home *** CD-ROM | disk | FTP | other *** search
/ Shareware Overload / ShartewareOverload.cdr / virus / vsum9102.zip / VIRUSSUM.DOC
Text File  |  1991-02-14  |  531KB  |  11,266 lines
  1.  
  2.                          VIRUS INFORMATION SUMMARY LIST
  3.                                February 14, 1991
  4.  
  5.       Copyright (C) 1990-1991 by Patricia M. Hoffman. All Rights Reserved.
  6.  
  7.      This document contains the compiled information from a continuing
  8.  research effort by the author into the identification, detection and
  9.  removal of MS-DOS Computer Viruses.  Hopefully, this listing will
  10.  provide some assistance to those who wish to know more about a particular
  11.  computer virus.  It is not intended to provide a very detailed technical
  12.  description, but to allow the reader to understand what a virus
  13.  generally does, how it activates, what it is doing to their system, and
  14.  most importantly, how to get rid of it.
  15.  
  16.      The user of this listing needs to keep in mind that the
  17.  information provided is up-to-date only to the date of the listing
  18.  itself.  If the listing is one month old, some items may not be
  19.  accurate.  Also, with the wide dispersion of researchers and the
  20.  various names that the same virus may be known by, some of the
  21.  information may not be entirely accurate.  Lastly, as new variants
  22.  of known viruses are isolated, some of the characteristics of the
  23.  variant may be different.
  24.  
  25.      There are five sections to the listing.  The first section is
  26.  an introduction which explains the format of the information in
  27.  the listing and includes the code information used in some fields.
  28.  The second section is the actual virus information listing.
  29.  The third section is a cross-reference of common names for MS-DOS
  30.  computer viruses and indicates what name to use for the virus in the
  31.  second section.  The fourth section, added with the July 1990 release
  32.  and in the works for many months, is a chart showing relationships
  33.  between various viruses and variants.  Lastly, there is a fifth section
  34.  which is a revision history of the listing.
  35.  
  36.      Anti-Viral products mentioned in the listing are either commonly
  37.  available shareware or public domain programs, or they are commercial
  38.  products which have been submitted for evaluation and review by the product's
  39.  author with "no strings attached".  All Anti-Viral products are reviewed at
  40.  the most recent release level available to the author.  In some cases, this
  41.  may not be the most recent release.  All testing is done against the author's
  42.  virus collection, results using a different collection of viruses and
  43.  variants may differ.
  44.  
  45.      Special thanks go to John McAfee for reviewing the listing before
  46.  it is distributed, and to numerous others who have sent their comments,
  47.  suggestions, and encouraging support.
  48.  
  49.      The Virus Information Summary List may be freely distributed by
  50.  non-commercial systems and non-profit organizations, as long as the
  51.  distribution file is not altered, and no more than a reasonable
  52.  cost-of-duplication fee is charged.  The author of this document does not
  53.  consider the United States Government or any of its numerous entities to be
  54.  a "non-profit organization", therefore they are expressly prohibited from
  55.  using or distributing this document without the author's permission.
  56.  CompuServe, and Genie are also expressly permitted to carry this file for
  57.  distribution purposes only, they are not to be construed as being licensed
  58.  for internal use of the document.
  59.  
  60.      The Virus Information Summary List may not be used in a business,
  61.  corporation, organization, government, or agency environment without
  62.  a negotiated site license.  While this document may be referenced in the
  63.  documentation for some anti-viral products, the document is not to be
  64.  construed as being included in any site license not negotiated with
  65.  the author, Patricia M. Hoffman, or Roger Aucoin.
  66.  
  67.      Licensing information for the Virus Information Summary List can be
  68.  requested from the author via US Mail from the address, or by voice or FAX
  69.  at the phone numbers below:
  70.  
  71.            Patricia M. Hoffman
  72.            1556 Halford Avenue, #127
  73.            Santa Clara, CA 95051
  74.            Voice: 1-408-246-3915
  75.            FAX  : 1-408-246-3915
  76.  
  77.      Roger Aucoin can be contacted for United States and Canadian site
  78.  licensing information via US Mail from the address, or by voice or FAX as
  79.  indicated below:
  80.  
  81.            Roger Aucoin
  82.            Vacci Virus
  83.            84 Hammond Street
  84.            Waltham, MA 02154
  85.            Voice: 1-617-893-8282
  86.            FAX  : 1-617-969-0385
  87.  
  88.      For sites outside of the United States and Canada, or for information
  89.  about becoming a VSUM agent, Jim Lynch should be contacted as indicated
  90.  below:
  91.  
  92.            Jim Lynch, International Marketing Manager
  93.            c/o Patricia M. Hoffman
  94.            1556 Halford Avenue, #127
  95.            Santa Clara, CA 95051
  96.            Direct Voice: 1-408-727-7966
  97.            Direct FAX  : 1-408-727-7967
  98.  
  99.      I can also be reached through my Bulletin Board System, Excalibur! BBS,
  100.  at 1-408-244-0813.  Future versions of this listing may also be obtained
  101.  through Excalibur!.
  102.                    
  103.                                            Patricia M. Hoffman
  104. -------------------------------------------------------------------------------
  105.                          Virus Information Summary List
  106.                           Introduction & Entry Format
  107.  
  108.      Each of the entries in the list consists of several fields.
  109.  Below is a brief description of what is indicated in each of the
  110.  fields.  For fields where codes may appear, the meaning of each
  111.  code in indicated.
  112.  
  113.  Virus Name: Field contains one of the more common names for the
  114.              virus.  The listing is alphabetized based on this
  115.              field.
  116.  Aliases:    Other names that the same virus may be referred to by.
  117.              These names are aliases or A.K.A.'s.
  118.  V Status:   This field contains one of the following values which indicate
  119.              how common the virus is in the public domain.
  120.              Common: The virus is one of the most common viruses reported to
  121.                   various groups which gather virus infection statistics.
  122.                   Most of these groups are in the United States.  Where a
  123.                   virus has had many reports from a specific geographic area,
  124.                   the V Status field will contain "Common - xxxxxxxxx" where
  125.                   xxxxxxxxx is an indicator of geographic location.
  126.              Endangered: The "Endangered" classification of viruses are
  127.                   viruses that are very uncommon and were fairly recently
  128.                   discovered or isolated.  Due to some characteristics of
  129.                   these viruses, it is highly unlikely that they will ever
  130.                   become a widespread problem.  It doesn't mean that they
  131.                   don't exist, just that the probability of someone getting
  132.                   these viruses is fairly low.
  133.              Extinct: The "Extinct" classification is for viruses which at
  134.                   one time may have been widespread (ie. they are not a
  135.                   research virus which was never released into the public
  136.                   domain), but have not had a reported infection in at least
  137.                   one year.  "Extinct" viruses will also include "viruses"
  138.                   which were submitted which actually don't replicate due to
  139.                   a flaw in their viral code, but if the flaw were corrected
  140.                   they might be successful.  It is still possible that someone
  141.                   could become infected with one of these viruses, but the
  142.                   probability is extremely low.
  143.              Myth: "Myth" viruses are viruses which have been discussed among
  144.                   various groups for some time (in excess of one year), but are
  145.                   not known to actually exist as either a public domain or
  146.                   research virus.  Probably the best case of a "Myth" virus
  147.                   is the Nichols Virus.
  148.              Rare: "Rare" viruses are viruses which were recently (within the
  149.                   last year) isolated but which do not appear to be widespread.
  150.                   These viruses, as a general rule, will be viruses which
  151.                   have characteristics that would make them a possible
  152.                   future problem.  "Rare" viruses have a higher probability
  153.                   of someone becoming infected than Endangered or Extinct
  154.                   viruses, but are much less likely to be found than a
  155.                   "Common" virus.
  156.              Research: A "Research" virus is a virus which was originally
  157.                   received by at least one anti-viral researcher directly
  158.                   from its source or author.  These viruses are not known
  159.                   to have been released into the public domain, so they are
  160.                   highly unlikely to be detected on computer systems other
  161.                   than researchers.
  162.              Rumored: The "Rumored" virus classification are for viruses
  163.                   which the author has received information about, but that
  164.                   no sample of the virus has been made available for analysis.
  165.                   Any viruses in this classification should be considered with
  166.                   a grain of salt, they may not actually exist.
  167.              Unknown: The "Unknown" classification is for those viruses where
  168.                   the original submission of the virus to anti-viral researchers
  169.                   is suspect for any number of reasons, or that there is
  170.                   very little information known about the origin of the
  171.                   virus.
  172.              New: The "New" category is for viruses which were recently
  173.                   received by the author but cannot at the present time be
  174.                   researched in depth.  Instead of leaving these viruses out
  175.                   of the listing all together, they will be listed but with
  176.                   a "New" status.
  177.  Discovery:  First recorded discovery date.
  178.  Origin:     Author/country of origin
  179.  Symptoms:   Changes to system that may be noticed by users: messages,
  180.              growth in files, TSRs/ Resident TOM (change in CHKDSK 
  181.              return), BSC - boot sector change (may require cold boot 
  182.              from known-good protected floppy to find), corruption of
  183.              system or files, frequent re-boots, slowdowns.
  184.  Origin:     Either credited or assumed to be in country of discovery.
  185.  Eff Length: The length of the viral code after it has infected
  186.              a program or system component.  For boot-sector infectors,
  187.              the length is indicated as N/A, for not applicable.
  188.  Type Code:  The type codes indicated for a virus indicate general
  189.              behavior characteristics.  Following the type code(s) is
  190.              a brief text description.  The type codes used are:
  191.              A = Infects all program files (COM & EXE)
  192.              B = Boot virus
  193.              C = Infects COM files only
  194.              D = Infects DOS boot sector on hard disk
  195.              E = Infects EXE files only
  196.              F = Floppy (360K) only
  197.              K = Infects COMMAND.COM
  198.              M = Infects Master boot sector on hard disk
  199.              N = Non-resident (in memory)
  200.              O = Overwriting virus
  201.              P = Parasitic virus
  202.              R = Resident (in memory)
  203.                (below 640k - segment A000)
  204.                  a - in unused portion of allocated memory
  205.                      (does not change free memory, such as virus resident
  206.                       in CLI stack space or unused system memory)
  207.                      Example: LeHigh
  208.                  f - in free (user) memory below TOM
  209.                      (does not prevent overwriting)
  210.                      Example: Icelandic
  211.                  h - in high memory but below TOM
  212.                      (Resides in high system memory, right below TOM.
  213.                      Memory is allocated so it won't be accidently
  214.                      overwritten.)
  215.                      Example: Flash
  216.                  s - in low (system/TSR) memory
  217.                      (reduces free memory, typically uses a normal
  218.                      Int 21/Int 28 TSR)
  219.                      Example: Jerusalem
  220.                  t - above TOM but below 640k (moves Int 12 return)
  221.                      (Reduces total memory size and free memory)
  222.                      Example: Pakistani Brain
  223.                (above 640k)
  224.                  b - in BIOS/Video/Shadow RAM area (segment A000 - FFFF)
  225.                  e - in extended/expanded memory (above 1 Meg)
  226.              S = Spawning or companion file virus
  227.                  (This type of virus creates another file on the disk which
  228.                  contains the actual viral code.  Example: Aids II)
  229.              T = Manipulation of the File Allocation Table (FAT)
  230.              X = Manipulation/Infection of the Partition Table
  231.  Detection Method:
  232.              This entry indicates how to determine if a program or
  233.              system has been infected by the virus.  Where the virus
  234.              can be detected with a shareware, public domain, or
  235.              readily available commercial program, it is indicated.
  236.              Note that a "+" after the anti-viral product's version number
  237.              indicates that versions of the product from the indicated version
  238.              forward are applicable.
  239.              Programs referenced in the listing are:
  240.              AVTK      - Dr. Solomon's Anti-Virus Toolkit <commercial>
  241.              F-PROT    - Fridrik Skulason's F-Prot detector/disinfector
  242.              IBM Scan  - IBM's Virus Scanning Program <commercial>
  243.              Pro-Scan  - McAfee Associates' Pro-Scan Program <commercial>
  244.              VirexPC   - MicroCom's VirexPC Program <commercial>
  245.              VirHunt   - Digital Dispatch Inc's VirHunt Program <commercial>
  246.              ViruScan  - McAfee Associates' ViruScan Program
  247.              ViruScan/X- McAfee Associates' ViruScan Program with /X switch
  248.  Removal Instructions:
  249.              Brief instructions on how to remove the virus.  Where
  250.              a shareware, public domain, or readily available
  251.              commercial program is available which will remove the
  252.              virus, it is indicated.  Programs referenced in the
  253.              listing are:
  254.              AntiCrim  - Jan Terpstra's AntiCrime program
  255.              CleanUp  -  John McAfee's CleanUp universal virus
  256.                          disinfector.
  257.                          Note: CleanUp is only indicated for a virus
  258.                          if it will disinfect the file, rather than
  259.                          delete the infected file.
  260.              DOS COPY  - Use the DOS COPY command to copy files from
  261.                          infected non-bootable disks to newly formatted,
  262.                          uninfected disks.  Note: do NOT use the
  263.                          DOS DISKCOPY command on boot sector infected
  264.                          disks, or the new disk will also be infected!
  265.              DOS SYS   - Use the DOS SYS command to overwrite the boot
  266.                          sector on infected hard disks or diskettes.
  267.                          Be sure you power down the system first, and
  268.                          boot from a write protected master diskette,
  269.                          or the SYS command will copy the infected
  270.                          boot sector.
  271.              F-PROT    - Fridrik Skulason's F-Prot detector/disinfector,
  272.                          Version 1.07.
  273.              M-3066    - Traceback virus disinfector.
  274.              MDisk     - MD Boot Virus Disinfector.  Be sure to use the
  275.                          program which corresponds to your DOS release.
  276.              Pro-Scan  - Pro-Scan Virus Identifier/Disinfector <Commercial>.
  277.              Saturday  - European generic Jerusalem virus disinfector.
  278.              Scan/D    - ViruScan run with the /D option.
  279.              Scan/D/A  - ViruScan run with the /D /A options.
  280.              Scan/D/X  - ViruScan run with the /D /X options.
  281.              UnVirus   - Yuval Rakavy's disinfector for Brain, Jerusalem,
  282.                          Ping Pong, Ping Pong-B, Typo Boot, Suriv 1.01,
  283.                          Suriv 2.01, and Suriv 3.00 viruses.
  284.              VirexPC   - MicroCom's VirexPC Detector/Disinfector
  285.                          Note: VirexPC is only indicated if it will actually
  286.                          disinfect the virus, not just delete the infected
  287.                          file.
  288.              VirHunt   - Digital Dispatch Inc's VirHunt Detector/Disinfector
  289.                          Note: VirHunt is only indicated if it will actually
  290.                          disinfect the virus on all major variants.
  291.              Virus Buster - Yuval Tal's Virus Buster Detector/Disinfector
  292.  General Comments:
  293.              This field includes other information about the virus,
  294.              including but not limited to: historical information,
  295.              possible origin, possible damage the virus may cause,
  296.              and activation criteria.
  297.  
  298.  
  299. -------------------------------------------------------------------------------
  300.  
  301.                          Virus Information Summary List
  302.                             MS-DOS Virus Information
  303.  
  304.  
  305.  Virus Name:  382 Recovery Virus
  306.  Aliases:     382
  307.  V Status:    Rare
  308.  Discovery:   July, 1990
  309.  Symptoms:    first 382 bytes of .COM files overwritten, system hangs,
  310.               spurious characters on system display, disk drive spinning
  311.  Origin:      Taiwan
  312.  Eff Length:  N/A
  313.  Type Code:   ONAK - Overwriting Non-Resident .COM & .EXE Infector
  314.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  315.  Removal Instructions: Scan/D, or Delete infected files
  316.  General Comments:
  317.        The 382 Recovery Virus was isolated in July 1990 in Taiwan.  It is
  318.        a non-resident generic infector of .COM and .EXE files, including
  319.        COMMAND.COM.
  320.  
  321.        Each time a program infected with the 382 Recovery Virus is executed,
  322.        the virus will check the current directory for a .COM files that has
  323.        not been infected with the virus.  If it finds an uninfected .COM
  324.        file, it will infect it.  If the original file was less than 382 bytes
  325.        in length, the infected file will now be 382 bytes in length.  Files
  326.        which were originally greater than 382 bytes in length will not show
  327.        any increase in length.  Infected files always have the first 382
  328.        bytes of the file overwritten to contain the virus's code.
  329.  
  330.        Once all .COM files in the current directory are infected, the next
  331.        time an infected .COM file is executed the virus will rename all .EXE
  332.        files to .COM files.  These renamed files, however, may or may not
  333.        later become infected.
  334.  
  335.        Symptoms of the 382 Recovery Virus being present on a file are that
  336.        the program will not execute properly.  In some cases, the program will
  337.        hang upon execution requiring the system to be rebooted.  In other
  338.        cases, spurious characters will appear on the system display and the
  339.        program will not run.  Lastly, the system may do nothing but leave the
  340.        disk drive spinning, requiring the system to be powered off and
  341.        rebooted.
  342.  
  343.        Since the first 382 bytes of infected files have been overwritten,
  344.        the infected files cannot be recovered.  The original 382 bytes of
  345.        the file are permanently lost.  Infected files should be deleted or
  346.        erased and replaced with backup copies known to be free of infection.
  347.  
  348.  
  349.  Virus Name:  405
  350.  Aliases:
  351.  V Status:    Extinct
  352.  Discovery:   1987
  353.  Symptoms:    .COM files fail to run, first 405 bytes of .COM files
  354.               overwritten
  355.  Origin:      Austria or Germany
  356.  Eff Length:  N/A
  357.  Type Code:   ONC - Overwriting Non-Resident .COM Infector
  358.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan 1.4+,
  359.               VirexPC 1.1+, VirHunt 2.0+
  360.  Removal Instructions: Scan/D/X, F-Prot, or delete infected files
  361.  General Comments:
  362.        The 405 virus is an overwriting virus which infects only .COM
  363.        files in the current directory.  If the length of the .COM file
  364.        was originally less than 405 bytes, the resulting infected file
  365.        will have a length of 405 bytes.  This virus currently cannot
  366.        recognize .COM files that are already infected, so it will
  367.        attempt to infect them again.
  368.  
  369.        The 405 Virus doesn't carry an activation date, and doesn't do
  370.        anything but replicate in the current directory.  However, since
  371.        it overwrites the first 405 bytes of .COM files, infected files
  372.        are not recoverable except by replacing them from uninfected
  373.        backups or master distribution disks.
  374.  
  375.  
  376.  Virus Name:  512
  377.  Aliases:     512-A, Number of the Beast Virus, Stealth Virus
  378.  V Status:    Rare
  379.  Discovery:   November, 1989
  380.  Origin:      Bulgaria
  381.  Symptoms:    Program crashes, system hangs, TSR.
  382.  Eff Length:  512 Bytes
  383.  Type Code:   PRCK - Parasitic Resident .COM Infector
  384.  Detection Method:  ViruScan V58+, VirexPC 1.1+
  385.  Removal Instructions: CleanUp V58+
  386.  General Comments:
  387.        The 512 virus is not the same as the Original Friday The 13th COM
  388.        virus.  The 512 virus was originally isolated in Bulgaria in
  389.        November, 1989, by Vesselin Bontchev.  It infects .COM files,
  390.        including COMMAND.COM, installing itself memory resident when the
  391.        first infected program is run.  After becoming memory resident, any
  392.        .COM file openned for any reason will become infected if its
  393.        uninfected length is at least 512 bytes.
  394.  
  395.        Systems infected with the 512 virus may experience program crashes
  396.        due to unexpected errors, as well as system hangs.  Damage may occur
  397.        to infected files if the system user runs CHKDSK with the /F
  398.        parameter as the length of the program in the directory entry will not
  399.        match the actual disk space used.  CHKDSK will then adjust the file
  400.        allocation resulting in damaged files.
  401.  
  402.        The virus's alias of "Number of the Beast" Virus is because the
  403.        author of the virus used a signature of text 666 near the end of the
  404.        virus to determine if the file is already infected.  Since 512 adds
  405.        its viral code to the end of infected files, it is easy to verify
  406.        that a file is infected by the 512 virus by checking for this
  407.        signature.
  408.  
  409.        Known variant(s) of the 512 Virus are:
  410.        512-B : Similar to the 512 Variant, except that the DOS version check
  411.                in the original virus has been omitted.  The author's
  412.                signature of '666' has been omitted.
  413.        512-C : Similar to the 512-B Variant, minor code changes.
  414.        512-D : Similar to the 512-C Variant, except that the virus no longer
  415.                checks to see if a file has the System Attribute on it before
  416.                infecting it.
  417.  
  418.  
  419.  Virus Name:  646
  420.  Aliases:     Vienna C
  421.  V Status:    Rare
  422.  Discovery:   October, 1990
  423.  Symptoms:    COMMAND.COM & .COM growth
  424.  Origin:      Unknown
  425.  Eff Length:  646 Bytes
  426.  Type Code:   PNCK - Parasitic Non-Resident COM Infector
  427.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  428.  Removal Instructions: Pro-Scan 2.01+, Scan/D, or Delete infected files
  429.  General Comments:
  430.        The 646 Virus was discovered in October, 1990.  Its origin is unknown.
  431.        This virus is a non-resident infector of .COM files, including
  432.        COMMAND.COM.
  433.  
  434.        When a file infected with the 646 Virus is executed, the virus will
  435.        infect one other .COM file in the current directory.  Infected files
  436.        will increase in size by 646 bytes, with the virus being located at
  437.        the end of the infected file.
  438.  
  439.        Infected files can be easily identified as they will always end with
  440.        the hex string: "EAF0FFFFFF".
  441.  
  442.        This virus appears to do nothing except replicate.
  443.  
  444.  
  445.  Virus Name:  903
  446.  Aliases:
  447.  V Status:    New
  448.  Discovery:   January, 1991
  449.  Symptoms:    .COM file growth; TSR; System hangs
  450.  Origin:      France
  451.  Eff Length:  903 Bytes
  452.  Type Code:   PRsCK - Parasitic Resident COM Infector
  453.  Detection Method:  ViruScan V74+
  454.  Removal Instructions: Scan/D, or Delete infected files
  455.  General Comments:
  456.        The 903 Virus was discovered France in January, 1991.  This virus is
  457.        not a particularly viable virus since replicated samples will not
  458.        further replicate.  It is possible that the original sample is
  459.        corrupted.  This virus infects .COM program, including COMMAND.COM.
  460.  
  461.        When the original sample of 903 is executed, this virus will install
  462.        itself memory resident as a 1,216 byte low system memory TSR.  It will
  463.        hook interrupt 21.  At that time, it will infect COMMAND.COM, adding
  464.        903 bytes to the beginning of the program.  The following message is
  465.        then displayed:
  466.  
  467.                "Fichier introuvable"
  468.  
  469.        Once memory resident, this virus will infect up to three .COM programs
  470.        in the current directory if the original sample is again executed.
  471.        Later execution of infected files (other than the original) will not
  472.        result in the virus spreading to other files.  The virus will also
  473.        infect files when the DOS Copy command is used, but only if the source
  474.        and target files are in the current directory.
  475.  
  476.        Infected .COM programs will have a file size increase of 903 bytes,
  477.        the virus will be located at the beginning of the infected program.
  478.        The file date and time in the disk directory will not be altered by
  479.        the virus.
  480.  
  481.        If 903 becomes memory resident from other than the original sample, it
  482.        will not replicate to other .COM programs.  The "Fichier introuvable"
  483.        message is not displayed with other than the original sample.
  484.  
  485.        Some programs may hang when they are executed on infected systems.
  486.  
  487.        It is unknown if 903 does anything destructive.
  488.  
  489.  
  490.  Virus Name:  1008
  491.  Aliases:     Suomi, Oulu
  492.  V Status:    Rare
  493.  Discovery:   June, 1990
  494.  Symptoms:    COMMAND.COM growth, Internal Stack Errors,
  495.               System Halt on Boot
  496.  Origin:      Helsinki, Finland
  497.  Eff Length:  1,008 Bytes
  498.  Type Code:   PRCK - Parasitic Resident COM Infector
  499.  Detection Method:  ViruScan V64+, F-Prot 1.12+, Pro-Scan 2.01+
  500.  Removal Instructions: Scan/D, F-Prot 1.12+, Pro-Scan 2.01+,
  501.               or delete infected files
  502.  General Comments:
  503.        The 1008 Virus was discovered in June, 1990 by Petteri Jarvinen of
  504.        Helsinki, Finland.  It is a memory resident .COM infector, and will
  505.        infect COMMAND.COM.  This virus is also sometimes referred to as
  506.        the Suomi Virus.
  507.  
  508.        The first time a program infected with the 1008 virus is executed,
  509.        the virus will install itself memory resident.  COMMAND.COM is also
  510.        infected at this time, resulting in its length increasing by 1,008
  511.        Bytes.  The increase in file size of COMMAND.COM cannot be seen by
  512.        doing a directory listing if the virus is present in memory.
  513.  
  514.        Booting a system with an infected copy of COMMAND.COM may result in
  515.        an internal stack error, and the system being halted.  This effect
  516.        was noted on the author's test machine which is a 640K XT-clone
  517.        running Microsoft MS-DOS Version 3.30.
  518.  
  519.        After the virus is memory resident, it will infect any .COM file which
  520.        is executed, adding 1,008 bytes to the file length.  The file length
  521.        increase cannot be seen by doing a directory listing if the virus is
  522.        present in memory.
  523.  
  524.  
  525.  Virus Name:  1210
  526.  Aliases:     Prudents Virus
  527.  V Status:    Rare
  528.  Discovery:   December, 1989
  529.  Symptoms:    .EXE growth, disk write failure, TSR
  530.  Origin:      Spain
  531.  Eff Length:  1,210 Bytes
  532.  Type Code:   PRE - Parasitic Resident .EXE Infector
  533.  Detection Method:  ViruScan V61+, Pro-Scan 1.4+, F-Prot 1.12+, VirHunt 2.0+
  534.  Removal Instructions: Scan/D, F-Prot 1.12+, VirHunt 2.0+,
  535.               or delete infected files
  536.  General Comments:
  537.        The 1210, or Prudents Virus, was first isolated in Barcelona, Spain,
  538.        in December 1989.  The 1210 is a memory resident virus, infecting
  539.        .EXE files when they are executed.
  540.  
  541.        This virus activates between May 1st and May 4th of any year,
  542.        causing disk writes to be changed to disk verifies, so writes to
  543.        the disk never occur between these dates.
  544.  
  545.  
  546.  Virus Name:  1226
  547.  Aliases:     V1226
  548.  V Status:    Rare
  549.  Discovery:   July 1990
  550.  Symptoms:    .COM growth, decrease in system and free memory, system hangs,
  551.               spurious characters displayed in place of program executing,
  552.               disk drive spinning
  553.  Origin:      Bulgaria
  554.  Eff Length:  1,226 Bytes
  555.  Type Code:   PRhC - Parasitic Resident .COM Infector
  556.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  557.  Removal Instructions: Scan/D, or delete infected files
  558.  General Comments:
  559.        The 1226 Virus was isolated in Bulgaria in July 1990 by Vesselin
  560.        Bontchev.  This virus is a memory resident generic .COM infector,
  561.        though it does not infect COMMAND.COM.  The 1226 Virus is a self-
  562.        encrypting virus, and simple search string algorithms will not work
  563.        to detect its presence on a system.
  564.  
  565.        The first time a program infected with the 1226 virus is executed,
  566.        the virus will install itself memory resident, reserving 8,192 bytes
  567.        of memory at the top of free memory.  Interrupt 2A will be hooked.
  568.  
  569.        Once 1226 is memory resident, the virus will attempt to infect any
  570.        .COM file that is executed that is at least 1,226 bytes in length
  571.        before infection.  The virus is rather "buggy" and the infection
  572.        process is not always entirely successful.  Successfully infected
  573.        files will increase in length by 1,226 bytes.
  574.  
  575.        This virus will infect .COM files multiple times, it is unable to
  576.        determine that the file is already infected.  Each time the file
  577.        is infected it will grow in length by another 1,226 bytes.  Eventually,
  578.        the .COM files will grow too large to fit into memory.
  579.  
  580.        Systems infected with the 1226 virus may experience unexpected system
  581.        hangs when attempting to execute programs.  Another affect is that
  582.        instead of a program executing, a line or two of spurious characters
  583.        will appear on the system display.  Lastly, infected systems will always
  584.        indicate that they have 8,192 less bytes of total system and free
  585.        memory available than is actually on the machine.
  586.  
  587.        There are two later versions of this virus, 1226D and 1226M, which are
  588.        much better replicators than the original 1226 virus.  These two
  589.        variants are documented as 1226D in this document due to their
  590.        different characteristics.
  591.  
  592.        Also see: 1226D
  593.  
  594.  
  595.  Virus Name:  1226D
  596.  Aliases:     V1226D
  597.  V Status:    Rare
  598.  Discovery:   July 1990
  599.  Symptoms:    .COM growth, decrease in system and free memory
  600.  Origin:      Bulgaria
  601.  Eff Length:  1,226 Bytes
  602.  Type Code:   PRhC - Parasitic Resident .COM Infector
  603.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  604.  Removal Instructions: Scan/D, or delete infected files
  605.  General Comments:
  606.        The 1226D Virus was isolated in Bulgaria in July 1990 by Vesselin
  607.        Bontchev.  This virus is a memory resident generic .COM infector,
  608.        though it does not infect COMMAND.COM.  The 1226D Virus is a self-
  609.        encrypting virus, and simple search string algorithms will not work
  610.        to detect its presence on a system.
  611.  
  612.        The 1226D Virus is based on the 1226 Virus, in fact it is a decrypted
  613.        version of the 1226 Virus.  It is a better replicator, infecting
  614.        successfully on file opens as well as when .COM files are executed.
  615.  
  616.        The first time a program infected with the 1226 virus is executed,
  617.        the virus will install itself memory resident, reserving 8,192 bytes
  618.        of memory at the top of free memory.  Total system and free memory
  619.        are decreased by 8,192 bytes.  Interrupt 2A will be hooked.
  620.  
  621.        Once 1226 is memory resident, the virus will attempt to infect any
  622.        .COM file that is executed that is at least 1,226 bytes in length
  623.        before infection.  Infected files will increase in length by 1,226
  624.        bytes.  As with the original 1226 Virus, a .COM file may be infected
  625.        multiple times by the 1226D Virus as the virus is unable to determine
  626.        that the file was previously infected.  Each infection will result in
  627.        another 1,226 bytes being added to the infected file's length.
  628.        Eventually, the .COM files will grow too large to fit into memory.
  629.  
  630.        In addition to infecting .COM files when they are executed, the 1226D
  631.        Virus will infect .COM files with a length of at least 1,226 bytes
  632.        when they are openned for any reason.  The simple act of copying a
  633.        .COM file with the virus memory resident will result in both the
  634.        source and target files being infected.
  635.  
  636.        Unlike the 1226 Virus, systems infected with the 1226D virus will not
  637.        experience the system hangs or spurious characters symptomatic of the
  638.        1226 virus.  Infected system will still indicate that they have 8,192
  639.        bytes less of total system memory than is installed on the machine.
  640.  
  641.        Known variant(s) of 1226D are:
  642.        1226M/V1226M : Similar to the 1226D virus, except that files are not
  643.                  infected on file open, only when they are executed.
  644.  
  645.        Also see: 1226
  646.  
  647.  
  648.  Virus Name:  1253
  649.  Aliases:     AntiCad, V-1
  650.  V Status:    Rare
  651.  Discovery:   August, 1990
  652.  Symptoms:    TSR; BSC; COMMAND.COM & .COM file growth; partition table change
  653.  Origin:      Austria
  654.  Eff Length:  1,253 Bytes
  655.  Type Code:   PRsBCKX - Parasitic Resident .COM & Partition Table Infector
  656.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  657.  Removal Instructions: Pro-Scan 2.01+, Scan/D plus MDisk/P
  658.  General Comments:
  659.        The 1253 Virus was submitted in August 1990.  It is believed to have
  660.        originated in (or at least to have been first isolated in) Austria.
  661.        1253 is a generic infector of .COM files, including COMMAND.COM.
  662.        It also infects the boot sector of diskettes and the partition table
  663.        of hard disks.
  664.  
  665.        The first time a program infected with the 1253 Virus is executed, the
  666.        virus will install itself memory resident as a low system memory TSR.
  667.        The TSR will be 2,128 bytes in length, hooking interrupts 08, 13, 21,
  668.        and 60.  Total system memory will remain unchanged, and free memory
  669.        will decrease by 2,128 bytes.  At this time, the partition table of
  670.        the system's hard disk is infected with the 1253 virus.  If the
  671.        infected program was executed from a diskette, the diskette's boot
  672.        sector will also be infected.
  673.  
  674.        Each time a .COM file is executed with the virus resident in memory,
  675.        the .COM file will be infected if it hasn't previously been infected.
  676.        The 1253 Virus appends its viral code to the end of the .COM file, and
  677.        then changes the first few bytes of the program to be a jump to the
  678.        appended code.  Infected files increase in length by 1,253 bytes, and
  679.        the virus makes no attempt to hide the increase when the directory
  680.        is displayed.  Infected files will also have their fourth thru sixth
  681.        bytes set to "V-1" (hex 562D31).
  682.  
  683.        Any diskettes which are accessed while the virus is present in memory
  684.        will have their boot sector infected with this virus.  Newly formatted
  685.        diskettes, likewise, will be infected immediately.
  686.  
  687.        The 1253 virus is destructive when it activates.  The author of this
  688.        listing was able to get it to activate by setting the system date to
  689.        December 24 and then executing an infected program on drive A:.  The
  690.        virus promptly went and overwrote the entire diskette in drive
  691.        A: with a pattern of 9 sectors of what appears to be a program
  692.        fragment.  Once the virus has started to overwrite a diskette, the
  693.        only way to stop the disk activity is to power off the system.
  694.  
  695.        The virus in the partition table and/or diskette boot sector is of
  696.        special note.  When the system is booted from the hard disk or diskette
  697.        with the virus in the partition table or boot sector, the virus will
  698.        install itself memory resident.  At this time, the virus resides above
  699.        the top of system memory but below the 640K DOS boundary.  The change
  700.        in total system memory and available free memory will be 77,840 bytes.
  701.        It can be seen with the CHKDSK command.  At this time, any .COM program
  702.        executed will be infected with the 1253 virus, even though no programs
  703.        on the hard disk may contain this virus before the system boot occurred.
  704.  
  705.        One effect of this virus, once the system has been booted from an
  706.        infected hard drive or floppy is that the FORMAT command may result
  707.        in unexpected disk activity to inactive drives.  For example, on the
  708.        author's system, when formatting a diskette in drive A: with the
  709.        current drive being drive C:, there was always disk activity to drive
  710.        B:.
  711.  
  712.        Disinfecting the 1253 virus required that besides disinfecting or
  713.        deleting infected .COM programs, the hard disks partition table and the
  714.        boot sector of any diskettes exposed to the infected system must be
  715.        disinfected.  The virus can be removed safely from the partition table
  716.        and diskette boot sectors by using MDisk with the /P option after
  717.        powering off the system and rebooting from a write-protected uninfected
  718.        boot diskette.  If the partition table and diskette boot sectors are
  719.        not disinfected, the system will promptly experience reinfection of
  720.        .COM files with the virus following a system boot from the hard disk
  721.        or diskette.  Disinfecting the partition table and boot sectors, when
  722.        done properly, will also result in the system's full memory again being
  723.        available.
  724.  
  725.        It is unknown if there are other activation dates for this virus, or
  726.        if it will overwrite the hard disk if an infected program is executed
  727.        on December 24 from the hard disk.
  728.  
  729.  
  730.  Virus Name:  1260
  731.  Aliases:     V2P1
  732.  V Status:    Research
  733.  Discovery:   January, 1990
  734.  Symptoms:    .COM file growth
  735.  Origin:      Minnesota, USA
  736.  Eff Length:  1,260 Bytes
  737.  Type Code:   PNC - Parasitic Encrypting Non-Resident .COM Infector
  738.  Detection Method:  ViruScan V57+, IBM Scan, Pro-Scan 1.4+, F-Prot 1.12+,
  739.               AVTK 3.5+, VirHunt 2.0+
  740.  Removal Instructions: CleanUp V57+, Pro-Scan 1.4+, F-Prot 1.12+, VirHunt 2.0+
  741.  General Comments:
  742.        The 1260 virus was first isolated in January, 1990.  This
  743.        virus does not install itself resident in memory, but is it
  744.        extremely virulent at infecting .COM files.  Infected files
  745.        will have their length increased by 1,260 bytes, and the
  746.        resulting file will be encrypted.  The encryption key changes
  747.        with each infection which occurs.
  748.  
  749.        The 1260 virus is derived from the original Vienna Virus, though
  750.        it is highly modified.
  751.  
  752.        This virus was developed as a research virus by Mark Washburn, who
  753.        wished to show the anti-viral community why identification string
  754.        scanners do not work in all cases.  The encryption used in 1260 is
  755.        one of many possible cases of the encryption which may occur with
  756.        Washburn's later research virus, V2P2.
  757.  
  758.        Also see: V2P2, V2P6, V2P6Z
  759.  
  760.  
  761.  Virus Name:  1381 Virus
  762.  Aliases:
  763.  V Status:    Rare
  764.  Discovery:   June, 1990
  765.  Symptoms:    .EXE growth
  766.  Origin:
  767.  Eff Length:  1,381 Bytes
  768.  Type Code:   PNE - Parasitic Non-Resident .EXE Infector
  769.  Detection Method:  ViruScan V64+, Pro-Scan 2.01+
  770.  Removal Instructions:  Scan/D, or Delete infected files
  771.  General Comments:
  772.        The 1381 Virus was isolated in June, 1990.  It is a non-resident
  773.        generic .EXE infector.
  774.  
  775.        Each time a program infected with the 1381 Virus is executed, the
  776.        virus will attempt to infect one other .EXE file on the current
  777.        drive.  An .EXE file will only be infected if it is greater than
  778.        1,300 bytes in length before infection.  After infection, files
  779.        will have increased in length by between 1,381 and 1,389 bytes.
  780.  
  781.        The virus can be found at the end of infected files.  Infected
  782.        files will also contain the following text strings:
  783.  
  784.               "INTERNAL ERROR 02CH.
  785.                PLEASE CONTACT YOUR HARDWARE MANUFACTURER IMMEDIATELY !
  786.                DO NOT FORGET TO REPORT THE ERROR CODE !"
  787.  
  788.        It is currently unknown what the 1381 Virus does, or what prompts
  789.        it to display the above message.
  790.  
  791.  
  792.  Virus Name:  1392
  793.  Aliases:     Amoeba Virus
  794.  V Status:    Rare
  795.  Discovery:   March, 1990
  796.  Symptoms:    TSR, .COM & .EXE growth, dates modified
  797.  Origin:      Indonesia
  798.  Eff Length:  1,392 Bytes
  799.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  800.  Detection Method: ViruScan V61+, VirexPC 1.1+, F-Prot 1.12+, VirHunt 2.0+
  801.  Removal Instructions: Scan/D, F-Prot 1.12+, VirHunt 2.0+,
  802.               or delete infected files
  803.  General Comments:
  804.        The 1392, or Amoeba, Virus was first isolated in Indonesia in
  805.        March 1990.  The 1392 virus is a memory resident virus that infects
  806.        .COM and .EXE files, including COMMAND.COM.  As files are infected,
  807.        their creation/modification date is changed to the date the files
  808.        were infected.
  809.  
  810.        This virus does not appear to cause any destructive damage.
  811.  
  812.        The following message appears in the virus, which is where its
  813.        alias of Amoeba was derived from:
  814.  
  815.               "SMA KHETAPUNK - Nouvel Band A.M.O.E.B.A"
  816.  
  817.  
  818.  Virus Name:  1554
  819.  Aliases:     Ten Bytes, 9800:0000 Virus, V-Alert, 1559
  820.  V Status:    Rare
  821.  Discovery:   February, 1990
  822.  Symptoms:    .COM & .EXE growth, TSR, linkage corruption, system hang
  823.  Origin:      
  824.  Eff Length:  1,554 Bytes
  825.  Type Code:   PRfAK - Parasitic Resident .COM & .EXE Infector
  826.  Detection Method:  ViruScan V58+, IBM Scan, Pro-Scan 1.4+, VirexPC 1.1+,
  827.               AVTK 3.5+, F-Prot 1.12+, VirHunt 2.0+
  828.  Removal Instructions: Scan/D, F-Prot 1.12+, VirHunt 2.0+, Pro-Scan 2.01+
  829.  General Comments:
  830.        The 1554 virus was accidently sent out over the VALERT-L network
  831.        on February 13, 1990 to approximately 600 subscribers.  When a
  832.        program is executed that is infected with the 1554 virus, the
  833.        virus installs itself memory resident.  It will then proceed to
  834.        infect .COM over 1000 bytes in length and .EXE files over 1024 bytes
  835.        in length, including COMMAND.COM, increasing their length after
  836.        infection by 1,554 to 1,569 bytes.
  837.  
  838.        The 1554 virus activates in September, October, November, or
  839.        December of any year.  Upon activation, any files which are written
  840.        will be missing the first ten bytes.  At the end of these files,
  841.        ten bytes of miscellaneous characters will appear.  In effect, both
  842.        programs and data files will be corrupted.
  843.  
  844.        If the 1554 Virus is executed on a system with less than 640K of
  845.        system memory, the virus will hang the system.
  846.  
  847.  
  848.  Virus Name:  1575
  849.  Aliases:     1577, 1591
  850.  V Status:    New
  851.  Discovery:   January, 1991
  852.  Symptoms:    .COM & .EXE growth; decrease in total system & available memory;
  853.               Sluggishness of DIR commands; file date/time changes
  854.  Origin:      Taiwan
  855.  Isolated:    Ontario, Canada
  856.  Eff Length:  1,575 Bytes
  857.  Type Code:   PRfAk - Parasitic Resident .COM & .EXE Infector
  858.  Detection Method:  ViruScan V74+
  859.  Removal Instructions: Scan/D, Clean-Up V74+, or Delete infected files
  860.  General Comments:
  861.        The 1575 virus was first isolated in Ontario, Canada, in January, 1991.
  862.        This virus has been widely reported, and is believed to be from the Far
  863.        East, probably Taiwan.  It is a memory resident infector of .COM and
  864.        .EXE files, and will infect COMMAND.COM.
  865.  
  866.        When the first program infected with the 1575 Virus is executed, the
  867.        virus will install itself memory resident in 1,760 to 1,840 bytes at
  868.        the top of system memory, but below the 640K DOS boundary.  This
  869.        memory is not reserved, and may be overwritten later by another
  870.        program.  Interrupt 21 will be hooked by the virus.  COMMAND.COM on
  871.        the system C: drive root directory will also be infected at this
  872.        time.
  873.  
  874.        Once the 1575 Virus is memory resident, it will infect one .COM and
  875.        one .EXE program on the current drive whenever a DOS Dir or Copy
  876.        command is executed.  This virus does not spread when programs are
  877.        executed.
  878.  
  879.        Infected files will have their file date and time in the DOS directory
  880.        updated to the system date and time when the infection occurred.
  881.        Their file lengths will also show an increase of between 1,577 and
  882.        1,591 bytes.  This virus will be located at the end of infected files.
  883.  
  884.        It is not know if 1575 does anything besides replicate.
  885.  
  886.        Known variant(s) of the 1575 Virus are:
  887.        1575-B : This variant is functionally similar to the 1575 Virus
  888.                 described above.  The major difference is that this variant
  889.                 reserves the memory it occupies at the top of system memory,
  890.                 though the interrupt 12 return is not moved.
  891.  
  892.  
  893.  Virus Name:  1605
  894.  Aliases:
  895.  V Status:    Rare
  896.  Discovery:   September, 1990
  897.  Symptoms:    .COM & .EXE growth; TSR; system slowdown
  898.  Origin:      Unknown
  899.  Eff Length:  1,605 Bytes
  900.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  901.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  902.  Removal Instructions: Scan/D, or Delete infected files
  903.  General Comments:
  904.        The 1605 Virus was uploaded to John McAfee's Homebase BBS by an
  905.        anonymous user in September, 1990.  The origin of this virus is
  906.        unknown.  The 1605 Virus is a memory resident infector of .COM
  907.        and .EXE files, and it does not infect COMMAND.COM.  It is based
  908.        roughly on the Jerusalem B Virus.
  909.  
  910.        The first time a program infected with the 1605 Virus is executed,
  911.        the virus will install itself memory resident as a low system memory
  912.        TSR of 1,728 bytes.  Interrupts 13 and 21 will be hooked by the
  913.        virus.  At this time, the system will slowdown by approximately
  914.        15-20%.
  915.  
  916.        After becoming memory resident, any .COM or .EXE file executed will
  917.        be infected by the virus.  .COM files will increase in size by
  918.        1,605 bytes in all cases with the virus's code being located at the
  919.        beginning of the file.  .EXE files will increase in size by between
  920.        1,601 and 1,610 bytes with the virus's code being located at the
  921.        end of the infected file.
  922.  
  923.        Other than replicating, it is unknown if this virus carries any
  924.        damage potential.
  925.  
  926.  
  927.  Virus Name:  1704 Format
  928.  Aliases:
  929.  V Status:    Rare
  930.  Discovery:   January, 1989
  931.  Symptoms:    TSR, Falling letters, .COM growth, formatted disk
  932.  Origin:      
  933.  Eff Length:  1,704 Bytes
  934.  Type Code:   PRC - Parasitic Encrypting Resident .COM Infector
  935.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  936.               AVKT 3.5+, VirHunt 2.0+
  937.  Removal Instructions: CleanUp, Scan/D, F-Prot, Pro-Scan, VirexPC, VirHunt 2.0+
  938.  General Comments:
  939.        Like the Cascade Virus, but the disk is formatted when the
  940.        virus activates.  Activation occurs during the months of
  941.        October, November, and December of any year except 1993.
  942.  
  943.  
  944.  Virus Name:  1720
  945.  Aliases:     PSQR Virus
  946.  V Status:    Rare
  947.  Discovery:   March, 1990
  948.  Symptoms :   TSR, .COM & .EXE growth, partition table damage on activation,
  949.               programs on diskette deleted on Friday The 13ths
  950.  Origin:      Spain
  951.  Eff Length:  1,720 Bytes
  952.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  953.  Detection Method: ViruScan V61+, VirexPC 1.1+, F-Prot 1.12+, VirHunt 2.0+,
  954.               Pro-Scan 2.01+
  955.  Removal Instructions: Scan /D, VirHunt 2.0+, or delete infected files
  956.  General Comments:
  957.        The 1720, or PSQR Virus, is a variant of the Jerusalem Virus which
  958.        was first isolated in Barcelona, Spain, in March 1990.  This virus,
  959.        infects .COM and .EXE files, though unlike Jerusalem, it does not
  960.        infect Overlay files.  COMMAND.COM will also not be infected.
  961.  
  962.        The first time an infected file is executed, the virus will install
  963.        itself memory resident, and then infect each executable file as it
  964.        is run.
  965.  
  966.        On Friday The 13ths, the 1720 Virus will activate the first time an
  967.        infected program is executed.  When the program is executed, it will
  968.        be deleted from disk.  More damaging, however, is that the 1720 virus
  969.        will check to see if the system has a hard disk drive.  If a hard
  970.        disk drive is present, the virus will overwrite the boot sector and
  971.        partition table resulting in all data on the hard disk becoming
  972.        unavailable.  The system will also appear to hang.
  973.  
  974.  
  975.  Virus Name:  4096
  976.  Aliases:     Century Virus, FroDo, IDF Virus, Stealth Virus, 100 Years Virus
  977.  V Status:    Common
  978.  Discovery:   January, 1990
  979.  Symptoms:    .COM, .EXE, & overlay file growth; TSR hides growth; crosslinks;
  980.               corruption of data files
  981.  Origin:      Israel
  982.  Eff Length:  4,096 Bytes
  983.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  984.  Detection Method:  ViruScan V53+, F-Prot, IBM Scan, Pro-Scan, VirexPC 1.1+,
  985.               AVTK 3.5+, VirHunt 2.0+
  986.  Removal Instructions: CleanUp V62+, Pro-Scan 1.4+, F-Prot, VirHunt 2.0+,
  987.               or see note below
  988.  General Comments:
  989.        The 4096 virus was first isolated in January, 1990.  This virus
  990.        is considered a Stealth virus in that it is almost invisible
  991.        to the system user.
  992.  
  993.        The 4096 virus infects .COM, .EXE, and Overlay files, adding
  994.        4,096 bytes to their length.  Once the virus is resident in
  995.        system memory, the increase in length will not appear in a
  996.        directory listing.  Once this virus has installed itself into
  997.        memory, it will infect any executable file that is opened,
  998.        including if it is opened with the COPY or XCOPY command.
  999.  
  1000.        This virus is destructive to both data files and executable
  1001.        files, as it very slowly crosslinks files on the system's
  1002.        disk.  The crosslinking occurs so slowly that it appears there
  1003.        is a hardware problem, the virus being almost invisible.  The
  1004.        crosslinking of files is the result of the virus manipulating
  1005.        the FATs, changing the number of available sectors, as well as
  1006.        the user issuing CHKDSK/F commands which will think that the
  1007.        files have lost sectors or crosslinking if the virus is in
  1008.        memory.
  1009.  
  1010.        As a side note, if the virus is present in memory and you
  1011.        attempt to copy infected files, the new copy of the file will
  1012.        not be infected with the virus if the new copy does not have
  1013.        an executable file extension.  Thus, one way to disinfect
  1014.        a system is to copy off all the infected files to diskettes with a
  1015.        non-executable file extension (ie. don't use .EXE, .COM, .SYS, etc)
  1016.        while the virus is active in memory, then power off the system
  1017.        and reboot from a write protected (uninfected) system disk.
  1018.        Once rebooted and the virus is not in memory, delete the
  1019.        infected files and copy back the files from the diskettes to the
  1020.        original executable file names and extensions.
  1021.  
  1022.        The above will disinfect the system, if done correctly, but
  1023.        will still leave the problem of cross-linked files which are
  1024.        permanently damaged.
  1025.  
  1026.        On or after September 22 of any year, the 4096 virus will hang
  1027.        infected systems.  This appears to be a "bug" in the virus in that
  1028.        it goes into a time consuming loop.
  1029.  
  1030.        The 4096 virus also contains a boot-sector within its code, however,
  1031.        it is never written out to the disk's boot sector.  Moving this
  1032.        boot sector to the boot sector of a diskette and rebooting the
  1033.        system will result in the message "FRODO LIVES" being displayed.
  1034.        September 22 is Bilbo and Frodo Baggin's birthday in the Lord Of
  1035.        The Rings trilogy.
  1036.  
  1037.        An important note on the 4096 virus: this virus will also infect some
  1038.        data files.  When this occurs, the data files will appear to be fine
  1039.        on infected systems.  However, after the system is later disinfected,
  1040.        these files will now be corrupted and unpredictable results may occur.
  1041.  
  1042.        Known variant(s) of the 4096 virus include:
  1043.        4096-B    : Similar to the 4096 virus, the main change is that the
  1044.                    encryption mechanism has been changed in order to avoid
  1045.                    detection.
  1046.        4096-C    : Isolated in January, 1991, this variant of 4096 is similar
  1047.                    to the original virus.  The major difference is that the
  1048.                    DOS ChkDsk command will not show any cross-linking of files
  1049.                    or lost clusters.  A symptom of infection by this variant
  1050.                    is that the disk space available according to a DIR command
  1051.                    will be more than the disk space available according to the
  1052.                    DOS ChkDsk program.
  1053.  
  1054.  
  1055.  Virus Name:  4870 Overwriting
  1056.  Aliases:
  1057.  V Status:    New
  1058.  Discovery:   February, 1991
  1059.  Origin:      Unknown
  1060.  Symptoms:    Programs fail to execute; Program corruption
  1061.  Eff Length:  4,870 Bytes
  1062.  Type Code:   ONAK - Overwriting Non-Resident .COM & .EXE Infector
  1063.  Detection Method:
  1064.  Removal Instructions: Delete infected files
  1065.  General Comments:
  1066.        The 4870 Overwriting Virus was isolated in February, 1991.  It's origin
  1067.        or isolation point is not known.  This virus is a non-resident direct
  1068.        action virus that infects .COM and .EXE programs, including
  1069.        COMMAND.COM.
  1070.  
  1071.        When a program infected with the 4870 Overwriting Virus is executed,
  1072.        the virus will search the current directory for an uninfected .COM or
  1073.        .EXE file.  The first such uninfected file located will be infected
  1074.        by the virus.  Infected programs will have the first 4,870 bytes of
  1075.        the candidate program overwritten by the virus.  If the program's
  1076.        original length was 4,870 bytes or more, there will be no increase in
  1077.        the file length in the DOS directory.  If the program's original
  1078.        length was less than 4,870 bytes, then the program's length in the DOS
  1079.        directory will now be 4,870 bytes.  The file's date and time in the
  1080.        directory will not be altered.
  1081.  
  1082.        Programs infected with the 4870 Overwriting Virus will not execute
  1083.        properly.  Once the virus checked for a program to infect, and infected
  1084.        the candidate program if one was found, the virus will terminate and
  1085.        return the user to a DOS prompt.
  1086.  
  1087.        A side note on this virus: the virus itself is compressed with the
  1088.        LZEXE utility, which accounts for much of the 4,870 bytes of viral code.
  1089.        Programs infected with this virus will have the markers of LZEXE version
  1090.        .91 found in the first 4,870 bytes of the infected program.
  1091.  
  1092.        It is not possible to disinfect programs infected with the 4870
  1093.        Overwriting Virus as the first 4,870 bytes of the original program
  1094.        are lost.  Infected programs must be deleted or erased, then replaced
  1095.        with clean copies.
  1096.  
  1097.  
  1098.  Virus Name:  5120
  1099.  Aliases:     VBasic Virus, Basic Virus
  1100.  V Status:    Rare
  1101.  Discovery:   May, 1990
  1102.  Origin:      West Germany
  1103.  Symptoms:    .COM & .EXE growth, file corruption, unexpected disk activity
  1104.  Eff Length:  5,120 Bytes
  1105.  Type Code:   PNAK - Parasitic Non-Resident .COM & .EXE Infector
  1106.  Detection Method:  ViruScan/X V67+, Pro-Scan 1.4+, F-Prot 1.12+
  1107.  Removal Instructions: Scan/D/X, Pro-Scan 1.4+, F-Prot 1.12+, Pro-Scan 2.01+,
  1108.               or Delete infected files
  1109.  General Comments:
  1110.        The 5120 Virus was first isolated in May, 1990.  It is a non-
  1111.        resident generic file infector, infecting .COM and .EXE files,
  1112.        including COMMAND.COM.  This virus is was written in compiled Turbo
  1113.        Basic with some assembly language.
  1114.  
  1115.        When an infected file is executed, the 5120 virus will infect one
  1116.        .COM and one .EXE file on the current drive and directory, followed
  1117.        by attempting to infect one randomly selected .COM or .EXE file in
  1118.        each directory on the system's C: drive.  Infected .COM files increase
  1119.        in length by 5,120 bytes.  .EXE files infected by the 5120 Virus will
  1120.        increase in length by between 5,120 and 5,135 bytes.
  1121.  
  1122.        Unlike most of the MS-DOS viruses, the 5120 Virus does not intercept
  1123.        disk write errors when attempting to infect programs.  Thus, infected
  1124.        systems may notice disk write error messages when no access should be
  1125.        occurring for a drive, such as the C: hard disk partition.
  1126.  
  1127.        Data files may become corrupted on infected systems, as well as
  1128.        crosslinking of files may occur.
  1129.  
  1130.        The following text strings can be found in files infected with the
  1131.        5120 virus.  These strings will appear near the end of the file:
  1132.  
  1133.                "BASRUN"
  1134.                "BRUN"
  1135.                "IBMBIO.COM"
  1136.                "IBMDOS.COM"
  1137.                "COMMAND.COM"
  1138.                "Access denied"
  1139.  
  1140.        There is one variant of the 5120 Virus which does not contain the
  1141.        above strings, but behaves in a very similar manner.  This second
  1142.        variant is not indicated here as the author does not have a copy.
  1143.  
  1144.  
  1145.  Virus Name:  AIDS
  1146.  Aliases:     Hahaha, Taunt, VGA2CGA
  1147.  V Status:    Endangered
  1148.  Discovery:   1989
  1149.  Symptoms:    Message, .COM file corruption
  1150.  Origin:      
  1151.  Eff Length:  N/A
  1152.  Type Code:   ONC - Overwriting Non-Resident .COM Infector
  1153.  Detection Method:  ViruScan/X V67+, Pro-Scan, VirexPC 1.1+, AVTK 3.5+
  1154.  Removal Instructions:  Scan/D/X, or delete infected .COM files
  1155.  General Comments:
  1156.        The AIDS virus, also known as the Hahaha virus in Europe and
  1157.        referred to as the Taunt virus by IBM, is a generic .COM and
  1158.        .EXE file infector.  When the virus activates, it displays the
  1159.        message "Your computer now has AIDS", with AIDS covering
  1160.        about half of the screen.  The system is then halted, and
  1161.        must be powered down and rebooted to restart it.  Since this
  1162.        virus overwrites the first 13,952 bytes of the executable program, the
  1163.        files must be deleted and replaced with clean copies in order
  1164.        to remove the virus.  It is not possible to recover the
  1165.        overwritten portion of the program.
  1166.  
  1167.        Note: this is NOT the Aids Info Disk/PC Cyborg Trojan.
  1168.  
  1169.        Known variant(s) of Aids are:
  1170.        Aids B : Very similar to the original Aids Virus, this variant is also
  1171.                 13,952 bytes in length.  Unlike the original virus, it will
  1172.                 only infect .COM files, as well as COMMAND.COM, and does not
  1173.                 activate as the original virus did.  Instead, this variant
  1174.                 will occasionally issue the following error message:
  1175.                 "I/O error 99, PC=2EFD
  1176.                  Program aborted".
  1177.                 This variant was received in January, 1991, origin unknown.
  1178.  
  1179.  
  1180.  Virus Name:  Aids II Virus
  1181.  Aliases:     Companion Virus
  1182.  V Status:    Endangered
  1183.  Discovery:   April, 1990
  1184.  Symptoms:    Creates .COM files, melody, message
  1185.  Origin:      
  1186.  Eff Length:  8,064 Bytes
  1187.  Type Code:   SNA - Spawning Non-Resident .COM & .EXE Infector
  1188.  Detection Method:  ViruScan/X V67+, Pro-Scan 1.4+
  1189.  Removal Instructions: Scan/D/X, or delete corresponding .COM files
  1190.  General Comments:
  1191.        The Aids II Virus, or Companion Virus, was isolated for the first
  1192.        time in April 1990.  Unlike other generic file infectors, the
  1193.        Aids II Virus is the first known virus to employ what could be
  1194.        termed a "corresponding file technique" of infection so that the
  1195.        original target .EXE file is never changed.  The virus takes
  1196.        advantage of the DOS feature where if a program exists in both
  1197.        .COM and .EXE form, the .COM file will be executed.
  1198.  
  1199.        The Aids II Virus does not directly infect .EXE files, instead it
  1200.        stores a copy of the virus in a corresponding .COM file which will
  1201.        be executed when the user tries to execute one of his .COM files.
  1202.        The .EXE file, and the .COM file containing the viral code will
  1203.        both have the same base file name.
  1204.  
  1205.        The method of infection is as follows:  when an "infected"
  1206.        program is executed, since a corresponding .COM file exists, the
  1207.        .COM file containing the viral code is executed.  The virus
  1208.        first locates an uninfected .EXE file in the current directory and
  1209.        creates a corresponding (or companion) .COM file with the viral
  1210.        code.  These .COM files will always be 8,064 Bytes in length with
  1211.        a file date/time of the date/time of infection.  The .EXE file is
  1212.        not altered at all.  After creating the new .COM file, the virus
  1213.        then plays a melody and displays the following message, the "*"
  1214.        indicated below actually being ansi heart characters:
  1215.  
  1216.                  "Your computer is infected with ...
  1217.  
  1218.                            * Aids Virus II *
  1219.  
  1220.                   - Signed WOP & PGT of DutchCrack -"
  1221.  
  1222.        The Aids II Virus then spawns to the .EXE file that was attempting
  1223.        to be executed, and the program runs without problem.  After
  1224.        completion of the program, control returns to the Aids II Virus.
  1225.        The melody is played again with the following message displayed:
  1226.  
  1227.                         "Getting used to me?
  1228.  
  1229.                     Next time, use a Condom ....."
  1230.  
  1231.        Since the original .EXE file remains unaltered, CRC checking
  1232.        programs cannot detect this virus having infected a system.
  1233.  
  1234.        One way to manually remove the Aids II Virus is to check the
  1235.        disk for programs which have both a .EXE and a .COM file, with
  1236.        the .COM file having a length of 8,064 bytes.  The .COM files
  1237.        thus identified should be erased.
  1238.  
  1239.        The displayed text strings do not appear in the viral code.
  1240.  
  1241.  
  1242.  Virus Name:  AirCop
  1243.  Aliases:
  1244.  V Status:    Rare
  1245.  Discovery:   July, 1990
  1246.  Isolated:    Washington, USA
  1247.  Symptoms:    BSC; System Halt; Message; decrease in system and free memory
  1248.  Origin:      Taiwan
  1249.  Eff Length:  N/A
  1250.  Type Code:   FR - Resident Floppy Boot Sector Infector
  1251.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  1252.  Removal Instructions:  MDisk or DOS SYS command
  1253.  General Comments:
  1254.        The AirCop Virus was discovered in the State of Washington in the
  1255.        United States in July, 1990.  Some early infections of this virus,
  1256.        however, have been traced back to Taiwan, and Taiwan is probably where
  1257.        it originated.  AirCop is a boot sector infector, and it will only
  1258.        infect 360K 5.25" floppy diskettes.
  1259.  
  1260.        When a system is booted from a diskette which is infected with the
  1261.        AirCop virus, the virus will install itself memory resident.  The
  1262.        AirCop Virus installs itself memory resident at the top of high system
  1263.        memory.  The system memory size and available free memory will
  1264.        decrease by 1,024 bytes when the AirCop virus is memory resident.
  1265.        AirCop hooks interrupt 13.
  1266.  
  1267.        Once AirCop is memory resident, any non-write protected diskettes
  1268.        which are then accessed will have their boot sector infected with
  1269.        the AirCop virus.  AirCop will copy the original disk boot sector
  1270.        to sector 719 (Side 1, Cyl 39, Sector 9 on a normal 360K 5.25"
  1271.        diskette) and then replace the boot sector at sector 0 with a copy
  1272.        of the virus.  If a boot sector of a diskette infected with the
  1273.        AirCop virus is viewed, it will be missing almost all of the messages
  1274.        which normally appear in a normal boot sector.  The only message
  1275.        remaining will be:
  1276.  
  1277.                "Non-system..."
  1278.  
  1279.        This will be located just before the end of the boot sector.
  1280.  
  1281.        The AirCop Virus will do one of two things on infected systems,
  1282.        depending on how compatible the system's software and hardware is
  1283.        with the virus.  On most systems, the virus will display the following
  1284.        message at random intervals:
  1285.  
  1286.                "Red State, Germ Offensive.
  1287.                 AIRCOP."
  1288.  
  1289.        On other systems, the virus being present will result in the system
  1290.        receiving a Stack Overflow Error and the system being halted.  In this
  1291.        case, you must power off the system in order to be able to reboot.
  1292.  
  1293.        AirCop currently does not infect hard disk boot sectors or partition
  1294.        tables.
  1295.  
  1296.        AirCop can be removed from infected diskettes by first powering
  1297.        off the system and rebooting from a known clean write protected
  1298.        DOS master diskette.  The DOS SYS command should then be used to
  1299.        replace the infected diskette's boot sector.  Alternately, MDisk
  1300.        can be used following the power-down and reboot.
  1301.  
  1302.  
  1303.  Virus Name:  Akuku
  1304.  Aliases:
  1305.  V Status:    New
  1306.  Discovery:   January, 1991
  1307.  Symptoms:    .COM & .EXE growth; "Error in EXE file" message;
  1308.               Unexpected drive accesses
  1309.  Origin:      USSR
  1310.  Eff Length:  891 Bytes
  1311.  Type Code:   PNAK - Parasitic Non-Resident .COM & .EXE Infector
  1312.  Detection Method:  ViruScan V74+
  1313.  Removal Instructions:  Scan/D, or Delete infected files
  1314.  General Comments:
  1315.        The Akuku Virus was isolated in January, 1991, and comes from the
  1316.        USSR.  This virus is a non-resident direct action infector of .COM and
  1317.        .EXE files, including COMMAND.COM.
  1318.  
  1319.        When a program infected with Akuku is executed, the virus will infect
  1320.        three programs in the current directory.  If three uninfected programs
  1321.        cannot be found in the current directory, the virus will search the
  1322.        disk directory of the current drive, as well as of the C: drive.
  1323.        Both .COM and .EXE programs may become infected, as well as COMMAND.COM.
  1324.        Programs smaller than 1K will not be infected by this virus.  Infected
  1325.        programs will increase in length by 891 to 907 bytes, the virus will be
  1326.        located at the end of the infected file.  The file date and time in the
  1327.        disk directory will not be altered by the virus.
  1328.  
  1329.        The following text string is contained within the virus's code, and
  1330.        can be found in all infected programs:
  1331.  
  1332.                "A kuku, Nastepny komornik !!!"
  1333.  
  1334.        Some .EXE programs will fail to execute properly after infection by the
  1335.        Akuku Virus.  These programs may display an "Error in EXE file"
  1336.        message and terminate when the user attempts to execute them.
  1337.  
  1338.  
  1339.  Virus Name:  Alabama
  1340.  Aliases:
  1341.  V Status:    Endangered
  1342.  Discovery:   October, 1989
  1343.  Symptoms:    .EXE growth, Resident (see text), message, FAT corruption
  1344.  Origin:      Israel      
  1345.  Eff Length:  1,560 bytes
  1346.  Type Code:   PRfET - Parasitic Resident .EXE infector
  1347.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, AVTK 3.5+,
  1348.               VirHunt 2.0+
  1349.  Removal Instructions:  CleanUp, F-Prot, Pro-Scan 1.4+, Scan/D/X, VirHunt 2.0+,
  1350.               or delete infected files
  1351.  General Comments:
  1352.        The Alabama virus was first isolated at Hebrew University in
  1353.        Israel by Ysrael Radai in October, 1989.  Its first known
  1354.        activation was on October 13, 1989.  The Alabama virus will
  1355.        infect .EXE files, increasing their size by 1,560 bytes.  It
  1356.        installs itself memory resident when the first program infected
  1357.        with the virus is executed, however it doesn't use the normal
  1358.        TSR function.  Instead, this virus hooks Int 9 as well as making
  1359.        use of IN and OUT commands.  When a CTL-ALT-DEL combination is
  1360.        detected, the virus causes an apparent boot but remains in RAM.
  1361.        The virus loads itself 30K under the highest memory location
  1362.        reported by DOS, and does not lower the amount of memory
  1363.        reported by BIOS or DOS.
  1364.  
  1365.        After the virus has been memory resident for one hour, the
  1366.        following message will appear in a flashing box:
  1367.  
  1368.        "SOFTWARE COPIES PROHIBITED BY INTERNATIONAL LAW..............
  1369.         Box 1055 Tuscambia ALABAMA USA."
  1370.  
  1371.        The Alabama virus uses a complex mechanism to determine whether
  1372.        or not to infect the current file.  First, it checks to see if
  1373.        there is an uninfected file in the current directory, if there
  1374.        is one it infects it.  Only if there are no uninfected files
  1375.        in the current directory is the program being executed
  1376.        infected.  However, sometimes instead of infecting the
  1377.        uninfected candidate file, it will instead manipulate the FATs
  1378.        to exchange the uninfected candidate file with the currently
  1379.        executed file without renaming it, so the user ends up thinking
  1380.        he is executing one file when in effect he is actually
  1381.        executing another one.  The end result is that files are
  1382.        slowly lost on infected systems.  This file swapping occurs
  1383.        when the virus activates on ANY Friday.
  1384.  
  1385.  
  1386.  Virus Name:  Alameda
  1387.  Aliases:     Merritt, Peking, Seoul, Yale
  1388.  V Status:    Rare
  1389.  Discovery:   1987
  1390.  Symptoms:    Floppy boot failures, Resident-TOM, BSC
  1391.  Origin:      California, USA
  1392.  Eff Length:  N/A
  1393.  Type Code:   RtF - Resident Floppy Boot Sector Infector
  1394.  Detection Method:  ViruScan, F-Prot, IBM Scan, AVTK 3.5+, VirHunt 2.0+
  1395.  Removal Instructions:  MDisk, CleanUp, F-Prot, or DOS SYS
  1396.  General Comments:
  1397.        The Alameda virus was first discovered at Merritt college in
  1398.        Alameda, California in 1987.  The original version of this virus
  1399.        caused no intentional damage, though there is now at least 1
  1400.        variant of this virus that now causes floppy disks to become
  1401.        unbootable after a counter has reached its limit (Alameda-C
  1402.        virus).
  1403.  
  1404.        The Alameda virus, and its variants, all replicate when the
  1405.        system is booted with a CTL-ALT-DEL and infect only 5 1/4"
  1406.        360K diskettes.  These viruses do stay in memory thru a warm
  1407.        reboot, and will infect both system and non-system disks.
  1408.        System memory can be infected on a warm boot even if Basic is
  1409.        loaded instead of DOS.
  1410.  
  1411.        The virus saves the real boot sector at track 39, sector 8,
  1412.        head 0.  The original version of the Alameda virus would only
  1413.        run on a 8086/8088 machine, though later versions can now run
  1414.        on 80286 systems.
  1415.  
  1416.        Also see: Golden Gate, SF Virus
  1417.  
  1418.  
  1419.  Virus Name:  Ambulance Car Virus
  1420.  Aliases:     RedX
  1421.  V Status:    Rare
  1422.  Discovery:   June, 1990
  1423.  Symptoms:    .COM growth, graphic display & sound
  1424.  Origin:      West Germany
  1425.  Eff Length:  796 Bytes
  1426.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  1427.  Detection Method: ViruScan V64+, F-Prot 1.12+, Pro-Scan 2.01+
  1428.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete infected files
  1429.  General Comments:
  1430.        The Ambulance Car Virus was isolated in West Germany in June, 1990.
  1431.        This virus is a non-resident .COM infector.
  1432.  
  1433.        When a program infected with the Ambulance Car Virus is executed,
  1434.        the virus will attempt to infect one .COM file.  The .COM file to
  1435.        be infected will be located on the C: drive.  This virus only infects
  1436.        one .COM file in any directory, and never the first .COM file in
  1437.        the directory.  It avoids infecting COMMAND.COM as that file is
  1438.        normally the first .COM file in the root directory.
  1439.  
  1440.        On a random basis, when an infected file is executed it will
  1441.        have the affect of a graphics display of an ASCII block drawing of
  1442.        an ambulance moving across the bottom of the system display.  This
  1443.        graphics display will be accompanied with the sound of a siren
  1444.        played on the system's speaker.  Both of these effects only occur
  1445.        on systems with a graphics capable display adapter.
  1446.  
  1447.  
  1448.  Virus Name:  Amstrad
  1449.  Aliases:
  1450.  V Status:    Endangered
  1451.  Discovery:   November, 1989
  1452.  Symptoms:    .COM growth, message
  1453.  Origin:      Portugal
  1454.  Eff Length:  847 Bytes
  1455.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  1456.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC 1.1+,
  1457.               AVTK 3.5+, VirHunt 2.0+
  1458.  Removal Instructions:  Scan/D/X, F-Prot, Pro-Scan 1.4+, or
  1459.               delete infected files
  1460.  General Comments:
  1461.        The Amstrad virus was first reported in November, 1989, by
  1462.        Jean Luz of Portugal, however it has been known of in Spain
  1463.        and Portugal for a year prior to that.  The virus is a generic
  1464.        .COM infector, but is not memory resident nor does it infect
  1465.        COMMAND.COM.
  1466.  
  1467.        The virus carries a fake advertisement for the Amstrad computer.
  1468.  
  1469.        The Amstrad virus appears to cause no other damage to the
  1470.        system other than replicating and infecting files.
  1471.  
  1472.        Known variants of the Amstrad Virus are:
  1473.        Pixel/V-345 - Similar to the Amstrad virus described above, except
  1474.                      that the virus is 345 Bytes in length, can now infect
  1475.                      COMMAND.COM, and contains the message:
  1476.                      "=!= Program sick error:Call doctor or by PIXEL for
  1477.                      cure description".  This message is not displayed.
  1478.                      The Pixel virus was originally distributed in Greece
  1479.                      by Pixel magazine.  The Pixel Virus can only infect
  1480.                      programs in the current directory.  This variant may
  1481.                      in fact be the original virus in this family, it is
  1482.                      rumored that it was released one year before the
  1483.                      appearance of the virus in Portugal.
  1484.                      Origin: Greece
  1485.        V-277       - Similar to the Pixel/V-345 virus described above, except
  1486.                      that the virus is now 277 Bytes in length, and does not
  1487.                      contain any message text.  The original message text
  1488.                      has been replaced with code to produce a parity error
  1489.                      approximately 50% of the time when an infected program
  1490.                      is executed.
  1491.                      Origin: Bulgaria
  1492.        V-299       - Similar to Pixel, except that the length of the virus
  1493.                      is 299 Bytes.
  1494.                      Origin: Bulgaria
  1495.        V-847       - Similar to Pixel, except that the length of the virus
  1496.                      is 847 Bytes.
  1497.                      Origin: Bulgaria
  1498.        V-847B      - Similar to V-847, except that the message in the virus
  1499.                      is now in Spanish and is:
  1500.                      "=!= En tu PC hay un virus RV1, y esta es su quinta
  1501.                      generacion".
  1502.                      This variant was originally distributed by a magazine
  1503.                      in Spain in file NOCARGAR.COM.
  1504.                      Origin: Spain
  1505.        V-852       - Similar to the V-847 variant, this variant does not
  1506.                      contain any message.  It infects all .COM files in the
  1507.                      current directory whenever an infected program is
  1508.                      executed.  If the current directory contains COMMAND.COM,
  1509.                      it will be infected as well.  The original sample of this
  1510.                      variant received by the author did not contain any text,
  1511.                      however after replicating on a test system, all infected
  1512.                      files then contained text from the video buffer, which
  1513.                      implies the submitted sample was the original distribution
  1514.                      of the virus.  This variant checks byte 4 of .COM files
  1515.                      to determine if the file was previously infected, if
  1516.                      bytes 4-5 are 'SS', the virus assumes the file is already
  1517.                      infected.  All infected programs will start with the
  1518.                      following hex string, with the nn indicated being a
  1519.                      generation number:
  1520.                      "EB14905353nn2A2E434F4D004F040000"
  1521.                      Origin: Bulgaria
  1522.  
  1523.  
  1524.  Virus Name:  Anthrax
  1525.  Aliases:
  1526.  V Status:    Rare
  1527.  Discovery:   July, 1990
  1528.  Symptoms:    .COM & .EXE growth
  1529.  Origin:      Bulgaria
  1530.  Isolated:    Netherlands
  1531.  Eff Length:  1040 - 1279 Bytes
  1532.  Type Code:   PRAKX - Parasitic Resident .COM, .EXE, & Partition Table Infector
  1533.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  1534.  Removal Instructions: Scan/D + MDisk/P, Pro-Scan 2.01+
  1535.  General Comments:
  1536.        The Anthrax Virus was isolated in July 1990 in the Netherlands after
  1537.        it was uploaded onto several BBSes in a trojan anti-viral program,
  1538.        USCAN.ZIP.  It is the second virus to be found in a copy of UScan
  1539.        during July 1990, the first virus being V2100.  Anthrax is a memory
  1540.        resident generic infector of .COM and .EXE files, including
  1541.        COMMAND.COM.
  1542.  
  1543.        The first time a program infected with the Anthrax virus is executed
  1544.        on the system's hard disk, the virus will infect the hard disk's
  1545.        partition table.  At this point, the virus is not memory resident.  It
  1546.        will also write a copy of itself on the last few sectors of the
  1547.        system's hard disk.  If data existed on those last few sectors of the
  1548.        hard disk, it will be destroyed.
  1549.  
  1550.        When the system is booted from the hard disk, the Anthrax virus
  1551.        will install itself memory resident.  It will remain memory resident
  1552.        until the first program is executed.  At that time, it will deinstall
  1553.        itself from being resident and infect one .COM or .EXE file.  This
  1554.        virus does not infect files in the current directory first, but
  1555.        instead starts to infect files at the lowest level of the disk's
  1556.        directory tree.
  1557.  
  1558.        Later, when an infected program is executed, Anthrax will infect one
  1559.        .COM or .EXE file, searching the directory structure from the lowest
  1560.        level of the directory tree.  If the executed infected program
  1561.        was located on the floppy drive, a .COM or .EXE file may or may not
  1562.        be infected.
  1563.  
  1564.        The Anthrax Virus's code is 1,024 bytes long, but infected programs
  1565.        will increase in length by 1,040 to 1,279 bytes.  On the author's test
  1566.        system, the largest increase in length experienced was 1,232 bytes.
  1567.        Infected files will always have an infected file length that is a
  1568.        multiple of 16.
  1569.  
  1570.        The following text strings can be found in files infected with the
  1571.        Anthrax virus:
  1572.  
  1573.                "(c)Damage, Inc."
  1574.                "ANTHRAX"
  1575.  
  1576.        A third text string occurs in the viral code, but it is in Cyrillics.
  1577.        Per Vesselin Bontchev, this third string translates to: "Sofia 1990".
  1578.  
  1579.        Since Anthrax infects the hard disk partition tables, infected systems
  1580.        must have the partition table disinfected or rebuilt in order to
  1581.        remove the virus.  This disinfection can be done with either a low-
  1582.        level format or use of the MDisk/P program for the correct DOS
  1583.        version after powering off and rebooting from a write-protected boot
  1584.        diskette for the system.  Any .COM or .EXE files infected with
  1585.        Anthrax must also be disinfected or erased.  Since a copy of the virus
  1586.        will exist on the last few sectors of the drive, these must also be
  1587.        located and overwritten.
  1588.  
  1589.        Anthrax interacts with another virus: V2100.  If a system which was
  1590.        previously infected with Anthrax should become infected with the V2100
  1591.        virus, the V2100 virus will check the last few sectors of the hard
  1592.        disk for the spare copy of Anthrax.  If the spare copy is found, then
  1593.        Anthrax will be copied to the hard disk's partition table.
  1594.  
  1595.        It is not known if Anthrax carries any destructive capabilities or
  1596.        trigger/activation dates.
  1597.  
  1598.  
  1599.  Virus Name:  Anti-Pascal
  1600.  Aliases:     Anti-Pascal 605 Virus, AP-605, C-605, V605
  1601.  V Status:    Research
  1602.  Discovery:   June, 1990
  1603.  Symptoms:    .COM growth, .BAK and .PAS file corruption
  1604.  Origin:      Bulgaria
  1605.  Isolated:    Sofia, Bulgaria
  1606.  Eff Length:  605 Bytes
  1607.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  1608.  Detection Method:  ViruScan/X V67+, Pro-Scan 2.01+
  1609.  Removal Instructions: Pro-Scan 2.01+, Scan/D/X, or delete infected files
  1610.  General Comments:
  1611.        The Anti-Pascal Virus, V605 or C-605, was isolated in Sofia,
  1612.        Bulgaria in June 1990 by Vesselin Bontchev.  Originally, it was
  1613.        thought that the Anti-Pascal virus was from the USSR or Poland,
  1614.        but it has since been determined to have been a research virus
  1615.        written in Bulgaria over one year before it was isolated.  The
  1616.        author was not aware that it had "escaped" until July, 1990.
  1617.  
  1618.        The Anti-Pascal Virus is a generic .COM file infector, including
  1619.        COMMAND.COM.  While this virus is not memory resident, when it is
  1620.        in the process of infecting files, interrupt 24 will be hooked.
  1621.  
  1622.        When a program infected with the Anti-Pascal virus is executed,
  1623.        the virus will attempt to infect two other .COM files on the
  1624.        current drive or on drive D: which are between 605 and 64,930
  1625.        bytes in length.  These files must not have the read only
  1626.        attribute set.  If an uninfected .COM file meeting the virus's
  1627.        selection criteria is found, the first 605 bytes of the program
  1628.        is overwritten with the viral code.  The original 605 bytes of
  1629.        the program is then appended to the end of the infected file.
  1630.        Infected files will have increased in length by 605 bytes, and
  1631.        they will also begin with the text string "PQVWS" as well as
  1632.        contain the string "combakpas???exe" at offset 0x17.  Infected
  1633.        files will also have had their file date/time stamps in the
  1634.        directory updated to the date/time that the infection occurred.
  1635.  
  1636.        If the Anti-Pascal Virus cannot find two .COM files to infect,
  1637.        it will check the current drive and directory for .BAK and .PAS
  1638.        files.  If these files exist, they will be overwritten with the
  1639.        virus's code.  If the overwritten files were .PAS files, the
  1640.        system's user has now lost some of their Pascal source code.
  1641.        After overwriting .BAK and .PAS files, the virus will attempt to
  1642.        rename them to .COM files, or .EXE files if a .COM file already
  1643.        exists.  This rename does not work due to a bug in the virus.
  1644.  
  1645.        Known variant(s) of the Anti-Pascal Virus are:
  1646.        AP-529    : Similar to the 605 byte Anti-Pascal Virus, the major
  1647.                    differences are that AP-529 will only infect .COM files
  1648.                    over 2,048 bytes in length.  Infected files increase in
  1649.                    length by 529 bytes.  Additionally, instead of overwriting
  1650.                    the .BAK and .PAS files, one .BAK and .PAS file will be
  1651.                    deleted if there are no uninfected .COM files with a
  1652.                    length of at least 2,048 bytes on the current drive.
  1653.                    .COM files on the C: drive root directory may also be
  1654.                    infected by AP-529 when it is executed from the A: or B:
  1655.                    drive.  This variant should be considered a "Research
  1656.                    Virus", it is not believed to have been publicly
  1657.                    released.
  1658.  
  1659.        Also see: Anti-Pascal II
  1660.  
  1661.  
  1662.  Virus Name:  Anti-Pascal II
  1663.  Aliases:     Anti-Pascal 400, AP-400
  1664.  V Status:    Research
  1665.  Discovery:   June, 1990
  1666.  Symptoms:    .COM growth; .BAK, .BAT and .PAS file deletion, boot sector
  1667.               alteration on hard disk
  1668.  Origin:      Bulgaria
  1669.  Isolated:    Sofia, Bulgaria
  1670.  Eff Length:  400 Bytes
  1671.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  1672.  Detection Method:  ViruScan/X V67+, Pro-Scan 2.01+
  1673.  Removal Instructions: Pro-Scan 2.01+, Scan/D/X, or delete infected files
  1674.  General Comments:
  1675.        The Anti-Pascal II Virus, or AP-400, was isolated in Sofia,
  1676.        Bulgaria in June 1990 by Vesselin Bontchev.  It is one of five
  1677.        viruses/variants in the Anti-Pascal family.  Two of the earlier
  1678.        variants, Anti-Pascal/AP-605 and AP-529, are documented under
  1679.        the name "Anti-Pascal".  The variants listed under Anti-Pascal II
  1680.        have been separated due to some of their characteristics differing
  1681.        from the 605 byte and 529 byte viruses.
  1682.  
  1683.        The Anti-Pascal II Virus is a generic .COM file infector, including
  1684.        COMMAND.COM.  While this virus is not memory resident, when it is
  1685.        in the process of infecting files, interrupt 21 will be hooked.
  1686.  
  1687.        The first time a program infected with the Anti-Pascal II virus is
  1688.        executed on a system, the virus will attempt to infect one (1)
  1689.        .COM file in the root directory of each drive accessible on the
  1690.        system.  Files are only infected if their length is at least 2,048
  1691.        bytes, and the resulting infected file will be less than 64K in
  1692.        length.  Since COMMAND.COM is usually the first .COM file on a
  1693.        drive, it will immediately become infected.  One additional .COM
  1694.        file will also be infected on the current drive.  The mechanism used
  1695.        to infect the file is to write the virus's code to the end of the
  1696.        file.  A jump is used to execute the virus's code before the original
  1697.        program is executed.  Infected files do not have their date/time
  1698.        stamps in the directory updated to the system date and time when the
  1699.        infection occurred.
  1700.  
  1701.        If the Anti-Pascal Virus cannot find a .COM file to infect on a
  1702.        given drive, or two .COM files to infect on the current drive,
  1703.        it will check for the existence of .BAK, .PAS, or .BAT files.  If
  1704.        found, these files will be deleted.  These deletions only occur in
  1705.        root directories and on the current drive's current directory.  Since
  1706.        each root directory (as well as the current directory) will typically
  1707.        not have all of its .COM files infected at the same time, the deletes
  1708.        will occur on different drives and directories at different times.
  1709.  
  1710.        Symptoms of infection of the Anti-Pascal II Virus include file length
  1711.        increases of 400 bytes, unexpected disk access to drives other than
  1712.        the current drive, and disappearing .BAK, .PAS, and .BAT files.  One
  1713.        other symptom of an Anti-Pascal II infection is that the hard disk's
  1714.        boot sector will be slightly altered by the virus.  Anti-viral programs
  1715.        which CRC-check the boot sector will indicate that a boot sector
  1716.        infection may have occurred.  The boot sector alteration does not
  1717.        contain a live virus, but will throw the system user off into thinking
  1718.        their problem is from a boot sector virus instead of a file infector,
  1719.        and if the disk as a bootable disk, it will not be unbootable.
  1720.  
  1721.        The Anti-Pascal II Virus and its variants indicated below are not
  1722.        believed to have been publicly released.  As such, they have been
  1723.        classified as "Research Viruses".
  1724.  
  1725.        Known variant(s) of the Anti-Pascal II Virus are:
  1726.        AP-440    : Very similar to the 400 byte version of the Anti-Pascal II
  1727.                    Virus, the major characteristic change is that this
  1728.                    variant has a length of 440 bytes.  The boot sector is no
  1729.                    longer altered by the virus.  This variant is an
  1730.                    intermediary between AP-480 and the 400 byte version
  1731.                    documented above.
  1732.        AP-480    : Similar to the Anti-Pascal II virus, this variant is the
  1733.                    version which is 480 bytes in length.  It does not
  1734.                    delete .BAT files, but only .BAK and .PAS.  This variant
  1735.                    is the latest variant of the Anti-Pascal II grouping.
  1736.  
  1737.        Also see: Anti-Pascal
  1738.  
  1739.  
  1740.  Virus Name:  Armagedon
  1741.  Aliases:     Armagedon The First, Armagedon The Greek
  1742.  V Status:    Rare
  1743.  Discovery:   June, 1990
  1744.  Symptoms:    text string intermittently sent to COM ports
  1745.  Origin:      Athens, Greece
  1746.  Eff Length:  1,079 Bytes
  1747.  Type Code:   PRC - Parasitic Resident .COM Infector
  1748.  Detection Method: ViruScan V64+, F-Prot 1.12+, Pro-Scan 2.01+
  1749.  Removal Instructions: Scan/D, F-Prot 1.12+, or Delete infected files
  1750.  General Comments:
  1751.        The Armagedon virus was isolated on June 2, 1990, by George
  1752.        Spiliotis of Athens, Greece.  Armagedon is a memory resident
  1753.        virus which infects .COM files, increasing their length by 1,079
  1754.        bytes.
  1755.  
  1756.        The first time an infected program is executed on a system, the
  1757.        virus installs itself memory resident, hooking interrupts 8 and 21.
  1758.        Any .COM files which are later executed are then infected by the
  1759.        resident virus.
  1760.  
  1761.        Infected systems will experience the text string "Armagedon the GREEK"
  1762.        being sent to COM ports 1 - 4 at time intervals.  Between 5:00 and
  1763.        7:00, the virus will attempt to use the system's COM ports to make
  1764.        a phone call to Local Time Information in Crete, Greece.  If a
  1765.        connection is made, the phone line will remain open until the user
  1766.        notices that the phone line is in use.  (Needless to say, this
  1767.        doesn't work if the system is located outside of Greece as dialing
  1768.        codes are considerably different between countries.)
  1769.  
  1770.        This virus otherwise is not destructive.
  1771.  
  1772.  
  1773.  Virus Name:  Ashar
  1774.  Aliases:     Shoe_Virus, UIUC Virus
  1775.  V Status:    Common
  1776.  Discovery:   
  1777.  Symptoms:    BSC, Resident TOM
  1778.  Origin:      
  1779.  Eff Length:  N/A
  1780.  Type Code:   BRt - Resident Boot Sector Infector
  1781.  Detection Method:  ViruScan V41+, F-Prot, IBM Scan, Pro-Scan 1.4+, AVTK 3.5+,
  1782.               VirHunt 2.0+
  1783.  Removal Instructions:  MDisk, CleanUp, Pro-Scan 1.4+, F-Prot or
  1784.               DOS SYS command
  1785.  General Comments:
  1786.        The Ashar virus is a resident boot sector infector which is
  1787.        a variant of the Brain virus.  It differs from the Brain
  1788.        virus in that it can infect both floppies and hard disk, and
  1789.        the message in the virus has been modified to be:
  1790.  
  1791.             "VIRUS_SHOE RECORD, v9.0.  Dedicated to the dynamic
  1792.             memories of millions of virus who are no longer with us
  1793.             today".
  1794.  
  1795.        However, the above message is never displayed.  The
  1796.        identification string "ashar" is normally found at offset
  1797.        04a6 hex in the virus.
  1798.  
  1799.        A variant of the Ashar virus exists, Ashar-B or Shoe_Virus-B,
  1800.        which has been modified so that it can no longer infect hard
  1801.        drives.  The v9.0 in the message has also been altered to v9.1.
  1802.  
  1803.        Also see: Brain
  1804.  
  1805.  
  1806.  Virus Name:  Attention!
  1807.  Aliases:     USSR 394
  1808.  V Status:    Rare
  1809.  Discovery:   December, 1990
  1810.  Symptoms:    .COM file growth; decrease in system and available memory;
  1811.               clicking emitted from system speaker on keypress; file date/time
  1812.               changes
  1813.  Origin:      USSR
  1814.  Eff Length:  394 Bytes
  1815.  Type Code:   PRhCK - Parasitic Resident .COM  Infector
  1816.  Detection Method:  ViruScan V74+
  1817.  Removal Instructions: Scan/D, or Delete infected files
  1818.  General Comments:
  1819.        The Attention! Virus was submitted in December, 1990 and was originally
  1820.        isolated in the USSR.  This virus is a memory resident infector of COM
  1821.        files, including COMMAND.COM.
  1822.  
  1823.        The first time a program infected with the Attention! Virus is executed,
  1824.        the virus will reserve 416 bytes at the top of system memory but below
  1825.        the 640K DOS boundary.  The virus becomes memory resident in this area,
  1826.        and hooks interrupt 21.  Total system memory and available free memory
  1827.        returned by the DOS ChkDsk command will decrease by 416 bytes.  The
  1828.        interrupt 12 return is not moved.
  1829.  
  1830.        After the virus is memory resident, a clicking sound will be emitted
  1831.        by the system speaker each time a key is pressed on the keyboard.  Some
  1832.        programs, such as the Edlin program supplied with MS-DOS, will receive
  1833.        an "Invalid drive or file name" message when they are attempted to be
  1834.        executed.
  1835.  
  1836.        Attention! will infect COM files, including COMMAND.COM, when they are
  1837.        executed.  The exception is that very small COM files will not become
  1838.        infected.  Infected files will increase in length by 394 bytes with the
  1839.        virus being located at the end of the file.  Infected programs will also
  1840.        contain the text string: "ATTENTION  !" near the beginning of the
  1841.        program.
  1842.  
  1843.  
  1844.  Virus Name:  Best Wishes
  1845.  Aliases:     Best Wish
  1846.  V Status:    Rare
  1847.  Discovery:   December, 1990
  1848.  Symptoms:    .COM file growth; decrease in system and available free memory;
  1849.               system hangs; file date/time changes; file not found errors;
  1850.               boot sector modification
  1851.  Origin:      USSR
  1852.  Eff Length:  970 Bytes
  1853.  Type Code:   PRtCK - Parasitic Resident .COM Infector
  1854.  Detection Method:  ViruScan V74+
  1855.  Removal Instructions: Scan/D, or Delete infected files
  1856.  General Comments:
  1857.        The Best Wishes Virus was submitted in December, 1990 and is believed
  1858.        to be from the USSR.  Best Wishes is a memory resident infector of
  1859.        COM files, including COMMAND.COM.  There is a variant of this virus,
  1860.        Best Wishes B, which is 1,024 bytes in length.
  1861.  
  1862.        The first time a program infected with the Best Wishes Virus is
  1863.        executed, the virus will install itself memory resident in system high
  1864.        memory, but below the 640K DOS boundary.  The interrupt 12 return will
  1865.        be moved.  Total system memory will decrease by 61,440 bytes, available
  1866.        free memory will decrease by 61,360 bytes.  COMMAND.COM will become
  1867.        infected at this time, and the disk's boot sector will also be modified.
  1868.        Disks with the boot sector modification and infected COMMAND.COM will
  1869.        still boot properly.
  1870.  
  1871.        After Best Wishes is resident, the virus will infect COM files as they
  1872.        are executed with a probability of 50%.  Infected COM files will
  1873.        increase in length by 970 bytes with the virus being located at the
  1874.        end of the infected file.  Infected programs will also have the following
  1875.        text string located near the end of the file:
  1876.  
  1877.                "This programm ... With Best Wishes!"
  1878.  
  1879.        Best Wishes does not restore the original file date and time in the
  1880.        directory when it infects programs, so all infected programs will have
  1881.        their date/time stamps set to the system date and time when infection
  1882.        occurred.
  1883.  
  1884.        Two additional symptoms of a Best Wishes infection are that the user
  1885.        may experience "File not found" errors when the file is actually on
  1886.        disk, as well as system hangs on every fourth program execution.
  1887.  
  1888.        Known variant(s) of Best Wishes are:
  1889.        Best Wishes B - An earlier version of Best Wishes, this variant is
  1890.              1,024 bytes in length.  The major differences are that infected
  1891.              disks will not boot if COMMAND.COM has been modified.  Execution
  1892.              of a COM program once the virus is memory resident will result in
  1893.              the program most likely being infected, but the system will also
  1894.              become hung.
  1895.  
  1896.  
  1897.  Virus Name:  Black Monday
  1898.  Aliases:
  1899.  V Status:    Rare
  1900.  Discovery:   September, 1990
  1901.  Symptoms:    .COM & .EXE file growth; TSR; file timestamp changes
  1902.  Origin:      Kuala Lumpur, Malaysia
  1903.  Eff Length:  1,055 Bytes
  1904.  Type Code:   PRsAK - Parasitic Resident .COM & .EXE Infector
  1905.  Detection Method: ViruScan V67+, Pro-Scan 2.01+
  1906.  Removal Instructions: Pro-Scan 2.01+, Scan/D, or Delete infected files
  1907.  General Comments:
  1908.        The Black Monday Virus was isolated in Fiji in September, 1990.  It
  1909.        is reported to be widespread in Fiji and other locations in the Far
  1910.        East and Asia.  This virus is a memory resident generic infector of
  1911.        .COM and .EXE files, including COMMAND.COM.
  1912.  
  1913.        The first time a program infected with the Black Monday Virus is
  1914.        executed, the virus will install itself memory resident as a low
  1915.        system memory TSR of 2,048 bytes.  Interrupt 21 will be hooked by
  1916.        the virus.
  1917.  
  1918.        Once the virus is memory resident, any program which is executed
  1919.        will become infected with the Black Monday Virus.  .COM files will
  1920.        increase in length by 1,055 bytes with the virus's code located at
  1921.        the end of the infected files.  .EXE files will also increase in
  1922.        length by 1,055 bytes with the virus's code added to the end of
  1923.        the file.  This virus does not infect .EXE files multiple times.
  1924.  
  1925.        The virus does not hide the change in file length when the directory
  1926.        is displayed, though a directory display will indicated that the
  1927.        infected file's date/timestamp have been updated to the system date
  1928.        and time when the file was infected.
  1929.  
  1930.        The following text string can be found in all infected files near
  1931.        the beginning of the virus's code:
  1932.  
  1933.                "Black Monday 2/3/90 KV KL MAL"
  1934.  
  1935.        It is unknown when Black Monday activates, or what it does at
  1936.        activation.
  1937.  
  1938.  
  1939.  Virus Name:  Blood
  1940.  Aliases:     Blood2
  1941.  V Status:    Rare
  1942.  Discovery:   August, 1990
  1943.  Symptoms:    .COM file length increase, system reboots and/or hangs,
  1944.               cascading screen effect
  1945.  Origin:      Natal, Republic of South Africa
  1946.  Eff Length:  418 Bytes
  1947.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  1948.  Detection Method: Pro-Scan 2.0+
  1949.  Removal Instructions: Delete infected files
  1950.  General Comments:
  1951.        The Blood Virus was submitted by Fridrik Skulason in August, 1990.
  1952.        It was originally isolated in Natal, Republic of South Africa.  There
  1953.        are two variants of this virus, Blood and Blood2.  This virus is a
  1954.        non-resident infector of .COM files, including COMMAND.COM.
  1955.  
  1956.        When a program infected with the Blood virus is executed, it will
  1957.        infect one .COM file located in the C: drive root directory.  The
  1958.        newly infected file will have increased in length by 418 bytes.  If
  1959.        the program just infected is COMMAND.COM, a system reboot will
  1960.        occur.  Following the system reboot, executing an infected program
  1961.        will result in a cascading effect of the cursor down the screen.  The
  1962.        next .COM file executed will then result in the hard disk being
  1963.        accessed followed by the system hanging.  Spurious characters from
  1964.        memory may also appear on the screen on the line below the command
  1965.        line.
  1966.  
  1967.        After August 15, execution of an infected program will result in a
  1968.        system hang.
  1969.  
  1970.        Known variant(s) of Blood are:
  1971.        Blood2 : Similar to Blood, with the major difference being that
  1972.                 system reboots, system hangs, and the cascading cursor
  1973.                 effect no longer occur.  This variant also does not hang
  1974.                 the system after August 15.
  1975.  
  1976.  
  1977.  Virus Name:  Bloody!
  1978.  Aliases:
  1979.  V Status:    Rare
  1980.  Discovery:   December, 1990
  1981.  Symptoms:    Extended boot time; decrease in system & available memory;
  1982.               message on boot; boot sector & partition table changes
  1983.  Origin:      Taiwan
  1984.  Eff Length:  N/A
  1985.  Type Code:   BRtX - Resident Boot Sector & Partition Table Infector
  1986.  Detection Method:  ViruScan V72+
  1987.  Removal Instructions:  See below
  1988.  General Comments:
  1989.        The Bloody! Virus was submitted in December 1990, and infection
  1990.        reports were received from Europe, Taiwan, and the United States.  This
  1991.        virus is a memory resident infector of floppy diskette boot sectors as
  1992.        well as the hard disk partition table.
  1993.  
  1994.        When a system is booted from a floppy or hard disk infected with the
  1995.        Bloody! Virus, the virus will install itself memory resident at the
  1996.        top of system memory but below the 640K DOS boundary.  Total system
  1997.        memory and available free memory will decrease by 2,048 bytes.  The
  1998.        interrupt 12 return will be moved.  The system boot will also take
  1999.        much longer than expected.  The system's hard disk's partition table
  2000.        will become infected immediately if it was not the source of the
  2001.        system boot.
  2002.  
  2003.        At the time of system boot, the virus also maintains a counter of how
  2004.        many times the infected diskette or hard drive has been booted.  Once
  2005.        128 boots have occurred, the virus will display the following message
  2006.        during the boot:
  2007.  
  2008.                "Bloody! Jun. 4, 1989"
  2009.  
  2010.        June 4, 1989 is the date of the the confrontation in Beijing, China
  2011.        between Chinese students and the Chinese Army in which many students
  2012.        were killed.
  2013.  
  2014.        This message will later be displayed on every sixth boot once the
  2015.        128 boot limit has been reached.  The text message is encrypted within
  2016.        the viral code, so it is not visible in the boot sector.
  2017.  
  2018.        Once Bloody! is memory resident, the virus will infect any diskette
  2019.        or hard disk when a file or program is accessed.  Listing a disk
  2020.        directory will not be enough to cause the virus to infect the disk.
  2021.  
  2022.        Infected diskette boot sectors will be missing all of the normal
  2023.        DOS error messages which are normally found in the boot sector.  The
  2024.        original boot sector will have been moved to sector 11 on 360K diskettes,
  2025.        a part of the root directory.  If there were previously root directory
  2026.        entries in that sector, those files will be lost.
  2027.  
  2028.        On the hard disk, the original partition table will have been moved
  2029.        to side 0, cylinder 0, sector 6.
  2030.  
  2031.        For floppies of other sizes then 360K, they may become unusable or
  2032.        corrupted as the virus does not take into account the existence of these
  2033.        disk types.
  2034.  
  2035.        For diskettes, Bloody! can be removed by powering the system off and
  2036.        then booting from a known-clean, write protected original DOS diskette.
  2037.        The DOS SYS command should then be executed on each of the infected
  2038.        diskettes.
  2039.  
  2040.        To remove the Bloody! Virus from the hard disk's partition table, the
  2041.        original partition table should be located and then copied back to
  2042.        its original position.  The other option is to backup the files on
  2043.        the hard disk and low level format the drive.
  2044.  
  2045.  
  2046.  Virus Name:  Brain
  2047.  Aliases:     Pakistani, Pakistani Brain
  2048.  V Status:    Common
  2049.  Discovery:   1986
  2050.  Symptoms:    Extended boot time, Volume label change, Resident TOM,
  2051.               Three contiguous bad sectors (floppy only), BSC
  2052.  Origin:      Pakistan
  2053.  Eff Length:  N/A
  2054.  Type Code:   BRt - Resident Boot Sector Infector
  2055.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, AVTK 3.5+,
  2056.               VirHunt 2.0+
  2057.  Removal Instructions:  MDisk, CleanUp, F-Prot, Pro-Scan, or DOS SYS command
  2058.  General Comments:
  2059.        The Pakistani Brain virus originated in Lahore, Pakistan and
  2060.        infects disk boot sectors by moving the original contents of the
  2061.        boot sector to another location on the disk, marking those 3
  2062.        clusters (6 sectors) bad in the FAT, and then writing the virus
  2063.        code in the disk boot sector.
  2064.  
  2065.        One sign of a disk having been infected, at least with the
  2066.        original virus, is that the volume label will be changed
  2067.        to "(c) Brain".  Another sign is that the label "(c) Brain" can
  2068.        be found in sector 0 (the boot sector) on an infected disk.
  2069.  
  2070.        This virus does install itself resident on infected systems,
  2071.        taking up between 3K and 7K of RAM.  The Brain virus is able to
  2072.        hide from detection by intercepting any interrupt that might
  2073.        interrogate the boot sector and redirecting the read to the
  2074.        original boot sector located elsewhere on the disk, thus some
  2075.        programs will be unable to see the virus.
  2076.  
  2077.        The original Brain virus only infected floppies, however variants
  2078.        to the virus can now infect hard disks.  Also, some variants
  2079.        have had the "(c) Brain" label removed to make them harder to
  2080.        detect.
  2081.  
  2082.        Known variants of the Brain virus include:
  2083.        Brain-B/Hard Disk Brain/Houston Virus - hard disk version.
  2084.        Brain-C - Brain-B with the "(c) Brain" label removed.
  2085.        Clone Virus - Brain-C but restores original boot copyright label.
  2086.        Clone-B - Clone Virus modified to destroy the FAT after 5/5/92.
  2087.  
  2088.        Also see: Ashar
  2089.  
  2090.  
  2091.  Virus Name:  Burger
  2092.  Aliases:     541, 909090h, CIA
  2093.  V Status:    Extinct
  2094.  Discovery:   1986
  2095.  Symptoms:    Programs will not run after infection
  2096.  Origin:      West Germany
  2097.  Eff Length:  560 Bytes
  2098.  Type Code:   ONAK - Overwriting Non-Resident .COM & .EXE Infector
  2099.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  2100.  Removal Instructions: Scan /D, or delete infected files
  2101.  General Comments:
  2102.        The Burger, or 909090h, Virus was written and copyrighted in 1986 by
  2103.        Ralf Burger of West Germany.  This virus is extinct in the "public
  2104.        domain".  This virus is a non-resident overwriting virus, infecting
  2105.        .COM and .EXE files, including COMMAND.COM.
  2106.  
  2107.        When a program infected with the Burger Virus is executed, the virus
  2108.        will attempt to infect one previously uninfected .COM file located in
  2109.        the C: drive root directory.  To determine if the program was previously
  2110.        infected, the virus checks to see if the first three bytes of the .COM
  2111.        file are three NOP instructions (909090h).  If the first three bytes are
  2112.        the NOP instructions, the virus goes on checking until it finds an
  2113.        uninfected .COM file.  If no uninfected .COM file exists, the virus
  2114.        then renames all the .EXE files in the root directory to .COM files and
  2115.        checks those files.  Once it finds a .COM file to infect, it overwrites
  2116.        the first 560 bytes of the uninfected program with the virus code.  At
  2117.        this point, the program the user was attempting to run will either
  2118.        end or hang the system.  Infected programs will never execute properly
  2119.        as the first portion of the program has been destroyed.
  2120.  
  2121.        Systems which have been infected with the Burger Virus will fail to
  2122.        boot once the virus has infected the hard disk boot partition's
  2123.        COMMAND.COM, or the copy of COMMAND.COM on their boot diskette.
  2124.  
  2125.        Infected files can be easily identified by the "909090B8000026A245"
  2126.        hex sequence located in the first nine bytes of all infected files.
  2127.        Infected files cannot be disinfected, they must be replaced from a
  2128.        clean source.
  2129.  
  2130.        Known variant(s) of the Burger virus include:
  2131.        CIA     : Discovered in the United States in October, 1990, this virus
  2132.                  is similar to the Burger Virus described above.  The first
  2133.                  nine bytes of all infected files in hex will be:
  2134.                  "909090B8000026A3A5".   The actual length of this variant
  2135.                  is 541 bytes, though the first 560 bytes of infected programs
  2136.                  are overwritten.
  2137.        505     : Similar to the Burger virus, this variant's actual code length
  2138.                  is 505 bytes, though the first 560 bytes of infected files
  2139.                  will be overwritten.  Infected files will have their first
  2140.                  nine bytes contain the hex string: "909090B8000026A3A0".
  2141.        509     : Similar to the Burger virus, this variant's actual code length
  2142.                  is 509 bytes, though the first 560 bytes of infected files
  2143.                  will be overwritten.  Infected files will have their first
  2144.                  nine bytes contain the hex string: "909090B8000026A3A4".
  2145.        541     : Similar to the Burger virus, this variant overwrites the
  2146.                  first 560 bytes of infected programs, though the virus's
  2147.                  length is actually 541 bytes.  Infected programs will start
  2148.                  with the hex sequence: "909090B8000026A3A4".
  2149.  
  2150.        Also see: VirDem
  2151.  
  2152.  
  2153.  Virus Name:  Carioca
  2154.  Aliases:
  2155.  V Status:    Rare
  2156.  Discovery:   November, 1990
  2157.  Symptoms:    TSR; .COM growth
  2158.  Origin:
  2159.  Eff Length:  951 Bytes
  2160.  Type Code:   PRsC - Parasitic Resident .COM Infector
  2161.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  2162.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete Infected Files
  2163.  General Comments:
  2164.        The Carioca Virus was submitted in November, 1990.  This virus is a
  2165.        memory resident infector of .COM files, it does not infect COMMAND.COM.
  2166.  
  2167.        The first time a program infected with the Carioca Virus is executed,
  2168.        the virus will install itself memory resident as a 1,280 byte low
  2169.        system memory TSR.  Interrupt 21 will be hooked by the virus.  The
  2170.        system's available free memory will decrease by 1,312 bytes.
  2171.  
  2172.        After the virus is memory resident, any .COM file executed (with the
  2173.        exception of COMMAND.COM) will become infected with the Carioca
  2174.        Virus.  Infected .COM files will show an increase in size of 951 bytes
  2175.        with the virus being located at the end of the infected file.  Infected
  2176.        files will have the following hex character string located at the
  2177.        very end of the file: "2EFF1E1A010203CD21".
  2178.  
  2179.        It is unknown if Carioca contains any damage potential.
  2180.  
  2181.  
  2182.  Virus Name:  Cascade
  2183.  Aliases:     Fall, Falling Letters, 1701, 1704
  2184.  V Status:    Common
  2185.  Discovery:   October, 1987
  2186.  Symptoms:    TSR, Falling letters, .COM file growth
  2187.  Origin:      Germany
  2188.  Eff Length:  1,701 or 1,704 bytes
  2189.  Type Code:   PRsC - Parasitic Resident Encrypting .COM Infector
  2190.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC, AVTK 3.5+,
  2191.               VirHunt 2.0+
  2192.  Removal Instructions:  CleanUp, F-Prot, VirexPC, VirHunt 2.0+, Pro-Scan 2.01+
  2193.  General Comments:
  2194.        Originally, this virus was a trojan horse which was disguised
  2195.        as a program which was supposed to turn off the number-lock
  2196.        light when the system was booted.  The trojan horse instead
  2197.        caused all the characters on the screen to fall into a pile
  2198.        at the bottom of the screen.  In late 1987, the trojan horse
  2199.        was changed by someone into a memory resident .COM virus.
  2200.  
  2201.        While the original virus had a length of 1,701 bytes and would
  2202.        infect both true IBM PCs and clones, a variation exists of
  2203.        this virus which is 3 bytes longer than the original virus
  2204.        and does not infect true IBM PCs.  Both viruses are
  2205.        functionally identical in all other respects.
  2206.  
  2207.        Both of the viruses have some fairly unique qualities:  Both
  2208.        use an encryption algorithm to avoid detection and complicate
  2209.        any attempted analysis of them.  The activation mechanisms
  2210.        are based on a sophisticated randomization algorithm
  2211.        incorporating machine checks, monitor types, presence or
  2212.        absence of a clock card, and the time or season of the year.
  2213.  
  2214.        The viruses will activate on any machine with a CGA or VGA
  2215.        monitor in the months of September, October, November, or
  2216.        December in the years 1980 and 1988.
  2217.  
  2218.        Known variants of the Cascade virus are:
  2219.        1701-B : Same as 1701, except that it can activate in the
  2220.                 fall of any year.
  2221.        1704-D : Same as the 1704, except that the IBM selection
  2222.                 has been disabled so that it can infect true IBM
  2223.                 PCs.
  2224.        17Y4   : Similar to the Cascade 1704 virus, the only difference is
  2225.                 one byte in the virus which has been altered.
  2226.        Cunning: Based on the Cascade virus, a major change to the virus
  2227.                 is that it now plays music.
  2228.  
  2229.        Also see: 1704 Format
  2230.  
  2231.  
  2232.  Virus Name:  Cascade-B
  2233.  Aliases:     Blackjack, 1704-B
  2234.  V Status:    Common
  2235.  Discovery:
  2236.  Symptoms:    .COM file growth, TSR, random reboots
  2237.  Origin:      Germany
  2238.  Eff Length:  1,704 bytes
  2239.  Type Code:   PRsC - Parasitic Resident Encrypting .COM Infector
  2240.  Detection Method:  ViruScan, F-Prot, IBM Scan, VirexPC, AVTK 3.5+, Pro-Scan,
  2241.               VirHunt 2.0+
  2242.  Removal Instructions:  CleanUp, F-Prot, VirexPC, VirHunt 2.0+
  2243.  General Comments:
  2244.        The Cascade-B virus is similar to the Cascade virus, except
  2245.        that the cascading display has been replaced with a system
  2246.        reboot which will occur at random time intervals after the
  2247.        virus activates.
  2248.  
  2249.        Other variation(s) which have been documented are:
  2250.        1704-C : Same as 1704-B except that the virus can activate in
  2251.                 December of any year. 
  2252.  
  2253.  
  2254.  Virus Name:  Casper
  2255.  Aliases:
  2256.  V Status:    Rare
  2257.  Discovery:   August, 1990
  2258.  Symptoms:    .COM file growth, April 1st disk corruption (see below)
  2259.  Origin:
  2260.  Eff Length:  1,200 bytes
  2261.  Type Code:   PNCK - Parasitic Non-Resident Encrypting .COM Infector
  2262.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  2263.  Removal Instructions: Scan/D, or Delete infected files
  2264.  General Comments:
  2265.        The Casper Virus was isolated in August, 1990 by Fridrik Skulason of
  2266.        Iceland.  The origin of this virus is unknown at this time.  Casper
  2267.        is a non-resident generic infector of .COM files, including COMMAND.COM.
  2268.  
  2269.        When a program infected with the Casper Virus is executed, the virus
  2270.        will attempt to infect one .COM program located in the current drive
  2271.        and directory.  Infected files will increase in length by 1,200 bytes,
  2272.        with the virus's code being located at the end of the .COM file.
  2273.  
  2274.        The Casper Virus contains the following message, though this message
  2275.        cannot be seen in infected program as Casper uses a complex self-
  2276.        encryption mechanism:
  2277.  
  2278.              "Hi! I'm Casper The Virus, And On April 1st I'm Gonna
  2279.               Fuck Up Your Hard Disk REAL BAD! In Fact It Might Just
  2280.               Be Impossible To Recover! How's That Grab Ya! <GRIN>"
  2281.  
  2282.        On April 1st, when an infected program is executed, this virus will
  2283.        overwrite the first track of the drive where the infected program was
  2284.        executed from.  Later attempts to access the drive will result in
  2285.        "Sector not found" errors occurring.
  2286.  
  2287.        The Casper Virus is based on the Vienna virus.  Unlike Vienna, it is
  2288.        self-encrypting.  The self-encryption mechanism employed is similar
  2289.        to the encryption mechanism used in the V2P6 virus, and requires an
  2290.        algorithmic approach in order to identify it as there are not any
  2291.        identifying strings located in the encrypted virus.
  2292.  
  2293.  
  2294.  Virus Name:  Chaos
  2295.  Aliases:
  2296.  V Status:    Rare
  2297.  Discovery:   December, 1989
  2298.  Symptoms:    Message, TSR, Bad sectors, BSC
  2299.  Origin:      England
  2300.  Eff Length:  N/A
  2301.  Type Code:   BR - Resident Boot Sector Infector
  2302.  Detection Method:  ViruScan V53+
  2303.  Removal Instructions:  MDisk, CleanUp, or DOS SYS Command
  2304.  General Comments:
  2305.        First reported in December, 1989 by James Berry of Kent,
  2306.        England, the Chaos virus is a memory resident boot sector
  2307.        infector of floppy and hard disks.
  2308.  
  2309.        When the Chaos virus infects a boot sector, it overwrites the
  2310.        original boot sector without copying it to another location
  2311.        on the disk.  Infected boot sectors will contain the
  2312.        following messages:
  2313.  
  2314.             "Welcome to the New Dungeon"
  2315.             "Chaos"
  2316.             "Letz be cool guys"
  2317.  
  2318.        The Chaos virus will flag the disk as being full of bad
  2319.        sectors upon activation, though most of the supposed bad
  2320.        sectors are still readable.  It is unknown what the
  2321.        activation criteria is.
  2322.  
  2323.  
  2324.  Virus Name:  Christmas In Japan
  2325.  Aliases:     Xmas In Japan
  2326.  V Status:    Rare
  2327.  Discovery:   September, 1990
  2328.  Symptoms:    .COM file growth; Message
  2329.  Origin:      Taiwan
  2330.  Eff Length:  600 Bytes
  2331.  Type Code:   PNCK - Resident Non-Resident .COM Infector
  2332.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  2333.  Removal Instructions:  Scan/D, Pro-Scan 2.01+, or Delete infected files
  2334.  General Comments:
  2335.        The Christmas In Japan Virus was isolated in Taiwan in late September,
  2336.        1990.  As of early October, it is reported to be widespread in Japan.
  2337.        This virus is a 600 byte non-resident generic infector of .COM files.
  2338.        It will infect COMMAND.COM.
  2339.  
  2340.        When a program infected with the Christmas In Japan Virus is executed,
  2341.        the virus will infect zero to one other .COM file in the current
  2342.        directory.  If a file is infected, it will increase in length by
  2343.        600 bytes, with the virus being located at the end of the infected
  2344.        file.
  2345.  
  2346.        On December 25, if an infected file is executed, the following message
  2347.        will be displayed in the center of the screen:
  2348.  
  2349.                "A merry christmas to you"
  2350.  
  2351.        The message will flash and will be underlined for approximately half
  2352.        the time it is displayed.  If left alone, the message will go away
  2353.        after a little while and the program will execute normally, but the
  2354.        message will return when another infected .COM file is executed.
  2355.  
  2356.        This virus does not appear to do any malicious damage.
  2357.  
  2358.  
  2359.  Virus Name:  Christmas Virus
  2360.  Aliases:     Tannenbaum, XA1, 1539
  2361.  V Status:    Endangered
  2362.  Discovery:   March, 1990
  2363.  Symptoms:    .COM file growth, display, Partition table destruction
  2364.  Origin:      Germany
  2365.  Eff Length:  1,539 Bytes
  2366.  Type Code:   PNCX - Parasitic Non-Resident .COM Infector
  2367.  Detection Method:  ViruScan V61+, VirexPC, VirHunt 2.0+, Pro-Scan 2.01+
  2368.  Removal Instructions:  Scan/D, VirHunt 2.0+, Pro-Scan 2.01+,
  2369.               or delete infected files
  2370.  General Comments:
  2371.        The Christmas Tree, or XA1, Virus was first isolated in March 1990
  2372.        by Christoff Fischer of West Germany.  This virus is an encrypting
  2373.        virus which will only infect .COM files.
  2374.  
  2375.        On April 1st of any year, the Christmas Tree virus will activate,
  2376.        destroying the partition table of infected hard disks the first
  2377.        time an infected program is executed.  During the period from
  2378.        December 24 until January 1st of any year, when an infected
  2379.        program is executed, the virus will display a full screen picture
  2380.        of a christmas tree.
  2381.  
  2382.  
  2383.  Virus Name:  Cookie
  2384.  Aliases:
  2385.  V Status:    New
  2386.  Discovery:   January, 1991
  2387.  Symptoms:    .COM & .EXE growth; system hangs
  2388.  Origin:      Unknown/Europe
  2389.  Eff Length:  2,232 bytes
  2390.  Type Code:   PNAK - Parasitic Non-Resident .COM & .EXE Infector
  2391.  Detection Method:  ViruScan, F-Prot, VirexPC
  2392.  Removal Instructions:  Scan/D, or Delete infected files
  2393.  General Comments:
  2394.        The Cookie Virus was received in January, 1991, it is believed to have
  2395.        originated in Europe.  This virus is based on the SysLock Virus, though
  2396.        it is considerably shorted in length.  Some anti-viral utilities will
  2397.        identify this virus as SysLock, though it is listed here separately
  2398.        due to its differences in characteristics.  It is a non-resident direct
  2399.        action virus which infects .COM and .EXE files, including COMMAND.COM.
  2400.  
  2401.        When a program infected with the Cookie Virus is executed, the virus
  2402.        will search the current drive and directory for a file to infect.  The
  2403.        virus first looks for a .COM file to infect.  If an uninfected .COM
  2404.        file is located, it will become infected.  If an uninfected .COM file
  2405.        is not found, the virus will then look for an uninfected .EXE file to
  2406.        infect.  In other words, all the .COM files in the directory will become
  2407.        infected before any of the .EXE files in that directory are infected.
  2408.        Infected files will show a file length increase of between 2,232 and
  2409.        2,251 bytes in length.  The virus will be located at the end of the
  2410.        infected file.  Infected files will not have their date and time in
  2411.        the disk directory altered.
  2412.  
  2413.        Systems infected with the Cookie Virus may experience system hangs
  2414.        when some infected programs are executed.  In some cases, the
  2415.        infected program will stop functioning properly after a number of
  2416.        executions, though this does not always occur.
  2417.  
  2418.        This virus has also been reported to possibly display the message
  2419.        "I want a COOKIE!", though the sample received doesn't exhibit this
  2420.        behavior.
  2421.  
  2422.        Also see: SysLock
  2423.  
  2424.  
  2425.  Virus Name:  Dark Avenger
  2426.  Aliases:     Black Avenger, Eddie, Diana
  2427.  V Status:    Common
  2428.  Discovery:   September, 1989
  2429.  Symptoms:    TSR; .COM, .EXE, .SYS file growth; File/Disk Corruption
  2430.  Origin:      Bulgaria
  2431.  Isolated:    Davis, California, USA
  2432.  Eff Length:  1,800 bytes
  2433.  Type Code:   PRsAK - Parasitic Resident .COM & .EXE Infector
  2434.  Detection Method:  ViruScan V36+, F-Prot, IBM Scan, Pro-Scan, AVTK 3.5+,
  2435.               VirHunt 2.0+
  2436.  Removal Instructions:  CleanUp, Pro-Scan 1.4+, F-Prot, VirHunt 2.0+
  2437.  General Comments:
  2438.        Dark Avenger was first isolated in the United States at the University
  2439.        of California at Davis.  It infects .COM, .EXE, and overlay files,
  2440.        including COMMAND.COM.  The virus will install itself into system
  2441.        memory, becoming resident, and is extremely prolific at infecting
  2442.        any executable files that are openned for any reason.  This includes
  2443.        using the DOS COPY and XCOPY commands to copy uninfected files, both
  2444.        the source and the target files will end up being infected.  Infected
  2445.        files will have their lengths increased by 1,800 bytes.
  2446.  
  2447.        The Dark Avenger Virus does perform malicious damage.  The virus
  2448.        maintains a counter in the disk's boot sector.  After each sixteenth
  2449.        file is infected, the virus will randomly overwrite a sector on the
  2450.        disk with a copy of the disk's boot sector.  If the randomly
  2451.        selected sector is a portion of a program or data file, the program
  2452.        or data file will be corrupted.  Programs and data files which have
  2453.        been corrupted by a sector being overwritten are permanently
  2454.        damaged and cannot be repaired since the original sector is lost.
  2455.  
  2456.        If you are infected with Dark Avenger, shutdown your computer
  2457.        and reboot from a Write Protected boot diskette for the system,
  2458.        then carefully use a disinfector, following all instructions.
  2459.        Be sure to re-scan the system for infection once you have finished
  2460.        disinfecting it.
  2461.  
  2462.        The Dark Avenger virus contains the words: "The Dark Avenger,
  2463.        copyright 1988, 1989", as well as the message: "This program
  2464.        was written in the city of Sofia.  Eddie lives.... Somewhere in
  2465.        Time!".
  2466.  
  2467.        This virus bears no resemblance or similarity to the Jerusalem
  2468.        viruses, even though they are similar in size.
  2469.  
  2470.        Known variant(s) of Dark Avenger are:
  2471.        Dark Avenger-B : Very similar to the Dark Avenger virus, the major
  2472.                difference is that .COM files will be reinfected, adding
  2473.                1,800 bytes to the file length with each infection.  This
  2474.                variant also becomes memory resident in high system memory
  2475.                instead of being a low system memory TSR.  Text strings
  2476.                found in the virus's code include:
  2477.                "Eddie lives...somewhere in time!"
  2478.                "Diana P."
  2479.                "This program was written in the city of Sofia"
  2480.                "(C)1988-1989 Dark Avenger"
  2481.  
  2482.        Also see: V2000, V1024, V651
  2483.  
  2484.  
  2485.  Virus Name:  Datacrime
  2486.  Aliases:     1168, Columbus Day
  2487.  V Status:    Extinct
  2488.  Discovery:   April, 1989
  2489.  Symptoms:    .COM file growth, floppy disk access; formats 
  2490.               hard disk, message any day from Oct 13 to Dec 31.
  2491.  Origin:      Holland
  2492.  Eff Length:  1,168 bytes
  2493.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  2494.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  2495.               AVTK 3.5+, VirHunt 2.0+
  2496.  Removal Instructions:  AntiCrim, Scan/D/X, Pro-Scan 1.4+, VirexPC, F-Prot,
  2497.               VirHunt 2.0+
  2498.  General Comments:
  2499.        The Datacrime virus is a parasitic virus, and is also known as
  2500.        the 1168 virus.  The Datacrime virus is a non-resident
  2501.        virus, infecting .COM files.  The virus was originally
  2502.        discovered in Europe shortly after its release in March, 1989.
  2503.  
  2504.        The virus will attach itself to the end of a .COM file, increasing
  2505.        the file's length by 1168 bytes.  The first 5 bytes of the host
  2506.        program are stored off in the virus's code and then replaced by
  2507.        a branch instruction so that the virus code will be executed
  2508.        before the host program.  In order to propagate, the virus
  2509.        searches thru directories for .COM files, other than
  2510.        COMMAND.COM and attaches to any found .COM files (except for
  2511.        where the 7th letter is a D).  Hard drive partitions are
  2512.        searched before the floppy drives are checked.  The virus will
  2513.        continue to propagate until the date is after October 12 of any
  2514.        year, then when it is executed it will display a message.  The
  2515.        decrypted message is something like:
  2516.  
  2517.                  "DATACRIME VIRUS"
  2518.                  "RELEASED: 1 MARCH 1989".
  2519.  
  2520.        Note: only this ASCII message is encrypted in this version.
  2521.  
  2522.        A low-level format of the hard disk is then done.  
  2523.  
  2524.        Errors in the code will make .COM file infection appear random
  2525.        and will often make the system crash following infection.
  2526.  
  2527.        Unlike the other variants of Datacrime, the original Datacrime
  2528.        virus does not replicate, or infect files, until after April 1
  2529.        of any year.
  2530.  
  2531.        Lastly, if the computer system is using an RLL, SCSI, or PC/AT
  2532.        type hard disk controller, all variants of the Datacrime virus
  2533.        are not able to successfully format the hard disk, according
  2534.        to Jan Terpstra of the Netherlands.
  2535.  
  2536.        Also see: Datacrime II, Datacrime IIB, Datacrime-B
  2537.  
  2538.  
  2539.  Virus Name:  Datacrime II
  2540.  Aliases:     1514, Columbus Day
  2541.  V Status:    Endangered
  2542.  Discovered:  September, 1989
  2543.  Symptoms:    .EXE & .COM file growth, formats disk
  2544.  Origin:      Netherlands
  2545.  Eff Length:  1,514 bytes
  2546.  Type Code:   PNAK - Non-Resident Encrypting .COM & .EXE Infector
  2547.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  2548.               AVTK 3.5+, VirHunt 2.0+
  2549.  Removal Instructions:  AntiCrim, Scan/D/X, Pro-Scan 1.4+, VirexPC, F-Prot,
  2550.               VirHunt 2.0+
  2551.  General Comments:
  2552.        The Datacrime II virus is a variant of the Datacrime virus, the
  2553.        major characteristic changes are that the effective length of
  2554.        the virus is 1,514 bytes, and that it can now infect both
  2555.        .COM and .EXE files, including COMMAND.COM.  There is also an
  2556.        encryption mechanism in the Datacrime II virus.
  2557.  
  2558.        The Datacrime II virus will not format disks on Mondays.
  2559.  
  2560.        Also see: Datacrime, Datacrime IIB, Datacrime-B
  2561.  
  2562.  
  2563.  Virus Name:  Datacrime IIB
  2564.  Aliases:     1917, Columbus Day
  2565.  V Status:    Endangered
  2566.  Discovered:  November, 1989
  2567.  Symptoms:    .EXE & .COM growth, formats disk, floppy disk access.
  2568.  Origin:      Netherlands      
  2569.  Eff Length:  1,917 bytes
  2570.  Type Code:   PNAK - Non-Resident Encrypting .COM & .EXE Infector
  2571.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  2572.               VirHunt 2.0+
  2573.  Removal Instructions:  AntiCrim, Scan/D/X, F-Prot, VirexPC, VirHunt 2.0
  2574.  General Comments:
  2575.        The Datacrime IIB virus is a variant of the Datacrime II virus,
  2576.        and was isolated by Jan Terpstra of the Netherlands in
  2577.        November, 1989.  This virus, as with Datacrime II, infects
  2578.        generic .COM & .EXE files, including COMMAND.COM, adding 1,917
  2579.        bytes to the file length.  The virus differs from Datacrime II
  2580.        in that the encryption method used by the virus to avoid
  2581.        detection has been changed.
  2582.  
  2583.        The Datacrime IIB virus will not format disks on Mondays.
  2584.  
  2585.        Also see: Datacrime, Datacrime II, Datacrime-B
  2586.  
  2587.  
  2588.  Virus Name:  Datacrime-B
  2589.  Aliases:     1280, Columbus Day
  2590.  V Status:    Extinct
  2591.  Discovered:  April, 1989
  2592.  Symptoms:    .EXE file growth, formats MFM/RLL hard drives, odd
  2593.               floppy disk access.
  2594.  Origin:      Netherlands
  2595.  Eff Length:  1,280 bytes
  2596.  Type Code:   PNE - Parasitic Non-Resident Generic .EXE Infector
  2597.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  2598.               AVTK 3.5+, VirHunt 2.0+
  2599.  Removal Instructions: AntiCrim, Scan/D/X, VirexPC, Pro-Scan 1.4+, F-Prot,
  2600.               VirHunt 2.0
  2601.  General Comments:
  2602.        The Datacrime-B virus is a variant of the Datacrime virus, the
  2603.        differences being that the effective length of the virus is
  2604.        1,280 bytes, and instead of infecting .COM files, .EXE files
  2605.        are infected.
  2606.  
  2607.        Also see: Datacrime, Datacrime II, Datacrime II-B
  2608.  
  2609.  
  2610.  Virus Name:  DataLock
  2611.  Aliases:     DataLock 1.00, V920
  2612.  V Status:    Common
  2613.  Discovered:  November, 1990
  2614.  Symptoms:    .EXE & COMMAND.COM file growth; decrease in system and available
  2615.               memory; file date/time changes
  2616.  Origin:      USA
  2617.  Eff Length:  920 bytes
  2618.  Type Code:   PRtEK - Parasitic Resident .EXE and COMMAND.COM Infector
  2619.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  2620.  Removal Instructions: Clean-Up V71+, or Delete infected files
  2621.  General Comments:
  2622.        The DataLock, or V920, Virus was isolated in many locations in the
  2623.        United States starting on November 1, 1990.  This virus is a generic
  2624.        memory resident infector of .EXE files, but it will also infect
  2625.        COMMAND.COM if it is executed.
  2626.  
  2627.        The first time a program infected with the DataLock Virus is executed,
  2628.        the virus will install itself memory resident at the top of free memory,
  2629.        but below the 640K DOS boundary.  Infected systems will find that total
  2630.        system memory and available free memory will be 2,048 bytes less than
  2631.        is expected.  Interrupt 21 will be hooked by the virus.
  2632.  
  2633.        After the virus is memory resident, any .EXE file that is executed will
  2634.        be infected by the virus.  Infected files will have a file length
  2635.        increase of 920 bytes, and their date/time indicated in the disk
  2636.        directory will have been changed to the system date and time when the
  2637.        infection occurred.  The virus is located at the end of infected files.
  2638.        The following text, indicating the virus's name, can be found at the
  2639.        end of all infected files:
  2640.  
  2641.                "DataLock version 1.00"
  2642.  
  2643.        It is unknown if DataLock carries an activation date, or its potential
  2644.        for damage.
  2645.  
  2646.  
  2647.  Virus Name:  dBASE
  2648.  Aliases:     DBF Virus
  2649.  V Status:    Extinct
  2650.  Discovered:  September, 1988
  2651.  Symptoms:    .COM & .OVL file growth, corrupt .DBF files, TSR, FAT and root
  2652.               directory overwritten
  2653.  Origin:      New York, USA
  2654.  Eff Length:  1,864 bytes
  2655.  Type Code:   PRC - Parasitic Resident .COM and Overlay Infector
  2656.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  2657.               AVTK 3.5+, VirHunt 2.0+
  2658.  Removal Instructions: Scan/D/X, Pro-Scan 1.4+, F-Prot, VirHunt 2.0+
  2659.  General Comments:
  2660.        The dBASE virus was discovered by Ross Greenberg of New York.
  2661.        This virus infects .COM & .OVL files, and will corrupt data in
  2662.        .DBF files by randomly transposing bytes in any open .DBF file.
  2663.        It keeps track of which files and bytes were transposed in a
  2664.        hidden file (BUG.DAT) in the same directory as the .DBF file(s).
  2665.        The virus restores these bytes if the file is read, so it
  2666.        appears that nothing is wrong.  Once the BUG.DAT file is 90
  2667.        days old or more, the virus will overwrite the FAT and root
  2668.        directory on the disk.
  2669.  
  2670.        After this virus has been detected, if you remove the infected
  2671.        dBASE program and replace it with a clean copy, your DBF files
  2672.        that were openned during the period that you were infected
  2673.        will be useless since they are garbled on the disk even
  2674.        though they would be displayed as expected by the infected
  2675.        dBASE program.
  2676.  
  2677.  
  2678.  Virus Name:  Den Zuk
  2679.  Aliases:     Search, Venezuelan
  2680.  V Status:    Common
  2681.  Discovered:  September, 1988
  2682.  Symptoms:    Message, floppy format, TSR, BSC 
  2683.  Origin:      Indonesia
  2684.  Eff Length:  N/A
  2685.  Type Code:   RtF - Resident Floppy Boot Sector Infector
  2686.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC, AVTK 3.5+,
  2687.               VirHunt 2.0+
  2688.  Removal Instructions: MDisk, CleanUp, F-Prot, Pro-Scan 1.4+,
  2689.               or DOS SYS command
  2690.  General Comments:
  2691.        The Den Zuk virus is a memory-resident, boot sector infector of
  2692.        360K 5 1/4" diskettes.  The virus can infect any diskette
  2693.        in a floppy drive that is accessed, even if the diskette is
  2694.        not bootable.  If an attempt is made to boot the system with an
  2695.        infected non-system disk, Den Zuk will install itself into
  2696.        memory even though the boot failed.  After the system is booted
  2697.        with an infected diskette, a purple "DEN ZUK" graphic will appear
  2698.        after a CTL-ALT-DEL is performed if the system has a CGA, EGA, or
  2699.        VGA monitor.  While the original Den Zuk virus did not cause any
  2700.        damage to the system, some variants maintain a counter of how
  2701.        many times the system has been rebooted, and after the counter
  2702.        reaches its limit, the floppy in the disk drive is reformatted.
  2703.        The counter in these variants of the virus is usually in the
  2704.        range of 5 to 10.
  2705.  
  2706.        The following text strings can be found in the viral code on
  2707.        diskettes which have been infected with the Den Zuk virus:
  2708.  
  2709.                  "Welcome to the
  2710.                      C l u b
  2711.                   --The HackerS--
  2712.                       Hackin'
  2713.                    All The Time
  2714.  
  2715.                    The HackerS"
  2716.  
  2717.        The diskette volume label of infected diskettes may be changed
  2718.        to Y.C.1.E.R.P., though this change only occurs if the Den Zuk
  2719.        virus removed a Pakistani Brain infection before infecting the
  2720.        diskette with Den Zuk.  The Den Zuk virus will also remove
  2721.        an Ohio virus infection before infecting the diskette with
  2722.        Den Zuk.
  2723.  
  2724.        The Den Zuk virus is thought to be written by the same person
  2725.        or persons as the Ohio virus.  The "Y.C.1.E.R.P." string is
  2726.        found in the Ohio virus, and the viral code is similar in
  2727.        many respects.
  2728.  
  2729.        Also see: Ohio
  2730.  
  2731.  
  2732.  Virus Name:  Destructor V4.00
  2733.  Aliases:     Destructor
  2734.  V Status:    New
  2735.  Discovered:  December, 1990
  2736.  Symptoms:    .COM & .EXE growth; decrease in system and available free memory
  2737.  Origin:      Bulgaria
  2738.  Eff Length:  1,150 Bytes
  2739.  Type Code:   PRtAK - Parasitic Resident .COM & .EXE Infector
  2740.  Detection Method:  ViruScan V74+
  2741.  Removal Instructions: Scan/D, or Delete infected files
  2742.  General Comments:
  2743.        The Destructor V4.00 Virus was received in December, 1990.  This virus
  2744.        is from Bulgaria, and is a memory resident infector of .COM and .EXE
  2745.        files, including COMMAND.COM.
  2746.  
  2747.        When the first program infected with the Destructor V4.00 Virus is
  2748.        executed, the virus will install itself memory resident at the top of
  2749.        system memory but below the 640K DOS boundary.  Interrupt 12's return
  2750.        is moved.  Total system memory and available free memory will be
  2751.        1,216 bytes less than what is expected on the infected system.  At this
  2752.        time, the virus will also infect COMMAND.COM if it is not already
  2753.        infected.
  2754.  
  2755.        Once Destructor V4.00 is memory resident, it will infect programs as
  2756.        they are openned or executed.
  2757.        Infected .COM programs will have increased in size by 1,150 bytes.
  2758.        .EXE programs will have increased in size by 1,154 to 1,162 bytes.
  2759.        In both cases, the virus will be located at the end of the infected
  2760.        file.  This virus does not alter the file's date/time in the disk
  2761.        directory, and it also makes no attempt to hide the file length increase
  2762.        on infected programs.
  2763.  
  2764.        The following text string can be found in files infected with this
  2765.        virus:
  2766.  
  2767.                "DESTRUCTOR  V4.00  (c) 1990 by ATA
  2768.  
  2769.        It is unknown what Destructor V4.00 does, if anything, besides
  2770.        replicate.
  2771.  
  2772.  
  2773.  Virus Name:  Devil's Dance
  2774.  Aliases:     Mexican
  2775.  V Status:    Rare
  2776.  Discovered:  December, 1989
  2777.  Symptoms:    Message, .COM growth, FAT corruption, TSR 
  2778.  Origin:      Mexico
  2779.  Eff Length:  941 Bytes
  2780.  Type Code:   PRCT - Parasitic Resident .COM Infector
  2781.  Detection Method:  ViruScan V52+, IBM Scan, Pro-Scan, VirexPC, AVTK 3.5+,
  2782.               VirHunt 2.0+
  2783.  Removal Instructions: Scan/D, Pro-Scan 1.4+, VirHunt 2.0+,
  2784.               or delete infected files
  2785.  General Comments:
  2786.        The Devil's Dance virus was first isolated in December, 1989,
  2787.        by Mao Fragoso of Mexico City.  The Devil's Dance virus
  2788.        increases the size of infected .COM files by 941 bytes, and
  2789.        will infect a file multiple times until the file becomes too
  2790.        large to fit in available system memory.
  2791.  
  2792.        Once an infected program has been run, any subsequent warm-
  2793.        reboot (CTL-ALT-DEL) will result in the following message
  2794.        being displayed:
  2795.  
  2796.        "DID YOU EVER DANCE WITH THE DEVIL IN THE WEAK MOONLIGHT?
  2797.                             PRAY FOR YOUR DISKS!!
  2798.                                 The Joker"
  2799.  
  2800.        The Devil's Dance virus is destructive.  After the first 2,000
  2801.        keystrokes, the virus starts changing the colors of any text
  2802.        displayed on the system monitor.  After the first 5,000
  2803.        keystrokes, the virus erases the first copy of the FAT.  At
  2804.        this point, when the system is rebooted, it will display the
  2805.        message above and again destroy the first copy of the FAT, then
  2806.        allow the boot to proceed.
  2807.  
  2808.  
  2809.  Virus Name:  Dir Virus
  2810.  Aliases:
  2811.  V Status:    New
  2812.  Discovered:  January, 1991
  2813.  Symptoms:    .COM growth; TSR; Sluggishness of DIR commands;
  2814.               File allocation errors
  2815.  Origin:      USSR
  2816.  Eff Length:  691 Bytes
  2817.  Type Code:   PRsCK - Parasitic Resident .COM  Infector
  2818.  Detection Method:  ViruScan V74+
  2819.  Removal Instructions: Scan/D, or Delete infected files
  2820.  General Comments:
  2821.        The Dir Virus was submitted in January, 1991.  It originated in the
  2822.        USSR.  The Dir Virus is a memory resident infector of .COM programs,
  2823.        including COMMAND.COM.
  2824.  
  2825.        The first time a program infected with the Dir Virus is executed, the
  2826.        virus will install itself memory resident as a low system memory TSR
  2827.        of 1,008 bytes.  Interrupt 21 will be hooked by the virus.  If
  2828.        COMMAND.COM is not already infected, it will become infected at this
  2829.        time.
  2830.  
  2831.        After the Dir Virus is memory resident, it will only infect .COM
  2832.        programs when a DOS Dir command is performed.  It does not infect
  2833.        programs on execution, or when .COM files are openned.  When a Dir
  2834.        command is performed, the first uninfected .COM program that is found
  2835.        in the directory will become infected.  When the virus infects a .COM
  2836.        file, there will be a pause in the output of the dir command while the
  2837.        program is being infected, then the output will continue.
  2838.  
  2839.        Infected programs will increase in size by 691 bytes, though the file
  2840.        length increase cannot be seen when a directory command is performed if
  2841.        the virus is memory resident.  The virus will be located at the end of
  2842.        infected programs.  Infected programs will not have their date and time
  2843.        altered by the virus.
  2844.  
  2845.        Systems infected with the Dir Virus will receive file allocation errors
  2846.        when the DOS ChkDsk program is executed on a drive containing infected
  2847.        programs.  If the virus is not memory resident, these errors will not
  2848.        be found.  Execution of the DOS ChkDsk program with the /F option when
  2849.        the virus is memory resident will result in corruption of the infected
  2850.        programs.
  2851.  
  2852.        This virus does not appear to contain any activation mechanism.
  2853.  
  2854.  
  2855.  Virus Name:  Discom
  2856.  Aliases:
  2857.  V Status:    New
  2858.  Discovered:  November, 1990
  2859.  Symptoms:    TSR; .COM & .EXE growth
  2860.  Origin:      Unknown
  2861.  Eff Length:  2,053 Bytes
  2862.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  2863.  Detection Method:
  2864.  Removal Instructions: Delete infected files
  2865.  General Comments:
  2866.        The Discom Virus was submitted in November, 1990.  The location where
  2867.        the sample was isolated is unknown.  Discom is a memory resident
  2868.        infector of .COM and .EXE files, and will not infect COMMAND.COM.
  2869.  
  2870.        This virus is based on the Jerusalem Virus, and also contains some code
  2871.        from the Sunday Virus.  As such, some anti-viral utilities may identify
  2872.        files infected with this virus as containing both Jerusalem and Sunday.
  2873.        This virus does not exhibit symptoms or the activation of either the
  2874.        Jerusalem or Sunday viruses.
  2875.  
  2876.        The first time a program infected with the Discom Virus is executed,
  2877.        the virus will install itself memory resident as a 2,304 byte low
  2878.        system memory TSR.  Interrupts 08 and 21 will be hooked by the virus.
  2879.  
  2880.        Once memory resident, the virus will infect .COM and .EXE files when
  2881.        they are executed.  Infected .COM files will increase in length by
  2882.        2,053 bytes and have the virus located at the beginning of the infected
  2883.        file.  Infected .EXE files will increase in length by 2,059 to 2,068
  2884.        bytes with the virus being located at the end of the file.  All infected
  2885.        files will end with the following hex character string: 11121704D0.
  2886.  
  2887.        Unlike many Jerusalem Variants, this virus does not exhibit a system
  2888.        slowdown after being memory resident for 30 minutes, and no "black
  2889.        window" appears.
  2890.  
  2891.  
  2892.  Virus Name:  Disk Killer
  2893.  Aliases:     Computer Ogre, Disk Ogre, Ogre
  2894.  V Status:    Common
  2895.  Discovered:  April, 1989
  2896.  Symptoms:    Bad blocks, message, BSC, TSR, encryption of disk
  2897.  Origin:      Taiwan
  2898.  Isolated:    Milpitas, California, USA
  2899.  Eff Length:  N/A
  2900.  Type Code:   BRtT - Resident Boot Sector Infector
  2901.  Detection Method:  ViruScan V39+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  2902.               AVTK 3.5+, VirHunt 2.0+
  2903.  Removal Instructions:  MDisk, CleanUp, Pro-Scan 1.4+, F-Prot, or
  2904.               DOS COPY & SYS
  2905.  General Comments:
  2906.        The Disk Killer virus is a boot sector infector that spreads by
  2907.        writing copies of itself to 3 blocks on either a floppy or
  2908.        hard disk.  The virus does not care if these blocks are in use
  2909.        by another program or are part of a file.  These blocks will then
  2910.        be marked as bad in the FAT so that they cannot be overwritten.
  2911.        The boot sector is patched so that when the system is booted, the
  2912.        virus code will be executed and it can attempt to infect any new
  2913.        disks exposed to the system.
  2914.  
  2915.        The virus keeps track of the elapsed disk usage time since initial
  2916.        infection, and does no harm until it has reached a predetermined
  2917.        limit.  The predetermined limit is approximately 48 hours.  (On
  2918.        most systems, Disk Killer will reach its limit within 1 - 6
  2919.        weeks of its initial hard disk infection.)
  2920.  
  2921.        When the limit is reached or exceeded and the system is rebooted,
  2922.        a message is displayed identifying COMPUTER OGRE and a date of
  2923.        April 1.  It then says to leave alone and proceeds to encrypt the
  2924.        disk by alternately XORing sectors with 0AAAAh and 05555h,
  2925.        effectively destroying the information on the disk.  The only recourse
  2926.        after Disk Killer has activated and encrypted the entire disk is to
  2927.        reformat.
  2928.  
  2929.        The message text that is displayed upon activation, and can be found
  2930.        in the viral code is:
  2931.  
  2932.          "Disk Killer -- Version 1.00 by COMPUTER OGRE 04/01/89
  2933.  
  2934.                                 Warning!!
  2935.  
  2936.           Don't turn off the power or remove the diskette while Disk Killer is
  2937.           Processing!
  2938.  
  2939.                                 PROCESSING
  2940.  
  2941.           Now you can turn off the power.  I wish you Luck!"
  2942.  
  2943.        It is important to note that when the message is displayed, if the
  2944.        system is turned off immediately it may be possible to salvage
  2945.        some files on the disk using various utility programs as this
  2946.        virus first destroys the boot, FAT, and directory blocks.
  2947.  
  2948.        Disk Killer can be removed by using McAfee Associate's MDisk or
  2949.        CleanUp utility, or the DOS SYS command, to overwrite the boot
  2950.        sector on hard disks or bootable floppies.  On non-system floppies,
  2951.        files can be copied to non-infected floppies, followed by reformatting
  2952.        the infected floppies.  Be sure to reboot the system from a
  2953.        write protected master diskette before attempting to remove the
  2954.        virus first or you will be reinfected by the virus in memory.
  2955.  
  2956.        Note: Disk Killer may have damaged one or more files on the disk
  2957.        when it wrote a portion of its viral code to 3 blocks on the disk.
  2958.        Once the boot sector has been disinfected as indicated above, these
  2959.        corrupted files cannot reinfect the system, however they should be
  2960.        replaced with backup copies since the 3 blocks were overwritten.
  2961.  
  2962.        Note: Do not use the DOS DiskCopy program to backup infected
  2963.        diskettes as the new backup diskettes will contain the virus
  2964.        as well.
  2965.  
  2966.  
  2967.  Virus Name:  Do-Nothing Virus
  2968.  Aliases:     The Stupid Virus
  2969.  V Status:    Extinct
  2970.  Discovered:  October, 1989
  2971.  Symptoms:    .COM file growth, TSR (see text)
  2972.  Origin:      Israel      
  2973.  Eff Length:  608 Bytes
  2974.  Type Code:   PRfC - Parasitic Resident .COM Infector
  2975.  Detection Method:  ViruScan/X V67+, F-Prot, Pro-Scan, VirexPC, AVTK 3.5+
  2976.  Removal Instructions: Scan/D/X, Pro-Scan 1.4+, or F-Prot
  2977.  General Comments:
  2978.        This virus was first reported by Yuval Tal of Israel in
  2979.        October, 1989.  The virus will infect .COM files, but only the
  2980.        first one in the current directory, whether it was previously
  2981.        infected or not.  The Do-Nothing virus is also memory
  2982.        resident, always installing itself to memory address
  2983.        9800:100h, and can only infect systems with 640K of memory.
  2984.        The virus does not protect this area of memory in any way,
  2985.        and other programs which use this area will overwrite it in
  2986.        memory, removing the program from being memory resident.
  2987.  
  2988.        The Do-Nothing virus does no apparent damage, nor does it
  2989.        affect operation of the system in any observable way, thus
  2990.        its name.
  2991.  
  2992.        Also see: Saddam
  2993.  
  2994.  
  2995.  Virus Name:  Dot Killer
  2996.  Aliases:     944, Point Killer
  2997.  V Status:    Rare
  2998.  Discovered:  October, 1990
  2999.  Symptoms:    .COM growth; removal of all dots (.) from display
  3000.  Origin:      Koszalin, Poland
  3001.  Eff Length:  944
  3002.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  3003.  Detection Method:  ViruScan V72+
  3004.  Removal Instructions:  Scan/D, or Delete infected files
  3005.  General Comments:
  3006.        The Dot Killer Virus was isolated in Koszalin, Poland in October, 1990.
  3007.        It is a non-resident infector of .COM files, including COMMAND.COM.
  3008.  
  3009.        When a program infected with the Dot Killer Virus is executed, the
  3010.        virus will infect one other .COM file in the current directory.
  3011.        Infected .COM files will increase in length by 944 bytes.  The virus
  3012.        will be located at the end of infected files.
  3013.  
  3014.        While the Dot Killer Virus contains code to attempt to avoid infecting
  3015.        the program pointed to by the COMSPEC environmental parameter, this
  3016.        logic contains a bug and does not function properly.  If COMMAND.COM,
  3017.        or the program pointed to by COMSPEC, is located in the current
  3018.        directory it will become infected just like any other .COM program.
  3019.  
  3020.        When the Dot Killer Virus activates, it will remove all dots (.) from
  3021.        the system display.
  3022.  
  3023.  
  3024.  Virus Name:  EDV
  3025.  Aliases:     Cursy, Stealth Virus
  3026.  V Status:    Rare
  3027.  Discovered:  1988
  3028.  Symptoms:    BSC; partition table corruption; unusual system crashes
  3029.  Origin:      France
  3030.  Eff Length:  N/A
  3031.  Type Code:   BRX - Resident Boot Sector/Partition Table Infector
  3032.  Detection Method:  ViruScan V58+, IBM Scan, Pro-Scan 1.4+, VirHunt 2.0+
  3033.  Removal Instructions:  MDisk/P, CleanUp V67+, or Pro-Scan 1.4+
  3034.  General Comments:
  3035.        The EDV, or Cursy, Virus was first discovered in Le Havre, France in
  3036.        1988 by Jean-Luc Nail.  At that time, it was named the Cursy Virus.
  3037.        Later, in January 1990, it was isolated separately and named the
  3038.        EDV virus.  This virus is a memory resident infector of floppy
  3039.        diskette boot sectors and hard disk partition tables.
  3040.  
  3041.        When a system is booted from a diskette infected with the EDV virus,
  3042.        the virus will install itself memory resident at the top of high
  3043.        system memory.  The value returned by interrupt 12 will be decreased.
  3044.  
  3045.        Once the virus is memory resident, and disk accessed by the system
  3046.        will become infected.  When the virus infects a diskette, it moves
  3047.        the original boot sector to side 1, track 39, sector 8.  After
  3048.        moving the original boot sector, it then copies the virus's code
  3049.        to absolute sector 0, the boot sector of the diskette.
  3050.  
  3051.        EDV will also infect hard disk drives when they are accessed.  In the
  3052.        case of hard disks, the virus will move absolute sector 0 (the
  3053.        partition table) to side 1, track 39, sector 8 as though it were a
  3054.        360K 5.25" floppy diskette.  After moving the partition table, it will
  3055.        then overwrite the partition table with the viral code.
  3056.  
  3057.        Once the virus has infected six disks with the virus in memory, the
  3058.        EDV virus will activate.  Upon activation, the virus access the
  3059.        keyboard interrupt to disable the keyboard and then will overwrite
  3060.        the first 3 tracks of each disk on the system, starting with the
  3061.        hard disks.  After overwriting the disks, it will then display the
  3062.        following message:
  3063.  
  3064.                "That rings a bell, no? From Cursy"
  3065.  
  3066.        Upon activation, the user must power off the machine and reboot from
  3067.        a system diskette in order to regain any control over the machine.
  3068.  
  3069.        The following identification string appears at the very end of the
  3070.        boot sector on infected floppy disks and the partition table of
  3071.        infected hard drives, though it cannot be seen if the virus is
  3072.        in memory:
  3073.  
  3074.             "MSDOS Vers. E.D.V."
  3075.  
  3076.        Jean-Luc Nail has indicated that the EDV or Cursy virus is quiet
  3077.        common in the Le Havre area of France, although it is rare outside
  3078.        of France.
  3079.  
  3080.  
  3081.  Virus Name:  Eight Tunes
  3082.  Aliases:     1971
  3083.  V Status:    Rare
  3084.  Discovered:  April, 1990
  3085.  Symptoms:    file growth, music, decrease in available memory
  3086.  Origin:      West Germany
  3087.  Eff Length:  1,971 Bytes
  3088.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  3089.  Detection Method:  ViruScan V62+, Pro-Scan 1.4+, VirexPC, AVTK 3.5+,
  3090.               VirHunt 2.0+
  3091.  Removal Instructions: Scan/D, VirHunt 2.0+, or delete infected files
  3092.  General Comments:
  3093.        The Eight Tunes, or 1971, Virus was originally isolated in April
  3094.        1990 by Fridrik Skulason of Iceland.  This virus is a memory resident
  3095.        generic file infector of .COM, .EXE, and overlay files.  The virus will
  3096.        not infect COMMAND.COM, or .COM files which are smaller than 8K.
  3097.        After the virus is memory resident, programs are infected as they
  3098.        are executed.  Infected files will increase in length by between
  3099.        1,971 - 1,985 bytes.
  3100.  
  3101.        Available memory will decrease by 1,984 bytes when the virus is
  3102.        present.
  3103.  
  3104.        This virus does not cause system damage, however it is disruptive.
  3105.        When the virus is memory resident, it will play 8 German folk songs
  3106.        at random intervals thirty minutes after the virus becomes memory
  3107.        resident.
  3108.  
  3109.  
  3110.  Virus Name:  Evil
  3111.  Aliases:     P1, V1701New
  3112.  V Status:    Rare
  3113.  Discovered:  July, 1990
  3114.  Symptoms:    .COM growth, system reboots, CHKDSK program failure,
  3115.               COMMAND.COM header change
  3116.  Origin:      Bulgaria
  3117.  Eff Length:  1,701 Bytes
  3118.  Type Code:   PRhCK - Parasitic Resident .COM Infector
  3119.  Detection Method: ViruScan V66+
  3120.  Removal Instructions: Scan/D, or delete infected files
  3121.  General Comments:
  3122.        The Evil Virus is of Bulgarian origin, and was submitted to
  3123.        the author of this document in July, 1990 by Vesselin Bontchev.
  3124.        This virus is one of a family of three (3) viruses which may be
  3125.        referred to as the P1 or Phoenix Family.  Each of these viruses is
  3126.        being documented separately due to their varying characteristics.
  3127.        The Evil virus is a memory resident, generic infector of .COM
  3128.        files, and will infect COMMAND.COM.  It is the most advanced of the
  3129.        three viruses in the Phoenix Family.
  3130.  
  3131.        The Evil, or V1701New, Virus is a later version of the PhoenixD virus.
  3132.  
  3133.        The first time a program infected with the Evil virus is executed,
  3134.        the virus will install itself memory resident in free high memory,
  3135.        reserving 8,192 bytes.  Interrupt 2A will be hooked by the virus.
  3136.        System total memory and free memory will decrease by 8,192 bytes.
  3137.        Evil will then check to see if the current drive's root directory
  3138.        contains a copy of COMMAND.COM.  If a copy of COMMAND.COM is found,
  3139.        it will be infected by Evil by overwriting part of the binary zero
  3140.        portion of the program, and changing the program's header information.
  3141.        COMMAND.COM will not change in file length.  The virus will then
  3142.        similarly infect COMMAND.COM residing in the C: drive root directory.
  3143.  
  3144.        After becoming memory resident, the virus will attempt to infect any
  3145.        .COM file executed.  Evil is a better replicator than either the
  3146.        original Phoenix Virus or PhoenixD, and was successful in infecting
  3147.        .COM files in all cases on the author's system.  Infected files will
  3148.        increase in size by 1,701 bytes.
  3149.  
  3150.        Evil is not able to recognize when it has previously infected a
  3151.        file, so it may reinfect .COM files several times.  Each infection will
  3152.        result in another 1,701 bytes of viral code being appended to the
  3153.        file.
  3154.  
  3155.        Like PhoenixD, Evil will infect files when they are openned for
  3156.        any reason in addition to when they are executed.  The simple act of
  3157.        copying a .COM file will result in both the source and target .COM
  3158.        files being infected.   
  3159.  
  3160.        Systems infected with the Evil virus will experience problems with
  3161.        executing CHKDSK.COM.  Attempts to execute this program with Evil
  3162.        memory resident will result in a warm reboot of the system occurring.
  3163.        The system, however, will not perform either a RAM memory check or
  3164.        request Date and Time if an autoexec.bat file is not present.
  3165.  
  3166.        This virus is not related to the Cascade (1701/1704) virus.
  3167.  
  3168.        The Evil Virus employs a complex encryption mechanism, and virus
  3169.        scanners which are only able to look for simple hex strings will not
  3170.        be able to detect it.  There is no simple hex string in this virus
  3171.        that is common to all infected samples.
  3172.  
  3173.        Known variant(s) of Evil are:
  3174.        Evil-B : This is a earlier version of Evil, and is a rather
  3175.                 poor replicator.  It also has not to viable as infected
  3176.                 programs will hang when they are executed, with the
  3177.                 exception of the Runme.Exe file which the author
  3178.                 received.  The Runme.Exe file was probably the original
  3179.                 release file distributed by the virus's author.
  3180.                 (Originally listed in VSUM9008 as V1701New-B)
  3181.  
  3182.        Also see: Phoenix, PhoenixD
  3183.  
  3184.  
  3185.  Virus Name:  F-Word Virus
  3186.  Aliases:     Fuck You
  3187.  V Status:    Rare
  3188.  Discovered:  December, 1990
  3189.  Symptoms:    .COM growth; decrease in system and available free memory;
  3190.               file date/time changes
  3191.  Origin:      USSR
  3192.  Eff Length:  417 Bytes
  3193.  Type Code:   PRtCK - Parasitic Non-Resident .COM Infector
  3194.  Detection Method:  ViruScan V74+
  3195.  Removal Instructions: Scan/D, or Delete infected files
  3196.  General Comments:
  3197.        The F-Word, or Fuck You, Virus was submitted in December, 1990 and
  3198.        is from the USSR.  This virus is a memory resident infector of COM
  3199.        files, including COMMAND.COM.
  3200.  
  3201.        The first time a program infected with the F-Word Virus is executed
  3202.        the virus will install itself memory resident at the top of system
  3203.        memory but below the 640K DOS boundary.  Interrupt 12's return will
  3204.        be moved.  Total system memory and available free memory will decrease
  3205.        by 1,024 bytes.  Interrupts 08 and 21 will be hooked by the virus.
  3206.  
  3207.        After F-Word is memory resident, it will infect COM files over
  3208.        approximately 2K in length when they are executed.  Infected files will
  3209.        have a length increase of 417 bytes with the virus being located at the
  3210.        end of the program.  The file's date and time in the directory will also
  3211.        have been changed to the system date and time when infection occurred.
  3212.  
  3213.        Attempts to executed the DOS Edlin program will result in a
  3214.        "Invalid drive of file name" message being displayed, and the program
  3215.        terminated.
  3216.  
  3217.        The text string "Fuck You!" can be found in all infected files.
  3218.  
  3219.  
  3220.  Virus Name:  Father Christmas
  3221.  Aliases:     Choinka
  3222.  V Status:    Rare
  3223.  Discovered:  November, 1990
  3224.  Symptoms:    .COM growth; lost cluster; cross-linking of files;
  3225.               graphic and message displayed on activation
  3226.  Origin:      Poland
  3227.  Eff Length:  1,881 Bytes
  3228.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  3229.  Detection Method:  ViruScan V71+
  3230.  Removal Instructions: Scan/D, or delete infected files
  3231.  General Comments:
  3232.        The Father Christmas, or Choinka, Virus was discovered in Poland in
  3233.        November, 1990.  This virus is based on the Vienna Virus, and is a
  3234.        non-resident infector of .COM files, including COMMAND.COM.
  3235.  
  3236.        When a program infected with the Father Christmas Virus is executed,
  3237.        the virus will infect one other .COM file in the current directory.
  3238.        If no uninfected .COM files exist in the current directory, the virus
  3239.        will follow the system path to find an uninfected program.  Infected
  3240.        files will increase in length by 1,881 bytes with the virus being
  3241.        located at the end of the infected program.
  3242.  
  3243.        Systems infected with the Father Christmas Virus may notice crosslinking
  3244.        of files and lost clusters.
  3245.  
  3246.        During the period from December 19 - December 31 of any year, this
  3247.        virus will activate.  On these dates, when infected programs are
  3248.        executed a christmas trees graphic is displayed on the system monitor
  3249.        with the following message:
  3250.  
  3251.                     Merry Christmas
  3252.                            &
  3253.                    a  Happy New Year
  3254.                for all my lovely friends
  3255.                          from
  3256.                     FATHER CHRISTMAS
  3257.  
  3258.        If the graphic is displayed, the user must strike a key in order to
  3259.        have the program being executed finish running.
  3260.  
  3261.  
  3262.  Virus Name:  Fellowship
  3263.  Aliases:     1022
  3264.  V Status:    Rare
  3265.  Discovered:  July, 1990
  3266.  Isolated:    Australia
  3267.  Symptoms:    TSR, .COM & .EXE file growth
  3268.  Origin:      Malaysia
  3269.  Eff Length:  1,022 Bytes
  3270.  Type Code:   PRsE - Parasitic Resident .EXE Infector
  3271.  Detection Method:  ViruScan V66+, F-Prot 1.12+, Pro-Scan 2.01+
  3272.  Removal Instructions: Scan/D, F-Prot 1.12+, or delete infected files
  3273.  General Comments:
  3274.        The Fellowship or 1022 Virus was isolated in Australia in July 1990.
  3275.        Fellowship is a memory resident generic infector of .EXE files.  It
  3276.        does not infect .COM or overlay files.
  3277.  
  3278.        The first time a program infected with the Fellowship Virus is
  3279.        executed, the virus will install itself memory resident as a 2,048
  3280.        byte TSR in low system memory.  Available free memory will be decreased
  3281.        by a corresponding 2,048 bytes.  Interrupt 21 will also now be
  3282.        controlled by the virus.
  3283.  
  3284.        After the virus is memory resident, the virus will infect .EXE files
  3285.        when they are executed.  Infected .EXE files will increase in size
  3286.        by between 1,019 and 1,027 bytes.  The virus's code will be located
  3287.        at the end of infected files.
  3288.  
  3289.        Infected files will contain the following text strings very close to
  3290.        the end of the file:
  3291.  
  3292.              "This message is dedicated to
  3293.               all fellow PC users on Earth
  3294.               Toward A Better Tomorrow
  3295.               And a better Place To Live In"
  3296.  
  3297.              "03/03/90 KV KL MAL"
  3298.  
  3299.        This virus is believed to have originated in Kuala Lumpur, Malaysia.
  3300.  
  3301.  
  3302.  Virus Name:  Fish Virus
  3303.  Aliases:     European Fish Viruses, Fish 6, Stealth Virus
  3304.  V Status:    Rare
  3305.  Discovered:  May 1990
  3306.  Symptoms:    .COM & .EXE growth, monitor/display flickering, system
  3307.               memory decrease
  3308.  Origin:      West Germany
  3309.  Eff Length:  3,584  Bytes
  3310.  Type Code:   PRsAK - Parasitic Resident .COM & .EXE Infector
  3311.  Detection Method:  ViruScan V63+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+,
  3312.               VirHunt 2.0+
  3313.  Removal Instructions: Scan/D, CleanUp V66+, Pro-Scan 1.4+, VirHunt 2.0+,
  3314.               or delete infected files
  3315.  General Comments:
  3316.        The Fish Virus was isolated in May 1990.  At the time of isolation,
  3317.        it was reported to be widespread in Europe, and it is thought to
  3318.        have originated in West Germany.  It is a generic resident .COM
  3319.        and .EXE infector, and will infect COMMAND.COM.  This virus will
  3320.        remain memory resident thru a warm reboot, or Ctrl-Alt-Del.  The
  3321.        virus is encrypted, though infected programs can be found by
  3322.        searching for the text string "FISH FI" appearing near the end of
  3323.        the program.  The "FISH FI" string may later disappear from the
  3324.        program.
  3325.  
  3326.        The first time a program infected with the Fish Virus is executed,
  3327.        the virus will go memory resident, installing itself into the low
  3328.        available free memory.  If interrupt 13 has not been hooked by
  3329.        another program, it will hook interrupt 13.  If it can hook
  3330.        interrupt 13, it will take up 8,192 bytes in memory.  If the virus
  3331.        cannot hook interrupt 13 because another program is already using it,
  3332.        it will be 4,096 bytes in memory.
  3333.  
  3334.        When interrupt 13 is not hooked, and the virus is memory resident,
  3335.        the virus will cause a random warm reboot, thus allowing it to
  3336.        infect COMMAND.COM and hook interrupt 13.  Warm reboots do not
  3337.        appear to randomly occur after interrupt 13 has been hooked.
  3338.  
  3339.        After the virus is memory resident, all .COM and .EXE programs which
  3340.        are openned for any reason will be infected.  Infected programs
  3341.        increase in length by 3,584 bytes.  The increase in program size
  3342.        cannot be seen by listing the disk directory if the virus is in
  3343.        memory.  Also, if a CHKDSK command is run on an infected system,
  3344.        it will detect file allocation errors on infected files.  If CHKDSK
  3345.        is run with the /F option, it will result in lost clusters and
  3346.        cross-linking of files.
  3347.  
  3348.        The virus slows down video writes, and flickering of the monitor
  3349.        display can be noticed on an infected system.
  3350.  
  3351.        Anti-viral programs which perform CRC checking cannot detect the
  3352.        infection of the program by the Fish Virus if the virus is memory
  3353.        resident.  This virus can also bypass software write protect
  3354.        mechanisms used to protect a hard drive.
  3355.  
  3356.        The Fish Virus is a modified version of the 4096 Virus, though it is
  3357.        more sophisticated in that it constantly re-encrypts itself in
  3358.        system memory.  Viewing system memory with the virus resident will
  3359.        show that the names of several fish are present.
  3360.  
  3361.        It is unknown what the Fish virus does when it activates, though it
  3362.        does appear to check to determine if the year of the system time is
  3363.        1991.
  3364.  
  3365.  
  3366.  Virus Name:  Flash
  3367.  Aliases:
  3368.  V Status:    Rare
  3369.  Discovered:  July 1990
  3370.  Symptoms:    .COM & .EXE growth, decrease in available free memory,
  3371.               video screen flicker
  3372.  Origin:      West Germany
  3373.  Eff Length:  688  Bytes
  3374.  Type Code:   PRfA - Parasitic Resident .COM & .EXE Infector
  3375.  Detection Method:  ViruScan V64+, Pro-Scan 2.01+
  3376.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete infected files
  3377.  General Comments:
  3378.        The Flash Virus was discovered in July 1990 in West Germany.  Flash
  3379.        is a memory resident generic file infector, and will infect .COM and
  3380.        .EXE files, but not COMMAND.COM.
  3381.  
  3382.        The first time a program infected with the Flash Virus is executed,
  3383.        the virus will install itself memory resident.   976 bytes will be
  3384.        allocated in high memory, and available free memory will decrease by
  3385.        a corresponding 976 bytes.  A mapping of memory will also indicate
  3386.        that when Flash is resident in memory, interrupts 00, 23, 24, 30,
  3387.        ED, F5, and FB are now in free memory.  Total system memory reported
  3388.        by DOS, as well as low memory used by the operating system and TSRs
  3389.        will not have changed.
  3390.  
  3391.        Once Flash is memory resident, each time a .COM or .EXE program is
  3392.        executed it is a candidate for infection.  An uninfected .EXE program
  3393.        will always be infected upon execution.  Uninfected .COM files are
  3394.        only infected if they are greater than approximately 500 bytes in
  3395.        length.  Infected files will always increase in length by 688 bytes.
  3396.  
  3397.        After June of 1990, systems with a graphics capable monitor may notice
  3398.        a screen flicker occurring at approximately seven minute intervals.
  3399.        The virus causes this effect by manipulating some screen blanking bits
  3400.        every seven minutes.
  3401.  
  3402.  
  3403.  Virus Name:  Flip
  3404.  Aliases:
  3405.  V Status:    Rare
  3406.  Discovered:  July 1990
  3407.  Symptoms:    .COM & .EXE growth; decrease in system and free memory;
  3408.               boot sector and partition table altered; file allocation errors
  3409.  Origin:      West Germany
  3410.  Eff Length:  2,343  Bytes
  3411.  Type Code:   PRhABKX - Parasitic Resident .COM, .EXE, Partition Table Infector
  3412.  Detection Method:  ViruScan V66+, F-Prot 1.12+, Pro-Scan 2.01+
  3413.  Removal Instructions: Clean-Up V71+, Scan/D, or Delete infected files
  3414.  General Comments:
  3415.        The Flip Virus was discovered in West Germany in July 1990.  It is
  3416.        a generic file infector, and will infect .COM, .EXE, and overlay files.
  3417.        This virus will also infect COMMAND.COM, as well as alter the partition
  3418.        table and boot sector of hard disks.  It is important to note that the
  3419.        Flip virus is not infective from .COM files or boot sectors.
  3420.  
  3421.        The first time an EXE program infected with the Flip Virus is executed,
  3422.        it installs itself memory resident in high memory.  System memory as
  3423.        reported by the CHKDSK command as well as free memory will have
  3424.        decreased by 3,064 bytes.  At this time, the copy of COMMAND.COM
  3425.        located in the C: drive root directory will be infected, though no
  3426.        file length change will be apparent with the virus in memory.  The
  3427.        system's hard disk partition table and boot sector will also be
  3428.        slightly modified.  If the infected program was executed from a
  3429.        floppy, COMMAND.COM on the floppy will be infected, though the size
  3430.        change will be noticeable.
  3431.  
  3432.        After Flip becomes memory resident, any .COM or .EXE files executed
  3433.        will become infected.  Infected programs will show a file length
  3434.        increase of 2,343 bytes.  If a program is executed which uses an
  3435.        overlay file, the overlay file will also become infected.
  3436.  
  3437.        Systems infected Flip may experience file allocation errors resulting
  3438.        in file linkage errors.  Some data files may become corrupted.
  3439.  
  3440.        On the second of any month, systems which were booted from an infected
  3441.        hard disk and have an EGA or VGA capable display adapter may experience
  3442.        the display on the system monitor being horizontally "flipped" between
  3443.        16:00 and 16:59.
  3444.  
  3445.        Flip can only be passed between systems on infected .EXE files.
  3446.        Infected .COM files, and altered floppy boot sectors do not transfer
  3447.        the virus.
  3448.  
  3449.        Known variant(s) of Flip include:
  3450.        Flip B : Similar to the original Flip Virus, this variant has an
  3451.                 effective length of 2,153 bytes.  Its memory resident portion
  3452.                 at the top of system memory is 2,672 bytes.  The major
  3453.                 difference between this variant and the original virus is
  3454.                 that Flip B can infect programs from the hard disk partition
  3455.                 table infection.
  3456.                 Isolated: January, 1991.  Origin: Unknown.
  3457.  
  3458.  Virus Name:  FORM-Virus
  3459.  Aliases:     Form, Form Boot
  3460.  V Status:    Rare
  3461.  Discovered:  June 1990
  3462.  Symptoms:    BSC, clicking noise from system speaker
  3463.  Origin:      Switzerland
  3464.  Eff Length:  N/A
  3465.  Type Code:   BR - Resident Boot Sector Infector
  3466.  Detection Method:  ViruScan V64+, F-Prot 1.12+, VirHunt 2.0+
  3467.  Removal Instructions: MDisk, or DOS SYS command
  3468.  General Comments:
  3469.        The Form, or Form Boot, Virus is a memory resident infector of
  3470.        floppy and hard disk boot sectors.  It was originally isolated in
  3471.        Switzerland.
  3472.  
  3473.        When a system is first booted with a diskette infected with the
  3474.        Form Boot virus, the virus will infect system memory as well as
  3475.        seek out and infect the system's hard disk.  The floppy boot may
  3476.        or may not be successful, on the author's test system, a boot
  3477.        from floppy diskette infected with Form Boot never succeeded,
  3478.        instead the system would hang.  It should be noted that the virus
  3479.        was received by the author of this document as a binary file, and
  3480.        it may have been damaged in some way.
  3481.  
  3482.        The following text message is contained in the Form Boot virus binary
  3483.        code as received by the author of this document:
  3484.  
  3485.             "The FORM-Virus sends greetings to everyone who's reading
  3486.              this text.FORM doesn't destroy data! Don't panic! Fuckings
  3487.              go to Corinne."
  3488.  
  3489.        These messages, however, may not appear in all cases.  For example,
  3490.        I did not find these messages anywhere on a hard disk infected with
  3491.        Form Boot.
  3492.  
  3493.        Systems infected with the FORM-Virus in memory may notice that a
  3494.        clicking noise may be emitted from the system speaker on the 24th
  3495.        day of any month.
  3496.  
  3497.        This virus can be removed with the same technique as used with many
  3498.        boot sector infectors.  First, power off the system and then boot
  3499.        from a known clean write-protected boot diskette.  The DOS SYS
  3500.        command can then be used to recreate the boot sector.  Alternately,
  3501.        MDisk from McAfee Associates may be used to recreate the boot
  3502.        sector.
  3503.  
  3504.  
  3505.  Virus Name:  Frere Jacques
  3506.  Aliases:     Frere Virus
  3507.  V Status:    Rare
  3508.  Discovered:  May 1990
  3509.  Symptoms:    .COM & .EXE growth, available memory decreases, system hangs,
  3510.               music (Frere Jacques) on Fridays
  3511.  Origin:      California, USA
  3512.  Eff Length:  1,808 Bytes
  3513.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  3514.  Detection Method:  ViruScan V63+, Pro-Scan 1.4+, F-Prot 1.12+
  3515.  Removal Instructions: Scan/D, Pro-Scan 1.4+, or Delete infected files
  3516.  General Comments:
  3517.        The Frere Jacques Virus was isolated in May, 1990.  It is a memory
  3518.        resident generic file infector, infecting .COM, .EXE, and Overlay
  3519.        files.  It does not infect COMMAND.COM.  This virus is based on
  3520.        the Jerusalem B Virus.
  3521.  
  3522.        The first time an infected program is executed, the virus will
  3523.        install itself memory resident in low available free memory.
  3524.        The memory resident virus occupies 2,064 bytes, and attaches itself
  3525.        to interrupt 21.  After becoming memory resident, Frere Jacques will
  3526.        infect any program which is then executed.  Infected programs will
  3527.        increase in size by between 1,808 bytes and 1,819 bytes, though
  3528.        .COM files always increase in size by 1,813 bytes.
  3529.  
  3530.        Systems infected with Frere Jacques will experience a decrease in
  3531.        available free memory, as well as executable files increasing in
  3532.        size.  System hangs will also intermittently occur when the virus
  3533.        attempts to infect programs, thus resulting in the possible loss
  3534.        of system data.
  3535.  
  3536.        On Fridays, the Frere Jacques virus activates, and will play the
  3537.        tune Frere Jacques on the system speaker.
  3538.  
  3539.        Also see: Jerusalem B
  3540.  
  3541.  
  3542.  Virus Name:  Friday The 13th COM Virus
  3543.  Aliases:     COM Virus, Miami, Munich, South African, 512 Virus
  3544.  V Status:    Extinct
  3545.  Discovered:  November, 1987
  3546.  Symptoms:    .COM growth, floppy disk access, file deletion
  3547.  Origin:      Republic of South Africa
  3548.  Eff Length:  512 Bytes
  3549.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  3550.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, AVTK 3.5+,
  3551.               VirHunt 2.0+
  3552.  Removal Instructions: Scan/D/X, Pro-Scan 1.4+, VirHunt 2.0+, or F-Prot
  3553.  General Comments:
  3554.        The original Friday The 13th COM virus first appeared in
  3555.        South Africa in 1987.  Unlike the Jerusalem (Friday The 13th)
  3556.        viruses, it is not memory resident, nor does it hook any
  3557.        interrupts.  This virus only infects .COM files, but not
  3558.        COMMAND.COM.  On each execution of an infected file, the
  3559.        virus looks for two other .COM files on the C drive and 1
  3560.        on the A drive, if found they are infected.  This virus is
  3561.        extremely fast, and the only indication of propagation occurring
  3562.        is the access light being on for the A drive, if the current
  3563.        default drive is C.  The virus will only infect a .COM file
  3564.        once.  The files, after infection, must be less than 64K in
  3565.        length.
  3566.  
  3567.        On every Friday the 13th, if the host program is executed, it
  3568.        is deleted.
  3569.  
  3570.        Known variants of the Friday The 13th COM virus are:
  3571.        Friday The 13th-B: same, except that it will infect every
  3572.             file in the current subdirectory or in the system path if
  3573.             the infected .COM program is in the system path.
  3574.        Friday The 13th-C: same as Friday The 13th-B, except that the
  3575.             message "We hope we haven't inconvenienced you" is
  3576.             displayed whenever the virus activates.
  3577.  
  3578.        Author's note: All samples of this virus that are available were
  3579.        created by reassembling a disassembly of this virus.  These viruses
  3580.        may not actually exist "in the wild".
  3581.  
  3582.  
  3583.  Virus Name:  Fu Manchu
  3584.  Aliases:     2080, 2086
  3585.  V Status:    Rare
  3586.  Discovered:  March, 1988
  3587.  Symptoms:    .SYS, .BIN, .COM & .EXE growth, messages 
  3588.  Origin:      
  3589.  Eff Length:  2,086 (COM files) & 2,080 (EXE files) bytes
  3590.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  3591.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC, AVTK 3.5+,
  3592.               VirHunt 2.0+
  3593.  Removal Instructions: Scan/D, F-Prot, Pro-Scan 1.4+, VirHunt 2.0+, VirexPC
  3594.  General Comments:
  3595.        The Fu Manchu virus attaches itself to the beginning of .COM
  3596.        files or the end of .EXE files.  This virus will infect any
  3597.        executable program, including overlay, .SYS, and .BIN files
  3598.        as well.  It appears to be a rewritten version of the Jerusalem
  3599.        virus, with a possible creation date of 3/10/88.
  3600.  
  3601.        A marker or id string usually found in this virus is
  3602.        'sAXrEMHOr', though the virus only uses the 'rEMHOr' portion
  3603.        of the string to identify infected files.
  3604.  
  3605.        One out of sixteen infections will result in a timer being
  3606.        installed, and after a random amount of time, the message
  3607.        "The world will hear from me again!" is displayed and
  3608.        the system reboots.  This message will also be displayed on
  3609.        an infected system after a warm reboot, though the virus doesn't
  3610.        survive in memory.
  3611.  
  3612.        After August 1, 1989, the virus will monitor the keyboard buffer,
  3613.        and will add derogatory comments to the names of various
  3614.        politicians.  These comments go to the keyboard buffer, so
  3615.        their effect is not limited to the display.  The messages within
  3616.        the virus are encrypted.
  3617.  
  3618.        This virus is very rare in the United States.
  3619.  
  3620.        Also see: Jerusalem B, Taiwan 3
  3621.  
  3622.  
  3623.  Virus Name:  Ghostballs
  3624.  Aliases:     Ghost Boot, Ghost COM
  3625.  V Status:    Extinct
  3626.  Discovered:  October, 1989
  3627.  Symptoms:    moving graphic display, .COM file growth, file corruption, BSC.
  3628.  Origin:      Iceland
  3629.  Eff Length:  2,351 bytes
  3630.  Type Code:   PNCB - Parasitic Non-Resident .COM & Boot Sector Infector
  3631.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  3632.               AVTK 3.5+, VirHunt 2.0+
  3633.  Removal Instructions: MDisk or DOS SYS and erase infected .COM files,
  3634.        or CleanUp, F-Prot, Pro-Scan 1.4+, VirexPC, Scan/D/X, VirHunt 2.0+
  3635.  General Comments:
  3636.        The Ghostball virus (Ghost Boot and Ghost COM) were discovered in
  3637.        October, 1989 by Fridrik Skulason of Iceland.  The Ghostballs Virus
  3638.        virus infects generic .COM files, increasing the file size by
  3639.        2,351 bytes.  It also alters the disk boot sector, replacing it
  3640.        with viral code similar to the Ping Pong virus.  This altered
  3641.        boot sector, however, will not replicate.
  3642.  
  3643.        Symptoms of this virus are very similar to the Ping Pong
  3644.        virus, and random file corruption may occur on infected
  3645.        systems.
  3646.  
  3647.        The Ghostballs virus was the first known virus that could infect
  3648.        both files (.COM files in this case) and disk boot sectors.
  3649.        After the boot sector is infected, the system experiences the
  3650.        bouncing ball effect of the Ping Pong virus.  If the boot sector
  3651.        is overwritten to remove the boot viral infection, it will again
  3652.        become corrupted the next time an infected .COM file is executed.
  3653.  
  3654.        The Ghostballs Virus is based on the code of two other viruses.
  3655.        The .COM infector portion consists of a modified version of the
  3656.        Vienna virus.  The boot sector portion of the virus is based on
  3657.        the Ping Pong virus.
  3658.  
  3659.        To remove this virus, turn off the computer and reboot from
  3660.        a write protected master diskette for the system.  Then
  3661.        use either MDisk or the DOS SYS command to replace the boot
  3662.        sector on the infected disk.  Any infected .COM files must
  3663.        also be erased and deleted, then replaced with clean copies
  3664.        from your original distribution diskettes.
  3665.  
  3666.  
  3667.  Virus Name:  Golden Gate
  3668.  Aliases:     Mazatlan, 500 Virus
  3669.  V Status:    Extinct
  3670.  Discovered:  1988
  3671.  Symptoms:    BSC, disk format, Resident TOM
  3672.  Origin:      California, USA
  3673.  Eff Length:  N/A
  3674.  Type Code:   BRt - Resident Boot Sector Infector
  3675.  Detection Method:  ViruScan (identifies as Alameda)
  3676.  Removal Instructions: MDisk, F-Prot, or DOS SYS command
  3677.  General Comments:
  3678.        The Golden Gate virus is a modified version of the Alameda virus
  3679.        which activates when the counter in the virus has determined
  3680.        that it is infected 500 diskettes.  The virus replicates when
  3681.        a CTL-ALT-DEL is performed, infecting any diskette in the floppy
  3682.        drive.  Upon activation, the C: drive is formatted.  The
  3683.        counter in the virus is reset on each new floppy or hard drive
  3684.        infected.
  3685.  
  3686.        Known Variants of this virus are:
  3687.        Golden Gate-B: same as Golden Gate, except that the counter
  3688.            has been changed from 500 to 30 infections before
  3689.            activation, and only diskettes are infected.
  3690.        Golden Gate-C: same as Golden Gate-B, except that the hard
  3691.            drive can also be infected.  This variant is also known
  3692.            as the Mazatlan Virus, and is the most dangerous of the
  3693.            Golden Gate viruses.
  3694.  
  3695.        Also see: Alameda
  3696.  
  3697.  
  3698.  Virus Name:  Grither
  3699.  Aliases:
  3700.  V Status:    New
  3701.  Discovered:  January, 1991
  3702.  Symptoms:    .COM growth; C: & D: drive disk corruption
  3703.  Origin:      United States
  3704.  Eff Length:  774 Bytes
  3705.  Type Code:   PNCK - Parasitic Non-Resident .COM & .EXE Infector
  3706.  Detection Method:  ViruScan V72+
  3707.  Removal Instructions: Scan/D, Delete infected files
  3708.  General Comments:
  3709.        The Grither Virus was submitted in January, 1991, by Paul Ferguson
  3710.        of the United States.  This virus is a non-resident direct action
  3711.        infector of .COM files, including COMMAND.COM.
  3712.  
  3713.        When a program infected with Grither is executed, the virus will infect
  3714.        one .COM file in the current directory.  COMMAND.COM may become
  3715.        infected if it exists in the current directory.
  3716.  
  3717.        .COM programs infected with Grither will increase in length by 774
  3718.        bytes, the virus will be located at the end of the infected file.  The
  3719.        file's date and time in the disk directory will not be altered by the
  3720.        virus.
  3721.  
  3722.        The Grither Virus can be extremely destructive.  With a probability of
  3723.        approximately one out of every eight times an infected program is
  3724.        executed, the virus may activate.  On activation, Grither will overwrite
  3725.        the beginning of the C: and D: drives of the system's hard disk.
  3726.        Effectively, this corrupts the disk's boot sector, file allocation
  3727.        tables, and directory, as well as the system files.
  3728.  
  3729.        Grither is roughly based on the Vienna and Violator viruses.
  3730.  
  3731.        ViruScan V72 will identify Grither infected files as Vienna B, though
  3732.        it may also identify them as Violator in rare circumstances.
  3733.  
  3734.  
  3735.  Virus Name:  Groen Links
  3736.  Aliases:     Green Left
  3737.  V Status:    Rare
  3738.  Discovered:  March, 1990
  3739.  Symptoms:    .COM & .EXE growth; TSR; Music
  3740.  Origin:      Amsterdam, Holland
  3741.  Eff Length:  1,888 Bytes
  3742.  Type Code:   PRsA - Resident Parasitic .COM &.EXE Infector
  3743.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  3744.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete infected files
  3745.  General Comments:
  3746.        The Groen Links Virus was originally reported in Amsterdam, Holland,
  3747.        in March 1990.  This virus is a memory resident infector of .COM and
  3748.        .EXE files.  It does not infect COMMAND.COM.  It is a variant of the
  3749.        Jerusalem B virus, though is listed separately here as it is a different
  3750.        length and exhibits different characteristics.
  3751.  
  3752.        The first time a program infected with the Groen Links Virus is
  3753.        executed, the virus will install itself memory resident as a low
  3754.        system memory TSR of 1,872 bytes.  Interrupts 21 and CE will be hooked
  3755.        by the virus.
  3756.  
  3757.        After the virus is memory resident, it will infect .COM and .EXE files
  3758.        as they are executed.  Infected .COM files will increase in length
  3759.        by 1,893 bytes with the virus being located at the beginning of the
  3760.        file.  .EXE files will increase in length by 1,888 to 1,902 bytes with
  3761.        the virus located at the end of infected files.  As with many of the
  3762.        Jerusalem variants, this virus will reinfect .EXE files.  After the
  3763.        first infection, .EXE files will increase by 1,888 bytes on subsequent
  3764.        infections.  Infected files will contain the text string: "GRLKDOS".
  3765.  
  3766.        After the virus has been resident for 30 minutes, it may play
  3767.        "Stem op Groen Links" every 30 minutes.  The name of the tune translates
  3768.        to "Vote Green Left", Green Left being a political party in Holland.
  3769.  
  3770.  
  3771.  Virus Name:  Guppy
  3772.  Aliases:
  3773.  V Status:    Rare
  3774.  Discovered:  October, 1990
  3775.  Symptoms:    TSR, .COM growth, error messages, disk boot failures
  3776.  Origin:      United States
  3777.  Eff Length:  152 Bytes
  3778.  Type Code:   PRsCK - Resident Parasitic .COM &.EXE Infector
  3779.  Detection Method: Pro-Scan 2.01+
  3780.  Removal Instructions: Pro-Scan 2.01+, or Delete infected files
  3781.  General Comments:
  3782.        The Guppy Virus was submitted in late October, 1990 by Paul Ferguson
  3783.        of Washington, DC.  Guppy is a memory resident infector of .COM files,
  3784.        including COMMAND.COM.
  3785.  
  3786.        The first time a program infected with the Guppy Virus is executed, the
  3787.        virus will install itself memory resident as a low system memory TSR
  3788.        with interrupt 21 hooked.  Available free memory will decrease by
  3789.        720 bytes.
  3790.  
  3791.        After the virus is memory resident, any .COM file with a file length of
  3792.        at least 100 bytes (approximately) that is executed will become infected
  3793.        with Guppy.  Infected files will increase in length by 152 bytes, with
  3794.        two bytes added to the beginning of the .COM file, and 150 bytes added
  3795.        to the end of the file.  Infected files will also have their date/time
  3796.        stamps in the directory updated to the system date and time when the
  3797.        infection occurred.
  3798.  
  3799.        If COMMAND.COM is executed with Guppy memory resident, it will become
  3800.        infected.  If the system is later booted from a disk with a Guppy
  3801.        infected COMMAND.COM, the boot will fail and a "Bad or Missing Command
  3802.        Interpreter" message will be displayed.
  3803.  
  3804.        Some programs will also fail to execute properly once infected with
  3805.        Guppy.  For example, attempts to execute EDLIN.COM after it was
  3806.        executed on my system resulted in a consistent "Invalid drive or
  3807.        file name" message, and EDLIN ending execution.
  3808.  
  3809.        Infected files can be identified as they will end with the following
  3810.        hex character string: 3ECD211F5A5B58EA
  3811.  
  3812.  
  3813.  Virus Name:  Halloechen
  3814.  Aliases:
  3815.  V Status:    Rare
  3816.  Discovered:  October, 1989
  3817.  Symptoms:    TSR, .COM & .EXE growth, garbled keyboard input.
  3818.  Origin:      West Germany
  3819.  Eff Length:  2,011 Bytes
  3820.  Type Code:   PRsA - Resident Parasitic .COM &.EXE Infector
  3821.  Detection Method:  ViruScan V57+, Pro-Scan 1.4+, VirexPC, AVTK 3.5+,
  3822.               VirHunt 2.0+
  3823.  Removal Instructions: VirHunt 2.0+, Scan/D or delete infected files
  3824.  General Comments:
  3825.        The Halloechen virus was reported by Christoff Fischer of
  3826.        the University of Karlsruhe in West Germany.  The virus is
  3827.        a memory resident generic .COM & .EXE file infector which is
  3828.        reported to be widespread in West Germany.
  3829.  
  3830.        The Halloechen virus installs itself memory resident when the
  3831.        first infected program is executed.  Thereafter, the virus will
  3832.        infect any .EXE or .COM file which is run unless the resulting
  3833.        infected file would be greater than 64K in size, or the file's
  3834.        date falls within the system date's current month and year.
  3835.        Once a file has been determined to be a candidate for infection,
  3836.        and is less than approximately 62K in size as well as having a
  3837.        date outside of the current month and year, it is infected.
  3838.        In the process of infecting the file, the files size is first
  3839.        increased so that it is a multiple of 16 (ends on a paragraph
  3840.        boundary), then the 2,011 bytes of viral code are added.
  3841.  
  3842.        When infected files are run, input from the keyboard is garbled.
  3843.  
  3844.  
  3845.  Virus Name:  Happy New Year
  3846.  Aliases:     Happy N.Y., V1600
  3847.  V Status:    New
  3848.  Discovered:  December, 1989
  3849.  Symptoms:    TSR; .COM & .EXE Growth; Floppy Boot Sector altered;
  3850.               Boot failures; Bad or missing command interpretor message
  3851.  Origin:      Bulgaria
  3852.  Eff Length:  1,600 Bytes
  3853.  Type Code:   PRsAK - Resident Parasitic .COM & .EXE Infector
  3854.  Detection Method:  ViruScan V74+
  3855.  Removal Instructions: Scan/D, or Delete infected files
  3856.  General Comments:
  3857.        The Happy New Year, or V1600, Virus was submitted in December, 1990.
  3858.        This virus is originally from Bulgaria, and is a memory resident
  3859.        infector of .COM and .EXE files.  It will infect COMMAND.COM.
  3860.  
  3861.        The first time a program infected with the Happy New Year Virus is
  3862.        executed, the virus will install itself memory resident as a 2,432
  3863.        bytes low system memory TSR.  Interrupt 21 will be hooked by the
  3864.        virus.  At this time, the virus will also make a slight alteration
  3865.        to the floppy boot sector, and infect COMMAND.COM.  Infected
  3866.        COMMAND.COM files will not show a file length increase as the virus
  3867.        will overwrite a portion of the hex 00 section of the file.  The
  3868.        altered floppy boot sector does not contain a copy of the virus, and
  3869.        is not infectious.
  3870.  
  3871.        Once Happy New Year is memory resident, it will infect .COM and .EXE
  3872.        programs as they are executed.  Infected programs will increase in
  3873.        length by 1,600 bytes and have the virus located at the end of the
  3874.        infected file.
  3875.  
  3876.        The following text message can be found in infected programs:
  3877.  
  3878.                "Dear Nina, you make me write this virus; Happy new year!"
  3879.                "1989"
  3880.  
  3881.        This message is not displayed by the virus.
  3882.  
  3883.        Systems infected with the Happy New Year Virus may fail to boot,
  3884.        receiving a "Bad or missing command interpretor" message if COMMAND.COM
  3885.        is infected on the boot diskette or hard drive.
  3886.  
  3887.        It is unknown if Happy New Year carries any destructive capabilities.
  3888.  
  3889.        Known variant(s) of Happy New Year are:
  3890.        Happy New Year B : Similar to Happy New Year, this variant has five
  3891.                bytes which differ from the original virus.  Unlike Happy
  3892.                New Year, COMMAND.COM will only be infected if it is executed
  3893.                for some reason.
  3894.  
  3895.  
  3896.  Virus Name:  Holland Girl
  3897.  Aliases:     Sylvia
  3898.  V Status:    Rare
  3899.  Discovered:  December, 1989
  3900.  Symptoms:    .COM growth, TSR
  3901.  Origin:      Netherlands
  3902.  Eff Length:  1,332 Bytes
  3903.  Type Code:   PRsC - Resident Parasitic .COM Infector
  3904.  Detection Method:  ViruScan V50+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  3905.               AVTK 3.5+, VirHunt 2.0+
  3906.  Removal Instructions: F-Prot, Pro-Scan 1.4+, VirHunt 2.0+, or Scan/D
  3907.  General Comments:
  3908.        The Holland Girl or Sylvia Virus was first reported by Jan
  3909.        Terpstra of the Netherlands.  This virus is memory resident
  3910.        and infects only .COM files, increasing their size by 1,332
  3911.        bytes.  The virus apparently does no other damage, and
  3912.        does not infect COMMAND.COM.
  3913.  
  3914.        The virus's name is due to the fact that the virus code
  3915.        contains the name and phone number of a girl named Sylvia
  3916.        in Holland, along with her address, requesting that post cards
  3917.        be sent to her.  The virus is believed to have been written
  3918.        by her ex-boyfriend.
  3919.  
  3920.        Also see: Holland Girl 2
  3921.  
  3922.  
  3923.  Virus Name:  Holland Girl 2
  3924.  Aliases:     Sylvia 2
  3925.  V Status:    New
  3926.  Discovered:  January, 1991
  3927.  Symptoms:    .COM growth
  3928.  Origin:      New Brunswick, Canada
  3929.  Eff Length:  1,332 Bytes
  3930.  Type Code:   PNC - Resident Parasitic .COM Infector
  3931.  Detection Method:
  3932.  Removal Instructions: Delete infected files
  3933.  General Comments:
  3934.        The Holland Girl 2, or Sylvia 2, Virus was discovered in New Brunswick,
  3935.        Canada in January 1991.  This virus is similar to the Holland Girl
  3936.        Virus, though it has been altered significantly.  This virus is a non-
  3937.        resident infector of .COM files, including COMMAND.COM.
  3938.  
  3939.        When a program infected with the Holland Girl 2 Virus is executed, the
  3940.        virus will infect up to four .COM files.  It first checks the C: drive
  3941.        root directory to look for candidate files, then the current drive and
  3942.        current directory.
  3943.  
  3944.        .COM Programs infected with the Holland Girl 2 Virus will increase in
  3945.        length by 1,332 bytes with the virus being located at the beginning of
  3946.        the infected program.  Infected programs will also contain the following
  3947.        text:
  3948.  
  3949.                "This program is infected by a HARMLESS Text-Virus V2.1"
  3950.  
  3951.                "Send a FUNNY postcard to : Sylvia"
  3952.  
  3953.                 "You might get an ANTIVIRUS program....."
  3954.  
  3955.        Sylvia's last name, and full address are in the virus in plain text,
  3956.        and are not repeated here for privacy reasons.
  3957.  
  3958.        Also see: Holland Girl
  3959.  
  3960.  
  3961.  Virus Name:  Holocaust
  3962.  Aliases:     Stealth, Holo
  3963.  V Status:    Rare
  3964.  Discovered:  December, 1990
  3965.  Symptoms:    decrease in system & available memory; file allocation errors
  3966.  Origin:      Barcelona, Spain
  3967.  Eff Length:  3,784 Bytes
  3968.  Type Code:   PRhCK - Resident Parasitic .COM Infector
  3969.  Detection Method:  ViruScan V74+
  3970.  Removal Instructions: Scan/D, or Delete infected files
  3971.  General Comments:
  3972.        The Holocaust Virus was submitted in December, 1990 by David Llamas of
  3973.        Barcelona, Spain.  Holocaust is a self-encrypting memory resident
  3974.        infector of .COM files, including COMMAND.COM.  This virus is qualifies
  3975.        as a Stealth virus as it hides the file length increase on infected
  3976.        files as well as infecting on file open and execution.
  3977.  
  3978.        The first time a program infected with the Holocaust Virus is
  3979.        executed, the virus will install itself memory resident.  It will
  3980.        reserve 4,080 bytes of high system memory below the 640K DOS boundary.
  3981.        This memory will be marked as Command Data, and interrupt 21 will be
  3982.        hooked.  Some memory mapping utilities will show the memory resident
  3983.        command interpretor to have grown by the 4,080 bytes, though it is
  3984.        actually in high memory instead of low memory.
  3985.  
  3986.        Once Holocaust is memory resident, it will infect COM programs which
  3987.        are executed or openned for any reason.  This virus, however, will not
  3988.        infect very small COM files of less than 1K in size.  Infected COM
  3989.        programs will increase in size by 3,784 bytes, though this file size
  3990.        increase will not be seen in a directory listing if the virus is
  3991.        memory resident.   The viral code will be located at the end of
  3992.        infected files.
  3993.  
  3994.        If the Holocaust Virus is memory resident and the DOS ChkDsk command
  3995.        is executed, infected files will be indicated as having a file
  3996.        allocation error.  Execution of the command with the /F parameter on
  3997.        systems with the virus memory resident will result in the infected
  3998.        files becoming damaged.  The file allocation errors do not occur if
  3999.        the virus is not in memory since at that time the directory size will
  4000.        match the file allocation in the FAT.
  4001.  
  4002.        The Holocaust Virus is a self-encrypting virus, and will occasionally
  4003.        produce an infected file which is encrypted differently from its
  4004.        original encryption mechanism.  Some infected files will contain the
  4005.        following text at the end of the program, while other samples will have
  4006.        this text encrypted:
  4007.  
  4008.                "Virus Anti - C.T.N.E. v2.10a. (c)1990 Grupo Holokausto.
  4009.                 Kampanya Anti-Telefonica. Menos tarifas y mas servicio.
  4010.                 Programmed in Barcelona (Spain). 23-8-90.
  4011.                 - 666 -"
  4012.  
  4013.        Holocaust is reported by David Llamas to be widespread in Barcelona
  4014.        as of December, 1990.  It is not known if this virus activates, and
  4015.        what it does on activation.  It does not match a similar virus
  4016.        reported by Jim Bates of the United Kingdom named Spanish Telecom.
  4017.  
  4018.  
  4019.  Virus Name:  Hybryd
  4020.  Aliases:     Hybrid
  4021.  V Status:    New
  4022.  Discovered:  January, 1991
  4023.  Symptoms:    .COM growth
  4024.  Origin:      Poland
  4025.  Eff Length:  1,306 Bytes
  4026.  Type Code:   PRhA - Resident Parasitic .COM & .EXE Infector
  4027.  Detection Method:  ViruScan V74+
  4028.  Removal Instructions: Scan/D, or Delete infected files
  4029.  General Comments:
  4030.        The Hybryd Virus was submitted in January, 1991, and is from Poland.
  4031.        This virus is a non-resident direct action infector of .COM files,
  4032.        including COMMAND.COM.
  4033.  
  4034.        When a program infected with Hybryd is executed, the virus will
  4035.        look for an uninfected .COM program in the current directory.  If an
  4036.        uninfected program is found, the virus will infect it.  Infected
  4037.        .COM programs will have a file length increase of 1,306 bytes, the
  4038.        virus will be located at the end of the infected program.  This virus
  4039.        alters the file time so that the seconds field in the file time is 62,
  4040.        the indicator that the file is infected.  Just viewing the directory,
  4041.        though, it appears that the file date and time has not been altered.
  4042.  
  4043.        The following text strings are contained within the Hybryd Virus, though
  4044.        they cannot be viewed in infected files as they are encrypted:
  4045.  
  4046.                "(C) Hybryd Soft
  4047.                 Specjalne podziekowania dla
  4048.                 Andrzeja Kadlofa i Mariusza Deca
  4049.                 za artykuly w Komputerze 11/88"
  4050.  
  4051.        In the submitted sample, the one text string that is not encrypted is
  4052.        the following, which is also found in replicated samples:
  4053.  
  4054.                "Copyright IBM Corp 1981,1987
  4055.                 Licensed Material - Program Property of IBM"
  4056.  
  4057.        This string should not be taken to indicate that IBM necessarily had
  4058.        anything to do with the creation of this virus.
  4059.  
  4060.        On Friday The 13ths starting in 1992, this virus will overwrite the
  4061.        current drive's boot sector when an infected program is executed.  It
  4062.        may also corrupt program files at that time when they are executed.
  4063.  
  4064.  
  4065.  Virus Name:  Hymn
  4066.  Aliases:
  4067.  V Status:    Rare
  4068.  Discovered:  December, 1990
  4069.  Symptoms:    .COM & .EXE growth; decrease in system and available free memory
  4070.  Origin:      USSR
  4071.  Eff Length:  1,865 Bytes
  4072.  Type Code:   PRhA - Resident Parasitic .COM & .EXE Infector
  4073.  Detection Method:  ViruScan V74+
  4074.  Removal Instructions: Scan/D, or Delete infected files
  4075.  General Comments:
  4076.        The Hymn Virus was submitted in December, 1990, and originated in the
  4077.        USSR.  This virus is a memory resident infector of .COM and .EXE files,
  4078.        and will infect COMMAND.COM.
  4079.  
  4080.        The first time a program infected with the Hymn Virus is executed, the
  4081.        virus will install itself memory resident at the top of system memory
  4082.        but below the 640K DOS boundary.  The DOS ChkDsk program will show that
  4083.        total system memory and available free memory have decreased by 3,712
  4084.        bytes.  This virus does not move the interrupt 12 return.  COMMAND.COM
  4085.        will also become infected at this time.
  4086.  
  4087.        Once Hymn is memory resident, it will infect .COM and .EXE files which
  4088.        are over approximately 2K in length when they are executed or openned
  4089.        for any reason.  Infected .COM files will increase in length by
  4090.        1,865 bytes.  Infected .EXE files will have a file length increase of
  4091.        1,869 to 1,883 bytes.  In both cases the virus will be located at the
  4092.        end of the infected file.
  4093.  
  4094.        Infected programs will contain two text strings within the viral code:
  4095.                "ibm@SNS"
  4096.                "@ussr@"
  4097.  
  4098.        It is not known what Hymn does when it activates, but it is assumed
  4099.        from the name that under some conditions it may play music.
  4100.  
  4101.  
  4102.  Virus Name:  Icelandic
  4103.  Aliases:     656, One In Ten, Disk Crunching Virus, Saratoga 2
  4104.  V Status:    Extinct
  4105.  Discovered:  June, 1989
  4106.  Symptoms:    .EXE growth, Resident TOM, bad sectors, FAT corruption
  4107.  Origin:      Iceland
  4108.  Eff Length:  656 bytes
  4109.  Type Code:   PRfE - Resident Parasitic .EXE Infector
  4110.  Detection Method:  ViruScan/X V67+, F-Prot, Pro-Scan, VirexPC, AVTK 3.5+
  4111.               VirHunt 2.0+
  4112.  Removal Instructions: Scan/D/X, Pro-Scan 1.4+, VirexPC 1.1B, F-Prot,
  4113.               VirHunt 2.0+
  4114.  General Comments:
  4115.        The Icelandic, or "Disk Crunching Virus", was originally
  4116.        isolated in Iceland in June 1989.  This virus only infects
  4117.        .EXE files, with infected files growing in length between
  4118.        656 and 671 bytes.  File lengths after infection will always
  4119.        be a multiple of 16.  The virus attaches itself to the end
  4120.        of the programs it infects, and infected files will always
  4121.        end with hex '4418,5F19'.
  4122.  
  4123.        The Icelandic virus will copy itself to the top of free memory
  4124.        the first time an infected program is executed.  Once in high
  4125.        memory, it hides from memory mapping programs.  If a program
  4126.        later tries to write to this area of memory, the computer will
  4127.        crash.  If the virus finds that some other program has "hooked"
  4128.        Interrupt 13, it will not proceed to infect programs.  If
  4129.        Interrupt 13 has not been "hooked", it will attempt to infect
  4130.        every 10th program executed.
  4131.  
  4132.        On systems with only floppy drives, or 10 MB hard disks, the
  4133.        virus will not cause any damage.  However, on systems with
  4134.        hard disks larger than 10 MB, the virus will select one unused
  4135.        FAT entry and mark the entry as a bad sector each time it
  4136.        infects a program.
  4137.  
  4138.        Also see: Icelandic-II, Icelandic-III, Mix/1, Saratoga
  4139.  
  4140.  
  4141.  Virus Name:  Icelandic-II
  4142.  Aliases:     System Virus, One In Ten
  4143.  V Status:    Extinct
  4144.  Discovered:  July, 1989
  4145.  Symptoms:    .EXE growth, Resident TOM, FAT corruption
  4146.               date changes, loss of Read-Only
  4147.  Origin:      Iceland
  4148.  Eff Length:  632 Bytes
  4149.  Type Code:   PRfE - Parasitic Resident .EXE Infector
  4150.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  4151.               AVTK 3.5+, VirHunt 2.0+
  4152.  Removal Instructions: Scan/D/X, Pro-Scan 1.4+, VirexPC 1.1B, F-Prot,
  4153.               VirHunt 2.0+
  4154.  General Comments:
  4155.        The Icelandic-II Virus is a modified version of the Icelandic
  4156.        Virus, and was isolated for the first time in July 1989 in
  4157.        Iceland.  These two viruses are very similar, so only the
  4158.        changes to this variant are indicated here, refer to Icelandic
  4159.        for the base virus information.
  4160.  
  4161.        Each time the Icelandic-II virus infects a program, it will
  4162.        modify the file's date, thus making it fairly obvious that
  4163.        the program has been changed.  The virus will also remove
  4164.        the read-only attribute from files, but does not restore it
  4165.        after infecting the program.
  4166.  
  4167.        The Icelandic-II virus can infect programs even if the system
  4168.        is running an anti-viral TSR that monitors interrupt 21, such
  4169.        as FluShot+.
  4170.  
  4171.        On hard disks larger than 10 MB, there are no bad sectors
  4172.        marked in the FAT as there is with the Icelandic virus.
  4173.  
  4174.        Also see: Icelandic, Icelandic-III, Mix/1, Saratoga
  4175.  
  4176.  
  4177.  Virus Name:  Icelandic-III
  4178.  Aliases:     December 24th
  4179.  V Status:    Endangered
  4180.  Discovered:  December, 1989
  4181.  Symptoms:    .EXE growth, Resident TOM, bad sectors, FAT corruption,
  4182.               Dec 24 message.
  4183.  Origin:      Iceland
  4184.  Eff Length:  853 Bytes
  4185.  Type Code:   PRfE - Parasitic Resident .EXE Infector
  4186.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  4187.               AVTK 3.5+, VirHunt 2.0+
  4188.  Removal Instructions: F-Prot, Scan/D/X, Pro-Scan 1.4+, VirexPC 1.1B,
  4189.               VirHunt 2.0+, or delete infected files
  4190.  General Comments:
  4191.        The Icelandic-III Virus is a modified version of the Icelandic
  4192.        Virus, and was isolated for the first time in December 1989 in
  4193.        Iceland.  These two viruses are very similar, so only the
  4194.        changes to this variant are indicated here, refer to Icelandic
  4195.        for the base virus information.
  4196.  
  4197.        The Icelandic-III virus's id string in the last 2 words of the
  4198.        program is hex '1844,195F', the bytes in each word being
  4199.        reversed from the id string ending the Icelandic and
  4200.        Icelandic-II viruses.  There are also other minor changes to
  4201.        the virus from the previous Icelandic viruses, including the
  4202.        addition of several NOP instructions.
  4203.  
  4204.        Before the virus will infect a program, it checks to see if the
  4205.        program has been previously infected with Icelandic or
  4206.        Icelandic-II, if it has, it does not infect the program.
  4207.        Files infected with the Icelandic-III virus will have their
  4208.        length increased by between 848 and 863 bytes.
  4209.  
  4210.        If an infected program is run on December 24th of any year,
  4211.        programs subsequently run will be stopped, later displaying
  4212.        the message "Gledileg jol" ("Merry Christmas" in Icelandic)
  4213.        instead.
  4214.  
  4215.        Also see: Icelandic, Icelandic-II, Mix/1, Saratoga
  4216.  
  4217.  
  4218.  Virus Name:  IKV 528
  4219.  Aliases:
  4220.  V Status:    New
  4221.  Discovered:  January, 1991
  4222.  Symptoms:    .COM & .EXE growth
  4223.  Origin:      Unknown
  4224.  Eff Length:  528 Bytes
  4225.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  4226.  Detection Method:  ViruScan V74+
  4227.  Removal Instructions: Scan/D, or Delete infected files
  4228.  General Comments:
  4229.        The IKV 528 Virus was submitted in January, 1991, its origin and
  4230.        isolation point are unknown.  This virus is a non-resident infector
  4231.        of .COM files.  It will infect COMMAND.COM.
  4232.  
  4233.        When a program infected with IKV 528 is executed, the virus will
  4234.        infect two .COM programs in the current directory.  .COM programs which
  4235.        are smaller than 520 bytes will not be infected.  Infected .COM
  4236.        programs will increase in length by 528 bytes.  The virus will be
  4237.        located at the end of infected programs.  The file date and time in the
  4238.        disk directory will not be altered by the virus.
  4239.  
  4240.        This virus does not do anything besides replicate.
  4241.  
  4242.  
  4243.  Virus Name:  Invader
  4244.  Aliases:     Plastique Boot
  4245.  V Status:    Common
  4246.  Discovered:  September, 1990
  4247.  Symptoms:    TSR; .COM & .EXE growth; BSC; music
  4248.  Origin:      Taiwan/China
  4249.  Eff Length:  4,096 Bytes
  4250.  Type Code:   PRsAB - Parasitic Resident .COM, .EXE, & Boot Sector Infector
  4251.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  4252.  Removal Instructions: Scan/D, CleanUp V67+, or Delete infected files
  4253.  General Comments:
  4254.        The Invader Virus was isolated in September, 1990 in China.
  4255.        This virus is a later version of the Plastique-B or Plastique 5.21
  4256.        Virus.  It is a memory resident infector of .COM and .EXE files,
  4257.        but not COMMAND.COM.  It also infects boot sectors.  In September
  4258.        1990, many reports of infections of this virus have been received,
  4259.        it appears to have spread very rapidly.
  4260.  
  4261.        The first time a program infected with the Invader virus is
  4262.        executed, the virus will install itself memory resident as a low
  4263.        system memory TSR.  The TSR is 5,120 Bytes and interrupts 08, 09,
  4264.        13, and 21 will be hooked.
  4265.  
  4266.        At this time, the virus will also infect the boot sector of the drive
  4267.        where the infected program was executed.  The new boot sector is an
  4268.        MSDOS 3.30 boot sector, and can be easily identified because the
  4269.        normal DOS error messages found in the boot sector are now at the
  4270.        beginning of the boot sector instead of the end.
  4271.  
  4272.        After the virus has become memory resident, any .COM or .EXE file
  4273.        (with the exception of COMMAND.COM) openned will be infected by the
  4274.        virus.  Infected .COM files will increase in length by 4,096 bytes
  4275.        with the viral code being located at the beginning of the infected
  4276.        file.  .EXE files will increase in length between 4,096 and 4,110
  4277.        bytes with the viral code being located at the end of the infected
  4278.        file.
  4279.  
  4280.        Additionally, any non-write protected diskettes which are exposed to
  4281.        the infected system will have their boot sectors infected.
  4282.  
  4283.        The Invader Virus activates after being memory resident for
  4284.        30 minutes.  At that time, a melody may be played on the system
  4285.        speaker.  On systems which play the melody, it will continue until
  4286.        the system is rebooted.  The melody isn't played on 286 based systems,
  4287.        but is noticeable on the author's 386SX test machine.
  4288.  
  4289.        Also see: Plastique, Plastique-B
  4290.  
  4291.  
  4292.  Virus Name:  Iraqui Warrior
  4293.  Aliases:     Iraqui
  4294.  V Status:    New
  4295.  Discovered:  January, 1991
  4296.  Symptoms:    .COM growth; Closely spaced beeps from system speaker;
  4297.               system hangs; boot failures
  4298.  Origin:      USA
  4299.  Eff Length:  777 Bytes
  4300.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  4301.  Detection Method:  ViruScan V74+
  4302.  Removal Instructions: Scan/D, or Delete infected files
  4303.  General Comments:
  4304.        The Iraqui Warrior Virus was isolated on January 17, 1991 in the
  4305.        United States.  This virus is a non-memory resident infector of .COM
  4306.        files, including COMMAND.COM.  It is based on the Vienna Virus.
  4307.  
  4308.        When a program infected with the Iraqui Warrior Virus is executed, the
  4309.        virus will infect one of the first four .COM files located on the
  4310.        current drive and current directory.  Infected .COM files will have
  4311.        a file length increase of 777 bytes with the virus being located at the
  4312.        end of the file.
  4313.  
  4314.        The following text strings can be found in infected files, the first
  4315.        two occurring near the beginning of the virus, and the last being
  4316.        located very near the end of the infected file:
  4317.  
  4318.                "I come to you from The Ayatollah!"
  4319.                "(c)1990, VirusMasters"
  4320.                "An Iraqui Warrior is in your computer..."
  4321.  
  4322.        None of these messages are displayed by the virus.
  4323.  
  4324.        Systems infected with the Iraqui Warrior virus may occassionally
  4325.        experience the system speaker issuing a series of closely spaced beeps
  4326.        when an infected program is executed.  When this occurs, the system
  4327.        will hang and have to be rebooted.  The beeps continue until the reboot
  4328.        occurs.
  4329.  
  4330.        Booting from a disk where COMMAND.COM has been infected will result in
  4331.        a "Memory allocation error, Cannot start COMMAND, exiting" message
  4332.        appearing.
  4333.  
  4334.        The Iraqui Warrior does not appear to do anything else besides the
  4335.        above.
  4336.  
  4337.  
  4338.  Virus Name:  Itavir
  4339.  Aliases:     3880
  4340.  V Status:    Endangered
  4341.  Discovered:  March, 1990
  4342.  Symptoms:    .EXE growth, COMMAND.COM file, Boot sector corruption
  4343.  Origin:      Italy
  4344.  Eff Length:  3,880 Bytes
  4345.  Type Code:   PNE - Parasitic Non-Resident .EXE Infector
  4346.  Detection Method:  ViruScan V60+, Pro-Scan 1.4+
  4347.  Removal Instructions: Scan/D, or delete infected files
  4348.  General Comments:
  4349.        The Itavir virus was isolated in March 1990 by a group of
  4350.        students at the Milan Politechnic in Milan, Italy.  The Itavir
  4351.        virus is a non-resident generic .EXE Infector.  Infected files
  4352.        will increase in length by 3,880 bytes.  Infected systems,
  4353.        besides having files which have increased in length, will
  4354.        usually have a file with the name COMMAND.COM somewhere on
  4355.        the disk.  The first character of this file name is an
  4356.        unprintable character.  The COMMAND.COM file contains the
  4357.        pure virus code and is used for appending to files as they
  4358.        are infected.
  4359.  
  4360.        The Itavir virus activates at some time period after the system
  4361.        has been running for more than 24 hours.  When it activates, the
  4362.        boot sector is corrupted, rendering the system unbootable.  The
  4363.        virus also displays a message in Italian and writes ansi values
  4364.        from 0 thru 255 to all available I/O ports, thus confusing any
  4365.        attached peripheral devices.  Some monitors may show a flickering
  4366.        effect when this occurs, while some VGA monitors may actually
  4367.        "hiss".
  4368.  
  4369.  
  4370.  Virus Name:  Jeff
  4371.  Aliases:
  4372.  V Status:    Rare
  4373.  Discovered:  December, 1990
  4374.  Symptoms:    .COM growth; overwritten sectors on hard disk
  4375.  Origin:      USA
  4376.  Eff Length:  814 Bytes
  4377.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  4378.  Detection Method:  ViruScan V72+, Pro-Scan 2.01+
  4379.  Removal Instructions:  Scan/D, or Delete infected files
  4380.  General Comments:
  4381.        The Jeff Virus was isolated in the United States in December, 1990.
  4382.        This virus is a non-resident infector of .COM files, including
  4383.        COMMAND.COM.
  4384.  
  4385.        When a program infected with the Jeff Virus is executed, the virus
  4386.        will attempt to infect one .COM file on the C: drive, starting in
  4387.        the root directory.  Infected .COM files will increase in size by
  4388.        814 to 828 bytes, with the virus being located at the end of the
  4389.        infected program.
  4390.  
  4391.        The Jeff Virus received its name from the following text string which
  4392.        is encrypted in the viral code:
  4393.  
  4394.                "Jeff is visiting your hard disk"
  4395.  
  4396.        While Jeff is visiting your hard disk, it will occasionally write
  4397.        some sectors of random memory contents to the hard disk.  If these
  4398.        sectors are written to the boot sector, partition table, or FAT, the
  4399.        contents of the disk may become inaccessible or produce unexpected
  4400.        results.
  4401.  
  4402.  
  4403.  Virus Name:  Jerusalem
  4404.  Aliases:     PLO, Israeli, Friday 13th, Russian, 1813(COM), 1808(EXE)
  4405.  V Status:    Common
  4406.  Discovered:  October, 1987
  4407.  Symptoms:    TSR, .EXE & .COM growth, system slowdown, deleted files
  4408.               on Friday 13th, "Black WIndow"
  4409.  Origin:      Israel
  4410.  Eff Length:  1,813 (COM files) & 1,808 (EXE files) bytes
  4411.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  4412.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC 1.1+,
  4413.               AVTK 3.5+, VirHunt 2.0+
  4414.  Removal Instructions:  Scan/D/A, Saturday, CleanUp, UnVirus, F-Prot,
  4415.               VirexPC 1.1+, Pro-Scan 1.4+
  4416.  General Comments:
  4417.        The Jerusalem Virus was originally isolated at Hebrew
  4418.        University in Israel in the Fall of 1987.  Jerusalem is a memory
  4419.        resident infector of .COM and .EXE files, with .EXE file being
  4420.        reinfected each time they are executed due to a bug in the
  4421.        virus.
  4422.  
  4423.        This virus redirects interrupt 8, and 1/2 hour after execution
  4424.        of an infected program the system will slow down by a factor
  4425.        of 10.  Additionally, some Jerusalem Virus variants will have a
  4426.        "Black Window" or "Black Box" appear on the lower left side of
  4427.        the screen which will scroll up the screen as the screen scrolls.
  4428.  
  4429.        On Friday The 13ths, after the virus is installed in memory,
  4430.        every program executed will be deleted from disk.
  4431.  
  4432.        The identifier for some strains is "sUMsDos", however,
  4433.        this identifier is usually not found in the newer variants of
  4434.        Jerusalem.
  4435.  
  4436.        The Jerusalem Virus is thought to have been based on the Suriv 3.00
  4437.        Virus, though the Suriv 3.00 Virus was isolated after the Jerusalem
  4438.        Virus.
  4439.  
  4440.        Also see: Jerusalem B, New Jerusalem, Payday, Suriv 3.00
  4441.  
  4442.  
  4443.  Virus Name:  Jerusalem B
  4444.  Aliases:     Arab Star, Black Box, Black Window, Hebrew University
  4445.  V Status:    Common
  4446.  Discovered:  January, 1988
  4447.  Symptoms:    TSR, .EXE & .COM growth, system slowdown, deleted files
  4448.               on Friday 13th, "Black WIndow"
  4449.  Origin:      Israel
  4450.  Eff Length:  1,813 (.COM files) & 1,808 (.EXE files) bytes
  4451.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  4452.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC 1.1+,
  4453.               AVTK 3.5+, VirHunt 2.0+
  4454.  Removal Instructions:  F-Prot, Saturday, CleanUp, UnVirus, VirexPC 1.1+
  4455.               Pro-Scan 1.4+
  4456.  General Comments:
  4457.        Identical to the Jerusalem virus, except that in some cases
  4458.        it does not reinfect .EXE files.  Jerusalem B is the most
  4459.        common of all PC viruses, and can infect .SYS and program
  4460.        overlay files in addition to .COM and .EXE files.
  4461.  
  4462.        Not all variants of the Jerusalem B virus slow down the
  4463.        system after an infection has occurred.
  4464.  
  4465.        Also, it should be noted that Jerusalem viruses will only activate
  4466.        if they actually become memory resident on their activation date.  If
  4467.        the system clock rolls over to the activation date and the virus is
  4468.        already memory resident, they will not typically activate and perform
  4469.        any destructive behavior they may be intended to perform.
  4470.  
  4471.        Known variants of Jerusalem B are:
  4472.        A-204      : Jerusalem B with the sUMsDos text string changed to
  4473.            *A-204*, and a couple of instructions changed in order to
  4474.            avoid detection.  This variant will slow down the system
  4475.            after being memory resident for 30 minutes, as well as having
  4476.            a black box appear at that time.
  4477.            Origin: Delft, The Netherlands
  4478.        Anarkia    : Jerusalem B with the timer delay set to slow
  4479.            down the system to a greater degree, though this effect
  4480.            doesn't show until a much longer time has elapsed.  No
  4481.            Black Box is never displayed.  The sUMsDos id-string has
  4482.            been changed to ANARKIA.  Lastly, the virus's activation
  4483.            date has been changed to Tuesday The 13ths, instead of
  4484.            Friday The 13ths.  Origin: Spain
  4485.        Anarkia-B  : Similar to Anarkia, with the exception that the
  4486.            virus now activates on any October 12th instead of on
  4487.            Tuesday The 13ths.
  4488.        Jerusalem-C: Jerusalem B without the timer delay to slow
  4489.            down the processor.
  4490.        Jerusalem-D: Jerusalem C which will destroy both copies of
  4491.            the FAT on any Friday The 13th after 1990.
  4492.        Jerusalem-E: Jerusalem D but the activation is in 1992.
  4493.        Mendoza    : Based on the Jerusalem B virus, this variant does
  4494.            not reinfect .EXE files.  It is also missing the black box
  4495.            effect.  Mendoza activates in the second half of the year
  4496.            (July - December), at which time any day will have a 10%
  4497.            chance of having all programs executed deleted.
  4498.            Origin: Argentina
  4499.        Park ESS: Isolated in October, 1990 in Happy Camp, California, this
  4500.            variant is very similar to other Jerusalem viruses.  Infected
  4501.            .COM files increase in length by 1,813 bytes, and infected .EXE
  4502.            files will increase in length by 1,808 to 1,822 bytes with the
  4503.            first infection, and 1,808 on later subsequent infections.  This
  4504.            variant will also infect COMMAND.COM.  The other major difference
  4505.            from the "normal" Jerusalem is that the sUMsDos string has been
  4506.            replaced.  The string PARK ESS can be found in the viral code
  4507.            within all infected files.  This variant slows down the system
  4508.            by approximately 20 percent and a "black window" will appear after
  4509.            the virus has been memory resident for 30 minutes.
  4510.        Puerto  : Isolated in June, 1990 in Puerto Rico, this variant is
  4511.            very similar to the Mendoza variant, the virus contains the
  4512.            sUMsDos id-string.  .EXE files may be infected multiple times.
  4513.        Skism-1 : Isolated in December, 1990 in New York State, this variant
  4514.            is similar to many other Jerusalems except with regards to when
  4515.            and what it does upon activation.  Rather than activate on
  4516.            Friday The 13ths and delete files, this variant activates in the
  4517.            years 1991 and later on any Friday which occurs after the 15th of
  4518.            the month.  On activation, it truncates any file which is attempted
  4519.            to be executed to zero bytes.  COM files will increase in size
  4520.            upon infection by 1,808 bytes, EXE files will increase by 1,808 to
  4521.            1,822 bytes.  EXE files will be reinfected by the virus.  The
  4522.            sUMsDos string in the virus is now SKISM-1.  Like Jerusalem, this
  4523.            variant produces a "black window" 30 minutes after becoming
  4524.            memory resident, and also slows down the system.
  4525.        Spanish JB : Similar to Jerusalem, it reinfects .EXE files.
  4526.            The increased file size on .COM files is always 1,808
  4527.            bytes.  On .EXE files, the increased file size may be
  4528.            either 1,808 or 1,813, with reinfections always adding
  4529.            1,808 bytes to the already infected file.  No "Black
  4530.            Box" appears.  The characteristic sUMsDos id-string does
  4531.            not appear in the viral code.  This variant is also sometimes
  4532.            identified as Jerusalem E2.  Origin: Spain
  4533.        Jerusalem DC: Similar to Jerusalem B, this variant has the sUMsDos
  4534.            text string changed to 00h characters.  After being memory resident
  4535.            for 30 minutes, the system will slow down by 30% and the common
  4536.            "black window" will appear on the lower left side of the screen.
  4537.            Like Jerusalem, it will infect .EXE files multiple times.  This
  4538.            variant does not carry an activation date when it will delete
  4539.            files, it appears for all intents to be "defanged".
  4540.            Origin: Washington, DC, USA
  4541.  
  4542.        Also see: Jerusalem, Frere Jacques, New Jerusalem, Payday,
  4543.                  Suriv 3.00, Westwood
  4544.  
  4545.  
  4546.  Virus Name:  JoJo
  4547.  Aliases:
  4548.  V Status:    Rare
  4549.  Discovered:  May, 1990
  4550.  Symptoms:    .COM growth, system hangs
  4551.  Origin:      Israel
  4552.  Eff Length:  1,701 Bytes
  4553.  Type Code:   PRaC - Parasitic Resident .COM Infector
  4554.  Detection Method:  ViruScan V63+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+
  4555.  Removal Instructions: Scan/D, F-Prot 1.12+, Pro-Scan 2.01+
  4556.  General Comments:
  4557.        The JoJo virus was discovered in Israel in May, 1990.  The virus'
  4558.        name comes from a message within the viral code:
  4559.  
  4560.           "Welcome to the JOJO Virus."
  4561.  
  4562.        One other message appears within the virus, indicating that it was
  4563.        written in 1990.  This message is: "Fuck the system (c) - 1990".
  4564.        Both messages within the viral code are never displayed.
  4565.  
  4566.        When the first file infected with the JoJo Virus is executed on a
  4567.        system, the virus will install itself memory resident.  The
  4568.        method used is to alter the Command Interpreter in memory,
  4569.        expanding its size.  As an example, on my test system, the
  4570.        Command Interpreter in memory increased in size from 3,536 bytes
  4571.        to 5,504 bytes.  One block of 48 bytes is also reserved in
  4572.        available free memory.  The change in free memory will
  4573.        be a net decrease of 2,048 bytes.
  4574.  
  4575.        The JoJo Virus will not infect files if interrupt 13 is in use
  4576.        by any other program.  Instead the virus will clear the screen,
  4577.        and the system will be hung.  If the user performs a warm reboot
  4578.        (Ctrl-Alt-Del), the virus will remain in memory.
  4579.  
  4580.        Once the virus is able to become memory resident with interrupt 13
  4581.        hooked, any .COM file executed will be infected by the virus.
  4582.        Infected files will increase in length by 1,701 bytes.
  4583.  
  4584.        While this virus has the same length as the Cascade/1701 Virus, it
  4585.        is not a variant of Cascade.
  4586.  
  4587.        Also see: JoJo 2
  4588.  
  4589.  
  4590.  Virus Name:  JoJo 2
  4591.  Aliases:
  4592.  V Status:    New
  4593.  Discovered:  January, 1991
  4594.  Symptoms:    .COM growth; Message; "Not enough memory" errors; system hangs;
  4595.               cursor position off 1 character
  4596.  Origin:      United States
  4597.  Eff Length:  1,703 Bytes
  4598.  Type Code:   PRaCK - Parasitic Resident .COM Infector
  4599.  Detection Method:
  4600.  Removal Instructions: Delete infected files
  4601.  General Comments:
  4602.        The JoJo 2 Virus was submitted in January, 1991, by David Grant of the
  4603.        United States.  This virus is based on the JoJo Virus as well as
  4604.        containing part of the decryption string for the Cascade Virus.  It is
  4605.        a memory resident infector of .COM files, including COMMAND.COM.
  4606.  
  4607.        The first time a program infected with the JoJo 2 Virus is executed,
  4608.        the virus will install itself memory resident by altering the command
  4609.        interpretor in memory.  The command interpretor in memory will have a
  4610.        size increase of 1,904 bytes.  There is an additional 48 bytes which is
  4611.        reserved by the virus as well, similar to JoJo.
  4612.  
  4613.        Once the virus is memory resident, it will infect .COM files as they
  4614.        are executed.  If COMMAND.COM is executed for any reason, it will become
  4615.        infected.  Infected .COM programs will have a file size increase of
  4616.        1,703 bytes with the virus being located at the end of the infected
  4617.        file.
  4618.  
  4619.        Text strings which can be found in files infected with the JoJo 2 Virus
  4620.        are:
  4621.  
  4622.                "The JOJO virus strikes again.xxxxxxxxxxxx zzz"
  4623.                "Fuck the system 1990 - (c)"
  4624.                "141$FLu"
  4625.  
  4626.        Systems infected with the JoJo 2 virus may experience system hangs
  4627.        when some infected programs are executed.  Infected programs may also
  4628.        display the "Fuck the system 1990 - (c)" string, or a string of garbage
  4629.        characters from memory.  Attempts to execute some programs may also
  4630.        fail due to "Not enough memory" errors.  Lastly, after the virus has
  4631.        been resident for awhile, the user may notice that the cursor on the
  4632.        system monitor is off by one position to the right from where it should
  4633.        be.
  4634.  
  4635.        JoJo 2 may be detected by some anti-viral utilities as an infection
  4636.        of JoJo and Cascade/1701/1704.
  4637.  
  4638.        Also see: JoJo
  4639.  
  4640.  
  4641.  Virus Name:  Joker
  4642.  Aliases:     Jocker
  4643.  V Status:    Extinct
  4644.  Discovered:  December, 1989
  4645.  Symptoms:    Messages, .EXE/.DBF growth
  4646.  Origin:      Poland
  4647.  Eff Length:  ??? Bytes
  4648.  Type Code:   PNE - Parasitic Non-Resident .EXE Infector
  4649.  Detection Method:  ViruScan/X V67+, Pro-Scan, VirexPC
  4650.  Removal Instructions: Scan/D/X, or delete infected files
  4651.  General Comments:
  4652.        The Joker Virus was isolated in Poland in December, 1989.
  4653.        This virus is a generic .EXE file infector, and is a poor
  4654.        replicator (ie. it does not quickly infect other files).
  4655.  
  4656.        Programs which are infected with the Joker virus will
  4657.        display bogus error messages and comments.  These messages
  4658.        and comments can be found in the infected files at the
  4659.        beginning of the viral code.  Here are some of the
  4660.        messages and comments that may be displayed:
  4661.  
  4662.        "Incorrect DOS version"
  4663.        "Invalid Volume ID Format failure"
  4664.        "Please put a new disk into drive A:"
  4665.        "End of input file"
  4666.        "END OF WORKTIME.  TURN SYSTEM OFF!"
  4667.        "Divide Overflow"
  4668.        "Water detect in Co-processor"
  4669.        "I am hungry! Insert HAMBURGER into drive A:"
  4670.        "NO SMOKING, PLEASE!"
  4671.        " Thanks."
  4672.        "Don't beat me !!"
  4673.        "Don't drink and drive."
  4674.        "Another cup of cofee ?"
  4675.        " OH, YES!"
  4676.        "Hard Disk head has been destroyed. Can you borow me your one?"
  4677.        "Missing light magenta ribbon in printer!"
  4678.        "In case mistake, call GHOST BUSTERS"
  4679.        "Insert tractor toilet paper into printer."
  4680.  
  4681.        This virus may also alter .DBF files, adding messages to
  4682.        them.
  4683.  
  4684.        The sample in the author of this listing possession does not
  4685.        replicate on an 8088 based system.  This entry has been included
  4686.        since the sample may have been damaged before its receipt by
  4687.        the author.  At best, there is a serious bug in the replication
  4688.        portion of this virus which prevents it from replicating.
  4689.  
  4690.  
  4691.  Virus Name:  Joshi
  4692.  Aliases:     Happy Birthday Joshi, Stealth Virus
  4693.  V Status:    Common
  4694.  Discovered:  June, 1990
  4695.  Symptoms:    BSC, machine hangs and message
  4696.  Origin:      India
  4697.  Eff Length:  N/A
  4698.  Type Code:   BRX - Resident Boot Sector/Partition Table Infector
  4699.  Detection Method:  ViruScan V64+, Pro-Scan 1.4+
  4700.  Removal Instructions:  CleanUp V66+, Pro-Scan 1.4+, RmJoshi,
  4701.               or Low-Level Format Harddisk and DOS SYS floppies
  4702.  General Comments:
  4703.        The Joshi Virus was isolated in India in June 1990.  At the time it was
  4704.        isolated, it was reported to be widespread in India as well as
  4705.        portions of the continent of Africa.  Joshi is a memory resident
  4706.        boot sector infector of 5.25" diskettes.  It will also infect
  4707.        hard disks, though in the case of hard disks it infects the partition
  4708.        table or master boot sector rather than the boot sector (sector 0).
  4709.  
  4710.        After a system has been booted from a Joshi-infected diskette, the
  4711.        virus will be resident in memory.  Joshi takes up approximately
  4712.        6K of system memory, and infected systems will show that total
  4713.        system memory is 6K less than is installed if the DOS CHKDSK program
  4714.        is run.
  4715.  
  4716.        Joshi has some similarities to two other boot sector infectors.
  4717.        Like the Stoned virus, it infects the partition table of hard disks.
  4718.        Similar to the Brain virus's method of redirecting all attempts to
  4719.        read the boot sector to the original boot sector, Joshi does this with
  4720.        the partition table.
  4721.  
  4722.        On January 5th of any year, the Joshi virus activates.  At that
  4723.        time, the virus will hang the system while displaying the message:
  4724.  
  4725.              "type Happy Birthday Joshi"
  4726.  
  4727.        If the system user then types "Happy Birthday Joshi", the system
  4728.        will again be usable.
  4729.  
  4730.        This virus may be recognized on infected systems by powering off
  4731.        the system and then booting from a known-clean write-protected
  4732.        DOS diskette.  Using a sector editor or viewer to look at the
  4733.        boot sector of suspect diskettes, if the first two bytes of the
  4734.        boot sector are hex EB 1F, then the disk is infected.  The EB 1F
  4735.        is a jump instruction to the rest of the viral  code. The remainder
  4736.        of the virus is stored on track 41, sectors 1 thru 5 on 360K
  4737.        5.25 inch Diskettes.  For 1.2M 5.25 inch diskettes, the viral code
  4738.        is located at track 81, sectors 1 thru 5.
  4739.  
  4740.        To determine if a system's hard disk is infected, you must look at
  4741.        the hard disk's partition table.  If the first two bytes of the
  4742.        partition table are EB 1F hex, then the hard disk is infected.  The
  4743.        remainder of the virus can be found at track 0, sectors 2 thru 6.
  4744.        The original partition table will be a track 0, sector 9.
  4745.  
  4746.        The Joshi virus can be removed from an infected system by first
  4747.        powering off the system, and then booting from a known-clean, write-
  4748.        protected master DOS diskette.  If the system has a hard disk, the
  4749.        hard disk should have data and program files backed up, and the
  4750.        disk must be low-level formatted.  As of July 15, 1990, there are
  4751.        no known utilities which can disinfect the partition table of the
  4752.        hard disk when it is infected with Joshi.  Diskettes are easier to
  4753.        remove Joshi from, the DOS SYS command can be used, or a program
  4754.        such as MDisk from McAfee Associates, though this will leave the
  4755.        viral code in an inexecutable state on track 41.
  4756.  
  4757.  
  4758.  Virus Name:  July 13TH
  4759.  Aliases:
  4760.  V Status:    Endangered
  4761.  Discovered:  April, 1990
  4762.  Symptoms:    .EXE file growth, screen effects on July 13
  4763.  Origin:      Madrid, Spain
  4764.  Eff Length:  1,201 Bytes
  4765.  Type Code:   PNE - Parasitic Non-Resident .EXE Infector
  4766.  Detection Method:  ViruScan V64+, VirexPC, F-Prot 1.12+
  4767.  Removal Instructions: Scan/D, F-Prot 1.12+, or delete infected files
  4768.  General Comments:
  4769.        The July 13TH Virus was isolated in Madrid, Spain, in April 1990
  4770.        by Guillermo Gonzalez Garcia.  This virus is a generic .EXE file
  4771.        infector, and is not memory resident.
  4772.  
  4773.        When a program infected with the July 13TH Virus is executed, the
  4774.        virus will attempt to infect a .EXE file.  Files are only infected
  4775.        if they are greater in length than 1,201 bytes.  Infected files
  4776.        increase in size by 1,201 to 1,209 bytes.
  4777.  
  4778.        The July 13TH Virus activates on July 13th of any year.  At that
  4779.        time, a bouncing ball effect occurs on the system monitor's screen
  4780.        similar to the bouncing ball effect of the Ping Pong virus.  While
  4781.        this virus is disruptive, it does not cause any overt damage to
  4782.        files other than infecting them.  The bouncing ball effect created
  4783.        by this virus will occasionally leave dots on the screen where
  4784.        it was passing if the screen has been scrolled for any reason.
  4785.  
  4786.  
  4787.  Virus Name:  June 16TH
  4788.  Aliases:     Pretoria
  4789.  V Status:    Endangered
  4790.  Discovered:  April, 1990
  4791.  Symptoms:    .COM file growth, long disk accesses, June 16th FAT alteration
  4792.  Origin:      Republic of South Africa
  4793.  Eff Length:  879 Bytes
  4794.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  4795.  Detection Method:  ViruScan V62+, Pro-Scan 1.4+, VirexPC, AVTK 3.5+,
  4796.               F-Prot 1.12+, VirHunt 2.0+
  4797.  Removal Instructions: VirHunt 2.0+, Scan/D, Pro-Scan 2.01+
  4798.  General Comments:
  4799.        The June 16TH, or Pretoria, virus was discovered in April 1990.
  4800.        This virus is a non-resident generic .COM file infector, and is
  4801.        encrypted.  The first time an infected file is executed, the virus
  4802.        will search the current drive (all directories) and infect all
  4803.        .COM files found.  The search period can be quite long, and it is
  4804.        very obvious on hard disk based systems that the program is taking
  4805.        too long to load.
  4806.  
  4807.        On June 16TH of any year, the first time an infected file is
  4808.        executed the virus will activate.  On activation, the virus will
  4809.        change all entries in the root directory and the file allocation
  4810.        table to "ZAPPED".
  4811.  
  4812.        The June 16TH virus is thought to have originated in South
  4813.        Africa.
  4814.  
  4815.  
  4816.  Virus Name:  Kamikazi
  4817.  Aliases:
  4818.  V Status:    Endangered
  4819.  Discovered:  August, 1990
  4820.  Symptoms:    program corruption, system hangs, system reboots
  4821.  Origin:      Bulgaria
  4822.  Eff Length:  4,031 Bytes
  4823.  Type Code:   ONE - Overwriting Non-Resident .EXE Infector
  4824.  Detection Method: Pro-Scan 2.01+
  4825.  Removal Instructions: Delete infected files
  4826.  General Comments:
  4827.        The Kamikazi Virus was submitted by Vesselin Bontchev of Bulgaria in
  4828.        August, 1990.  This virus is a non-resident overwriting virus, and
  4829.        infects .EXE files.
  4830.  
  4831.        When a program infected with the Kamikazi virus is executed, the virus
  4832.        will infect another .EXE file in the current directory if the .EXE
  4833.        file's length is greater than 4,031 bytes.  Kamikazi simply overwrites
  4834.        the first 4,031 bytes of the candidate program with its viral code,
  4835.        thus permanently damaging the candidate program being infected.  The
  4836.        original 4,031 bytes of code is not stored at any other location.
  4837.        Infected files do not change in length.
  4838.  
  4839.        After infecting another .EXE program, the virus will then change the
  4840.        first 8 bytes of the infected program that was executed to
  4841.        "kamikazi", thus the virus's name.  At this point, one of several
  4842.        symptoms may appear: the system may be rebooted by the virus, some
  4843.        of the contents of memory may get displayed on the screen, or the
  4844.        program may complete execution having appeared to have done nothing
  4845.        at all.  In any event, the original executed program will never run
  4846.        successfully, doing what the user expects.
  4847.  
  4848.        If the infected program is executed a second time, it will hang the
  4849.        system since it is no longer an executable program.  The .EXE header
  4850.        has been permanently damaged due to the first 8 characters having been
  4851.        changed to "kamikazi" by the virus when it was first executed.
  4852.  
  4853.  
  4854.  Virus Name:  Kemerovo
  4855.  Aliases:     USSR 257
  4856.  V Status:    Rare
  4857.  Discovered:  December, 1990
  4858.  Symptoms:    .COM growth; ????????COM Path not found." message;
  4859.               file date/time changes
  4860.  Origin:      USSR
  4861.  Eff Length:  257 Bytes
  4862.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  4863.  Detection Method:  ViruScan V74+
  4864.  Removal Instructions: Scan/D, or Delete infected files
  4865.  General Comments:
  4866.        The Kemerovo Virus was submitted in December, 1990 and is from the
  4867.        USSR.  This virus is a non-resident direct action infector of .COM
  4868.        files, including COMMAND.COM.
  4869.  
  4870.        When a program infected with the Kemerovo Virus is executed, the virus
  4871.        will search the current drive and directory for a .COM program to
  4872.        infect.  If an uninfected COM program is found, the virus will infect
  4873.        it, adding its viral code to the end of the original program.  The
  4874.        newly infected program's date and time in the disk directory will also
  4875.        be updated to the current system date and time of infection.  Infected
  4876.        programs will increase in length by 257 bytes.
  4877.  
  4878.        If an uninfected .COM file was not found in the current directory, the
  4879.        message "????????COM Path not found" may be displayed and the program
  4880.        the user is attempting to execute will be terminated.
  4881.  
  4882.        Kemerovo does not do anything besides replicate.
  4883.  
  4884.  
  4885.  Virus Name:  Kennedy
  4886.  Aliases:     Dead Kennedy, 333
  4887.  V Status:    Endangered
  4888.  Discovered:  April, 1990
  4889.  Symptoms:    .COM growth, message on trigger dates (see text),
  4890.               crosslinking of files, lost clusters, FAT corruption
  4891.  Origin:      Denmark
  4892.  Eff Length:  333 Bytes
  4893.  Type Code:   PNCKF - Parasitic Non-Resident .COM Infector
  4894.  Detection Method:  ViruScan V62+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+,
  4895.               VirHunt 2.0+
  4896.  Removal Instructions: Scan/D, F-Prot 1.12+, VirHunt 2.0+,
  4897.               or delete infected files
  4898.  General Comments:
  4899.        The Kennedy Virus was isolated in April 1990.  It is a generic
  4900.        infector of .COM files, including COMMAND.COM.
  4901.  
  4902.        This virus has three activation dates: June 6 (assassination of
  4903.        Robert Kennedy 1968), November 18 (death of Joseph Kennedy 1969),
  4904.        and November 22 (assassination of John F. Kennedy 1963) of any
  4905.        year. On activation, the virus will display a message the following
  4906.        message:
  4907.  
  4908.                "Kennedy is dead - long live 'The Dead Kennedys'"
  4909.  
  4910.        The following text strings can be found in the viral code:
  4911.                "\command.com"
  4912.                "The Dead Kennedys"
  4913.  
  4914.        Systems infected with the Kennedy Virus will experience
  4915.        crosslinking of files, lost clusters, and file allocation table
  4916.        errors (including messages that the file allocation table is
  4917.        bad).
  4918.  
  4919.  
  4920.  Virus Name:  Keypress
  4921.  Aliases:
  4922.  V Status:    Common
  4923.  Discovered:  October, 1990
  4924.  Symptoms:    .COM & .EXE growth; decrease in available free memory;
  4925.               keystrokes repeated unexpectedly
  4926.  Origin:      USA
  4927.  Eff Length:  1,232 Bytes
  4928.  Type Code:   PRhAK - Parasitic Resident .COM & .EXE Infector
  4929.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  4930.  Removal Instructions: Clean-Up V71+, or Delete infected files
  4931.  General Comments:
  4932.        The Keypress Virus was reported and isolated in many locations in the
  4933.        United States in late October, 1990.  This virus is a memory resident
  4934.        infector of .COM and .EXE files, including COMMAND.COM.
  4935.  
  4936.        The first time a program infected with the Keypress Virus is executed,
  4937.        the virus will install itself memory resident at the top of free
  4938.        available memory, but below the 640K DOS boundary.  Interrupts 1C and
  4939.        21 will be hooked by the virus.  Available free memory on the system
  4940.        will have decreased by 1,232 bytes.
  4941.  
  4942.        After the virus is memory resident, any file executed may become
  4943.        infected by the virus.  In the case of .COM files, they are only
  4944.        infected if their original file length was greater than 1,232 bytes.
  4945.        .EXE files of any length will be infected, as will COMMAND.COM if it
  4946.        is executed.  Infected programs will have their directory date/time
  4947.        changed to the system date and time when they were infected by this
  4948.        virus.  .COM files will increase in length by between 1,234 and
  4949.        1,248 bytes upon infection.  .EXE files will increase by 1,472 to
  4950.        1,486 bytes upon infection.  In either case, the virus will be located
  4951.        at the end of the infected file.
  4952.  
  4953.        The Keypress Virus activates after being memory resident for 30 minutes.
  4954.        Upon activation, the virus may interfer with keyboard input by repeating
  4955.        keystrokes.  For example, if "a" is entered on the keyboard, it may be
  4956.        changed to "aaaaaa" by the virus.
  4957.  
  4958.        Infected files can be identified by containing the following hex string
  4959.        near the end of the infected program: 4333C98E1E2901CD21.
  4960.  
  4961.  
  4962.  Virus Name:  Korea
  4963.  Aliases:     LBC Boot
  4964.  V Status:    Common - Korea
  4965.  Discovered:  March, 1990
  4966.  Symptoms:    BSC - 360k disks 
  4967.  Origin:      Seoul, Korea
  4968.  Eff Length:  N/A
  4969.  Type Code:   RF - Resident Floppy Boot Sector Infector
  4970.  Detection Method:  ViruScan V61+, VirHunt 2.0+
  4971.  Removal Instructions: M-Disk, or DOS SYS Command
  4972.  General Comments:
  4973.        The Korea, or LBC Boot, Virus was isolated in March 1990 in
  4974.        Seoul, Korea.  This virus is a memory resident boot sector
  4975.        infector for 5.25" 360K diskettes.
  4976.  
  4977.        The Korea virus is not intentionally destructive, it does nothing
  4978.        in its current form except for replicating.  In some instances,
  4979.        when Korea infects a diskette it will damage the root directory as
  4980.        it moves the original boot sector to sector 11, the last sector of
  4981.        the root directory.  If sector 11 previously contained directory
  4982.        entries, they will be lost.
  4983.  
  4984.  
  4985.  Virus Name:  Lehigh
  4986.  Aliases:     Lehigh University
  4987.  V Status:    Rare
  4988.  Discovered:  November, 1987
  4989.  Symptoms:    Corrupts boot sector & FAT
  4990.  Origin:      Pennsylvania, USA
  4991.  Eff Length:  N/A
  4992.  Type Code:   ORaKT - Overwriting Resident COMMAND.COM Infector
  4993.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC, AVTK 3.5+,
  4994.               VirHunt 2.0+
  4995.  Removal Instructions: MDisk & replace COMMAND.COM with clean copy, or
  4996.        F-Prot
  4997.  General Comments:
  4998.        The Lehigh virus infects only the COMMAND.COM file on both
  4999.        floppies and hard drives.  The infection mechanism is to over-
  5000.        write the stack space.  When a disk which contains an
  5001.        uninfected copy of COMMAND.COM is accessed, that disk is then
  5002.        infected.  A infection count is kept in each copy of the virus,
  5003.        and after 4 infections, the virus overwrites the boot sector and
  5004.        FATs.
  5005.  
  5006.        A variation of the Lehigh virus, Lehigh-2, exists which
  5007.        maintains its infection counter in RAM and corrupts the boot
  5008.        sector and FATs after 10 infections.
  5009.  
  5010.        Known variants of the Lehigh virus are:
  5011.        Lehigh-2 : Similar to Lehigh, but the infection counter is maintained
  5012.                   in RAM, and the corruption of the boot sector and FATs
  5013.                   occurs after 10 infections.
  5014.        Lehigh-B : Similar to Lehigh, the virus has been modified to
  5015.                   avoid detection.
  5016.  
  5017.  
  5018.  Virus Name:  Leprosy
  5019.  Aliases:     Leprosy 1.00, News Flash
  5020.  V Status:    Rare
  5021.  Discovered:  August, 1990
  5022.  Symptoms:    unusual messages; program corruption
  5023.  Origin:      California, USA
  5024.  Eff Length:  666 Bytes
  5025.  Type Code:   ONAK - Overwriting Non-Resident .COM & .EXE Infector
  5026.  Detection Method:  ViruScan/X V67+
  5027.  Removal Instructions: Scan/D/X, or Delete infected files
  5028.  General Comments:
  5029.        The Leprosy Virus was discovered in the San Francisco Bay Area of
  5030.        California on August 1, 1990.  This virus is a non-resident
  5031.        overwriting virus infecting .COM and .EXE files, including
  5032.        COMMAND.COM.  Its original carrier file is suspected to be a file
  5033.        called 486COMP.ZIP which was uploaded to several BBSes.
  5034.  
  5035.        When you execute a program infected with the Leprosy virus, the virus
  5036.        will overwrite the first 666 bytes of all .COM and .EXE files in
  5037.        the directory one level up from the current directory.  If the
  5038.        current directory is the root directory, all programs in the root
  5039.        directory will be infected.  If COMMAND.COM is located in the directory
  5040.        being infected, it will also be overwritten.  Infected files will show
  5041.        no file length increase unless they were originally less than 666
  5042.        bytes in length, in which case their length will become 666 bytes.
  5043.  
  5044.        After the virus has infected the .COM and .EXE files, it will display
  5045.        a message.  The message will be either:
  5046.  
  5047.                "Program to big to fit in memory"
  5048.  
  5049.        or:
  5050.  
  5051.                "NEWS FLASH!!  Your system has been infected with the
  5052.                 incurable decay of LEPROSY 1.00, a virus invented by
  5053.                 PCM2 in June of 1990.  Good luck!"
  5054.  
  5055.        The second message will only be displayed by one out of every seven
  5056.        .COM and .EXE files that the program infects.
  5057.  
  5058.        Since Leprosy is an overwriting virus, the programs which are
  5059.        infected with it will not function properly.  In fact, once they are
  5060.        infected with this virus they will run for awhile (while the virus is
  5061.        infecting other files) and then display one of the two messages.  The
  5062.        program execution will then end.
  5063.  
  5064.        If the system is booted from a diskette or hard drive that has Leprosy
  5065.        in its COMMAND.COM file, one of the above two messages will be
  5066.        displayed followed by:
  5067.  
  5068.                "Bad or missing Command Interpreter"
  5069.  
  5070.        This boot problem occurs because COMMAND.COM is no longer really
  5071.        COMMAND.COM.  The boot will not proceed until a system boot diskette
  5072.        is inserted into the system and another boot is attempted.
  5073.  
  5074.        While Leprosy's messages are encrypted in the virus, infected files
  5075.        can be found by checking for the following hex string near the
  5076.        beginning of the file:
  5077.  
  5078.                740AE8510046FE06F002EB08
  5079.  
  5080.        Infected files must be deleted and replaced with clean, uninfected
  5081.        copies.  There is no way to disinfect this virus since the first 666
  5082.        bytes of the file have been overwritten, the virus does not store
  5083.        those bytes anywhere else.
  5084.  
  5085.        Known variant(s) of the Leprosy virus are:
  5086.        Leprosy-B : The major differences between the Leprosy and Leprosy-B
  5087.                virus are that Leprosy-B uses a slightly different encryption
  5088.                method, thus allowing it to avoid detection once Leprosy was
  5089.                isolated.  Additionally, instead of infecting all programs in
  5090.                the directory selected for infection, Leprosy-B will infect
  5091.                four programs in the current directory each time an infected
  5092.                program is executed.  If four non-infected files do not exist
  5093.                in the current directory, it will move up one level in the
  5094.                directory structure and infect up to four files in that
  5095.                directory.  Like Leprosy, it overwrites the first 666 bytes
  5096.                of infected files.  The Leprosy message has been replaced
  5097.                with the following message:
  5098.  
  5099.                "ATTENTION!  Your computer has been afflicted with
  5100.                 the incurable decay that is the fate wrought by
  5101.                 Leprosy Strain B, a virus employing Cybernetic
  5102.                 Mutation Technology (tm) and invented by PCM2  08/90."
  5103.  
  5104.  
  5105.  Virus Name:  Liberty
  5106.  Aliases:
  5107.  V Status:    Common
  5108.  Discovered:  May, 1990
  5109.  Symptoms:    .COM, .EXE, .OVL growth
  5110.  Origin:      Sydney, Australia
  5111.  Eff Length:  2,862 Bytes
  5112.  Type Code:   PRfAK - Parasitic Resident .COM & .EXE Infector
  5113.  Detection Method:  ViruScan V63+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+,
  5114.               VirHunt 2.0+
  5115.  Removal Instructions: VirHunt 2.0+, Clean-Up V72+, or Delete infected files
  5116.  General Comments:
  5117.        The Liberty Virus was isolated in Sydney, Australia in May, 1990.
  5118.        Liberty is a memory resident generic file infector, infecting
  5119.        .COM, .EXE, and overlay files.  COMMAND.COM may also become
  5120.        infected.
  5121.  
  5122.        The Liberty Virus gets its name from the text string "Liberty"
  5123.        which will appear in all infected files.  In .EXE files, it will
  5124.        be located in the last 3K of the file.  In .COM files, it will
  5125.        appear near the very beginning of the program, as well as within the
  5126.        last 3K of the infected file.
  5127.  
  5128.        The first time a file infected with the Liberty Virus is executed,
  5129.        the virus will become memory resident.  Liberty installs itself
  5130.        resident in high free memory, resulting in a decrease of 8,496 bytes
  5131.        of available free memory.  It also directly changes the interrupt
  5132.        map page in memory so that interrupts 21 and 24 will put the virus in
  5133.        control.  Total system memory does not change.
  5134.  
  5135.        After becoming memory resident, programs which are executed may
  5136.        be infected by the virus.  All .EXE files will be infected, but
  5137.        only .COM files over 2K in length will become infected.  Overlay
  5138.        files will also become infected.  Infected files will increase
  5139.        in size between 2,862 and 2,887 bytes, and will end with the hex
  5140.        character string: 80722D80FA81772880.  The main body of the virus will
  5141.        be located at the end of all infected files.
  5142.  
  5143.        Infected .COM files can also be identified by the following text
  5144.        string which will appear near the beginning of the infected program:
  5145.  
  5146.                "- M Y S T I C - COPYRIGHT (C) 1989-2000, by SsAsMsUsEsL"
  5147.  
  5148.        This string does not appear in infected .EXE files, the area where
  5149.        this string would have appeared in infected .EXE files will be 00h
  5150.        characters.
  5151.  
  5152.        Liberty is a self-encrypting virus.  It is not yet known if it
  5153.        is destructive.
  5154.  
  5155.        Known variant(s) of Liberty are:
  5156.        Liberty-B : Isolated in November, 1990, this strain is functionally
  5157.                similar to the original Liberty Virus.  The string which
  5158.                occurs at the end of all infected files has been changed
  5159.                to: C8004C40464842020EB.  The word "MAGIC" will also be found
  5160.                repeated together many times in infected files.
  5161.        Liberty-C : Isolated in January, 1991, this variant is very similar to
  5162.                Liberty-B, there are 16 bytes which have been changed.  Like
  5163.                Liberty-B, the word "MAGIC" will be found repeated together
  5164.                many times in infected files.  The string which occurs at the
  5165.                end of all infected files has been changed to:
  5166.                C8004C404648422020E9.
  5167.  
  5168.  
  5169.  Virus Name:  Lisbon
  5170.  Aliases:
  5171.  V Status:    Rare
  5172.  Discovered:  November, 1989
  5173.  Symptoms:    .COM growth, Unusable files (see text)
  5174.  Origin:      Lisbon, Portugal
  5175.  Eff Length:  648 bytes
  5176.  Type Code:   PNC - Parasitic Non-Resident COM Infector
  5177.  Detection Method:  ViruScan V49+, F-Prot, IBM Scan, Pro-Scan, AVTK 3.5+,
  5178.               VirHunt 2.0+
  5179.  Removal Instructions: Scan/D, Pro-Scan 1.4+, VirexPC, F-Prot, VirHunt 2.0+
  5180.  General Comments:
  5181.        The Lisbon virus is a strain of the Vienna virus first
  5182.        isolated by Jean Luz in Portugal in November, 1989.  The virus
  5183.        is very similar to Vienna, except that almost every word in
  5184.        the virus has been shifted 1-2 bytes in order to avoid virus
  5185.        identification/detection programs which could identify the
  5186.        Vienna virus.
  5187.  
  5188.        1 out of every 8 infected files will have the 1st 5 bytes of
  5189.        the 1st sector changed to "@AIDS", thus rendering the
  5190.        program unusable.
  5191.  
  5192.        Also see: Vienna
  5193.  
  5194.  
  5195.  Virus Name:  Little Pieces
  5196.  Aliases:     1374
  5197.  V Status:    New
  5198.  Discovered:  January, 1991
  5199.  Symptoms:    .COM & .EXE growth; decrease in available free memory; message;
  5200.               system hangs; unexpected screen clears
  5201.  Origin:      Italy
  5202.  Eff Length:  1,374 Bytes
  5203.  Type Code:   PRaE - Parasitic Resident .EXE Infector
  5204.  Detection Method:  ViruScan V74+
  5205.  Removal Instructions: Scan/D, or Delete infected programs
  5206.  General Comments:
  5207.        The Little Pieces Virus was isolated in January, 1991, in Italy.  This
  5208.        virus is a 1,374 byte memory resident infector of .EXE files.
  5209.  
  5210.        The first time a program infected with Little Pieces is executed, the
  5211.        virus will install itself memory resident.  The area where it is memory
  5212.        resident is 1,392 bytes long and labelled COMMAND Data in low system
  5213.        memory.  Some memory mapping utilities will combine this area with the
  5214.        command interpretor, so the command interpretor will appear to be 1,392
  5215.        bytes longer than expected.  Interrupts 13, 16, and 21 are hooked by
  5216.        the Little Pieces Virus.
  5217.  
  5218.        Once Little Pieces is memory resident, it will infect .EXE programs
  5219.        as they are executed.  Infected .EXE programs will increase in size by
  5220.        1,374 bytes and have the virus located at the end of the infected
  5221.        file.  Infected files will not have their date and time in the disk
  5222.        directory altered.
  5223.  
  5224.        Systems infected with the Little Pieces Virus may experience the system
  5225.        display being cleared unexpectedly after a key is pressed on the
  5226.        keyboard.  The following message is usually displayed after the
  5227.        screen is cleared, though not always:
  5228.  
  5229.                "One of these days I'm going to cut you into little pieces"
  5230.  
  5231.        This message cannot be viewed in infected files as it is encrypted
  5232.        within the virus.
  5233.  
  5234.        Infected system may also experience unexpected system hangs occurring,
  5235.        requiring the system to be rebooted.  These hangs sometimes occur after
  5236.        the above message is displayed.
  5237.  
  5238.  
  5239.  Virus Name:  Lozinsky
  5240.  Aliases:
  5241.  V Status:    Rare
  5242.  Discovered:  December, 1990
  5243.  Symptoms:    .COM file growth; file date/time changes;
  5244.               decrease in total system and available free memory
  5245.  Origin:      USSR
  5246.  Eff Length:  1,023 Bytes
  5247.  Type Code:   PRtCK - Parasitic Resident .COM Infector
  5248.  Detection Method:  ViruScan V74+
  5249.  Removal Instructions: Scan/D, or Delete infected programs
  5250.  General Comments:
  5251.        The Lozinsky Virus was submitted in December, 1990 from the USSR.
  5252.        Lozinsky is a memory resident infector of .COM files, including
  5253.        COMMAND.COM.
  5254.  
  5255.        When the first program infected with Lozinsky is executed, the virus
  5256.        will install itself memory resident at the top of system memory but
  5257.        below the 640K DOS boundary.  Interrupt 12's return will be moved so
  5258.        that the system will report 2,048 bytes of memory less than what is
  5259.        actually installed.  Interrupts 13 and 21 will be hooked by the virus.
  5260.        COMMAND.COM will also become infected at this time.
  5261.  
  5262.        After Lozinsky is memory resident, it will infect .COM files which are
  5263.        executed or openned for any reason.  Infected programs will show a file
  5264.        length increase of 1,023 bytes and have the virus located at the end
  5265.        of the program.  Their date and time in the disk directory will also
  5266.        have been updated to the system date and time when the program was
  5267.        infected by Lozinsky.
  5268.  
  5269.        It is unknown if Lozinsky does anything besides replicate.
  5270.  
  5271.  
  5272.  Virus Name:  Mardi Bros
  5273.  Aliases:
  5274.  V Status:    Rare
  5275.  Discovered:  July, 1990
  5276.  Symptoms:    BSC; volume label change; decrease in system and free memory
  5277.  Origin:      France
  5278.  Eff Length:  N/A
  5279.  Type Code:   FR - Floppy Boot Sector Infector
  5280.  Detection Method:  ViruScan V66+
  5281.  Removal Instructions: M-Disk, or DOS SYS Command
  5282.  General Comments:
  5283.        The Mardi Bros Virus was isolated in July 1990 in France.  This virus
  5284.        is a memory resident infector of floppy disk boot sectors.  It does
  5285.        not infect hard disk boot sectors or partition tables.
  5286.  
  5287.        When a system is booted from a diskette infected with the Mardi Bros
  5288.        Virus, the virus will install itself memory resident.  It resides in
  5289.        7,168 bytes above the top of memory, but below the 640K DOS Boundary.
  5290.        The decrease in system and free memory can be seen using the DOS
  5291.        CHKDSK command, or several other memory mapping utilities.
  5292.  
  5293.        Mardi Bros will infect any non-write protected diskette which is
  5294.        exposed to the system.  Infected diskettes can be easily identified
  5295.        as their volume label will be changed to "Mardi Bros".  The CHKDSK
  5296.        program will show the following for the diskette's Volume label
  5297.        information:
  5298.  
  5299.             "Volume Mardi Bros created ira 0, 1980 12:00a"
  5300.  
  5301.        While the infected boot sector on the diskette will have the DOS
  5302.        messages still remaining, it will also include the following phrase
  5303.        near the end:
  5304.  
  5305.             "Sudah ada vaksin"
  5306.  
  5307.        It is unknown if Mardi Bros is destructive, it appears to do nothing
  5308.        but spread.
  5309.  
  5310.        Mardi Bros can be removed from infected diskettes by first powering
  5311.        off the system and rebooting from a known clean write protected
  5312.        DOS master diskette.  The DOS SYS command should then be used to
  5313.        replace the infected diskette's boot sector.  Alternately, MDisk
  5314.        can be used following the power-down and reboot.
  5315.  
  5316.  
  5317.  Virus Name:  MG
  5318.  Aliases:
  5319.  V Status:    New
  5320.  Discovered:  September, 1990
  5321.  Symptoms:    .COM file growth; DIR command may not function properly;
  5322.               File allocation errors; System hangs
  5323.  Origin:      Bulgaria
  5324.  Eff Length:  500 Bytes
  5325.  Type Code:   PRCK - Parasitic Resident .COM Infector
  5326.  Detection Method:  ViruScan V74+
  5327.  Removal Instructions: Scan/D, or Delete infected files
  5328.  General Comments:
  5329.        The MG Virus was submitted in January, 1991, though it has been
  5330.        mentioned by Bulgarian researchers several times since September, 1990.
  5331.        This virus is named MG as it was originally isolated at
  5332.        Matematicheska Gimnazia, a school in Varna, Bulgaria.  It is a memory
  5333.        resident infector of .COM files, including COMMAND.COM.
  5334.  
  5335.        The first time a program infected with MG is executed, the virus will
  5336.        install itself memory resident in a portion of the interrupt table in
  5337.        memory.  Interrupt 24 is hooked by the virus, as are several other
  5338.        interrupts.
  5339.  
  5340.        After MG is memory resident, it will infect programs when one of two
  5341.        things occurs: either the user attempts to execute any program, or a
  5342.        Dir command is performed.  In the case of a program being executed, the
  5343.        virus will infect one program in the current directory, though not
  5344.        necessarily the program being executed.  When a Dir command is executed,
  5345.        one program in the current directory will be infected as well.
  5346.  
  5347.        .COM programs infected with MG will increase in length by 500 bytes,
  5348.        though the file length increase will not be visible in a dir listing
  5349.        if the virus is memory resident.  File date and time in the disk
  5350.        directory are also not altered.  The virus will be located at the end
  5351.        of infected programs.
  5352.  
  5353.        Symptoms of a MG infection are that the DOS Chkdsk program will show
  5354.        File allocation errors on all infected .COM programs if the virus is
  5355.        present in memory.  The DOS Dir command may also not function properly,
  5356.        for example DIR A:*.COM will yield "File not found" even though .COM
  5357.        files exist on the A: drive.  At other times, pauses will occur in the
  5358.        disk directory being displayed by the Dir command.  Another symptom is
  5359.        that unexpected system hangs may occur due to the interrupt table being
  5360.        infected in memory.
  5361.  
  5362.        Also see: MG-2
  5363.  
  5364.  
  5365.  Virus Name:  MG-2
  5366.  Aliases:
  5367.  V Status:    New
  5368.  Discovered:  December, 1990
  5369.  Symptoms:    .COM file growth; File Allocation Errors;
  5370.               Dir command may not function properly
  5371.  Origin:      Bulgaria
  5372.  Eff Length:  500 Bytes
  5373.  Type Code:   PRsCK - Parasitic Resident .COM Infector
  5374.  Detection Method:  ViruScan V74+
  5375.  Removal Instructions: Scan/D, or Delete infected files
  5376.  General Comments:
  5377.        The MG-2 Virus was received in December, 1990, and is believed to have
  5378.        originated in Bulgaria.  This virus is a direct action, memory resident
  5379.        infector of .COM programs, including COMMAND.COM.
  5380.  
  5381.        When a program infected with the MG-2 Virus is first executed, the
  5382.        virus will install itself memory resident.  The DOS ChkDsk command,
  5383.        when executed on an infected system, will indicate that total system
  5384.        memory and available free memory have decreased by 55,104 bytes.  This
  5385.        virus remaps many interrupts, including interrupt 24.  A portion of the
  5386.        virus will also be resident above 640K if memory is available.
  5387.  
  5388.        After the MG-2 Virus is memory resident, it will infect one .COM
  5389.        program in the current directory each time an infected .COM program is
  5390.        executed.  Infected .COM programs will not show a file length increase
  5391.        if the virus is memory resident.  With the virus memory resident, the
  5392.        DOS ChkDsk command will indicate a file allocation error for all
  5393.        infected files.  Infected files actually increase 500 bytes in length
  5394.        and have the virus located at the end of the infected file.
  5395.  
  5396.        Systems infected with the MG-2 Virus may notice that the DOS Dir
  5397.        command does not always return the results expected.  For example,
  5398.        issuing a "DIR C:\DOS" command may result in the C: drive root directory
  5399.        being displayed instead of the C:\DOS directory. Another case is that
  5400.        issuing the command "DIR A:*.COM" will result in "File not found" though
  5401.        .COM files exist on that drive.
  5402.  
  5403.        Known variant(s) of MG-2 are:
  5404.        MG-3    : Functionally similar to MG-2, this variant has been altered
  5405.                  to avoid detection.  It is also 500 bytes in length.
  5406.  
  5407.        Also see: MG
  5408.  
  5409.  
  5410.  Virus Name:  MGTU
  5411.  Aliases:
  5412.  V Status:    Rare
  5413.  Discovered:  December, 1990
  5414.  Symptoms:    .COM file growth; excessive disk activity; file date/time changes;
  5415.               "????????COM Path not found." message
  5416.  Origin:      USSR
  5417.  Eff Length:  273 Bytes
  5418.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  5419.  Detection Method:  ViruScan V74+
  5420.  Removal Instructions: Scan/D, or Delete infected files
  5421.  General Comments:
  5422.        The MGTU Virus was submitted in December, 1990 and came from the USSR.
  5423.        This virus is a non-resident direct action infector of .COM files,
  5424.        including COMMAND.COM.
  5425.  
  5426.        When a program infected with the MGTU Virus is executed, the virus will
  5427.        search the current drive and directory for uninfected .COM programs.
  5428.        All uninfected .COM programs will become infected with the virus.
  5429.        Infected .COM programs will have a file length increase of 273 bytes
  5430.        with the virus being located at the end of the file.  Their date and
  5431.        time in the disk directory will also have been updated to the system
  5432.        date and time when infection occurred.
  5433.  
  5434.        Infected systems will display excessive disk activity each time an
  5435.        infected program is executed.  This activity occurs because the virus
  5436.        is checking all of the .COM programs in the current directory to
  5437.        determine if they are already infected, or if they need to be infected.
  5438.        Infected systems may also experience the following message being
  5439.        displayed for no apparent reason:
  5440.  
  5441.                "????????COM Path not found."
  5442.  
  5443.         MGTU does not do anything besides replicate.
  5444.  
  5445.  
  5446.  Virus Name:  Microbes
  5447.  Aliases:
  5448.  V Status:    Common - India
  5449.  Discovered:  June, 1990
  5450.  Symptoms:    BSR
  5451.  Origin:      Bombay, India
  5452.  Eff Length:  N/A
  5453.  Type Code:   BR - Floppy and Hard Disk Boot Sector Infector
  5454.  Detection Method:  ViruScan V64+, Pro-Scan 1.4+
  5455.  Removal Instructions: M-Disk, Pro-Scan 1.4+, or DOS SYS Command
  5456.  General Comments:
  5457.        The Microbes virus was isolated in June, 1990 in India.  It is a
  5458.        memory resident boot sector infector of both floppy diskettes and
  5459.        hard disks.
  5460.  
  5461.        The Microbes virus becomes memory resident when a system is booted
  5462.        from a disk infected with the Microbes virus.  The system may hang
  5463.        on this boot, and inserted a diskette to boot from will result in
  5464.        this new diskette becoming infected.  At least on the author's XT
  5465.        test system, the system could not successfully boot with the
  5466.        Microbes virus present without powering off the system and rebooting
  5467.        from a write protected master boot diskette.
  5468.  
  5469.        As with other boot sector infectors, Microbes can be disinfected
  5470.        from diskettes and hard drives by powering off the system and
  5471.        booting from a known clean write protected master boot diskette
  5472.        for the system.  The DOS SYS command can then be used to recreate
  5473.        the boot sector on the diskette.
  5474.  
  5475.  
  5476.  Virus Name:  Mirror
  5477.  Aliases:
  5478.  V Status:    Rare
  5479.  Discovered:  October, 1990
  5480.  Symptoms:    .EXE growth; decrease in available free memory; mirror effect
  5481.               of display on activation
  5482.  Origin:      Unknown
  5483.  Eff Length:  927 Bytes
  5484.  Type Code:   PRhE - Parasitic Resident .EXE Infector
  5485.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  5486.  Removal Instructions: Scan/D, or Delete infected files
  5487.  General Comments:
  5488.        The Mirror Virus was discovered in October, 1990.  This virus is a
  5489.        memory resident direct action infector of .EXE files.
  5490.  
  5491.        The first time a program infected with the Mirror Virus is executed,
  5492.        the virus will install itself memory resident at the top of free
  5493.        available memory.  Free available memory will decrease by 928 bytes,
  5494.        and the virus will hook interrupt 21.  At this time, the virus will
  5495.        also infect all other .EXE programs located in the current directory.
  5496.        Infected programs will increase in length by 927 to 940 bytes, with
  5497.        the virus being located at the end of the infected file.  Infected
  5498.        programs will also always end with the two text characters "IH".
  5499.  
  5500.        The Mirror Virus gets its name from its behavior.  Every once in awhile
  5501.        it will change the system's video display so that a mirror image of
  5502.        what was previously on the display appears.
  5503.  
  5504.  
  5505.  Virus Name:  MIX/1
  5506.  Aliases:     MIX1, Mix1
  5507.  V Status:    Rare
  5508.  Discovered:  August, 1989
  5509.  Symptoms:    TSR, .EXE growth, location 0:33C = 77h, garbled output
  5510.  Origin:      Israel
  5511.  Eff Length:  1,618 Bytes
  5512.  Type Code:   PRsE - Parasitic Resident .EXE Infector
  5513.  Detection Method:  ViruScan V37+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  5514.               AVTK 3.5+, VirHunt 2.0+
  5515.  Removal Instructions: Scan/D, Virus Buster, Pro-Scan 1.4+, VirexPC 1.1B+,
  5516.               F-Prot, VirHunt 2.0+
  5517.  General Comments:
  5518.        The MIX1 Virus was originally isolated on August 22, 1989, on
  5519.        several BBSs in Israel.  This virus is a parasitic memory-
  5520.        resident .EXE file infector.  Once an infected program has been
  5521.        executed, the virus will take up 2,048 bytes in RAM.  Each
  5522.        .EXE file then executed will grow in length between 1,618 and
  5523.        1,634 bytes, depending on the original file size.  The virus
  5524.        will not, however, infect files of less than 8K in size.
  5525.  
  5526.        Infected files can be manually identified by a characteristic
  5527.        "MIX1" always being the last 4 bytes of an infected file.
  5528.        Using Debug, if byte 0:33C equals 77h, then the MIX1 virus is
  5529.        in memory.
  5530.  
  5531.        This virus will cause garbled output on both serial and
  5532.        parallel devices, as well as the num-lock being constantly
  5533.        on.  After the 6th infection, booting the system will crash
  5534.        the system due to a bug in the code, and a ball will start
  5535.        bouncing on the system monitor.
  5536.  
  5537.        There is a variant of this virus which does not have the
  5538.        problem of system crashes occurring, and will only infect files
  5539.        that are greater than 16K in length.
  5540.  
  5541.        Mix/1 has several code similarities to Icelandic, which it may
  5542.        have been derived from.
  5543.  
  5544.        Also see: Icelandic
  5545.  
  5546.  
  5547.  Virus Name:  Monxla
  5548.  Aliases:     Time Virus
  5549.  V Status:    Rare
  5550.  Discovered:  November, 1990
  5551.  Symptoms:    .COM growth; system hangs and/or reboots; program execution
  5552.               failures
  5553.  Origin:      Hungary
  5554.  Eff Length:  939 Bytes
  5555.  Type Code:   PRfCK - Parasitic Resident .COM Infector
  5556.  Detection Method:  ViruScan V71+
  5557.  Removal Instructions:  Scan/D, or Delete infected files
  5558.  General Comments:
  5559.        The Monxla, or Time, Virus was discovered in November, 1990 in Hungary.
  5560.        This virus is a memory resident direct action infector of .COM files,
  5561.        including COMMAND.COM.
  5562.  
  5563.        When a program infected with the Monxla Virus is executed, the virus
  5564.        will check the current system time.  If the system time's current
  5565.        seconds is greater than 32/100's of a second, the virus will install
  5566.        a very small portion of itself memory resident at the top of free
  5567.        memory but below the 640K DOS boundary.  The virus allocates 80 bytes,
  5568.        and will hook interrupts 20 and F2.  The F2 interrupt is later used to
  5569.        determine if the virus is in memory, thus avoiding multiple memory
  5570.        allocations.  The memory resident portion of the virus is not used to
  5571.        infect files.
  5572.  
  5573.        Each time a program infected with the Monxla Virus is executed, the
  5574.        virus will search for one uninfected .COM file with a length between
  5575.        3,840 and 64,000 bytes to infect.  The current directory is searched
  5576.        first, and then the directories along the system path.  Once an
  5577.        uninfected .COM file is found that satisfies the length requirement,
  5578.        the virus will infect it.  On other than the 13th day of any month,
  5579.        the virus will add its viral code to the end of the candidate file,
  5580.        increasing the file's length by 939 bytes.
  5581.  
  5582.        On the 13th day of any month, the virus activates.  The activation
  5583.        involves damaging the files that it infects based on the current
  5584.        seconds in the system time.  At the time the virus attempts to infect
  5585.        another .COM file, the virus will damage the file in one of three
  5586.        ways.  If the current seconds was greater than 60/100's, 4 HLTs followed
  5587.        by a random interrupt will be placed at the beginning of the file
  5588.        being infected.  Later when the program is executed, it may perform
  5589.        rather strangely be destructive.  It depends on what the random interrupt
  5590.        was.  If the current seconds was greater than 30/100's, but less than
  5591.        60/100's, two INT 19 calls are placed at the beginning of the file.
  5592.        Later when the program is executed, it will attempt to perform a warm
  5593.        reboot preserving the current interrupt vectors.  This, however, will
  5594.        result in a system hang if any interrupt between 00h and 1Ch was
  5595.        previously hooked.  If the current seconds was greater than 00/100's
  5596.        but less than 30/100's, a INT 20 call is placed at the beginning of
  5597.        the program being infected, thus resulting in it immediately terminating
  5598.        when later executed.
  5599.  
  5600.  
  5601.  Virus Name:  Monxla B
  5602.  Aliases:     Time B
  5603.  V Status:    New
  5604.  Discovered:  January, 1991
  5605.  Symptoms:    .COM growth; File corruption
  5606.  Origin:      Hungary
  5607.  Eff Length:  535 Bytes
  5608.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  5609.  Detection Method:  ViruScan V74+
  5610.  Removal Instructions:  Scan/D, or Delete infected files
  5611.  General Comments:
  5612.        The Monxla B Virus was isolated in January, 1991 in Hungary.  This virus
  5613.        is a non-resident direct action infector of .COM files, including
  5614.        COMMAND.COM.
  5615.  
  5616.        When a program infected with Monxla B is executed, the virus will check
  5617.        the seconds portion of the system time.  Depending on the value found,
  5618.        either one .COM program in the current directory will be infected, or
  5619.        one .COM program in the current directory will be corrupted.
  5620.  
  5621.        If the seconds portion of the system time is equal 0 or a multiple of 8,
  5622.        one .COM program in the current directory, or on the system path, will
  5623.        be corrupted by the first five characters of the selected .COM program
  5624.        being changed to the hex string: 004D004F4D, or " M OM" in text.
  5625.        Corrupted programs will not have a file length increase.  Later
  5626.        execution of these corrupted programs will usually result in the
  5627.        system being hung, requiring a reboot.
  5628.  
  5629.        If the seconds portion of the system time was not 0 or a multiple of 8,
  5630.        a .COM program in the current directory will be infected with Monxla B.
  5631.        If no programs exist in the current directory which are neither
  5632.        corrupted or infected, the virus will follow the system path to find a
  5633.        candidate program to infect.
  5634.  
  5635.        Infected .COM programs will increase in length by 535 bytes, the virus
  5636.        will be located at the end of infected programs.  The virus will also
  5637.        have changed the seconds in the file time in the disk directory to 58
  5638.        so that the virus can later tell that the file is infected.
  5639.  
  5640.  
  5641.  Virus Name:  Murphy
  5642.  Aliases:     Murphy-1, V1277, Stealth Virus
  5643.  V Status:    Common - Bulgaria
  5644.  Discovered:  April, 1990
  5645.  Symptoms:    .COM & .EXE growth, system hangs, speaker noise,
  5646.               possible bouncing ball effect (see Murphy-2 below)
  5647.  Origin:      Sofia, Bulgaria
  5648.  Eff Length:  1,277 Bytes
  5649.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  5650.  Detection Method:  ViruScan V63+, Pro-Scan 1.4+, F-Prot 1.12+
  5651.  Removal Instructions:  Scan/D, Pro-Scan 1.4+, or Delete infected files
  5652.  General Comments:
  5653.        The Murphy Virus was isolated in Bulgaria in April, 1990.  It is
  5654.        a memory resident generic .COM & .EXE infector, and will infect
  5655.        COMMAND.COM.
  5656.  
  5657.        The first time an infected program is executed on a system, the
  5658.        virus installs itself memory resident.  After it is memory resident,
  5659.        if a file is executed, or openned for any reason, it is infected by
  5660.        the Murphy Virus.  When the first non-infected program is executed
  5661.        with the virus in memory, the virus will attempt to infect
  5662.        COMMAND.COM.  The program being executed will also be infected at
  5663.        that time.  Infected programs will increase in length by
  5664.        1,277 Bytes.  Programs which are less than 1,277 Bytes in length
  5665.        will not be infected.
  5666.  
  5667.        The Murphy Virus watches the system time.  When the system time is
  5668.        between 10AM and 11AM, the virus will turn on the system speaker
  5669.        and send a 61h to it.  At any other time, the virus will not
  5670.        attempt to use the system speaker.
  5671.  
  5672.        The following text message is contained within the Murphy Virus,
  5673.        giving an idea of when it was written and by whom, though they are
  5674.        not displayed:
  5675.  
  5676.             "Hello, I'm Murphy.  Nice to meet you friend.
  5677.              I'm written since Nov/Dec.
  5678.              Copywrite (c)1989 by Lubo & Ian, Sofia, USM Laboratory."
  5679.  
  5680.        Systems infected by the Murphy Virus may also experience system
  5681.        hangs when the virus attempts to infect .EXE files.
  5682.  
  5683.        Known variant(s) of the Murphy Virus are:
  5684.        Murphy-2 or V1521 - Similar to the Murphy Virus, its length is 1,521
  5685.               Bytes.  The non-displayed messages in the virus are now:
  5686.  
  5687.              "It's me - Murphy.
  5688.               Copywrite (c)1990 by Lubo & Ian, Sofia, USM Laboratory."
  5689.  
  5690.               The Murphy-2 will infect any .EXE file, as well as any .COM
  5691.               file over 900 Bytes.  Instead of turning the system speaker
  5692.               on between 10AM and 11AM, this variant waits for the system
  5693.               time to have the minutes set to 00, then it may have a
  5694.               "bouncing ball" effect similar to several other viruses.
  5695.               This effect does not, however, occur on all systems.
  5696.  
  5697.  
  5698.  Virus Name:  MusicBug
  5699.  Aliases:     Music Boot, Music Bug
  5700.  V Status:    Common
  5701.  Discovered:  December, 1990
  5702.  Symptoms:    decrease in total system and available free memory; clicking;
  5703.               music randomly played on system speaker; lost clusters
  5704.  Origin:      Taiwan
  5705.  Eff Length:  N/A
  5706.  Type Code:   BRtX - Resident Boot Sector & Partition Table Infector
  5707.  Detection Method:  ViruScan V72+
  5708.  Removal Instructions:  Clean-Up V74+, or see below
  5709.  General Comments:
  5710.        The MusicBug Virus is a memory resident boot sector and partition table
  5711.        infector discovered in December, 1990.  It originated in Taiwan.
  5712.  
  5713.        When a system is booted from a diskette infected with the MusicBug
  5714.        Virus, the virus will install itself memory resident at the top of
  5715.        system memory but below the 640K DOS boundary.  The interrupt 12 return
  5716.        will be moved, so 640K systems will now report 638K of installed
  5717.        system memory.  Clicking may be heard for a short time from the system
  5718.        speaker before the boot proceeds, but more likely a section of a tune
  5719.        will be played.  The boot will then proceed.
  5720.  
  5721.        Once MusicBug is memory resident, it will periodically play another
  5722.        portion of the same tune when disk accesses occur.  It is thus rather
  5723.        disruptive.
  5724.  
  5725.        When MusicBug is memory resident, any disk accessed (including the
  5726.        system hard disk) will become infected with the virus.  In the case
  5727.        of hard disks, MusicBug infects the hard disk partition table and boot
  5728.        sector.
  5729.  
  5730.        Infected disks will have 4K in lost clusters which will contain the
  5731.        virus's code as well as a copy of the disk's original boot sector.
  5732.        The following text strings can also be found in these lost clusters:
  5733.  
  5734.                "MusicBug v1.06. MacroSoft Corp."
  5735.                "Made in Taiwan"
  5736.  
  5737.         Diskettes infected with the MusicBug Virus can be disinfected after
  5738.         powering off the system and booting from a write protected system
  5739.         diskette, then using the DOS SYS command.  The lost clusters can then
  5740.         be removed by using the ChkDsk command with the /F parameter.
  5741.  
  5742.         Hard disks, however, cannot be disinfected in the same way.  While
  5743.         the DOS SYS command will remove the virus from the hard disk's boot
  5744.         sector, and the lost clusters can be recovered, the hard disk will
  5745.         remain an unbootable non-system disk until a low-level format is
  5746.         performed.
  5747.  
  5748.  
  5749.  Virus Name:  New Jerusalem
  5750.  Aliases:
  5751.  V Status:    Rare
  5752.  Discovered:  October, 1989
  5753.  Symptoms:    TSR; .EXE, .COM, etc. (see below) growth; system slowdown; 
  5754.               deleted files on Friday 13th
  5755.  Origin:      Holland
  5756.  Eff Length:  1,813 Bytes (.COM) & 1,808 Bytes (.EXE)
  5757.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  5758.  Detection Method:  ViruScan V45+, F-Prot, Pro-Scan 1.4+
  5759.  Removal Instructions:  Saturday, CleanUp, F-Prot, Pro-Scan 1.4+
  5760.  General Comments:
  5761.        New Jerusalem is a variation of the original Jerusalem virus
  5762.        which has been modified to be undetectable by ViruScan versions
  5763.        prior to V45 as well as IBM's VIRSCAN product as of October 20,
  5764.        1989.  The virus was first detected when it was uploaded to
  5765.        several BBSs in Holland beginning on October 14, 1989.  It
  5766.        infects both .EXE and .COM files and activates on any Friday The
  5767.        13th, deleting infected programs when they are attempted to be
  5768.        run.
  5769.  
  5770.        This virus is memory resident, and as with other Jerusalem
  5771.        viruses, may infect overlay, .SYS, .BIN, and .PIF files.
  5772.  
  5773.        Also see: Jerusalem, Jerusalem B, Payday, Suriv 3.00
  5774.  
  5775.  
  5776.  Virus Name:  Nina
  5777.  Aliases:
  5778.  V Status:    New
  5779.  Discovered:  December, 1990
  5780.  Symptoms:    .COM growth; decrease in total system and available free memory;
  5781.  Origin:      Bulgaria
  5782.  Eff Length:  256 Bytes
  5783.  Type Code:   PRhCK - Parasitic Resident .COM & Infector
  5784.  Detection Method:  ViruScan V74+
  5785.  Removal Instructions:  Scan/D, or Delete infected files
  5786.  General Comments:
  5787.        The Nina Virus was received in December, 1990, and is from Bulgaria.
  5788.        This virus is a memory resident infector of .COM files, including
  5789.        COMMAND.COM.
  5790.  
  5791.        When the first program infected with the Nina Virus is executed, Nina
  5792.        will install itself memory resident at the top of system memory but
  5793.        below the 640K DOS boundary.  Total system memory and available free
  5794.        memory will decrease by 1,024 bytes as shown by the DOS ChkDsk command.
  5795.        Interrupt 21 will be hooked by the virus.
  5796.  
  5797.        After Nina is memory resident, it will infect .COM programs that are
  5798.        greater than 256 bytes in length as they are executed.  If COMMAND.COM
  5799.        is executed, it will become infected.  Infected .COM programs increase
  5800.        in length by 256 bytes, and will have the virus located at the beginning
  5801.        of the infected file.
  5802.  
  5803.        The Nina Virus is named Nina because the virus contains the text
  5804.        string "Nina" within the viral code.
  5805.  
  5806.        This virus does not do anything besides replicate.
  5807.  
  5808.  
  5809.  Virus Name:  Nomenklatura
  5810.  Aliases:     Nomenclature, 1024-B
  5811.  V Status:    Rare
  5812.  Discovered:  August, 1990
  5813.  Symptoms:    .EXE, .COM growth; decrease in available free memory;
  5814.               "sector not found" messages on diskettes;
  5815.  Origin:      Netherlands
  5816.  Eff Length:  1,024 Bytes
  5817.  Type Code:   PRhAK - Parasitic Resident .COM & .EXE Infector
  5818.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  5819.  Removal Instructions:  Scan/D or Delete infected files
  5820.  General Comments:
  5821.        The Nomenklatura Virus was isolated in August, 1990 in the
  5822.        Netherlands.  This virus is a memory resident infector of .COM and
  5823.        .EXE files, including COMMAND.COM.  It is not related to the V1024
  5824.        virus, though it is the same length.
  5825.  
  5826.        The first time a program infected with the Nomenklatura Virus is
  5827.        executed on a system, the virus installs itself memory resident at
  5828.        the top of available system memory, but below the 640K DOS boundary.
  5829.        Available system memory will decrease by 1,024 bytes, and interrupt
  5830.        21 will be hooked by the virus.
  5831.  
  5832.        When the virus is memory resident, any .COM or .EXE program greater in
  5833.        length then approximately 1,023 bytes that is executed or openned
  5834.        for any reason will be infected by the Nomenklatura virus.  Infected
  5835.        files will have their file lengths increased by 1,024 bytes.  The
  5836.        virus does not hide the increase in file length when the disk directory
  5837.        is displayed.
  5838.  
  5839.        Attempts to execute uninfected programs from a write-protected diskette
  5840.        with the virus in memory will result in a "Sector not found error"
  5841.        message being displayed, and the program not being executed.
  5842.  
  5843.        The Nomenklatura Virus is destructive to the contents of diskettes
  5844.        exposed to infected systems.  File corruption will randomly occur,
  5845.        with the frequency increasing as the disk becomes more filled with data.
  5846.        The file errors may occur on data files as well program files.  This
  5847.        file corruption occurs due to the virus occassionally swapping a pair of
  5848.        words in the sector buffer.  It may also do this to critical system
  5849.        areas such as the FAT, boot sector, or directories since it may occur
  5850.        to any clusters on the disk.  If a file or critical system area was
  5851.        residing in a corrupted cluster, it will be corrupted.  As such, systems
  5852.        which has been exposed to the Nomenklatura Virus must be carefully
  5853.        checked as the integrity of non-infected programs and any datafiles
  5854.        should be considered suspect.
  5855.  
  5856.        The virus has been named Nomenklatura as this text string appears in
  5857.        all programs infected with this virus.
  5858.  
  5859.  
  5860.  Virus Name:  Number One
  5861.  Aliases:     Number 1
  5862.  V Status:    Extinct
  5863.  Discovered:  1987 (see below)
  5864.  Symptoms:    .COM files fail to function; <Smile> displayed
  5865.  Origin:      West Germany
  5866.  Eff Length:  12,032 Bytes
  5867.  Type Code:   ONC - Overwriting Non-Resident .COM Infector
  5868.  Detection Method:
  5869.  Removal Instructions:  Scan/D or Delete infected files
  5870.  General Comments:
  5871.        The Number One Virus was submitted for inclusion in this listing in
  5872.        September, 1990.  This virus, however, is not a new virus but is an
  5873.        extinct rather "old" virus.  The Number One Virus was written in
  5874.        October, 1987, by M. Vallen using Turbo Pascal 3.01A.  It is
  5875.        documented, complete with source, in a book by Ralf Burger.  This
  5876.        virus is an non-resident overwriting virus which infects .COM files.
  5877.  
  5878.        When a program infected with the Number One Virus is executed, the virus
  5879.        will infect the first uninfected .COM file it finds in the current
  5880.        directory.  If the .COM file was originally less than 12,032 bytes in
  5881.        length, it will now have a 12,032 bytes.  Infected files will also have
  5882.        their date/timestamps in the directory changed to reflect the time of
  5883.        infection.  After Number One has finished infecting a .COM file, it will
  5884.        display the message:
  5885.  
  5886.                "This File Has Been Infected by Number One!
  5887.                 XXXXXXXX.COMinfected."
  5888.  
  5889.        The XXXXXXXX is the name of the .COM file that has just been infected
  5890.        by the virus.  When there are no more .COM files for Number One to
  5891.        infect in the current directory, it will display the following
  5892.        message:
  5893.  
  5894.                 "This File Has Been Infected by Number One!
  5895.                  <Smile>"
  5896.  
  5897.        Number One will not infect any files which have the Read Only Attribute
  5898.        set.
  5899.  
  5900.        Since Number One is an overwriting virus, it is not possible to
  5901.        remove the virus from infected files and repair the damage.  Infected
  5902.        files should be erased and replaced with clean copies.
  5903.  
  5904.  
  5905.  Virus Name:  Ohio
  5906.  Aliases:
  5907.  V Status:    Common
  5908.  Discovered:  June, 1988
  5909.  Symptoms:    BSC, Resident TOM
  5910.  Origin:      Indonesia
  5911.  Eff Length:  N/A
  5912.  Type Code:   RtF - Resident Floppy Boot Sector Infector
  5913.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC, AVTK 3.5+,
  5914.               VirHunt 2.0+
  5915.  Removal Instructions:  MDisk, F-Prot, VirexPC, Pro-Scan 1.4+,
  5916.               or DOS SYS Command
  5917.  General Comments:
  5918.        The Ohio virus is a memory resident boot sector infector, only
  5919.        infecting 360K floppy disks.  The Ohio virus is similar in
  5920.        many respects to the Den Zuk virus, and is believed to possibly
  5921.        be the earlier version of Den Zuk.  A diskette infected with
  5922.        Ohio will be immune to infection by the Pakistani Brain virus.
  5923.  
  5924.        The following text strings appear in the Ohio virus:
  5925.  
  5926.                 "V  I  R  U  S
  5927.                       b y
  5928.                   The Hackers
  5929.                   Y C 1 E R P
  5930.                  D E N Z U K 0
  5931.                  Bandung 40254
  5932.                    Indonesia
  5933.  
  5934.            (C) 1988, The Hackers Team...."
  5935.  
  5936.        Also see: Den Zuk
  5937.  
  5938.  
  5939.  Virus Name:  Ontario
  5940.  Aliases:
  5941.  V Status:    Rare
  5942.  Discovered:  July, 1990
  5943.  Symptoms:    .COM & .EXE growth; decrease in system and free memory;
  5944.               hard disk errors in the case of extreme infections
  5945.  Origin:      Ontario, Canada
  5946.  Eff Length:  512 Bytes
  5947.  Type Code:   PRtAK - Parasitic Encrypted Resident .COM & .EXE Infector
  5948.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  5949.  Removal Instructions:  SCAN /D, or Delete infected files
  5950.  General Comments:
  5951.        The Ontario Virus was isolated by Mike Shields in Ontario, Canada
  5952.        in July, 1990.  The Ontario virus is a memory resident infector of
  5953.        .COM, .EXE, and overlay files.  It will infect COMMAND.COM.
  5954.  
  5955.        The first time a program infected with the Ontario Virus is executed,
  5956.        it will install itself memory resident above the top of system memory
  5957.        but below the 640K DOS boundary.  Total system memory and free memory
  5958.        will be decreased by 2,048 bytes.  At this time, the virus will
  5959.        infect COMMAND.COM on the C: drive, increasing its length by 512 bytes.
  5960.  
  5961.        Each time an uninfected program is executed on the system with the
  5962.        virus memory resident, the program will become infected with the viral
  5963.        code located at the end of the file.  For .COM files, they will
  5964.        increase by 512 bytes in all cases.  For .EXE and overlay files, the
  5965.        file length increase will be 512 - 1023 bytes.  The difference in
  5966.        length for .EXE and overlay files is because the virus will fill out
  5967.        the unused space at the end of the last sector of the uninfected file
  5968.        with random data (usually a portion of the directory) and then append
  5969.        itself to the end of the file at the next sector.  Systems using
  5970.        a sector size of more than 512 bytes may notice larger file increases
  5971.        for infected files.  Infected files will always have a file length
  5972.        that is a multiple of the sector size on the disk.
  5973.  
  5974.        In the case of extreme infections of the Ontario Virus, hard disk
  5975.        errors may be noticed.
  5976.  
  5977.        Ontario uses a complex encryption routine, and a simple identification
  5978.        string will not identify this virus.
  5979.  
  5980.  
  5981.  Virus Name:  Oropax
  5982.  Aliases:     Music Virus, Musician
  5983.  V Status:    Rare
  5984.  Discovered:  December, 1989
  5985.  Symptoms:    .COM growth, tunes
  5986.  Origin:      
  5987.  Eff Length:  2,756 - 2,806 bytes, but usually 2,773 bytes
  5988.  Type Code:   PRC - Parasitic Resident .COM Infector
  5989.  Detection Method:  ViruScan V53+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  5990.               AVTK 3.5+, VirHunt 2.0+
  5991.  Removal Instructions:  SCAN /D, F-Prot, VirexPC, Pro-Scan 1.4+, VirHunt 2.0+
  5992.               or delete infected files
  5993.  General Comments:
  5994.        The Oropax virus has had several reports, but wasn't first isolated
  5995.        until December 1989.  It infects .COM files, increasing their length
  5996.        by between 2,756 bytes and 2,806 bytes.  Infected files will always
  5997.        have a length divisible by 51.  The virus may become active (on a
  5998.        random basis) five minutes after infection of a file, playing three
  5999.        different tunes with a seven minute interval in between.
  6000.  
  6001.        One variant recently reported in Europe plays six different
  6002.        tunes at seven minute intervals.
  6003.  
  6004.  
  6005.  Virus Name:  Paris
  6006.  Aliases:
  6007.  V Status:    Rare
  6008.  Discovery:   August, 1990
  6009.  Symptoms:    .COM & .EXE file growth; slow program loads upon execution;
  6010.               Diskette corruption after diskette boot
  6011.  Origin:      Paris, France
  6012.  Eff Length:  4,909 Bytes
  6013.  Type Code:   PNAK - Parasitic Non-Resident .COM & .EXE Infector
  6014.  Detection Method: ViruScan V66+, Pro-Scan 2.01+
  6015.  Removal Instructions: Scan/D, or Delete infected files
  6016.  General Comments:
  6017.        The Paris Virus was isolated in Paris, France, in early August, 1990.
  6018.        This virus is a generic infector of .COM, .EXE and overlay files,
  6019.        and will infect COMMAND.COM.  It is not memory resident.
  6020.  
  6021.        When a program infected with the Paris Virus is executed, the virus
  6022.        will infect all .COM, .EXE and overlay files on the current drive
  6023.        and directory, with the exception of very small .COM files.  It will
  6024.        also check to see if COMMAND.COM on the C: drive is uninfected, if it
  6025.        has not previously been infected it will become infected.  Infected
  6026.        files will increase in length by between 4,909 - 4, 25 bytes, with the
  6027.        virus located at the end of the infected file.
  6028.  
  6029.        The Paris Virus can be destructive in some instances, resulting in
  6030.        diskettes becoming corrupted if the system is booted from a diskette
  6031.        with a Paris infected COMMAND.COM program.
  6032.  
  6033.  
  6034.  Virus Name:  Parity
  6035.  Aliases:
  6036.  V Status:    New
  6037.  Discovered:  December, 1990
  6038.  Symptoms:    .COM file growth; long .COM program loads;
  6039.               possibly intermittent parity errors
  6040.  Origin:      Bulgaria
  6041.  Eff Length:  441 Bytes
  6042.  Type Code:   PNCK - Parasitic Non-Resident .COM  Infector
  6043.  Detection Method:  ViruScan V74+
  6044.  Removal Instructions: Scan/D, or Delete infected files
  6045.  General Comments:
  6046.        The Parity Virus was received in December, 1990, and originated in
  6047.        Bulgaria.  This virus is a non-memory resident infector of .COM files,
  6048.        and will infect COMMAND.COM.
  6049.  
  6050.        When a program infected with the Parity Virus is executed, the virus
  6051.        will infect all .COM files in the current directory.  If COMMAND.COM
  6052.        is in the current directory, it will become infected.
  6053.  
  6054.        Infected .COM programs will increase in length by 441 bytes, the virus
  6055.        being located at the end of the infected program.  The program's date
  6056.        and time in the disk directory will not be altered by the virus.
  6057.  
  6058.        The major symptom of a Parity Virus infection is that it will take
  6059.        significantly longer to load and execute infected .COM files.  The
  6060.        increase in time is due to the virus searching the current drive for
  6061.        .COM files to infect.
  6062.  
  6063.        This virus may also display a message "PARITY CHECK 2" at times, and
  6064.        halt the system.
  6065.  
  6066.  
  6067.  Virus Name:  Payday
  6068.  Aliases:
  6069.  V Status:    Rare
  6070.  Discovered:  November, 1989
  6071.  Symptoms:    TSR, .EXE & .COM growth, system slowdown, deleted files
  6072.               on Friday EXCEPT 13th, "Black WIndow"
  6073.  Origin:      Netherlands
  6074.  Eff Length:  1,808 Bytes (.EXE) & 1,813 Bytes (.COM)
  6075.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  6076.  Detection Method:  ViruScan V51+, F-Prot, Pro-Scan 1.4+, AVTK 3.5+,
  6077.               VirHunt 2.0+
  6078.  Removal Instructions:  UnVirus, Saturday, CleanUp, F-Prot, Pro-Scan 1.4+
  6079.  General Comments:
  6080.        The Payday virus was isolated by Jan Terpstra of the Netherlands
  6081.        in November, 1989.  It is a variant of the Jerusalem B virus,
  6082.        the major difference being that the activation criteria to
  6083.        delete files has been changed from every Friday The 13th to
  6084.        any Friday but Friday The 13ths.
  6085.  
  6086.        Also see: Jerusalem, Jerusalem B, New Jerusalem, Suriv 3.00
  6087.  
  6088.  
  6089.  Virus Name:  Pentagon
  6090.  Aliases:
  6091.  V Status:    Extinct
  6092.  Discovered:  January, 1988
  6093.  Symptoms:    TSR, BSC 360k floppies, file (see text)
  6094.  Origin:      USA      
  6095.  Eff Length:  N/A
  6096.  Type Code:   RF - Resident Floppy Boot Sector Infector
  6097.  Detection Method:  ViruScan, F-Prot, VirexPC
  6098.  Removal Instructions: MDisk, CleanUp, or DOS SYS Command
  6099.  General Comments:
  6100.        The Pentagon virus consists of a normal MS-DOS 3.20 boot
  6101.        sector where the name 'IBM' has been replaced by 'HAL', along
  6102.        with two files.  The first file has a name of the hex
  6103.        character 0F9H, and contains the portion of the virus code
  6104.        which would not fit into the boot sector, as well as the
  6105.        original boot sector of the infected disk.  The second file
  6106.        is named PENTAGON.TXT and does not appear to be used or contain
  6107.        any data.  The 0F9H file is accessed by its absolute storage
  6108.        address.  Portions of this virus are encrypted.
  6109.  
  6110.        The Pentagon virus only infects 360K floppies, and will look
  6111.        for and remove the Brain virus from any disk that it infects.
  6112.        It is memory resident, occupying 5K of RAM, and can survive
  6113.        a warm reboot or CTL-ALT-DEL.
  6114.  
  6115.  
  6116.  Virus Name:  Perfume
  6117.  Aliases:     765, 4711
  6118.  V Status:    Endangered
  6119.  Discovered:  December, 1989
  6120.  Symptoms:    .COM growth, messages
  6121.  Origin:      Germany
  6122.  Eff Length:  765 Bytes
  6123.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  6124.  Detection Method: ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  6125.               AVTK 3.5+, VirHunt 2.0+
  6126.  Removal Instructions: Scan/D/X, F-Prot, Pro-Scan 1.4+, VirHunt 2.0+,
  6127.               or delete infected files
  6128.  General Comments:
  6129.        The Perfume virus is of German origin, and has also been
  6130.        isolated in Poland in December, 1989.  This virus infects
  6131.        .COM files, and will look for COMMAND.COM and infect it if
  6132.        it isn't already infected.  Infected files always grow in
  6133.        length by 765 bytes.
  6134.  
  6135.        The virus will sometimes ask the system user a question,
  6136.        and then not run the infected program unless the system
  6137.        user responds by typing 4711, the name of a German perfume.
  6138.  
  6139.        In the most common variant of this virus, however, the
  6140.        questions have been overwritten with miscellaneous
  6141.        characters.
  6142.  
  6143.        Also see: Sorry
  6144.  
  6145.  
  6146.  Virus Name:  Phoenix
  6147.  Aliases:     P1
  6148.  V Status:    Rare
  6149.  Discovered:  July, 1990
  6150.  Symptoms:    .COM growth, system reboots, CHKDSK program failure,
  6151.               COMMAND.COM header change
  6152.  Origin:      Bulgaria
  6153.  Eff Length:  1,704 Bytes
  6154.  Type Code:   PRhCK - Parasitic Resident .COM Infector
  6155.  Detection Method: ViruScan V66+, Pro-Scan 2.01+
  6156.  Removal Instructions: Scan/D, or delete infected files
  6157.  General Comments:
  6158.        The Phoenix virus is of Bulgarian origin, and was submitted to
  6159.        the author of this document in July, 1990 by Vesselin Bontchev.
  6160.        This virus is one of a family of three (3) viruses which may be
  6161.        referred to as the P1 or Phoenix Family.  Each of these viruses is
  6162.        being documented separately due to their varying characteristics.
  6163.        The Phoenix virus is a memory resident, generic infector of .COM
  6164.        files, and will infect COMMAND.COM.
  6165.  
  6166.        The first time a program infected with the Phoenix virus is executed,
  6167.        the virus will install itself memory resident in free high memory,
  6168.        reserving 8,192 bytes.  Interrupt 2A will be hooked by the virus.
  6169.        System total memory and free memory will decrease by 8,192 bytes.
  6170.        If the program was executed from a floppy drive, and COMMAND.COM was
  6171.        not present on the diskette, the virus will request that a diskette
  6172.        with \COMMAND.COM present be inserted in the drive.  Phoenix will
  6173.        immediately infect COMMAND.COM by overwriting part of the binary zero
  6174.        portion of the program, and changing the program's header information.
  6175.        COMMAND.COM will not change in file length.  The virus will then
  6176.        similarly infect COMMAND.COM residing in the C: drive root directory.
  6177.  
  6178.        After becoming memory resident, the virus will attempt to infect any
  6179.        .COM file executed.  Most of its attempts, however, will not result in
  6180.        a file being infected.  Phoenix is a fairly poor replicator.  If the
  6181.        virus is successful in infecting the file, it will append its viral
  6182.        code to the end of the file, increasing the file's length by 1,704
  6183.        bytes.
  6184.  
  6185.        Phoenix is not able to recognize when it has previously infected a file,
  6186.        so it may reinfect .COM files several times.  Each infection will
  6187.        result in another 1,704 bytes of viral code being appended to the
  6188.        file.
  6189.  
  6190.        Systems infected with the Phoenix virus will experience problems with
  6191.        executing CHKDSK.COM.  Attempts to execute this program with Phoenix
  6192.        memory resident will result in a warm reboot of the system occurring,
  6193.        however the memory resident version of Phoenix will not survive the
  6194.        reboot.  If an autoexec.bat file is not present on the drive being
  6195.        booted from, the system will prompt for the user to enter Date and
  6196.        Time.
  6197.  
  6198.        The Phoenix Virus employs a complex encryption mechanism, and virus
  6199.        scanners which are only able to look for simple hex strings will not
  6200.        be able to detect it.  There is no simple hex string in this virus
  6201.        that is common to all infected samples.
  6202.  
  6203.        This virus is not related to the Cascade (1701/1704) Virus.
  6204.  
  6205.        Also see: Evil, PhoenixD
  6206.  
  6207.  
  6208.  Virus Name:  PhoenixD
  6209.  Aliases:     P1
  6210.  V Status:    Rare
  6211.  Discovered:  July, 1990
  6212.  Symptoms:    .COM growth, system reboots, CHKDSK program failure,
  6213.               COMMAND.COM header change
  6214.  Origin:      Bulgaria
  6215.  Eff Length:  1,704 Bytes
  6216.  Type Code:   PRhCK - Parasitic Resident .COM Infector
  6217.  Detection Method: ViruScan V66+, Pro-Scan 2.01+
  6218.  Removal Instructions: Scan/D, or delete infected files
  6219.  General Comments:
  6220.        The PhoenixD virus is of Bulgarian origin, and was submitted to
  6221.        the author of this document in July, 1990 by Vesselin Bontchev.
  6222.        This virus is one of a family of three (3) viruses which may be
  6223.        referred to as the P1 or Phoenix Family.  Each of these viruses is
  6224.        being documented separately due to their varying characteristics.
  6225.        The PhoenixD virus is a memory resident, generic infector of .COM
  6226.        files, and will infect COMMAND.COM.
  6227.  
  6228.        The PhoenixD Virus is a "bug fixed" version of the Phoenix virus.
  6229.  
  6230.        The first time a program infected with the PhoenixD virus is executed,
  6231.        the virus will install itself memory resident in free high memory,
  6232.        reserving 8,192 bytes.  Interrupt 2A will be hooked by the virus.
  6233.        System total memory and free memory will decrease by 8,192 bytes.
  6234.        PhoenixD will then check to see if the current drive's root directory
  6235.        contains a copy of COMMAND.COM.  If a copy of COMMAND.COM is found,
  6236.        it will be infected by PhoenixD by overwriting part of the binary zero
  6237.        portion of the program, and changing the program's header information.
  6238.        COMMAND.COM will not change in file length.  The virus will then
  6239.        similarly infect COMMAND.COM residing in the C: drive root directory.
  6240.  
  6241.        After becoming memory resident, the virus will attempt to infect any
  6242.        .COM file executed.  PhoenixD is a much better replicator than the
  6243.        original Phoenix Virus, and is usually able to infect files.  Infected
  6244.        files will increase in length by 1,704 bytes.  
  6245.  
  6246.        PhoenixD is not able to recognize when it has previously infected a
  6247.        file, so it may reinfect .COM files several times.  Each infection will
  6248.        result in another 1,704 bytes of viral code being appended to the
  6249.        file.
  6250.  
  6251.        A characteristic present in the PhoenixD Virus which is not found in
  6252.        the original Phoenix Virus is that in addition to it infecting .COM
  6253.        files as they are executed, .COM files will be infected when they
  6254.        are opened for any reason.  The simple act of copying a .COM file
  6255.        with PhoenixD present in memory will result in both the source and
  6256.        target files being infected.
  6257.  
  6258.        Systems infected with the PhoenixD virus will experience problems with
  6259.        executing CHKDSK.COM.  Attempts to execute this program with Phoenix
  6260.        memory resident will result in a warm reboot of the system occurring.
  6261.        If an autoexec.bat file is not present on the drive being booted from,
  6262.        the system will prompt for the user to enter Date and Time.
  6263.  
  6264.        The PhoenixD Virus employs a complex encryption mechanism, and virus
  6265.        scanners which are only able to look for simple hex strings will not
  6266.        be able to detect it.  There is no simple hex string in this virus
  6267.        that is common to all infected samples.
  6268.  
  6269.        This virus is not related to the Cascade (1701/1704) virus.
  6270.  
  6271.        Also see: Evil, Phoenix
  6272.  
  6273.  
  6274.  Virus Name:  Ping Pong
  6275.  Aliases:     Bouncing Ball, Bouncing Dot, Italian, Vera Cruz
  6276.  V Status:    Extinct
  6277.  Discovered:  March, 1988
  6278.  Symptoms:    Graphic display (see text), TSR, BSC
  6279.  Origin:      
  6280.  Eff Length:  N/A
  6281.  Type Code:   RsF - Resident Floppy Boot Sector Infector
  6282.  Detection Method:  ViruScan, F-Prot, IBM Scan, VirexPC, Pro-Scan,
  6283.               AVTK 3.5+, VirHunt 2.0+
  6284.  Removal Instructions:  MDisk, CleanUp, F-Prot, Pro-Scan 1.4+, VirexPC,
  6285.               or DOS SYS command
  6286.  General Comments:
  6287.        The Ping Pong virus is a boot sector virus which was first
  6288.        reported in March 1988.  The original Ping Pong virus only
  6289.        infects Floppy Disks.
  6290.  
  6291.        When the virus activates, which is on a random basis, a
  6292.        bouncing ball or dot appears on the screen.  This display
  6293.        can only be stopped thru a system reboot.  No other damage
  6294.        is apparently done.
  6295.  
  6296.        The Ping Pong Virus is extinct, though the hard disk variant,
  6297.        Ping Pong-B listed below, is one of the most common MS-DOS
  6298.        viruses.
  6299.  
  6300.  
  6301.  Virus Name:  Ping Pong-B
  6302.  Aliases:     Bouncing Ball Boot
  6303.  V Status:    Common
  6304.  Discovered:  May, 1988
  6305.  Symptoms:    Graphic display (see text), TSR, BSC
  6306.  Origin:      
  6307.  Eff Length:  N/A
  6308.  Type Code:   BRs - Resident Boot Sector Infector
  6309.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  6310.               AVTK 3.5+, VirHunt 2.0+
  6311.  Removal Instructions: CleanUp, MDisk, Pro-Scan 1.4+, F-Prot, VirexPC
  6312.               or DOS SYS Command
  6313.  General Comments:
  6314.        The Ping Pong-B virus is a variant of the Ping Pong virus.  The
  6315.        major difference is that Ping Pong-B can infect hard disks as
  6316.        well as floppies.
  6317.  
  6318.        Known variants of Ping Pong-B include:
  6319.        Ping Pong-C : Similar to Ping Pong-B, though this variant does
  6320.             not have the bouncing ball screen effect.
  6321.             Origin: Argentina, June 1990.
  6322.  
  6323.  
  6324.  Virus Name:  Plastique
  6325.  Aliases:     Plastic Bomb, Plastique 3012, Plastique 1
  6326.  V Status:    Rare
  6327.  Discovered:  July, 1990
  6328.  Symptoms:    TSR; .COM & .EXE growth; possible system slowdown or bomb
  6329.               noises after September 20
  6330.  Origin:      Taiwan
  6331.  Eff Length:  3,012 Bytes
  6332.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  6333.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  6334.  Removal Instructions: Clean-Up V72+, Pro-Scan 2.01+, or Delete infected files
  6335.  General Comments:
  6336.        The Plastique, or Plastic Bomb, Virus was submitted in July 1990, it
  6337.        comes to us from Taiwan.  Plastique is a memory resident generic
  6338.        infector of .COM and .EXE files, though it does not infect
  6339.        COMMAND.COM.  Unlike the Plastique-B Virus listed below, this virus
  6340.        does not infect floppy disk boot sectors.
  6341.  
  6342.        The first time a program infected with Plastique is executed, the
  6343.        virus will install itself memory resident as a TSR in low system
  6344.        memory.  The TSR is 3,264 bytes in length, and hooks interrupt 21.
  6345.  
  6346.        After the virus is memory resident, it will attempt to infect any
  6347.        .COM or .EXE file which is executed.  This virus is rather "buggy",
  6348.        and it is not always successful in infecting files when they are
  6349.        executed.  When it is successful infecting the file, the file's
  6350.        length will increase.  For infected .COM files, the length will
  6351.        increase by 3,012 bytes.  For infected .EXE files, their length
  6352.        will increase between 3,012 and 3,020 bytes.
  6353.  
  6354.        Plastique will also attempt to infect files when they are opened for
  6355.        any reason, though again, it is not always successful.
  6356.  
  6357.        After September 20th of any year, the Plastique Virus activates.  At
  6358.        that time, it will do either of two things.  It will either
  6359.        progressively slowdown the system, or it will intermittently emit
  6360.        "bomb" noises from the system speaker.
  6361.  
  6362.        Known variant(s) of Plastique are:
  6363.        HM2            : The earliest known version of this virus, it does
  6364.                         not replicate.  Executing an infected file results
  6365.                         in the system hanging requiring a reboot.
  6366.                         Origin: Taiwan, May 1990.
  6367.        Plastique 4.51 : A variant of the Plastique virus described above,
  6368.                         the only real difference is that the encryption
  6369.                         of the virus is slightly different.  Otherwise it
  6370.                         behaves exactly the same as Plastique.
  6371.                         Origin: Taiwan, July 1990.
  6372.        Plastique COBOL: A variant of the Plastique virus described above, this
  6373.                         version is 3,004 bytes in length, and its memory
  6374.                         resident TSR is 3,248 bytes in length.  The only text
  6375.                         character string which can be found in this variant is
  6376.                         "COBOL".  This string does not occur in other variants
  6377.                         of the Plastique Virus, or related viruses.  Infected
  6378.                         .COM programs will increase in size by 3,004 bytes,
  6379.                         .EXE files by 3,004 to 3,019 bytes.  COMMAND.COM will
  6380.                         not become infected.  Activation of the virus has also
  6381.                         been altered.  Between January 1 and September 21, the
  6382.                         virus will progressively slowdown the system.  After 20
  6383.                         minutes, the system will execute at approximately 50%
  6384.                         of its original speed.  After 30 minutes, the virus
  6385.                         may lockout the system keyboard, as well as corrupt
  6386.                         the system's CMOS configuration.  Between September 22
  6387.                         and December 31, the virus does not activate, and no
  6388.                         system slowdown or CMOS corruption will occur.
  6389.  
  6390.        Also see: Invader, Plastique-B
  6391.  
  6392.  
  6393.  Virus Name:  Plastique-B
  6394.  Aliases:     Plastic Bomb, Plastique 5.21, Plastique 2
  6395.  V Status:    Rare
  6396.  Discovered:  July, 1990
  6397.  Symptoms:    TSR, .COM & .EXE file growth; BSC;
  6398.  Origin:      Taiwan
  6399.  Eff Length:  4,096 Bytes
  6400.  Type Code:   PRsAB - Parasitic Resident .COM & .EXE, & Boot Sector Infector
  6401.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  6402.  Removal Instructions: Clean-Up V72+, Pro-Scan 2.01+, or Delete Infected Files
  6403.  General Comments:
  6404.        The Plastique-B, or Plastique 5.21, virus is a later version of
  6405.        the Plastique virus.  Like Plastique, it is a memory resident
  6406.        generic infector of .COM and .EXE files.  This version will also
  6407.        infect diskette boot sectors.  It does not infect COMMAND.COM.
  6408.  
  6409.        If the system date is before September 20th, the first time a program
  6410.        infected with Plastique-B is executed, the virus will install itself
  6411.        memory resident as a TSR in low system memory.  The TSR is 5,120 bytes
  6412.        in length.  Interrupts 08, 09, 13, 21, and ED are hooked by the virus.
  6413.  
  6414.        If the system date is after September 20th, the virus will install
  6415.        itself memory resident in high system memory but below the 640K DOS
  6416.        boundary.  The same interrupts will be hooked by the virus.
  6417.  
  6418.        After the virus is memory resident, it will attempt to infect any
  6419.        .COM or .EXE file which is executed or opened for any reason.  It
  6420.        has had many of the "bugs" fixed that were in Plastique, and is
  6421.        usually successful in infecting files.  Infected .COM and .EXE files
  6422.        will increase in length by 4,096 bytes.
  6423.  
  6424.        Plastique-B will also infect the boot sector of any diskettes accessed
  6425.        on an infected system.
  6426.  
  6427.        After September 20th, 1990, the Plastique-B virus activates. It
  6428.        will either progressively slowdown the system or cause "bomb" noises
  6429.        to be emitted periodically from the system speaker.  It may also
  6430.        overwrite the contents of all drives after this date, depending on if
  6431.        a predetermined limit in the virus has been reached.
  6432.  
  6433.        Also see: Plastique, Invader
  6434.  
  6435.  
  6436.  Virus Name:  Polimer
  6437.  Aliases:     Polimer Tapeworm
  6438.  V Status:    Rare
  6439.  Discovered:  November, 1990
  6440.  Symptoms:    .COM growth; Message
  6441.  Origin:      Hungary
  6442.  Eff Length:  512 Bytes
  6443.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  6444.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  6445.  Removal Instructions: Scan/D, or Delete infected files
  6446.  General Comments:
  6447.        The Polimer Virus was discovered in Hungary in November, 1990.  This
  6448.        virus is a non-resident infector of .COM files, including COMMAND.COM.
  6449.  
  6450.        When a program infected with the Polimer Virus is executed, the
  6451.        following message will be displayed:
  6452.  
  6453.                "A le' jobb kazetta a POLIMER kazetta !   Vegye ezt !"
  6454.  
  6455.        This message can be found near the beginning of all infected files.
  6456.  
  6457.        After the message is displayed, the virus will attempt to infect one
  6458.        .COM file on the current drive and directory, and one .COM file on the
  6459.        C: drive's current directory.  This virus will only infect .COM files
  6460.        which are between 512 and 64,758 bytes in length.  If the .COM file it
  6461.        attempts to infect has the Read-Only attribute, it will not be infected,
  6462.        and the message $ERROR will be displayed.
  6463.  
  6464.        Although this virus is actually 456 bytes in length, infected .COM files
  6465.        will increase in size by 512 bytes with the virus's code being located
  6466.        at the beginning of the file.
  6467.  
  6468.        This virus does not appear to do anything besides replicating.
  6469.  
  6470.  
  6471.  Virus Name:  Polish 217
  6472.  Aliases:     217, Polish Stupid
  6473.  V Status:    Rare
  6474.  Discovered:  October, 1990
  6475.  Symptoms:    .COM growth; system reboot
  6476.  Origin:      Koszalin, Poland
  6477.  Eff Length:  217 Bytes
  6478.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  6479.  Detection Method:  ViruScan V71+
  6480.  Removal Instructions: Scan/D, or Delete infected files
  6481.  General Comments:
  6482.        The Polish 217, or Polish Stupid, Virus was discovered in Koszalin,
  6483.        Poland, in October, 1990.  This virus is a non-resident infector of
  6484.        .COM files, including COMMAND.COM.
  6485.  
  6486.        When a program infected with the Polish Stupid Virus is executed, the
  6487.        virus will infect the first uninfected .COM file found in the current
  6488.        directory.  Infected .COM files will increase in length by 217 bytes
  6489.        with the virus's code being located at the end of the file.  Infected
  6490.        files will also end with the hex string 5757h.  The file's date and
  6491.        time in the disk directory is not altered.
  6492.  
  6493.        A side note on this virus: when the copy of COMMAND.COM pointed to by
  6494.        the COMSPEC environmental variable is infected by the virus, the system
  6495.        will experience a warm reboot.
  6496.  
  6497.        This virus does nothing besides replicating in its current version.
  6498.  
  6499.        Known variant(s) of Polish 217 are:
  6500.        Polish 217 B : The Polish 217 B variant's major difference is that
  6501.                when COMMAND.COM is infected, a warm reboot does not occur.
  6502.                Execution of COMMAND.COM will result in the error message:
  6503.                "Specified COMMAND search directory bad".  Execution of
  6504.                infected programs may also result in the following message
  6505.                being displayed and the program terminated:
  6506.                    "????????COM
  6507.                     Path not found."
  6508.                Programs which can detect Polish 217 may not be able to detect
  6509.                Polish 217 B as it has been altered.  Scan V72 and below will
  6510.                not detect it.
  6511.  
  6512.  
  6513.  Virus Name:  Polish 529
  6514.  Aliases:     529
  6515.  V Status:    Rare
  6516.  Discovered:  September, 1990
  6517.  Symptoms:    .COM growth; TSR
  6518.  Origin:      Poland
  6519.  Eff Length:  529 Bytes
  6520.  Type Code:   PRsCK - Parasitic Resident .COM Infector
  6521.  Detection Method:  ViruScan V71+
  6522.  Removal Instructions: Scan/D, or Delete infected files
  6523.  General Comments:
  6524.        The Polish 529 Virus was isolated in September, 1990 in Poland.  This
  6525.        virus is a memory resident infector of .COM files.  It will infect
  6526.        COMMAND.COM if it is executed with the virus in memory.
  6527.  
  6528.        The first time a program infected with the Polish 529 Virus is executed,
  6529.        the virus will install itself memory resident as a low system memory
  6530.        TSR of 1,664 bytes.  Interrupt 21 will be hooked by the virus.
  6531.  
  6532.        Once the virus is memory resident, any .COM file over approximately
  6533.        1600 bytes in length will be infected by the virus.  Infected .COM
  6534.        files will show a file length increase of 529 bytes and have the
  6535.        virus's code located at the beginning of the file.
  6536.  
  6537.        This virus does not appear to do anything but replicate.
  6538.  
  6539.  
  6540.  Virus Name:  Polish 583
  6541.  Aliases:
  6542.  V Status:    Rare
  6543.  Discovered:  December, 1990
  6544.  Symptoms:    .COM file growth
  6545.  Origin:      Poland
  6546.  Eff Length:  583 Bytes
  6547.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  6548.  Detection Method:  ViruScan V74+
  6549.  Removal Instructions: Scan/D, or Delete infected files
  6550.  General Comments:
  6551.        The Polish 583 Virus originated in Poland and was submitted in
  6552.        December, 1990.  This virus is a non-resident, direct action infector
  6553.        of .COM files, including COMMAND.COM.
  6554.  
  6555.        When a program infected with Polish 583 is executed, the virus will
  6556.        infect one other .COM file on the current drive and directory.  The
  6557.        newly infected program will increase in length by 583 bytes with the
  6558.        virus's code being located at the end of the infected program.  The
  6559.        program's date and time in the disk directory is not altered.
  6560.  
  6561.        This virus does not do anything besides replicate.
  6562.  
  6563.  
  6564.  
  6565.  Virus Name:  Print Screen
  6566.  Aliases:     EB 21, 8290, PRTSC Virus
  6567.  V Status:    Rare
  6568.  Discovered:  November, 1989
  6569.  Symptoms:    BSC, hard disk access slowdown
  6570.  Origin:      Bombay, India
  6571.  Eff Length:  N/A
  6572.  Type Code:   BR - Resident Boot Sector Infector
  6573.  Detection Method:  ViruScan V64+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+,
  6574.               VirHunt 2.0+
  6575.  Removal Instructions: M-Disk, Pro-Scan 1.4+, or DOS SYS Command
  6576.  General Comments:
  6577.        The Print Screen Virus was isolated in Bombay, India in November, 1989
  6578.        by Neville Bulsara.  It is the first virus to have originated in
  6579.        India.  There are two versions of Print Screen, the later version
  6580.        having had some bugs fixed.
  6581.  
  6582.        When a system is booted from a Print Screen infected diskette or
  6583.        hard drive, the virus will install itself memory resident in the
  6584.        top of memory.  The virus then adjusts the amount of memory DOS
  6585.        thinks is installed.  Infected systems will show that total system
  6586.        memory is 2K less than is installed.  On floppy disks, the original
  6587.        boot sector of the diskette will be copied to sector 11.
  6588.  
  6589.        After becoming memory resident, the virus will infect any hard
  6590.        disk or floppy diskette which is accessed by the system.
  6591.  
  6592.        Infected system users will notice that hard disk accesses done for
  6593.        any reason will be much slower than expected.  In some cases,
  6594.        listing the root directory will show apparently garbage entries in
  6595.        it.  These entries are actually part of the virus's code.
  6596.  
  6597.        The first version of the Print Screen virus is buggy, and as such
  6598.        it doesn't actually accomplish anything having to do with printing
  6599.        screens.
  6600.  
  6601.        This virus appears to have been based on the Ping Pong Virus, and
  6602.        some anti-viral programs will identify it as such.
  6603.  
  6604.        Known variant(s) of Print Screen are:
  6605.        Print Screen-2: Print Screen-2 is the later, bug fixed version of
  6606.             the Print Screen Virus.  This version will attempt to perform
  6607.             a screen print or dump to the system's printer after every
  6608.             255 disk I/Os have occurred.
  6609.  
  6610.  
  6611.  Virus Name:  Proud
  6612.  Aliases:     V1302, P1 Related
  6613.  V Status:    Rare
  6614.  Discovery:   August, 1990
  6615.  Symptoms:    .COM growth; decrease in total system and available memory;
  6616.               FAT entry corruption
  6617.  Origin:      Bulgaria
  6618.  Eff Length:  1,302 Bytes
  6619.  Type Code:   PRtCK - Parasitic Non-Resident .COM Infector
  6620.  Detection Method:  ViruScan V71+
  6621.  Removal Instructions: Scan/D, or Delete infected files
  6622.  General Comments:
  6623.        The Proud, or V1302, Virus was isolated in August of 1990 in Bulgaria
  6624.        by Vesselin Bontchev.  Proud is a memory resident infector of .COM
  6625.        files, including COMMAND.COM.
  6626.  
  6627.        The first time a program infected with Proud is executed, the virus
  6628.        checks to determine if interrupt 13 is in use by another program, and
  6629.        if it is, the virus will hang the system.  If interrupt 13 is not in
  6630.        use by another program, Proud will install itself memory resident at
  6631.        the top of system memory, but below the 640K DOS boundary.  Total
  6632.        system memory and free available memory will decrease by 8,192 bytes.
  6633.        Interrupt 2A will be replaced by the virus.
  6634.  
  6635.        Once the virus is memory resident, it will infect .COM files within
  6636.        certain candidate length ranges whend they are openned for any reason.
  6637.        The candidate file length ranges are:
  6638.  
  6639.                 2,048 - 14,335 bytes
  6640.                16,384 - 30,719 bytes
  6641.                32,768 - 47,103 bytes
  6642.                49,152 - 63,487 bytes
  6643.  
  6644.        Proud is an encrypted virus, and is unusual in that it "splits"
  6645.        the .COM file being infected into two parts, placing the viral code
  6646.        between the two sections.  Proud also is unable to distinguish when
  6647.        a file has been previously infected, so .COM files can become infected
  6648.        multiple times.  Each infection, with the exception of COMMAND.COM,
  6649.        will add 1,302 bytes to the file length.  Infected COMMAND.COM files
  6650.        generally don't increase in length on the first infection as the virus
  6651.        will overwrite part of the 00h area of COMMAND.COM with the viral code.
  6652.  
  6653.        Proud can be a damaging virus, with a probability of 1 out of 256, it
  6654.        may swap entries in the file allocation table.
  6655.  
  6656.  
  6657.  Virus Name:  Red Diavolyata
  6658.  Aliases:     USSR 830
  6659.  V Status:    Rare
  6660.  Discovery:   December, 1990
  6661.  Symptoms:    .COM growth; decrease in system and available memory;
  6662.               file date/time changes
  6663.  Origin:      USSR
  6664.  Eff Length:  830 Bytes
  6665.  Type Code:   PRhCK - Parasitic Resident .COM Infector
  6666.  Detection Method:  ViruScan V74+
  6667.  Removal Instructions: Scan/D, or Delete infected files
  6668.  General Comments:
  6669.        The Red Diavolyata Virus is an 830 byte memory resident infector of
  6670.        .COM files, including COMMAND.COM.  It was submitted in December, 1990,
  6671.        and originated in the USSR.
  6672.  
  6673.        The first time a program infected with Red Diavolyata is executed, the
  6674.        virus will install itself memory resident at the top of system memory
  6675.        but below the 640K DOS boundary.  The interrupt 12 return is not moved.
  6676.        The DOS ChkDsk command will indicate that total system memory and
  6677.        available free memory have decreased by 960 bytes.  Interrupt 21 will
  6678.        be hooked by the virus.
  6679.  
  6680.        Once Red Diavolyata is memory resident, any .COM program executed will
  6681.        become infected by the virus.  If COMMAND.COM is executed, it will be
  6682.        infected.
  6683.  
  6684.        Infected .COM programs will have their file length increased by 830
  6685.        bytes, and their date and time in the disk directory will have been
  6686.        altered to the system date and time when infection occurred.  The virus
  6687.        will be located at the end of the infected program.
  6688.  
  6689.        The following text strings can be found at the end of infected
  6690.        programs:
  6691.  
  6692.                "Eddie die somewhere in time"
  6693.                "This programm was written in the city of Prostokwashino"
  6694.                "(C) 1990 RED DIAVOLYATA"
  6695.                "Hello! MLTI!"
  6696.  
  6697.        Additionally, the text string "MLTI!COMMAND" can be found within
  6698.        infected files.
  6699.  
  6700.        It is unknown if Red Diavolyata does anything besides replicate.
  6701.  
  6702.  
  6703.  Virus Name:  RPVS
  6704.  Aliases:     453
  6705.  V Status:    Endangered
  6706.  Discovery:   August, 1990
  6707.  Symptoms:    .COM growth
  6708.  Origin:      West Germany
  6709.  Eff Length:  453 Bytes
  6710.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  6711.  Detection Method: Pro-Scan 2.01+
  6712.  Removal Instructions: Pro-Scan 2.01+, or Delete infected files
  6713.  General Comments:
  6714.        The RPVS, or 453, Virus was discovered in West Germany in early
  6715.        August, 1990.  This virus is a non-resident infector of .COM files.
  6716.        The RPVS is named for an unusual string that appears in a file
  6717.        dump of the virus - "TUQ.RPVS" - this in not really a text string,
  6718.        but a series of PUSH instructions.
  6719.  
  6720.        The RPVS Virus is rather unsophisticated virus.  Whenever a .COM
  6721.        program infected with the RPVS or 453 virus is executed, the virus
  6722.        will look for an uninfected .COM file in the current directory.  The
  6723.        virus determines if the .COM file has been previously infected by
  6724.        checking to see if the last two bytes of the file are 9090h.  If the
  6725.        last two bytes are not 9090h, the file will be infected, appending
  6726.        453 bytes of viral code to the end of the file.  One .COM file is
  6727.        infected each time an infected program is executed.  COMMAND.COM
  6728.        will not normally be infected.
  6729.  
  6730.        This virus does not contain any logic to activate and cause damage
  6731.        in its current state.  It does contain many NOP instructions and odd
  6732.        jumps which leave plenty of space for later additions.  
  6733.  
  6734.        Known variant(s) of RPVS are:
  6735.        RPVS-B : The RPVS virus after additional bytes have been added to the
  6736.                 end of an infected program.  When this occurs, the virus
  6737.                 will act differently.  It will not be able to determine that
  6738.                 it has already infected a .COM file, so it will reinfect
  6739.                 the first .COM file it finds in the current directory over
  6740.                 and over again.
  6741.  
  6742.  
  6743.  Virus Name:  Saddam
  6744.  Aliases:
  6745.  V Status:    New
  6746.  Discovery:   January, 1991
  6747.  Symptoms:    .COM growth; Message; Disk boot failures; I/O error message;
  6748.               "Insufficient memory" message when attempting to run .BAT files;
  6749.               Dir command errors; System hangs
  6750.  Origin:      France    (reported September, 1990)
  6751.  Isolated:    Israel
  6752.  Eff Length:  919 Bytes
  6753.  Type Code:   PRsCK - Resident Parasitic .COM Infector
  6754.  Detection Method:  ViruScan V74+
  6755.  Removal Instructions: Scan/D, or Delete infected files
  6756.  General Comments:
  6757.        The Saddam Virus was first reported in France in September, 1990.  In
  6758.        January, 1991, the first sample of this virus was actually received, its
  6759.        isolation point was Israel.  Saddam is a memory resident infector of
  6760.        .COM files, including COMMAND.COM.  It is based on the Do-Nothing virus.
  6761.  
  6762.        The first time a program infected with the Saddam Virus is executed,
  6763.        the virus will install itself memory resident in low system memory,
  6764.        though not as a TSR.  Interrupts 21 and 22 will be hooked by the virus.
  6765.        COMMAND.COM will be infected at this time if it has not previously
  6766.        been infected.
  6767.  
  6768.        Once Saddam is memory resident, it will infect .COM programs as they
  6769.        are executed or openned.  Infected .COM files will have a file length
  6770.        increase of 919 bytes, the virus will be located at the end of
  6771.        infected programs.  Programs infected with this virus will not have
  6772.        their file date and time altered upon infection.
  6773.  
  6774.        There are several symptoms which may be experienced on systems infected
  6775.        with the Saddam Virus.  The most obvious symptom is that the following
  6776.        message will occasionally be displayed:
  6777.  
  6778.                "HEY SADAM
  6779.                 LEAVE QUEIT BEFORE I COME"
  6780.  
  6781.        This message cannot be seen in infected files, it is encrypted.
  6782.  
  6783.        Other symptoms are that attempts to execute .BAT files will result in
  6784.        an insufficient memory message.  Attempts to boot from a disk with a
  6785.        Saddam infected COMMAND.COM will fail, the system will hang.  Execution
  6786.        of some infected programs will result in an I/O error and the program
  6787.        aborting execution.  The DOS Directory command may also not function
  6788.        properly.  Lastly, infected systems may experience frequent system
  6789.        hangs requiring the user to reboot the system.
  6790.  
  6791.        Also see: Do-Nothing
  6792.  
  6793.  
  6794.  Virus Name:  Saratoga
  6795.  Aliases:     642, One In Two
  6796.  V Status:    Extinct
  6797.  Discovery:   July, 1989
  6798.  Symptoms:    .EXE growth, Resident, bad sectors, FAT corruption
  6799.  Origin:      California, USA
  6800.  Eff Length:  642 Bytes
  6801.  Type Code:   PRsE - Resident Parasitic .EXE Infector
  6802.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan 1.4+, VirexPC,
  6803.               VirHunt 2.0+
  6804.  Removal Instructions: Scan/D/X, F-Prot, VirexPC, Pro-Scan 1.4+, VirexPC 1.1B+,
  6805.               VirHunt 2.0+, or delete infected files
  6806.  General Comments:
  6807.        The Saratoga Virus was first isolated in California in July 1989.
  6808.        This virus is very similar to the Icelandic and Icelandic-II
  6809.        viruses, so only the differences from the Icelandic viruses
  6810.        are indicated here.  Please refer back to the description of
  6811.        the Icelandic virus for the base information.
  6812.  
  6813.        The Saratoga virus's main difference from the Icelandic virus
  6814.        is that when it copies itself to memory, it modifies the memory
  6815.        block so that it appears to belong to the operating system,
  6816.        thus avoiding another program reusing the block.
  6817.  
  6818.        Similar to the Icelandic-II virus, the Saratoga can infect
  6819.        programs even if the system has installed an anti-viral TSR
  6820.        which "hooks" interrupt 21, such as FluShot+.  Also like
  6821.        Icelandic-II is that this virus can infect programs which have
  6822.        been marked Read-Only, though it does not restore the Read-Only
  6823.        attribute to the file afterwards.
  6824.  
  6825.        Also see: Icelandic, Icelandic-II
  6826.  
  6827.  
  6828.  Virus Name:  Saturday The 14TH
  6829.  Aliases:     Durban
  6830.  V Status:    Rare
  6831.  Discovered:  March, 1990
  6832.  Symptoms:    TSR;.COM, .EXE, .OV? growth; corrupts boot sector,
  6833.               FAT. & partition table on Saturday 14th
  6834.  Origin:      Republic of South Africa
  6835.  Eff Length:  685 Bytes
  6836.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  6837.  Detection Method:  ViruScan V61+, Pro-Scan 1.4+, VirexPC, AVTK 3.5+,
  6838.               VirHunt 2.0+
  6839.  Removal Instructions: Scan/D, VirHunt 2.0+, Pro-Scan 2.01+
  6840.  General Comments:
  6841.        The first reports of the Saturday The 14TH virus came from
  6842.        South Africa in March 1990.  The Saturday The 14TH, or Durban
  6843.        Virus, is a memory resident generic file infector, infecting
  6844.        .COM, .EXE, and overlay files, but not COMMAND.COM.  Infected
  6845.        files will increase in length by between 669 and 684 bytes.
  6846.  
  6847.        The Saturday The 14TH virus activates on any Saturday that falls
  6848.        on the 14TH of any month, at which time it will overwrite the
  6849.        first 100 logical sectors of the C: drive, B: drive, and A:
  6850.        drive.  In effect, on drive C:, the virus destroys the hard
  6851.        disk boot sector, partition table, and file allocation table (FAT).
  6852.  
  6853.  
  6854.  Virus Name:  Scott's Valley
  6855.  Aliases:     2131
  6856.  V Status:    Rare
  6857.  Discovered:  September, 1990
  6858.  Symptoms:    TSR; .COM and .EXE growth
  6859.  Origin:      Scott's Valley, California, USA
  6860.  Eff Length:  2,131 Bytes
  6861.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  6862.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  6863.  Removal Instructions: Scan/D, or delete infected files
  6864.  General Comments:
  6865.        The Scott's Valley Virus was discovered in September, 1990 in
  6866.        Scott's Valley, California.  This virus is a memory resident generic
  6867.        infector of .COM and .EXE files, and does not infect COMMAND.COM.
  6868.  
  6869.        The first time a program infected with the Scott's Valley Virus is
  6870.        executed, the virus installs itself memory resident as a low system
  6871.        memory TSR of 2,384 bytes.  Interrupt 21 is hooked by the virus.
  6872.  
  6873.        After the virus is memory resident, any .COM or .EXE file executed
  6874.        will be infected with the virus.  .COM files will increase in length
  6875.        by 2,131 bytes.  .EXE files will increase in length between 2,131
  6876.        and 2,140 bytes.
  6877.  
  6878.        Infected programs will contain the following hex string in the virus's
  6879.        code: 5E8BDE909081C63200B912082E.
  6880.  
  6881.        It is unknown if this virus is malicious.
  6882.  
  6883.  
  6884.  Virus Name:  Sentinel
  6885.  Aliases:
  6886.  V Status:    New
  6887.  Discovered:  January, 1991
  6888.  Symptoms:    .COM & .EXE growth; decrease in available free memory
  6889.  Origin:      Bulgaria
  6890.  Eff Length:  4,625 Bytes
  6891.  Type Code:   PRHAK - Parasitic Resident .COM & .EXE Infector
  6892.  Detection Method:  ViruScan V74+
  6893.  Removal Instructions: Scan/D, or Delete infected files
  6894.  General Comments:
  6895.        The Sentinel Virus was submitted in January, 1991, and is from
  6896.        Bulgaria.  This virus is a memory resident infector of .COM and .EXE
  6897.        files, and will infect COMMAND.COM.  Unlike most viruses, this virus
  6898.        was received with its original Turbo Pascal source code.  It may be
  6899.        purely a research virus at this time.
  6900.  
  6901.        When the first program infected with Sentinel is executed, the virus
  6902.        will install itself memory resident at the top of system memory, but
  6903.        below the 640K DOS boundary.  Interrupt 12's return is not moved by
  6904.        the virus.  Interrupt 21 will be hooked by the virus in memory.
  6905.        COMMAND.COM, if not previously infected, will be infected by Sentinel
  6906.        at this time as well.
  6907.  
  6908.        After Sentinel is memory resident, it will infect .COM and .EXE
  6909.        programs larger than 1K as they are openned or executed.  Infected
  6910.        programs will have a file length increase of 4,625 bytes, the virus
  6911.        will be located at the end of the file.  This virus makes no attempt
  6912.        to hide the file length increase.  File date and time in the disk
  6913.        directory is not altered by the virus.
  6914.  
  6915.        The following text strings can be found at the very end of programs
  6916.        infected with Sentinel:
  6917.  
  6918.                "You won't hear me, but you'll feel me....
  6919.                 (c) 1990 by Sentinel.
  6920.                 With thanks to Borland."
  6921.  
  6922.        Sentinel does not appear to do anything besides replicate.
  6923.  
  6924.  
  6925.  Virus Name:  SF Virus
  6926.  Aliases:
  6927.  V Status:    Extinct
  6928.  Discovered:  December, 1987
  6929.  Symptoms:    BSC 360k floppies, Resident TOM, formatted disks
  6930.  Origin:      California, USA
  6931.  Eff Length:  N/A
  6932.  Type Code:   RtF - Resident Floppy Boot Sector Infector
  6933.  Detection Method: ViruScan (identifies as Alameda)
  6934.  Removal Instructions: MDisk, CleanUp, F-Prot, or DOS SYS command
  6935.  General Comments:
  6936.        The SF Virus is a modified version of the Alameda virus
  6937.        which activates when the counter in the virus has determined
  6938.        that it is infected 100 diskettes.  The virus replicates when
  6939.        a CTL-ALT-DEL is performed, infecting the disk in the floppy
  6940.        drive.  Upon activation, the diskette in the floppy drive is
  6941.        reformatted.  The SF Virus only infects 5 1/4" 360K floppies.
  6942.  
  6943.        Also see: Alameda
  6944.  
  6945.  
  6946.  Virus Name:  Shake Virus
  6947.  Aliases:
  6948.  V Status:    Rare
  6949.  Discovered:  May, 1990
  6950.  Symptoms:    .COM growth, message, change in COMMAND.COM memory allocation
  6951.  Origin:      Bulgaria
  6952.  Eff Length:  476 Bytes
  6953.  Type Code:   PRCK - Resident Parasitic .COM Infector
  6954.  Detection Method: ViruScan V63+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+,
  6955.               VirHunt 2.0+
  6956.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete Infected Files
  6957.  General Comments:
  6958.        The Shake Virus was first isolated in Bulgaria in May, 1990 by
  6959.        Daniel Kalchev.  It is a memory resident generic .COM infector, and
  6960.        will infect COMMAND.COM.
  6961.  
  6962.        The first time an infected program is executed, the Shake Virus will
  6963.        install itself memory resident, altering the image of COMMAND.COM in
  6964.        memory.  
  6965.  
  6966.        The Shake Virus infects .COM files, infecting them as they are
  6967.        accessed.  Infected files increase in size by 476 Bytes, though the
  6968.        size increase cannot be seen using a DIR (list directory) command
  6969.        if the virus is memory resident.
  6970.  
  6971.        While the virus is not destructive, it will occasionally
  6972.        display the message: "Shake well before use !" when an infected
  6973.        file is attempted to be run.  When this message is displayed, the
  6974.        program terminates rather than executes.  A second attempt to run
  6975.        the same program result in it running successfully.
  6976.  
  6977.  
  6978.  Virus Name:  Slow
  6979.  Aliases:     Slowdown
  6980.  V Status:    Common
  6981.  Discovered:  May, 1990
  6982.  Symptoms:    .COM & .EXE growth
  6983.  Origin:      Australia
  6984.  Eff Length:  1,701 Bytes
  6985.  Type Code:   PRsA - Resident Parasitic .COM & .EXE Infector
  6986.  Detection Method: ViruScan V63+, Pro-Scan 1.4+
  6987.  Removal Instructions: CleanUp V67+, Scan/D, Pro-Scan 2.01+
  6988.  General Comments:
  6989.        The Slow Virus was discovered in Australia in May 1990.  It is
  6990.        a memory resident generic file infector, infected .COM, .EXE, and
  6991.        overlay files.  COMMAND.COM is not infected by this virus.
  6992.  
  6993.        The first time an infected file is executed on a system, the virus
  6994.        installs itself memory resident as a low system memory TSR, taking up
  6995.        1,984 bytes of free memory.  Interrupt 21 will be hooked by the virus.
  6996.  
  6997.        Later, as programs are executed, they will be infected by the Slow
  6998.        Virus.  While the Slow Virus's viral code is actually 1,701 bytes in
  6999.        length, infected files will increase by more than this amount.  Infected
  7000.        .COM files will increase in length by 1,721 bytes with the virus
  7001.        located at the beginning of the infected program.  .EXE files will
  7002.        increase in length by 1,716 to 1,728 bytes with the virus located at
  7003.        the end of the infected program.
  7004.  
  7005.        In the process of infecting some .EXE files, the virus may hang the
  7006.        system, causing the user to have to reboot.
  7007.  
  7008.        The Slow Virus is based on the Jerusalem B virus.
  7009.  
  7010.        It is unknown what else the Slow virus does.
  7011.   
  7012.  
  7013.  Virus Name:  Solano 2000
  7014.  Aliases:     Dyslexia 2.01
  7015.  V Status:    Rare
  7016.  Discovered:  March, 1990
  7017.  Symptoms:    .COM growth, TSR, unusual file errors
  7018.  Origin:      California, USA
  7019.  Eff Length:  2,000 Bytes
  7020.  Type Code:   PRsC - Resident Parasitic .COM Infector
  7021.  Detection Method: ViruScan V60+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+,
  7022.               VirHunt 2.0+
  7023.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete Infected Files
  7024.  General Comments:
  7025.        The Solano 2000 Virus was first isolated in Solano County,
  7026.        California in mid-March 1990 by Edward Winters.  The virus may
  7027.        also be known by the name Dyslexia Virus V2.01, which can be
  7028.        produced by negating some null terminated bytes within the
  7029.        viral code.  Using the same technique, what appears to be the
  7030.        creation date of the virus, 08FEB90, can be produced.  The
  7031.        information regarding the information produced by negation of
  7032.        bytes was determined by Jay Parangalan of Solano County.
  7033.        
  7034.        The Solano 2000 Virus is a generic .COM file infector.  The first
  7035.        time an infected .COM file is executed on the system, the virus
  7036.        installs itself memory resident, then proceeds to infect every
  7037.        .COM file that is executed.  Infected programs can be manually
  7038.        identified by using a sector editor to view the file.  Bytes
  7039.        1168 thru 1952 will consist of '(' or 28h characters.
  7040.  
  7041.        Some programs, such as DiskCopy.COM which is included on all
  7042.        DOS diskettes, will not run after being infected with this virus,
  7043.        instead an "invalid drive specification" message will be
  7044.        displayed.  This message is not in the viral code, but is due
  7045.        to an error condition being induced due to the virus's presence.
  7046.        The virus-induced error occurring with the DiskCopy program was how
  7047.        the virus was first spotted and eventually isolated.
  7048.  
  7049.        This particular virus, in its current state, does not survive a
  7050.        system warm reboot (CTL-ALT-DEL).  When it is memory resident, it
  7051.        takes up 3K bytes of RAM.
  7052.  
  7053.        The Solano 2000 Virus does no apparent system damage, however it
  7054.        does check the video buffer occasionally, and may transpose
  7055.        numbers if they are found in certain locations.  This effect,
  7056.        however, was not experienced on the author's system in researching
  7057.        this virus.  There have also been reports that instead of transposing
  7058.        numeric characters, the Solano virus may change color attributes on
  7059.        the display screen when it is active in memory.
  7060.  
  7061.        Known variants of the Solano 2000 virus:
  7062.        Solano 2000-B: same as Solano 2000, except the 28h characters
  7063.              have been changed to DAh characters, and are located in
  7064.              bytes 1168 thru 1912 in infected files.
  7065.        Dyslexia 2.00: same as Solano 2000, except that the 28h characters
  7066.              are now binary zeros.  The attempted transposing of numeric
  7067.              characters in video memory has also been slowed down.  The
  7068.              creation date appears to be 22JAN90 instead of 08FEB90.
  7069.  
  7070.        Also see: Subliminal 1.10
  7071.  
  7072.  
  7073.  Virus Name:  Sorry
  7074.  Aliases:     G-Virus V1.3
  7075.  V Status:    Rare
  7076.  Discovered:  June, 1990
  7077.  Symptoms:    .COM growth, decrease in system and free memory
  7078.  Origin:
  7079.  Eff Length:  731 Bytes
  7080.  Type Code:   PRNCK - Parasitic Resident .COM Infector
  7081.  Detection Method:  ViruScan V64+, F-Prot, Pro-Scan 2.01+
  7082.  Removal Instructions:  Scan/D, Pro-Scan 2.01+, or delete infected files
  7083.  General Comments:
  7084.        The Sorry Virus was isolated in June, 1990.  Its name comes from
  7085.        a german phrase in the virus: "Tut mir Leid !".  This
  7086.        virus is based on the Perfume Virus from West Germany, and some
  7087.        anti-viral programs will identify it as Perfume or 4711.
  7088.  
  7089.        The first time a program infected with the Sorry Virus is executed,
  7090.        the virus will install itself memory resident in high memory.  Total
  7091.        system memory and free memory will both decrease by 1,024 bytes.
  7092.        Interrupt 21 will be hooked by the virus.  COMMAND.COM is immediately
  7093.        infected by the virus, thus insuring on later system boots that the
  7094.        virus becomes memory resident immediately.
  7095.  
  7096.        After the virus is memory resident, it will infect any .COM file
  7097.        which is executed, increasing the file's length by 731 bytes.  The
  7098.        viral code is located at the end of infected files.
  7099.  
  7100.        The Sorry Virus contains the following text strings:
  7101.  
  7102.                 "G-VIRUS V1.3"
  7103.                 "Bitte gebe den G-Virus Code ein"
  7104.                 "Tut mir Leid !"
  7105.  
  7106.        It is unknown what the Sorry Virus does when it activates.
  7107.  
  7108.        Also see: Perfume
  7109.  
  7110.  
  7111.  Virus Name:  Spyer
  7112.  Aliases:
  7113.  V Status:    Rare
  7114.  Discovered:  November, 1990
  7115.  Symptoms:    TSR; .COM & .EXE growth; system hangs
  7116.  Origin:      Taiwan
  7117.  Eff Length:  1,181 Bytes
  7118.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  7119.  Detection Method:  ViruScan V71+
  7120.  Removal Instructions: Scan/D or Delete infected files
  7121.  General Comments:
  7122.        The Spyer Virus was isolated in November, 1990 in Taiwan.  This virus
  7123.        is a memory resident infector of .COM and .EXE files.  It does not
  7124.        infect COMMAND.COM.
  7125.  
  7126.        The first time a program infected with the Spyer Virus is executed,
  7127.        the Spyer Virus will install itself memory resident as a 1,760 byte
  7128.        low system memory TSR.  Interrupts 21 and 22 will be hooked by the
  7129.        virus.
  7130.  
  7131.        Once the virus is memory resident, the virus will attempt to infect
  7132.        the next program that is executed.  If the program is already infected
  7133.        with the Spyer Virus, the system will become hung.  If the program was
  7134.        not already infected, Spyer will infect it and then hang the system.
  7135.  
  7136.        Infected .COM files will always increase in length by 1,181 bytes.
  7137.        .EXE files infected with Spyer will have a file length increase between
  7138.        1,181 and 1,195 bytes.  In both cases, the virus will be located at
  7139.        the end of the infected file.  Infected files will also always have the
  7140.        following hex character sequence at the end of file: "CBDFD9DE848484".
  7141.  
  7142.        The Spyer Virus, in its present form, is not expected to ever be a
  7143.        serious problem.  Since it always hangs the system when the next program
  7144.        is executed after becoming memory resident, it is simply too obvious
  7145.        that something is wrong.
  7146.  
  7147.  
  7148.  Virus Name:  Stone`90
  7149.  Aliases:     Polish 961, Stone-90
  7150.  V Status:    Rare
  7151.  Discovered:  December, 1990
  7152.  Symptoms:    .COM file growth
  7153.  Origin:      Poland
  7154.  Eff Length:  961 Bytes
  7155.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  7156.  Detection Method:  ViruScan V74+
  7157.  Removal Instructions: Scan/D, or Delete infected files
  7158.  General Comments:
  7159.        The Stone`90 Virus, or Polish 961, is a non-resident direct action
  7160.        infector of .COM programs, including COMMAND.COM.  It was submitted
  7161.        in December, 1990, and is from Poland.
  7162.  
  7163.        When a program infected with the Stone`90 Virus is executed, the virus
  7164.        will look for one .COM program on the current drive and in the current
  7165.        directory to infect.  If one is found, the virus will infected it.
  7166.        The newly infected .COM program will increase in length by 961 bytes,
  7167.        and have the virus's code located at the end of the program.
  7168.  
  7169.        The following text strings can be found in infected files:
  7170.  
  7171.                "Sorry, I`m INFECTED!"
  7172.                "I`m already NOT infected!"
  7173.                "(C) Stone`90"
  7174.  
  7175.        Stone`90 does not appear to do anything besides replicate.
  7176.  
  7177.  
  7178.  Virus Name:  Stoned
  7179.  Aliases:     Donald Duck, Hawaii, Marijuana, New Zealand, Rostov, San Diego,
  7180.               Sex Revolution, Smithsonian, Stoned II
  7181.  V Status:    Common
  7182.  Discovered:  February, 1988
  7183.  Symptoms:    BSC, TSR, messages, RLL controller hangs
  7184.  Origin:      New Zealand
  7185.  Eff Length:  N/A
  7186.  Type Code:   BRtX - Resident Boot Sector & Partition Table Infector
  7187.  Detection Method:  ViruScan, CleanUp, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  7188.               AVTK 3.5+, VirHunt 2.0+
  7189.  Removal Instructions:  CleanUp, MDisk, F-Prot, Pro-Scan 1.4+
  7190.  General Comments:
  7191.        The Stoned virus was first reported in Wellington, New Zealand in
  7192.        early 1988.  The original virus only infected 360KB 5 1/4" diskettes,
  7193.        doing no overt damage.  The original diskette-only infector is extinct,
  7194.        however, and all known variants of this virus are capable of infecting
  7195.        the hard disk partition table as well as may damage directory or FAT
  7196.        information.  Most variants of this virus have only minor modifications,
  7197.        usually in what the message is that the virus may display on boot.
  7198.  
  7199.        When a computer system is booted with a Stoned infected disk, this
  7200.        virus will install itself memory resident at the top of system memory.
  7201.        The interrupt 12 return will be moved, and ChkDsk will indicate that the
  7202.        computer system as 2K less total memory than what is installed.  If the
  7203.        system boot was from a diskette, the virus will also attempt to infect
  7204.        the hard disk partition table, if it was not previously infected.
  7205.  
  7206.        During the boot process, the Stoned Virus may display a message.  The
  7207.        message is displayed more or less on a random basis.  The most common
  7208.        text for the message is:
  7209.  
  7210.                "Your computer is now stoned."
  7211.  
  7212.        Or:
  7213.  
  7214.                "Your PC is now Stoned!"
  7215.  
  7216.        After Stoned is memory resident, it will infect diskettes as they are
  7217.        accessed on the system.  When Stoned infects a diskette, it moves the
  7218.        original boot sector (sector 0) to sector 11.  The Stoned Virus then
  7219.        copies itself into sector 0.  Since sector 11 is normally part of the
  7220.        diskette root directory on 360K 5.25" diskettes, any files which had
  7221.        their directory entries located in this sector will be lost.  Some
  7222.        versions of DOS have sector 11 as part of the File Allocation Table,
  7223.        which may also result in the disk's FAT being corrupted.
  7224.  
  7225.        When Stoned infects that system hard disk, it copies the hard disk's
  7226.        original partition table to side 0, cyl 0, sector 7.  A copy of the
  7227.        Stoned Virus is then placed at side 0, cyl 0, sector 1, the original
  7228.        location of the hard disk partition table.  If the hard disk was
  7229.        formatted with software which starts the boot sector, file allocation
  7230.        table, or disk directory on side 0, cyl 0 right after the partition
  7231.        table, the hard disk may be corrupted as well.
  7232.  
  7233.        In order to disinfect a system infected with the Stoned Virus, the
  7234.        system must be powered off and booted with an uninfected, write-
  7235.        protected boot diskette.  If this is not done, the virus may reinfect
  7236.        diskettes as soon as they are disinfected.
  7237.  
  7238.        There are many programs which can disinfect Stoned infected diskettes
  7239.        and hard disks.  To successfully use one of these, follow the
  7240.        instructions with the program.
  7241.  
  7242.        To remove Stoned manually, the DOS SYS command can be used on 5.25"
  7243.        360K diskettes.  On the hard disk, the original partition table must
  7244.        be copied back to side 0, cyl 0, sector 1.  This can be performed with
  7245.        Norton Utilities, or other sector editors.
  7246.  
  7247.        Known variants of the Stoned Virus are:
  7248.        Stoned-A : Same as Stoned above, but does not infect the system hard
  7249.                   disk.  This is the original virus and is now extinct.  The
  7250.                   text found in the boot sector of infected diskettes is:
  7251.                   "Your computer is now stoned.  Legalize Marijuana".
  7252.                   The "Legalize Marijuana" portion of the text is not
  7253.                   displayed.
  7254.        Stoned-B : Same as Stoned indicated above.  Systems with RLL controllers
  7255.                   may experience frequent system hangs.  Text typically found
  7256.                   in this variant is:
  7257.                   "Your computer is now stoned.  Legalise Marijuana".
  7258.                   The "Legalise Marijuana" may also be in capital letters, or
  7259.                   may be partially overwritten.  It is not displayed.
  7260.        Stoned-C : same as Stoned, except that the message has been
  7261.                   removed.
  7262.        Stoned-D : same as Stoned, with the exception that this variant
  7263.                   can infect high density 3.5" and 5.25" diskettes.
  7264.        Stoned II: Based on Stoned-B, this variant has been modified to
  7265.                   avoid detection by anti-viral utilities.  Since its
  7266.                   isolation in June, 1990, most utilities can now detect
  7267.                   this variant.  Text in the virus has been changed to:
  7268.                   "Your PC is now Stoned!  Version 2"
  7269.                   Or:
  7270.                   "Donald Duck is a lie."
  7271.                   The "Version 2" portion of the text may be corrupted as well.
  7272.  
  7273.        Rostov   : Similar to Stoned-B, this variant does not display any
  7274.                   message.  It contains the text:
  7275.                   "Non-system disk" and "Replace and strike".
  7276.                   Submitted in December, 1990, origin unknown.
  7277.        Sex Revolution V1.1 :
  7278.                   Submitted in December, 1990, this variant is similar to
  7279.                   Stoned-B.  This variant may display the following message:
  7280.                   "EXPORT OF SEX REVOLUTION ver. 1.1"
  7281.        Sex Revolution V2.0 :
  7282.                   Similar to Sex Revolution V1.1, the message has been changed
  7283.                   to:
  7284.                   "EXPORT OF SEX REVOLUTION ver. 2.0"
  7285.        Stoned-E : Similar to Stoned-B, this variant now emits a "beep" thru
  7286.                   the system speaker when the following message is displayed:
  7287.                   "Your PC is now Stoned!"
  7288.                   The text "LEGALISE MARIJUANA!" can also be found in the
  7289.                   boot sector and system partition table.
  7290.        Stoned-F : Similar to Stoned-E, this variant also emits a "beep" thru
  7291.                   the system speaker when its message is displayed.  The
  7292.                   displayed message is:
  7293.                   "Twoj PC jest teraz be!"
  7294.                   The text "LEGALISE MARIJUANA?" can also be found in the
  7295.                   boot sector and system partition table.
  7296.  
  7297.  
  7298.  Virus Name:  Subliminal 1.10
  7299.  Aliases:
  7300.  V Status:    Rare
  7301.  Discovered:  May, 1990
  7302.  Symptoms:    .COM growth, TSR, unusual file errors, video display flicker
  7303.  Origin:      California, USA
  7304.  Eff Length:  1,496 Bytes
  7305.  Type Code:   PRsC - Resident Parasitic .COM Infector
  7306.  Detection Method: ViruScan V64+, Pro-Scan 1.4+
  7307.  Removal Instructions: Scan/D, Pro-Scan 1.4+, or Delete Infected Files
  7308.  General Comments:
  7309.        The Subliminal 1.10 Virus was first isolated in Solano County,
  7310.        California in May 1990 by Jay Parangalan.  The name of the
  7311.        virus can be produced by negating (XORing with FF) some null
  7312.        terminated bytes in the viral code.  Using this technique, the
  7313.        creation date of the virus appears to be 02OCT89.  The
  7314.        Subliminal 1.10 Virus appears to be a very early version of the
  7315.        Solano 2000 Virus, and has only been reported at Solano
  7316.        Community College.
  7317.  
  7318.        The first time a program infected with the Subliminal 1.10 Virus
  7319.        is executed, the virus installs itself memory resident.  Any
  7320.        .COM files which are then executed are infected.  Infected
  7321.        programs will increase in length by 1,496 bytes.
  7322.  
  7323.        With the virus memory resident, the system monitor will appear to
  7324.        flicker.  What is occurring is that the virus is attempting to
  7325.        flash the message "LOVE, REMEMBER?" in the lower left portion of
  7326.        the display for a subliminal duration.  The actual amount of time
  7327.        the message displays on the screen varies between systems due to
  7328.        CPU speed.
  7329.  
  7330.        Also see: Solano 2000
  7331.  
  7332.  
  7333.  Virus Name:  Sunday
  7334.  Aliases:
  7335.  V Status:    Common
  7336.  Discovered:  November, 1989
  7337.  Symptoms:    TSR, executable file growth, messages, FAT corruption
  7338.  Origin:      Washington (state), USA
  7339.  Eff Length:  1,636 Bytes
  7340.  Type Code:   PRsAT - Parasitic Resident .COM, .EXE. & .OV? Infector
  7341.  Detection Method:  ViruScan V49+, F-Prot, IBM Scan, Pro-Scan, VirexPC 1.1+,
  7342.               AVTK 3.5+, VirHunt 2.0+
  7343.  Removal Instructions: CleanUp, Scan/D, F-Prot, Pro-Scan 1.4+, VirexPC,
  7344.               VirHunt 2.0+
  7345.  General Comments:
  7346.        The Sunday virus was discovered by many users in the Seattle,
  7347.        Washington area in November, 1989.  This virus activates on
  7348.        any Sunday, displaying the message:
  7349.  
  7350.            "Today is Sunday! Why do you work so hard?
  7351.             All work and no play make you a dull boy!
  7352.             Come on! Let's go out and have some fun!"
  7353.  
  7354.        The Sunday virus appears to have been derived from the
  7355.        Jerusalem virus, the viral code being similar in many
  7356.        respects.
  7357.  
  7358.        Damage to the file allocation table or FAT has been reported
  7359.        from a number of infected users.
  7360.  
  7361.        Known variants of the Sunday Virus are:
  7362.        Sunday-B : Similar to the Sunday Virus, this variant does not activate
  7363.                   on any day of the week due to an error in the day of the
  7364.                   week checking routine.  The message in the virus is never
  7365.                   displayed, and no damage is done to the file allocation
  7366.                   table.
  7367.        Sunday-C : Similar to Sunday-B, this variant also never activates.  It
  7368.                   has, however, been modified so that it differs from both
  7369.                   the Sunday and Sunday-B viruses.  Functionally, it is the
  7370.                   same as Sunday-B.
  7371.  
  7372.  
  7373.  Virus Name:  Suriv 1.01
  7374.  Aliases:     April 1st, Israeli, Suriv01
  7375.  V Status:    Extinct
  7376.  Discovered:  April, 1987
  7377.  Symptoms:    TSR, .COM growth, messages, system lock April 1st
  7378.  Origin:      Israel
  7379.  Eff Length:  897 bytes
  7380.  Type Code:   PRsC - Parasitic Resident .COM Infector
  7381.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  7382.               AVTK 3.5+, VirHunt 2.0+
  7383.  Removal Instructions:  Scan/D/X, F-Prot, VirHunt 2.0+, or UnVirus
  7384.  General Comments:
  7385.        The Suriv 1.01 virus is a memory resident .COM infector.  It
  7386.        will activate on April 1st after memory is infected by running
  7387.        an infected file and then a uninfected .COM file is executed.
  7388.        On activation, it will display the message:
  7389.  
  7390.        "APRIL 1ST HA HA HA YOU HAVE A VIRUS".
  7391.  
  7392.        The system will then lock up, requiring it to be powered off and
  7393.        then back on.
  7394.  
  7395.        The text "sURIV 1.01" can be found in the viral code.
  7396.  
  7397.  
  7398.  Virus Name:  Suriv 2.01
  7399.  Aliases:     April 1st-B, Israeli, Suriv02
  7400.  V Status:    Extinct
  7401.  Discovered:  1987
  7402.  Symptoms:    TSR, .EXE growth, messages, system lock April 1st
  7403.  Origin:      Israel
  7404.  Eff Length:  1,488 bytes
  7405.  Type Code:   PRsE - Parasitic Resident .EXE Infector
  7406.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, VirexPC, Pro-Scan,
  7407.               AVTK 3.5+, VirHunt 2.0+
  7408.  Removal Instructions:  Scan/D/X, F-Prot, UnVirus, VirHunt 2.0+
  7409.  General Comments:
  7410.        The Suriv 2.01 virus is a memory resident .EXE infector.  It
  7411.        will activate on April 1st after memory is infected by running
  7412.        an infected file, displaying the same message as Suriv 1.01
  7413.        and locking up the system.  The virus will cause a similar
  7414.        lockup, though no message, 1 hour after an infected .EXE file
  7415.        is executed on any day on which the system default date of
  7416.        01-01-80 is used.  The virus will only infect the file once.
  7417.  
  7418.  
  7419.  Virus Name:  Suriv 3.00
  7420.  Aliases:     Israeli, Suriv03
  7421.  V Status:    Extinct
  7422.  Discovered:  1988
  7423.  Symptoms:    TSR, .COM, .EXE, & .SYS growth; Black Window; system slowdown
  7424.  Origin:      Israel
  7425.  Eff Length:  1,813 (COM files) & 1,808 (EXE files) bytes
  7426.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  7427.  Detection Method:  ViruScan/X V67+, F-Prot, Pro-Scan, VirexPC, AVTK 3.5+,
  7428.               VirHunt 2.0+
  7429.  Removal Instructions: CleanUp, Scan/D/X, F-Prot, Unvirus, VirHunt 2.0+
  7430.  General Comments:
  7431.        May be a variant of the Jerusalem virus.  The string "sUMsDos"
  7432.        has been changed to "sURIV 3.00".  The Suriv 3.00 virus
  7433.        activates on Friday The 13ths when an infected program is
  7434.        run or if it is already present in system memory, however
  7435.        files are not deleted due to a bug in the viral code.
  7436.  
  7437.        Other than on Friday The 13ths, after the virus is memory
  7438.        resident for 30 seconds, an area of the screen is turned into
  7439.        a "black window" and a time wasting loop is executed with
  7440.        each timer interrupt.
  7441.  
  7442.        As with the Jerusalem B viruses, this virus can also infect
  7443.        overlay, .SYS, and other executable files besides .EXE and
  7444.        .COM files, though it does not infect COMMAND.COM itself.
  7445.  
  7446.        Also see: Jerusalem, Jerusalem B
  7447.  
  7448.  
  7449.  Virus Name:  Sverdlov
  7450.  Aliases:
  7451.  V Status:    Rare
  7452.  Discovered:  December, 1990
  7453.  Symptoms:    .COM & .EXE growth; decrease in total system and available memory
  7454.  Origin:      USSR
  7455.  Eff Length:  1,962 Bytes
  7456.  Type Code:   PRhAK - Parasitic Resident .COM & .EXE Infector
  7457.  Detection Method:  ViruScan V74+
  7458.  Removal Instructions: Scan/D, or Delete infected programs
  7459.  General Comments:
  7460.        The Sverdlov Virus was submitted in December, 1990.  This virus is
  7461.        believed to have originated in the USSR.  Sverdlov is a memory resident
  7462.        infector of .COM and .EXE files, and will infect COMMAND.COM.  This
  7463.        virus is also encrypted.
  7464.  
  7465.        The first time a program infected with the Sverdlov Virus is executed,
  7466.        the virus will install itself memory resident at the top of system
  7467.        memory but below the DOS 640K boundary.  4,080 bytes of memory will
  7468.        have been reserved, and the interrupt 12 return is not altered by the
  7469.        virus.  The DOS ChkDsk program will indicate that total system memory
  7470.        and available free memory is 4,080 bytes less than expected.
  7471.        COMMAND.COM will also be infected at this time if it was not already
  7472.        infected.
  7473.  
  7474.        Once Sverdlov is memory resident, any .COM or .EXE file over 2K in
  7475.        length will become infected if it is executed or openned for any reason.
  7476.        Infected .COM files have a file length increase of 1,962 bytes.
  7477.        Infected .EXE files will have a file length increase of 1,962 to
  7478.        1,977 bytes in length.  In both cases, the virus will be located at the
  7479.        end of infected programs.
  7480.  
  7481.        It is unknown if Sverdlov does anything besides replicate.
  7482.  
  7483.  
  7484.  Virus Name:  SVir
  7485.  Aliases:
  7486.  V Status:    Endangered
  7487.  Discovered:  1990
  7488.  Symptoms:    .EXE growth; file date/time changes; system hangs
  7489.  Origin:      Poland
  7490.  Eff Length:  512 Bytes
  7491.  Type Code:   PNE - Parasitic Non-Resident .EXE Infector
  7492.  Detection Method:
  7493.  Removal Instructions: Delete infected programs
  7494.  General Comments:
  7495.        The SVir Virus was originally isolated in Poland early in 1990.  The
  7496.        original virus which was isolated had a fatal flaw in its code which
  7497.        prevented it from executing.  In August, 1990, a sample was obtained
  7498.        from Fridrik Skulason which now does replicate.  This second sample,
  7499.        identified as SVir-B, is a non-resident infector of .EXE files.
  7500.  
  7501.        Each time a program infected with the SVir-B Virus is executed, the
  7502.        virus will infect one .EXE file.  Infected files will increase in
  7503.        length between 516 and 526 bytes with the virus's code appended to the
  7504.        end of the file.  If the virus could not find an .EXE file to infect,
  7505.        it will leave the drive "spinning" as it will be in an endless loop
  7506.        looking for a file to infect.
  7507.  
  7508.        Interestingly enough, this virus will only infect files located on the
  7509.        A: drive.
  7510.  
  7511.        Infected files will also have their date/time in the disk directory
  7512.        changed to the date and time when the infection occurred.
  7513.  
  7514.        SVir, at least in the two known variants, does not do anything
  7515.        malicious, it simply replicates.
  7516.  
  7517.        Known variants of SVir are:
  7518.        SVir-A : The original "virus" from Poland in early 1990 which did not
  7519.                 replicate.
  7520.        SVir-B : A variant isolated in August, 1990 which has the bug in SVir-A
  7521.                 fixed so that it will now replicate.
  7522.  
  7523.  
  7524.  Virus Name:  Swap
  7525.  Aliases:     Falling Letters Boot, Israeli Boot
  7526.  V Status:    Rare
  7527.  Discovered:  August, 1989
  7528.  Symptoms:    Graphic display, BSC (floppy only), TSR, bad cluster,
  7529.  Origin:      Israel
  7530.  Eff Length:  N/A
  7531.  Type Code:   RsF - Resident Floppy Boot Sector Infector
  7532.  Detection Method:  ViruScan, F-Prot, IBM Scan, VirexPC, VirHunt 2.0+
  7533.  Removal Instructions:  MDisk, CleanUp, F-Prot, or DOS SYS Command
  7534.  General Comments:
  7535.        The Swap Virus, or Israeli Boot Virus, was first reported in
  7536.        August 1989.  This virus is a memory resident boot sector
  7537.        infector that only infects floppies.  The floppy's boot
  7538.        sector is infected the first time it is accessed.  One bad
  7539.        cluster will be written on track 39, sectors 6 and 7 with the
  7540.        head unspecified.  If track 39, sectors 6 and 7, are not
  7541.        empty, the virus will not infect the disk.  Once the virus
  7542.        is memory resident, it uses 2K or RAM.  The actual length of
  7543.        the viral code is 740 bytes.
  7544.  
  7545.        The Swap virus activates after being memory resident for 10
  7546.        minutes.  A cascading effect of letters and characters on the
  7547.        system monitor is then seen, similar to the cascading effect
  7548.        of the Cascade and Traceback viruses.
  7549.  
  7550.        The virus was named the Swap virus because the first isolated
  7551.        case had the following phrase located at bytes 00B7-00E4 on
  7552.        track 39, sector 7:
  7553.  
  7554.            "The Swapping-Virus. (C) June, 1989 by the CIA"
  7555.  
  7556.        However, this phrase is not found on diskettes which have been
  7557.        freshly infected by the Swap virus.
  7558.  
  7559.        A diskette infected with the Swap virus can be easily identified
  7560.        by looking at the boot sector with a sector editor, such as
  7561.        Norton Utilities.  The error messages which normally occur at
  7562.        the end of the boot sector will not be there, instead the start
  7563.        of the virus code is present.  The remainder of the viral code
  7564.        is located on track 39, sectors 6 and 7.
  7565.  
  7566.  
  7567.  Virus Name:  Swedish Disaster
  7568.  Aliases:
  7569.  V Status:    New
  7570.  Discovered:  January, 1991
  7571.  Symptoms:    BSC; Partition Table Altered;
  7572.               Decrease in system and available free memory
  7573.  Origin:      Sweden
  7574.  Eff Length:  N/A
  7575.  Type Code:   BRhX - Resident Boot Sector & Partition Table Infector
  7576.  Detection Method:  ViruScan V74+
  7577.  Removal Instructions: MDisk/P
  7578.  General Comments:
  7579.        The Swedish Disaster was isolated in January, 1991.  This virus appears
  7580.        to be from Sweden.  It is a memory resident infector of floppy boot
  7581.        sectors and the hard disk partition table.
  7582.  
  7583.        When the system is booted from a diskette whose boot sector is infected
  7584.        with the Swedish Disaster Virus, the virus will infect the system
  7585.        hard disk's partition table, with the original hard disk partition
  7586.        table moved to side 0, cylinder 0, sector 6.  The virus will also
  7587.        install itself memory resident at the top of system memory but below
  7588.        the 640K DOS boundary.  Total system memory will decrease by 2,048
  7589.        bytes, available free memory will be 6,944 bytes less than what is
  7590.        expected by the user.  Interrupt 12's return will have been moved by
  7591.        the virus.
  7592.  
  7593.        After Swedish Disaster is memory resident, the virus will infect all
  7594.        non-write protected diskettes which are accessed on the system.  On
  7595.        360K 5.25" diskettes, the original boot sector will have been moved
  7596.        to sector 11, which is normally a part of the root directory.  This
  7597.        means that if the disk originally had directory entries in that sector,
  7598.        they will be lost.
  7599.  
  7600.        The following text string can be found at the end of the boot sector
  7601.        of infected diskettes, as well as within the partition table on infected
  7602.        hard disks:
  7603.  
  7604.                "The Swedish Disaster"
  7605.  
  7606.        Diskettes infected with the Swedish Disaster can be disinfected by
  7607.        powering off the system and rebooting from a write-protected original
  7608.        DOS diskette.  The DOS Sys command can then be used to replace the
  7609.        boot sector on infected diskettes.  For hard disks, the MDisk/P program
  7610.        will remove this virus, though the above text string will remain in
  7611.        the partition table.
  7612.  
  7613.  
  7614.  Virus Name:  Swiss 143
  7615.  Aliases:
  7616.  V Status:    New
  7617.  Discovered:  January, 1991
  7618.  Symptoms:    .COM growth; File date/time changes
  7619.  Origin:      Switzerland
  7620.  Eff Length:  143 Bytes
  7621.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  7622.  Detection Method:  ViruScan V74+
  7623.  Removal Instructions: Scan/D, or Delete infected files
  7624.  General Comments:
  7625.        The Swiss 143 Virus was submitted in January, 1991, by Dany Schoch of
  7626.        Hagendern, Switzerland.  This virus is a non-memory resident infector
  7627.        of .COM files, including COMMAND.COM.
  7628.  
  7629.        When a program infected with Swiss 143 is executed, the virus will
  7630.        infect all .COM files in the current directory.  Infected programs
  7631.        will increase in length by 143 bytes, the virus will be located at the
  7632.        end of the infected program.  The disk directory date and time will also
  7633.        be altered to the current system date and time when the programs were
  7634.        infected.
  7635.  
  7636.        This virus does not do anything besides replicate.
  7637.  
  7638.  
  7639.  Virus Name:  SysLock
  7640.  Aliases:     3551, 3555
  7641.  V Status:    Endangered
  7642.  Discovered:  November, 1988
  7643.  Symptoms:    .COM & .EXE growth, data file corruption 
  7644.  Origin:      
  7645.  Eff Length:  3,551 Bytes
  7646.  Type Code:   PNA - Encrypting Non-Resident .COM & .EXE Infector
  7647.  Detection Method:  ViruScan, F-Prot, Pro-Scan, AVTK 3.5+, VirHunt 2.0+
  7648.  Removal Instructions: Scan/D, or F-Prot
  7649.  General Comments:
  7650.        The SysLock virus is a parasitic encrypting virus which
  7651.        infects both .COM and .EXE files, as well as damaging some
  7652.        data files on infected systems.  This virus does not install
  7653.        itself memory resident, but instead searches through the
  7654.        .COM and .EXE files and subdirectories on the current disk,
  7655.        picking one executable file at random to infect.  The
  7656.        infected file will have its length increased by approximately
  7657.        3,551 bytes, though it may vary slightly depending on file
  7658.        infected.
  7659.  
  7660.        The SysLock virus will damage files by searching for the word
  7661.        "Microsoft" in any combination of upper and lower case
  7662.        characters, and when found replace the word with "MACROSOFT".
  7663.  
  7664.        If the SysLock virus finds that an environment variable
  7665.        "SYSLOCK" exists in the system and has been set to "@" (hex 40),
  7666.        the virus will not infect any programs or perform string
  7667.        replacements, but will instead pass control to its host
  7668.        immediately.
  7669.  
  7670.        Known variant(s) of SysLock are:
  7671.        Advent  : Reported to be a Syslock variant, the sample of this virus
  7672.                  received by the author does not replicate.  All known
  7673.                  samples of this virus available from anti-viral researchers
  7674.                  also do not replicate.  Fridrik Skulason of Iceland has
  7675.                  indicated that this virus will only replicate it is on an
  7676.                  infected .EXE file, and then it will only infect .COM
  7677.                  files.  This variant is thought to be extinct.
  7678.        Macho-A : same as the SysLock virus, except that "Microsoft"
  7679.                  is replaced with "MACHOSOFT".
  7680.  
  7681.        Also see: Cookie
  7682.  
  7683.  Virus Name:  Taiwan
  7684.  Aliases:     Taiwan 2, Taiwan-B
  7685.  V Status:    Endangered
  7686.  Discovered:  January, 1990
  7687.  Symptoms:    .COM growth, 8th day any month corrupts BOOT, FAT,
  7688.               & Partition tables.
  7689.  Origin:      Taiwan
  7690.  Eff Length:  743 Bytes
  7691.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  7692.  Detection Method:  ViruScan V56+, F-Prot, Pro-Scan 1.4+, VirexPC
  7693.  Removal Instructions: Scan/D, F-Prot 1.12+, or delete infected files
  7694.  General Comments:
  7695.        The Taiwan virus was first isolated in January, 1990 in
  7696.        Taiwan, R.O.C.  This virus infects .COM files, including
  7697.        COMMAND.COM, and does not install itself into system memory.
  7698.  
  7699.        Each time a program infected with the Taiwan virus is executed, the
  7700.        virus will attempt to infect up to 3 .COM files.  The current
  7701.        default directory is not first infected, instead the virus will
  7702.        start its search for candidate files in the C: drive root directory.
  7703.        Once an uninfected .COM file is located, the virus infects the file
  7704.        by copying the viral code to the first 743 bytes of the file, the
  7705.        original first 743 bytes of the file is relocated to the end of the
  7706.        .COM file.  A bug exists in this virus, if the uninfected .COM file
  7707.        is less than 743 bytes in length, the resulting infected .COM file
  7708.        will always be 1,486 bytes in length.  This effect is due to the
  7709.        virus not checking to see if it read less than 743 bytes of the
  7710.        original file before infecting it.
  7711.  
  7712.        The Taiwan virus is destructive.  On the 8th day of any month, when
  7713.        an infected program is run the virus will perform an absolute disk
  7714.        write for 160 sectors starting at logical sector 0 on the C: and
  7715.        D: drives.  In effect, this logical write will result in the FATs
  7716.        and root directory being overwritten.
  7717.  
  7718.        Known variant(s) of Taiwan include:
  7719.        Taiwan-B : Apparently an earlier version of the Taiwan virus, this
  7720.                   variant will hang the system when infected files are
  7721.                   executed, but after it has infected another file using
  7722.                   the selection mechanism indicated for the Taiwan virus.
  7723.  
  7724.  
  7725.  Virus Name:  Taiwan 3
  7726.  Aliases:
  7727.  V Status:    Rare
  7728.  Discovered:  June, 1990
  7729.  Symptoms:    .COM & .EXE growth, decrease in available free memory,
  7730.               system hangs
  7731.  Origin:      Taiwan
  7732.  Eff Length:  2,900 Bytes
  7733.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  7734.  Detection Method:  ViruScan V64+, Pro-Scan 2.01+
  7735.  Removal Instructions: Clean-Up V71+, Scan/D, or delete infected files
  7736.  General Comments:
  7737.        The Taiwan 3 Virus was isolated in June, 1990 in Taiwan, R.O.C.  It
  7738.        was dubbed the Taiwan 3 Virus by John McAfee because it is the third
  7739.        virus from Taiwan, the other two are Taiwan and Disk Killer.  This
  7740.        virus is not related to either of these two viruses.
  7741.  
  7742.        The first time a program infected with the Taiwan 3 Virus is executed
  7743.        on a system, the virus will install itself memory resident in low
  7744.        system free memory.  Available free memory will decrease by 3,152
  7745.        bytes.  The virus hooks interrupt 21.
  7746.  
  7747.        After becoming memory resident, Taiwan 3 will infect any program
  7748.        which is executed.  .COM files will increase in length by 2,900
  7749.        bytes, .EXE files will increase by between 2,900 and 2,908 bytes.
  7750.        Overlay files may also become infected as well.
  7751.  
  7752.        It is unknown what the activation criteria is for this virus, or
  7753.        what it does besides spreading.
  7754.  
  7755.        Also see: Fu Manchu
  7756.  
  7757.  
  7758.  Virus Name:  Taiwan 4
  7759.  Aliases:     2576
  7760.  V Status:    Common
  7761.  Discovered:  October, 1990
  7762.  Symptoms:    TSR; .COM & .EXE file growth; system slowdown
  7763.  Isolated:    USA and Thailand
  7764.  Origin:      Taiwan
  7765.  Eff Length:  2,576 Bytes
  7766.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  7767.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  7768.  Removal Instructions:  Clean-Up V71+, Pro-Scan 2.01+, or Delete infected files
  7769.  General Comments:
  7770.        The Taiwan 4, or 2576, Virus was isolated in October, 1990.  While one
  7771.        copy of this virus was submitted by a user of Excalibur! who indicated
  7772.        that it had been received from a download of AutoCad from another BBS,
  7773.        a second copy was submitted to John McAfee from Thailand on
  7774.        approximately the same date.  This virus appears to have originated in
  7775.        Taiwan, and is based on the Taiwan 3 virus.  It is a memory resident
  7776.        infector of .COM and .EXE files, but will not infect COMMAND.COM.
  7777.  
  7778.        When a program infected with the Taiwan 4 Virus is executed, the virus
  7779.        will check to see if it is already memory resident.  If the virus isn't
  7780.        already in memory, the virus will install itself memory resident as a
  7781.        low system memory TSR of 2,832 bytes.  Interrupts 08 and 21 will be
  7782.        hooked by the virus.
  7783.  
  7784.        After the virus is resident, the virus will start to slow down the
  7785.        system gradually.  After approximately 30 minutes, it will have slowed
  7786.        the system down by approximately 30 percent.
  7787.  
  7788.        Any .COM or .EXE file executed with Taiwan 4 active in memory will
  7789.        become infected.  Infected programs will have their file length
  7790.        increased by 2,576 bytes for .COM files, and 2,576 - 2,590 bytes for
  7791.        .EXE files.  The virus is located at the beginning of .COM files, and
  7792.        the end of .EXE files.  The following text message can be found in all
  7793.        infected programs:
  7794.  
  7795.                "To Whom see this: Shit! As you can see this document,
  7796.                 you may know what this program is. But I must tell you:
  7797.                 DO NOT TRY to WRITE ANY ANTI-PROGRAM to THIS VIRUS.
  7798.                 This is a test-program, the real dangerous code will
  7799.                 implement on November. I use MASM to generate varius
  7800.                 virus easily and you must use DEBUG against my virus
  7801.                 hardly, this is foolish. Save your time until next month.
  7802.                 OK? Your Sincerely, ABT Group., Oct 13th, 1989 at FCU."
  7803.  
  7804.        Another text string that can be found in all infected programs is:
  7805.        "ACAD.EXECOMMAND.COM".
  7806.  
  7807.  
  7808.  Virus Name:  The Plague
  7809.  Aliases:
  7810.  V Status:    New
  7811.  Discovered:  January, 1991
  7812.  Symptoms:    "Program too big to fit in memory" message;
  7813.               Programs do not execute properly; Long disk accesses;
  7814.               Message and disk overwrite
  7815.  Origin:      United States
  7816.  Eff Length:  590 Bytes
  7817.  Type Code:   ONAK - Overwriting Non-Resident .COM & .EXE Infector
  7818.  Detection Method:
  7819.  Removal Instructions:  Delete infected files
  7820.  General Comments:
  7821.        The Plague Virus was isolated in January, 1991 in the United States.
  7822.        This virus is a non-memory resident infector of .COM and .EXE files,
  7823.        including COMMAND.COM.
  7824.  
  7825.        When a program infected with The Plague is executed, the virus will
  7826.        attempt to infect up to three programs on the current drive, starting
  7827.        in the current directory.  Infected programs can be either .COM or
  7828.        .EXE files, and COMMAND.COM can become infected.  This virus is an
  7829.        overwriting virus.  It replaces the first 590 bytes of the program
  7830.        being infected with a copy of itself.  The file date and time in the
  7831.        disk directory are not altered.
  7832.  
  7833.        Programs infected with The Plague will not function properly.  For .EXE
  7834.        files, the following message will usually be displayed upon program
  7835.        execution:
  7836.  
  7837.                "Program too big to fit in memory"
  7838.  
  7839.        This message may also occur for some .COM programs, but not usually.
  7840.  
  7841.        The Plague activates when an infected program is executed and it can
  7842.        not find an uninfected program to infect, though there is some
  7843.        randomness to whether or not the activation will actually occur.
  7844.        When this virus activates, the following message is displayed:
  7845.  
  7846.                "Autopsy indicates the cause of
  7847.                 death was THE PLAGUE
  7848.                 Dedicated to the dudes at SHHS
  7849.                 VIVE LE SHE-MAN!"
  7850.  
  7851.        While the message is being displayed, the disk in the current drive
  7852.        will be overwritten with garbage characters, rendering it unrecoverable.
  7853.  
  7854.        Programs infected with The Plague cannot be disinfected since the
  7855.        first 590 bytes of the program no longer exists.  The programs must
  7856.        be deleted and replaced with clean copies.
  7857.  
  7858.  
  7859.  Virus Name:  Tiny Family
  7860.  Aliases:     Tiny-133, Tiny-134, Tiny-138, Tiny-143, Tiny-154, Tiny-156,
  7861.               Tiny-158, Tiny-159, Tiny-160, Tiny-167, Tiny-198
  7862.  V Status:    Rare
  7863.  Discovery:   July, 1990
  7864.  Symptoms:    .COM file growth
  7865.  Origin:      Bulgaria
  7866.  Eff Length:  133 - 198 Bytes (see below)
  7867.  Type Code:   PRC - Parasitic Resident .COM Infector
  7868.  Detection Method: ViruScan V66+, Pro-Scan 2.01+ (larger variants only)
  7869.  Removal Instructions: Scan/D, or Delete infected files
  7870.  General Comments:
  7871.        The Tiny Family of Viruses was received by the author in July 1990
  7872.        from Vesselin Bontchev of Bulgaria.  All the viruses in this grouping
  7873.        share the same characteristics, with the only real difference is the
  7874.        effective length of the viral code.  There were five (5) viruses
  7875.        included in the "family" as of July, 1990: Tiny-158, Tiny-159,
  7876.        Tiny-160, Tiny-167, and Tiny-198.  In October 1990, five (5)
  7877.        additional viruses in this family were received from Vesselin
  7878.        Bontchev: Tiny-134, Tiny-138, Tiny-143, Tiny-154, and Tiny-156.
  7879.        In December 1990, an eleventh member was added to this family:
  7880.        Tiny-133.
  7881.  
  7882.        The first time a file infected with one of the Tiny Family viruses
  7883.        is executed on a system, the virus will install itself memory resident
  7884.        at memory segment 60h.  This area of memory is normally only used by
  7885.        DOS when the system is booted, after that it is never used or
  7886.        referenced.  Interrupt 21 will be hooked by the virus.
  7887.  
  7888.        After the virus is memory resident, the virus will infect any .COM
  7889.        program that is executed.  Infected programs will have a file length
  7890.        increase of between 134 - 198 bytes, depending on which variant is
  7891.        present on the system.  The file's date and time in the directory will
  7892.        also have been updated to the system date and time when the infection
  7893.        occurred.
  7894.  
  7895.        The Tiny Family of Viruses currently does not do anything but
  7896.        replicate.
  7897.  
  7898.        The viruses in this "family" are not related to the Tiny Virus
  7899.        documented below.
  7900.  
  7901.        Known members of the Tiny Family are:
  7902.        Tiny-133 : Similar to Tiny-134, this variant's effective length is
  7903.                   133 bytes.  The bugs in Tiny-134 have been fixed, this
  7904.                   virus is an excellent replicator.  This variant has also
  7905.                   been altered so that it cannot be detected by anti-viral
  7906.                   utilities which were aware of other members of this family.
  7907.        Tiny-134 : This variant's effective length is 134 bytes.  This
  7908.                   variant is the only member of this family which is not
  7909.                   a very viable virus, it will usually hang the system
  7910.                   when it attempts to infect .COM files.
  7911.        Tiny-138 : Same as above, effective length is 138 bytes.
  7912.        Tiny-143 : Same as above, effective length is 143 bytes.
  7913.        Tiny-154 : Same as above, effective length is 154 bytes.
  7914.        Tiny-156 : Same as above, effective length is 156 bytes.
  7915.        Tiny-158 : Same as above, effective length is 158 bytes.
  7916.        Tiny-159 : Same as above, effective length is 159 bytes.
  7917.        Tiny-160 : Same as above, effective length is 160 bytes.
  7918.        Tiny-167 : Same as above, effective length is 167 bytes.
  7919.        Tiny-198 : Same as above, effective length is 198 bytes.
  7920.  
  7921.        Also see: Tiny Virus
  7922.  
  7923.  
  7924.  Virus Name:  Tiny Virus
  7925.  Aliases:     163 COM Virus, Tiny 163 Virus
  7926.  V Status:    Rare
  7927.  Discovery:   June, 1990
  7928.  Symptoms:    COMMAND.COM & .COM file growth
  7929.  Origin:      Denmark
  7930.  Eff Length:  163 Bytes
  7931.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  7932.  Detection Method:  ViruScan V64+, VirexPC, F-Prot 1.12+
  7933.  Removal Instructions: Scan/D, F-Prot 1.12+, or Delete infected files
  7934.  General Comments:
  7935.        The 163 COM Virus, or Tiny Virus, was isolated by Fridrik Skulason
  7936.        of Iceland in June 1990.  This virus is a non-resident generic
  7937.        .COM file infector, and it will infect COMMAND.COM.
  7938.  
  7939.        The first time a file infected with the 163 COM Virus is executed,
  7940.        the virus will attempt to infect the first .COM file in the
  7941.        current directory.  On bootable diskettes, this file will normally
  7942.        be COMMAND.COM.  After the first .COM file is infected, each time
  7943.        an infected program is executed another .COM file will attempt to
  7944.        be infected.  Files are infected only if their original length is
  7945.        greater than approximately 1K bytes.
  7946.  
  7947.        Infected .COM files will increase in length by 163 bytes, and have
  7948.        date/time stamps in the directory changed to the date/time the
  7949.        infection occurred.  Infected files will also always end with this
  7950.        hex string: '2A2E434F4D00'.
  7951.  
  7952.        This virus currently does nothing but replicate, and is the
  7953.        smallest MS-DOS virus known as of its isolation date.
  7954.  
  7955.        The Tiny Virus may or may not be related to the Tiny Family documented
  7956.        elsewhere in this listing.
  7957.  
  7958.        Also see: Tiny Family
  7959.  
  7960.  
  7961.  Virus Name:  Traceback
  7962.  Aliases:     3066
  7963.  V Status:    Extinct
  7964.  Discovered:  October, 1988
  7965.  Symptoms:    .COM & .EXE growth, TSR, graphic display 1 hour after boot
  7966.  Origin:
  7967.  Eff Length:  3,066 bytes
  7968.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  7969.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  7970.               AVTK 3.5+, VirHunt 2.0+
  7971.  Removal Instructions:  M-3066, VirClean, F-Prot, VirexPC, Pro-Scan 1.4+,
  7972.               VirHunt 2.0+
  7973.               or delete infected files
  7974.  General Comments:
  7975.        The Traceback virus infects both .COM and .EXE files, adding
  7976.        3,066 bytes to the length of the file.  After an infected
  7977.        program is executed, it will install itself memory resident
  7978.        and infect other programs that are opened.  Additionally, if
  7979.        the system date is after December 5, 1988, it will attempt to
  7980.        infect one additional .COM or .EXE file in the current
  7981.        directory.  If an uninfected file doesn't exist in the current
  7982.        directory, it will search the entire disk, starting at the
  7983.        root directory, looking for a candidate.  This search
  7984.        process terminates if it encounters an infected file before
  7985.        finding a candidate non-infected file.
  7986.  
  7987.        This virus derives its name from two characteristics.  First,
  7988.        infected files contain the directory path of the file causing
  7989.        the infection within the viral code, thus is it possible
  7990.        to "trace back" the infection through a number of files.  Second,
  7991.        when it succeeds in infected another file, the virus will
  7992.        attempt to access the on-disk copy of the program that the
  7993.        copy of the virus in memory was loaded from so that it can
  7994.        update a counter in the virus.  The virus takes over disk
  7995.        error handling while trying to update the original infected
  7996.        program, so if it can't infect it, the user will be unaware
  7997.        that an error occurred.
  7998.  
  7999.        The primary symptom of the Traceback virus having infected
  8000.        the system is that if the system date is after December 28,
  8001.        1988, the memory resident virus will produce a screen display
  8002.        with a cascading effect similar to the Cascade/1701/1704
  8003.        virus.  The cascading display occurs one hour after system
  8004.        memory is infected.  If a keystroke is entered from the key-
  8005.        board during this display, a system lockup will occur.  After
  8006.        one minute, the display will restore itself, with the characters
  8007.        returning to their original positions.  This cascade and
  8008.        restore display are repeated by the virus at one hour
  8009.        intervals.
  8010.  
  8011.        Known variant(s) of the Traceback virus are:
  8012.        Traceback-B : Similar to the Traceback virus, the major differences
  8013.                      are that Traceback-B will infect COMMAND.COM and there
  8014.                      is no cascading display effect after the virus has
  8015.                      been resident for one (1) hour.  Infected files will
  8016.                      also not contain the name of the file from which the
  8017.                      virus originally became memory resident, but instead
  8018.                      the name of the current file.  A text string:
  8019.                      "MICRODIC MSG" can be found in files infected with
  8020.                      Traceback-B.  If the system is booted from a diskette
  8021.                      whose copy of COMMAND.COM is infected, attempting to
  8022.                      execute any program will result in a memory allocation
  8023.                      error and the system being halted.
  8024.                      Origin: Spain, March 1990.
  8025.        Traceback-B2: Similar to Traceback-B2, this variant has the cascading
  8026.                      display effect after the virus has been resident in
  8027.                      memory for one (1) hour.  The text string " XPO DAD     "
  8028.                      replaces the "MICRODIS MSG" text string in Traceback-B.
  8029.                      Origin: Spain, May 1990.
  8030.  
  8031.        Also see: Traceback II
  8032.  
  8033.  
  8034.  Virus Name:  Traceback II
  8035.  Aliases:     2930
  8036.  V Status:    Extinct
  8037.  Discovered:  October, 1988
  8038.  Symptoms:    .COM & .EXE growth, TSR, graphic display 1 hour after boot
  8039.  Origin:      
  8040.  Eff Length:  2,930 Bytes
  8041.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  8042.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  8043.               AVTK 3.5+, VirHunt 2.0+
  8044.  Removal Instructions: Scan/D/X, F-Prot, VirexPC, Pro-Scan 1.4+, VirHunt 2.0+,
  8045.               or delete infected files.
  8046.  General Comments:
  8047.        The Traceback II virus is a variant of the Traceback (3066)
  8048.        virus.  It is believed that Traceback II predates the
  8049.        Traceback virus, however the Traceback virus was isolated
  8050.        and reported first.  As with the Traceback virus, the
  8051.        Traceback II virus is memory resident and infects both .COM
  8052.        & .EXE files.
  8053.  
  8054.        The comments indicated for the Traceback virus generally
  8055.        apply to the Traceback II virus, with the exception that the
  8056.        file length increase is 2,930 bytes instead of 3,066 bytes.
  8057.  
  8058.        Known variant(s) of the Traceback II Virus are:
  8059.        Traceback II-B: Similar to Traceback II, this variant will infect
  8060.                        COMMAND.COM.  When the cascading effect occurs, the
  8061.                        screen will not be restored, instead the system will
  8062.                        be hung requiring it to be powered off and rebooted.
  8063.  
  8064.        Also see: Traceback
  8065.  
  8066.  
  8067.  Virus Name:  Turbo 448
  8068.  Aliases:     @ Virus, Turbo @, Polish-2
  8069.  V Status:    Rare
  8070.  Discovered:  November, 1990
  8071.  Symptoms:    .COM growth; File not found errors with some utilities.
  8072.  Origin:      Hungary
  8073.  Eff Length:  448 Bytes
  8074.  Type Code:   PRCK - Parasitic Resident .COM Infector
  8075.  Detection Method:  ViruScan V71+
  8076.  Removal Instructions:  Scan/D, or Delete infected files
  8077.  General Comments:
  8078.        The Turbo 448, or @ Virus, was discovered in Hungary in November, 1990.
  8079.        This virus is a memory resident infector of .COM files, including
  8080.        COMMAND.COM.
  8081.  
  8082.        The first time a program infected with the Turbo 448 Virus is executed,
  8083.        the virus will install itself memory resident at the end of the
  8084.        Command Interpretor in memory.  Total system memory and available free
  8085.        memory will not decrease.  Interrupt 21 will be hooked by the virus.
  8086.  
  8087.        The Turbo 448 Virus is unusual in that it does not infect programs when
  8088.        they are executed.  Instead, it infects .COM files when they are openned
  8089.        for some other reason besides execution.  For example, if the virus is
  8090.        memory resident a program A.COM is copied to B.COM, both programs will
  8091.        become infected by the virus.
  8092.  
  8093.        Infected files will increase in length by 448 bytes, with the virus
  8094.        being located at the end of the file.  The program's date and time in
  8095.        the disk directory will also have been updated to the system date and
  8096.        time when the file was infected.  The following text string can be
  8097.        found at the end of all infected programs:
  8098.  
  8099.                "Udv minden nagytudasunak! Turbo @"
  8100.  
  8101.        Another interesting behavior of this virus is that when the virus is
  8102.        memory resident, anti-viral products which are unaware of the Turbo 448's
  8103.        presence in memory will not function properly.  After the third file is
  8104.        read, the program may fail due to a "file not found" error being received
  8105.        when it attempts to open the fourth program.
  8106.  
  8107.        Also see: Turbo Kukac 9.9
  8108.  
  8109.  
  8110.  Virus Name:  Turbo Kukac
  8111.  Aliases:     Kukac, Turbo Kukac 9.9, Polish-2
  8112.  V Status:    Rare
  8113.  Discovered:  November, 1990
  8114.  Symptoms:    .COM growth; Decrease in total system and free available memory;
  8115.               File not found errors with some utilities.
  8116.  Origin:      Hungary
  8117.  Eff Length:  512 Bytes
  8118.  Type Code:   PRCK - Parasitic Resident .COM Infector
  8119.  Detection Method:  ViruScan V71+
  8120.  Removal Instructions:  Scan/D, or Delete infected files
  8121.  General Comments:
  8122.        The Turbo Kukac, or Kukac, Virus was discovered in Hungary in November,
  8123.        1990.  This virus is a memory resident infector of .COM files, including
  8124.        COMMAND.COM.  It is very similar to the Turbo 448 Virus.
  8125.  
  8126.        The first time a program infected with the Turbo Kukac Virus is executed,
  8127.        the virus will install itself memory resident following the Command
  8128.        Interpretor and any previously loaded TSRs.  Total system memory and
  8129.        available free memory will decrease by 1,040 bytes.  Interrupts 05 and
  8130.        21 will be hooked by the virus.  Note that this virus does not use a low
  8131.        system memory TSR, but instead creates a sort of "hole" in memory for
  8132.        its usage.
  8133.  
  8134.        Like the Turbo 448 Virus, this virus does not infect program when
  8135.        they are executed.  Instead, it infects .COM files when they are openned
  8136.        for some other reason besides execution.  For example, if the virus is
  8137.        memory resident a program A.COM is copied to B.COM, both programs will
  8138.        become infected by the virus.
  8139.  
  8140.        Infected files will increase in length by 512 bytes with the virus being
  8141.        located at the end of the file.  The program's date and time in the
  8142.        directory will also have been updated to the system date and time when
  8143.        the file was infected.  The following text string can be found at the
  8144.        end of all infected programs:
  8145.  
  8146.                "Turbo Kukac 9.9      $"
  8147.  
  8148.        An interesting behavior of this virus is that when the virus is
  8149.        memory resident, anti-viral products which are unaware of the Turbo
  8150.        Kukac's presence in memory will not function properly.  After the
  8151.        fourth file is read, the program may fail due to a "file not found"
  8152.        error being received when it attempts to open the fifth program.
  8153.  
  8154.        Also see: Turbo 448
  8155.  
  8156.  
  8157.  Virus Name:  Typo Boot
  8158.  Aliases:     Mistake
  8159.  V Status:    Rare
  8160.  Discovered:  June, 1989
  8161.  Symptoms:    BSC, Resident TOM, garbled printout.
  8162.  Origin:      Israel
  8163.  Eff Length:  N/A
  8164.  Type Code:   BRt - Resident Boot Sector Infector
  8165.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, AVTK 3.5+,
  8166.               VirHunt 2.0+
  8167.  Removal Instructions:  MDisk, Pro-Scan 1.4+, F-Prot, or DOS SYS Command
  8168.  General Comments:
  8169.        The Typo Boot virus was first isolated in Israel by Y. Radai
  8170.        in June, 1989.  This virus is a memory resident boot sector
  8171.        infector, taking up 2K at the upper end of system memory once
  8172.        it has installed itself memory resident.
  8173.  
  8174.        The major symptom that will be noticed on systems infected
  8175.        with the Typo Boot virus is that certain characters in
  8176.        printouts are always replaced with other phonetically
  8177.        similar characters.  Since the virus also substitutes hebrew
  8178.        letters for other hebrew letters, the virus was most likely
  8179.        written by someone in Israel.  Digits in numbers may also
  8180.        be transposed or replaced with other numbers.  The substitutions
  8181.        impact printouts only, the screen display and data in files are
  8182.        not affected.
  8183.  
  8184.        The Typo Boot virus is similar structurally to the Ping Pong
  8185.        virus, and may be a variant of Ping Pong.  It can be removed
  8186.        from a disk by using MDisk, CleanUp, DOS SYS command, or
  8187.        just about any Ping Pong disinfector.
  8188.  
  8189.  
  8190.  Virus Name:  Typo COM
  8191.  Aliases:     Fumble, 867
  8192.  V Status:    Extinct
  8193.  Discovered:  November, 1989
  8194.  Symptoms:    .COM growth, Resident TOM, garbled printout (see text).
  8195.  Origin:      England
  8196.  Eff Length:  867 Bytes
  8197.  Type Code:   PRtC - Parasitic Resident .COM Infector
  8198.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan, AVTK 3.5+,
  8199.               VirHunt 2.0+
  8200.  Removal Instructions:  Scan/D/X, F-Prot, Pro-Scan 1.4+, VirHunt 2.0+,
  8201.               or delete infected files
  8202.  General Comments:
  8203.        The Typo COM virus is similar to the Typo Boot virus in that
  8204.        it will garble data that is sent to the parallel port once it
  8205.        has activated.  Unlike the Boot virus, the COM virus infects
  8206.        generic .COM files.  This virus was first reported by Joe
  8207.        Hirst of Brighton, UK, in November, 1989.
  8208.  
  8209.        The Typo COM virus only infects .COM files on even-numbered
  8210.        days.
  8211.  
  8212.  
  8213.  Virus Name:  USSR
  8214.  Aliases:
  8215.  V Status:    Rare
  8216.  Discovered:  October, 1990
  8217.  Symptoms:    .EXE growth; hard disk boot sector and partition table damage;
  8218.               system hangs; long program load times
  8219.  Origin:      USSR
  8220.  Eff Length:  576 Bytes
  8221.  Type Code:   PNE - Parasitic Non-Resident .EXE Infector
  8222.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  8223.  Removal Instructions: Scan/D, or Delete infected Files
  8224.  General Comments:
  8225.        The USSR Virus was discovered in October, 1990 in the USSR.  It is
  8226.        an encrypted, non-resident generic infector of .EXE files.
  8227.  
  8228.        Each time a program infected with the USSR Virus is executed, it will
  8229.        search the currect directory for the first uninfected .EXE file.  If
  8230.        it finds one, it will attempt to infect it.  Sometimes when the virus
  8231.        attempts to infect a file, it will hang the system leaving the drive
  8232.        light on, however most of the time the virus is successful.  Infected
  8233.        files will increase in length by 576 to 586 bytes, with the virus
  8234.        located at the end of the file.
  8235.  
  8236.        Systems infected with this virus may go to boot their system from its
  8237.        hard disk only to find that the hard disk's boot sector has been
  8238.        removed, and the partition table has been damaged, thus rendering the
  8239.        hard disk inaccessible.  This damage can be repaired using Norton
  8240.        Disk Doctor, or MDisk with the /P option.
  8241.  
  8242.        Infected systems will also experience longer than normal load times
  8243.        when infected programs are executed.  The longer than normal load time
  8244.        is due to the virus searching for a file to infect, and then infecting
  8245.        the candidate file if one was found.
  8246.  
  8247.  
  8248.  Virus Name:  USSR 311
  8249.  Aliases:     V-311
  8250.  V Status:    New
  8251.  Discovered:  January, 1991
  8252.  Symptoms:    .COM growth; COMMAND.COM renamed to COMMAND.CON
  8253.  Origin:      USSR
  8254.  Eff Length:  311 Bytes
  8255.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  8256.  Detection Method:  ViruScan V74+
  8257.  Removal Instructions: Scan/D, or Delete infected files
  8258.  General Comments:
  8259.        The USSR 311, or V-311, Virus was submitted in January, 1991.  It
  8260.        originated in the USSR.  This virus is a non-resident infector of .COM
  8261.        programs, including COMMAND.COM.
  8262.  
  8263.        When a program infected with USSR 311 is executed, the virus will check
  8264.        the system time to see if the seconds value is equal to one of 16
  8265.        values.  If it was equal to one of those 16 values, COMMAND.COM will be
  8266.        renamed to COMMAND.CON.  Whether or not the rename of COMMAND.COM
  8267.        occurred, the virus will then infect one .COM program in the current
  8268.        directory.
  8269.  
  8270.        Infected .COM programs will increase in length by 311 bytes, the virus
  8271.        will be located at the end of the infected file.  The file's time in
  8272.        the disk directory will also be modified to be 11:19:32, the infection
  8273.        marker for this virus.  The file date in the directory is not altered.
  8274.  
  8275.        USSR 3111 will also alter the file attributes for the file in the
  8276.        directory.  In particular, bits 8 thru 15 will be reset, which may
  8277.        produce unexpected results in environments that make use of these
  8278.        bits.
  8279.  
  8280.  
  8281.  Virus Name:  USSR 492
  8282.  Aliases:
  8283.  V Status:    New
  8284.  Discovered:  December, 1990
  8285.  Symptoms:    .COM file growth; File date/time changes
  8286.  Origin:      USSR
  8287.  Eff Length:  495 - 508 Bytes
  8288.  Type Code:   PRfCK - Parasitic Resident .COM Infector
  8289.  Detection Method:  ViruScan V74+
  8290.  Removal Instructions: Scan/D, or Delete infected files
  8291.  General Comments:
  8292.        The USSR 492 Virus was submitted in December, 1990 and is from the
  8293.        USSR.  This virus is a memory resident .COM file infector, it will
  8294.        infect COMMAND.COM.
  8295.  
  8296.        When the first program infected with USSR 492 is executed, the virus
  8297.        will install itself memory resident in high system memory, but below
  8298.        the 640K DOS boundary.  This memory is not reserved by the virus.
  8299.        Interrupt 21 will be hooked by the virus.  At the time of going memory
  8300.        resident, the virus will check to determine if COMMAND.COM on the C:
  8301.        drive is infected, if it isn't, then the virus will infect it.
  8302.  
  8303.        Once USSR 492 is memory resident, it will infect any .COM program which
  8304.        is executed.  Execution of COMMAND.COM on the A: drive is the only way
  8305.        to infect COMMAND.COM on A:.
  8306.  
  8307.        Programs infected with USSR 492 will have a file length increase of
  8308.        495 to 508 bytes.  The virus will be located at the end of infected
  8309.        programs.  Infected programs will also have their date and time in the
  8310.        disk directory changed to the system date and time when infection
  8311.        occurred.
  8312.  
  8313.        USSR 492 does not appear to do anything besides replicate.
  8314.  
  8315.  
  8316.  Virus Name:  USSR 516
  8317.  Aliases:     Leapfrog
  8318.  V Status:    Rare
  8319.  Discovered:  December, 1990
  8320.  Symptoms:    .COM file growth
  8321.  Origin:      USSR
  8322.  Eff Length:  516 Bytes
  8323.  Type Code:   PRCK - Parasitic Resident .COM Infector
  8324.  Detection Method:  ViruScan V74+
  8325.  Removal Instructions: Scan/D, or Delete infected files
  8326.  General Comments:
  8327.        The USSR 516 Virus was submitted in December, 1990.  It is from the
  8328.        USSR.  This virus is a memory resident infector of .COM programs,
  8329.        including COMMAND.COM.  It infects on file execution.
  8330.  
  8331.        The first time a program infected with the USSR 516 Virus is executed,
  8332.        the virus will install itself memory resident in a "hole in memory"
  8333.        between MSDOS and the DOS Stacks.  This area will be labelled
  8334.        DOS Data.  Interrupt 21 will be hooked by the virus.  There will be
  8335.        no change in total system memory or available free memory.
  8336.  
  8337.        After the virus is memory resident, it will infect .COM programs which
  8338.        are executed that had an uninfected file length which was greater than
  8339.        512 bytes.  Infected .COM programs will have their length increased
  8340.        by 516 bytes, the virus will be located at the end of the program.
  8341.  
  8342.        USSR 516 does not appear to do anything besides replicate.  The original
  8343.        submitted sample was not a natural infection of this virus, so this may
  8344.        be a research virus.
  8345.  
  8346.  
  8347.  Virus Name:  USSR 600
  8348.  Aliases:
  8349.  V Status:    Rare
  8350.  Discovered:  December, 1990
  8351.  Symptoms:    .COM file growth
  8352.  Origin:      USSR
  8353.  Eff Length:  600 Bytes
  8354.  Type Code:   PRhCK - Parasitic Resident .COM Infector
  8355.  Detection Method:  ViruScan V74+
  8356.  Removal Instructions: Scan/D, or Delete infected files
  8357.  General Comments:
  8358.        The USSR 600 Virus was submitted in December, 1990, and is from the
  8359.        USSR.  This virus is a memory resident infector of .COM programs,
  8360.        including COMMAND.COM.
  8361.  
  8362.        When the first program infected with USSR 600 is executed, the virus
  8363.        will install itself memory resident at the top of system memory but
  8364.        below the 640K DOS boundary.  The DOS ChkDsk program will indicate
  8365.        that total system memory and available free memory are 2,048 bytes
  8366.        less than expected.  This virus does not move the interrupt 12
  8367.        return.  USSR 600 uses interrupts 21 and 24.
  8368.  
  8369.        Once USSR 600 is memory resident, it will infect .COM programs which
  8370.        are executed if they have an original file length of at least 600
  8371.        bytes.  Infected files will increase in size by 600 bytes, and the
  8372.        virus's code will be located at the beginning of the infected program.
  8373.  
  8374.        It is unknown if this virus does anything besides replicate.
  8375.  
  8376.  
  8377.  Virus Name:  USSR 707
  8378.  Aliases:
  8379.  V Status:    Rare
  8380.  Discovered:  December, 1990
  8381.  Symptoms:    .COM file growth; decrease in total system and available memory
  8382.  Origin:      USSR
  8383.  Eff Length:  707 Bytes
  8384.  Type Code:   PRtCK - Parasitic Resident .COM Infector
  8385.  Detection Method:  ViruScan V74+
  8386.  Removal Instructions: Scan/D, or Delete infected files
  8387.  General Comments:
  8388.        The USSR 707 Virus was submitted in December, 1990.  It is from the
  8389.        USSR.  This virus is a memory resident infector of .COM programs,
  8390.        including COMMAND.COM.
  8391.  
  8392.        When the first program infected with the USSR 707 Virus is executed,
  8393.        this virus will install itself memory resident at the top of system
  8394.        memory but below the 640K DOS boundary.  It will move the interrupt 12
  8395.        return so that the virus in memory cannot be overwritten.  USSR 707
  8396.        makes use of interrupt 21, which will now map to the virus in high
  8397.        system memory.  Total system memory and available free memory will
  8398.        be 720 bytes less than expected.
  8399.  
  8400.        After USSR 707 is memory resident, any .COM program executed will
  8401.        become infected by the virus.  Infected .COM programs will have a
  8402.        file length increase of 707 bytes, the virus will be located at the
  8403.        end of the file.  If COMMAND.COM is executed, it will be infected.
  8404.  
  8405.        It is unknown if USSR 707 does anything besides replicate.
  8406.  
  8407.  
  8408.  Virus Name:  USSR 711
  8409.  Aliases:
  8410.  V Status:    Rare
  8411.  Discovered:  December, 1990
  8412.  Symptoms:    .COM file growth; system hangs;
  8413.               decrease in total system and available memory
  8414.  Origin:      USSR
  8415.  Eff Length:  711 Bytes
  8416.  Type Code:   PRhC - Parasitic Resident .COM Infector
  8417.  Detection Method:  ViruScan V74+
  8418.  Removal Instructions: Scan/D, or Delete infected files
  8419.  General Comments:
  8420.        The USSR 711 Virus was submitted in December, 1990, and comes from the
  8421.        USSR.  This virus is a memory resident infector of .COM files.  It does
  8422.        not infect COMMAND.COM.
  8423.  
  8424.        When the first program infected with USSR 711 is executed, the virus
  8425.        will install itself memory resident at the top of system memory but
  8426.        below the 640K DOS boundary.  This memory is reserved.  The virus also
  8427.        hooks interrupts 08, 13, and 21.  The DOS ChkDsk program will indicate
  8428.        that total system memory and available free memory is 704 bytes less
  8429.        than what the user expects.  The interrupt 12 return is not altered
  8430.        by this virus.
  8431.  
  8432.        After USSR 711 is memory resident, any .COM file which is executed that
  8433.        had an original file length of at least 1600 bytes will be infected by
  8434.        the virus.  Infected .COM files will increase in size by 705 to 717
  8435.        bytes, and the virus will be located at the end of the infected file.
  8436.  
  8437.        Systems infected with USSR 711 may notice occasional system hangs which
  8438.        may occur when this virus attempts to infect .COM programs.
  8439.  
  8440.        It is unknown if USSR 711 does anything besides replicate and
  8441.        occasionally hang the system when infecting files.
  8442.  
  8443.  
  8444.  Virus Name:  USSR 948
  8445.  Aliases:
  8446.  V Status:    Rare
  8447.  Discovered:  December, 1990
  8448.  Symptoms:    .COM & .EXE growth; decrease in total system and available memory
  8449.  Origin:      USSR
  8450.  Eff Length:  948 Bytes
  8451.  Type Code:   PRhA - Parasitic Resident .COM & .EXE Infector
  8452.  Detection Method:  ViruScan V74+
  8453.  Removal Instructions: Scan/D, or Delete infected files
  8454.  General Comments:
  8455.        The USSR 948 Virus was received in December, 1990, and originated in
  8456.        the USSR.  This virus is a memory resident infector of .COM and .EXE
  8457.        files, and will also infect COMMAND.COM.
  8458.  
  8459.        When the first program infected with USSR 948 is executed, this virus
  8460.        will install itself memory resident at the top of system memory but
  8461.        below the 640K DOS boundary.  The interrupt 12 return will not be
  8462.        altered, although the memory in use by the virus is reserved.
  8463.        Interrupts 1C and 21 will be hooked by the virus.
  8464.  
  8465.        After USSR 948 is memory resident, and .COM or .EXE program which is
  8466.        executed or openned for any reason will become infected by the virus.
  8467.        Infected programs, with the exception of COMMAND.COM, will increase
  8468.        in size by between 950 to 963 bytes.  In the case of COMMAND.COM, the
  8469.        virus will overwrite a portion of the stack space located in the file,
  8470.        so the file will not have a length change.  In all cases, the file
  8471.        date and times in the disk directory are not altered.  Infected
  8472.        programs will have the virus located at the end of the file.
  8473.  
  8474.        It is unknown if USSR 948 does anything besides replicate.
  8475.  
  8476.  
  8477.  Virus Name:  USSR 1049
  8478.  Aliases:
  8479.  V Status:    Rare
  8480.  Discovered:  December, 1990
  8481.  Symptoms:    .COM & .EXE growth; system hangs;
  8482.               decrease in total system and available free memory
  8483.  Origin:      USSR
  8484.  Eff Length:  1,049 Bytes
  8485.  Type Code:   PRhA - Parasitic Resident .COM & .EXE Infector
  8486.  Detection Method:  ViruScan V74+
  8487.  Removal Instructions: Scan/D, or Delete infected files
  8488.  General Comments:
  8489.        The USSR 1049 virus was received in December, 1990.  It originated in
  8490.        the USSR.  This virus is a memory resident infector of .COM and .EXE
  8491.        files, and does not infect COMMAND.COM.
  8492.  
  8493.        When the first program infected with USSR 1049 is executed, the virus
  8494.        will install itself memory resident at the top of system memory but
  8495.        below the 640K DOS boundary.  This memory will be 1,056 bytes in
  8496.        size and is reserved.  The interrupt 12 return is not moved. Interrupt
  8497.        21 will be hooked by the virus.
  8498.  
  8499.        After USSR 1049 is memory resident, the virus will infect .COM and
  8500.        .EXE files when they are executed.  The virus, however, will not infect
  8501.        very small .EXE files.  Infected files will increase in size by
  8502.        1,051 to 1,064 bytes, the virus will be located at the end of the
  8503.        infected program.
  8504.  
  8505.        Systems infected with the USSR 1049 Virus may experience system hangs
  8506.        when attempting to execute .EXE programs.  These hangs occassionally
  8507.        occur when the virus infects .EXE program, though the program being
  8508.        infected will actually be infected.
  8509.  
  8510.        It is unknown if USSR 1049 does anything besides replicate.
  8511.  
  8512.  
  8513.  Virus Name:  USSR 1689
  8514.  Aliases:     SVC V4.00
  8515.  V Status:    Rare
  8516.  Discovered:  December, 1990
  8517.  Symptoms:    .COM & .EXE growth; system hangs
  8518.  Origin:      USSR
  8519.  Eff Length:  1,689 Bytes
  8520.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  8521.  Detection Method:  ViruScan V74+
  8522.  Removal Instructions: Scan/D, or Delete infected files
  8523.  General Comments:
  8524.        The USSR 1689 Virus was received in December, 1990.  It is from the
  8525.        USSR.  This virus is not a very viable virus, though it does infect
  8526.        both .COM and .EXE programs.
  8527.  
  8528.        When the first program infected with USSR 1689 is executed, this virus
  8529.        will install itself memory resident in the in-memory command
  8530.        interpretor.
  8531.  
  8532.        After the virus is memory resident, the virus will infect the next
  8533.        .COM or .EXE program executed, though a system hang will also occur.
  8534.        Infected programs will increase in size by 1,689 bytes, though on files
  8535.        larger than 1,689 bytes, the virus will hide the file length increase
  8536.        if the virus is already in memory.  Files originally smaller than 1,689
  8537.        bytes will indicate a file size increase in the DOS directory when the
  8538.        virus is resident.  In all cases, the virus will be located at the end
  8539.        of infected programs.
  8540.  
  8541.        With the system hang which occurs each time a program is infected by
  8542.        this virus, it is not a very viable virus, and should not be considered
  8543.        a threat in its current state.
  8544.  
  8545.  
  8546.  Virus Name:  USSR 2144
  8547.  Aliases:
  8548.  V Status:    Rare
  8549.  Discovered:  December, 1990
  8550.  Symptoms:    .COM & .EXE growth; decrease in total system and available memory
  8551.  Origin:      USSR
  8552.  Eff Length:  2,144 Bytes
  8553.  Type Code:   PRhAK - Parasitic Resident .COM & .EXE Infector
  8554.  Detection Method:  ViruScan V74+
  8555.  Removal Instructions: Scan/D, or Delete infected files
  8556.  General Comments:
  8557.        The USSR 2144 Virus was submitted in December, 1990, and is from the
  8558.        USSR.  This virus is a memory resident infector of .COM and .EXE files,
  8559.        including COMMAND.COM.
  8560.  
  8561.        When the first program infected with the USSR 2144 Virus is executed,
  8562.        the virus will install itself memory resident at the top of system
  8563.        memory but below the 640K DOS boundary.  The DOS ChkDsk program will
  8564.        indicate memory values that show 4,608 bytes less total system memory
  8565.        and available free memory than expected.  This virus does not move
  8566.        the interrupt 12 return.  The virus also directly alters the interrupt
  8567.        page in memory so that some interrupts will now execute the virus's
  8568.        code.
  8569.  
  8570.        After USSR 2144 is memory resident, and program which was originally
  8571.        greater in length than 2K that is executed or openned for reason will
  8572.        become infected by the virus. Infected .COM programs will increase in
  8573.        length by 2,144 bytes.  .EXE programs will increase in length by 2,144
  8574.        to 2,59 bytes.  In both cases, the virus will be located at the end
  8575.        of infected files.  Infected files will not have their date and time in
  8576.        the disk directory altered, and this virus does not hide the change in
  8577.        file length of infected files.
  8578.  
  8579.        It is unknown if USSR 2144 does anything besides replicate.
  8580.  
  8581.  
  8582.  Virus Name:  V651
  8583.  Aliases:     Eddie 3, Stealth Virus
  8584.  V Status:    Rare
  8585.  Discovered:  April, 1990
  8586.  Symptoms:    .COM & .EXE growth, decrease in system and free memory,
  8587.               file allocation errors
  8588.  Origin:      Sofia, Bulgaria
  8589.  Eff Length:  651 Bytes
  8590.  Type Code:   PRtA - Parasitic Resident .COM & .EXE Infector
  8591.  Detection Method:  ViruScan V66+, VirHunt 2.0+
  8592.  Removal Instructions: Scan/D, VirHunt 2.0+, or Delete infected files
  8593.  General Comments:
  8594.        The V651, or Eddie 3, Virus was isolated in Sofia, Bulgaria in
  8595.        April 1990 by Vesselin Bontchev.  V651 is believed to have been
  8596.        written by the same author as Dark Avenger, V1024, and V2000.
  8597.        This virus is a generic infector for .COM and .EXE files.
  8598.  
  8599.        The first time a program infected with V651 is executed, the virus
  8600.        will install itself memory resident.  Using the DOS CHKDSK program,
  8601.        total system memory, as well as available free memory, will be
  8602.        decreased by 688 bytes.
  8603.  
  8604.        Later, as programs with a length of 651 bytes or greater are executed,
  8605.        they will be infected by the virus.  Infected files increase in length
  8606.        by 651 bytes, though the increase in file length will not be seen by
  8607.        performing a directory command with the virus present in memory. The
  8608.        total available disk space will also be adjusted by the virus so that
  8609.        the decrease in available disk space due to the virus's activities
  8610.        cannot be seen.  Powering off the system and booting from a known
  8611.        clean boot diskette, followed by issuing a directory command will
  8612.        result in the correct infected file lengths being displayed as well
  8613.        as the actual available space on the disk.
  8614.  
  8615.        Infected files can be easily identified as the text string "Eddie
  8616.        Lives." appears near the end of the infected file.  These files will
  8617.        also be 651 bytes longer than expected when the virus is not
  8618.        present in memory.
  8619.  
  8620.        A side effect of the V651 virus is that lost clusters may occur on
  8621.        infected systems if the CHKDSK /F command is used.  While this does
  8622.        not occur for all infected files, the number of errors reported by
  8623.        CHKDSK will be much higher statistically when V651 is present.
  8624.  
  8625.        Unlike Dark Avenger and V2000, this virus does not infect
  8626.        files on any file open.  It only infects when programs are executed.
  8627.  
  8628.        Also see: Dark Avenger, V1024, V2000
  8629.  
  8630.  
  8631.  Virus Name:  V800
  8632.  Aliases:     Live after Death Virus, Stealth Virus
  8633.  V Status:    Rare
  8634.  Discovered:  May, 1990
  8635.  Symptoms:    .COM growth, decrease in total system and available memory
  8636.  Origin:      Bulgaria
  8637.  Eff Length:  800 Bytes
  8638.  Type Code:   PRC - Parasitic Resident .COM Infector
  8639.  Detection Method:  ViruScan V63+, Pro-Scan 1.4+, F-Prot 1.12+
  8640.  Removal Instructions: CleanUp V64+, Scan/D, F-Prot 1.12+, or
  8641.               delete infected files
  8642.  General Comments:
  8643.        The V800, or Live after Death, Virus was isolated in Bulgaria by
  8644.        Vesselin Bontchev in May, 1990.  The V800 is a self-encrypting
  8645.        memory resident .COM infector, and it does not infect COMMAND.COM.
  8646.        This virus is thought to have been written by the same person as
  8647.        the Dark Avenger virus since many of the same techniques are
  8648.        used.
  8649.  
  8650.        The virus has received an alias of the Live after Death Virus as
  8651.        the virus contains the "Live after Death" string, though it
  8652.        cannot be seen in infected files as the virus is encrypted.
  8653.  
  8654.        The first time an infected program is run on a system, the V800
  8655.        Virus will install itself memory resident.  In the process of
  8656.        installing itself resident, it will decrease available system
  8657.        memory by 16K, using 8,192 Bytes for itself in the top of
  8658.        available free memory.  It will also hook interrupt 2A.
  8659.  
  8660.        Once in memory, every time a .COM file is attempted to be
  8661.        executed, the virus will check to see if it is a candidate for
  8662.        infection.  Whether the file will be infected depends on the
  8663.        size of the .COM file when it is attempted to be executed.  In
  8664.        no event is a .COM file smaller than 1024 bytes infected, but
  8665.        not all .COM files over 1024 bytes are infected either.
  8666.  
  8667.        The V800 Virus will reinfect .COM files, with the file's size
  8668.        increasing by 800 bytes with each infection.  It does not,
  8669.        however, infect .COM files more than eight times.
  8670.  
  8671.        Known variant(s) of the V800 Virus include:
  8672.        V800M   : Very similar to V800, the major difference is that V800M
  8673.                  will infect files on both file open and file execute,
  8674.                  putting this variant into the "Stealth" virus category.
  8675.                  When the virus becomes memory resident, total system and free
  8676.                  memory will decrease by only 8,192 bytes.  This variant
  8677.                  does not have the "Live after Death" string in it.
  8678.  
  8679.  
  8680.  Virus Name:  V1024
  8681.  Aliases:     Dark Avenger III, Stealth Virus
  8682.  V Status:    Rare
  8683.  Discovered:  May, 1990
  8684.  Symptoms:    TSR; decrease in available free memory
  8685.  Origin:      Bulgaria
  8686.  Eff Length:  1,024 Bytes
  8687.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  8688.  Detection Method:  ViruScan V64+
  8689.  Removal Instructions: Scan/D, or Delete infected files
  8690.  General Comments:
  8691.        The V1024, or Dark Avenger III, Virus was discovered in Bulgaria in
  8692.        April 1990 by Daniel Kalchev.  V1024 is a memory resident generic
  8693.        infector of .COM and .EXE files.  It is believed to have been written
  8694.        by the same person that wrote Dark Avenger and V2000.  This virus may
  8695.        actually be an earlier version of the Dark Avenger virus, it has many
  8696.        of the same characteristics, though it does not infect all files when
  8697.        they are opened for any reason.
  8698.  
  8699.        The first time a program infected with V1024 is executed, the virus
  8700.        will install itself memory resident.  At this time, it checks to see
  8701.        if several interrupts are being monitored, including interrupts 1
  8702.        and 3.  If interrupts 1 and 3 are monitored, V1024 allow the current
  8703.        program to run, but any subsequent program executed will hang the
  8704.        system and V1024 will not replicate.  When V1024 is memory resident,
  8705.        infected systems will experience a decrease in free memory by 1,072
  8706.        bytes.  Total system memory will not have changed.  The virus will
  8707.        have remapped several interrupts by altering their location in the
  8708.        interrupt map page in memory.  These interrupts will now be controlled
  8709.        by V1024.
  8710.  
  8711.        After V1024 becomes memory resident, the virus will infect any
  8712.        program executed which is greater in length than 1,024 bytes.  Both
  8713.        .COM and .EXE files are infected, COMMAND.COM is not infected.
  8714.        Infected files increase in length by 1,024 bytes, though this increase
  8715.        will not appear if the virus is present in memory and a DIR listing
  8716.        is done.
  8717.  
  8718.        V1024 infected files can be identified by a text string which
  8719.        appears very close to the end of infected files.  The text string is:
  8720.        '7106286813'.
  8721.  
  8722.        V1024 does not appear contain any activation date.
  8723.  
  8724.        Also see: Dark Avenger, V2000, V651
  8725.  
  8726.  
  8727.  Virus Name:  V2000
  8728.  Aliases:     Dark Avenger II, Stealth Virus, Travel Virus
  8729.  V Status:    Rare
  8730.  Discovered:  1989
  8731.  Symptoms:    TSR; .COM, .EXE, .OV? growth (see text); crashes;
  8732.               crosslinked files following CHKDSK.
  8733.  Origin:      Bulgaria
  8734.  Eff Length:  2,000 Bytes
  8735.  Type Code:   PRA - Parasitic Resident .COM & .EXE Infector
  8736.  Detection Method:  ViruScan V59+, Pro-Scan 1.4+, AVTK 3.5+, VirHunt 2.0+
  8737.  Removal Instructions: Scan/D, Pro-Scan 1.4+, or delete infected files
  8738.  General Comments:
  8739.        The V2000, or Dark Avenger II, virus is a memory resident generic
  8740.        file infector.  The first isolated samples of this virus were
  8741.        received from Bulgaria, where it was isolated by Daniel Kalchev
  8742.        and Niki Spahiev.
  8743.  
  8744.        V2000 will infect .COM, .EXE, and Overlay files, as well as
  8745.        COMMAND.COM.  When the first infected file is executed, the virus
  8746.        installs itself memory resident, and then infected COMMAND.COM if
  8747.        it has not already been infected.  Then, when an executable file
  8748.        is opened for any reason, it is infected if it hasn't been
  8749.        previously infected.
  8750.  
  8751.        Increased file lengths will not be shown if the V2000 virus is
  8752.        present in memory when a DIR command is issued.  Issuing a
  8753.        CHKDSK /F command on infected systems may result in crosslinking
  8754.        of files since the directory information may not appear to match
  8755.        the entries in the file allocation table (FAT).
  8756.  
  8757.        Systems infected with the V2000 virus will experience unexpected
  8758.        system crashes, resulting in lost data.  Some systems may also
  8759.        become unbootable due to the modification of COMMAND.COM or the
  8760.        hidden system files.
  8761.  
  8762.        One of the following two text strings will appear in the viral code
  8763.        in infected files, thus accounting for the alias of Travel Virus used in
  8764.        Bulgaria:
  8765.  
  8766.               "Zopy me - I want to travel"
  8767.               "Copy me - I want to travel"
  8768.  
  8769.        There are reports from Bulgaria that the V2000 virus looks for and
  8770.        hangs the system if programs written by Vesselin Bontchev are
  8771.        attempted to be executed.  This would explain the presence of the
  8772.        following copyright notice within the viral code:
  8773.  
  8774.               "(c) 1989 by Vesselin Bontchev"
  8775.  
  8776.        Known variants of the V2000 virus include:
  8777.        V2000-B/Die Young : Similar to the V2000 virus, the main difference is
  8778.               that the text string "Zopy me - I want to travel" is now
  8779.               "Only the Good die young..." or "Mnly the Good die young..."
  8780.               and the encryption used by the virus is different.  This
  8781.               variant is actually the original virus, predating V2000.
  8782.  
  8783.        Also see: Dark Avenger, V1024, V651
  8784.  
  8785.  
  8786.  Virus Name:  V2100
  8787.  Aliases:     2100, Stealth Virus, UScan Virus
  8788.  V Status:    Rare
  8789.  Discovered:  July, 1990
  8790.  Symptoms:    file allocation errors, decrease in system and free memory
  8791.  Origin:      Bulgaria
  8792.  Eff Length:  2,100 Bytes
  8793.  Type Code:   PRtA - Parasitic Resident .COM & .EXE Infector
  8794.  Detection Method:  ViruScan V66+
  8795.  Removal Instructions: Scan/D, or delete infected files
  8796.  General Comments:
  8797.        The V2100, or 2100, Virus was first isolated in Sofia, Bulgaria by
  8798.        Vesselin Bontchev in July 1990.  It is a resident generic infector
  8799.        of .COM, .EXE, and overlay files.  It will also infect COMMAND.COM.
  8800.        This virus appears to have been originally released into the public
  8801.        domain on an anti-viral program named UScan which was uploaded to
  8802.        a BBS in Europe.  While not all copies of UScan are carriers
  8803.        of this virus, there was one version which exists that has the virus
  8804.        embedded in its program code.  The virus cannot be detected on this
  8805.        trojan version using search algorithms for this virus.  V2100 is
  8806.        believed to have been written by the author of Dark Avenger.
  8807.  
  8808.        The first time a program infected with V2100 is executed, the virus
  8809.        will install itself memory resident above top of memory but below
  8810.        the 640K boundary.  The top of memory returned by interrupt 12 will
  8811.        be lower than expected by 4,288 bytes.  Likewise, free memory will
  8812.        have decreased by 4,288 bytes.  At this same point, V2100 will infect
  8813.        COMMAND.COM though the change in file length will be hidden by the
  8814.        virus.
  8815.  
  8816.        Once the virus is memory resident, it will infect any .COM, .EXE, or
  8817.        overlay file with a file length of at least 2100 bytes that is
  8818.        executed or opened for any reason.  The simple act of copying an
  8819.        executable file will result in both the source and target files
  8820.        becoming infected.  Infected files will be 2,100 bytes longer,
  8821.        though the virus will hide the change in file length so that
  8822.        it isn't noticeable when directories are listed.  In some cases,
  8823.        infected files will appear to be 2,100 bytes smaller than expected
  8824.        if the virus is present in memory.
  8825.  
  8826.        Systems infected with the V2100 virus will notice file allocation
  8827.        errors occurring, along with crosslinking of files.  Due to these
  8828.        errors, some files may become corrupted.  These file allocation
  8829.        errors are truly errors, they exist whether or not the virus is
  8830.        present in memory.
  8831.  
  8832.        A side note on the V2100 Virus: if the system had previously been
  8833.        infected with the Anthrax virus, V2100's introduction will result
  8834.        in the Anthrax virus again being present in the hard disk partition
  8835.        table.  This effect occurs because Anthrax stores a copy of itself
  8836.        on the last sectors of the hard disk.  When V2100 becomes resident,
  8837.        it searches the last 16 cylinders of the hard disk for a copy of
  8838.        Anthrax.  If V2100 finds the hidden copy of Anthrax, it copies it
  8839.        into the hard disk's partition table.  On the next system boot from
  8840.        the hard disk, Anthrax will once again be active on the system.
  8841.  
  8842.  
  8843.  Virus Name:  V2P2
  8844.  Aliases:
  8845.  V Status:    Research
  8846.  Discovered:  June, 1990
  8847.  Symptoms:    .COM file growth
  8848.  Origin:      Minnesota, USA
  8849.  Eff Length:  1,426 - 2,157 Bytes
  8850.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  8851.  Detection Method:  ViruScan/X V67+, Pro-Scan 2.01+
  8852.  Removal Instructions: Scan/D/X, or delete infected files
  8853.  General Comments:
  8854.        The V2P2 Virus is a research virus written by Mark Washburn and
  8855.        distributed to some anti-viral program authors in June of 1990.
  8856.        This virus, according to its author, has not been released.  This
  8857.        virus is a non-resident generic infector of .COM files.
  8858.  
  8859.        When a program infected with the V2P2 virus is executed, it will
  8860.        infect the first .COM file it finds in the current directory which
  8861.        is not infected with the virus.  The virus adds its code to the
  8862.        end of the file, and the infected file's length will increase
  8863.        between 1,426 and 2,157 bytes.
  8864.  
  8865.        Like the 1260 virus, this virus uses a complex encryption method.
  8866.        In fact, the encryption used with the 1260 virus is one of several
  8867.        possible encryptions that V2P2 may produce.  As a result, virus
  8868.        scanning software will often identify the 1260 virus in a file as
  8869.        being both 1260 and V2P2.  This identification is entirely valid
  8870.        as 1260 is a special case of V2P2.
  8871.  
  8872.        Also see: 1260, V2P6, V2P6Z
  8873.  
  8874.  
  8875.  Virus Name:  V2P6
  8876.  Aliases:
  8877.  V Status:    Research
  8878.  Discovered:  July, 1990
  8879.  Symptoms:    .COM file growth
  8880.  Origin:      Minnesota, USA
  8881.  Eff Length:  1,946 - 2,111 Bytes
  8882.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  8883.  Detection Method:  ViruScan/X V67+, Pro-Scan 2.01+
  8884.  Removal Instructions: Scan/D/X, or delete infected files
  8885.  General Comments:
  8886.        The V2P6 Virus is a research virus written by Mark Washburn and
  8887.        distributed to some anti-viral program authors in July of 1990.
  8888.        This virus, according to its author, has not been released.  This
  8889.        virus is a non-resident generic infector of .COM files similar to
  8890.        the 1260, V2P2, and V2P6Z viruses.
  8891.  
  8892.        When a program infected with the V2P6 virus is executed, it will
  8893.        infect the first .COM file it finds in the current directory which
  8894.        is not infected with the virus.  The virus adds its code to the
  8895.        end of the file, and the infected file's length will increase
  8896.        between 1,946 and 2,111 bytes.
  8897.  
  8898.        Like the 1260 and other viruses by Mark Washburn, this virus uses
  8899.        a complex encryption method.  The encryption method used by V2P6 is
  8900.        more complex than that used in V2P2, but less complex than that used
  8901.        in the last known virus in this family, V2P6Z.  Like V2P2, an
  8902.        algorithmic approach must be used to identify this virus.
  8903.  
  8904.        Also see: 1260, V2P2, V2P6Z
  8905.  
  8906.  
  8907.  Virus Name:  V2P6Z
  8908.  Aliases:
  8909.  V Status:    Research
  8910.  Discovered:  August, 1990
  8911.  Symptoms:    .COM file growth
  8912.  Origin:      Minnesota, USA
  8913.  Eff Length:  2,076 - 2,364 Bytes
  8914.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  8915.  Detection Method:
  8916.  Removal Instructions: Delete infected files
  8917.  General Comments:
  8918.        The V2P6Z Virus is a research virus written by Mark Washburn and
  8919.        distributed to some anti-viral program authors in August, 1990.
  8920.        This virus, according to its author, has not been released.  This
  8921.        virus is a non-resident generic infector of .COM files similar to
  8922.        the 1260, V2P2, and V2P6 viruses.
  8923.  
  8924.        When a program infected with the V2P6Z virus is executed, it will
  8925.        infect the first .COM file it finds in the current directory which
  8926.        is not infected with the virus.  The virus adds its code to the
  8927.        end of the file, and the infected file's length will increase
  8928.        between 2,076 and 2,364 bytes.
  8929.  
  8930.        Like the 1260 and other viruses by Mark Washburn, this virus uses
  8931.        a complex encryption method.  The encryption method used by V2P6Z is
  8932.        the most complex of the encryption methods employed by the viruses in
  8933.        this family of viruses.  Like V2P2 and V2P6, an algorithmic approach
  8934.        must be used to identify this virus as there is no possible
  8935.        identification string within the encrypted viral code.
  8936.  
  8937.        Also see: 1260, V2P2, V2P6
  8938.  
  8939.  
  8940.  Virus Name:  Vacsina
  8941.  Aliases:
  8942.  V Status:    Endangered
  8943.  Discovered:  November, 1989 
  8944.  Symptoms:    TSR; .COM, .EXE, .BIN, & .SYS growth; "beeps"
  8945.  Origin:      Bulgaria
  8946.  Eff Length:  1,206 bytes
  8947.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  8948.  Detection Method:  ViruScan, F-Prot, Pro-Scan 1.4+, VirexPC, AVTK 3.5+,
  8949.               VirHunt 2.0+
  8950.  Removal Instructions: CleanUp V64+, Scan/D/A, F-Prot, VirHunt 2.0+,
  8951.               or delete infected files
  8952.  General Comments:
  8953.        The Vacsina virus is approximately 1200 bytes in length and can
  8954.        be found in memory on infected systems.  There are at least 48
  8955.        variants of the Vacsina virus, also known as the TP virus
  8956.        family, though not all of them have been isolated.  Later versions
  8957.        of this virus are included in this listing under the name
  8958.        "Yankee Doodle".
  8959.  
  8960.        Generally, the Vacsina Virus infects both .COM and .EXE files,
  8961.        as well as .SYS and .BIN files.  This virus, when infecting a .EXE
  8962.        file, will first convert it into .COM format by changing the MZ
  8963.        or ZM identifier in the first two bytes of the file to a JMP
  8964.        instruction and then adding a small piece of relocator code, so
  8965.        that the .EXE file can be infected as though it were originally a
  8966.        .COM file.
  8967.  
  8968.        One sign of a Vacsina infection is that programs which have been
  8969.        infected may "beep" when executed.  Infected programs will also
  8970.        have their date/time in the disk directory changed to the date and
  8971.        time they were infected.
  8972.  
  8973.        Known Vacsina Variants Include:
  8974.        TP04VIR - Infects .EXE files, changing them internally into .COM
  8975.                  files.  Infected programs may beep when executed, and
  8976.                  may be identified by searching for the text string
  8977.                  "VACSINA" along with the second byte from the end of
  8978.                  the file containing a 04h.  This version of Vacsina is
  8979.                  a poor replicator, and while it will always convert a
  8980.                  .EXE file to .COM file format, adding 132 bytes, it does
  8981.                  not always infect executed files.
  8982.        TP05VIR - Similar to TP04VIR, except that the second to the last
  8983.                  byte in the file is now a 05h.  System hangs may also
  8984.                  be experienced.
  8985.        TP06VIR - Similar to TP05VIR, except the second to the last byte in
  8986.                  the file is now a 06h.
  8987.        TP16VIR - Similar to TP06VIR, the second to the last byte in the
  8988.                  infected file is now 10h.
  8989.        TP23VIR - Similar to TP16VIR, the second to the last byte in the
  8990.                  infected file is now 17h.  The text "VACSINA" no longer
  8991.                  appears in the virus.
  8992.        TP24VIR - Similar to TP23VIR, the second to the last byte in the
  8993.                  infected file is now 18h.
  8994.        TP25VIR - Similar to TP24VIR, the second to the last byte in the
  8995.                  infected file is now 19h.
  8996.  
  8997.        Also see: Yankee Doodle
  8998.  
  8999.  
  9000.  Virus Name:  VComm
  9001.  Aliases:     637
  9002.  V Status:    Rare
  9003.  Discovered:  December, 1989
  9004.  Symptoms:    .EXE growth, TSR, write failures
  9005.  Origin:      Poland
  9006.  Eff Length:  637 Bytes
  9007.  Type Code:   PRaE - Parasitic Resident .EXE Infector
  9008.  Detection Method: F-Prot, ViruScan V60+, IBM Scan, Pro-Scan, VirexPC,
  9009.               AVTK 3.5+, VirHunt 2.0+
  9010.  Removal Instructions: F-Prot, Scan/D, VirexPC, or delete infected files
  9011.  General Comments:
  9012.        The Vcomm virus is of Polish origin, first isolated in
  9013.        December, 1989.  The virus is a .EXE file infector.  When an
  9014.        infected file is run, the virus will attempt to infect one
  9015.        .EXE file in the current directory.  It will also infect the
  9016.        memory resident version of the system's command interpreter.
  9017.  
  9018.        When Vcomm infects a file, it first pads the file so that the
  9019.        files length is a multiple of 512 bytes, then it adds its
  9020.        637 bytes of virus code to the end of the file.
  9021.  
  9022.        The memory resident portion of the virus intercepts any
  9023.        disk writes that are attempted, and changes them into disk
  9024.        reads.
  9025.  
  9026.  
  9027.  Virus Name:  VFSI
  9028.  Aliases:     437, Happy Day
  9029.  V Status:    Rare
  9030.  Discovered:  September, 1990
  9031.  Symptoms:    .COM growth; message
  9032.  Origin:      Bulgaria
  9033.  Eff Length:  437 Bytes
  9034.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  9035.  Detection Method:  ViruScan V71+, Pro-Scan 2.01+
  9036.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete infected files
  9037.  General Comments:
  9038.        The VFSI Virus was isolated in September, 1990 at VFSI (the Higher
  9039.        Institute of Financial Management) located in Svistov, a town on the
  9040.        Danube.  VFSI is a non-resident, direct action, infector of .COM files,
  9041.        including COMMAND.COM.
  9042.  
  9043.        When a program infected with the VFSI virus is executed, it will infect
  9044.        one other .COM file located in the current directory.  Candidate files
  9045.        to be infected are first aligned to be a multiple of 16, and then the
  9046.        viral code is added.  Infected files will increase in length by between
  9047.        437 and 452 bytes, with the viral code being located at the end of
  9048.        infected files.
  9049.  
  9050.        Infected files can be easily identified as they will always contain the
  9051.        following hex string: 3A483F244B6F636E706C74.
  9052.  
  9053.        On approximately one out of five executions of an infected program, the
  9054.        program will flash the following message on the screen:
  9055.  
  9056.                "HELLO!!! HAPPY DAY and SUCCESS
  9057.                   from virus 1.1 VFSI-Svistov"
  9058.  
  9059.        This message is encrypted in the viral code, so it is not visible in
  9060.        infected files.
  9061.  
  9062.  
  9063.  Virus Name:  VHP
  9064.  Aliases:     VHP-348, VHP-353, VHP-367, VHP-435
  9065.  V Status:    Research
  9066.  Discovered:  July 1989
  9067.  Symptoms:    .COM growth, system hangs
  9068.  Origin:      Bulgaria
  9069.  Eff Length:  348 - 435 Bytes
  9070.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  9071.  Detection Method:  ViruScan V64+, AVTK 3.5+, F-Prot 1.12+, Pro-Scan 2.01+
  9072.  Removal Instructions:  Scan/D, F-Prot 1.12+, or Delete infected files
  9073.  General Comments:
  9074.        The VHP Virus is actually a small group or "family" of viruses that
  9075.        was discovered in Bulgaria in early 1990.  There are currently four
  9076.        identified variants to the VHP Virus, with the VHP-435 variant being
  9077.        the one with the most potential for spreading.  These viruses were
  9078.        originally based on the Vienna virus.  The progression of the
  9079.        variants shows each variant to be a slightly better replicator.
  9080.  
  9081.        The VHP Viruses are:
  9082.        VHP-348  : This variant does not replicate due to bugs in the
  9083.                   virus code.  If it did replicate, it would infect
  9084.                   .COM files.  The virus's effective length is 348 bytes.
  9085.        VHP-353  : VHP-348 fixed so that it will infected COMMAND.COM,
  9086.                   increasing its size by 353 bytes.  It does not infect
  9087.                   other .COM files.  This variant is still buggy, and it
  9088.                   will occasionally hang systems when attempting to find
  9089.                   a .COM file to infect.
  9090.        VHP-367  : VHP-353 which will now infect .COM files besides
  9091.                   COMMAND.COM.  Infected files increase in size by 367
  9092.                   bytes.  Very rarely, this virus will reinfect an infected
  9093.                   .COM file.  VHP-353 does not always infect a .COM file
  9094.                   when an infected program is executed, it will sometimes
  9095.                   not infect any .COM file, though it has in effect
  9096.                   immunized the file from infection.  This effect is
  9097.                   probably a bug in this variant.
  9098.        VHP-435  : Isolated in July, 1989, this variant is 435 bytes in
  9099.                   length and is not destructive, all it does is spread.
  9100.                   VHP-435 will attempt to infect 1 file each time an
  9101.                   infected program is executed. COMMAND.COM and .EXE
  9102.                   files are not infected.  After infecting all of the
  9103.                   .COM files on the current drive and directory, it will
  9104.                   attempt to infect drive C:.   VHP-435 is the VHP-367
  9105.                   virus with some modifications to make it less likely to
  9106.                   be noticed.
  9107.  
  9108.        Also see: Vienna, VHP2
  9109.  
  9110.  
  9111.  Virus Name:  VHP2
  9112.  Aliases:     623, VHP-623
  9113.  V Status:    Research
  9114.  Discovered:  March, 1990
  9115.  Symptoms:    .COM growth, reboots or system hangs
  9116.  Origin:      Bulgaria
  9117.  Eff Length:  623 bytes
  9118.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  9119.  Detection Method:  ViruScan V64+, Pro-Scan 1.4+, AVTK 3.5+, F-Prot 1.12+,
  9120.               VirHunt 2.0+
  9121.  Removal Instructions:  Scan/D, Pro-Scan 1.4+, F-Prot 1.12+, or
  9122.               Delete infected files
  9123.  General Comments:
  9124.        The VHP2 Virus was isolated in Bulgaria in March, 1990.  This virus
  9125.        is based on the Vienna Virus, and has many of the same characteristics
  9126.        of the VHP-435 variant of the VHP virus.  It's major difference is that
  9127.        of effective length, and that 1 of every 8 infected programs will
  9128.        perform a system warm reboot.
  9129.  
  9130.        VHP2 is 623 bytes long, infecting only .COM files but not COMMAND.COM.
  9131.  
  9132.        Known variants of the Vienna Virus include:
  9133.        VHP-627  : Similar to VHP-623, except that its length is 627 bytes.
  9134.  
  9135.        Also see: VHP, Vienna
  9136.  
  9137.  
  9138.  Virus Name:  Victor
  9139.  Aliases:
  9140.  V Status:    Rare
  9141.  Discovered:  May, 1990
  9142.  Symptoms:    .COM &.EXE growth, data file corruption, file linkage errors,
  9143.               and unexpected system reboots
  9144.  Origin:      USSR
  9145.  Eff Length:  2,458 bytes
  9146.  Type Code:   PRAK - Parasitic Resident .COM & .EXE Infector
  9147.  Detection Method:  ViruScan V63+, Pro-Scan 1.4+, VirexPC, F-Prot 1.12+
  9148.  Removal Instructions:  Scan/D, Pro-Scan 1.4+, F-Prot 1.12+, or
  9149.               Delete infected files
  9150.  General Comments:
  9151.        The Victor Virus was first isolated in May, 1990.  It is believed
  9152.        to have originated in the USSR due to messages which appear within
  9153.        the viral code:
  9154.  
  9155.           "Victor V1.0 The Incredible High Performance Virus
  9156.            Enhanced versions available soon.
  9157.            This program was imported from USSR.
  9158.            Thanks to Ivan."
  9159.  
  9160.        The above message can be found at the end of infected files, but
  9161.        does not appear to ever be displayed.
  9162.  
  9163.        The first time a program infected with the Victor Virus is executed,
  9164.        the virus will install itself memory resident, occupying 3,072 bytes
  9165.        at the top of free memory.  Interrupt 21 will be intercepted by
  9166.        the virus.  After becoming memory resident, Victor will then
  9167.        seek out and infect COMMAND.COM.
  9168.  
  9169.        Victor is a very slow file infector, only infected approximately
  9170.        1 in every 10 programs executed after it becomes memory resident.
  9171.        Infected programs will increase in length by between 2,443 and
  9172.        2,458 bytes.  The increase in file size is not hidden by the
  9173.        virus.
  9174.  
  9175.        Occasionally in the process of infecting a file, the virus will
  9176.        hang the system, which may result in data file corruption.
  9177.        Overlay files may also be infected, resulting in file linkage
  9178.        errors.
  9179.  
  9180.  
  9181.  Virus Name:  Vienna
  9182.  Aliases:     Austrian, Unesco, DOS-62, DOS-68, 1-in-8, 648
  9183.  V Status:    Endangered
  9184.  Discovered:  April, 1988
  9185.  Symptoms:    .COM growth, reboots or system hangs
  9186.  Origin:      Austria
  9187.  Eff Length:  648 bytes
  9188.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  9189.  Detection Method:  ViruScan, F-Prot, IBM Scan, Pro-Scan, VirexPC, AVTK 3.5+,
  9190.               VirHunt 2.0+
  9191.  Removal Instructions:  CleanUp V66+, VirClean, F-Prot, VirHunt 2.0+,
  9192.               Pro-Scan 1.4+, or VirexPC
  9193.  General Comments:
  9194.        The Vienna virus was first isolated in April, 1988, in Moscow at
  9195.        a UNESCO children's computer summer camp.  The virus will infect
  9196.        1 .COM file whenever a program infected with the virus is run.
  9197.        1 in every 8 infected programs will perform a system warm reboot
  9198.        whenever the viral code is executed.  Some .COM programs
  9199.        infected with this virus may not run.
  9200.  
  9201.        The Vienna virus was written by a high school student in Vienna
  9202.        Austria as an experiment.  Its large number of variants can be
  9203.        accounted for as its source code has been published many times.
  9204.  
  9205.        Known variants of the Vienna Virus include:
  9206.        Vienna-B : Similar to Vienna, except that instead of a warm reboot,
  9207.                   the program being executed will be deleted.
  9208.        Vienna-B 645 : Similar to the Vienna-B variant, this variant's
  9209.                   effective length is 645 bytes.  It does not perform either
  9210.                   a warm reboot or delete executed programs.  It does,
  9211.                   however, infect COMMAND.COM
  9212.                   Origin: United States
  9213.        Vien6    : Similar to Vienna, except that the warm reboot has been
  9214.                   removed.  Effective length of the virus is still 648 bytes.
  9215.                   After 7 files have become infected on the current drive,
  9216.                   the virus will then start infecting .COM files on drive C:.
  9217.  
  9218.        Also see: 1260, Ghostballs, Lisbon, W13, VHP, VHP-2
  9219.  
  9220.  
  9221.  Virus Name:  Violator
  9222.  Aliases:     Violator Strain B
  9223.  V Status:    Endangered
  9224.  Discovered:  August, 1990
  9225.  Symptoms:    .COM growth, Sector not found error on drive B:
  9226.  Origin:      USA
  9227.  Eff Length:  1,055 Bytes
  9228.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  9229.  Detection Method:  ViruScan V67+, Pro-Scan 2.01+
  9230.  Removal Instructions:  Clean-Up V71+, Scan/D, or Delete infected files
  9231.  General Comments:
  9232.        The Violator Virus was submitted in August, 1990 by an anonymous
  9233.        user of Homebase BBS.  This virus is a non-resident parasitic
  9234.        virus which infects .COM files, including COMMAND.COM.
  9235.  
  9236.        When a program infected with the Violator Virus is executed, what
  9237.        happens depends on what the system date is set to.  If the date is
  9238.        prior to August 15, 1990, the virus will infect 1 .COM file located
  9239.        in the current directory, adding 1,055 bytes to the program.  If the
  9240.        date is August 15, 1990 or after, the virus will not infect any files.
  9241.  
  9242.        Symptoms of an infection of the Violator Virus include unexpected
  9243.        attempts to access drive B:.  If there is no diskette in drive B:,
  9244.        or the diskette in drive B: is write-protected, a Sector not found
  9245.        error will result.  
  9246.  
  9247.        The following message appears in the viral code located in infected
  9248.        programs:
  9249.  
  9250.            "TransMogrified (TM) 1990 by
  9251.             RABID N'tnl Development Corp
  9252.             Copyright (c) 1990 RABID!
  9253.             Activation Date: 08/15/90
  9254.             - Violator Strain B -
  9255.             ! (Field Demo Test Version) !
  9256.             ! * NOT TO BE DISTRIBUTED * !"
  9257.  
  9258.  
  9259.  Virus Name:  Violator B4
  9260.  Aliases:     Christmas Violator, Violator Strain B4
  9261.  V Status:    New
  9262.  Discovered:  December, 1990
  9263.  Symptoms:    .COM growth on 8088 based system;
  9264.               Hard Disk Corruption on 80286 & 80386 based systems
  9265.  Origin:      United States
  9266.  Eff Length:  5,302 Bytes
  9267.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  9268.  Detection Method:  ViruScan V74+
  9269.  Removal Instructions:  Scan/D, or Delete infected files
  9270.  General Comments:
  9271.        The Violator B4 Virus was isolated in December, 1990 in the United
  9272.        States.  This virus was originally released into the public domain
  9273.        on a trojan version of DSZ (DSZ1203).  It is a non-resident infector
  9274.        of .COM files, including COMMAND.COM.
  9275.  
  9276.        What Violator B4 does depends on what processor is in the personal
  9277.        computer it is being executed on.  On 80286 and above processors, the
  9278.        virus will activate immediately, overwriting the beginning portion of
  9279.        the system hard disk.  It will also attempt to display a Christmas
  9280.        greeting at that time, but the greeting display will be garbled if
  9281.        Ansi.Sys is not loaded.  Damage caused by Violator B4 at activation
  9282.        can be repaired using Norton Disk Doctor.
  9283.  
  9284.        On an 8088 based system, Violator B4 will do nothing but replicate.
  9285.        Each time an infected program is executed, the virus will infect one
  9286.        other .COM program in the current directory.  Violator B4 infected
  9287.        files will have a file length increase of 5,302 bytes.  The file's
  9288.        date and time in the disk directory will not be altered.  The virus
  9289.        will be located at the end of the infected file.
  9290.  
  9291.        The following text message is contained within the Violator B4 virus,
  9292.        though it is never displayed:
  9293.  
  9294.           "Violator Strain B4 - Written by RABID Nat'nl Development Corp.
  9295.            RABID would like to take this opportunity to extend it's sincerest
  9296.            holiday wishes to all Pir8 lamers around the world! If you are
  9297.            reading this, then you are lame!!!
  9298.            Anyway, to John McAffe! Have a Merry Christmas and a virus filled
  9299.            new year. Go ahead! Make our day!
  9300.            Remember! In the festive season, Say No to drugs!!! They suck shit!
  9301.            (Bah! We make a virus this large, might as well have
  9302.            something positive!)"
  9303.  
  9304.  
  9305.  Virus Name:  VirDem
  9306.  Aliases:     VirDem 2
  9307.  V Status:    Endangered
  9308.  Discovered:  1986-1987
  9309.  Symptoms:    .COM growth, Messages
  9310.  Origin:      Germany
  9311.  Eff Length:  1,236 Bytes
  9312.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  9313.  Detection Method:  VirexPC, AVTK 3.5+, F-Prot 1.12+, ViruScan V71+,
  9314.               VirHunt 2.0+, Pro-Scan 2.01+
  9315.  Removal Instructions:  F-Prot 1.12+, Scan/D, or Delete infected files
  9316.  General Comments:
  9317.        The VirDem Virus was written in 1986-1987 by Ralf Burger of Germany.
  9318.        The virus was originally distributed in Europe as a demonstration
  9319.        virus, to assist computer users in understanding how a computer
  9320.        virus operates.
  9321.  
  9322.        The VirDem virus is not memory resident, and only infects .COM files
  9323.        on the A: drive.  It will always skip the first .COM file in the
  9324.        root directory, so normally it will not infect COMMAND.COM.  It will
  9325.        also not infect .COM files past the second subdirectory on the disk.
  9326.  
  9327.        Infected files that were originally less than approximately 1,500
  9328.        bytes will be 2,616 bytes after infection.  .COM files which were
  9329.        greater than 1,500 bytes will increase in size by approximately
  9330.        1,236 bytes.
  9331.  
  9332.        When an infected program is executed, VirDem will infect the next
  9333.        candidate .COM file.  Infected files will contain the viral code,
  9334.        followed by the original program.  After infecting the .COM file,
  9335.        the virus will play a "game" with you, starting with the following
  9336.        text being displayed:
  9337.  
  9338.               " VirDem Ver.: 1.06 (Generation #) aktive.
  9339.                 Copyright by R.Burger 1986,1987
  9340.                 Phone.: D - xxxxx/xxxx
  9341.  
  9342.                 This is a demoprogram for
  9343.                 computerviruses. Please put in a
  9344.                 number now.
  9345.                 If you're right, you'll be
  9346.                 able to continue.
  9347.                 The number is between
  9348.                 0 and #                                         "
  9349.  
  9350.                (Note: I have removed the phone number here, but it
  9351.                 appears where xxxxx/xxxx is above.  Where # is, the
  9352.                 virus's generation number appears.)
  9353.  
  9354.        At this point, you must guess the correct number and enter it.  If
  9355.        you put in the wrong number, you get the following message and
  9356.        your program is not run:
  9357.  
  9358.               " Sorry, you're wrong
  9359.  
  9360.                 More luck at next try ....    "
  9361.  
  9362.        If you guess the correct number, you receive the following message
  9363.        and your program then executes:
  9364.  
  9365.               " Famous. You're right.
  9366.                 You'll be able to continue.  "
  9367.  
  9368.        Finally, after all the candidate .COM files on the A: drive are
  9369.        infected, the following message is displayed:
  9370.  
  9371.               " All your programs are
  9372.                 struck by VIRDEM.COM now."
  9373.  
  9374.        VIRDEM.COM was the original distribution file containing the virus,
  9375.        and had a VIRDEM.DOC file included with it.  VirDem is not widespread,
  9376.        and is not destructive.
  9377.  
  9378.        Known variant(s) of VirDem include:
  9379.        VirDem 2 : Similar to the virus described above, the major difference
  9380.                   is that the text messages have been translated to German.
  9381.  
  9382.        Also see: Burger
  9383.  
  9384.  
  9385.  Virus Name:  Virus-90
  9386.  Aliases:
  9387.  V Status:    Research
  9388.  Discovered:  December, 1989
  9389.  Symptoms:    .COM growth, TSR
  9390.  Origin:      District of Columbia, USA      
  9391.  Eff Length:  857 bytes
  9392.  Type Code:   PRC - Parasitic Resident .COM Infector
  9393.  Detection Method:  ViruScan/X V67+, F-Prot, IBM Scan, Pro-Scan 1.4+, VirexPC,
  9394.               AVTK 3.5+
  9395.  Removal Instructions:  Scan/D/X, F-Prot, Pro-Scan 1.4+,
  9396.               or delete infected files
  9397.  General Comments:
  9398.        The Virus-90 virus was originally distributed in December, 1989
  9399.        by Patrick Toulme as an "educational tool", with the virus
  9400.        source also available for sale.  In January, 1990, the
  9401.        author contacted the sites where he had uploaded the virus
  9402.        requesting that they remove it from their systems, his having
  9403.        decided a live virus was not a "good idea" for an educational
  9404.        tool after being contacted by several viral authorities.
  9405.  
  9406.        The following description was submitted by Patrick Toulme in
  9407.        November 1990 for inclusion in this listing:
  9408.  
  9409.        "This educational, research virus was written by Patrick Toulme
  9410.        to aid developers in understanding direct-virus action and in
  9411.        creating virus-resistant software.  This virus is a simple COM
  9412.        infector that will not infect a hard drive and advises the user
  9413.        when a file on a floppy disk is to be infected.  Of course, no
  9414.        damage occurs from the virus and all infected files advise the
  9415.        user of the infection upon execution.  The safeguards provided by
  9416.        the author prevent accidental infection and the dis-assembly of the
  9417.        code is extremely difficult.  Upon request from the anti-viral
  9418.        community, Virus-90 is now only available to approved anti-virus
  9419.        researchers."
  9420.  
  9421.        Also see: Virus101
  9422.  
  9423.  
  9424.  Virus Name:  Virus101
  9425.  Aliases:
  9426.  V Status:    Research
  9427.  Discovered:  January, 1990
  9428.  Symptoms:    TSR, BSC, .COM growth (floppy only)
  9429.  Origin:      District of Columbia, USA
  9430.  Eff Length:  2,560 Bytes
  9431.  Type Code:   PRAFK - Parasitic Resident Infector
  9432.  Detection Method: ViruScan/X V67+, Pro-Scan 1.4+, F-Prot 1.12+, VirHunt 2.0+
  9433.  Removal Instructions:  Scan/D/X or delete infected files
  9434.  General Comments:
  9435.        The Virus101 is the "big brother" of Virus-90, also written by
  9436.        Patrick Toulme as an "educational tool" in January 1990.
  9437.        This virus is memory resident, and employs an encryption scheme
  9438.        to avoid detection on files.  It infects COMMAND.COM, and all
  9439.        other executable file types.  Once it has infected all the
  9440.        files on a diskette, it will infect the diskette's boot
  9441.        sector.  It only infects floppy diskettes in its current
  9442.        version.
  9443.  
  9444.        The following description was submitted by Patrick Toulme for
  9445.        inclusion in this listing in November 1990:
  9446.  
  9447.        "Virus-101 is a sophisticated, continually encrypting, research
  9448.        virus written by Patrick Toulme, author of Virus-90.  Virus-101
  9449.        infects both COM and EXE files and will evade most anti-virus
  9450.        software and will continually encrypt itself to prevent
  9451.        non-algorithmic search scans.  This virus is not available to the
  9452.        general public and is presently used by government agencies and
  9453.        corporate security departments to test anti-virus software and
  9454.        hardware devices."
  9455.  
  9456.        Also see: Virus-90
  9457.  
  9458.  
  9459.  Virus Name:  Voronezh
  9460.  Aliases:
  9461.  V Status:    Rare
  9462.  Discovered:  December 1990
  9463.  Symptoms:    .COM & .EXE growth; decrease in total system and available memory
  9464.  Origin:      USSR
  9465.  Eff Length:  1,600 Bytes
  9466.  Type Code:   PRhA - Parasitic Resident .COM & .EXE Infector
  9467.  Detection Method:  ViruScan V74+
  9468.  Removal Instructions:  Scan/D, or Delete infected files
  9469.  General Comments:
  9470.        The Voronezh Virus was received in December, 1990.  It is originally
  9471.        from the USSR.  Voronezh is a memory resident infector of .COM and
  9472.        .EXE files, and does not infect COMMAND.COM.
  9473.  
  9474.        The first time a program infected with Voronezh is executed the virus
  9475.        will install itself memory resident.  This virus will be resident at
  9476.        the top of system memory but below the 640K DOS boundary.  While the
  9477.        virus reserves 3,744 bytes of memory for itself, it does not move the
  9478.        interrupt 12 return.  Interrupt 21 will be hooked by the virus.  This
  9479.        virus may also reserve 24 bytes of display memory on the display
  9480.        adapter card.
  9481.  
  9482.        After Voronezh is memory resident, .COM and .EXE files will be
  9483.        infected when they are executed.  Infected files will increase in
  9484.        length by 1,600 bytes, the virus will be located at the end of
  9485.        infected programs.  Infected programs will also contain the
  9486.        text string:
  9487.  
  9488.                "Voronezh,1990 2.01".
  9489.  
  9490.        It is unknown if this virus does anything besides replicate.
  9491.  
  9492.        Known variant(s) of Voronezh are:
  9493.        Voronezh B: Similar to the Voronezh Virus described above, the major
  9494.                difference with Voronezh B is that Voronezh B will infect files
  9495.                when they are executed or openned for any reason.  The original
  9496.                virus did not infect on file open.  The text string indicated
  9497.                for Voronezh is also found in this variant.
  9498.  
  9499.  
  9500.  Virus Name:  VP
  9501.  Aliases:
  9502.  V Status:    Rare
  9503.  Discovered:  May 1990
  9504.  Symptoms:    COMMAND.COM & .COM file growth, system slowdown
  9505.  Origin:      England
  9506.  Eff Length:  913 Bytes
  9507.  Type Code:   PNCK - Parasitic Non-Resident .COM Infector
  9508.  Detection Method: ViruScan V64+, Pro-Scan 1.4+, AVTK 3.5+, F-Prot 1.12+,
  9509.               VirHunt 2.0+
  9510.  Removal Instructions:  Scan/D, Pro-Scan 1.4+, F-Prot 1.12+, VirHunt 2.0+, or
  9511.               Delete infected files
  9512.  General Comments:
  9513.        The VP Virus was first isolated in May, 1990.  It is a non-resident
  9514.        generic .COM infector, and will infect COMMAND.COM.  When an
  9515.        infected program is run, the virus will attempt to locate and
  9516.        infect another .COM file.  In some cases, such as COMMAND.COM, the
  9517.        virus will display the contents of the program being infected.  In
  9518.        other cases, the virus may attempt to execute the program being
  9519.        infected.  Infected files increase in length by 913 bytes, and
  9520.        can be identified as the following hex string will appear near both
  9521.        the beginning and the end of an infected program: '4503EB1808655650'.
  9522.  
  9523.  
  9524.  Virus Name:  W13
  9525.  Aliases:     Toothless Virus, W13-A
  9526.  V Status:    Endangered
  9527.  Discovered:  December, 1989
  9528.  Symptoms:    .COM growth
  9529.  Origin:      Poland
  9530.  Eff Length:  534 Bytes
  9531.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  9532.  Detection Method: ViruScan V63+, F-Prot, IBM Scan, Pro-Scan 1.4+, VirexPC,
  9533.               AVTK 3.5+, VirHunt 2.0+
  9534.  Removal Instructions:  Scan/D, F-Prot, Pro-Scan 1.4+, VirHunt 2.0+
  9535.               or delete infected files
  9536.  General Comments:
  9537.        The W13 virus is a .COM file infector that doesn't do much
  9538.        except for infect files.  The virus was isolated in December
  9539.        1989 in Poland.
  9540.  
  9541.        While W13 is based on the Vienna virus, it does not damage files
  9542.        or have some of the other side effects of the Vienna virus.  It
  9543.        contains a number of bugs which prevent it from being a good
  9544.        replicator.
  9545.  
  9546.        Known variant(s) of W13 include:
  9547.        W13-B     : The original W13 Virus with several bugs fixed.  This
  9548.                    variants length is 507 bytes instead of 534 bytes.
  9549.  
  9550.  
  9551.  Virus Name:  Westwood
  9552.  Aliases:
  9553.  V Status:    Rare
  9554.  Discovered:  August, 1990
  9555.  Symptoms:    .COM & .EXE growth; TSR; system slowdown; black window;
  9556.               file deletion on Friday The 13ths
  9557.  Origin:      Westwood, California, USA
  9558.  Eff Length:  1,819 - 1,829 Bytes
  9559.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  9560.  Detection Method: ViruScan V67+, F-Prot 1.12+, Pro-Scan 2.01+
  9561.  Removal Instructions:  Scan/D, or Delete infected files
  9562.  General Comments:
  9563.        The Westwood Virus was isolated in August, 1990 in Westwood, California.
  9564.        This virus is a substantially altered variant of the Jerusalem B virus,
  9565.        enough so that all anti-virals tested which could detect Jerusalem B
  9566.        were unable to identify it.  Like Jerusalem, it infects .COM, .EXE, and
  9567.        overlay files, but not COMMAND.COM.
  9568.  
  9569.        The first time a program infected with the Westwood virus is executed,
  9570.        the virus will install itself memory resident as a low system memory
  9571.        TSR of 1,808 bytes.  Interrupts 8 and 21 will be hooked.  If the
  9572.        system date happens to be a Friday The 13th, interrupt 22 will also
  9573.        be hooked.
  9574.  
  9575.        After the virus is memory resident, any program which is executed
  9576.        will become infected with the Westwood virus.  .COM files will
  9577.        increase by 1,829 bytes with the virus's code located at the beginning
  9578.        of the infected program.  .EXE files and overlay files are infected
  9579.        with the virus's code added to the end of the program.  .EXE files
  9580.        increase in length by between 1,819 and 1,829 bytes.  Unlike most
  9581.        variants of the Jerusalem virus, Westwood does not reinfect .EXE files.
  9582.  
  9583.        Infected systems will experience a system slowdown occurring after
  9584.        the virus has been memory resident for 30 minutes.  At this time, the
  9585.        "black window" or "black box" common to the Jerusalem virus will
  9586.        appear on the lower left hand side of the system display.  Screen
  9587.        contain around the area of the "box" may be corrupted if screen writes
  9588.        happened to be occurring when the box appeared.
  9589.  
  9590.        On Friday The 13ths, the Westwood Virus will delete any programs that
  9591.        are executed once the virus becomes memory resident.
  9592.  
  9593.        Also see: Jerusalem B
  9594.  
  9595.  
  9596.  Virus Name:  Whale
  9597.  Aliases:     Mother Fish, Stealth Virus, Z The Whale
  9598.  V Status:    Research
  9599.  Discovered:  August, 1990
  9600.  Symptoms:    .COM & .EXE growth; decrease in available memory;
  9601.               system slowdown; video flicker; slow screen writes;
  9602.               file allocation errors; simulated system reboot
  9603.  Origin:      Hamburg, West Germany
  9604.  Eff Length:  9,216 Bytes
  9605.  Type Code:   PRhA - Parasitic Resident .COM & .EXE Infector
  9606.  Detection Method: ViruScan V67+, Pro-Scan 2.01+
  9607.  Removal Instructions:  Scan/D, CleanUp V67+, Pro-Scan 2.01+,
  9608.               or Delete infected files
  9609.  General Comments:
  9610.        The Whale Virus was submitted in early September, 1990.  This virus
  9611.        had been rumored to exist since the isolation of the Fish 6 Virus in
  9612.        June, 1990.  It has been referred to by several names besides Whale,
  9613.        including Mother Fish and Z The Whale.  The origin of this virus is
  9614.        subject to some speculation, though it is probably from Hamburg,
  9615.        West Germany due to a reference within the viral code once it is
  9616.        decrypted.
  9617.  
  9618.        The first time a program infected with the Whale Virus is executed,
  9619.        the Whale will install itself memory resident in high system memory
  9620.        but below the 640K DOS boundary.  On the author's XT clone, the
  9621.        virus always starts at address 9D90.  Available free memory will
  9622.        be decreased by 9,984 bytes.  Most utilities which display memory
  9623.        usage will also indicate a value for total system memory which is
  9624.        9,984 bytes less than what is actually installed.
  9625.  
  9626.        The following text string can be found in memory on systems
  9627.        infected with the Whale virus:
  9628.  
  9629.               "Z THE WHALE".
  9630.  
  9631.        Immediately upon becoming memory resident, the system user will
  9632.        experience the system slowing down.  Noticeable effects of the
  9633.        system slowdown include video flicker to extremely slow screen
  9634.        writes.  Some programs may appear to "hang", though they will
  9635.        eventually execute properly in most cases since the "hang" is due
  9636.        to the slowing of the system.
  9637.  
  9638.        When a program is executed with the Whale memory resident, the virus
  9639.        will infect the program.  Infected programs increase in length, the
  9640.        actual change in length is usually 9,216 bytes.  Note the "usually":
  9641.        this virus does occasionally infect a program with a "mutant" which
  9642.        will be a different length.  If the file length increase is exactly
  9643.        9,216 bytes, the Whale will hide the change in file length when a
  9644.        disk directory command is executed.  If the file length of the viral
  9645.        code added to the program is other than 9,216 bytes, the file length
  9646.        displayed with the directory command will either the actual infected
  9647.        file length, or the actual infected file length minus 9,216 bytes.
  9648.  
  9649.        Executing the DOS CHKDSK program on infected systems will result in
  9650.        file allocation errors being reported.  If CHKDSK /F is executed,
  9651.        file damage will result.
  9652.  
  9653.        The Whale also alters the program's date/time in the directory when
  9654.        the file is executed, though it is not set to the system date/time
  9655.        of infection.  Occasionally, Whale will alter the directory entry
  9656.        for the program it is infecting improperly, resulting in the directory
  9657.        entry becoming invalid.  These programs with invalid directory
  9658.        entries will appear when the directory is listed, but some disk
  9659.        utilities will not allow access to the program.  In these cases, the
  9660.        directory entry can be fixed with Norton Utilities FD command to
  9661.        reset the file date.
  9662.  
  9663.        The Whale occasionally will change its behavior while it is memory
  9664.        resident.  While most of the time it only infects files when
  9665.        executed, there are periods of time when it will infect any file
  9666.        opened for any reason.  It will also, at times, disinfect files
  9667.        when they are copied with the DOS copy command, at other times it
  9668.        will not "disinfect on the fly".
  9669.  
  9670.        Occasionally, the Whale Virus will simulate what appears to be a
  9671.        system reboot.  While this doesn't always occur, when it does occur
  9672.        the Break key is disabled so that the user cannot exit unexpectedly
  9673.        from the execution of the system's AutoExec.Bat file.  If the
  9674.        AutoExec.Bat file contained any software which does file opens of
  9675.        other executable programs, those opened executable programs will
  9676.        be infected at that time if they were not previously infected.
  9677.        Typically, files infected in this manner will increase by 9,216
  9678.        bytes though it will not be shown in a directory listing.
  9679.  
  9680.        A hidden file may be found in the root directory of drive C: on
  9681.        infected files.  This file is not always present, the virus will
  9682.        sometimes remove it, only to recreate it again at a later time.
  9683.        The name of this hidden file is FISH-#9.TBL, it contains an
  9684.        image of the hard disk's partition table along with the following
  9685.        message:
  9686.  
  9687.                "Fish Virus #9
  9688.                 A Whale is no Fish!
  9689.                 Mind her Mutant Fish
  9690.                 and the hidden Fish Eggs
  9691.                 for they are damaging.
  9692.                 The sixth Fish mutates
  9693.                 only if the Whale is in
  9694.                 her Cave."
  9695.  
  9696.        After the discovery of this hidden file, the author of this
  9697.        document made several attempt to have the Fish 6 Virus mutate
  9698.        by introducing it and Whale into a system.  Under no circumstances
  9699.        did a mutation of either virus result, the resultant files were
  9700.        infected with both an identifiable Fish 6 infection and a Whale
  9701.        infection.
  9702.  
  9703.        Whale is hostile to debuggers and contains many traps to prevent
  9704.        successful decryption of the virus.  One of its "traps" is to lock
  9705.        out the keyboard if it determines a debugger is in use.
  9706.  
  9707.  
  9708.  Virus Name:  Wisconsin
  9709.  Aliases:     Death To Pascal
  9710.  V Status:    Rare
  9711.  Discovered:  September, 1990
  9712.  Symptoms:    .COM growth; Message; Write Protect Errors; .PAS files
  9713.               disappear; file date/time changes
  9714.  Origin:      Wisconsin, USA
  9715.  Eff Length:  825 Bytes
  9716.  Type Code:   PNC - Parasitic Non-Resident .COM Infector
  9717.  Detection Method: ViruScan V67+, Pro-Scan 2.01+
  9718.  Removal Instructions:  Scan/D, or Delete infected files
  9719.  General Comments:
  9720.        The Wisconsin Virus was received in September, 1990.  The origin of
  9721.        the sample was Wisconsin, which is where its name came from.  It is
  9722.        also reported to have been isolated at about this same time in
  9723.        California.  Wisconsin is a non-resident infector of .COM files, but
  9724.        it does not infect COMMAND.COM.
  9725.  
  9726.        When a program infected with the Wisconsin Virus is executed, the virus
  9727.        will alter the date and time of the program being executed to the
  9728.        current system date and time.  The Wisconsin Virus will then infect
  9729.        one other .COM file in the current directory.  Infected files will
  9730.        increase in length by 825 bytes, with the viral code located at the
  9731.        beginning of the file.
  9732.  
  9733.        If an attempt is made to execute a program infected with the Wisconsin
  9734.        virus from a write-protected diskette, a write protect error will
  9735.        occur.  This virus does not intercept this error.
  9736.  
  9737.        Infected programs may display the following message:
  9738.  
  9739.                "Death to Pascal."
  9740.  
  9741.        When this message is displayed, any .PAS files located in the
  9742.        current directory will be deleted.  This message cannot be seen in
  9743.        infected files as it is encrypted.
  9744.  
  9745.  
  9746.  Virus Name:  Wolfman
  9747.  Aliases:
  9748.  V Status:    Rare
  9749.  Discovered:  July, 1990
  9750.  Symptoms:    TSR; .COM & .EXE growth
  9751.  Origin:      Taiwan
  9752.  Eff Length:  2,064 Bytes
  9753.  Type Code:   PRsAK - Parasitic Resident .COM & .EXE Infector
  9754.  Detection Method:  ViruScan V66+, Pro-Scan 2.01+
  9755.  Removal Instructions: Scan/D, or Delete infected files
  9756.  General Comments:
  9757.        The Wolfman Virus was discovered in Taiwan in July, 1990.  It is a
  9758.        memory resident generic infector of .COM and .EXE files, including
  9759.        COMMAND.COM.
  9760.  
  9761.        The first time a program infected with the Wolfman Virus is executed,
  9762.        the virus will install itself memory resident as a TSR with 2 blocks
  9763.        of memory reserved.  The first block of memory reserved is 68,032
  9764.        bytes in length, the second block of reserved memory is 4,544 bytes
  9765.        in length.  The total 72,640 bytes of memory is in low system memory,
  9766.        and available free memory is decreased by a corresponding amount.
  9767.        The virus hooks interrupts 09, 10, 16, 21, 2F, ED, and F5.
  9768.  
  9769.        Once the virus is memory resident, the virus will infect any .COM or
  9770.        .EXE file which is executed if the pre-infection file length is
  9771.        greater than or equal to 2,064 bytes.  Infected files increase in
  9772.        length by 2,064 bytes.  .COM files which are infected will have the
  9773.        virus's code located at the beginning of the .COM file, .EXE files
  9774.        will have the virus located at the end.
  9775.  
  9776.        It is unknown when Wolfman activates, or if it is destructive.
  9777.  
  9778.  
  9779.  Virus Name:  Yankee Doodle
  9780.  Aliases:     TP44VIR, Five O'clock Virus
  9781.  V Status:    Common - Europe
  9782.  Discovered:  September, 1989
  9783.  Symptoms:    .COM & .EXE growth, melody @ 5 p.m.
  9784.  Origin:      Austria or Bulgaria
  9785.  Eff Length:  2,885 or 2,899 Bytes
  9786.  Type Code:   PRsA - Parasitic Resident .COM & .EXE Infector
  9787.  Detection Method:  ViruScan V42+, F-Prot, IBM Scan, Pro-Scan, VirexPC,
  9788.               AVTK 3.5+, VirHunt 2.0+
  9789.  Removal Instructions: CleanUp V64+, Scan/D, VirClean, F-Prot, or
  9790.               delete infected files
  9791.  General Comments:
  9792.        The Yankee Doodle virus was isolated by Alexander Holy of
  9793.        the North Atlantic Project in Vienna, Austria, on
  9794.        September 30, 1989.  It was also isolated in Bulgaria shortly
  9795.        thereafter, where it is known as TP44VIR.
  9796.  
  9797.        This virus is a parasitic virus which infects both .COM and .EXE
  9798.        files, and installs itself memory resident.  After installing itself
  9799.        memory resident, it will play Yankee Doodle on the system speaker at
  9800.        17:00.  Infected programs will be increased in length by 2,899 bytes.
  9801.  
  9802.        Other than being disruptive by playing Yankee Doodle, this
  9803.        virus currently does nothing else harmful besides infecting
  9804.        files.
  9805.  
  9806.        As a side note, some variants of the Yankee Doodle Virus will seek
  9807.        out and modify Ping Pong viruses, changing them so that they self-
  9808.        destruct after 100 infections.
  9809.  
  9810.        Known variants of the Yankee Doodle Virus are:
  9811.        TP33VIR - This variant disables interrupts 1 and 3, thus interfering
  9812.                  with using debuggers to isolate it.  The behavior of the
  9813.                  virus also has been changed so that it infected programs
  9814.                  will play Yankee Doodle at 5PM.  The second to the last
  9815.                  byte in infected files is the virus's "version number",
  9816.                  in the case of TP33VIR, it is 21h (33 in hex).
  9817.        TP34VIR - Similar to TP33VIR, except that this variant is memory
  9818.                  resident, and infects programs as they are executed.
  9819.                  The second to the last byte in infected files is 22h.
  9820.        TP38VIR - Similar to TP34VIR, except that .COM and .EXE files are
  9821.                  handled in a different way, and this variant will
  9822.                  disinfect itself if it is loaded with CodeView active in
  9823.                  memory.  The second to the last byte in infected files
  9824.                  is 26h.  TP38VIR was first isolated in Bulgaria in
  9825.                  July 1988, and is the oldest virus known in Bulgaria.
  9826.        TP41VIR - Similar to TP38VIR, except the second to the last byte
  9827.                  in infected files is 29h.
  9828.        TP42VIR - This variant of Vacsina tests to determine if the system
  9829.                  is infected with the Ping Pong virus, and if it is, will
  9830.                  attempt to disable the Ping Pong virus by modifying it.
  9831.                  The second to the last byte in infected files is now 2Ah.
  9832.        TP44VIR - Similar to TP42VIR, the second to the last byte of infected
  9833.                  files is 2Ch.
  9834.        TP45VIR - Similar to TP44VIR, the second to the last byte of infected
  9835.                  files is 2Dh.
  9836.        TP46VIR - Similar to TP45VIR, except that this variant can detect
  9837.                  and kill the Cascade (1701) Virus.  The second to the last
  9838.                  byte of infected files is now 2Eh.
  9839.        Yankee Doodle-B: Very similar to the Yankee Doodle virus, except
  9840.                  the length of the viral code is 2,772 bytes.
  9841.  
  9842.        Also see: Vacsina
  9843.  
  9844.  
  9845.  Virus Name:  Yankee 2
  9846.  Aliases:     Yankee Virus, Yankee-go-Home, 1961
  9847.  V Status:    Endangered
  9848.  Discovered:  September, 1989
  9849.  Symptoms:    .EXE growth, Yankee Doodle
  9850.  Origin:      Bulgaria
  9851.  Eff Length:  1,961 Bytes
  9852.  Type Code:   PNE - Parasitic Non-Resident .EXE Infector
  9853.  Detection Method:  ViruScan V62+, Virex PC, AVTK 3.5+, VirHunt 2.0+
  9854.  Removal Instructions: Scan/D, or delete infected files
  9855.  General Comments:
  9856.        The Yankee 2, or Yankee Virus, was isolated in Bulgaria
  9857.        in 1989.  Unlike the Yankee Doodle Virus, the Yankee 2
  9858.        Virus is not memory resident.  It also only infects .EXE files,
  9859.        adding 1,961 bytes to their length.  The virus will attempt to
  9860.        infect an .EXE file in the current directory whenever an
  9861.        infected program is executed.  If it is successful in locating
  9862.        an uninfected .EXE file, and infects it, Yankee Doodle will be
  9863.        played on the system speaker.  Infected files will have the
  9864.        hex string '6D6F746865726675636B6572' at the end.
  9865.  
  9866.        The Yankee 2 Virus will not infect CodeView.
  9867.  
  9868.        Known variant(s) of the Yankee 2 virus are:
  9869.        1624    - This variant is similar to Yankee 2 in function, the major
  9870.                  change is that its effective length is 1,624 bytes.
  9871.  
  9872.  
  9873.  Virus Name:  Yukon Overwriting
  9874.  Aliases:
  9875.  V Status:    New
  9876.  Discovered:  January, 1991
  9877.  Symptoms:    Divide Overflow errors; Beginning of Programs Overwritten
  9878.  Origin:      Canada
  9879.  Eff Length:  151 Bytes
  9880.  Type Code:   ONCK - Overwriting Non-Resident .COM Infector
  9881.  Detection Method:
  9882.  Removal Instructions: Delete infected files
  9883.  General Comments:
  9884.        The Yukon Overwriting Virus was isolated in January, 1991 in Canada.
  9885.        This virus is a non-resident overwriting virus that infects .COM files,
  9886.        including COMMAND.COM.
  9887.  
  9888.        When a program infected with the Yukon Overwriting Virus is executed,
  9889.        the virus will infect all .COM programs in the current directory.
  9890.        Infected programs will have the first 151 bytes of the program
  9891.        overwritten with the virus.  Their date and time in the disk directory
  9892.        will not be altered in the process of infection.
  9893.  
  9894.        After infecting all of the .COM files in the current directory, the
  9895.        program the user was attempting to execute will fail with a Divide
  9896.        Overflow error.
  9897.  
  9898.        Infected programs can be easily identified because the text string
  9899.        Divide Overflow$ will be located beginning at offset 87h within the
  9900.        infected program.
  9901.  
  9902.        Programs infected with the Yukon Overwriting Virus cannot be
  9903.        disinfected as the portion overwritten by the virus is not stored.
  9904.        Infected programs must be deleted and replaced with uninfected copies.
  9905.  
  9906.  
  9907.  Virus Name:  Zero Bug
  9908.  Aliases:     Palette, 1536
  9909.  V Status:    Endangered
  9910.  Discovered:  September, 1989
  9911.  Symptoms:    .COM growth (see text), TSR, graphics display
  9912.  Origin:      Netherlands
  9913.  Eff Length:  1,536 bytes
  9914.  Type Code:   PRsC - Parasitic Resident .COM Infector
  9915.  Detection Method:  Viruscan/X V67+, F-Prot, Pro-Scan 1.4+, VirexPC, AVTK 3.5+,
  9916.               VirHunt 2.0+
  9917.  Removal Instructions: Scan/D/X, CleanUp V66+, F-Prot, Pro-Scan 1.4+,
  9918.               VirHunt 2.0+, or delete infected files
  9919.  General Comments:
  9920.        The Zero Bug virus was first isolated in the Netherlands by
  9921.        Jan Terpstra in September, 1989.  This virus is a memory
  9922.        resident .COM file infector.  Infected .COM files will
  9923.        increase in size by 1,536 bytes, however the increase in file
  9924.        length will not show up when the disk directory is displayed.
  9925.  
  9926.        The virus's main objective is to infect the copy of
  9927.        COMMAND.COM indicated by the environment variable COMSPEC.
  9928.        If COMSPEC doesn't point to anything, the Zero Bug virus will
  9929.        install itself memory resident using INT 21h.
  9930.  
  9931.        After the virus has either infected COMMAND.COM or become
  9932.        memory resident, it will infect all .COM files that are
  9933.        accessed, including those accessed by actions such as COPY or
  9934.        XCOPY.  Any .COM file created on an infected system will also
  9935.        be infected.
  9936.  
  9937.        If the currently loaded COMMAND.COM is infected, the virus
  9938.        will hook into the timer interrupt 1Ch, and after a certain
  9939.        amount of time has past, a smiley face character (ASCII 01)
  9940.        will appear and eat all the zeros it can find on the screen.
  9941.        The virus does not delete files or format disks in its present
  9942.        form.
  9943.  
  9944.  
  9945.  Virus Name:  ZeroHunt
  9946.  Aliases:     Minnow, Stealth
  9947.  V Status:    Research
  9948.  Discovered:  December, 1990
  9949.  Symptoms:    Internal changes to COM files
  9950.  Origin:      USA
  9951.  Eff Length:  416 Bytes
  9952.  Type Code:   PRCK - Parasitic Overwriting .COM Infector
  9953.  Detection Method:  Viruscan V72+, Pro-Scan 2.01+
  9954.  Removal Instructions: Scan/D, Pro-Scan 2.01+, or Delete infected files
  9955.  General Comments:
  9956.        The ZeroHunt, or Minnow, Virus was submitted in December, 1990 by
  9957.        Paul Ferguson of Washington, DC.  ZeroHunt is a memory resident
  9958.        overwriting infector of COM files, including COMMAND.COM.  This virus
  9959.        is classified as a Stealth Virus.
  9960.  
  9961.        When the first program infected with the ZeroHunt Virus is executed,
  9962.        the virus will install itself memory resident in the command environment
  9963.        area.  It occupies approximately 200 bytes of memory and hooks a number
  9964.        of interrupts, including interrupt 21 by remapping.
  9965.  
  9966.        Once ZeroHunt is memory resident, it waits for a COM file to be openned
  9967.        or executed which contains 416 or more bytes of 00h characters.  These
  9968.        characters usually are stack space in the file, and most commonly occur
  9969.        in EXE files which have been converted to COM files.  If the candidate
  9970.        COM file contains enough 00h characters, ZeroHunt will infect the file
  9971.        by writing its viral code over the first 416 bytes of the 00h characters.
  9972.        ZeroHunt then alters the first four bytes of the newly infected file so
  9973.        that upon execution its viral code will execute first.
  9974.  
  9975.        Like other Stealth class viruses, ZeroHunt will disinfect the file on
  9976.        the fly, so that the virus cannot be detected in files if it is memory
  9977.        resident.  Since infected files have been infected internally by over-
  9978.        writing stack space, there will be no change in infected file length.
  9979.  
  9980.        ZeroHunt carries no activation criteria at the present time, it just
  9981.        replicates.
  9982.  
  9983.  
  9984. -------------------------------------------------------------------------------
  9985.                          Virus Information Summary List
  9986.                         Virus Common Name Cross-Reference
  9987.  
  9988.  The following is a cross-reference of common virus names back to
  9989.  the name they are listed by in the virus information section.
  9990.  Hopefully, this cross-reference will alleviate some confusion when
  9991.  different anti-viral software packages refer to different names for
  9992.  the same virus.
  9993.  
  9994.  Virus Name              Refer To Virus(es) In VirusSum.Doc:
  9995.  ----------------------  -----------------------------------------------
  9996.  @ Virus                 Turbo 448
  9997.  62-B                    Vienna
  9998.  100 Years Virus         4096
  9999.  163 COM Virus           Tiny Virus
  10000.  217                     Polish 217
  10001.  333                     Kennedy
  10002.  382                     382 Recovery Virus
  10003.  382 Recovery Virus      382 Recovery Virus
  10004.  405                     405
  10005.  437                     VFSI
  10006.  453                     RPVS
  10007.  500 Virus               Golden Gate
  10008.  505                     Burger
  10009.  509                     Burger
  10010.  512                     512
  10011.  512-A                   512
  10012.  512-B                   512
  10013.  512-C                   512
  10014.  512-D                   512
  10015.  512 Virus               Friday The 13th COM Virus
  10016.  529                     Polish 529
  10017.  541                     Burger
  10018.  623                     VHP2
  10019.  632                     Saratoga
  10020.  637                     Vcomm
  10021.  642                     Icelandic
  10022.  646                     646
  10023.  648                     Vienna
  10024.  765                     Perfume
  10025.  867                     Typo COM
  10026.  903                     903
  10027.  944                     Dot Killer
  10028.  1008                    1008
  10029.  1022                    Fellowship
  10030.  1024-B                  Nomenklatura
  10031.  1168                    Datacrime-B
  10032.  1210                    1210
  10033.  1226                    1226
  10034.  1226D                   1226D
  10035.  1226M                   1226D
  10036.  1253                    1253
  10037.  1260                    1260
  10038.  1280                    Datacrime
  10039.  1374                    Little Pieces
  10040.  1381 Virus              1381 Virus
  10041.  1392                    1392
  10042.  1514                    Datacrime II
  10043.  1536                    Zero Bug
  10044.  1539                    Christmas Virus
  10045.  1554                    1554
  10046.  1559                    1554
  10047.  1575                    1575
  10048.  1575-B                  1575
  10049.  1577                    1575
  10050.  1591                    1575
  10051.  1605                    1605
  10052.  1624                    Yankee 2
  10053.  1701                    Cascade
  10054.  1704                    Cascade, Cascade-B
  10055.  1704 Format             1704 Format
  10056.  1704-B                  Cascade B
  10057.  1720                    1720
  10058.  17Y4                    Cascade
  10059.  1808                    Jerusalem
  10060.  1813                    Jerusalem
  10061.  1917                    Datacrime IIB
  10062.  1961                    Yankee 2
  10063.  1971                    Eight Tunes
  10064.  2080                    Fu Manchu
  10065.  2086                    Fu Manchu
  10066.  2100                    V2100
  10067.  2131                    2131
  10068.  2576                    Taiwan 4
  10069.  2930                    Traceback II
  10070.  2930-B                  Traceback II
  10071.  3012                    Plastique
  10072.  3066                    Traceback
  10073.  3066-B                  Traceback
  10074.  3066-B2                 Traceback
  10075.  3551                    SysLock
  10076.  3555                    SysLock
  10077.  3880                    Itavir
  10078.  4096                    4096
  10079.  4096-B                  4096
  10080.  4096-C                  4096
  10081.  4711                    Perfume
  10082.  4870 Overwriting        4870 Overwriting
  10083.  5120                    5120
  10084.  8920                    Print Screen
  10085.  909090h Virus           Burger
  10086.  9800:0000 Virus         1554
  10087.  A-204                   Jerusalem B
  10088.  Advent                  Syslock
  10089.  AIDS                    AIDS
  10090.  AIDS II                 AIDS II
  10091.  AirCop                  AirCop
  10092.  Akuku                   Akuku
  10093.  Alabama                 Alabama
  10094.  Alameda                 Alameda
  10095.  Ambulance Car           Ambulance Car
  10096.  Amoeba Virus            1392
  10097.  Amstrad                 Amstrad
  10098.  Anarkia                 Jerusalem B
  10099.  Anarkia-B               Jerusalem B
  10100.  Anthrax                 Anthrax
  10101.  AntiCad                 1253
  10102.  Anti-Pascal             Anti-Pascal
  10103.  Anti-Pascal 400         Anti-Pascal II
  10104.  Anti-Pascal 440         Anti-Pascal II
  10105.  Anti-Pascal 480         Anti-Pascal II
  10106.  Anti-Pascal 529         Anti-Pascal
  10107.  Anti-Pascal 605         Anti-Pascal
  10108.  Anti-Pascal II          Anti-Pascal II
  10109.  AP-400                  Anti-Pascal II
  10110.  AP-440                  Anti-Pascal II
  10111.  AP-480                  Anti-Pascal II
  10112.  AP-529                  Anti-Pascal
  10113.  AP-605                  Anti-Pascal
  10114.  April 1st               Suriv 1.01
  10115.  April 1st-B             Suriv 2.01
  10116.  Arab Star               Jerusalem B
  10117.  Armagedon               Armagedon
  10118.  Armagedon The First     Armagedon
  10119.  Armagedon The Greek     Armagedon
  10120.  Ashar                   Ashar
  10121.  Attention!              Attention!
  10122.  Austrian                Vienna
  10123.  Basic Virus             5120
  10124.  Best Wish               Best Wishes
  10125.  Best Wishes             Best Wishes
  10126.  Best Wishes B           Best Wishes
  10127.  Black Avenger           Dark Avenger
  10128.  Black Friday            Jerusalem
  10129.  Black Monday            Black Monday
  10130.  Blackjack               Cascade-B
  10131.  Blood                   Blood
  10132.  Blood 2                 Blood
  10133.  Bloody!                 Bloody!
  10134.  Boot                    Ping Pong-B
  10135.  Bouncing Ball           Ping Pong
  10136.  Bouncing Dot            Ping Pong
  10137.  Brain                   Brain
  10138.  Burger                  Burger
  10139.  C-605                   Anti-Pascal
  10140.  Carioca                 Carioca
  10141.  Cascade                 Cascade
  10142.  Cascade-B               Cascade-B
  10143.  Casper                  Casper
  10144.  Century Virus           4096
  10145.  Chaos                   Chaos
  10146.  Choinka                 Father Christmas
  10147.  Christmas In Japan      Christmas In Japan
  10148.  Christmas Violator      Violator B4
  10149.  Christmas Virus         Christmas Virus
  10150.  CIA                     Burger
  10151.  Columbus Day            Datacrime, Datacrime II, Datacrime IIB, Datacrime-B
  10152.  COM Virus               Friday The 13th COM Virus
  10153.  Computer Ogre           Disk Killer
  10154.  Cookie                  Cookie
  10155.  Cunning                 Cascade
  10156.  Cursy                   Cursy
  10157.  Dark Avenger            Dark Avenger
  10158.  Dark Avenger-B          Dark Avenger
  10159.  Dark Avenger II         V2000
  10160.  Dark Avenger III        V1024
  10161.  Datacrime               Datacrime
  10162.  Datacrime II            Datacrime II
  10163.  Datacrime IIB           Datacrime IIB
  10164.  Datacrime-B             Datacrime-B
  10165.  DataLock                DataLock
  10166.  DataLock 1.00           DataLock
  10167.  DBase                   DBase
  10168.  DBF Virus               DBase
  10169.  Dead Kennedy            Kennedy
  10170.  Death To Pascal         Wisconsin
  10171.  December 24th           Icelandic-III
  10172.  Den Zuk                 Den Zuk
  10173.  Destructor              Destructor V4.00
  10174.  Destructor V4.00        Destructor V4.00
  10175.  Devil's Dance           Devil's Dance
  10176.  Diana                   Dark Avenger
  10177.  Die Young Virus         V2000
  10178.  Dir Virus               Dir Virus
  10179.  Discom                  Discom
  10180.  Disk Crunching Virus    Icelandic, Saratoga
  10181.  Disk Killer             Disk Killer
  10182.  Disk Ogre               Disk Killer
  10183.  Do-Nothing Virus        Do-Nothing Virus
  10184.  Donald Duck             Stoned
  10185.  DOS-62                  Vienna
  10186.  DOS-68                  Vienna
  10187.  Durban                  Saturday The 14TH
  10188.  Dyslexia                Solano 2000
  10189.  Dyslexia 2.00           Solano 2000
  10190.  Dyslexia 2.01           Solano 2000
  10191.  EB 21                   Print Screen
  10192.  Eddie                   Dark Avenger
  10193.  Eddie Virus             Dark Avenger
  10194.  Eddie 3                 V651
  10195.  EDV                     EDV
  10196.  Eight Tunes             Eight Tunes
  10197.  European Fish Viruses   Fish Virus
  10198.  Evil                    Evil
  10199.  Evil-B                  Evil
  10200.  F-Word Virus            F-Word Virus
  10201.  Fall                    Cascade
  10202.  Falling Letters         Cascade, Ping Pong-B
  10203.  Falling Letters Boot    Swap Boot
  10204.  Father Christmas        Father Christmas
  10205.  Fellowship              Fellowship
  10206.  Fish 6                  Fish Virus
  10207.  Fish Virus              Fish Virus
  10208.  Five O'Clock Virus      Yankee Doodle
  10209.  Flash                   Flash
  10210.  Flip                    Flip
  10211.  Flip B                  Flip
  10212.  Form                    FORM-Virus
  10213.  Form Boot               FORM-Virus
  10214.  FORM-Virus              FORM-Virus
  10215.  Frere Virus             Frere Jacques
  10216.  Frere Jacques           Frere Jacques
  10217.  Friday 13th             Jerusalem
  10218.  Friday 13th COM Virus   Friday The 13th COM Virus
  10219.  Friday 13th-B           Friday The 13th COM Virus
  10220.  Friday 13th-C           Friday The 13th COM Virus
  10221.  FroDo                   4096
  10222.  Fu Manchu               Fu Manchu
  10223.  Fuck You                F-Word
  10224.  Fumble                  Typo COM
  10225.  G-Virus V1.3            Sorry
  10226.  Ghost Boot              Ghostballs
  10227.  Ghost COM               Ghostballs
  10228.  Ghostballs              Ghostballs
  10229.  Golden Gate             Golden Gate
  10230.  Grither                 Grither
  10231.  Green Left Virus        Groen Links
  10232.  Groen Links             Groen Links
  10233.  Guppy                   Guppy
  10234.  Hahaha                  AIDS
  10235.  Halloechen              Halloechen
  10236.  Happy Birthday Joshi    Joshi
  10237.  Happy N.Y.              Happy New Year, Happy New Year B
  10238.  Happy New Year          Happy New Year
  10239.  Happy New Year          Happy New Year B
  10240.  Hawaii                  Stoned
  10241.  Hebrew University       Jerusalem B
  10242.  Hemp Virus              Stoned
  10243.  HM2                     Plastique
  10244.  Holland Girl            Holland Girl
  10245.  Holland Girl 2          Holland Girl 2
  10246.  Holo                    Holocaust
  10247.  Holocaust               Holocaust
  10248.  Hybrid                  Hybryd
  10249.  Hybryd                  Hybryd
  10250.  Hymn                    Hymn
  10251.  Icelandic               Icelandic
  10252.  Icelandic-II            Icelandic-II
  10253.  Icelandic-III           Icelandic-III
  10254.  Ick                     IKV 528
  10255.  IDF Virus               4096
  10256.  IKV 528                 IKV 528
  10257.  Invader                 Invader
  10258.  Iraqui                  Iraqui Warrior
  10259.  Iraqui Warrior          Iraqui Warrior
  10260.  Israeli                 Jerusalem, Suriv 1.01, Suriv 2.01, Suriv 3.00
  10261.  Israeli Boot            Swap
  10262.  Italian                 Ping Pong
  10263.  Itavir                  Itavir
  10264.  Jeff                    Jeff
  10265.  Jerusalem               Jerusalem
  10266.  Jerusalem A             Jerusalem
  10267.  Jerusalem B             Jerusalem B
  10268.  Jerusalem C             Jerusalem B
  10269.  Jerusalem D             Jerusalem B
  10270.  Jerusalem DC            Jerusalem B
  10271.  Jerusalem E             Jerusalem B
  10272.  Jerusalem E2            Jerusalem B
  10273.  Jocker                  Joker
  10274.  JoJo                    JoJo
  10275.  JoJo 2                  JoJo 2
  10276.  Joker                   Joker
  10277.  Joshi                   Joshi
  10278.  July 13TH               July 13TH
  10279.  June 16TH               June 16TH
  10280.  Kamikazi                Kamikazi
  10281.  Kemerovo                Kemerovo
  10282.  Kennedy                 Kennedy
  10283.  Keypress                Keypress
  10284.  Korea                   Korea
  10285.  Kukac                   Turbo Kukac
  10286.  LBC Boot                Korea
  10287.  Leapfrog                USSR 516
  10288.  Lehigh                  Lehigh
  10289.  Lehigh University       Lehigh
  10290.  Lehigh-2                Lehigh
  10291.  Lehigh-B                Lehigh
  10292.  Leprosy                 Leprosy
  10293.  Leprosy 1.00            Leprosy
  10294.  Leprosy-B               Leprosy
  10295.  Liberty                 Liberty
  10296.  Liberty-B               Liberty
  10297.  Liberty-C               Liberty
  10298.  Lisbon                  Lisbon
  10299.  Little Pieces           Little Pieces
  10300.  Live after Death Virus  V800
  10301.  Lozinsky                Lozinsky
  10302.  Mardi Bros              Mardi Bros
  10303.  Marijuana               Stoned
  10304.  Mazatlan                Golden Gate
  10305.  Merritt                 Alameda
  10306.  Mendoza                 Jerusalem B
  10307.  Mexican                 Devil's Dance
  10308.  MG                      MG
  10309.  MG-2                    MG-2
  10310.  MG-3                    MG-2
  10311.  MGTU                    MGTU
  10312.  Miami                   Friday The 13th
  10313.  Microbes                Microbes
  10314.  Minnow                  ZeroHunt
  10315.  Mirror                  Mirror
  10316.  Mistake                 Typo Boot
  10317.  MIX1                    MIX1
  10318.  MIX/1                   MIX1
  10319.  Mix1                    MIX1
  10320.  Monxla                  Monxla
  10321.  Monxla B                Monxla B
  10322.  Mother Fish             Whale
  10323.  Munich                  Friday The 13th COM Virus
  10324.  Murphy                  Murphy
  10325.  Murphy-1                Murphy
  10326.  Murphy-2                Murphy
  10327.  Music Boot              MusicBug
  10328.  Music Bug               MusicBug
  10329.  Music Virus             Oropax
  10330.  MusicBug                MusicBug
  10331.  Musician                Oropax
  10332.  New Jerusalem           New Jerusalem
  10333.  New Zealand             Stoned
  10334.  News Flash              Leprosy
  10335.  Nina                    Nina
  10336.  Nomenclature            Nomenklatura
  10337.  Nomenklatura            Nomenklatura
  10338.  Number 1                Number One
  10339.  Number of the Beast     512 Virus
  10340.  Number One              Number One
  10341.  Ogre                    Disk Killer
  10342.  Ohio                    Ohio
  10343.  One In Eight            Vienna
  10344.  One In Ten              Icelandic, Icelandic-II
  10345.  One In Two              Saratoga
  10346.  Ontario                 Ontario
  10347.  Oropax                  Oropax
  10348.  Oulu                    1008
  10349.  P1                      Evil, Phoenix, PhoenixD, Proud
  10350.  Pakistani               Brain
  10351.  Pakistani Brain         Brain
  10352.  Palette                 Zero Bug
  10353.  Paris                   Paris
  10354.  Parity                  Parity
  10355.  Park ESS                Jerusalem B
  10356.  Payday                  Payday
  10357.  Peking                  Alameda
  10358.  Pentagon                Pentagon
  10359.  Perfume                 Perfume
  10360.  Phoenix                 Phoenix
  10361.  PhoenixD                PhoenixD
  10362.  Ping Pong               Ping Pong
  10363.  Ping Pong-B             Ping Pong-B
  10364.  Ping Pong-C             Ping Pong-C
  10365.  Pixel                   Amstrad
  10366.  Plastique               Plastique
  10367.  Plastique 1             Plastique
  10368.  Plastique 2             Plastique-B
  10369.  Plastique 4.51          Plastique
  10370.  Plastique 5.21          Plastique-B
  10371.  Plastique Boot          Invader
  10372.  Plastique-B             Plastique-B
  10373.  PLO                     Jerusalem
  10374.  Point Killer            Dot Killer
  10375.  Polimer                 Polimer
  10376.  Polimer Tapeworm        Polimer
  10377.  Polish 217              Polish 217
  10378.  Polish 217 B            Polish 217
  10379.  Polish 529              Polish 529
  10380.  Polish 583              Polish 583
  10381.  Polish 961              Stone`90
  10382.  Polish Stupid           Polish 217
  10383.  Polish-2                Turbo 448, Turbo Kukac
  10384.  Pretoria                June 16TH
  10385.  Print Screen            Print Screen
  10386.  Print Screen-2          Print Screen
  10387.  Proud                   Proud
  10388.  PRTSC Virus             Print Screen
  10389.  Prudents Virus          1210
  10390.  PSQR Virus              1720
  10391.  Puerto                  Jerusalem B
  10392.  Red Diavolyata          Red Diavolyata
  10393.  RedX                    Ambulance Car
  10394.  Rostov                  Stoned
  10395.  RPVS                    RPVS
  10396.  RPVS-B                  RPVS
  10397.  Russian                 Jerusalem
  10398.  Saddam                  Saddam
  10399.  San Diego               Stoned
  10400.  Saturday The 14th       Saturday The 14th
  10401.  Saratoga                Saratoga
  10402.  Saratoga 2              Icelandic
  10403.  Scott's Valley          Scott's Valley
  10404.  Seoul                   Alameda
  10405.  Sentinel                Sentinel
  10406.  Sex Revolution v1.1     Stoned
  10407.  Sex Revolution v2.0     Stoned
  10408.  SF Virus                SF Virus
  10409.  Shake Virus             Shake Virus
  10410.  Shoe_Virus              Ashar
  10411.  Shoe_Virus-B            Ashar-B
  10412.  Skism-1                 Jerusalem B
  10413.  Slow                    Slow
  10414.  Slowdown                Slow
  10415.  Smithsonian             Stoned
  10416.  Solano 2000             Solano 2000
  10417.  Sorry                   Sorry
  10418.  South African           Friday The 13th COM Virus
  10419.  Spyer                   Spyer
  10420.  Stealth Viruses         EDV, Fish, Holocaust, Joshi, Murphy, V651, V800, V1024,
  10421.                          V2000, V2100, ZeroHunt, 512, 4096
  10422.  
  10423.  Stone`90                Stone`90
  10424.  Stone-90                Stone`90
  10425.  Stoned                  Stoned
  10426.  Stoned II               Stoned
  10427.  Stoned-B                Stoned
  10428.  Stoned-C                Stoned
  10429.  Stoned-D                Stoned
  10430.  Stoned-E                Stoned
  10431.  Stoned-F                Stoned
  10432.  Stupid Virus            Do-Nothing
  10433.  Subliminal 1.10         Subliminal 1.10
  10434.  Sunday                  Sunday
  10435.  Sunday-B                Sunday
  10436.  Sunday-C                Sunday
  10437.  Suomi                   1008
  10438.  Suriv 1.01              Suriv 1.01
  10439.  Suriv 2.01              Suriv 2.01
  10440.  Suriv 3.00              Suriv 3.00
  10441.  Suriv A                 Suriv 1.01, Suriv 2.01
  10442.  Suriv B                 Suriv 3.00
  10443.  Suriv01                 Suriv 1.01
  10444.  Suriv02                 Suriv 2.01
  10445.  Suriv03                 Suriv 3.00
  10446.  SVC V4.00               USSR 1689
  10447.  Sverdlov                Sverdlov
  10448.  SVir                    SVir
  10449.  SVir-A                  SVir
  10450.  SVir-B                  SVir
  10451.  Swap                    Swap
  10452.  Swedish Disaster        Swedish Disaster
  10453.  Swiss 143               Swiss 143
  10454.  Sylvia                  Holland Girl
  10455.  Sylvia 2                Holland Girl 2
  10456.  SysLock                 Syslock
  10457.  System Virus            Icelandic-II
  10458.  Taiwan                  Taiwan
  10459.  Taiwan 2                Taiwan
  10460.  Taiwan 3                Taiwan 3
  10461.  Taiwan 4                Taiwan 4
  10462.  Taiwan-B                Taiwan
  10463.  Tannenbaum              Christmas Virus
  10464.  Taunt                   AIDS
  10465.  Ten Bytes               1554
  10466.  The Plague              The Plague
  10467.  Time                    Monxla
  10468.  Time B                  Monxla B
  10469.  Tiny Family             Tiny Family
  10470.  Tiny Virus              Tiny Virus
  10471.  Tiny 134 Virus          Tiny Family
  10472.  Tiny 138 Virus          Tiny Family
  10473.  Tiny 143 Virus          Tiny Family
  10474.  Tiny 154 Virus          Tiny Family
  10475.  Tiny 156 Virus          Tiny Family
  10476.  Tiny 158 Virus          Tiny Family
  10477.  Tiny 159 Virus          Tiny Family
  10478.  Tiny 160 Virus          Tiny Family
  10479.  Tiny 163 Virus          Tiny Virus
  10480.  Tiny 169 Virus          Tiny Family
  10481.  Tiny 198 Virus          Tiny Family
  10482.  Toothless Virus         W13
  10483.  TP04VIR Virus           Vacsina
  10484.  TP05VIR Virus           Vacsina
  10485.  TP06VIR Virus           Vacsina
  10486.  TP16VIR Virus           Vacsina
  10487.  TP23VIR Virus           Vacsina
  10488.  TP24VIR Virus           Vacsina
  10489.  TP25VIR Virus           Vacsina
  10490.  TP33VIR Virus           Yankee Doodle
  10491.  TP34VIR Virus           Yankee Doodle
  10492.  TP38VIR Virus           Yankee Doodle
  10493.  TP41VIR Virus           Yankee Doodle
  10494.  TP42VIR Virus           Yankee Doodle
  10495.  TP44VIR Virus           Yankee Doodle
  10496.  TP45VIR Virus           Yankee Doodle
  10497.  TP46VIR Virus           Yankee Doodle
  10498.  Traceback               Traceback
  10499.  Traceback II            Traceback II
  10500.  Traceback II-B          Traceback II
  10501.  Traceback-B             Traceback
  10502.  Traceback-B2            Traceback
  10503.  Travel Virus            V2000
  10504.  Turbo @                 Turbo 448
  10505.  Turbo 448               Turbo 448
  10506.  Turbo Kukac             Turbo Kukac
  10507.  Turbo Kukac 9.9         Turbo Kukac
  10508.  Typo Boot               Typo Boot
  10509.  Typo COM                Typo COM
  10510.  UIUC Virus              Ashar
  10511.  UIUC Virus-B            Ashar
  10512.  Unesco                  Vienna
  10513.  UScan Virus             V2100
  10514.  USSR                    USSR
  10515.  USSR 257                Kemerovo
  10516.  USSR 311                USSR 311
  10517.  USSR 394                Attention!
  10518.  USSR 492                USSR 492
  10519.  USSR 516                USSR 516
  10520.  USSR 600                USSR 600
  10521.  USSR 707                USSR 707
  10522.  USSR 711                USSR 711
  10523.  USSR 830                Red Diavolyata
  10524.  USSR 948                USSR 948
  10525.  USSR 1049               USSR 1049
  10526.  USSR 1689               USSR 1689
  10527.  USSR 2144               USSR 2144
  10528.  V-1                     1253
  10529.  V-277                   Amstrad
  10530.  V-299                   Amstrad
  10531.  V-311                   USSR 311
  10532.  V-345                   Amstrad
  10533.  V-847                   Amstrad
  10534.  V-847B                  Amstrad
  10535.  V-852                   Amstrad
  10536.  V-Alert                 1554
  10537.  V605                    Anti-Pascal
  10538.  V651                    V651
  10539.  V800                    V800
  10540.  V800M                   V800
  10541.  V920                    DataLock
  10542.  V1024                   V1024
  10543.  V1226                   1226
  10544.  V1226D                  1226D
  10545.  V1226M                  1226D
  10546.  V1277                   Murphy
  10547.  V1302                   Proud
  10548.  V1521                   Murphy
  10549.  V1600                   Happy New Year
  10550.  V1701New                Evil
  10551.  V1701New-B              Evil
  10552.  V2000                   V2000
  10553.  V2000-B                 V2000
  10554.  V2100                   V2100
  10555.  V2P1                    1260
  10556.  V2P2                    V2P2
  10557.  V2P6                    V2P6
  10558.  V2P6Z                   V2P6Z
  10559.  Vacsina                 Vacsina
  10560.  VBasic Virus            5120
  10561.  Vcomm                   Vcomm
  10562.  Vera Cruz               Ping Pong
  10563.  VFSI                    VFSI
  10564.  VGA2CGA                 AIDS
  10565.  VHP                     VHP
  10566.  VHP2                    VHP2
  10567.  VHP-348                 VHP
  10568.  VHP-353                 VHP
  10569.  VHP-367                 VHP
  10570.  VHP-435                 VHP
  10571.  VHP-623                 VHP2
  10572.  VHP-627                 VHP2
  10573.  Victor                  Victor
  10574.  Vien6                   Vienna
  10575.  Vienna                  Vienna
  10576.  Vienna C                646
  10577.  Vienna-B                Vienna
  10578.  Vienna-B 645            Vienna
  10579.  Violator                Violator
  10580.  Violator B4             Violator B4
  10581.  Violator Strain B       Violator
  10582.  Violator Strain B4      Violator B4
  10583.  VirDem                  VirDem
  10584.  VirDem 2                VirDem
  10585.  Virus-90                Virus-90
  10586.  Virus-B                 Friday The 13th COM Virus
  10587.  Virus101                Virus101
  10588.  Voronezh                Voronezh
  10589.  Voronezh B              Voronezh
  10590.  VP                      VP
  10591.  W13                     W13
  10592.  W13-A                   W13
  10593.  W13-B                   W13
  10594.  Westwood                Westwood
  10595.  Whale                   Whale
  10596.  Wisconsin               Wisconsin
  10597.  Wolfman                 Wolfman
  10598.  XA1                     Christmas Tree
  10599.  Xmas In Japan           Christmas In Japan
  10600.  Yale                    Alameda
  10601.  Yankee 2                Yankee 2
  10602.  Yankee Doodle           Yankee Doodle
  10603.  Yankee Virus            Yankee 2
  10604.  Yankee-go-Home          Yankee 2
  10605.  Yukon Overwriting       Yukon Overwriting
  10606.  Z The Whale             Whale
  10607.  Zero Bug                Zero Bug
  10608.  ZeroHunt                ZeroHunt
  10609.  
  10610. -------------------------------------------------------------------------------
  10611.                       Virus Information Summary List
  10612.                          Virus Relationship Chart
  10613.  
  10614. 512 Virus       --> 512-B       --> 512-C       --> 512-D
  10615.  
  10616. 1226            --> 1226M       --> 1226D
  10617.  
  10618. 4096            --> 4096-B      --> 4096-C
  10619.                 --> Fish        --> Whale
  10620.  
  10621. Alameda         --> Alameda-2
  10622.                 --> Golden Gate --> Golden Gate-B --> Golden Gate-C
  10623.                 --> SF Virus
  10624.  
  10625. Anti-Pascal     --> AP-529      --> AP-400      --> AP-440      --> AP-480
  10626.  
  10627.         Note: AP-480, AP-440, and AP-400 are grouped together in the listing
  10628.               as Anti-Pascal II
  10629.  
  10630. Blood           --> Blood2
  10631.  
  10632. Brain           --> Ashar
  10633.                 --> Clone
  10634.                 --> Chaos
  10635.                 --> EDV
  10636.  
  10637. Cascade/1701    --> 1701-B
  10638.                 --> 1704        --> 1704 Format
  10639.                                 --> 1704-B
  10640.                                 --> 17Y4
  10641.                                 --> Cunning
  10642.  
  10643. Datacrime       --> Datacrime-B
  10644.                 --> Datacrime II --> Datacrime IIB
  10645.  
  10646. Do-Nothing      --> Saddam
  10647.  
  10648. Fri 13th COM    --> Fri 13th-B  --> Fri 13th-C
  10649.                 --> Virus-B
  10650.  
  10651. Happy New Year  --> Happy New Year B
  10652.  
  10653. HM2           --:               --> Plastique COBOL
  10654.                 --> Plastique   --> Plastique 4.21      --> Plastique 5.21
  10655. Jerusalem B   --:                                                :
  10656.                                                                  V
  10657.                                                             Invader
  10658.  
  10659. Holland Girl    --> Holland Girl 2
  10660.  
  10661. Icelandic       --> Saratoga
  10662.                 --> Iceland II  --> Icelandic III
  10663.                                 --> Dec 24th
  10664.                 --> Mix1        --> Mix1-B
  10665.  
  10666. JoJo            --> JoJo 2
  10667.  
  10668. Kennedy         --> Tiny 163
  10669.  
  10670. Leprosy         --> Leprosy-B   --> The Plague
  10671.  
  10672. MG              --> MG-2        --> MG-3
  10673.  
  10674. Murphy-1        --> Murphy-2
  10675.  
  10676. Ohio            --> Den Zuk
  10677.  
  10678. Perfume         --> Sorry
  10679.  
  10680. Phoenix         --> PhoenixD
  10681.                 --> Evil-B      --> Evil
  10682.  
  10683. Ping Pong       --> Ping Pong-B  --> Ping Pong-C
  10684.                 --> Big Italian
  10685.                 --> Typo
  10686.                 --> Print Screen --> Print Screen-2
  10687.                 --> Ghostballs
  10688.  
  10689. Pixel           --> Amstrad     --> V-847B
  10690.                                 --> V-852
  10691.                 --> V-345       --> V-299       --> V-277
  10692.  
  10693. Polish 217      --> Polish 217 B
  10694.  
  10695. Stoned          --> Stoned-B    --> Rostov
  10696.                                 --> Sex Revolution v1.1 --> Sex Revolution v2.0
  10697.                                 --> Stoned-C
  10698.                                 --> Stoned-D
  10699.                                 --> Stoned-E
  10700.                                 --> Stoned-F
  10701.                                 --> Stoned II
  10702.  
  10703. Suriv 3.00      --> Jerusalem   --> Fu Manchu   --> Taiwan 3
  10704.                                 --> Jerusalem B --> New Jerusalem
  10705.                                                 --> Payday
  10706.                                                 --> Sunday      --> Sunday-B
  10707.                                                                 --> Sunday-C
  10708.                                                 --> Jerusalem C
  10709.                                                 --> Jerusalem D
  10710.                                                 --> Jerusalem E
  10711.                                                 --> Jerusalem F (Spanish)
  10712.                                                 --> 1720/PSQR
  10713.                                                 --> 1210/Prudents
  10714.                                                 --> Frere Jacques
  10715.                                                 --> Anarkia     --> Anarkia-B
  10716.                                                 --> Slow
  10717.                                                 --> Westwood
  10718.                                                 --> 1605
  10719.                                                 --> Park ESS
  10720.                                                 --> Skism-1
  10721.                                                 --> (also see HM2 above)
  10722.                                                 --> Discom
  10723.  
  10724. Syslock         --> Macho       --> Macho-B
  10725.                 --> Advent
  10726.                 --> Cookie
  10727.  
  10728. Tiny-198        --> Tiny-167
  10729.                     --> Tiny-160
  10730.                         --> Tiny-159
  10731.                             --> Tiny-158
  10732.                                 --> Tiny-156
  10733.                                     --> Tiny-154
  10734.                                         --> Tiny-143
  10735.                                             --> Tiny-138
  10736.                                                 --> Tiny-134
  10737.                                                     --> Tiny-133
  10738.  
  10739.         Note: The Tiny-nnn Viruses indicated above are grouped together in
  10740.               the listing as "Tiny Family".  The Tiny-163 virus is not
  10741.               related to the above group of viruses.
  10742.  
  10743. Traceback II    --> Traceback   --> Traceback-B --> Traceback-B2
  10744.                 --> Traceback II-B
  10745.  
  10746. V1024           --> Dark Avenger --> V651
  10747.                                  --> V800       --> V800M
  10748.                                  --> V2000      --> V2000-B
  10749.                                                 --> V2100
  10750.  
  10751. Vienna          --> Father Christmas
  10752.                 --> Lisbon
  10753.                 --> Ghostballs
  10754.                 --> 1260        --> V2P2        --> Casper
  10755.                                                 --> V2P6        --> V2P6Z
  10756.                 --> W13/V-534   --> W13-B/V-507
  10757.                 --> Wien (Poland)
  10758.                 --> Vien6
  10759.                 --> Vienna-B    --> Vienna-B 645
  10760.                 --> Violator    --> Violator B4
  10761.                                 --> Grither
  10762.                 --> VHP-348     --> VHP-353     --> VHP-367     --> VHP-435
  10763.                 --> VHP-623     --> VHP-627
  10764.                 --> Iraqui Warrior
  10765.  
  10766.         Note: VHP-348, VHP-353, VHP-367, and VHP-435 are listed as VHP.
  10767.               VHP-623 and VHP-627 are listed as VHP2.
  10768.  
  10769. Virus-90        --> Virus101
  10770.  
  10771.  
  10772. -------------------------------------------------------------------------------
  10773.                         Virus Information Summary List
  10774.                                Revision History
  10775.  
  10776. 14 February, 1991 - VSUM9102.ZIP
  10777.       The following virus descriptions have been updated, or new variants
  10778.       added:
  10779.             4096            - 4096-C Variant
  10780.             Aids            - Aids B Variant
  10781.             Flip            - Flip B Variant
  10782.             Liberty         - Clarificiation to entry, change to Liberty B
  10783.                               identification string for use with Scan.
  10784.                             - Liberty B Variant
  10785.             Paris           - Update to description
  10786.             Plastique       - Plastique COBOL Variant
  10787.             Polish 217      - Polish 217 B Variant
  10788.             Stoned          - rewrote entry & merged in Stoned II entry
  10789.                             - Rostov Variant
  10790.                             - Sex Revolution v1.1 Variant
  10791.                             - Sex Revolution v2.0 Variant
  10792.                             - Stoned E Variant
  10793.                             - Stoned F Variant
  10794.             USSR 1689       - Added SVC V4.00 alias
  10795.       The following new viruses have been added to the listing:
  10796.             903
  10797.             1575            - 1575 Virus
  10798.                             - 1575-B Variant
  10799.             4870 Overwriting
  10800.             Akuku
  10801.             Cookie
  10802.             Destructor V4.00
  10803.             Dir Virus
  10804.             Discom
  10805.             Grither
  10806.             Happy New Year    - Happy New Year
  10807.                               - Happy New Year B Variant
  10808.             Holland Girl 2
  10809.             Hybryd
  10810.             IKV 528
  10811.             Iraqui Warrior
  10812.             JoJo 2
  10813.             Little Pieces/1374
  10814.             MG
  10815.             MG-2              - MG-2
  10816.                               - MG-3 Variant
  10817.             Monxla B
  10818.             Nina
  10819.             Parity
  10820.             Saddam
  10821.             Sentinel
  10822.             Swedish Disaster
  10823.             Swiss 143
  10824.             The Plague
  10825.             USSR 311
  10826.             USSR 492
  10827.             Violator B4
  10828.             Yukon Overwriting
  10829.       Information for the following anti-viral products has been added
  10830.       or updated:
  10831.             Pro-Scan  - additional disinfection updates for version 2.01
  10832.             Clean-Up  - updated for version V74
  10833.             ViruScan  - updated for version V74
  10834.  
  10835. 08 January, 1991 - VSUM9101.ZIP
  10836.       The following virus descriptions have been updated, or new variants
  10837.       added:
  10838.             4096         - additional information added
  10839.             Flip         - additional information added
  10840.             Invader      - correction to Type Code
  10841.             Jerusalem B  - Skism-1 Variant
  10842.             Nomenklatura - additional damage information added
  10843.             Plastique    - additional information, activation data
  10844.             Plastique B  - additional information, activation data
  10845.             Tiny Family  - Tiny 133 Variant
  10846.       The following new viruses have been added to the listing:
  10847.             Attention!
  10848.             Best Wishes - Best Wishes
  10849.                         - Best Wishes B
  10850.             Bloody!
  10851.             F-Word Virus
  10852.             Holocaust
  10853.             Hymn
  10854.             Jeff
  10855.             Kemerovo
  10856.             Lozinsky
  10857.             MGTU
  10858.             MusicBug
  10859.             Polish 583
  10860.             Red Diavolyata
  10861.             Stone`90/Polish 961
  10862.             Sverdlov
  10863.             USSR 516
  10864.             USSR 600
  10865.             USSR 707
  10866.             USSR 711
  10867.             USSR 948
  10868.             USSR 1049
  10869.             USSR 1689
  10870.             USSR 2144
  10871.             Voronezh    - Voronezh
  10872.                         - Voronezh B
  10873.             ZeroHunt
  10874.       Information for the following anti-viral products has been added or
  10875.       updated:
  10876.             Clean-Up - updated for version V72
  10877.             Pro-Scan - updated for version 2.01
  10878.             ViruScan - updated for version V72
  10879.  
  10880. 03 December, 1990 - VSUM9013.ZIP (Not publicly distributed.)
  10881.       Pro-Scan Version 2.0 has not been added to the listing.
  10882.  
  10883. 02 December, 1990 - VSUM9012.ZIP
  10884.       The following virus descriptions have been updated, or new variants
  10885.       added:
  10886.             Burger      - 505 Variant
  10887.                         - 509 Variant
  10888.                         - 541 Variant
  10889.                         - CIA Variant
  10890.             Christmas   - Tannenbaum alias added
  10891.             Kennedy     - 333 alias added
  10892.             Leprosy     - News Flash alias added
  10893.             Liberty     - Liberty-B Variant
  10894.             Slow        - Updated for file length increases,
  10895.                           Slowdown alias added
  10896.             Wisconsin   - Updated for file date/time change
  10897.             VirDem      - VirDem 2 Variant
  10898.             Virus-90    - Added description submitted by P. Toulme
  10899.             Virus101    - Added description submitted by P. Toulme
  10900.             Yankee 2    - Yankee-go-Home alias added
  10901.                         - 1624 variant added
  10902.       The following new viruses have been added to the listing:
  10903.             646
  10904.             Carioca
  10905.             DataLock
  10906.             Dot Killer
  10907.             Father Christmas
  10908.             Groen Links
  10909.             Keypress
  10910.             Mirror
  10911.             Monxla
  10912.             Polimer
  10913.             Polish 217
  10914.             Polish 529
  10915.             Spyer
  10916.             Taiwan 4/2576
  10917.             Turbo 448
  10918.             Turbo Kukac
  10919.             USSR
  10920.       Information for the following anti-viral products/programs have been
  10921.       added/updated with this release:
  10922.             Clean-Up    - McAfee Associates' Clean-Up Disinfector, Vers V71
  10923.             Pro-Scan    - McAfee Associates' Pro-Scan Anti-Viral, Vers. 2.0
  10924.             VirHunt     - Digital Dispatch, Inc.'s VirHunt Anti-Viral, Vers 2.0
  10925.                           Note: boot sector disinfection not tested
  10926.             ViruScan    - McAfee Associates' ViruScan Detector, Vers V71
  10927.       Removed the following anti-viral products for the reason indicated:
  10928.             M-1704      - replaced by McAfee Associates' Clean-Up
  10929.             M-1704C     - replaced by McAfee Associates' Clean-Up
  10930.             M-DAV       - replaced by McAfee Associates' Clean-Up
  10931.             M-JRUSLM    - replaced by McAfee Associates' Clean-Up
  10932.             M-Vienna    - replaced by McAfee Associates' Clean-Up
  10933.  
  10934. 02 November, 1990 - VSUM9011.ZIP
  10935.       The following virus descriptions have been updated, or new variants
  10936.       added:
  10937.             Amstrad     - V852 Variant
  10938.             Anthrax     - Updated information
  10939.             Jerusalem B - Park ESS Variant
  10940.             Tiny Family - Tiny 134 Variant
  10941.                         - Tiny 138 Variant
  10942.                         - Tiny 143 Variant
  10943.                         - Tiny 154 Variant
  10944.                         - Tiny 156 Variant
  10945.             V2100       - Updated information
  10946.       The following new viruses have been added to the listing:
  10947.             Guppy
  10948.             Proud/V1302
  10949.             VFSI
  10950.  
  10951. 05 October, 1990 - VSUM9010.ZIP
  10952.       [Note: There was no VSUM9009 release.]
  10953.       The following virus descriptions have been updated, or new variants
  10954.       added:
  10955.             512         - Clarification of why file damage may occur
  10956.             1008        - Origin information, Suomi alias
  10957.             4096        - FroDo alias
  10958.             Anti-Pascal - correction to indicated text string
  10959.             Cascade     - 17Y4 Variant
  10960.             Dark Avenger- Dark Avenger-B Variant
  10961.             EDV         - Added Cursy alias and activation information
  10962.             Evil        - previously in VSUM9008 as V1701New and V1701New-B
  10963.             Flash       - Symptom and activation information
  10964.             FORM-Virus  - Activation information
  10965.             Jerusalem B - Jerusalem DC Variant
  10966.             Leprosy     - Leprosy-B Variant
  10967.             Paris       - rename of virus listed as TCC in VSUM9008
  10968.             Syslock     - Advent Variant
  10969.             Taiwan      - Taiwan-B Variant
  10970.             Tiny Virus  - Origin information
  10971.       The following new viruses have been added to the listing:
  10972.             1605
  10973.             Black Monday
  10974.             Blood       - Blood Variant
  10975.                         - Blood2 Variant
  10976.             Burger
  10977.             Casper
  10978.             Christmas In Japan
  10979.             Invader
  10980.             Kamikazi
  10981.             Nomenklatura
  10982.             Number One
  10983.             Scott's Valley
  10984.             Stoned II
  10985.             SVir        - SVir-A Variant
  10986.                         - SVir-B Variant
  10987.             Westwood
  10988.             Whale
  10989.             V2P2
  10990.             V2P6
  10991.             V2P6Z
  10992.             Violator
  10993.             Wisconsin
  10994.       The following entries in the cross-reference have been corrected:
  10995.             1226D       - incorrectly pointed to V1226D instead of 1226D
  10996.             1226M       - incorrectly pointed to V1226D instead of 1226D
  10997.             Brain       - missing from VSUM9008 cross-reference
  10998.       Information for the following anti-viral products/programs have been
  10999.       added/updated with this release:
  11000.             CleanUp     - McAfee Associates' CleanUp Disinfector, Version V67
  11001.             AVTK        - Dr. Solomon's Anti-Viral Toolkit, Version 3.5
  11002.             F-Prot      - Fridrik Skulason's F-Prot, Version 1.12
  11003.             VirexPC     - MicroCom's Virex PC, Version 1.10B
  11004.             ViruScan    - McAfee Associates' ViruScan Detector, Version V67
  11005.             [Note: For ViruScan, as of version V67, any viruses which now
  11006.             require the /X command line parameter to be used have been
  11007.             indicated under Detection Method.]
  11008.       The following viruses have not been added to the listing at this time
  11009.       for the reason indicated:
  11010.             Big Italian - No Sample Available
  11011.             TP43Vir     - Sample does not replicate.
  11012.             Doom2       - Unable to get samples to replicate.
  11013.  
  11014. 10 August, 1990 - VSUM9008.ZIP
  11015.       The following virus descriptions have been updated, or new variants
  11016.       added:
  11017.             1720        - Activation information added
  11018.             Anti-Pascal - Anti-Pascal 529/AP-529 Variant
  11019.             Sunday      - Sunday-B Variant
  11020.                         - Sunday-C Variant
  11021.             Tiny Virus  - previously in VSUM9007 as 163 COM Virus
  11022.             Traceback   - Traceback-B Variant
  11023.                         - Traceback-B2 Variant
  11024.             Traceback II
  11025.                         - Traceback II-B Variant
  11026.             V800        - V800M Variant
  11027.             Vienna      - Vienna-B 645 Variant
  11028.       The following new viruses have been added to the listing:
  11029.             382 Recovery Virus
  11030.             1226        - 1226 Virus
  11031.             1226D       - 1226D Variant
  11032.                         - 1226M Variant
  11033.             1253/V-1
  11034.             AirCop
  11035.             Anthrax
  11036.             Anti-Pascal II
  11037.                         - Anti-Pascal 400/AP-400
  11038.                         - Anti-Pascal 440/AP-440
  11039.                         - Anti-Pascal 480/AP-480
  11040.             Fellowship
  11041.             Flip
  11042.             Leprosy
  11043.             Mardi Bros
  11044.             Ontario
  11045.             Phoenix/P1
  11046.             PhoenixD/P1
  11047.             Plastique   - HM2
  11048.                         - Plastique
  11049.                         - Plastique 4.51
  11050.             Plastique-B - Plastique 5.21
  11051.             RPVS/453    - RPVS
  11052.                         - RPVS-B Variant
  11053.             TCC
  11054.             Tiny Family - Tiny 158 Virus
  11055.                         - Tiny 159 Virus
  11056.                         - Tiny 160 Virus
  11057.                         - Tiny 167 Virus
  11058.                         - Tiny 198 Virus
  11059.             V1701New/P1 - V1701New
  11060.                         - V1701New-B (earlier version)
  11061.             V2100
  11062.             Wolfman
  11063.       Information on the following anti-viral products was updated or added
  11064.       to this release:
  11065.             CleanUp  - Version V66
  11066.             Pro-Scan - Version 1.4
  11067.             VirexPC  - Version 1.1
  11068.             ViruScan - Version V66
  11069.       The following viruses have not been included in the listing at this
  11070.       time, for the reason indicated:
  11071.             Advent      - No Sample Available
  11072.             Big Italian - No Sample Available
  11073.             Stoned II   - No Sample Available
  11074.  
  11075. 15 July, 1990 - VSUM9007.ZIP
  11076.       Added Virus Relationship Chart section to document, as well as new
  11077.       data field "V Status" to all entries (see introduction and format
  11078.       information for description).
  11079.       The following viruses have been updated, or new variants added:
  11080.             1554
  11081.             Amstrad
  11082.             Cascade     - Cunning Variant
  11083.             Disk Killer
  11084.             Ghostballs  - combined Ghost COM and Ghost Boot
  11085.             Jerusalem B - Puerto Variant
  11086.             Kennedy
  11087.             Lehigh      - Lehigh-B Variant
  11088.             Vienna      - VHP-627 Variant
  11089.                         - Vien6 Variant
  11090.             W13
  11091.       The following new viruses were added to the listing:
  11092.             1008 Virus
  11093.             1381 Virus
  11094.             Ambulance Car
  11095.             Anti-Pascal Virus
  11096.             Armagedon
  11097.             Flash
  11098.             FORM-Virus
  11099.             Joshi
  11100.             July 13th
  11101.             Microbes
  11102.             Print Screen
  11103.             Print Screen - Print Screen-2 Variant
  11104.             Sorry
  11105.             Taiwan 3
  11106.             V651/Eddie 3
  11107.             V1024/Dark Avenger 3
  11108.             VHP         - VHP-348 Variant
  11109.                         - VHP-353 Variant
  11110.                         - VHP-367 Variant
  11111.                         - VHP-435 Variant
  11112.             VHP2        - VHP-623 Variant
  11113.                         - VHP-627 Variant
  11114.  
  11115. 15 June, 1990 - VSUM9006.ZIP
  11116.       Many viruses had their descriptions updated, the ones listed below
  11117.       receiving updates for variants or major changes:
  11118.             163 COM Virus
  11119.             512         - 512-B Variant
  11120.                         - 512-C Variant
  11121.                         - 512-D Variant
  11122.             1554 Virus
  11123.             4096        - 4096-B Variant
  11124.             Amstrad     - Pixel/V-345 Variant
  11125.                         - V-277 Variant
  11126.                         - V-299 Variant
  11127.                         - V-847 Variant
  11128.                         - V-847B Variant
  11129.             Jerusalem B - A-204 Variant
  11130.                         - Anarkia Variant
  11131.                         - Anarkia-B Variant
  11132.                         - Mendoza Variant
  11133.             Ping Pong-B - Ping Pong-C Variant
  11134.             Solano 2000 - Dyslexia 2.01 Variant
  11135.             V2000       - V2000-B/Die Young Variant
  11136.             Vacsina     - TP04VIR Variant
  11137.                         - TP05VIR Variant
  11138.                         - TP06VIR Variant
  11139.                         - TP16VIR Variant
  11140.                         - TP23VIR Variant
  11141.                         - TP24VIR Variant
  11142.                         - TP25VIR Variant
  11143.             Yankee Doodle
  11144.                         - TP33VIR Variant
  11145.                         - TP34VIR Variant
  11146.                         - TP38VIR Variant
  11147.                         - TP41VIR Variant
  11148.                         - TP42VIR Variant
  11149.                         - TP44VIR Variant
  11150.                         - TP45VIR Variant
  11151.                         - TP46VIR Variant
  11152.             Vienna      - VHP-435
  11153.                         - VHP-623
  11154.       The Vienna-B variant has been moved under the Vienna entry.
  11155.       The following new viruses were added to the listing:
  11156.             5120
  11157.             Eight Tunes
  11158.             Fish Virus
  11159.             Frere Jacques
  11160.             JoJo
  11161.             Liberty
  11162.             Murphy       - 2 variants (Murphy-1 and Murphy-2)
  11163.             Shake Virus
  11164.             Slow
  11165.             Subliminal 1.10
  11166.             V800
  11167.             Victor
  11168.             VirDem
  11169.             VP
  11170.             Yankee 2
  11171.  
  11172. 4 May, 1990 - VSUM9005.ZIP (Not publicly distributed.)
  11173.       Added listings for Discovered, Symptoms, Origin, Subdivided 
  11174.       memory-resident classes, Aligned data entry blocks, placed files
  11175.       in ASCII order, placed revision history in descending order.
  11176.       Information on the following virii was updated:
  11177.             1168/Datacrime
  11178.             1280/Datacrime
  11179.             Kennedy
  11180.  
  11181. 18 April, 1990 - VSUM9004.ZIP
  11182.       Information on the following viruses was updated:
  11183.             Friday The 13th Original COM Virus
  11184.             Halloechen
  11185.             Jerusalem
  11186.             Jerusalem B
  11187.             Stoned
  11188.             Sunday
  11189.             VComm
  11190.             4096
  11191.       The 1559 virus has been renamed to the 1554 virus in order to
  11192.       accurately reflect the virus's effective length.
  11193.       The following new viruses were added to the listing:
  11194.             AIDS II
  11195.             Anarkia (see Jerusalem B)
  11196.             Christmas Virus
  11197.             Itavir
  11198.             June 16TH
  11199.             Kennedy
  11200.             Korea
  11201.             Saturday The 14th
  11202.             Solano 2000
  11203.             Spanish Jerusalem B (see Jerusalem B)
  11204.             V2000
  11205.             1210
  11206.             1392
  11207.             1720
  11208.        McAfee Associates' PRO-SCAN commercial anti-viral program, has
  11209.        been added, as well as the information for IBM's VirScan program
  11210.        updated to reflect IBM's March 1990 program release.
  11211.  
  11212. 22 February, 1990 - Not publicly distributed.
  11213.       Information on the following viruses was updated:
  11214.             Disk Killer
  11215.       The following new viruses were added to the listing:
  11216.             EDV
  11217.             512
  11218.             1559
  11219.  
  11220. 18 February, 1990 - VSUM9003.ZIP
  11221.      Change to Copyright notice to reflect author's full name.
  11222.      Information on the following viruses has been updated:
  11223.             Taiwan
  11224.             4096
  11225.  
  11226. 04 February, 1990 - VSUM9002.ZIP
  11227.      Second release of listing, which now includes updated information
  11228.      for the following viruses:
  11229.             Alabama
  11230.             Chaos
  11231.             Den Zuk
  11232.             Datacrime II, Datacrime IIB
  11233.             Do-Nothing
  11234.             Icelandic, Icelandic-II
  11235.             Ohio
  11236.             Saratoga
  11237.             Stoned
  11238.             Swap
  11239.             SysLock
  11240.             Traceback, Traceback II (was 2930 in previous release)
  11241.             Typo Boot
  11242.      The following new Ms-Dos computer viruses were added to the
  11243.      listing:
  11244.             Halloechen
  11245.             Icelandic-III
  11246.             Joker
  11247.             Perfume
  11248.             Vcomm
  11249.             Virus101
  11250.             W13
  11251.             1260
  11252.  
  11253. 15 January, 1990 - VSUM9001.ZIP
  11254.      First release of listing, which contained 52 of 61 known Ms-Dos
  11255.      computer viruses.  Of the 9 known viruses which were not
  11256.      completed, they contained very basic information, though no
  11257.      detailed description, those viruses were:
  11258.             Chaos                Swap
  11259.             Icelandic            Taiwan
  11260.             Icelandic-II         Typo Boot
  11261.             Ohio                 2930
  11262.             Saratoga
  11263.  
  11264.  
  11265.  
  11266.