home *** CD-ROM | disk | FTP | other *** search
/ Monster Media 1996 #15 / Monster Media Number 15 (Monster Media)(July 1996).ISO / virus / up960623.zip / README.DOC < prev    next >
Text File  |  1996-06-24  |  13KB  |  307 lines
  1.          DIRECTIONS FOR INSTALLATION OF THE NEW ANTIVIRUS DATABASES
  2.  
  3. Installation instructions follow the "Special Update Notice" section
  4.  
  5. Special Update Notice!
  6. ==================================================================
  7. This includes a special update for the KRSNA virus.  AVP needs to be
  8. operated in a special mode to reliably detect this virus. Only
  9. proceed with this proceedure if you suspect a virus infection from
  10. the KRSNA.7610 virus.
  11. ===================================================================
  12. IF YOU NEED ASSISTANCE CONTACT YOUR NEAREST AVP DISTRIBUTOR!
  13.  
  14. Step 1
  15. ======
  16.  
  17. Copy the file KRSNA.EXE into a empty subdirectory.
  18.  
  19. Step 2
  20. ======
  21.  
  22. Extract the self extracting archive file by typing at the DOS prompt
  23. KRSNA.EXE (run the program).
  24.  
  25. You will now find 3 files in this subdirectory:
  26.  
  27. AVP.SET  KRSNA.AVB  KRSNA.EXE
  28.  
  29. Step 3
  30. ======
  31.  
  32. Make a backup copy of your current configuration file in your AVP
  33. subdirectory. 
  34.  
  35. Example:  copy AVP.SET AVP.BAK
  36.  
  37. Step 4
  38. ======
  39.  
  40. Change to the subdirectory where the AVP.SET, KRSNA.AVB, KRSNA.EXE are
  41. and copy AVP.SET and KRSNA.AVB to your AVP subdirectory. When prompted
  42. to overwrite the AVP.SET file choose YES.
  43.  
  44. example:    copy AVP.SET C:\AVP
  45.             copy KRSNA.AVB C:\AVP
  46.  
  47. Step 5
  48. ======
  49.  
  50. Start AVP and virus scan your computer to detect this virus
  51.  
  52. Step 6
  53. ======
  54.  
  55. After virus scanning restore your systems previous configuration
  56. by deleting the file named AVP.SET and renaming the backup copy.
  57.  
  58. Example: del AVP.SET
  59.          ren AVP.BAK AVP.SET
  60.  
  61.  
  62.  
  63. Virus description
  64. =================
  65.  
  66.  Krsna.7610
  67.  ──────────
  68. It is a very dangerous memory resident multipartite stealth and 
  69. polymorphic virus. It infects COM, EXE files as well as the MBR of 
  70. the hard drive and boot sectors of the floppy disks. In files the virus is 
  71. encrypted three times. In infected sectors the virus is polymorphic as well 
  72. as in the infected files.
  73.  
  74.  Installing and Infecting
  75.  ------------------------
  76.  
  77. When an infected file is executed the virus decrypts itself, infects MBR of 
  78. the hard drive, traces and hooks INT 21h, and returns to the host program. 
  79. Then the virus writes itself to the end of COM and EXE files that are 
  80. executed, closed or on DOS calls Terminate (AH=0,31h,4Ch). Under Win95 the 
  81. virus also hooks INT 13h.
  82.  
  83. While opening an infected EXE file the virus disinfects it. When the virus 
  84. infects a file, it checks the file name and does not infect the files:
  85.  
  86.  TB*.*
  87.  F-*.*
  88.  IV*.*
  89.  CH*.*
  90.  COMMAND*.*
  91.  
  92. The virus also does not infect the file if there is letter 'V' in its name.
  93.  
  94. While loading from infected boot sector of the floppy disk the virus just 
  95. infects the MBR, returns the control to the host sector, and does not stay 
  96. memory resident.
  97.  
  98. While infecting the hard drive the virus traces INT 13h or uses direct 
  99. calls to the HD ports, then it writes itself to the MBR sector, and the 
  100. rest of code writes to the last available track in the hard drive (the 
  101. track that is out of declared tracks - LandZone?). 
  102.  
  103. When the virus stores and overwrites the original Disk Partition Table, as 
  104. a result the FDISK/MBR command may crash the hard drive. While loading from 
  105. infected MBR the virus restores Disk Partition Table to let DOS load the 
  106. active boot sector and calculate the disk information (at this moment the 
  107. virus' INT 13h stealth routine is not active), then it decreases the size 
  108. of the system memory for its TSR copy (the word at the address 0000:0413), 
  109. hooks INT 1Ch and returns the control to original MBR.
  110.  
  111. By hooking INT 1Ch the virus waits for the DOS loading procedure, then 
  112. restores the size of the system memory, hooks INT 13h, 21h, 28h. On first 
  113. INT 28h call the virus again corrupts the Disk Partition Table. I see no 
  114. reason for such complex procedure of installation into the system, but only 
  115. to fool the anti-virus hardware and software, if it is installed.
  116.  
  117. By hooking INT 13h the virus intercepts access to floppy disks, and infects 
  118. them. While infecting the virus formats extra track on the disk, and writes 
  119. its code to there. It also calls a stealth routine while accessing to 
  120. infected disks.
  121.  
  122.  
  123.  Features
  124.  --------
  125.  
  126. While executing a infected files the virus also searches for "WIN=" string 
  127. in environment area, and deletes the \SYSTEM\IOSUBSYS\HSFLOP.PDR file in 
  128. the Windows directory.
  129.  
  130. While installing memory resident the virus checks the system date and on 
  131. 22nd of August and September it erases the hard drive sectors and displays 
  132. the message:
  133.  
  134.  "HDEuthanasia" by Demon Emperor: Hare Krsna, hare, hare...
  135.  
  136. While infecting MBR the virus performs some strange manipulation with 
  137. keyboard: it hooks INT 16h, checks the keys that are entered, and sometimes 
  138. substitutes them with 'Y" or 'N' keys. It looks as the virus tries to fool 
  139. BIOS anti-virus features, and answer "Yes, Infect it!" on the standard 
  140. request while writing to the MBR of the hard drive.
  141.  
  142.  
  143. The virus uses quite strange way to run its polymorphic routines. While 
  144. infecting a computer the virus generates a block of random data and saves 
  145. it to the last sectors of the hard drive. Then the virus does not correct 
  146. these random data in any way. It restores that data (reads from the sector) 
  147. while loading from infected MBR or while executing a infected file. While 
  148. re-infecting the disk (if it has been disinfected) the virus detects these
  149. data in the last sector and does not renew them.
  150.  
  151. While infecting a file or a sector the virus uses that data as a random 
  152. generator to select the opcodes and keys for its polymorphic routines - in 
  153. all cases the polymorphic routine gets the same data, and produces the same 
  154. code when the virus infects any object.
  155.  
  156. As a result all polymorphic decryption loops contain the same code in all 
  157. infected files that were infected on the same computer. All such files are 
  158. encrypted by the same code and with the same keys. The length of the files 
  159. grows on random value while infecting (VirusLength plus the length of 
  160. polymorphic decryption loop), but that value is constant for all files on 
  161. the same computer. And the same for infected floppy disks - all they 
  162. contain the same polymorphic code in their boot sectors. 
  163.  
  164. As a result all files and sectors that were infected on the computer have 
  165. the constant mask to detect them with anti-virus utilities. Is it directed 
  166. against anti-virus researchers, or just to fool users and hide the infected 
  167. file/floppy-guest that caused infection?
  168.  
  169. ===================================================================
  170.  
  171.  
  172. INSTALLATION
  173.  
  174. You must have AntiViral Toolkit Pro installed on your computer to use
  175. this update.
  176.  
  177. This is a cummlative update for AntiViral Toolkit Pro. You do not need
  178. to keep the previous updates.
  179.  
  180. A additional antivirus utility is distributed with this package.
  181. AVPWW104.ZIP is a archive file that contains disinfection programs to
  182. remove the known Macro viruses that infect Word Document files from your
  183. computer. There are no exectuable programs in this archive. You need
  184. to view the file AVPWW104.DOC using Microsoft Word(*) .
  185.  
  186. AVP and AVPLite can now detect and disinfect 17 macro viruses:
  187.  
  188.  Macro.Word.Atom, Boom, Color, Concept (US,French,Dutch), Date, DMV,
  189.  Friends, Guess, Hot, Imposter, Nop, Nuclear.a,b, Xenixos
  190.  Macro.Amipro.Green
  192. Additionally, AVP and AVPLITE have added a heuristic scanning engine,
  193. to detect suspicious documents. Currently, AVP and AVPLITE do not convert
  194. Microsoft Templates to the Microfost Document format, but instead erase
  195. all virus macros. The heuristic engine detects macros that can copy
  196. themselves. Therefore, as a result virus free files may be detected
  197. as a virus (for example, AVPWW - AVP for WinWord) as labled as "suspicious."
  198.  
  199. (*) Microsoft and Word are registered trademarks of Microsoft Corporation
  200.  
  201. Steps for installation from a floppy diskette:
  202. ==============================================
  203.  
  204. 1. Insert this AVP Update diskette into your computers 3 1/2 inch 
  205.    diskette drive.
  206.  
  207. 2. Change to that drive either A: or B: for standard configurations.
  208.  
  209. 3. Type "Update" without the quoatation marks and then press the Enter or 
  210.    Return key.
  211.  
  212. 4. At the Select Option screen choose "install program" to continue.
  213.  
  214. 5. Next the "Please select a target drive for the installation" screen
  215.    appears. Choose the drive that contains your installed copy of AVP.
  216.    Highlight the selection using your arrow keys and then press the
  217.    Enter or Return key to continue.
  218.  
  219. 6. The "Please select your AVP sub-directory for the installion" prompt 
  220.    appears after searching for you installed copy of AVP. If the search
  221.    was successful the sub-directory that AVP resides in on your
  222.    computer should be already highlighted in the box on your screen. If
  223.    it is not please add the correct sub-directory into the highlighted
  224.    area now. Do NOT include the drive letter!
  225.  
  226. 7. "Is this where your AVP executable files are located?" If the above
  227.     information was entered correclty choose "Yes" and press the Enter
  228.     or Return key. If it is not corrected choose "No" and press the
  229.     Enter or Return key. Then enter the correct information. Or choose
  230.     Cancel to stop the installation.
  231.  
  232. 8.  "Delete outdated Antivirus Databases before updating?" This will
  233.      remove all antivirus databases in the AVP sub-directory before
  234.      installing the new current versions. If you created any databases
  235.      yourself choose "No"
  236.  
  237. 9.   Next the AVP database update proceedures will start and you will
  238.      see files being copied and extracted into the AVP sub-directory.
  239.      Once this process is finished you will have the opportunity to
  240.      review this file again then quit. AVP will be configured and ready
  241.      to use the new information the very next time you start the
  242.      program.
  243.  
  244. Steps for installation from a hard drive.
  245. =========================================
  246.  
  247. 1. Extract the contents of this archive into a empty sub-directory on your
  248.    computers hard disk.
  249.  
  250. 2. Change to that sub-directory 
  251.  
  252. 3. Type "Update" without the quoatation marks and then press the Enter or 
  253.    Return key.
  254.  
  255. 4. At the Select Option screen choose "install program" to continue.
  256.  
  257. 5. Next the "Please select a target drive for the installation" screen
  258.    appears. Choose the drive that contains your installed copy of AVP.
  259.    Highlight the selection using your arrow keys and then press the
  260.    Enter or Return key to continue.
  261.  
  262. 6. The "Please select your AVP sub-directory for the installion" prompt 
  263.    appears after searching for you installed copy of AVP. If the search
  264.    was successful the sub-directory that AVP resides in on your
  265.    computer should be already highlighted in the box on your screen. If
  266.    it is not please add the correct sub-directory into the highlighted
  267.    area now. Do NOT include the drive letter!
  268.  
  269. 7. "Is this where your AVP executable files are located?" If the above
  270.     information was entered correclty choose "Yes" and press the Enter
  271.     or Return key. If it is not corrected choose "No" and press the
  272.     Enter or Return key. Then enter the correct information. Or choose
  273.     Cancel to stop the installation.
  274.  
  275. 8.  "Delete outdated Antivirus Databases before updating?" This will
  276.      remove all antivirus databases in the AVP sub-directory before
  277.      installing the new current versions. If you created any databases
  278.      yourself choose "No"
  279.  
  280. 9.   Next the AVP database update proceedures will start and you will
  281.      see files being copied and extracted into the AVP sub-directory.
  282.      Once this process is finished you will have the opportunity to
  283.      review this file again then quit. AVP will be configured and ready
  284.      to use the new information the very next time you start the
  285.      program.
  286.  
  287.  
  288. New viruses in this update:
  289.  
  290. File viruses:
  291.  
  292.  Assignation.653, BAT.Fret.1023, Demon3b.4313, Dennis.1000, 
  293.  DST.330,347,396, Enjoy.1667, ExeHdr.Vlad.337, Helga.666.b, 
  294.  HLLO.Globe.8001, Keeper.Eleet.726, Immune.536, Jerusalem.KbWin.1349, 
  295.  Jovial.503, Khizhnjak.ASV.738, Lyceum.703, Methyl.2419, 
  296.  Nado.April1st.797, Nado.RedViper.602, Nazgul.209, 
  297.  Ply.3360,3486,3759,3768,4224,4722,5133,5175, Riot.Evil.811, 
  298.  TPVO.Stealth.803, Trivial.Nat.111, Trivial.Kalipornia.88,140,154,190,303, 
  299.  TurboExe.846.c, V.1792, Vlad.Insert.260, Voyager.1134, Yosha.975 
  300.  PS-MPC.Ender.335, VCL.Salmon.510
  301.  
  302. Multipartite virus:  Junkie.1029
  303. "Intended" viruses:  Companion.83, Burger.560.b, D_Tiny.1220, 
  304.                      Viena.Ender.1120, Yosha.761
  305. Trojan horses:       Trojan UCF.Ras, UCF.Jacker
  306.  
  307.