home *** CD-ROM | disk | FTP | other *** search
/ Hacker 2 / HACKER2.mdf / virus / virusl3 / virusl3.110 < prev    next >
Text File  |  1995-01-03  |  20KB  |  461 lines
  1. VIRUS-L Digest   Friday,  8 Jun 1990    Volume 3 : Issue 110
  2.  
  3. Today's Topics:
  4.  
  5. Stone virus & Scan 3.1v59 (PC)
  6. Re: removing Stoned from harddisks (PC)
  7. Zipped packages, lzexe, and viruses
  8. Possible virus or trojan (Mac)? Help!!!
  9. Mainframe Viruses (Gutowski)
  10. Creation of New Viruses to Sell Product
  11. VIREX upgrade (Mac)
  12. Re: VIRUS-L Digest V3 #109
  13. New virus (PC)
  14. Wanted - MDEF configuration for SAM (Mac)
  15. Brain (PC)
  16. Steroid trojan query (Mac)
  17. First jailed UK computer hacker
  18. 1451COM / 1411EXE ? new virus (PC) ?
  19. Samsung S800 diagnostics
  20.  
  21. VIRUS-L is a moderated, digested mail forum for discussing computer
  22. virus issues; comp.virus is a non-digested Usenet counterpart.
  23. Discussions are not limited to any one hardware/software platform -
  24. diversity is welcomed.  Contributions should be relevant, concise,
  25. polite, etc.  Please sign submissions with your real name.  Send
  26. contributions to VIRUS-L@IBM1.CC.LEHIGH.EDU (that's equivalent to
  27. LEHIIBM1.BITNET for BITNET folks).  Information on accessing
  28. anti-virus, documentation, and back-issue archives is distributed
  29. periodically on the list.  Administrative mail (comments, suggestions,
  30. and so forth) should be sent to me at: krvw@CERT.SEI.CMU.EDU.
  31.  
  32.    Ken van Wyk
  33.  
  34. ---------------------------------------------------------------------------
  35.  
  36. Date:    Wed, 06 Jun 90 22:08:00 -0400
  37. From:    LINDYK@Vax2.Concordia.CA
  38. Subject: Stone virus & Scan 3.1v59 (PC)
  39.  
  40. Hello,
  41.  
  42. Two queries:
  43.  
  44.         1. Could someone inform me of the symptoms of the
  45.         STONE virus?
  46.  
  47.         2. I intent to install AcAfee's SCAN 3.1v59 on my
  48.         computer. Will this do a good job of detecting
  49.         possible virus infection or is there a more recent
  50.         update of the program? Any comments are welcome.
  51.  
  52. You can answer me personally or through the list if you feel
  53. that the information can benefit other people. Thanks in advance.
  54.  
  55.         Bogdan KARASEK
  56.  
  57.         lindyk@vax2.concordia.ca
  58.  
  59. ------------------------------
  60.  
  61. Date:    07 Jun 90 07:16:23 +0000
  62. From:    plains!person@uunet.UU.NET (Brett G. Person)
  63. Subject: Re: removing Stoned from harddisks (PC)
  64.  
  65. I had a friend call me who told me that Stoned actually damaged the
  66. media on the hard drive.  He said they lost a full ten Meg. He took
  67. the drive through a low-level + dos format, and only wound up with
  68. 20Meg on a 30 meg disk.
  69.  
  70. Now, I know that a piece of software isn't supposed to physically
  71. destroy media, but he said that the tech from the disk company claimed
  72. that Stoned actually does destroy the media permanantly.  I don't
  73. pretend to know everything about the pc, do I told him I'd ask here.
  74. My bet is that the drive was either mis-labled as a 30 meg, or somehow
  75. partitioned wrong.
  76.  
  77. - --
  78. Brett G. Person
  79. North Dakota State University
  80. uunet!plains!person | person@plains.bitnet | person@plains.nodak.edu
  81.  
  82. ------------------------------
  83.  
  84. Date:    Thu, 07 Jun 90 10:33:47 +0000
  85. From:    ts@uwasa.fi (Timo Salmi LASK)
  86. Subject: Zipped packages, lzexe, and viruses
  87.  
  88. Thu 7-Jun-90: Lzexed files pose a problem for the present virus
  89. scanners.  While waiting to see the announced scanv63 to appear with
  90. abilities to scan lzexe-compressed files, I wrote a batch to handle
  91. scanning .zip packages.  This bacth checks both ordinary and lzexed
  92. files within a .zip package.  The following shareware and PD
  93. programs are needed: pkunzip.exe, scan.exe, islzexe.exe,
  94. unlzexe.exe, The packages containing these programs can be found
  95. from good BBSes and eg from chyde.uwasa.fi by anonymous ftp.  The
  96. new batch scanzip.bat is included in the updated /pc/ts/tsbat20.arc
  97. batch file collection.  Available by anonymous ftp from
  98. chyde.uwasa.fi, Vaasa, Finland, in the usual manner.
  99.  
  100. ...................................................................
  101. Prof. Timo Salmi        (Moderating at anon. ftp site 128.214.12.3)
  102. School of Business Studies, University of Vaasa, SF-65101, Finland
  103. Internet: ts@chyde.uwasa.fi Funet: gado::salmi Bitnet: salmi@finfun
  104.  
  105. ------------------------------
  106.  
  107. Date:    06 Jun 90 19:22:42 +0000
  108. From:    mitchell@crcc.uh.edu
  109. Subject: Possible virus or trojan (Mac)? Help!!!
  110.  
  111.      I've got a strange Mac problem and need help.  Monday night, one
  112.   of my colleagues allowed a friend in to the office to steal Mac software
  113.   (using his old Mac disks, of course).  After the appropriate cussing-out
  114.   and running-off, the machine in question (Mac SE, 20Mb hard disk, System
  115.   6.0.3) started acting funny.  Symptoms:
  116.  
  117.        a.  We can't find any virii on it with Disinfectant 1.6 or 1.8
  118.        b.  Suddenly icons can't find their applications
  119.        c.  Applications are increasingly unable to open data files or
  120.            find them
  121.        d.  The parameters of applications like Versaterm are unaccountably
  122.            changing themselves i.e. the baud rate changes itself or the
  123.            Kermit parameters change for no known reason
  124.        e.  The options of the System and Desktop are unaccountably changing
  125.            themselves i.e. the sound bar is turned up without anyone having
  126.            done it.
  127.        f.  There are more system bombs, and other disk and ram error messages
  128.            than I've ever seen before in two years of working with Macs.
  129.  
  130.       We're to the point now of chucking months worth of data and reformating
  131.   the hard disk and starting over.  Any suggestions?  Any help?
  132.   Anybody seen anything like this before?
  133.  
  134.        Mike Mitchell
  135.        Institute of Molecular Design
  136.        Department of Chemistry
  137.        University of Houston
  138.        (713)-749-4229
  139.        mitchell@uhrcc2.crcc.uh.edu
  140.  
  141. ------------------------------
  142.  
  143. Date:    Wed, 06 Jun 90 16:20:00 -0400
  144. From:    WHMurray@DOCKMASTER.NCSC.MIL
  145. Subject: Mainframe Viruses (Gutowski)
  146.  
  147. >I disagree with your premise about Unix vs. VM or MVS security, though.
  148. >MVS has been in development far longer than Unix has been alive (even
  149. >back beyond the days of MVT)....
  150.  
  151. I would not want to get into an argument about it, but the difference in
  152. age is not signigficant.  Unix is much older than you might guess.
  153.  
  154. >.... and there are many shops that use MVS and VM >(IBM ain't making
  155. >it on PS/2s alone).
  156.  
  157. Total licenses for MVS and VM are measured in the low tens of thousands.
  158.  
  159. >Thus, these operating systems have
  160. >had much more opportunity for people to poke around in them.
  161.  
  162. I doubt that this is true in terms of years or hours.  It is likely true
  163. in terms of determination and other resources.  Total reported integrity
  164. flaws in MVS have likely been in the high tens.  Almost none were detected
  165. or exploited by hackers.  Most were detected by people with special
  166. knowledge and training after the expenditure of significant resources.
  167.  
  168. >Not to say they are invincible, mind you, but I think they're less
  169. >susceptible than Unix.
  170.  
  171. Your confidence is poorly placed.  While MVS and VM are as secure as
  172. IBM knows how to make them collectively, individual installations or
  173. instances are likely no better than instances of Unix.  People who do
  174. penetration studies of MVS and VM for a living report that eighty-five
  175. percent will yield privilege to a knowledgeable attacker in hours to days.
  176. Most will yield to a determined attacker in days, and less than one percent
  177. will stand up for weeks.
  178.  
  179. This has little to do with design or implementation by IBM but with use
  180. and management by their customers.  Most MVS and VM installations are
  181. guilty of exactly the same kinds of problems as are reported in the
  182. "Cuckoo's Egg."  The book takes its name from the attack that exploits the
  183. gnu-emacs editor that runs privileged.  MVS installations are rife with
  184. very general utilities that run privileged and have poor controls.
  185.  
  186. All of this has little to do with their vulnerability to viruses.  As
  187. Dave Chess of IBM Research has tried to explain on this list several
  188. times, viruses exploit the privileges of users rather than flaws in the
  189. environment.  Operating system integrity and access controls will only
  190. slow them.  If users have the privilege to execute an arbitrary program
  191. of their own choice, can create or modify a procedure, and share data
  192. with a sufficiently large population of peers, then that is all that is
  193. required for the success of a virus.
  194.  
  195. The trick to the success of a virus is not in its code, but in how you get
  196. it executed!
  197.  
  198. William Hugh Murray, Executive Consultant, Information System Security
  199. 21 Locust Avenue, Suite 2D, New Canaan, Connecticut 06840
  200. 203 966 4769, WHMurray at DOCKMASTER.NCSC.MIL
  201.  
  202. ------------------------------
  203.  
  204. Date:    Wed, 06 Jun 90 16:22:00 -0400
  205. From:    WHMurray@DOCKMASTER.NCSC.MIL
  206. Subject: Creation of New Viruses to Sell Product
  207.  
  208. >This leaves a greater potential for companies to profit from the
  209. >creation of new viruses.
  210.  
  211. New viruses do not sell product.  Old viruses sell product.  There
  212. are not enough copies of a new virus to be noticed.
  213.  
  214. William Hugh Murray, Executive Consultant, Information System Security
  215. 21 Locust Avenue, Suite 2D, New Canaan, Connecticut 06840
  216. 203 966 4769, WHMurray at DOCKMASTER.NCSC.MIL
  217.  
  218. ------------------------------
  219.  
  220. Date:    Thu, 07 Jun 90 13:56:00 -0400
  221. From:    "Melissa Jehnings" <JEHNINGS@WHEATNMA.BITNET>
  222. Subject: VIREX upgrade (Mac)
  223.  
  224. Has anyone heard when the new upgrade of VIREX was shipped?  I work at
  225. an academic computing center who is registered with the VIREX upgrade
  226. program and as of 07-June-1990, we have not yet received the newest
  227. version, which checks for MDEF.  Any help would be greatly
  228. appreciated.
  229.  
  230. Melissa Jehnings
  231. Wheaton College
  232. Norton, MA 02766
  233. BITNET: JEHNINGS@WHEATNMA
  234.  
  235. ------------------------------
  236.  
  237. Date:    Thu, 07 Jun 90 15:04:39 -0400
  238. From:    Valdis Kletnieks <VALDIS@VTVM1.CC.VT.EDU>
  239. Subject: Re: VIRUS-L Digest V3 #109
  240.  
  241. >GLWARNER@SAMFORD.BITNET (The.Gar) writes:
  242. >
  243. >   It seems to me that this is also a new way to compromise the
  244. >security of IBM equipment.  A better, more secure method of dealing
  245. >with the problem (ie. not a "trick") should be found and implemented.
  246.  
  247. I will overlook the fact that in order to reverse the speaker wires etc,
  248. it looks to me that you have to physically open the case.  At this point,
  249. what's to stop the person from whatever he feels like?
  250.  
  251. "Security" doesn't mean much when the guy has already opened the box up
  252. and is able to physically abuse the silicon.  You got a hard disk?  He can
  253. REPLACE it with a (almost identical, but infected) copy.  You got a hardware
  254. security module?  That can be ripped out.  And so on...
  255.  
  256. What is making the guy wait 20 mins buying you security-wise?  Do you have
  257. a security guard who walks by every 15 minutes?  If so, you're probably a
  258. site that has heavy duty security - why is an unknown person walking around
  259. unescorted?  And if there's NOT a security guard walking by every 15
  260. minutes, then most likely if the guy has enough time to rip it open, he
  261. won't be bothered during a further 20 minute wait.
  262.  
  263.                                    Valdis Kletnieks
  264.                                    Computer Systems Engineer
  265.                                    Virginia Tech
  266.  
  267. ------------------------------
  268.  
  269. Date:    Mon, 04 Jun 90 23:20:23 +0300
  270. From:    Yuval Tal <NYYUVAL@WEIZMANN.BITNET>
  271. Subject: New virus (PC)
  272.  
  273. I've just received a copy of a virus called "Armagedon the GREEK".
  274. Have anyone ever seen this virus? SCAN 62 did not identify this virus
  275. so I consider this as a new virus. I've checked it a bit and from what
  276. I found out, at a certain time, the virus sends a special command to
  277. your ports which a Hayes compatible modem can understand!
  278.  
  279. Greek fellows: What does the phone number 081-141 mean?
  280.  
  281. I'll make a larger report after I will finish disassembling this virus!
  282.  
  283. - -Yuval Tal
  284.  
  285. +--------------------------------------------------------------------------+
  286. | BitNet:   NYYUVAL@WEIZMANN       Domain: NYYUVAL@WEIZMANN.WEIZMANN.AC.IL |
  287. | InterNet: NYYUVAL%WEIZMANN.BITNET@CUNYVM.CUNY.EDU                        |
  288. +----------------------+---------------------------------------------------+
  289. | Yuval Tal            | Voice:   +972-8-474592  (In Israel: 08-474592)    |
  290. | P.O Box 1462         | BBS:     +972-8-471026 * 20:00-7:00 * 1200 * N81  |
  291. | Rehovot, Israel      | FidoNet: 2:403/143                                |
  292. +----------------------+---------------------------------------------------+
  293. |  "Always look on the bright side of life" *whistle*  -  Monty Python     |
  294. +--------------------------------------------------------------------------+
  295.  
  296. ------------------------------
  297.  
  298. Date:    Thu, 07 Jun 90 18:03:00 -0400
  299. From:    Software Release Engineering - LOTUS <S10891KH@SEMASSU.BITNET>
  300. Subject: Wanted - MDEF configuration for SAM (Mac)
  301.  
  302.     !-> I survived Southeastern Mass Uuu.,  7-JUN-1990
  303.  
  304.     Does anyone have a copy of the proper way to configure SAM 2.0 to
  305. protect against MDEF/Garfield.  I can't remember if Paul Cozza already sent
  306. it out and I missed it or if he just hasn't sent it out.
  307.     I am also interested in finding out if there are any Rival users out
  308. there who might already know how effective this init/cdev is against MDEF
  309. and Steroid.
  310.                         thanks much !->
  311.                                    - Alex Zavatone - Software Release Engineer
  312.                                      PCSD Mac - Lotus
  313. s10891hk@semassu - bitnet
  314. alex@Smuhep      - hepnet
  315.  
  316. ------------------------------
  317.  
  318. Date:    Thu, 07 Jun 90 16:37:04 -0700
  319. From:    em_pea@cc.sfu.ca
  320. Subject: Brain (PC)
  321.  
  322. How does one outsmart the pakistani brain virus. I have found it on
  323. several of my  disks some of which I don't have working backups for.
  324. Stupid I know but there it is.
  325.  
  326. Michael Peer
  327. usereawm.sfu
  328.  
  329. ------------------------------
  330.  
  331. Date:    Thu, 07 Jun 90 23:31:25 -0400
  332. From:    Tom Young <XMU@CORNELLA.BITNET>
  333. Subject: Steroid trojan query (Mac)
  334.  
  335.    Can anyone supply us all with info as to just where this Steroid trojan
  336. has been found, what the presumed route of communication has been, etc.?
  337.    Trojans, by their very nature, don't tend to spread as far as viruses.
  338. Unless, perhaps, posted to a number of bulletin boards.  Or shrink-wrapped.
  339. (Hmm.  I've certainly run across shrink-wrapped software that makes me feel
  340. like I'm up against a trojan horse.  Operating systems, as well as applica-
  341. tion packages.)  Where a trojan has appeared, and in how many different
  342. places, will determine the nature of an organization's response.  I don't
  343. like to push the panic button except when justified.
  344.    Thanks much.
  345.                         Tom Young
  346.                         Cornell Information Technologies
  347.                         Workstation Systems Services
  348.  
  349. ------------------------------
  350.  
  351. Date:    Fri, 08 Jun 90 09:10:12 +0100
  352. From:    Anthony Appleyard <XPUM04@prime-a.central-services.umist.ac.uk>
  353. Subject: First jailed UK computer hacker
  354.  
  355. >From a UK newspaper called 'The Daily Telegraph', Friday 8 June 1990:-
  356.  
  357. ['Mad Hacker' jailed for computer war]
  358.  
  359. A computer operator who called himself "The Mad Hacker" became the first in
  360. Britain to be jailed for the offence yesterday. Nicholas Whiteley,  21,  of
  361. Enfield,  north  London,  was sentenced to 4 months with a further 8 months
  362. suspended for criminally damaging computer  disks  and  wreaking  havoc  on
  363. university  systems. Whiteley, who, it was said, was driven by a desire top
  364. become Britain's top hacker, wept in the dock and held  his  hands  to  his
  365. face as he walked to the cells to begin his sentence.
  366.  
  367. Judge Geoffrey Rivlin, QC, described him as "very malicious and  arrogant",
  368. and  told  him:  "Anyone minded to behave in this way must be deterred from
  369. doing so.".
  370.  
  371. Whiteley declared war on computer experts, using a computer in his  bedroom
  372. to  swamp  university  computers  with masses of useless material including
  373. threats and boasts about his brilliance. One  said:  "Don't  mess  with  me
  374. because I am extremely nutty.".
  375.  
  376. He was found guilty last month of 4 charges of causing damage  to  magnetic
  377. disks in mainframe computers at the universities of London, Bath, and Hull.
  378. The judge said some of the computers stored important and confidential data
  379. relating to medical and scientific research.
  380. ......................................................................
  381. {A.Appleyard} (email: APPLEYARD@UK.AC.UMIST), Fri, 08 Jun 90 08:58:20 BST
  382.  
  383. ------------------------------
  384.  
  385. Date:    Fri, 08 Jun 90 10:11:00 +0700
  386. From:    "Tom Erjavec"<TOM.ERJAVEC@UNI-LJ.AC.MAIL.YU> x
  387. Subject: 1451COM / 1411EXE ? new virus (PC) ?
  388.  
  389. Here is some (of the rare) news from Yugoslavia:
  390.  
  391. We have had some 'classical' PC viruses for two years now: 1701, 1704,
  392. Brain, Bouncing Ball, Jerusalem (1813COM/1808EXE), Yankee Doodle like
  393. (2885COM/2880EXE), Yankee Doodle (2772COM/2772EXE) and Disk Killer.
  394. Now it seems we have another uninvited guest.
  395.  
  396. In early June I was given a sample of a virus, found in a small SW
  397. engineering company. They detected no strange behaviour but prolongation
  398. of COM and EXE files. I disassembled it and I'm posting a brief report:
  399.  
  400. VirusName       : ?, (1451COM/1411EXE)
  401. Type            : indirect executable code infector
  402. Infects         : COM and EXE files
  403. VirusBodyLength : 1451 bytes (COM), 1411 bytes (EXE)
  404. Expanding victim: YES, to paragraph boundary, both COM and EXE
  405. Location in RAM : before end of memory
  406. Steals interrupt: 21h
  407. Intercepts func.: 40h (write to file), 4Bh (load & execute)
  408. Attacks         : Sept., Oct., Nov., Dec., each year
  409. Action          : When executing int 21h, func. 40h (write to file)
  410.                   intercepts the call. If triggered the action code
  411.                   increments register DX by 0Ah, changing the address
  412.                   of buffer to be written to disk.
  413. Consequences    : wrong data (or garbage) written to disk
  414.  
  415. Program package RETROVIR (c) Proteus detects and removes the
  416. 1451COM/1411EXE from disk, along with all the other viruses mentioned
  417. above.
  418.  
  419. I will be glad to receive reports on this virus from elsewhere.
  420. Does anyone know its origin?
  421.  
  422. Tom.
  423.  
  424. ------------------------------
  425.  
  426. Date:    08 Jun 90 09:38:39 +0000
  427. From:    Elizabeth A Sandland <eas@doc.ic.ac.uk>
  428. Subject: Samsung S800 diagnostics
  429.  
  430. Has anyone out there any experience of running the diagnostics disk supplied
  431. with the Samsung S800 (AT compatible)? Specifically, any problems when you
  432. BOOT from this disk on a system with a hard disk?
  433. (Please do not 'try it out' now to see what happens.)
  434. Is there anyone out there who could examine the boot sector of said disk
  435. and let me know if it looks OK?
  436.  
  437. I would like to pinpoint the source of a problem which occurred recently,
  438. when a machine crashed unexpectedly.
  439.  
  440. THERE IS ABSOLUTELY NO IMPLICATION OF ANY SORT IN THE ABOVE QUESTIONS!!
  441.  
  442. Thanks,
  443.  
  444. Liz
  445.  
  446. -
  447.  -------------------------------------------------------------------------------
  448. Liz Sandland                                                   eas@doc.ic.ac.uk
  449. Hardware Support Group
  450. Department of Computing
  451. Imperial College                                        Tel: 071-589 5111 x5048
  452. London SW7 2BZ                                                Fax: 071-581 8024
  453. -
  454.  -------------------------------------------------------------------------------
  455.  
  456. ------------------------------
  457.  
  458. End of VIRUS-L Digest [Volume 3 Issue 110]
  459. ******************************************
  460. Downloaded From P-80 International Information Systems 304-744-2253
  461.