557.          Eine Vermehrung konnte also von mir NICHT erreicht werden. Also
  1558.          keiner Erwaehnung wert. Leider nicht. Dieses unsichtbare File
  1559.          wurde auf einer A3000-HD in c gefunden. Die Startup-sequence
  1560.          war modifiziert und verhinderte den ordnungsgemaessen Bootvorgang.
  1561.          Ein 2.Fall wurde im Feb. im Fido-Netz besprochen, wobei hier
  1562.          aber nur ueber die Vektoren geschrieben wurde und das namentliche
  1563.          Nicht-Erkennen des Prg.s .
  1564.          Da bei einer HD der Rootblock nicht mit $6e000 gefunden werden
  1565.          kann, darf es gar nicht zu einer Vermehrung kommen. Ich vermute
  1566.          deshalb, dass ein anderes Prg. die Installierung vornimmt. Der
  1567.          Prg.Name ist NICHT bekannt.  Stand:07.03.92
  1568.          Empfehlung: SOFORT loeschen und startup-seq. ueberpruefen.
  1569.  
  1570.    - JITR          Cool, DoIo, FastMem ja, im Speicher immer ab $7ec10
  1571.          Vermehrung: ueber BB
  1572.          Sonst keine Routine vorhanden !!!! VirusPrg. nur $200 Bytes lang.
  1573.          Im BB lesbar:
  1574.             I'm a safe virus! Don't kill me! I want to travel!
  1575.                And now a joke : ATARI ST
  1576.             This virus is a product of JITR
  1577.  
  1578.    - Joshua
  1579.       senkrechtstehender Text Joshua (ueber Graphikroutine)
  1580.       Begin, Kickmem, KickTag, KickCheck, Vec5
  1581.  
  1582.    - Joshua 2     anderer Name: Joshua3 oder Switch-Off
  1583.       Cold, Begin, Vec5
  1584.       hat Probleme mit einem Befehl im C-SubD. von WB1.3
  1585.       Bootblock jetzt verschluesselt:  loop: move.b (A0),D0
  1586.                                              eori.b #$18,D0
  1587.       das eor-Byte wechselt und steht auch   move.b D0,(A0)+
  1588.       an $3ff des BBs. Zu erkennen ist der   cmpa.l A1,A0
  1589.       Joshua 2 am Ende des BBs an der Byte-  bne loop
  1590.       folge, wobei sich aber das X je nach   rts
  1591.       eor-Byte aendert: .XX...XXX........XX.XX.XXXX...X.XX.
  1592.       die Punkte koennen auch durch andere Zeichen belegt sein
  1593.  
  1594.    - Joshua 3    anderer Name und richtig: Joshua 2
  1595.       es existiert eine BB-Sammlung, die einen wirklichen ByteBandit
  1596.       (aufs Byte im Speicher) Joshua1 nennt. Hieraus ergibt sich
  1597.       dann eine falsche Nummer. Nachtrag: Diese BB-Sammlung wurde
  1598.       inzwischen (15.04.91) in diesem Punkt korrigiert !!
  1599.  
  1600.    - Julie   anderer Name Tick oder VIRUS PREDATOR
  1601.          immer $7f800, cool, DoIo, BeginIo und  $20
  1602.          arbeitet nicht sauber mit 1MB Chip
  1603.          testet einige Zeiger und drei Werte (z.B. auf $7ec00)
  1604.          Vermehrung: ohne Warnung ueber (nur ausfuehrbare) BB's
  1605.             decodiert mit not.b (a0)+ steht im Speicher:
  1606.                `  VIRUS PREDATOR  (4-88-SPAIN)  ID: 027798336  `
  1607.          also ist der Name Julie eigentlich falsch !!
  1608.  
  1609.  
  1610.    - Kauki   immer $7ec00, Cool, im Prg. $80, $84, $88
  1611.          im Prg. auch noch DoIo, schreibt aber spaeter im Prg DoIo von
  1612.          KS1.2 zurueck (nach Vermehrung)
  1613.          den meisten Platz brauchen die Chopperlisten. Das ChopperIntro
  1614.          laeuft auch mit KS1.3 . Kauki im BB nicht sichtbar.
  1615.  
  1616.    - Kefrens     SCA-Clone
  1617.          Text im BB:
  1618.                        Ohh noo!!!!
  1619.                I think something is wrong!
  1620.                    and even better...
  1621.                Some of your disks are sick
  1622.                        Watch out!
  1623.                        By Kefrens
  1624.                       offcourse!!!
  1625.  
  1626.    - Kefrens 2  wie Kefrens = SCA-Clone nur Text verschoben
  1627.  
  1628.    - L.A.D.S     DoIo, KickTag, KickCheckSum, immer $7F400
  1629.          versucht eine Taeuschung durch DisplayAlert beim Booten:
  1630.             (Text auch im BB lesbar)
  1631.                        L.A.D.S Virus Hunter
  1632.                         No virus in memory
  1633.                       Press any mouse button
  1634.          Entgegen der Aussage findet KEIN Virustest statt, sondern das
  1635.          eigene Programm wird resetfest installiert.
  1636.          Vermehrung: jeder BB einer Disk OHNE Rueckfrage
  1637.          bei Wert 5 in der Zaehlzelle:
  1638.          veraendert x- und y-Koordinaten bei Mausbewegungen
  1639.          sobald die Zaehlzelle den Wert 8 erreicht:
  1640.          ein Teil des Virusprogramms wird entschluesselt mit
  1641.                         eori.b #$41,(a0)+
  1642.          und mit DisplayAlert ausgegeben:
  1643.                   AMIGA COMPUTING Presents:
  1644.                       The GREMLIN Virus
  1645.              All Code (c) 1989 By Simon Rockman
  1646.  
  1647.    - LameBlame!    anderer Name: Taipan-LameBlame
  1648.          Cool, DoIo  auch KS2.04
  1649.          BB codiert mit Wert aus $DFF006
  1650.          Schaeden:
  1651.          Vermehrung mit BB
  1652.          sobald Zaehlzelle 8 erreicht hat:
  1653.          DisplayAlert: LameBlame! by Tai-Pan usw.
  1654.          sonst nichts
  1655.          Herkunft: Virusinstall V2.0
  1656.  
  1657.    - Lameralt    abcd bei $3a6
  1658.          schreibt Lamer in irgendeinen Block
  1659.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  1660.    - Lamerneu    abcd bei $396
  1661.          schreibt LAMER in irgendeinen Block
  1662.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  1663.    - Lamer1      fedc bei $342
  1664.          schreibt LAMER
  1665.          Begin, KickTag, KickCheckSum
  1666.    - Lamer2      abcd bei $392
  1667.          schreibt LAMER
  1668.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData 
  1669.    - Lamer3      abcd bei $3f4
  1670.          (orgbb in 2 u. 3)
  1671.          Fastmem ja, Begin, KickTag, KickCheckSum, SumKickData
  1672.  
  1673.    - Lamer4      abcd bei $3ae
  1674.       BeginIo, KickTag, KickCheckSum und SumKickData
  1675.       Vermehrung: ueber BB
  1676.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  1677.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  1678.          mit $DFF006 ermittelt.
  1679.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  1680.       schluesselungsByte wird mit $DFF007 festgelegt.
  1681.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt.
  1682.  
  1683.    - Lamer5      abcd bei $3aa   FastMem ja
  1684.       BeginIo, KickTag, KickCheckSum und SumKickData
  1685.       Vermehrung: ueber BB
  1686.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  1687.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  1688.          mit $DFF006 ermittelt.
  1689.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  1690.       schluesselungsByte wird mit $DFF007 festgelegt.
  1691.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  1692.  
  1693.    - Lamer6      abcd bei $396   FastMem ja
  1694.                   aehnlich Lamerneu Unterschied 48Bytes
  1695.       BeginIo, KickTag, KickCheckSum und SumKickData
  1696.       Vermehrung: ueber BB
  1697.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  1698.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  1699.          mit $DFF006 ermittelt.
  1700.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  1701.       schluesselungsByte wird mit $DFF007 festgelegt.
  1702.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  1703.       zusaetzlich im Prg. noch Remove Node, Test auf Cool u. Cold .
  1704.  
  1705.    - Lamer7     andere Namen: Selfwriter, Pseudoselfwriter
  1706.       keine signifikante Endekennung, Laenge BB $3BD,
  1707.       BeginIo, KickTag, KickCheckSum
  1708.       Vermehrung: ueber BB
  1709.       Zerstoerung: ueberschreibt einen Block mit 85 x Lamer! und da
  1710.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  1711.          mit $DFF006 ermittelt.
  1712.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  1713.       schluesselungsByte wird mit $DFF007 festgelegt.
  1714.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  1715.       und !!!! mit allocabs eingetragen. (machen andere Lamer nicht)
  1716.  
  1717.    - Lamer8    keine Endekennung
  1718.       BeginIo, KickTag, KickCheckSum, SumKickData
  1719.       Vermehrung: ueber BB
  1720.       Schaden: Format alle LW
  1721.       Ein neuer BB wird wieder verschluesselt mit eori.w . Das Ver-
  1722.       schluesselungswort wird mit $dff006 festgelegt.
  1723.       BB ist verschluesselt von $3e bis $3cc
  1724.  
  1725.    - LAMER8-File   haengt an VirusX  Laenge: 13192 Bytes
  1726.       Wird im Speicher von VT als LAMER8 erkannt und entfernt.
  1727.       Wichtig:
  1728.       VirusX erkennt LAMER8 im Speicher NICHT !!!!!
  1729.       Vermehrung:
  1730.       NUR als LAMER8-Bootblock moeglich, NICHT als Linkfile !!!!
  1731.       Deshalb in FileTest nur Loeschangebot.
  1732.  
  1733.       Hinweis:
  1734.       Es wird ein "Lamer"-Bootblock weitergegeben, bei dem Lamer
  1735.       Exterminator im BB zu lesen ist. Dieser BB ist NICHT bootfaehig
  1736.       und wird deshalb von VT nur als  Nicht-Standard-BB erkannt.
  1737.  
  1738.    - Lamer-LoadWB  FileVirus Laenge: 4172 Bytes
  1739.       KickTag, KickCheckSum, SumKickData, BeginIo
  1740.       in SubDir c
  1741.       in LoadWB sichtbar: The LAMER Exterminator !!!
  1742.       Virus haengt vor dem LoadWB-Teil
  1743.       schreibt zuerst das Virusprogramm in den Speicher und fuehrt dann
  1744.       den LoadWB-Befehl aus.
  1745.       Kann sich nicht als LoadWb vermehren, sondern schreibt einen
  1746.       Lamer-BB
  1747.  
  1748.    - Lamer Bomb     anderer Name: Gotcha LAMER   s.o.
  1749.  
  1750.    - le RoLE   franz. Name fuer Return of The Lamer Exterminator  s.u.
  1751.  
  1752.    - Liberator virus v1.21  anderer Name: MemCheck s.u.
  1753.  
  1754.    - Little Sven  BB   anderer Name: Cameleon
  1755.          BB ist codiert (immer neu !!).
  1756.          Ein Teil der Codierung: eor.b d1,(a0)+
  1757.          Decodiert ist im Speicher zu lesen:
  1758.             The Curse of Little Sven!
  1759.          Cool, BeginIo, Supervisor, DisplayAlert im Programm dann: DoIo,
  1760.          FreeSignal
  1761.  
  1762.          Vermehrung: BB
  1763.  
  1764.          Schaeden:
  1765.          - Codiert Datenbloecke  Kennung: $ABCD0008  (Langwort 0 eines Blocks)
  1766.          Die Programme laufen, solange Little Sven im Speicher aktiv ist.
  1767.          Abhilfe: VT kann diese Datenbloecke decodieren. Falls Sie also
  1768.          beim FileTest oder BlockKetteTest den Requester Little Sven
  1769.          erhalten, brechen Sie bitte ab und starten BlockITest .
  1770.          - Verschiebt den Orginal-Bootblock codiert nach Block2+3.
  1771.            VT kann dies rueckgaengig machen (klicken Sie auf O-BB.
  1772.            Dieses Gadget war frueher Lam3 und schreiben Sie den BB zurueck).
  1773.            A B E R  !!!!!!!!
  1774.            Falls Block 2+3 vorher von einem File belegt war, so wurden
  1775.            durch das Virusprogramm 2 Datenbloecke zerstoert. Das File
  1776.            ist unbrauchbar. Es ist KEINE Rettung moeglich. VT sollte
  1777.            bei BlockKetteTest b.T.Data Block 2 zeigen. Oeffnen Sie
  1778.            den FileRequester (Sp-File-Sp) und loeschen Sie das File.
  1779.          - Enthaelt eine Routine, die 80 Steps nach innen ausfuehrt und
  1780.            dabei Daten schreibt. Diese Routine habe ich NICHT erreicht
  1781.            bei Tests. Alle Daten auf der Disk waeren dann unbrauchbar ???
  1782.          Wird erzeugt beim Starten von XCopyPro V6.5  (Laenge:28336)
  1783.          und kopiert sich dann weiter.
  1784.          Hinweis: im April 92 lag die OrgVersionsNr. von Xcopy erst
  1785.             bei 5.2x (glaub ich).
  1786.          Gefunden in: xcopy65e.lha  Laenge: 25360
  1787.  
  1788.    - LOGIC BOMB   anderer Name: PARADOX I   s.d.
  1789.  
  1790.    - LSD!      (noch ein SCA!)
  1791.  
  1792.    - LZ-Virus
  1793.       Linkvirus, verlaengert ein File um 400 Bytes
  1794.       testet Hauptversionsnummer der dos.library, falls groesser 34 oder
  1795.       kleiner 33 keine Aktivierung, verbiegt GlobVec 06 = Write
  1796.       linkt sich hinter CodeHunk (meist 1.) und ersetzt z.B. $4e75 = rts
  1797.       durch $6004 = bra.s 4 oder $4eee = jmp durch $60XY
  1798.       Muss deshalb HunkAnzahl nicht veraendern, sondern nur die Anzahl
  1799.       der Langwoerter des befallenen Hunks um $64 erhoehen.
  1800.       Bedingungen fuer ein File:
  1801.       0.LW = $3f3    (ausfuehrbar)
  1802.       1.LW = 0       (keine Resident-Libs zu laden)
  1803.                      (kein Overlay)
  1804.          es wird ein CodeHunk gefunden $3e9
  1805.       der gefundene CodeHunk ist laenger als #1000 Bytes
  1806.       Ursprung:   (Geruecht 14.07.91)
  1807.       SOLL ein LZ-Entpackungsprogramm sein ????   (hab ich nicht)
  1808.       Hinweis: MehrfachLinks an ein File gefunden !!!
  1809.       Hinweis 01.09.92: Ab VT2.44 sollten mehrere LZ-Virus-Links ans glei-
  1810.       che File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  1811.       sich bitte. Danke
  1812.  
  1813.    - MAD  (ForpibClone)  nur Text geaendert  s.o.
  1814.  
  1815.    - MAD II     nur KS1.2, da absoluter DoIo-ROM-Einsprung
  1816.       Cool, DoIo, KickTag, KickCheckSum, im Speicher immer $7FB00
  1817.       im BB sichtbar: MAD II VIRUS is better  usw.
  1818.       Vermehrung: ueber BB
  1819.       Sobald der Inhalt des Zaehlers groesser $D ist, wird in eine
  1820.       DiskStepRoutine verzweigt. Da diese falsch programmiert und somit
  1821.       nicht funktionsfaehig ist, wird nur der Bildschirm dunkel.
  1822.       Hinweis: es existiert ein MAD II, bei dem der MAD-Text mit sinn-
  1823.       losen Buchstabenfolgen (z.B. DAFGderFEHY) ueberschrieben wurde.
  1824.       Wird von VT als MAD II erkannt.
  1825.  
  1826.    - MAD IIa  wie MAD II nur jetzt Warm fuer Cool und andere Source-
  1827.       Aenderungen z.B. $2a in $2e usw. Ergebnis bleibt gleich
  1828.          (Anfaenger bitte bleibt beim Joystick !!!)
  1829.  
  1830.    - MAD III  nur KS1.2  Byte-Warrior-Clone  s.o.
  1831.          geaendert:  DASA0.2 in MAD.III
  1832.  
  1833.    - MAD IV  LamerAltClone  s.o.
  1834.          Unterschied: statt mit Lamer! soll der zerstoerte Block mit MAD
  1835.                       gefuellt werden.
  1836.  
  1837.    - MALLANDER VIRUS V1.0  BB  Block 0-3  auch KS2.04, braucht 1Mb Chip
  1838.          entgegen anderen Behauptungen: laeuft AUCH mit KS1.3 !!!
  1839.          KickTag, KickCheckSum, DoIo, immer ab 7F800
  1840.          anderer Name: DERK    ist 2x im BB zu lesen
  1841.          fordert trackdisk.device NICHT
  1842.          holt 4 Bloecke:
  1843.          Block 0 u. 1 = Virus
  1844.          Block 2 u. 3 = OrgBB  nicht codiert
  1845.          Vermehrung und Schaeden:
  1846.          speichert 4 Blocke ab, d.h. ein File das Block 2 u. 3 belegt,
  1847.          wird zerstoert.
  1848.          belegt immer $4000 ChipSpeicher neu
  1849.          sobald kein Chip mehr frei:
  1850.          decodiert einen BB-Teil mit  eori.w #$aaaa,(a0)+
  1851.          (auch intuition.library) und gibt den Text mit DisplayAlert aus.
  1852.          Danach Reset = jmp FC0000
  1853.                          J.D. MALLANDER VIRUS V. 1.0
  1854.          I need lots of money - buy my cool pd serie 'action power'
  1855.          Hinweis: es gibt KEINE 2 DERK, sondern einer enthaelt Vektoren
  1856.          von KS1.3, der andere von KS2.04 (Beweis: VT vergl.).
  1857.  
  1858.    - MCA      siehe Claas Abraham
  1859.  
  1860.    - MEGAMASTER
  1861.       Cool, DoIo, immer $7e300
  1862.       zwei codierte Bereiche im BB
  1863.       1. Bereich: eori.b #-$45,(a0)+   ; testet auf andere Viren
  1864.       2. Bereich: eori.b #-$11,(a0)+   ; Textausgabe ueber Graphik
  1865.                schwarzer Hintergrund, rote Schrift
  1866.                         Surprise!!!
  1867.                Your Amiga is controlled by
  1868.                         MEGAMASTER
  1869.      Vermehrung: ueber BB
  1870.  
  1871.    - MemCheck v8.1  File anderer Name: Liberator virus v1.21
  1872.          gepackt (PP): 6492 Bytes   ungepackt: 10936 Bytes
  1873.          nicht resident
  1874.          nach Aufruf erfolgt Textausgabe: MEMORY CLEAR usw.
  1875.          mit SnoopDos kann man feststellen, dass :
  1876.             - versucht wird Sys:.FastDir zu oeffnen
  1877.             - Test ob MemCheck schon in Root
  1878.             - versucht wird startup-sequence zu oeffnen
  1879.                falls ja Eintrag in erste Zeile:
  1880.                   MemCheck s
  1881.          Weiterhin ist im File zu lesen:
  1882.             Hello from the Liberator virus v1.21
  1883.             Lets play trash the harddisk
  1884.             I`m outta here, kiss mine you lamer!
  1885.  
  1886.             DH0: , BLVC   usw.
  1887.  
  1888.          Mit Festplatte:
  1889.          Es wird ein File .FastDir im Root-Verz. angelegt. Sobald im
  1890.          File der Wert $f erreicht ist, erfolgt die Textausgabe (s.o.)
  1891.          und der Computer stellt die Arbeit ein. Kreset wird not-
  1892.          wendig.
  1893.  
  1894.    - MENEM'S REVENGE   Link  LoadSeg
  1895.       Haengt 2 Hunks (ist neu) an. Hunk 1 = $3E9 = CodeHunk
  1896.                                    Hunk 2 = $3EA = DataHunk
  1897.       Verlaengert ein befallenes File um #3076 Bytes.
  1898.       Auch mit KS2.04
  1899.       Korrigiert dos.library mit SumLib.
  1900.       Erzeugt einen Prozess mit Namen: " ",0
  1901.       Wird ein schon befallenes File danach befallenen, so wird mit
  1902.       FindTask ueberprueft, ob der Prozessname schon da ist.
  1903.       Linkbedingungen:
  1904.       File kleiner als #60000
  1905.       Erster CodeHunk enthaelt folgende Bytefolge NICHT:
  1906.          $286A0164 $700C4E095   (vgl. WB1.3 in c  ask  usw.)
  1907.       Linkablauf:
  1908.       Sie starten ein Programm. Menem "merkt" sich dieses Prg..
  1909.       Sie starten ein neues Prg.. Jetzt erst linkt sich Menem an das
  1910.       alte Prg. Nachweis fuer Nicht-Ass-Benutzer mit SnoopDos.
  1911.       Linkergebnisse mit KS1.3:
  1912.       - gelinktes File ausfuehrbar      (auch libs usw.)
  1913.       - gelinktes File NICHT ausfuehrbar   (Hunks des OrgFiles nicht
  1914.           richtig behandelt, File bringt GURU)
  1915.       - File enthaelt nur noch Datenmuell  (keine Rettung moeglich)
  1916.       Unter KS2.04 entstehen weniger defekte Files. 
  1917.       Mit timer.device werden sechs Systemzeiten abgefragt.
  1918.       Textausgabe dann mit DisplayAlert.
  1919.       Dafuer wird ein Virusprogrammteil mit  asr.l #1,d0  decodiert.
  1920.             dc.b 0,$50,$10,"MENEM'S REVENGE HAS ARRIVED !!!"
  1921.                 dc.b 0,1,0,"  ARGENTINA STILL ALIVE",0,0
  1922.       Hinweis: VT setzt LoadSeg zurueck, schreibt einige RTS in den
  1923.          Speicher, entfernt aber den Prozess " "  NICHT. Die Ver-
  1924.          mehrung ist dann NICHT mehr moeglich. Wenn Sie VT nicht glauben
  1925.          oder "110%"-Sicherheit haben wollen, fuehren Sie bitte einen
  1926.          RESET aus.
  1927.       Hinweis2: Bei den Datenmuellfiles kann VT NICHT mehr helfen. Fuer
  1928.          Ausbauversuche bei den anderen Filetypen verwenden Sie bitte
  1929.          eine Kopie der verseuchten Disk. VT versucht auch, die
  1930.          "falschen Hunks" wieder zu berichtigen.
  1931.       Hinweis3: Bedenken Sie bitte, dass inzwischen einige Programme
  1932.          auf dem Markt sind, die Loadseg verbiegen. Wurde Menems VORHER
  1933.          gestartet, so wird er "zugedeckt", bleibt ABER AKTIV !!!!!!
  1934.          Koennen Sie z.B. mit Snoopdos nachvollziehen.
  1935.          Meine Empfehlung: keine Programme verwenden, die LoadSeg patchen.
  1936.  
  1937.  
  1938.    - METAMORPHOSIS V1.0   BB und Link     auch KS2.04  immer ab $7FA72
  1939.          Fordert trackdisk.device NICHT !!!
  1940.          Cold, DoIo, OldOpenLib,  im Prg. noch Cool
  1941.          Im BB und im verseuchten File ist zu lesen:
  1942.          -METAMORPHOSIS V1.0- the next Generation from LAMER-EXTERMINATOR !
  1943.          Schaeden:
  1944.          Sobald der Wert in der Zaehlzelle groesser als $14 ist,
  1945.          Kopfstep alle Laufwerke.
  1946.          NeuBoot dieser Disk ergibt bei mir einen Requester:
  1947.          Volume has a read/write error    (Tracks defekt) nicht mehr
  1948.          viel zu retten.
  1949.          Vermehrung:
  1950.          mit DoIo = BB
  1951.          mit OldOpenLib = Link an File als 1.Hunk
  1952.          Linkbedingungen:
  1953.          - sucht c:           (bei mir NUR da, steht auch so im Prg.)
  1954.          - und dann mit examine, exnext usw Files
  1955.          - kein Schreibschutz
  1956.          - File ausfuehrbar  $3F3
  1957.          - File kleiner #40000
  1958.          - File noch nicht befallen
  1959.  
  1960.          Fuer die Hunk-Bestimmung nimmt das VirusPrg. die IRQ-Methode.
  1961.          Befallene Files sind lauffaehig .
  1962.          Verlaengert ein File um 1060 Bytes.
  1963.          KEIN Eintrag in startup-sequence .
  1964.          Keine Textmeldung des VirusPrg's .
  1965.  
  1966.          Ausbau mit VT getestet: 11.04.92
  1967.  
  1968.          Hinweis: Da alle Files in c: verseucht sein koennen, sollten
  1969.             Sie ueberlegen, ob es nicht schneller ist, alle Files neu
  1970.             von c einer OrgWB-Disk zu kopieren. Dann brauchen Sie mit
  1971.             VT nur noch aus Files den Link-Hunk auszubauen, die auf
  1972.             der Org-WB-Disk NICHT vorhanden waren.
  1973.  
  1974.    - MEXX     SCA-Clone
  1975.       Text:          Hello there...
  1976.                      Here I'm again...
  1977.                      I've infected ya Disx !
  1978.                      I'm a simple VIRUS
  1979.                      and I came from a group called
  1980.                       --- MEXX ---
  1981.                       Yeah, reset now !!!
  1982.                      Or I will infect more!
  1983.  
  1984.    - MGM89     anderer Name: MEGAMASTER   s.o.
  1985.  
  1986.    - MG's Virus V1.0 (BB)  auch mit KS2.04, aber NICHT mit 68030
  1987.          KickTag, KickCheckSum, SumKickData, GetMes, BeginIo
  1988.          AddIntSer (5 = Vert. Beam)
  1989.          Codiert mit   not.w (a1)+
  1990.          Decodiert im Speicher zu lesen: MG's Virus V1.0
  1991.          Meldet sich nicht.
  1992.          Taeuscht sauberen Bootblock vor bei verbogenen Vektoren
  1993.          Vermehrung bei:
  1994.           - Lesen oder schreiben Block 0
  1995.           - Format Disk
  1996.  
  1997.    - MicroSystems     FastMem ja  nur KS1.2
  1998.  
  1999.          holt selbst Namen aus ROM (z.B. dos.library)
  2000.       Cool und Cold
  2001.       im Prg. bei Bedarf: AddTask, RemTask und DoIo
  2002.       Vermehrung: ueber BB
  2003.       Textausgabe ueber Graphikroutine
  2004.       unverschluesselt steht im BB:
  2005.       YOUR AMIGA IS INFECTED BY
  2006.       A NEW GENERATION OF VIRUS
  2007.       CREATED IN SWEDEN BY
  2008.       MICROSYSTEMS
  2009.  
  2010.    - Micro-Master  ( noch ein SCA! )
  2011.  
  2012.    - Morbid Angel   Forpib-Clone   s.o.
  2013.          nur sichtbarer Text und einige unwichtige Bytes wurden
  2014.          geaendert.
  2015.  
  2016.    - MOSH1-BB     Cool, nach Reset auch $68 immer ab $7C000
  2017.          soll Virusdemo sein (so ein Schwachsinn)
  2018.          keine Vermehrung, codiert mit MOSH, eor.l d0,(a0)+
  2019.          ueber $68 und in Abhaengigkeit von Zaehlzelle (Cmpi.l #$190,(a0))
  2020.          Textausgabe ueber Graphikroutine:
  2021.          schwarzer Hintergrund, Gelbe Schrift
  2022.             MAFIA PLK  usw
  2023.          da Endlosschleife Reset notwendig
  2024.          dringende Empfehlung: loeschen
  2025.  
  2026.    - MOSH2-BB s.o keine Vermehrung
  2027.       KS2.04: nach Reset Absturz
  2028.       zusaetzlich nach reset oldopenlib verbogen und ueber displayAlert
  2029.       Textausgabe: Hey you old lame   usw.
  2030.       Da keine Vermehrungsroutine eigentlich kein Virus
  2031.       dringende Empfehlung: sofort loeschen
  2032.  
  2033.    - NaST  29.03.92  File    Laenge: 2608 Bytes
  2034.       auch KS2.04
  2035.       Grundgeruest: BGS9
  2036.          KickMem, KickTag, KickCheckSum, Openwindow (int.lib)
  2037.       Neu: $6c, FindTask, OldOpenLib, NewOpenLib
  2038.            dafuer fehlt decode BitPlanes
  2039.       Herkunft des Namens:  2x im Virus-File zu lesen
  2040.       verschiebt Org-File unsichtbar nach c
  2041.        $A020A020A020202020A0202020A0
  2042.       VT versucht zuerst rename und falls OrgFile nicht gefunden,
  2043.       wird angeboten das Virus-File allein zu loeschen. Dann muessen
  2044.       Sie aber wahrscheinlich die 1.Zeile der startup-sequence aendern.
  2045.  
  2046.    - Nasty-Nasty  BB  nur KS1.2  immer ab $7F000
  2047.       Cool, DoIo, Userstate, Superstate, Alert
  2048.       Vermehrung und Schaeden:
  2049.          - BB
  2050.          - sobald die Zaehlzelle den Wert 5 erreicht hat:
  2051.                format Disk
  2052.       Das VirusPrg gibt keine Meldung aus. Im BB ist Nasty-Nasty! zu
  2053.       lesen.
  2054.  
  2055.    - NO BANDIT   (siehe unten Virenfinder)
  2056.  
  2057.    - No head     s.b. ByteBanditPlus
  2058.  
  2059.    - No Name 1    anderer und richtiger Name :  Byte Bandit 2
  2060.       kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  2061.       SpeicherLage ueber structMemList, Speicherreservierung fuer
  2062.       neuen  BBVirus mit allocmem, Zaehlstelle: Virusstart + $1c
  2063.       Vermehrung: ueber BB
  2064.       Im BB lesbar: trackdisk.device (weit unten)
  2065.       ein ByteBanditClone, ohne Tastaturabfrage, nur 5 Kopien und
  2066.       kuerzer gesetzter Zeit
  2067.  
  2068.    - NoName2   BB   Cool, DoIo, SumKickData  auch KS2.04
  2069.       Vermehrungszaehler: bei mir  $269
  2070.       Es ist mir ein Raetsel, warum dieser BB solange unbemerkt bleiben
  2071.       konnte. Im letzten Jahr hat es kein Virus weiter als $10 ge-
  2072.       bracht. Dann hat ihn jemand spaetestens entdeckt.  ???
  2073.       Erstinstallierung im Speicher von BB:
  2074.       Falls Cool und KickTag nicht Null oder DoIo nicht Orginal, dann
  2075.       RESET.
  2076.       Nach Installierung und Reset sichert der Virus sein Prg durch
  2077.       AllocAbs.
  2078.       Vermehrung und Schaden:
  2079.       ueber BootBlock
  2080.       Rueckgabewert von SumKickData in d0 enthaelt Wert aus $DFF006.
  2081.       Virus meldet sich NIE. Kein Name versteckt oder codiert, deshalb
  2082.       NoName2 . Im BB ist ab $264  trackdisk.device zu lesen.
  2083.  
  2084.    - No-Guru V2.0   Filelaenge: 1224 Bytes (mit PP-Data-Prg.teil)
  2085.       Nach meiner Meinung nur gefaehrlich fuer AmiExpress-Benutzer
  2086.          (hab ich nicht)
  2087.       verbiegt: Alert, Autorequest
  2088.       Textausgabe im Cli:   u.a.
  2089.          Making life with AmiExpress just that little bit easier...
  2090.       Sucht nach bss:user.data ; Falls vorhanden werden $8000 Bytes
  2091.       geladen. Der geladene Teil wird nach renegade, jock rockwell
  2092.       oder spiral durchsucht und gegebenenfalls geaenderte Daten
  2093.       zurueckgeschrieben.
  2094.       Empfehlung: loeschen
  2095.  
  2096.    - NorthStar   anderer Name: Starfire  s.u.
  2097.  
  2098.    - NoVi   (File)  TerroristsClone s.u.  Laenge:1612 Bytes
  2099.       Aenderungen: TTV1 geaendert in NoVi
  2100.          Org-File wird jetzt nach sys:c/.fastdir,$A0 verschoben.
  2101.  
  2102.    - Nuked007    siehe bei SHIT
  2103.  
  2104.    - Obelisk1  ( Deutschlandfahne + Graphiktext) Einsprung:cool
  2105.                schreibt in Speicherstelle $00000060 das Wort GURU
  2106.                zerstoert damit den Ausnahmevector, der ins ROM
  2107.                IR-Ebene 7 zeigt !!
  2108.  
  2109.    - Obelisk2   Begin, KickTag, KickCheckSum, Vec5
  2110.                 Einsprung:KickTag ,drei ZaehlZellen, Ausgabe:Graphik-
  2111.                 text mit FormatAndrohung, wird nur durch KopfAnschlag
  2112.                 vorgetaeuscht !! Nachweis mit TrackDisplay !!
  2113.                 Speicherstelle $60 s.o.
  2114.  
  2115.    - OP1    (Neuseeland)  richtiger Name: Joshua
  2116.  
  2117.    - OPAPA     Begin, KickTag, KickCheckSum, Vec5
  2118.                Zaehlzelle: ja, Vermehrung: ueber BB jedes LW
  2119.                Textausgabe (ueber Graphik) OPAPA-VIRUS READY STEADY FORMAT
  2120.                Kopf steppt nach Track 0 alle LW
  2121.          Clone: 04.03.92   Text entfernt
  2122.  
  2123.    - PARADOX I  KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7F800
  2124.                Vermehrung und Schaden: Bootblock
  2125.                Text sichtbar im BB:
  2126.                * A new age of virus-production has begun ...
  2127.                This time PARADOX brings you the "LOGIC BOMB" Virus !!! *
  2128.  
  2129.    - PARADOX II  Kicktag, KickChecksum im Prg. DoIo u $6c, immer $7F000
  2130.                verschluesselt mit move.b $DFF006,D1 und eor.b d1,(a0)+
  2131.                Vermehrung und Schaden: Bootblock
  2132.                Text nach Entschluesselung:
  2133.                This is the second VIRUS by PARADOX  -
  2134.                For swapping call: 42-455416 - ask for Hendrik Hansen
  2135.  
  2136.    - PARAMOUNT  nur KS1.2 Kicktag, KickCheckSum, DoIo, immer $7F800
  2137.                Byte-Warrior-Clone, loescht Cold und Cool
  2138.                fordert trackdisk.device NICHT
  2139.                Vermehrung:BB
  2140.                im BB zu lesen: PARAMOUNT SOFTWORKS usw.
  2141.  
  2142.    - PARATAX   SCA-Clone, Cool immer 7EC3E, nur anderer Text
  2143.  
  2144.    - PARATAX II    Disk-Dokters-Clone, nur KS1.2 da DoIo-ROMEinsprung
  2145.                Cold, Cool, DoIo, im Prg. Vec5
  2146.                im BB sichtbar: PARATAX II
  2147.                clipboard.device durch ".dos.library" ersetzt
  2148.                je nach Zaehlerstand wird eigener BB geschrieben oder
  2149.                Disk ab Cylinder 40 (ROOT) formatiert
  2150.  
  2151.    - PARATAX III    16BitCrewClone   s.o.
  2152.                Unterschied: The 16Bit Crew 1988 in  PARATAX III (!!!)
  2153.                             geaendert
  2154.                eine echte Meisterleistung
  2155.  
  2156.    - PentagonCircle     cool,kickchecksum
  2157.                Fastmem ja, im Speicher immer ab $7fb00, im Prg. noch DoIo
  2158.                testet auf einige Viren, Alert-Meldung
  2159.                Vermehrung: ueber BB
  2160.                Text im BB sichtbar: z.B.
  2161.                The Pentagon Circle VirusSlayer by Mr.Moutainlake!
  2162.  
  2163.          Hinweis: Es wird ein Pentagon-BB weitergegeben, in dem das
  2164.             4.LW Null ist. Dieser Bootblock ist NICHT bootfaehig und
  2165.             wird deshalb von VT auch nicht als Pentagon erkannt !!!!
  2166.  
  2167.    - PentagonVirusSlayer2:  cool, KickCheckSum, immer ab $7f000
  2168.                Fastmem ja, im Prg. DoIo, Programmierung voellig anders
  2169.                als Pentagon, Alert-Meldung
  2170.                Vermehrung: ueber BB
  2171.                Text im BB sichtbar: z.B.
  2172.                The Pentagon Circle VirusSlayer 2 by Mr.Mountainlake!
  2173.  
  2174.    - PentagonVirusSlayer3:  Cool, KickCheckSum, immer ab $7e000
  2175.                Fastmem ja, im Prg. DoIo, FindResident
  2176.                Alert-Meldung
  2177.                Vermehrung: ueber BB
  2178.                Text im BB sichtbar: z.B.
  2179.                The Pentagon Circle VirusSlayer by Mr.Mountainlake!
  2180.  
  2181.    - PentagonCircle 4    cool,kickchecksum
  2182.                im Speicher immer ab $7fb00, im Prg. noch DoIo
  2183.                beim Booten immer GURU !!!  Grund: es hat jemand geschafft
  2184.                "dos.libr" zu erzeugen. Der Rest fehlt. ABER !!!!
  2185.                bevor diese Fehlerquelle erreicht wird, wurde schon Cool
  2186.                verbogen. Wenn Sie jetzt nur 512 kb Chipmem haben und beim
  2187.                2. Start die Maustaste druecken, wird der Bildschirm gruen.
  2188.                Jetzt legen Sie einen "echten" BB ein und schon kann sich
  2189.                der Pentagon-BB vermehren. Aber auch der vermehrte BB
  2190.                enthaelt obengenannten Fehler.
  2191.                Empfehlung deshalb : sofort loeschen
  2192.  
  2193.    - PERVERSE I  anderer Name: BOOTX-Virus  s.o.
  2194.  
  2195.    - POWERBOMB  ByteBandit/Forpib-Clone    s.o.
  2196.          Text: POWERBOMB SYSTEMS PRESENTS: BYTE BANDIT V2.0 !!!
  2197.  
  2198.    - PowerTeam  BB    KickTag, KickCheckSum, BeginIo
  2199.                nicht mit KS2.04
  2200.                Teile des BB's codiert mit eor.w d1,(a0)+
  2201.                Schaeden:
  2202.                - Sobald die Zaehlzelle den Wert $a erreicht hat,
  2203.                  Textausgabe mit DisplayAlert und dann bei mir
  2204.                  Absturz. Text:
  2205.                   Virus Meditation #0026051990.PowerTeam
  2206.  
  2207.    - PP-Bomb   Powerpacker, FileVirus, keine Vermehrung, Vers.Nr. 3.2
  2208.       - 3 Programmteile
  2209.          - kurzer CodeHunk mit 2 jsr-Befehlen (notwendig fuer Ablauf)
  2210.          - crunched Bomb-Teil
  2211.          - Powerpacker 3.0b (ich glaube: NICHT veraendert und nicht ge-
  2212.                              crunched)
  2213.       Bomb-Teil:
  2214.       wird zuerst angesprungen, decrunched Laenge: 9880 Bytes
  2215.       Aztec-Prg mit dt. Fehlermeldungen (z.B. Fehler bei DISKFONTBASE)
  2216.       - sucht zuerst SnoopDos-Task; falls ja Bomb-Ende
  2217.       - sucht in c von dh0: und/oder dh1: nach why und setzt das File
  2218.         auf 0 Bytes
  2219.       - enthaelt alle Dos-Befehle um Files zu veraendern (sucht auch
  2220.         auf dh0: und dh1:, ist getestet).
  2221.       - soll AmiExpress veraendern (hab ich nicht)
  2222.       - weitere Eintraege: BBS: DH0:BBS/ DH1:BBS/ DH0: DH1:
  2223.       Ursprung:
  2224.                   qtx_pow.lzh       139670 Bytes
  2225.       Empfehlung:
  2226.         loeschen und Orginal-Powerpacker aufkopieren
  2227.  
  2228.    - Pseudoselfwriter   andere Namen: Selfwriter, Lamer7
  2229.  
  2230.    - Random Access      CopperIntro
  2231.          schreibt GURU nach $60, nicht resident, keine Vermehrung
  2232.          Empfehlung: sofort loeschen
  2233.          von der Definition KEIN Virus, aber schaedlich wg. $60
  2234.  
  2235.    - Red October V1.7  Link   Name im Prg nicht nachvollziehbar
  2236.          auch KS2.04, Laenge Ursprungsfile ungepackt: 1296 Bytes
  2237.          keine verbogenen Vektoren, schnelle Vermehrung (20min eine
  2238.          Disk komplett verseucht). Haengt sich vor den ersten Hunk
  2239.          und verlaengert das File um 1296 Bytes. In einem verseuchten
  2240.          File ist um $500 zu lesen: timer.device, dos.library, ram:
  2241.          ram:1 . Virus meldet sich NIE. Manche verseuchten Files ver-
  2242.          suchten zwar noch erfolgreich eine Vermehrung, aber bei Aus-
  2243.          fuehrung des eigentlichen Prg.s GURU. VT kann auch diese
  2244.          Files retten.
  2245.       Schaeden in Abhaengigkeit von der Computer-Systemzeit:
  2246.             Computer-Sekunden teilbar durch 3 = Vermehrungsversuch
  2247.             Computer-Sekunden teilbar durch 16 = RESET
  2248.         Vermehrungsbedingungen:
  2249.          - nur bei Aufruf eines verseuchten Files
  2250.          - sucht mit lock, info, examine, exnext andere Files
  2251.          - testet auf Schreibschutz (#80)
  2252.          - File ausfuehrbar ($3F3)
  2253.          - File kleiner #50000
  2254.          - File noch nicht befallen
  2255.          - KEIN Test auf Disk voll
  2256.  
  2257.       VT-Test: 27.03.92  Ursprungsfile wird geloescht
  2258.           Aus verseuchten Files (auch GURU-Files s.o.) wird Link aus-
  2259.           gebaut. ALLE Files waren wieder im Orginalzustand und voll
  2260.           lauffaehig.
  2261.  
  2262.    - Rene    anderer Name: bei mir Lamer8
  2263.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  2264.          das Verhalten einem Lamervirus entspricht, halte ich eine
  2265.          Zuordnung zur Lamer-Gruppe fuer richtig.
  2266.  
  2267.    - Return Of The Lamer       PrgFileVirus    Laenge 1848 Bytes
  2268.             nur KRESET (Entschuldigung)
  2269.          tarnt sich als Disk-Validator
  2270.          KickTag, KickCheckSum, BeginIo und andere
  2271.          zu erkennen an: hat im Gegensatz zum Org.Disk-Validator keinen
  2272.          lesbaren ASCII-Text
  2273.          Schaeden in Abhaengigkeit von der Zeit:
  2274.          a) bestimmt eine Blocknummer ueber $DFF007 und schreibt 64 x
  2275.             LAMER!!! hinein
  2276.          b) Fastformatroutine fuer alle Laufwerke und ueber DisplayAlert
  2277.             Textausgabe:
  2278.             The Return Of The Lamer Exterminator
  2279.          c) schreibt den falschen Disk-Validator auf Disk
  2280.  
  2281.    - Revenge Bootloader!  Begin, KickTag, KickCheckSum, Vec5
  2282.                Fastmem: nein
  2283.                Vermehrung ueber BB
  2284.  
  2285.    - Revenge V1.2       cool,doio,vec5 , im Speicher immer $7e000
  2286.            und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  2287.           Vermehrung: ueber BB
  2288.          Schaden: nach einger Zeit neuer Mauszeiger
  2289.          im BB sichtbar: Revenge V1.2GCount:
  2290.  
  2291.    - Revenge of the Lamer   PrgFileVirus Laenge 4560 Bytes
  2292.                nur KRESET (Entschuldigung)
  2293.                es werden mir zuviele Zeiger verbogen (10!!)
  2294.                entschluesselt steht im Speicher:
  2295.                dos.library.graphics.library.intuition.library.
  2296.                trackdisk.device.DOS s/startup.sequence   usw.
  2297.                Name:$A0A0A0A0A0 steht im Hauptverzeichnis und
  2298.                1.Zeile Startup
  2299.                testet vor Vermehrung ob genuegend Platz auf Disk ist
  2300.                nach 6 Resets (denke ich), Formatieren aller eingelegten
  2301.                nicht schreibgeschuetzten Disks
  2302.                3 Seiten Alert-Meldung
  2303.  
  2304.    - Revenge of the Lamer 2
  2305.                PrgFileVirus   Laenge 4448 Bytes
  2306.                einige Write-Test-Routinen fehlen,
  2307.                sonst wie Revenge of the Lamer
  2308.  
  2309.    W A R N U N G: es ist mir beim Testen gelungen, Revenge of the
  2310.       Lamer 1 u. 2 so zu vermehren, dass SID und andere Prg.e die
  2311.       5 A0  n i c h t  anzeigen. Mein FileRequester auch nicht. Das
  2312.       VirusPrg. wird aber  a u c h  bei diesen Disks aktiviert und
  2313.       vermehrt sich !!!  Mit einem DiskMonitor kann das Prg. ge-
  2314.       funden werden. Bei meinem PrgTest erscheint dann:
  2315.                Rev. Lam. unsichtbar
  2316.       Dies ist kein Schwachsinn, sondern der Sachverhalt wurde von
  2317.       anderen Programmierern nach meiner Entdeckung gegengeprueft und
  2318.       eine Fehlfunktion bei ExNext KS1.3 entdeckt. Dieser Fehler ist
  2319.       bei KS2.0 behoben.
  2320.       (vgl. auch Fish 429  Dr.doc)
  2321.  
  2322.    - RIPPER             Programcode = Northstar, nur anderer Text
  2323.                         cool im Prg. DoIo  immer ab $7ec00
  2324.                         Vermehrung: BB
  2325.       Text (auch im BB sichtbar):ATARI KILLS COMMODORE! RIP! RIP THE RIPPER
  2326.       usw.
  2327.  
  2328.    - Riska   Forpib-Clone     s.o.
  2329.  
  2330.    - Rob Northern   File    Laenge: 2616    BGS9 Clone  s.o
  2331.          Rob Northern im File lesbar
  2332.          Anfaengeraenderung:      !!!!
  2333.          testet immer noch auf TTV1 obwohl nicht mehr vorhanden
  2334.          schreibt nur 2608 Bytes zurueck (Geruechte behaupten, dies
  2335.          waere die Orginallaenge von BGS9 ???)
  2336.          vergisst 3F3 zu schreiben
  2337.          d.h. ein vermehrtes Prg ist NICHT mehr lauffaehig
  2338.          d.h. die startup-sequence einer verseuchten Disk bricht ab
  2339.          VT findet weiterhin BGS9 im Speicher.
  2340.          Bei BlockKette wird Rob nicht gefunden, da 3F3 fehlt.
  2341.          Ausbau mit FileTest.  Stand 14.03.92
  2342.  
  2343.  
  2344.    - Rude Xerox = DIGITAL AGE = Forpib-Clone
  2345.          nur Text geaendert
  2346.  
  2347.    - SACHSEN VIRUS NO.1    Cool, immer ab $78000
  2348.          fordert trackdisk.device
  2349.          BB-Teile codiert mit  move.b #$70,d0
  2350.                                add.b d0,(a0)+
  2351.          decodiert im Speicher: ** SACHSEN VIRUS NO.1 ** usw
  2352.          Vermehrung: BB
  2353.          sonst keine Schaeden und keine Meldung
  2354.          GURU-Gefahr: sobald das Virus im Speicher ist und ein RESET
  2355.          ausgefuehrt wird, wird CloseDevice verbogen. Mit FastMem ab
  2356.          $200000 dann GURU.
  2357.  
  2358.    - SACHSEN VIRUS NO.3    Cool, DoIo, Wait, immer ab $78000
  2359.          belegt Block 0-3  (d.h. ein File ab Block 2 wird auch zerstoert.
  2360.          Fordert trackdisk.device NICHT  (HD!!!!)
  2361.          Alle Texte codiert.
  2362.          Vermehrung: BootBlock 0 - 3
  2363.          Schaeden:
  2364.          Schreibt nach Block 880 (Root bei Disk) neuen Disknamen
  2365.             SACHEN NO.3 ON DISK !!!
  2366.          Schreibt in Block (abhaengig von $DFF006) 64 x SACHSEN3
  2367.          Sollte dieser Block in einem File liegen, so ist dieses
  2368.          File NICHT mehr zu retten.
  2369.          DisplayAlert und dann RESET
  2370.             SACHSEN VIRUS NO.3 in Generation :        is running...
  2371.                (bei mir Generation 23)
  2372.  
  2373.    - SADDAM HUSSEIN Bootblockvirus    (vgl. auch BlowJob)
  2374.          KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7f000
  2375.          Taeuscht durch Text im Bootblock:
  2376.          A2000 MB Memory Controller V2
  2377.          Vermehrung und Schaden: Bootblock
  2378.          Sobald die Zaehlzelle den Wert $7530 erreicht hat, wird ein
  2379.          Programmteil mit subi.b #$71,D0 entschluesselt und mit display-
  2380.          Alert der Text ausgegeben:
  2381.           TOO BAD BROTHER ... SADDAM HUSSEIN STRIKES BACK !!!
  2382.           THE ONLY ESCAPE IS TO TURN THE POWER OFF !!!
  2383.  
  2384.  
  2385.    - SADDAM-VIRUS     Disk-Validator   Laenge:1848 Bytes
  2386.       HINWEIS: wird manchmal von VirusX mit Australian Parasite
  2387.       verwechselt !!!!
  2388.       Das erste Virusprogramm, das mit 1 MB Chip, Kick1.3 und OHNE
  2389.       setpatch r einen Reset mit der Tastatur uebersteht !!!!!!!!
  2390.       Cold, BeginIo, Close im Trackdisk.device, Rasterstrahl $90(a6)
  2391.       im Prg. dann noch OpenWindow, InitResident, direkte Dos.lib-Ein-
  2392.       spruenge.
  2393.  
  2394.       entschluesselt im Speicher mit:    eor.b d0,(a0)+
  2395.                                          subq.l #2,d0
  2396.                                          dbra d1,loop
  2397.  
  2398.       Zum Verschluesseln eines neuen SADDAM-Disk-Validators wird
  2399.       ein Wert aus $DFF007 in d0 abgelegt.
  2400.  
  2401.       Speicherlage: SysStkLower - veraenderter Wert aus $DFF007 - Virus-
  2402.                     programmlaenge
  2403.  
  2404.       Name decodiert: " SADDAM VIRUS"
  2405.  
  2406.       Schaeden und Gefahren:
  2407.       Das Einlegen einer Disk mit ungueltiger BitMap genuegt,
  2408.       um SADDAM zu aktivieren !!!!
  2409.       abhaengig von der Zaehlzelle:
  2410.       KopfStep alle Laufwerke (Disk danach BAD) und DisplayAlert:
  2411.                             SADDAM-VIRUS
  2412.       Ueberschreibt jeden echten Disk-Validator auf einer ungeschuetzten
  2413.       Disk !!!!!
  2414.       Falls auf einer Disk kein l-Dir vorhanden ist, wird es erstellt
  2415.       und dann der verseuchte Disk-Validator hineinkopiert. Noch KEIN
  2416.       anderes Virusprogramm hat Unterverzeichnisse angelegt !!!!
  2417.       Sucht ueber den FileHeaderBlock den ersten FileDataBlock und
  2418.       schreibt in T.DATA das LWort IRAK . Der Rest des FileDataBlocks
  2419.       wird mit    eor.l d1,(a0)+
  2420.                   dbra d0,loop
  2421.               verschluesselt. Bei aktivem SADDAM-VIRUS wird statt IRAK
  2422.       der richtige Wert 8 angezeigt! (Taeuschung !! vgl. Lamergruppe,
  2423.       die sauberen BB vortaeuscht!)
  2424.       Schreibt manchmal in ROOT in $13c (=Zeiger auf BitMapBlock) den
  2425.       Wert Null. Mit Glueck finden Sie in $140 den Orginalwert (abge-
  2426.       legt vom Virusprogramm) .
  2427.       Wenn Sie Pech haben, hat ein anderer Virusprogrammteil diese
  2428.       Stelle kurz danach auch auf Null gesetzt. Versuchen Sie dann mit
  2429.       einer Bootdisk den OrginalDisk-Validator zu starten oder versuchen
  2430.       Sie mit einem Disk-Monitor zu Fuss den BitMapBlock zu finden und
  2431.       wieder in $13c einzutragen. Oder lesen Sie BitMapTest.dok (11.07.91)
  2432.       Hinweis: Versuchen Sie bitte NICHT decode IRAK auf einem fms.device
  2433.          (Grund: phys. und logischer Block verschieden). Sie muessen
  2434.          IRAK auf einer Disk decodieren !!!!!
  2435.       Hinweis 2: Ich besitze inzwischen (21.10.91) einen SADDAM-Disk-
  2436.          Validator mit der Laenge: 1892 Bytes . Dieser Disk-Validator
  2437.          aktiviert sich trotz Null in $138 und $13c nicht, sondern der
  2438.          System-Requester erscheint !!!!
  2439.       Hinweis 3: Um IRAK-codierte Bloecke zu reparieren, verwenden Sie
  2440.          bitte BlockITest. Geht sehr schnell im Vergleich zum FileTest.
  2441.          Danke
  2442.  
  2443.    - SADDAM-Clones  verwenden statt IRAK  LAME, LOOM, RISC  usw.
  2444.          Testen Sie mit BlockITest und verneinen Sie decode und schauen
  2445.          sich den Block an. Langwort 0 enthaelt das Erkennungslangwort.
  2446.          Decode in BlockITest sollte richtig arbeiten. Falls nein, rufen
  2447.          Sie mich bitte an. Danke
  2448.  
  2449.    - SADDAM-File  Laenge: 14524 Bytes   NICHT lauffaehig  Error 121
  2450.          Grund: Hunklaengenangabe immer noch $1c5 . Sofort loeschen
  2451.  
  2452.    - SADDAM ][  Disk-Validator  Laenge: 1848 Bytes
  2453.          Verhalten: s.o.
  2454.          Schreibt IRAK
  2455.          Aenderungen:
  2456.          Name: "  SADDAM ][  "
  2457.          andere Decodierroutine:
  2458.              z.B.   subq.l #3,d0  (Org. subq.l #2,d0)
  2459.  
  2460.    - SADDAM-Clone besondere Art  Name geaendert in HARDEX VIRUS
  2461.          Soll statt IRAK  HARD  schreiben. Wie das gehen soll, ist
  2462.          mir aber noch nicht klar.
  2463.          Begruendung:
  2464.          Der Nachprogrammierer hat nicht nur Namen geaendert, sondern
  2465.          auch noch 'trackdisk.device' geloescht. Deshalb kann BeginIo
  2466.          nicht verbogen werden. Also keine Codierung eines Blocks
  2467.          moeglich. VT erkennt SADDAM . Bitte einfach loeschen.
  2468.  
  2469.  
  2470.    - SCA Dos Kill   siehe bei D&A Virus
  2471.  
  2472.    - SCA!
  2473.  
  2474.    - SCA 2  keine Gefahr, nie bootfaehig, immer GURU
  2475.          deshalb in meinem Prg. nur Nicht-Standard-BB
  2476.          Begruendung: read $200 nach $7FC00 von Zylinder 79 und
  2477.                       dann jmp $7FA00 (alles klar Anfaenger !!)
  2478.  
  2479.    - SCARFACE   BeginIo, KickTag, KickCheckSum, Vec5
  2480.          FastMem nein
  2481.          Vermehrung: ueber BB
  2482.          ResetRoutine, die ueber Vec5 gesteuert wird (Zaehlzelle > $2710)
  2483.          Im BB sichtbar:  z.B. SCARFACE
  2484.  
  2485.    - Self-Writer  andere Namen: Pseudoselfwriter   bei mir Lamer7
  2486.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  2487.          das Verhalten einem Lamervirus entspricht, halte ich eine
  2488.          Zuordnung zur Lamer-Gruppe fuer richtig.
  2489.  
  2490.    - Sendarian   Revenge V1.2-Clone, Cool, DoIo, Vec5, im Speicher $7e000
  2491.          und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  2492.          Vermehrung: ueber BB
  2493.          Schaden: nach einiger Zeit neuer Mauszeiger
  2494.          im BB sichtbar: Sendarian #1Count:
  2495.  
  2496.    - SHIT-Virus  (BB)   nicht mit KS2.04, nicht mit FastMem
  2497.          KickTag, KickCheckSum, BeginIo, Vec5, $64, $68, $6c
  2498.          haeufig GURU
  2499.          Zeitzaehler: 8 Min
  2500.          setzt irgrndwann $60 auf 0
  2501.          codiert mit: eor.w d0, (a0)+
  2502.                       add.w $xyz(pc),d0
  2503.          Im codierten BB ist zu lesen: Nuked007 (wobei Nu=RTS)
  2504.          Zugeschickt wurde mir der BB als Ethik-BB. Diesen Namen kann
  2505.          ich nicht nachvollziehen.
  2506.          Schaeden in Abhaengigkeit von der Zaehlzelle:
  2507.             - schreibt $1400 Bytes ab Block 0   (Absicht ???)
  2508.                  zerstoert also auch Files die ab Block 2 liegen
  2509.             - schreibt in einen Block ab $30 SHIT
  2510.                   addiert 8 zu $10 im Block (bei OFS=NextDataBlock)
  2511.                   addiert 8 zu $14 im Block (bei OFS=BlockCheckSum)
  2512.                   schreibt den veraenderten Block dann 1 Position
  2513.                   spaeter zurueck.
  2514.             Diese Files sind NICHT zu retten !!!!!!!!
  2515.          Gefaehrlich: in weniger als 5 Minuten habe ich 12 SHIT-Bloecke
  2516.             auf einer Disk erzeugt !!!
  2517.  
  2518.    - SS Virus BB  Cool immer $7C078  immer ab $7C000
  2519.          Bei mir mit KS2.04 nach Reset kein neuboot von Disk.
  2520.          Unter KS1.3 werden nach dem Reset 2 Interrupts installiert.
  2521.             Nr. 3 = Ports = $7C1D6 = SS.install
  2522.             Nr. 5 = VERTB = $7C1F8 = SS.greetings
  2523.          VT entfernt beim loeschen die Namen und setzt die Codezeiger
  2524.             auf 0 mit RemIntServer. Also keine Gefahr mehr. vgl. VT =
  2525.             Listen = IntVec
  2526.          Sobald die Zaehlzelle den Wert #$500 erreicht hat wird eine
  2527.          Graphikroutine angesprungen:
  2528.          schwarzer Hintergrund, helle Schrift
  2529.          Hakenkreuz,SS-Rune,Hakenkreuz und dann
  2530.             your computer is infected by SS-Virus!
  2531.          Danach ist ein Reset notwendig, da das VirusPrg. sich in einer
  2532.          Endlosschleife befindet.
  2533.          Der BB ist codiert mit eor.l d0,(a0)+
  2534.          Von der Definition handelt es sich nicht um einen BB-Virus,
  2535.          da keine Vermehrungsroutine gefunden wurde.
  2536.          siehe auch MOSH, HEIL-Virus
  2537.  
  2538.    - STARFIRE/NorthStar 1   anderer Name  BlackStar
  2539.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 1
  2540.          testet nicht auf SystemZ, nur auf SCA, ByteBandit = DisplayAlert
  2541.          Vermehrung: ueber BB
  2542.          Im BB lesbar:
  2543.          Virus detected on this disk  usw.
  2544.          Reset,WriteProt OFF (bei NorthStar2 nicht vorhanden)
  2545.  
  2546.    - STARFIRE/NorthStar 2 = OldNorthStar  ????
  2547.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 2
  2548.          testet auf SCA, ByteBandit, SystemZ, NorthStar1, Folge=DisplayAlert
  2549.          Vermehrung: ueber BB
  2550.          Im BB lesbar:
  2551.          VIRUS detected on this disk  usw.
  2552.          My AntiVirus is better!    (bei NorthStar1 nicht vorhanden)
  2553.  
  2554.    - Starfire2    nur Block 0, sehr viel Text: The Virusbusters North Star
  2555.          Es ist kein Virus. VT erkennt Nicht Standard-BB
  2556.  
  2557.    - STARLIGHT        Warhawk-Clone  s.u.
  2558.          nur Text geaendert
  2559.  
  2560.    - STARLIGHT II     MicroSystems-Clone s.o.
  2561.          nur Text geaendert
  2562.  
  2563.    - Suntronic       cool,doio, nur Kick1.2 da absolute ROM-Einspruenge
  2564.                      Vermehrung ueber BB   , immer $7fa00
  2565.                      Suntronic-Text im BB sichtbar
  2566.  
  2567.    - SuperBoy     Cool, im Prg DoIo, im Speicher immer ab $7ec00
  2568.          Vermehrung ueber BB
  2569.          Alertmeldung mit  .... The Famous SuperBoy
  2570.  
  2571.    - Switch-Off    anderer Name: Joshua 2 s.o.
  2572.  
  2573.    - T.F.C. Revenge V1.03  Clone Extreme s.o.
  2574.           Text geaendert und Text im BB verschoben
  2575.  
  2576.    - T.F.C. Revenge V2.14
  2577.           Versionsnummer und Datum geaendert, Rest s.o.
  2578.  
  2579.    - T.F.C. Revenge LoadWB     File, Laenge ungepackt: 2804 Bytes
  2580.       Fuehrt LoadWB-Befehl aus und legt T.F.C. Revenge BB im Speicher
  2581.       ab. Verbogene Vektoren siehe bei Extreme.
  2582.       Vermehrung nur als Bootblock moeglich.
  2583.  
  2584.    - Taipan-Chaos    anderer Name: Chaos  s.o.
  2585.  
  2586.    - Taipan-LameBlame  anderer Name: LameBlame  s.o.
  2587.  
  2588.    - Target   cool,  im Prg. DoIo , immer $7ec00
  2589.          schreibt auf jede nicht schreibgeschuetzte Disk, die in Block
  2590.          880 ab $1b0/1 (=Diskname)  eine bestimmte Zeichenfolge
  2591.          enthaelt, ab Track 80 bis Ende (mal was Neues) sinnlose Daten
  2592.          Ursprungsprogramm:target.install (Malta)
  2593.  
  2594.    - Telstar   cold, cool, Zaehlzelle $c0
  2595.      ganz gemein, taeuscht durch Text Virusprotector 6.0 vor, entschluesselt
  2596.          (neg.b) BBteile nach $7fc00, jeder 4/2.Reset Graphikausgabe (holl.
  2597.          Flagge und Text u.a. Telstar), keine Vermehrungsroutine gefunden.
  2598.  
  2599.    - Termigator: Kick 1.2 (da absolute ROM-Einspruenge)
  2600.          immer $7f4d0, Cool und DoIo
  2601.          entschluesselte Alertmeldung:
  2602.          Only the TERMIGATOR'VIRUS makes it possible! Bye!...
  2603.          Vermehrung: ueber BB
  2604.  
  2605.    - Terrorists     PrgFileVirus  Laenge 1612 Bytes
  2606.          KickMem, KickTag, KickCheckSum
  2607.          Textausgabe mit GraphikRoutine
  2608.          nimmt Namen des 1.Files in der Startup an
  2609.          verschiebt OrgPrg ins Hauptverzeichnis
  2610.          (unsichtbar A0202020A02020A020A0A0)
  2611.          Vermehrung: jede nichtschreibgeschuetzte Disk mit Startup
  2612.          im PrgFile sichtbar: TTV1
  2613.          schwarzer Hintergrund, weisse Schrift, zeilenweise
  2614.  
  2615.                   THE NAMES HAVE BEEN CHANGED
  2616.                   TO PROTECT THE INNOCENT...
  2617.                   THE TERRORISTS HAVE YOU UNDER CONTROL
  2618.                   EVERYTHING IS DESTROYED
  2619.                   YOUR SYSTEM IS INFECTED
  2620.                   THERE IS NO HOPE FOR BETTER TIMES
  2621.                   THE FIRST TERRORISTS VIRUS !!!
  2622.          Hinweis: es wird ein unsichtbares File (Name s.o.) weiterge-
  2623.             geben mit der Laenge #64 und dem Inhalt "Protection file!".
  2624.             Dieses File soll einen Terrorists-Befall der Disk verhindern.
  2625.  
  2626.  
  2627.    - THE SMILY CANCER   LinkVirus, verlaengert das Prg. um 3916 Bytes
  2628.          Fastmem ja, im Speicher immer ab $7F000, KickTag, KickCheckSum,
  2629.          SumKickData, im Prg. noch BeginIo und $6c = Vec3
  2630.          PrgTeile decodiert mit ror.b #2,d1 oder codiert mit rol.b #2,d1
  2631.          befaellt das erste File der startup-sequence,
  2632.          testet  n i c h t  auf Sonderzeichen im Filenamen,
  2633.          d.h. jedes File wird befallen
  2634.          nach 20 Vermehrungen:
  2635.          Mauszeiger aendert sich in gelben Kopf (smily) mit blauem Hut
  2636.          und Endlosausgabe einer roten Laufschrift:
  2637.    "????????.........."
  2638.    " HI THERE!!! A NEW AGE IN VIRUS MAKING HAS BEGUN!!!"
  2639.    " THANX TO US... THANKX TO: --- CENTURIONS ---  "
  2640.    " AND WE HAVE THE PLEASURE TO INFORM YOU THAT SOME"
  2641.    " OF YOUR DISKS ARE INFECTED BY OUR FIRST MASTERPIECE"
  2642.    " CALLED: ` THE SMILY CANCER `  "
  2643.    " HAVE FUN LOOKING FOR IT... AND STAY TUNED FOR OUR NEXT PRODUCTIONS.  "
  2644.    " CENTURIONS: THE FUTURE IS NEAR!"
  2645.    "                     "
  2646.  
  2647.    Ausserdem ist im decodierten Prg noch zu lesen:
  2648.    (erscheint nicht in der Laufschrift)
  2649.    HELLO HACKERS OUT THERE!! A NEW FORCE HAS BORN IN ITALY:
  2650.    --- CENTURIONS ---. OUR TEAM IS COMPOSED OF 2 GUYZ:
  2651.    ME & HIM.(AHAHHA!)
  2652.    THE AIM OF - - CENTURIONS - - IS JUST VIRUS MAKING..
  2653.    WE HAVE LOTTA FUN DOING THIS AND WE ALSO HOPE TO GIVE FUN TO THE
  2654.    KILLERS MAKERS (HI STEVE TIBBETT!) HAW! HAW! HAW!
  2655.     SIGNED: ME & HIM / CENTURIONS
  2656.    Hinweis: Ich besitze ein Smily-File mit vier Links
  2657.  
  2658.    - The Smily Cancer II   Filevirus  Laenge: 4676  2x verschluesselt
  2659.       nach 1x entschluesseln mit   eori.b #$90,d1
  2660.                                    subi.b #$22,d1
  2661.       kann man am Fileende lesen:
  2662.             CENTURIONS STRIKES BACK: THE SMILY CANCER II
  2663.  
  2664.       Beim Starten des Programms wird der loadwb-Befehl simuliert und
  2665.       das Virusteil setzt sich im Speicher fest. Die Vermehrung erfolgt
  2666.       dann als Smily 1, d.h. es findet KEINE Vermehrung als Smily II
  2667.       statt. siehe oben
  2668.  
  2669.       Hinweis: Es wird ein Smily-File (Laenge 4792 Bytes, ab $200 im
  2670.          File Text zu lesen) in Deutschland weitergegeben, das
  2671.          NICHT lauffaehig ist (April 92). Dieses Prg wird von VT  NICHT
  2672.          erkannt, da keine Gefahr besteht. Lasst solche Scherze und
  2673.          verunsichert nicht die Amiga-Benutzer !!!!
  2674.       Hinweis 03.09.92: Ab VT2.44 sollten mehrere SmilyLinks ans gleiche
  2675.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  2676.       sich bitte. Danke
  2677.  
  2678.    - The Traveller 1.0
  2679.       KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7F000
  2680.       abhaengig vom Zaehlerstand: Textausgabe
  2681.          roter,gruener und blauer Balken, schwarze Schrift
  2682.             NEVER HEARD OF VIRUS-PROTECTION ??? -LAMER !!!
  2683.       Vermehrung und Schaden: BB   (auch HD !!!!!!!!!)
  2684.  
  2685.    - Tick
  2686.          siehe unter Julie
  2687.  
  2688.    - TimeBomb V0.9    Trojanisches Pferd
  2689.       wird mit dem Prg. BMassacre erzeugt (da steht auch TimeBomb V0.9)
  2690.       besteht aus 2 Teilen in SubDir c und Root:
  2691.          in c: .info      = Virus   Laenge: 7840 Bytes
  2692.       in Root: pic.xx     = Zaehler (Startwert=6)  Laenge: 1 Byte
  2693.       in der 1.Zeile der startup steht: c/.info
  2694.       nicht resident, keine Vermehrungsroutine in .info
  2695.       Verhalten: vermindert bei jedem Neustart den Wert in pic.xx um 1 .
  2696.       Sobald 0 erreicht ist, wird die Disk formatiert (Track 0-159) .
  2697.       Damit der Wert in pic.xx geaendert werden kann, darf die Disk
  2698.       nicht schreibgeschuetzt sein. Falls doch, erscheint:
  2699.          User Request : Please remove write Protection and press
  2700.                         left Mouse Button to continue..
  2701.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  2702.       der Disk nicht moeglich.
  2703.       Im Cli wird immer ausgegeben:
  2704.             RAM CHECKED - NO VIRUS FOUND.
  2705.  
  2706.    - TimeBomb V0.9 Clone   Trojanisches Pferd
  2707.          Wird von VT als Timebomb erkannt.
  2708.       besteht aus 2 Teilen in SubDir c und Root:
  2709.          in c: .info      = Virus   Laenge mit PP: 1584 Bytes
  2710.       in Root: setmap     = Zaehler (Startwert=FF)  Laenge: 1 Byte
  2711.       in der 1.Zeile der startup steht: c/.info
  2712.       nicht resident, keine Vermehrungsroutine in .info
  2713.       Verhalten: vermindert bei jedem Neustart den Wert in setmap um 1 .
  2714.       Sobald 0 erreicht ist, wird die Disk formatiert (Track 0-150) .
  2715.       Textausgabe danach:
  2716.          Hey Looser ! Boot again !
  2717.       Damit der Wert in df0:setmap geaendert werden kann, darf die Disk
  2718.       nicht schreibgeschuetzt sein. Falls doch, erscheint:
  2719.          User Request : Please remove write Protection and press
  2720.                         left Mouse Button to continue..
  2721.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  2722.       der Disk nicht moeglich.
  2723.       Im Cli wird ausgegeben:
  2724.             DISC SPEEDER BY BUD usw
  2725.       VT bietet im FileTest loeschen an und sucht auch nach setmap (1Byte).
  2726.       Falls gefunden, wird auch setmap im Rootverzeichnis geloescht.
  2727.  
  2728.  
  2729.    - TimeBomb V1.0  BB-Virus
  2730.      ( verbiegt keine "bekannten" Zeiger )
  2731.      (je nach Zaehlerstand wird eigener BootBlock geschrieben,
  2732.      (( Einsprung bei #$70208))
  2733.      oder Track 80 (Directory) mit Speicherinhalt ab #$20000 ueberschrieben
  2734.          = Disk wird unlesbar !!!)
  2735.      (( Einsprung bei #$70026))
  2736.  
  2737.    - TimeBomber    Trojanisches Pferd
  2738.       wird mit dem Prg. TimeBomber erzeugt
  2739.       besteht aus 2 Teilen in RootDir:
  2740.       virustest         = Virus   Laenge: 936 Bytes
  2741.       virustest.data    = Zaehler (Startwert=5)  Laenge: 1 Byte
  2742.       in der 1.Zeile der startup steht: virustest
  2743.       nicht resident, keine Vermehrungsroutine in virustest
  2744.       Verhalten: vermindert bei jedem Neustart den Wert in virustest.data
  2745.       um 1 .Sobald 0 erreicht ist, wird die Disk formatiert.
  2746.       Damit der Wert in virustest.data geaendert werden kann, darf die
  2747.       Disk nicht schreibgeschuetzt sein. Falls doch, erscheint:
  2748.          User Request : Please remove write Protection and press
  2749.                         left Mouse Button to continue..
  2750.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  2751.       der Disk nicht moeglich.
  2752.       Im Cli wird immer ausgegeben:
  2753.             RAM checked - no virus found.
  2754.  
  2755.    - TNK    noch ein SCA-Clone          08.04.92
  2756.          im BB zu lesen: This was The New Kid   usw.
  2757.  
  2758.    - Tomates-Gentechnic-Service  = TimeBomb-BB-Clone
  2759.             nur der Text wurde veraendert
  2760.  
  2761.    - Trabbi  Link  anderer Name: Hochofen  s.o.
  2762.  
  2763.    - Traveling Jack
  2764.       LinkVirusPrg mit variabler HunkLaenge
  2765.       verbiegt DosBase+$2E  (= dos.library-Zeiger ins ROM), nicht resetfest
  2766.       a) schreibt ein File auf Disk VIRUS.xy   Laenge immer 198 Bytes
  2767.          x u. y sind HexZahlen, die ueber $BFE801 bestimmt werden.
  2768.  
  2769.          Text in VIRUS.xy:
  2770.       The Traveling Jack....
  2771.       I'm traveling from town to town looking for respect,
  2772.       and all the girls I could lay down make me go erect.
  2773.                             -Jack, 21st of September 1990
  2774.  
  2775.       b) linkt sich an andere Prg.e
  2776.       Bedingungen:
  2777.       DOS0-Disk, Disk validated, 12 Bloecke frei auf Disk, Filelaenge
  2778.       mind. 2000 Bytes, FileName mind. 5 Zeichen, FileName enthaelt
  2779.       kein Zeichen kleiner als $40,
  2780.       kein Info.File
  2781.       Typ A:
  2782.       LinkHunkLaengenBerechnung:
  2783.       $24C + Wert aus $DFF006
  2784.       decodiert im Speicher $909+1 Bytes
  2785.       Typ B:
  2786.       LinkHunkLaengenBerechnung:
  2787.       $25B + Wert aus $DFF006
  2788.       decodiert im Speicher $945+1 Bytes
  2789.  
  2790.    - Travelling Jack 3  gibt es nicht, es handelt sich um Typ B, glauben
  2791.       Sie mir. Einige andere VirenChecker machen einen Fehler, indem sie
  2792.       die Hunklaengenaenderung nicht beachten und erkennen deshalb nur
  2793.       EINEN Typ B, obwohl mehrere moeglich sind. (Stand 28.09.91)
  2794.  
  2795.    - TRIPLEX-Virus    BB    Cool, DoIo  auch KS2.04
  2796.          belegt im Speicher $800 Bytes, ist 2x im Speicher
  2797.       Vermehrung und Schaeden: BB
  2798.       VirusPrg. meldet sich NICHT
  2799.       im BB ist zu lesen:
  2800.          This nice little Virus was written in 1990  usw.
  2801.  
  2802.    - TRISECTOR 911 Virus BB   immer $7F000
  2803.       KS2.04 : nein
  2804.       fordert trackdisk.device NICHT
  2805.       KickTag, KickChecksum
  2806.       nach 1. Reset auch:
  2807.       DoIo,
  2808.       Vermehrung und Schaeden:
  2809.          BB und  $94(a6) fuer Zeitbestimmung
  2810.  
  2811.    - TRISTAR-Viruskiller V1.0
  2812.       Es ist NICHT der Orginal TRISTAR- BB gemeint, sondern jemand hat
  2813.       den Text in einen Target-BB  (sehr kurzer Code) eingesetzt.
  2814.       Oh, ihr Anfaenger !!   VT erkennt Target  s.o.
  2815.  
  2816.    - Trojan     anderer Name: Incognito    s.o.
  2817.  
  2818.    - TURK_V1.3      Cool, DoIo, im Speicher immer $7f000
  2819.          schreibt TURK nach $60
  2820.          Vermehrung: ueber BB
  2821.          Textausgabe (entschluesselt mit subq #6,d0) ueber DisplayAlert:
  2822.             Amiga Failure... Cause: TURK VIRUS Version 1.3!
  2823.          im BB sichtbar: TURK
  2824.  
  2825.    - TWINZ SANTA CLAUS    Coder-Clone  s.o.
  2826.          Text geaendert im BB: THE SANTA CLAUS VIRUS !!!! usw.
  2827.  
  2828.    - U.K.LamerStyle   anderer Name: Clist s.o.
  2829.  
  2830.    - UF-Virus   anderer Name: UltraFox  s.u.
  2831.  
  2832.    - ULDV8   kein Fastmem, KickTag, KickCheckSum, BeginIo, IntVec 5
  2833.          im BB sichtbar: ULDV8
  2834.          fordert trackdisk.device
  2835.          Vermehrung:BB
  2836.  
  2837.    - UltraFox       Cool, DoIo, FastMem ja, nur KS1.2 da $fc06dc
  2838.          Vermehrung: ueber BB
  2839.          im Speicher immer ab $7eb00
  2840.          Zaehlzelle groesser $f = Textausgabe, Graphikroutine
  2841.          Hintergrund dunkelblau, Balken hellblau, Schrift gelb.
  2842.          Greetings from ULTRAFOX of Aust.
  2843.  
  2844.    - Umyj Dupe   nur KS1.2, da absoluter DoIo-Romeinsprung
  2845.          KickTag, KickCheckSum, DoIo, immer ab $7F800
  2846.          Fordert trackdisk.device nicht !!!
  2847.          Schaeden und Vermehrung:
  2848.          Bootblock
  2849.          Schreibt in Block 880 (ist nur bei Disk der RootBlock)
  2850.             Umyj Dupe   usw.
  2851.          DisplayAlert:
  2852.             Umyj Dupe   usw.
  2853.  
  2854.    - VCCofTNT-Virus  BB
  2855.          Graphikausgabe:
  2856.                VCC of TNT
  2857.             ACCESS FORBIDDEN
  2858.          Schreibt VCC9 nach #34(a6)
  2859.          Fordert trackdisk.device NICHT
  2860.          auch KS2.04
  2861.          Schaeden:
  2862.          schreibt sofort unsinnige Werte aus dem Speicher in den BB
  2863.          und den Root-Block
  2864.          Ergebnis: Not a Dos Disk
  2865.          Empfehlung: sofort loeschen
  2866.          Wird auch als AutoBootingBootProtector V2.0 weitergegeben.
  2867.  
  2868.    - VIPHS-Virus   BB   BeginIo, Kicktag, KickCheckSum, Vec5, im Prg $6c
  2869.          KS2.04: nein
  2870.          Versucht zu taeuschen im BB durch:
  2871.             ANTIVIRUS 1989 by VIPHS
  2872.          Verwendet den ByteBandit-Code um $20 verschoben und $6c
  2873.          Auswirkungen s.o. bei ByteBandit
  2874.  
  2875.    - Vermin  Cool, im Prg DoIo  immer ab $7eb10
  2876.          fuellt nicht benoetigten Platz im BB mit Inhalt von $DFF006 auf.
  2877.          Vermehrung und Schaden: Bootblock
  2878.  
  2879.    - VIRUS FIGHTER V1.0  BB  auch mit KS2.04 VKill-Clone   s.u.
  2880.          Prg-Code = VKill
  2881.          DecodierLW geaendert: "1991"  (nuetzt bei VT NICHTS!! )
  2882.          decodierter Text fuer Requester anders:
  2883.             VIRUS FIGHTER V1.0  usw.
  2884.  
  2885.    - VIRUS PREDATOR BB: anderer und eigentlich falscher Name: Julie s.o.
  2886.  
  2887.    - VIRUS TERMINATOR V6.0    trojanisches Pferd  Mega1-Cr: 1880 Bytes
  2888.                auch KS2.04
  2889.          Versucht durch Text zu taeuschen:
  2890.             VIRUS TERMINATOR V6.0 by Rudolf Neiber (1992)  usw.
  2891.          Installiert in Wirklichkeit im Speicher CHEATER HIJACKER Virus-BB
  2892.             Wird von VT im Speicher als CHEATER HIJACKER erkannt.
  2893.             Sollte von VT im FileTest als VIRUS TERMINATOR 6 erkannt wer-
  2894.             den.
  2895.          Empfehlung: sofort loeschen
  2896.  
  2897.    - Virus V1    immer ab $7EC00  Cool $7ec62, DoIo $7eca8
  2898.          Arbeitet auch mit KS2.04 !
  2899.          Fordert trackdisk.device NICHT !!!
  2900.          Schaeden und Vermehrung:
  2901.          ueber Bootblock
  2902.          sobald die Zaehlzelle den Wert $F erreicht hat:
  2903.          Textausgabe mit Graphics-Routinen
  2904.             dunkler Hintergrund
  2905.             Virus V1 (rot)
  2906.             Wir sind wieder da ahaaa.. (gruen)
  2907.          Der letzte Text ist auch im BB zu lesen
  2908.  
  2909.    - Virusblaster V2.3   ungepackt 9232 Bytes
  2910.          keine Vermehrung, keine Vektoren verbogen,
  2911.          (also von der Definition her KEIN Virus, aber auf Zerstoerung
  2912.          ausgelegt)
  2913.          zerstoert Disk in Df0
  2914.          meldet sich im Cli als AntiVirenProgramm von M&T 7/91
  2915.          einfach loeschen
  2916.          Herkunft: Virusblaster.LZH  27944 Bytes
  2917.             - Doc-File (geaendertes VT2.26doc-File)
  2918.             - Virusblaster   PP   7292 Bytes
  2919.  
  2920.    - virustest    anderer Name: TimeBomber  s.o.
  2921.  
  2922.    - VKill 1.0     anderer Name: Aids, veraendert PutMsg
  2923.            mit FastMem:
  2924.   (loescht j e d e n nicht schreibgeschuetzten Bootblock o h n e Warnung !!!,
  2925.                     auch wenn es ein Org. Bootblock ist !! ) 
  2926.            mit nur ChipMem:
  2927.      (schreibt ohne Warnung eigenen Bootblock)
  2928.          EntschluesselungsLW: " KEN"
  2929.  
  2930.    - WAFT  BB   Cool, DoIo  auch mit KS2.04 Vermehrung
  2931.          Teile des BB`s codiert mit eori.b #-$31,(a0)+
  2932.             ergibt u.a. Text: W A F T  usw
  2933.          Vermehrung u. Schaeden:
  2934.             - BB
  2935.             - DisplayAlert
  2936.             - sucht Screen- u. Windowstruktur
  2937.  
  2938.    - Warhawk   Cool, im Prg. DoIo, liegt immer ab $7e600
  2939.          Clone: 04.03.92  Text entfernt
  2940.  
  2941.    - Warshaw Avenger   BeginIo, KickTag, KickChechSum, SumKickData
  2942.          grosse Aehnlichkeiten mit Lamer, BB aber unverschluesselt
  2943.          schreibt je nach Zaehlerstand BB oder schreibt in einen
  2944.          Diskblock (Lage je nach $dff006) $55 x Warsaw und 1 x !! .
  2945.  
  2946.    - XCopyPro6.5-Trojan
  2947.          Erzeugt beim Starten von XCopyPro V6.5  (Laenge:28336)
  2948.          den BB  Little Sven
  2949.          Hinweis: im April 92 lag die OrgVersionsNr. von Xcopy erst
  2950.             bei 5.2x (glaub ich).
  2951.          Gefunden in: xcopy65e.lha  Laenge: 25360
  2952.          Empfehlung: sofort loeschen und Orginal-XCopyPro besorgen.
  2953.  
  2954.    - XENO     Link-Virus, verlaengert das befallene Prg. um 1124 Bytes
  2955.          verbiegt DosOpen, DosLock und DosLoadSeg
  2956.          erhoeht Hunk-Zahl im File-Header nicht !!!
  2957.          testet vor Befall Filenamen auf 0-9, a-z und A-Z,
  2958.          Folge: Programme, deren Namen SonderZeichen enthalten, werden
  2959.          n i c h t  befallen.
  2960.          Ausserdem werden  a l l e  Prg., die im Unterverzeichnis
  2961.          l oder devs stehen, n i c h t  verseucht.
  2962.  
  2963.          Textausgabe (Output, Write) in Abhaengigkeit von $DFF006
  2964.          Text wird erst zur Ausgabe decodiert ( eori.b #-$80,(a0)+ ) :
  2965.             Greetings Amiga user from the Xeno virus!
  2966.          in einem verseuchten File ist in der Naehe von $460 mit einem
  2967.          Monitor zu sehen:
  2968.                l.devs.fastfilesystem.
  2969.  
  2970.    - XENO a    kleine Veraenderung um AntiVirusPrg.e zu taeuschen
  2971.          09.03.92
  2972.  
  2973.    - Xerox = DIGITAL AGE = Forpib-Clone
  2974.          nur Text geaendert
  2975.  
  2976.    - Z.E.S.T  BB    LADS-Clone  s.o
  2977.          Aenderung: lesbarer Text, kein TaeuschAlert, verschluesselter
  2978.          Text ist gleich  (Anfaenger)
  2979.          lesbarer Text: Z.E.S.T is the B.E.S.T Virus-Killer usw.
  2980.  
  2981.    - ZACCESS V1.0    16Bit-Clone   s.o.
  2982.          nur Text geaendert
  2983.  
  2984.    - ZACCESS V2.0    Forpib-Clone  s.o.
  2985.          nur Text geaendert
  2986.  
  2987.    - ZACCESS V3.0    Extreme-Clone s.o.
  2988.          nur Text geaendert
  2989.  
  2990.    - ZOMBI I-Virus   Cool, im Prg DoIo, immer ab $7A000
  2991.          fordert trackdisk.device NICHT
  2992.          Vermehrung: BB
  2993.          Schaeden:
  2994.          Sobald die Zaehlzelle den Wert $F erreicht hat:
  2995.          - RootBlock und Bitmapblock neu schreiben !!!!
  2996.          - Name der Disk dann: Zombi I
  2997.          - Textausgabe mit DisplayAlert
  2998.             Text wird decodiert nach $70000 mit eori.l #$AAAAAAAA,(A0)+
  2999.                >>>>>    Hello AMIGA User !!!!!    <<<<<
  3000.                            HERE IS ZOMBI I
  3001.                    If you want to clean your Disks
  3002.                     use Zombie I without risks !
  3003.  
  3004.          Da der BitMapBlock immer nach $371 geschrieben wird, was aber
  3005.          im DOS nicht zwingend festgelegt ist, kann ein File, das beim
  3006.          Block $371 beginnt, zerstoert werden. Alle Hashwerte im Root-
  3007.          Block werden auf Null gesetzt. Beim BitMapTest erkennen Sie
  3008.          diese Disk am Namen Zombi I ab $1B0.
  3009.          Rettung: DiskDoc oder DiskSalv aufrufen.
  3010.  
  3011.  
  3012.    - erkannte Virenfinder:
  3013.      =====================
  3014.       teilweise KickRomV1.2, haeufig mit Bootblock-Schreibzugriff,
  3015.       veraltet, resident, werden nach Abfrage geloescht
  3016.  
  3017.       - ACID Terminator V3.0  AntiVirusBB
  3018.             nicht fuer KS2.04 geeignet, da absolute Werte geschrieben
  3019.             werden.
  3020.             Empfehlung deshalb: loeschen
  3021.  
  3022.       - AmigaDOS Viruskiller V2.1 immer ab 7F3F0, resetfest
  3023.             verbiegt DoIo, KickTag, OpenOldLib, und im Prg OpenWindow
  3024.             Schreibt in CLI-Leiste AmigaDOS  Viruskiller 2.1
  3025.             meldet veraenderten Bootblock und bietet BB-AmigaDOS an.
  3026.             GURU mit KS2.04 deshalb Empfehlung loeschen
  3027.  
  3028.       - Anti-Virus_Boot V1.1 c1991 by Hoeppelsoft
  3029.             KickTag, KickMem, KickCheckSum
  3030.             bei Erstinstallierung: gruener Bildschirm
  3031.             bei Reset : Bildschirm mit blauen Streifen
  3032.             eigentlich harmlos, aber:
  3033.             verhindert bei mir mit KS2.04 booten von Festplatte
  3034.             Empfehlung deshalb :   loeschen
  3035.  
  3036.       - ASS VirusProtector V1.0  (KickV1.2, Tonfolge)
  3037.             FastMem ja, KickTag, KickCheckSum, Vec5
  3038.  
  3039.       - Blizzard Protector V1.0
  3040.             testet Cool, Vec3, falls veraendert wird ohne Warnung
  3041.             eigener BB geschrieben (verwendet dazu ueber den verbogenen
  3042.             CoolVector das andere Prg (jsr 82(a0))
  3043.             Empfehlung: loeschen
  3044.  
  3045.       - BlizzPro V3.1    cool, Fastmem ja,
  3046.             im Prg. closedevice (oh, was neues)
  3047.             Vermehrung: ueber BB
  3048.             erkennt einige Viren, schreibt aber KS1.2 DoIo zurueck
  3049.             Meldung ueber DisplayAlert
  3050.             unverschluesselter Text im BB:
  3051.             BlizzPro V3.1  und Virennamen
  3052.  
  3053.       - BlizzPro V3.3     Cool gegenueber BlizzPro V3.1 verschoben
  3054.             NICHT mit KS2.04
  3055.             kein Virus = Bildschirm gruen
  3056.             sonst s.o.
  3057.             unverschluesselter Text im BB:
  3058.             BlizzPro V3.3  und Virennamen
  3059.             Empfehlung: sofort loeschen
  3060.  
  3061.       - CLONK!  DoIo, KickMem, KickTag, KickCheckSum, SumKickData
  3062.             nur 512KB Chip (oder resetfestes 1MB), da zur Aktivierung
  3063.             immer ein Reset ausgefuehrt wird. (7D042 nach $80, TRAP 0)
  3064.             Ursprungsprogramm: Clonk! (Alcatraz)
  3065.  
  3066.       - DISKGUARD v1.0   cool, im Prg DoIo, immer $7FA00
  3067.             Vermehrung: ueber BB
  3068.             Meldung fremder BB.e: mit DisplayAlert
  3069.             schreibt immer  DoIo von KS1.2, Folge: Guru mit KS1.3
  3070.             Empfehlung: loeschen
  3071.  
  3072.       - Exterminator 2   cool, im Prg DoIo
  3073.             FastMem: nein
  3074.             KS2.04:  nein
  3075.             Empfehlung deshalb: L=loeschen
  3076.  
  3077.       - H.C.S I      veraendert cool, im Prg DoIo, loescht KickTag
  3078.                      im Speicher immer ab $7EC00
  3079.                      Vermehrung: jeder DOS-BB ohne Warnung !!!!
  3080.  
  3081.       - H.C.S II  veraendert cool
  3082.                   erkennt einige alte BBViren ( Alertmeldung )
  3083.                   beim ersten Bootblockschreiberfolg wird noch der
  3084.                   DoIo-Vector verbogen und bleibt verbogen
  3085.                   bei leerem Laufwerk blinkt PowerLed
  3086.  
  3087.       - Outlaw-VirusChecker
  3088.         keine Vermehrung, erkennt SCA. Schreibt aber immer KS1.2 Werte
  3089.         (z.B. Vec5 $fc12fc) zurueck. Folge: GURU mit KS1.3
  3090.         nicht resident
  3091.         Empfehlung: loeschen
  3092.  
  3093.       - M&U  V5.5 u. V6.1   KickTag, KickCheckSum immer $7F400
  3094.          nach Reset auch DoIo, prueft die Standard-Vektoren und
  3095.          springt bei der Erstinstallation, falls diese nicht 0 sind,
  3096.          ins ROM zum Reset.
  3097.          Fehler: or.l $550(a6),d0  (richtig:$226)
  3098.          Stand: Feb. u. Maerz 90
  3099.          Empfehlung deshalb: sofort loeschen
  3100.  
  3101.       - Monkey-Killer   AssProt-Clone  Empfehlung loeschen  s.o.
  3102.          Endlich hat es jemand geschafft den Text abzuaendern. Leider
  3103.          erkennt VT diesen BB weiterhin als ASS-Prot.BB .
  3104.  
  3105.       - NO BANDIT  soll ByteBandit am Bootblockbefall hindern
  3106.          Text:  NO BANDIT ANYMORE!  R.T.
  3107.          Empfehlung: loeschen
  3108.  
  3109.       - Sherlock     AntiVirenBB , Cool, DoIo, resident im Speicher,
  3110.          im Speicher immer ab 7FA00, benutzt zusaetzlich 7CA00,
  3111.          Textausgabe mit DisplayAlert
  3112.          schreibt bei mehr als 512KB  BeginIo an falsche Stelle,
  3113.          Empfehlung: loeschen
  3114.          Hinweis: 04.03.92 (Brief)
  3115.             soll Disks zerstoeren. Getestet: nicht aufgetreten
  3116.  
  3117.  
  3118.       - SystemZ V3.0, 4.0, 5.0, 5.1, 5.3, 5.4, 6.1, 6.3, 6.4, 6.5
  3119.          KickTag, KickCheckSum, loescht Cool, im Prg. DoIo
  3120.          Melodie und Farbbalken
  3121.          ab 6.3 keine speicherabsolute Adresse mehr
  3122.          neuer Name Virusprotector (meldet sich vor Schreibzugriff)
  3123.  
  3124.       - Trackers Antivirus V1.2
  3125.          blauer Streifen, helle Schrift
  3126.          2 alte absolute ROM-Einspruenge
  3127.          Empfehlung deshalb: sofort loeschen
  3128.  
  3129.       - VIRUS HUNTER  Kicktag $7F300, KickCheckSum $7F307 immer ab $7F300
  3130.          war ein AntiVirusBB fuer KS1.2  Empfehlung heute: sofort loeschen
  3131.          Begruendung:
  3132.             direkte RomEinspruenge
  3133.             jsr $FC06DC, $94(a6)=$FC12FC, schreibt nach $238(a6) dieser
  3134.             Teil wird aber seit KS2.04 genutzt !!!   usw.
  3135.  
  3136.       - Virus-Killer
  3137.             KickMem, KickTag, KickCheckSum
  3138.  
  3139.       - VIRUS SLAYER V1.0     Cool, DoIo, im Speicher immer $7FA00
  3140.          nur KS1.2 da DoIo absolut ROM
  3141.          veraltet, Empfehlung: loeschen
  3142.          Vermehrung: ueber BB
  3143.  
  3144.       - ZVirusKiller V1.5  BB   KickTag, KickCheckSum, veraltet
  3145.          Empfehlung: loeschen
  3146.          Text: ZViruskiller V 1.5 usw.
  3147.  
  3148.  
  3149.    - harmlose Programme:
  3150.      ===================
  3151.  
  3152.       - ANTI-Disk-Validator  Laenge: 1848 Bytes
  3153.          in einen Disk-Validator von WB1.3 wurde das Wort ANTI ein-
  3154.          gebaut. Ueber diesen String wird mit bra.s hinweggesprungen.
  3155.          Die zusaetzlichen 8 Bytes werden wieder eingespart durch die
  3156.          Umwandlung von zwei Longs in Short im weiteren Programm.
  3157.          Dieses Programm ist harmlos. Um aber das Durcheinander bei
  3158.          den Disk-Validatoren gering zu halten, empfehle ich:
  3159.             LOESCHEN !!!!!
  3160.  
  3161.    - schaedliche Programme:
  3162.      ======================
  3163.  
  3164.       - Blieb6   Laenge: 7612
  3165.          Oeffnet dh0:bbs/config1 oder dh1:bbs/config1 und verlaengert
  3166.          das File auf 1972 Bytes. Versucht dann explode.library zu laden,
  3167.          um sich selbst weiter zu entpacken. Dabei erscheint bei mir sofort
  3168.          der GURU auf jedem Test-Rechner und bei jeder KS . Falls Sie
  3169.          mehr Glueck haben, bitte eine Nachricht. Danke
  3170.  
  3171.       - BootblockMassacre    gepackt: 9592
  3172.          bietet install von verschiedenen alten BB-Viren   (1988)
  3173.  
  3174.       - BootX5.02   gibt es noch gar nicht (Stand:26.06.92)
  3175.          Jemand mit Filemonitorkenntnis hat mehrmals das Wort Porky
  3176.          eingebaut. Sofort loeschen
  3177.  
  3178.       - ByteWarriorCreater   gepackt: 6012 Bytes  (TNM)
  3179.                            ungepackt: 7360 Bytes
  3180.          Erzeugt mit Fastmem eine NDOS-Disk
  3181.          Ohne Fastmem wird der ByteWarrior in den Bootblock geschrieben
  3182.  
  3183.       - DAG_Creator     ungepackt: 7000 Bytes
  3184.             anderer Name: Infector V2.0    gepackt:4956
  3185.             schreibt DAG-Virus in BB von df1:
  3186.  
  3187.       - Disk.info   Laenge: 370 Bytes  KEINE Vermehrung
  3188.          Ein OrginalWB1.3-Icon wurde in der Struktur geaendert. (Text
  3189.          eingebaut z.B. This is a little present for all Lamers
  3190.          abroad ). Sobald Sie diese Disk einlegen und es muesste das
  3191.          Disk-Icon auf der WB angezeigt werden, stuerzt der Rechner
  3192.          ab. Haben Sie die Startup-Sequence im Cli abgebrochen, so
  3193.          muss kein Icon dargestellt werden und deshalb koennen Sie
  3194.          mit dieser Disk ohne Probleme arbeiten. AbHilfe: Ersetzen
  3195.          Sie Disk.info .
  3196.  
  3197.       - DiskRepair V2.6     Laenge:37740
  3198.          Schreibt nach dem ersten Scandurchgang einen LEEREN RootBlock
  3199.          mit Namen PHOENIX . Beim 2. Durchgang werden aber dann die
  3200.          Files wieder eingetragen.  ABER  !!!!!
  3201.          es wird immer ein nicht ausfuehrbarer BootBlock geschrieben ???
  3202.          Der Fehler liegt nach meiner Meinung im File bei $80d0 . Ich
  3203.          rate also von diesem Prg. ab !!!
  3204.  
  3205.       - DM-Trash     06.08.92
  3206.              gegen AmiExpress ???            wird von VT NICHT erkannt
  3207.          dm-tr.lha 5135 Bytes  entpackt: dm-trash 4764 Bytes
  3208.          folgender Text (doc) ist enthalten:
  3209.          New virus ...caused by the new FIXED (?) Version
  3210.          of DMS 1.11 Turbo!
  3211.          It is some kind of linkvirus and uses Devices
  3212.          like DH0:, LIBS:, and BBS: (!!) usw.
  3213.  
  3214.          Eigene Versuche mit FangFiles (habe AmiExpress nicht) haben
  3215.          ergeben, dass eben von dm-trash folgende Files veraendert wer-
  3216.          den:  bbs:config1  bbs:user.data  bbs:user.key 
  3217.          die Files wurden verlaengert und z.B. folgende ASCII-Zeichen
  3218.          gefunden:
  3219.           BLXFGZ  ZAPA  PaddZn    usw.
  3220.          Es scheint mir nicht DMS ist das trojanische Pferd, sondern
  3221.          dm-trash. Vermutlich soll ein Superlevel fuer einen Boxzu-
  3222.          gang geschaffen werden. Also fuer normale Amiga-User kein
  3223.          Problem.
  3224.  
  3225.  
  3226.       - Guardian.DMS  sofort loeschen
  3227.          Nach dem Entpacken auf Disk entsteht guardian.config,
  3228.          startup-sequence und andere Files.
  3229.          Gefaehrlich:
  3230.  
  3231.          guardian.config
  3232.          v1.0 dh0:bbs/
  3233.          v1.0 dh1:bbs/
  3234.          2
  3235.             - v1.0 ist in c auf der Disk ein umbenannter delete-Befehl
  3236.  
  3237.          startup-sequence
  3238.          echo " "
  3239.          echo "      GUARDIAN MULTITOOL INSTALL      "
  3240.          echo " "
  3241.          echo "Please wait"
  3242.          v1.0 dh0:bbs/user.data
  3243.          v1.0 dh0:bbs/user.keys
  3244.          v1.0 dh0:bbs/config1
  3245.          v1.0 dh0:s/startup-sequence
  3246.          check drive dh0: Name Guardian-Multi
  3247.          wait 3
  3248.          echo " "
  3249.          echo "Operation complete "
  3250.             - check ist in c auf der Disk ein umbenannter format-Befehl
  3251.  
  3252.       - Infect     Laenge ungepackt: 1384
  3253.          schreibt File (z.B. BB) in BB eines LW's DFx
  3254.          kann sowohl positiv als auch negativ genutzt werden
  3255.  
  3256.       - Infector V2.0   = DAG_Creator  s.o.
  3257.  
  3258.       - Lhwarp_V1.40   Laenge: 47880 Bytes (ungepackt)
  3259.                Hinweis eines Users: mit Impl: 24788, mit PP: 27828
  3260.          Schreibt bei mir auf Zieldisk, falsche DiskStruktur beim Entpacken.
  3261.          Disk dann unbrauchbar. Bitte fuehren Sie aber mit unwichtigen
  3262.          Disks selbst Tests durch und testen Sie mit BlockKette.
  3263.  
  3264.       - LZ 2.0             Hinweis: Stand 21.09.91
  3265.          In Boxen ist ein LZ2.0 aufgetaucht, mit Laenge 37380 Bytes
  3266.          entpackt. Muss sich um einen Patch handeln und soll Archive
  3267.          zerstoeren. Hab ich, wird aber von VT nicht erkannt.
  3268.          Die hoechste OrginalVersionsNummer von LZ war am 22.09.91
  3269.          LZ 1.92 .
  3270.  
  3271.       - Show Sysops Util  06.08.92       wird von VT NICHT erkannt
  3272.          Laenge: 5780   entpackt: 7860
  3273.          Sucht nach BBS:USER.DATA und gibt Daten am Bildschirm aus.
  3274.          An einem FangFile konnten keine Veraenderungen festge-
  3275.          stellt werden. Dies kann aber bei einem Mailboxprg. anders
  3276.          sein. Fuer normale Amiga User nach meiner Meinung keine
  3277.          Gefahr und Sysops wissen sich zu helfen oder ??
  3278.  
  3279.       - Sysinfo V2.2   PP: 3928   ungepackt: 5656
  3280.          enthaelt: delete BBS:#? all
  3281.          Diese Funktion konnte ich bei Tests auf keinem Amiga-Typ, mit
  3282.          dem ich testen kann, ausloesen. Das Programm belegt Speicher
  3283.          und zeigt dann sehr schnell den GURU bei irgendeiner Arbeit
  3284.          auf der WB. Falls Sie mehr "Glueck" haben, bitte eine Nach-
  3285.          richt. Danke
  3286.  
  3287.       - uinfo        Laenge:13048   wird von VT  NICHT  erkannt
  3288.          Sucht nach AEDoorPort (AmiExpress ???) und Userdaten.
  3289.          Also fuer NormalUser ohne MailBox keine Gefahr.
  3290.          10.09.92
  3291.  
  3292.       - Virusmaker
  3293.          erzeugt nach Wahl: Byte Bandit, Byte Warrior, S.C.A., North-
  3294.          Star 1+2, System Z
  3295.  
  3296.       - X-Ripper V1.1     Laenge: 41360 Bytes (ungepackt)
  3297.          erlaubt mit inst 5 das Schreiben eines Lamer-BBs. Es wird
  3298.          aber eine NDos-Disk daraus, weil die DOS0-Kennung um 8 Bytes
  3299.          verschoben angelegt wird.
  3300.  
  3301.  
  3302.    Heiner Schneegold
  3303.    Am Steinert 8
  3304.    8701 Eibelstadt
  3305.    (W-Deutschland)
  3306.  
  3307.    Tel: 09303/8369
  3308.    (19.00 - 20.00 Uhr)
  3309.  
  3310.        
  3311.  Heiner
  3312.  
  3313.  
  3314.