home *** CD-ROM | disk | FTP | other *** search
/ Shareware Overload / ShartewareOverload.cdr / windows / fprot114.zip / FPROT114.EXE / lha / FILVIR-1.TXT < prev    next >
Text File  |  1991-01-21  |  39KB  |  998 lines

  1.        A description of PC viruses and their symptoms - Jan. '91
  2.         
  3. This document lists the file viruses recognized by F-PROT at the time of
  4. writing.  Since new viruses are continually appearing, this document will
  5. never be completely up to date.  A short description of the viruses follows,
  6. but it is far from complete.
  7.  
  8. The .EXE and .COM infecting viruses known by F-PROT are:
  9.  
  10.                   217
  11.                   405
  12.                   417
  13.                   440
  14.                   492
  15.                   512 --> Number of the beast
  16.                   516
  17.                   600 --> Voronezh
  18.                   696
  19.                   699
  20.                   707
  21.                   800
  22.                   948
  23.                  1024 --> Diamond
  24.                  1049 --> Yankee
  25.                  1067 --> Ambulance
  26.                  1075
  27.                  1226 --> Phoenix
  28.                  1260
  29.                  1392 --> Amoeba
  30.                  1600
  31.                  2144
  32.                  2480
  33.                  2930 --> Traceback
  34.                  4096 --> Frodo
  35.                  5120
  36.                  8-tunes
  37.                  A-204 --> Jerusalem
  38.                  Advent --> Syslock
  39.                  Agiplan
  40.                  AIDS
  41.                  AIDS-2
  42.                  Alabama
  43.                  Ambulance
  44.                  Amoeba
  45.                  Amstrad
  46.                  Anarkia --> Jerusalem
  47.                  AntiCAD --> Plastique
  48.                  AntiPascal
  49.                  AntiPascal-2
  50.                  April 1st
  51.                  Armagedon
  52.                  Attention
  53.                  Bebe
  54.                  Best Wishes
  55.                  Black Monday
  56.                  Blood
  57.                  Bulgarian Tiny
  58.                  Burger
  59.                  Cancer --> Amstrad
  60.                  Carioca
  61.                  Casper --> 1260
  62.                  Cascade
  63.                  Century --> Jerusalem
  64.                  Choinka --> Vienna
  65.                  Christmas in Japan
  66.                  Cookie --> Syslock
  67.                  Dark Avenger --> Eddie
  68.                  DataCrime
  69.                  DataCrime II
  70.                  Datalock
  71.                  dBase
  72.                  December 24th
  73.                  Destructor
  74.                  Devil's Dance
  75.                  Diamond
  76.                  DIR
  77.                  Do-Nothing --> Stupid
  78.                  Doteater
  79.                  Durban
  80.                  Dyslexia
  81.                  Eddie
  82.                  Eddie II
  83.                  Evil --> Phoenix
  84.                  Father Christmas --> Vienna
  85.                  Fellowship
  86.                  Frere --> Jerusalem
  87.                  Fish 6 --> Frodo
  88.                  Flash
  89.                  Flip 
  90.                  Frodo
  91.                  Fuck You --> 417
  92.                  Fumble
  93.                  Fu Manchu
  94.                  Ghost
  95.                  Groen Links --> Jerusalem
  96.                  Guppy
  97.                  Hallöchen
  98.                  Happy --> VFSI
  99.                  Holland Girl --> Sylvia
  100.                  Hymn --> Eddie
  101.                  Icelandic
  102.                  Icelandic II
  103.                  IDF --> Frodo
  104.                  Internal
  105.                  Invader --> Plastique
  106.                  Itavir
  107.                  Jerusalem
  108.                  Jo-Jo
  109.                  Joker
  110.                  Joker-01
  111.                  July 13th
  112.                  Kemerovo
  113.                  Kennedy
  114.                  Lehigh
  115.                  Leprosy
  116.                  Liberty
  117.                  Lisbon --> Vienna
  118.                  Lozinsky
  119.                  Macho --> Syslock
  120.                  Mendoza --> Jerusalem
  121.                  MG
  122.                  MG-3
  123.                  MGTU
  124.                  Minnow --> Zero Hunt
  125.                  MIX1
  126.                  MLTI
  127.                  Monxla --> Vienna
  128.                  Mother Fish -> Whale
  129.                  Murphy
  130.                  Mystic -> Liberty
  131.                  New Jerusalem --> Jerusalem
  132.                  New Vienna --> Vienna
  133.                  Nina
  134.                  Nomenklatura
  135.                  Number of the Beast
  136.                  Old Yankee
  137.                  Oropax
  138.                  Palette --> Zero Bug
  139.                  Parity
  140.                  Payday --> Jerusalem
  141.                  Perfume
  142.                  Phoenix
  143.                  Piter
  144.                  Pixel --> Amstrad
  145.                  Plastique
  146.                  Polimer
  147.                  Pretoria
  148.                  Proud
  149.                  Prudents
  150.                  PSQR (1720) --> Jerusalem
  151.                  Puerto --> Jerusalem
  152.                  Saddam --> Stupid
  153.                  Saratoga --> Icelandic
  154.                  Scottish Murphy --> Superhack
  155.                  Scott's Valley --> Slow
  156.                  Shake
  157.                  Slow
  158.                  Solano --> Dyslexia
  159.                  South African "Friday 13."
  160.                  Stupid
  161.                  Sunday --> Jerusalem
  162.                  Suomi
  163.                  Superhack
  164.                  SVC
  165.                  Sverdlov
  166.                  Svir
  167.                  Sylvia
  168.                  SysLock
  169.                  Taiwan
  170.                  Tenbyte
  171.                  Time --> Vienna
  172.                  Tiny --> Kennedy
  173.                  Tiny Family --> Bulgarian Tiny
  174.                  Traceback
  175.                  TUQ
  176.                  Turbo Kukac
  177.          V-1 --> see BOOTVIR.TXT for description
  178.                  V2P2 --> 1260
  179.                  V2P6 --> 1260
  180.                  Vacsina 
  181.                  Vcomm
  182.                  Victor
  183.                  Vienna
  184.                  Virdem
  185.                  Virus-90
  186.                  Virus-101 --> Virus-90
  187.                  Virus-B --> South African
  188.                  Voronezh
  189.                  VP
  190.                  W13
  191.                  Westwood --> Jerusalem
  192.                  Whale
  193.                  Wisconsin
  194.                  XA1
  195.                  Yankee Doodle --> Vacsina
  196.                  Zero Bug 
  197.                  Zero Hunt
  198.  
  199. In addition there may be some recently discovered viruses, which have not
  200. yet become available to the author.
  201.  
  202. It must be noted here, that F-PROT will provide some protection against
  203. viruses not yet written.  The programs in the package will not, however,
  204. be able to remove unknown viruses, unless they are minor variants of
  205. known viruses.
  206.  
  207. Now, let's have a look at the viruses mentioned above.  In some cases
  208. the descriptions are very short, perhaps only a couple of lines.  This
  209. indicates a new virus, which has not yet been fully dissected.  In those
  210. cases the effects of the virus may be only partially known.  The
  211. description will be expanded as better information becomes available.
  212.  
  213.  
  214.                                  217
  215.  
  216. This is a small, not very interesting virus from Poland, which only
  217. infects .COM files.
  218.  
  219.                     
  220.                                  405
  221.  
  222. Unlike most other program viruses, this one will not increase the length
  223. of infected programs (unless they are shorter than 405 bytes).  It will
  224. overwrite the first 405 bytes in the files it infects.  As this primitive
  225. method causes the destruction of many programs, the virus is easily found,
  226. and therefore not a serious threat.  The "405" virus will only infect .COM
  227. files, but it it unable to recognize a file already infected.
  228.  
  229.  
  230.                                   417
  231.  
  232. This is a simple 417 byte virus from Eastern Europe.  The only text
  233. message inside the virus are the words "Fuck You".  The virus has not
  234. been fully analyzed yet.
  235.  
  236.  
  237.                                   440
  238.  
  239. A 440 byte, direct-action .COM infecting virus. Awaiting analysis.
  240.  
  241.  
  242.                                   492
  243.  
  244. This virus from eastern Europe would not be remarkable, if it was not for
  245. the fact that it will not work on the 8088 or 8086 processor.  The reason
  246. is the use of an instruction (PUSH-immediate) which only exist of
  247. later-generation processors.  The virus only infects COM files.
  248.  
  249.  
  250.                                   516
  251.  
  252. This simple, Russian COM virus is interesting in one way - it is the
  253. first virus which does not modify the beginning of the programs it
  254. infects.  The virus code is located at the end of infected programs, but
  255. the jump to the virus is inside the program, not at the beginning, as is
  256. usual.
  257.  
  258.  
  259.                                   696
  260.  
  261. This is a simple direct-action Russian COM virus, which has not been
  262. analysed yet.
  263.  
  264.  
  265.                                   699
  266.  
  267. This virus adds 699 bytes to the files it infects, but in addition it may
  268. add several "garbage" bytes.  As a result disinfected files will often not
  269. be of exactly the same length as the original file.
  270.  
  271.  
  272.                                   707
  273.  
  274. This a Russian, 707 byte COM virus, which is awaiting analysis.
  275.  
  276.  
  277.                                   948
  278.  
  279. This Russian virus seems related to the Yankee virus, or at least it is
  280. identified as "Yankee" by F-DRIVER, although F-FCHK will identify and
  281. remove it correctly.  It infects EXE and COM files, including
  282. COMMAND.COM, which is infected by overwriting, and should be replaced if
  283. infected.  
  284.  
  285.  
  286.                                 1075
  287.  
  288. This Russian virus does not seem to work on the 8088 IBM-PC I use for testing
  289. viruses - infected programs simply hang the machine.  The virus seems to
  290. be able to infect EXE and COM files, but has not been analysed yet.
  291.  
  292.  
  293.                                  1260
  294.  
  295. This virus is based on the Vienna virus, but the author, Mark Washburn,
  296. has made considerable modifications to it.  The most significant change is
  297. that the virus is now encrypted.  As the name indicates, the virus adds
  298. 1260 bytes to the files it infects.  The first 39 bytes contain a simple
  299. decryption routine, similar to the one used by the Cascade virus.  There
  300. is one important difference, however.  A variable number of short (1- or
  301. 2-byte) instructions are added between the decoding instructions.  The
  302. extra instructions do not affect the operation of the virus - they are
  303. only placed there in an attempt to prevent virus scanners from using
  304. identification strings.  This makes it a little harder to detect the
  305. virus, but F-FCHK is nevertheless able to do it.  Another variant of the
  306. virus exists.  It is named Casper because of the following text which is
  307. found inside the virus.
  308.  
  309.         Hi! I'm Casper The Virus, And On April The 1st I'm Gonna 
  310.         Fuck Up Your Hard Disk REAL BAD! In Fact It Might Just 
  311.         Be Impossible To Recover! How's That Grab Ya! <GRIN>
  312.  
  313. The virus will indeed activate on April 1st and try to format the boot
  314. sector, with incorrect parameters.  The code seems to contain an error,
  315. though.
  316.  
  317. The author of the 1260 virus, Mark Washburn, has also written and
  318. distributed the V2P2 virus, which is somewhat longer than 1260 virus.
  319.  
  320. His last virus, V2P6 is still longer, and uses a much more complex
  321. self-modifying encryption method.  F-FCHK will detect the virus, but can
  322. not remove it.  If your system ever gets infected by this virus, I
  323. suggest you contact the author and demand a disinfection program from
  324. him. His address is:
  325.  
  326.             Mark Washburn
  327.             4656 Polk Street NE
  328.             Coloumbia Heights, MN 55421
  329.             USA
  330.  
  331.  
  332.                                   1600
  333.  
  334. According to reports from Bulgaria, the author of this virus is the same
  335. as the one who wrote the Nina virus, and inside the 1600 virus the
  336. following message can be found:
  337.  
  338.         Dear Nina, you make me write this virus; Happy new year!
  339.  
  340. The 1600 virus infects .EXE and .COM files, increasing their length by
  341. 1600 bytes, but COMMAND.COM is overwritten.  At least some versions of
  342. COMMAND.COM will not work if infected, and infected COMMAND.COM files
  343. should be replaced, not disinfected.
  344.  
  345.  
  346.                                  2144
  347.  
  348. This Russian virus appears to be related to the Voronezh virus - perhaps
  349. having the same author. It is an encrypted COM and EXE infector, which
  350. has not been fully analyzed yet, but is reported to have a similar effect
  351. as the Sverdlov virus.
  352.  
  353.  
  354.                                   2480
  355.  
  356. This virus is not a serious threat on most systems, as it only spreads if
  357. the year is set to 1988.  It was found in Finland, and has not yet been
  358. reported elsewhere.  It only infects .COM files, and as the name
  359. indicates, it is 2480 bytes long.
  360.  
  361.                                     
  362.                                     5120
  363.  
  364. This is one of the largest viruses known, 5120 bytes.  It will infect
  365. both .COM and .EXE files, selecting one file of each type to infect,
  366. when an infected program is run.  Parts of the virus seem to have been
  367. written in a high-level language, probably compiled BASIC, but the
  368. initialization code is written in assembly language.
  369.  
  370.  
  371.                                      800
  372.  
  373. One of the Bulgarian viruses - 800 bytes long.  It bears some resemblance
  374. to the Dark Avenger.  It seems to overwrite directories, but has not been
  375. fully dissected yet. 
  376.  
  377.  
  378.                                    8-tunes
  379.  
  380. Just as most other "music" viruses, this one is from Germany. It infects
  381. .COM files as well as .EXE files.  When it activates it will play one out
  382. of 8 different tunes.  The length of the virus code is 1971 bytes.
  383.  
  384.  
  385.                                      Agiplan
  386.  
  387. This virus was first reported in the German AGIPLAN company, put then it
  388. disappeared for nearly two years, until a sample appeared in South
  389. Africa.  Structurally the virus is similar to the Zero Bug virus, as both
  390. add 1536 bytes to the beginning of the programs they infect.  The virus
  391. will not have any serious effects until it has been active on an infected
  392. machine for several months, but then it will start corrupting writes.
  393.  
  394.  
  395.                                    AIDS
  396.  
  397. This is a long virus, over 12K, written in Pascal, which overwrites the
  398. files it infects.  It is therefore easily detected, and not a serious
  399. threat.
  400.  
  401.                    AIDS-2
  402.  
  403. This is a "companion" virus, in the form of a .COM file, which will
  404. locate a .EXE file and create a corresponding .COM file, exploiting the
  405. fact that DOS will first execute the .COM file, containing the virus.
  406. The virus will then later execute the .EXE file.
  407.  
  408.  
  409.                                      Alabama
  410.  
  411. This virus was first reported in Israel, but a text string inside it says:
  412.  
  413.     SOFTWARE COPIES PROHIBITED BY INTERNATIONAL LAW..............
  414.     Box 1055 Tuscambia ALABAMA USA.
  415.  
  416. This message will also appear on the screen in a box on the screen one
  417. hour after an infected program is run.
  418.  
  419. Like a few other viruses this one cannot be removed from memory by
  420. pressing Ctrl-Alt-Del.  It will simply fake a "reboot" and remain in RAM.
  421.  
  422. Alabama will only infect .EXE files, increasing their size by 1560 bytes.
  423.  
  424. Unlike most other resident viruses, it will not automatically infect
  425. every new program executed.  When a program is run, Alabama will instead
  426. search for some other program to infect - probably so the program being
  427. executed will get the blame.  It will only be infected if no uninfected 
  428. file is found in the current directory.
  429.  
  430. Every Friday the virus will do something odd.  It searches for a file to
  431. infect as described above, and executes it instead of the file the user was
  432. planning to execute.  A bit weird ...!
  433.  
  434. One variant of this virus, Alabama-B is also known.  It has been
  435. distributed in the form of a modified SDIR.COM file, but normally Alabama
  436. will not infect .COM files.
  437.  
  438.  
  439.                                  Ambulance
  440.  
  441. As the name indicates, the ambulance virus displays an ambulance on the
  442. screen.  It is a 796 byte .COM infecting virus.  A related virus, 1067
  443. byte long is also known, but it has not been analyzed yet.
  444.  
  445.  
  446.                                    Amoeba
  447.  
  448. This is a 1392 byte .EXE and .COM infecting virus, but little is yet
  449. known about it.  It overwrites the first 1089 bytes of .COM files, placing
  450. the original code at the end and then it appends another 303 bytes.
  451. The name of the virus is derived from the following text found inside it.
  452.  
  453.                     SMA KHETAPUNK - Nouvel Band A.M.O.E.B.A
  454.  
  455. The virus was first reported in Indonesia.
  456.  
  457.  
  458.                                 Amstrad/Pixel
  459.  
  460. This virus is rather interesting.  It is a direct-action virus, that will add
  461. 847 bytes to the front of any .COM file it finds in the current directory.
  462. The virus code is only around 334 bytes, which made it for a while one of the
  463. shortest PC virus known.  The rest contains zeros and an advertisement
  464. for Amstrad computers which is occasionally displayed.  Until the virus
  465. reaches the 5th generation, no effects are visible, but in generation 5
  466. or later there is a 50% chance that the message will appear.  In a
  467. variant of the virus the message is different:
  468.  
  469.         En tu PC hay un virus RV1, y ésta es su quinta generación.
  470.  
  471. It has been reported that this virus was also published in a Greek magazine
  472. named "Pixel" in the form of a BASIC program that would create an infected
  473. program when run. This program contained a different message:
  474.  
  475.      "Program sick error: Call doctor or buy PIXEL for cure description"
  476.  
  477. A disinfection program, written by the virus author was then published in the
  478. next issue of Pixel.
  479.  
  480. Five other variants of this virus are now known, all from Bulgaria.  The
  481. major difference is in the length - 852, 740, 345, 299 and 277 bytes.  The
  482. 740 byte variant is also known as 'Cancer'.  It seems that some virus
  483. writers there are competing with each other to create the shortest
  484. possible version of the virus.  The shortest variant, with a length of 277
  485. displays a different message, "PARITY ERROR", simulating a hardware
  486. failure.
  487.  
  488.  
  489.                               AntiPascal
  490.  
  491. Two viruses, probably from Bulgaria, 605 and 529 byt long, designed to
  492. corrupt .PAS and .BAK files.  They are said to have been written as a
  493. revenge against a former employer of the virus author.   The viruses are
  494. added to the front of infected programs.
  495.  
  496.  
  497.                               AntiPascal-2
  498.  
  499. A group of three viruses, 400, 440 and 480 bytes long, which are similar
  500. to the AntiPascal viruses, but somewhat different structurally - for
  501. example they add the virus code to the end of the programs they infect,
  502. rather than the beginning.
  503.  
  504.  
  505.                                 April 1.
  506.  
  507. Here we actually have not one virus, but two different viruses, probably
  508. written by the same author, somewhere in Israel.  One of them infects .EXE
  509. files, the other .COM files.  The two viruses have the same effect, however.
  510. On April 1st an infected computer will display the following message:
  511.  
  512.                  APRIL 1ST HA HA HA YOU HAVE A VIRUS.
  513.  
  514. The .COM virus is 897 bytes long, but the .EXE virus is a bit longer,
  515. 1488 bytes.
  516.  
  517. Those two viruses were later combined into one, called SURIV 3, which
  518. evolved into the Jerusalem virus.
  519.  
  520.  
  521.                                Armagedon
  522.  
  523. This virus originated in Greece.  It is 1079 byte long, infects .COM files, 
  524. other than COMMAND.COM, by adding itself in front of the original program.
  525. This virus has an interesting effect if a Hayes compatible modem is
  526. installed in the computer, including dialing the number 081-141.  This is
  527. the number of the "speaking clock" on the island of Crete.
  528.  
  529.  
  530.                               Attention
  531.  
  532. This 394 byte Russian virus gets its name from the string "ATTENTION"
  533. which is written near the beginning of infected files.  Like most of the
  534. other recent Eastern Europe viruses it has not been analyzed yet.
  535.  
  536.  
  537.                                  Bebe
  538.  
  539. This Russian virus contains the following pieces of text:
  540.  
  541.      VIRUS!      Skagi "bebe"    Fig Tebe !
  542.  
  543. A translation is not yet available.   This is a 1004 byte virus, which
  544. only infects COM files.
  545.  
  546.  
  547.                               Best Wishes
  548.  
  549. A 1024 byte .COM infecting virus, containing the text
  550.  
  551.                   This programm ... With Best Wishes!
  552.  
  553. The virus has not been analyzed yet, but many programs, including
  554. COMMAND.COM, will not work properly when infected.
  555.  
  556.  
  557.                               Black Monday
  558.  
  559. The name of this virus is derived from a text string found inside it:
  560.  
  561.                      Black Monday 2/3/90 KV KL MAL
  562.  
  563. This is a 1055 byte virus, which will infect .EXE and .COM files.  It is
  564. not possible to restore infected .EXE files, as the virus may overwrite
  565. some bytes at the end of the file.
  566.  
  567.  
  568.                                 Blood
  569.  
  570. A very simple 418 byte non-resident virus from Natal in South-Africa.  It
  571. was written by a student, who claims to have no knowledge of how it
  572. "escaped". This virus, just like Kennedy, will only infect .COM files
  573. starting with a JMP statement (E9).  Infected programs may occasionally
  574. display the following message when they are executed.
  575.  
  576.                   File infected by BLOOD VIRUS version 1.20
  577.  
  578. Reports of a Blood-2 virus are based on a misunderstanding.
  579.  
  580.  
  581.                             Bulgarian Tiny
  582.  
  583. This family of viruses currently contains the smallest viruses known -
  584. 198, 167, 160, 159, 158, 156, 154, 143, 138, 134 and 133 byte long.  They
  585. do nothing of particular interest, but appear to be written in an
  586. attempt to write the smallest virus possible.
  587.  
  588.  
  589.                                 Burger
  590.  
  591. This virus was written by R. Burger, author of the Virdem virus.  The
  592. virus is not a serious threat - a 560 byte destructive/overwriting virus,
  593. which is easily noticed as infected programs will not run normally.
  594. As with the 405 virus, disinfection is not possible.  A few variants,
  595. slightly modified, possibly in order to bypass some scanning program are
  596. also known. 
  597.  
  598.                                 Carioca
  599.  
  600. This is a 951 byte .COM virus, which has not been analyzed yet.
  601.  
  602.  
  603.                                 Cascade
  604.  
  605. The Cascade virus, also known as 1701 or 1704, is probably one of the
  606. most common viruses around.  The problem is just that it is often not
  607. detected, because it produces no obvious effects.  In the original
  608. version, the virus contained code that was set to "go off" between
  609. Oct 1. and Dec 31. 1988, shortly after an infected program is run.
  610. The effect is actually quite amusing - the characters on the screen fall
  611. down and end in a heap on the bottom.  
  612.  
  613. There is a bug in some versions of the virus - it seems that the author
  614. intended the virus to infect all computers, except those from IBM.
  615. However, it did not work as planned - the virus would also infect "true"
  616. IBM machines.
  617.  
  618. There is one variant of this virus, reported as 17Y4, which is almost
  619. identical to the most common 1704 variant.  One byte has been changed,
  620. probably due to a random "mutation".  This, however, has resulted in a
  621. "bug" in the virus.  Another mutated variant is also known - it infects
  622. the same file over and over.
  623.  
  624.  
  625.                                Christmas in Japan
  626.  
  627. This is a 600 byte virus from Japan, reported to activate on Dec. 25.
  628. It only infects .COM files, but has not been fully analyzed yet.
  629.  
  630.  
  631.                                    DataCrime
  632.  
  633. The DataCrime virus was probably written in W. Germany or the Netherlands.
  634. It caused much panic around Oct. 13th 1989 when it was set to go off.  Any
  635. infected program run on Oct. 13 or later in the year would format the
  636. first nine tracks of the hard disk and display the message
  637.  
  638.                  DATACRIME VIRUS RELEASED: 1 MARCH 1989
  639.  
  640. Since this virus is currently very rare, it is not a serious threat, but
  641. it could become a problem in the future.
  642.  
  643. The two variants of this virus, 1280 and 1168 are practically equivalent,
  644. but another virus, called "DataCrime II" exists as well.  It infects .EXE
  645. and .COM files, but the original "DataCrime" could only infect .COM files.
  646. DataCrime 2 is also a bit larger, 1514 bytes long and more complicated
  647. than the original virus.  The latest variant, called DataCrime II-B is
  648. very similar to DataCrime II, but is only 1480 bytes long.
  649.  
  650.  
  651.                              Datalock
  652.  
  653. A new, 920 byte virus, which has not been fully analyzed yet.  It will
  654. infect .EXE files, but only some .COM files including COMMAND.COM.
  655.  
  656.  
  657.                                dBase
  658.  
  659. The dBase virus is very rare, but rather curious.  It is clearly intended
  660. to garble dBase files, or rather any file with a name that ends in .DBF.
  661.  
  662. If the virus is active in memory when a program writes to a .DBF file, it
  663. will garble all the outgoing data.  However, when the data is read back
  664. later, the virus will correct the garbled data.
  665.  
  666. There is just one problem.  If the virus is detected and removed, the data
  667. will be useless because the virus will not be present to "de-garble"
  668. it when it is read back.
  669.  
  670. There is a more harmful side to this virus.  If an attempt is made to
  671. write to a .DBF file that is more that three months old, the virus will
  672. try to destroy the FAT and root directory on drives D:, E: ....  Z:
  673. There is a bug in the code, however, so the destruction will be rather
  674. unpredictable.
  675.  
  676. The dBase virus will only infect .COM files, increasing their size by
  677. 1864 bytes.
  678.  
  679.  
  680.                                 December 24th
  681.  
  682. This virus was discovered in Iceland on Dec. 24th 1989. Several computers
  683. refused to run any programs at all on that date, but simply displayed the
  684. message "Gledileg jol" ("Merry Christmas") instead.  The virus is a variant
  685. of the Icelandic-2 virus, but with several minor corrections and modifications.
  686.  
  687. One out of every ten programs run is checked to see if it is a non-infected
  688. .EXE file. If so, the virus adds 848-863 bytes to the file.
  689.  
  690.  
  691.                                   Destructor
  692.  
  693. The name of this virus is derived from the following string which is
  694. stored inside it:           
  695.                        DESTRUCTOR  V4.00  (c) 1990 by ATA
  696.  
  697. This is a 1150 byte wirus, which infects COM as well as EXE files.
  698.  
  699.  
  700.                                  Devil's Dance
  701.  
  702. A .COM infector reported to have originated in Spain or Mexico. It adds
  703. 951 bytes to the end of any file it infects.  It will infect the same file
  704. over and over until it become too large to fit in memory.  The virus traps
  705. INT 9 (the keyboard interrupt) and when CTRL-ALT-DEL is pressed it will
  706. display the message:
  707.  
  708.         DID YOU EVER DANCE WITH THE DEVIL IN THE WEAK MOONLIGHT ?
  709.                          PRAY FOR YOUR DISKS!!
  710.                                The Joker
  711.  
  712. The virus also monitors any keystrokes, activating when 2000 are reached.
  713. It will then change the colors of any text displayed on the screen.  When
  714. 5000 keystrokes are reached the virus will trash the first copy of the
  715. FAT.
  716.  
  717.                                 Diamond
  718.  
  719. This is a 1024 byte virus from Bulgaria, which has been reported as
  720. bearing some resemblance to the "Eddie" virus, possibly written by the
  721. "Dark Avenger" as well. The virus makes some effort to disable any
  722. debugger program used to monitor it, but does not seem to do anything of
  723. particular interest.
  724.  
  725.  
  726.                                      DIR
  727.  
  728. This Bulgarian virus will infect files when the DIR command is given,
  729. hence the name.  It is 691 bytes long, and will only infect .COM files.
  730. no destructive code has been found in the virus.
  731.  
  732.  
  733.                                    Doteater
  734.  
  735. A rather primitive 944 byte virus, probably written in Poland.  It infects
  736. only .COM files, and when it activates it will remove all dots (.) from
  737. the screen.
  738.  
  739.  
  740.                              Durban (Saturday the 14th)
  741.  
  742. This virus infects both .EXE and .COM files.  It first adds 1-16 bytes to
  743. the files it infects length, so they end on a paragraph boundary.  Then 669
  744. additional bytes, containing the virus itself are written to the end.
  745.  
  746. Durban is a resident virus, using a method similar to that used by Jerusalem
  747. to check if it already installed.
  748.  
  749. On any Saturday the 14th, the first 100 logical sectors of drive C, then B,
  750. then A are overwritten with rubbish.
  751.  
  752.  
  753.                                    Dyslexia
  754.  
  755. Another name for this virus is "Solano", indicating its origin in Solano
  756. county in California. It is 2000 bytes long, adding 1991 bytes in front
  757. of .COM files, and 9 bytes at the end.  The virus may prevent the proper
  758. execution of some programs, but does no serious damage.  It is reported
  759. to transpose adjacent characters on the screen.  The name is hidden in
  760. encrypted form inside the virus.
  761.  
  762.  
  763.                                   Eddie
  764.  
  765. This virus contains two interesting text strings:
  766.  
  767.                      "Eddie lives...somewhere in time"
  768. and
  769.  
  770.    "This program was written in the city of Sofia (C) 1988-89 Dark Avenger"
  771.  
  772. "Eddie" is probably the skeleton mascot of the heavy metal band "Iron Maiden".
  773. This was the first virus reported to have originated in Bulgaria, but
  774. it was soon followed by many other.
  775.  
  776. There is only one thing unusual about this virus.  It remains resident,
  777. just as many other viruses, but it will not only infect a program when it
  778. is run, but also when the program file is read.  This means that a harmless
  779. program that opened each .EXE and .COM file in turn, for example to check
  780. them for infection, could easily cause an "epidemic".
  781.  
  782. The virus will infect .EXE and .COM files, adding 1800 bytes to the
  783. length.  COMMAND.COM will be one of the first programs to become infected.
  784.  
  785. When an infected program is run, there is a 1-in-16 chance that the virus
  786. will trash a random disk sector. 
  787.  
  788. One 2000 byte variant is known. It is also from Bulgaria, probably
  789. written by the same author as the original one.  It has been improved a
  790. bit - you won't see an increase in file length when you issue a DIR
  791. command.  The third known variant, also by "Dark Avenger" is 2100 bytes
  792. long.
  793.  
  794. Inside the virus one finds the following string
  795.  
  796.                       Copy me - I want to travel
  797. or, in some versions
  798.                       Only the Good die young...
  799.  
  800. The virus author also included the following string in the virus:
  801.  
  802.                  Copyright (C) 1989 by Vesselin Bontchev
  803.  
  804. Vesselin Bontchev, however, is a Bulgarian author of anti-virus programs,
  805. and has has nothing to do with the creation of the virus.  The reason
  806. this message appears is that the virus searches for it in every program
  807. executed, and halts the computer when it is found.
  808.  
  809. The author of the virus - Dark Avenger - has distributed the source
  810. and several new viruses can be expected in this family.  One has appeared
  811. in the Soviet Union.  It is known as "Hymn" and is 1865 bytes long.
  812.  
  813.  
  814.                                   Eddie II
  815.  
  816. A fairly harmless virus from Bulgaria - called "Eddie II" because it
  817. contains the string "Eddie lives". This string is similar to the string
  818. contained in the original "Eddie" virus.  Eddie II can infect .EXE files
  819. as well as .COM files, but unlike most other .EXE infecting viruses, it
  820. does not pad them so their length becomes a multiple of 16 bytes, before
  821. they are infected.  Infected files are marked with a value of 62 in the
  822. "seconds" field of the timestamp, which makes them immune to infection by
  823. Vienna or Zero Bug.  Infected files grow by 651 bytes, but this increase
  824. will not be seen if a "DIR" command is given, because the virus intercepts
  825. the "find-first" and "find-next" functions, and if the "seconds" field
  826. contains 62, the virus will decrement the file length by 651.  Apart
  827. from this the virus does nothing of interest.
  828.  
  829.  
  830.                                Fellowship
  831.  
  832. The name of this virus is derived from the following text, which can be
  833. found inside it:
  834.  
  835.                         This message is dedicated to
  836.                         all fellow PC users on Earth
  837.                         Towards A Better Tomorrow
  838.                         And A Better Place To Live In
  839.  
  840. The virus is actually not very friendly - it attaches it to the end of
  841. .EXE files, but may overwrite the last 20 bytes or so of the original
  842. file.  The virus itself is 1019 bytes long.  It may cause further damage,
  843. but it has not yet been analyzed.
  844.  
  845.  
  846.                                 Flash
  847.  
  848. This virus probably originated in Germany. It adds 688 bytes to any .COM
  849. or .EXE file it infects.  The virus is still awaiting full analysis.
  850.  
  851.  
  852.                                  Flip
  853.  
  854. The Flip virus is 2343 bytes long, and infects both .EXE and .COM files
  855. as well as boot sectors of hard disks.  When the virus activates on a
  856. computer with an EGA or VGA display adapter, it will "flip" the screen
  857. horizontally and switch to a special character set, which reverses each
  858. character.  This effect only happens on the second day of each month,
  859. between 16:00 and 16:59.  The method used to infect boot sector is
  860. similar to that used by the V-1 virus, except the Flip virus will only
  861. infect hard disks, not diskettes.
  862.  
  863.  
  864.                             Frodo (4096, IDF)
  865.  
  866. The Frodo virus infects both .EXE and .COM files.  It is very advanced in
  867. some ways, being able to hide the infection by using a method similar to
  868. that used by the "Zero Bug" virus.  If the virus is active in memory and
  869. you look at the directory, the virus will show you the original length of
  870. any infected program.  The virus seems to be able to cause damage to data,
  871. as files may become crosslinked when it is active
  872.  
  873. It activates on Sept. 22. when it may attempt to place a Trojan on boot
  874. sectors.  This Trojan will display the message "FRODO LIVES" in large
  875. letters on the screen, surrounded by a moving pattern.  The code to write
  876. the Trojan to the disk seems to be garbled in all known versions of the
  877. virus and will probably "hang" the computer.
  878.  
  879. The length of infected files increases by 4096 bytes, but a variant "Fish 6",
  880. 3584 bytes long was recently reported.  The effects of this variants are
  881. not known yet.
  882.  
  883.  
  884.                                   Fu Manchu
  885.  
  886. The author of the Fu Manchu virus seems to have intended to write one of
  887. the most humorous viruses around.  He started with the Jerusalem virus,
  888. removed the harmful part of it and added several new features:
  889.  
  890. The virus will censor the text the user types, deleting two four letter
  891. words.
  892.  
  893. It will also take action if the user types "Thatcher", "Reagan", "Botha",
  894. or "Waldheim".  In those cases it will add comments to the text.
  895.  
  896. When Ctrl-Alt-Del is pressed, the virus will display the message
  897.  
  898.                  The world will hear from me again!
  899.  
  900. In other respects the virus is similar to the Jerusalem virus.  It will
  901. infect both .EXE and .COM files, making them grow by about 2086 bytes.
  902.  
  903.  
  904.                                    Fumble
  905.  
  906. The "Fumble" virus is a small, memory resident .COM infecting virus that
  907. will generate typing errors, every now and then.  That is, if you press
  908. the "R" key for example, it will occasionally insert another letter like
  909. "E" in the text instead.  The only unusual feature of this virus is that it
  910. will only infect programs on odd-numbered days.
  911.  
  912. Infected .COM files grow by 867 bytes.
  913.  
  914.  
  915.                                    GhostBalls
  916.  
  917. This virus was written in Iceland and first discovered there in October
  918. 1989.  It contains the following text strings:
  919.  
  920.                    GhostBalls, Product of Iceland
  921.                    Copyright (c) 1989, 4418 and 5F19
  922.  
  923. It will infect .COM files, making them grow in size by 2351 bytes.
  924. Basically it is just the Vienna virus - the variant in the book by Ralf
  925. Burger to be specific, with an extra twist.  When an infected program is
  926. run, the virus will search for other programs to infect, but also try to
  927. place a modified copy of the Ping-Pong virus on the diskette in drive A,
  928. provided it is a 360K diskette.  This Ping-Pong variant has been changed,
  929. so that it is not infectious, but it will also work on a '286 machine.
  930. This modified boot sector is not a virus, but F-DISINF will remove it.
  931.  
  932.  
  933.                                  Guppy
  934.  
  935. This is simple, 152 byte virus, which only infects .COM files, and may
  936. infect the same file over and over.  Like the Kennedy virus, it will only
  937. infect files starting with a JMP.
  938.  
  939.  
  940.                                Hallöchen
  941.  
  942. This is a .COM and .EXE infector, probably written in W-Germany. It
  943. contains two text strings:
  944.  
  945.                      Hallöchen !!!!!!, Here I'm..
  946.  
  947.                          Acrivate Level 1..
  948.  
  949. This virus is a bit unusual in some ways - for example it will not infect
  950. "old" files.  If the value of the "month" or "year" fields in the
  951. timestamp is different from the current date, the file will not be
  952. infected.
  953.  
  954. The virus does not modify the creation date when it infects the virus,
  955. and like most other viruses it is easily able to defeat the read-only
  956. attribute.  It will only infect files larger than 5000 bytes, increasing
  957. their length by 2011 bytes.
  958.  
  959. The major effect is reported to be garbling of keyboard input.
  960.  
  961.  
  962.                                Icelandic
  963.  
  964. This virus was first found in Iceland in June '89.  If only infects files
  965. with names ending in .EXE.  When an infected program is run, it will hide
  966. in memory by directly manipulating the Memory Control Blocks.  Programs
  967. that watch out for any program "going TSR" will therefore not be able
  968. to catch it.  
  969.  
  970. This virus will mark one cluster on the hard disk as bad, every time it
  971. infects a file.
  972.  
  973. A minor variant of this virus was later found in Saratoga, and a radically
  974. modified version appeared in Iceland in July '89.  This new version
  975. (Icelandic-2) does not use INT 21 calls like the original, but instead
  976. makes direct JMPs into the operating systems.  This means that many
  977. protection programs will be unable to catch it.  Icelandic-1 is 656 bytes
  978. long, Saratoga is 642 bytes but Icelandic-2 adds 632 bytes to any file it
  979. infects.  Actually the file may grow a bit more because all the viruses
  980. will first pad the file so the length becomes a multiple of 16 bytes.
  981.  
  982.  
  983.                              Internal
  984.  
  985. A 1381 byte .EXE-infecting virus, which may occasionally garble the
  986. screen and display a fake error message.
  987.  
  988.  
  989.                               Itavir
  990.  
  991. This is a fairly long, 3880 byte, Italian EXE file infector.  The virus
  992. is reported to activate after the system has been left running for at
  993. least 24 hours  It will then corrupt the boot sector, write out a message
  994. in Italian, and start writing random values to all I/O ports.  This is
  995. reported to cause a "hissing" sound from some VGA monitors.
  996.  
  997.  
  998.