home *** CD-ROM | disk | FTP | other *** search
/ ftp.pasteur.org/FAQ/ / ftp-pasteur-org-FAQ.zip / FAQ / computer-virus / macintosh-faq < prev    next >
Internet Message Format  |  2004-05-12  |  81KB
  1. Path: senator-bedfellow.mit.edu!dreaderd!not-for-mail
  2. Message-ID: <computer-virus/macintosh-faq_1084272547@rtfm.mit.edu>
  3. Supersedes: <computer-virus/macintosh-faq_1082972703@rtfm.mit.edu>
  4. Expires: 8 Jun 2004 10:49:07 GMT
  5. X-Last-Updated: 2000/01/07
  6. Organization: none
  7. From: D.Harley@icrf.icnet.uk (David Harley) 
  8. Newsgroups: alt.comp.virus,comp.virus,comp.sys.mac.apps,comp.sys.mac.misc,comp.sys.mac.system,alt.answers,comp.answers,news.answers
  9. Subject: Viruses and the Mac FAQ 
  10. Followup-To: alt.comp.virus,comp.virus 
  11. Summary: Why viruses are a Mac problem, too.... 
  12. Approved: news-answers-request@MIT.EDU 
  13. X-Disclaimer: Approval for *.answers is based on form, not content. 
  14. Originator: faqserv@penguin-lust.MIT.EDU
  15. Date: 11 May 2004 10:50:53 GMT
  16. Lines: 1723
  17. NNTP-Posting-Host: penguin-lust.mit.edu
  18. X-Trace: 1084272653 senator-bedfellow.mit.edu 567 18.181.0.29
  19. Xref: senator-bedfellow.mit.edu alt.comp.virus:270638 comp.virus:31127 comp.sys.mac.apps:403180 comp.sys.mac.misc:345597 comp.sys.mac.system:634382 alt.answers:72831 comp.answers:57126 news.answers:271146
  20.  
  21. Archive-name: computer-virus/macintosh-faq 
  22. Posting-Frequency: Fortnightly 
  23. Last-modified: Fri, 1 Jan 2000 19:14 GMT 
  24. URL: http://www.sherpasoft.org.uk/MacSupporters/macvir.faq 
  25. Copyright: Copyright 1996-2000 by David Harley and contributors 
  26. Maintainer: David Harley <D.Harley@icrf.icnet.uk> 
  27.  
  28. Viruses and the Macintosh 
  29. ========================= 
  30. by David Harley 
  31. Version 1.6b: 7th January 2000 
  32.  
  33.   Significant changes from the previous version are flagged with + 
  34.   symbols in the first two columns at the start of the relevant line 
  35.   or section. Amendments of minor grammatical or syntactical errors 
  36.   are not flagged unless they affect factual accuracy or clarity. 
  37.  
  38.   Sections tagged with [DH] or [SL] are hangovers from the time when 
  39.   maintenance of the FAQ was shared between David Harley and Susan Lesch, 
  40.   and usually denote personal opinions the originator didn't feel the other 
  41.   maintainer should be held responsible for. Untagged sections using 
  42.   the first person are usually attributable to David Harley. 
  43.  
  44.   This version of the FAQ primarily reflects my involvement in setting 
  45.   up an information resource at ICSA. This will affect the availability 
  46.   of the FAQ. The next version will require extensive URL checking, 
  47.   and will probably introduce major formatting changes. 
  48.  
  49.   David Harley 
  50.   
  51.  
  52. Table of Contents 
  53. ================= 
  54.  
  55.   1.0  Copyright Notice 
  56.   2.0  Preface 
  57.   3.0  Availability of this FAQ 
  58.   4.0  Mission Statement 
  59.   5.0  Where to get further information 
  60.      5.1  Computer Virus FAQs 
  61.      5.2  EICAR 
  62.      5.3  "Robert Slade's Guide to Computer Viruses" 
  63.      5.4  Web sites 
  64.      5.5  Virus Bulletin 
  65.      5.6  Macro virus information resources 
  66.      5.7  Other resources 
  67.   6.0  How many viruses affect the Macintosh? 
  68.   7.0  What viruses can affect Mac users? 
  69.      7.1  Mac-specific system and file infectors 
  70.      7.2  HyperCard Infectors 
  71.      7.3  Mac Trojan Horses 
  72.      7.4  Macro viruses, trojans, variants 
  73.      7.5  Other Operating Systems, emulation on a Mac 
  74.      7.6  AutoStart 9805 Worms 
  75.      7.7  Esperanto.4733 
  76.   8.0  What's the best antivirus package for the Macintosh? 
  77.      8.1  Microsoft's Protection Tools 
  78.      8.2  Disinfectant Retired 
  79.      8.3  Demo Software 
  80.      8.4  Other freeware/shareware packages 
  81.      8.5  Commercial Packages 
  82.      8.6  Contact Details 
  83.   9.0  Welcome Datacomp 
  84.   10.0  Hoaxes and myths 
  85.      10.1  Good Times virus 
  86.      10.2  Modems and Hardware viruses 
  87.      10.3  Email viruses 
  88.      10.4  JPEG/GIF viruses 
  89.      10.5  Hoaxes Help 
  90.   11.0  Glossary 
  91.   12.0  General Reference Section 
  92.      12.1  Mac Newsgroups 
  93.      12.2  References and Publications 
  94.   13.0  Mac Troubleshooting 
  95.   
  96.  
  97. 1.0  Copyright Notice 
  98. ===================== 
  99.  
  100.   Copyright on this document remains with the author(s), and all 
  101.   rights are reserved. However, it may be freely distributed and 
  102.   quoted - accurately, and with due credit. 
  103.  
  104.   It may not be reproduced for profit or distributed in part or as a 
  105.   whole with any product for which a charge is made, except with the 
  106.   prior permission of the copyright holder(s). To obtain such 
  107.   permission, please contact the maintainer of the FAQ. 
  108.  
  109.   Primary author and maintainer of this document is David Harley, 
  110.   Comments and additional material have been received with gratitude 
  111.   from Ronnie Sutherland, Henri Delger, Mike Groh and Eugene Spafford. 
  112.   Thanks to Bruce Burrell, Michael Wright, Peter Gersmann, David Miller, 
  113.   Ladd Van Tol, Eric Hildum, Jeremy Goldman, Kevin White, Bill 
  114.   Jackson, Robert Slade, Robin Dover, and John Norstad for their 
  115.   comments and suggestions. Special thanks to Susan Lesch for her 
  116.   contributions, editing, and maintenance chores as co-maintainer. 
  117.   
  118.  
  119. 2.0  Preface 
  120. ============ 
  121.  
  122.   This document is intended to help individuals with computer 
  123.   virus-related problems and queries, and clarify the issue 
  124.   of computer viruses on Macintosh platforms. It should *not* be 
  125.   regarded as being in any sense authoritative, and has no legal 
  126.   standing. The authors accept no responsibility for errors or 
  127.   omissions, or for any ill effects resulting from the use of any 
  128.   information contained in this document. 
  129.  
  130.   Corrections and additional material are welcome, especially if 
  131.   kept polite.... Contributions will, if incorporated, remain the 
  132.   copyright of the contributor, and credited accordingly within 
  133.   the FAQ. 
  134.  
  135.   David Harley <D.Harley@icrf.icnet.uk> 
  136.   
  137.  
  138. 3.0  Availability of this FAQ 
  139. ============================= 
  140.  
  141. ++The reference site for this FAQ is now www.icsa.net. However, my own
  142.   site at <http://www.sherpasoft.org.uk/MacSupporters/> will be the 
  143.   first place new versions will be posted.
  144.  
  145.   It's also available from Henri Delger's Prodigy Anti-Virus Center 
  146.   file library, as is the alt.comp.virus FAQ. It will probably be available 
  147.   shortly from <www.eicar.dk> 
  148.  
  149.   There are HTML versions at: 
  150.   <http://www.cis.ohio-state.edu/hypertext/faq/usenet/computer-virus 
  151.         /macintosh-faq/faq.html> 
  152.   <http://www.faqs.org/faqs/computer-virus/macintosh-faq/> 
  153.   <http://emt.doit.wisc.edu/macvir/macvir.html> 
  154.  
  155.   I have no control over the content of these sites, and can't guarantee 
  156.   that they're up-to-date. 
  157.   
  158.  
  159. 4.0  Mission Statement 
  160. ====================== 
  161.  
  162.   This document is a little different to the alt.comp.virus FAQ, 
  163.   which David Harley also co-maintains (at time of writing). It is 
  164.   concerned with one platform only, and though it deals with the 
  165.   Macintosh platform at more length than the alt.comp.virus FAQ can 
  166.   be expected to, it is a great deal shorter. Nor is there the same 
  167.   degree of urgency about the Mac virus field, though the risk 
  168.   element may be somewhat underestimated in general, at present. This 
  169.   FAQ originated from a concern over the spread of macro viruses, a 
  170.   theme that is taken up below. Since questions about Macs and 
  171.   viruses tend to appear more often in the Mac groups than 
  172.   alt.comp.virus or Virus-L, distribution of this FAQ is wider. 
  173.   
  174.  
  175. 5.0  Where to get further information 
  176. ===================================== 
  177.  
  178. 5.1  Computer Virus FAQs 
  179. ------------------------ 
  180.   Computer Virus FAQ for New Users 
  181.   A mainly non-Mac virus FAQ posted to news.newusers.questions, 
  182.   alt.newbie, alt.newbies, alt.answers, and news.answers. 
  183.   <http://www.faqs.org/faqs/computer-virus/new-users/> 
  184.  
  185.   alt.comp.virus FAQ 
  186.   This is posted to alt.comp.virus approximately fortnightly. It 
  187.   includes a document that summarizes and gives contact information 
  188.   for a number of other virus-related FAQs; (not much Mac-specific 
  189.   material). The latest version is available from: 
  190.   <http://www.sherpasoft.org.uk/acvFAQ/> but the reference version will 
  191.   eventually be the one at www.eicar.dk (page currently under construction). 
  192.  
  193.   VIRUS-L/comp.virus FAQ 
  194.   The Virus-L/comp.virus FAQ (also fairly low on Mac-specific 
  195.   information) is regularly posted to the comp.virus newsgroup 
  196.   (version 2.0 at time of writing). This FAQ is very long and very 
  197.   thorough. The document is subject to revision, so the file name may 
  198.   change. The latest version may be found at: 
  199.   <ftp://ftp.infospace.com/pub/virus-l/comp.virus-FAQ.09-Oct-95> 
  200.   <ftp://ftp.datafellows.com/pub/misc/anti-vir/vlfaq200.zip> 
  201.  
  202. 5.2  EICAR 
  203. ---------- 
  204. ++Dr Solomon's Anti-Virus Toolkit, Virex, and NAV (Norton AntiVirus 
  205.   for Macintosh) now support the EICAR test. This article by 
  206.   Paul Ducklin of Sophos explains the EICAR test file: 
  207.   <http://www.eicar.org/anti_virus_test_file.htm>. [SL] 
  208.  
  209. 5.3  "Robert Slade's Guide to Computer Viruses" 
  210. ----------------------------------------------- 
  211.   The disk included with the 2nd Edition of this excellent general 
  212.   resource includes most of the information available at the 
  213.   University of Hamburg (see 5.5). The book also contains a 
  214.   reasonable quantity of Mac-friendly information. The disk includes 
  215.   a copy of Disinfectant 3.6, which is now out-of-date -- 3.7.1 is 
  216.   the latest and final release. For more information about this book: 
  217.   <http://www.amazon.com/exec/obidos/ISBN=0387946632/> [Springer] 
  218.  
  219. ++Very few books primarily about computer viruses deal at any length 
  220.   with Mac viruses (I can't think of one, at present). Some general 
  221.   books on the Mac touch on the subject, but none I can think of add 
  222.   anything useful. Some of the "Totally Witless User's Guide 
  223.   to......." books dealing with security in general include 
  224.   information on PC -and- Mac viruses. Unfortunately, the quality of 
  225.   virus-related information in such publications is generally low, and 
  226.   there are few or no books on computer viruses in general which are 
  227.   both recent -and- accurate. 
  228.  
  229. 5.4  Web sites 
  230. -------------- 
  231.   Many major vendors have a virus information database online on 
  232.   their Web sites. Symantec (www.symantec.com), Network Associates 
  233.   (www.nai.com), Sophos (www.sophos.com) and Dr. Solomon's 
  234.   (www.drsolomon.com) include Macintosh virus information. 
  235.  
  236.   Precise URLs tend to come and go, but you might like to try the 
  237.   following: 
  238.  
  239.   Symantec Antivirus Research Center 
  240.   Virus Encyclopedia based on Project VGrep: huge, and now has a 
  241.   search engine. Probably the most complete [SL]. But not always the 
  242.   most accurate [DH]. ;-) 
  243.   <http://www.symantec.com/avcenter/vinfodb.html> 
  244.  
  245.   Network Associates, formerly McAfee Associates: 
  246.   Virus Information Library 
  247.   <http://www.nai.com/vinfo/> 
  248.   Macintosh Viruses 
  249.   <http://www.nai.com/vinfo/f_13707.asp> 
  250.  
  251.   Sophos Plc 
  252.   <http://www.sophos.com/> 
  253.  
  254.   About.com "Macintosh Virus Desriptions" 
  255.   Part of work in progress by Ken Dunham 
  256. + <http://antivirus.about.com/library/blenmac.htm> (new domain name) 
  257.  
  258.   Mac Virus 
  259. ++[Site closed 5th September 1999] 
  260.   <http://www.macvirus.com/reference/viruses.html> 
  261.  
  262.   Dr Solomon's "Mac Viral Zoo" 
  263.   Starting to go out of date 
  264.   <http://www.drsolomon.com/products/virex/zoo/maczoopg.html> 
  265.  
  266. ++Keep watching <www.icsa.org> 
  267.  
  268. 5.5  Virus Bulletin 
  269. ------------------- 
  270.   The expensive (but, for the professional, essential) periodical 
  271.   Virus Bulletin includes Mac-specific information from time to time. 
  272.   However, if you have no interest in PC issues, you probably won't 
  273.   consider it worth the expense. 
  274.  
  275.   Virus Bulletin Ltd 
  276.   The Pentagon 
  277.   Abingdon 
  278.   OX14 3YP 
  279.   England 
  280.  
  281.   +44 1235 555139 
  282.   <http://www.virusbtn.com/> 
  283.  
  284.   The proceedings of the 1997 Virus Bulletin conference contained a 
  285.   paper by David Harley which significantly expands on many of the 
  286.   issues addressed in this FAQ. Contact Virus Bulletin for further 
  287.   information on the annual conference and on obtaining the 
  288.   proceedings. The paper can also be found (by permission of Virus 
  289.   Bulletin) at the author's website <http://www.sherpasoft.org.uk/MacSupporters/> 
  290.     and at <http://www.icsa.net/> 
  291.  
  292. 5.6  Macro virus information resources 
  293. -------------------------------------- 
  294. ++University of Hamburg Virus Test Center Macro Virus List is the 
  295.   definitive listing. All known macro viruses, some only found in 
  296.   research labs, some in the wild. Doesn't include information on 
  297.   individual viruses apart from name and platform, and somewhat 
  298.   irregularly maintained. 
  299.   <ftp://agn-www.informatik.uni-hamburg.de/pub/texts/macro/> 
  300.   <http://agn-www.informatik.uni-hamburg.de/vtc/eng.htm> 
  301.  
  302.   Other Sources: 
  303.   <http://www.drsolomon.com/> 
  304.   <http://www.datafellows.com/vir-info/> 
  305.   <http://www.symantec.com/avcenter/> 
  306.   <http://www.nai.com/> 
  307.   <http://www.avpve.com/> 
  308.   <http://www.sophos.com/> (under Virus Information) 
  309.  
  310.   [The following absolute URLs may change: such is the way of Web 
  311.   administrators..... If you get an error message, try the first part 
  312.   of the URL, e.g. <http://www.nai.com/> and drill down from there.] 
  313.  
  314.   Dr Solomon's Software Ltd. 
  315.   <http://www.drsolomon.com/vircen/enc/> 
  316.  
  317.   Central Command 
  318.   <http://www.avpve.com/viruses/macro/> 
  319.  
  320.   Network Associates 
  321.   <http://www.nai.com/vinfo/f_3057.asp> 
  322.  
  323.   Data Fellows 
  324.   <http://www.datafellows.com/macro/word.htm> 
  325.  
  326. ++Richard Martin put together an FAQ on the subject of Word viruses. 
  327.   It's well out-of-date, though, and was always inaccurate in some 
  328.   respects. 
  329.   <ftp.gate.net/pub/users/ris1/word.faq> 
  330. ++N.B.This URL may be out of date. There is a copy of what I believe 
  331.   to be the last released version at SherpaSoft: 
  332.   <http://www.sherpasoft.org.uk/anti-virus/wordvirus.FAQ> 
  333.  
  334. 5.7  Other resources 
  335. -------------------- 
  336.  
  337.   There are excellent pages on HyperCard viruses at HyperActive 
  338.   Software. There is information on HyperCard infectors, a link to 
  339.   Bill Swagerty's free Vaccine utility for detecting and cleaning 
  340.   them, a note on false positives reported by commercial software, 
  341.   inoculation, and a free HyperCard virus detection service. 
  342.   <http://www.hyperactivesw.com/Virus1.html> 
  343.  
  344.   The CIAC virus database includes entries for PC, Macintosh, and a 
  345.   number of other platforms. The Macintosh section also includes a 
  346.   number of joke programs and one or two apparent hoaxes. 
  347.   <http://ciac.llnl.gov/ciac/CIACVirusDatabase.html> 
  348.  
  349.   Virus Test Center, Hamburg: AntiVirus Catalog/CARObase early work 
  350.   <ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/catalog/> 
  351.   <ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/carobase/> 
  352.   <ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/viruses/> 
  353.   These links may be out-of-date: if they don't work, try 
  354.   <ftp://agn-www.informatik.uni-hamburg.de> 
  355.  
  356.   Last we checked [03-Sep-97], these sites probably need updating, 
  357.   though some older files do have historical value. Info-Mac mirrors 
  358.   have Macintosh information, but includes some outdated virus 
  359.   information and software at this writing; still, always worth a 
  360.   visit. 
  361.   <ftp://ftp.ucs.ubc.ca/pub/mac/info-mac/vir/> 
  362.   <http://hyperarchive.lcs.mit.edu/HyperArchive/Abstracts/vir 
  363.         /HyperArchive.html> 
  364.  
  365.   Also of interest, again sometimes outdated: 
  366.   <http://wwwhost.ots.utexas.edu/mac/pub-mac-virus.html> 
  367.   <http://www.unt.edu/virus/macgeneral.html> 
  368.  
  369.   Kevin Harris's Virus Reference was last updated 31-Aug-95. This 
  370.   HyperCard stack requires HyperCard 2.1 or later. 
  371.   <ftp://mirrors.aol.com/pub/info-mac/vir/virus-reference-216-hc.hqx> 
  372.  
  373. 6.0  How many viruses affect the Macintosh? 
  374. =========================================== 
  375.  
  376.   There are around 40 Mac-specific viruses and related threats. 
  377.  
  378. ++Mac users with Word 6 or versions of Word/Excel supporting Visual Basic 
  379.   for Applications, however, are vulnerable to infection by macro 
  380.   viruses which are specific to these applications. Indeed, these
  381.   viruses can, potentially, infect other files on any hardware 
  382.   platform supporting these versions of these applications. I don't 
  383.   know of a macro virus with a Mac-specific payload that actually 
  384.   works at present, but such a payload is entirely possible. 
  385. ++Office 98 applications are in principle vulnerable to most of the 
  386.   threats to which Office 97 applications are vulnerable. I'll return 
  387.   to this subject when and if time allows. [DH] 
  388.  
  389.   Word Mac version 5.1 and below do not support WordBasic, and are 
  390.   not, therefore, vulnerable to direct infection. Not only do these 
  391.   versions not only understand embedded macros, but they can't read 
  392.   the Word 6 file format unaided. There is, however, at least one 
  393.   freeware utility which allows Word 5.x users to read Word 6 files. 
  394.   This will not support execution of Word 6 (or WinWord 2) macros in 
  395.   Word 5.x, so I would not expect either an infection routine or a 
  396.   payload routine to be able to execute within this application. 
  397.  
  398.   However, Word 5.x users may contribute indirectly to the spread of 
  399.   infected files across platforms and systems, since it is perfectly 
  400.   possible for a user whose own system is uninfectable to act as a 
  401.   conduit for the transmission of infected documents, whether or not 
  402.   s/he reads it personally. 
  403.  
  404.   Files infected with a PC-specific file virus (this excludes macro 
  405.   viruses) can only execute on a Macintosh running DOS or DOS/Windows 
  406.   emulation, if then. They can, of course, spread across platforms 
  407.   simply by copying infected files from one system to another. 
  408.  
  409.   DOS diskettes infected with a boot sector virus can be read on a 
  410.   Mac with Apple File Exchange, PC Exchange, DOS Mounter etc. without 
  411.   (normally) risk to the Mac. However, leaving such an infected disk 
  412.   in the drive while booting an emulator such as SoftPC can mean that 
  413.   the virus attempts to infect the logical PC drive with 
  414.   unpredictable results. 
  415.  
  416.   I am aware of at least one instance of a Mac diskette which, when 
  417.   read on a PC running a utility for reading Mac-formatted disks 
  418.   after being infected with a boot-sector infector, became unreadable 
  419.   as a consequence of the boot track infection. 
  420.  
  421.   Some Mac viruses may damage files on Sun systems running MAE or 
  422.   AUFS. 
  423.   
  424.  
  425. 7.0  What viruses can affect Mac users? 
  426. ======================================= 
  427.  
  428.   Not all variants are listed here. It was originally intended to 
  429.   reference all the major variants at least by name eventually, but 
  430.   since the information is of academic interest at best to most users 
  431.   (and available elsewhere anyway), it's no longer considered a 
  432.   priority. The main problem affecting Mac users nowadays is the 
  433.   spread of macro viruses, and I can't possibly find time to 
  434.   catalogue them individually, so they are only considered generally. 
  435.   Native Mac viruses are rather rarely seen nowadays, and most people 
  436.   don't need to know about them in detail -- in fact, what they need 
  437.   most is to know that their favoured antivirus software will deal 
  438.   with them. Note that I'm not primarily in the business of hands-on 
  439.   virus analysis, and cannot accept responsibility for descriptive errors 
  440.   based on third-party information. [DH] 
  441.  
  442.   The following varieties are listed below: 
  443.   7.1  Mac-specific system and file infectors 
  444.   7.2  HyperCard Infectors 
  445.   7.3  Mac Trojans 
  446.   7.4  Macro viruses, trojans, variants 
  447.   7.5  Other Operating Systems, emulation on a Mac 
  448.   7.6  AutoStart 9805 Worms 
  449.   7.7  Esperanto 4733 
  450.  
  451. 7.1  Mac-specific system and file infectors 
  452. ------------------------------------------- 
  453.   AIDS - infects application and system files. No intentional damage. 
  454.   (nVIR B strain) 
  455.  
  456.   Aladin - close relative of Frankie 
  457.  
  458.   Anti (Anti-A/Anti-Ange, Anti-B, Anti Variant) - can't spread under 
  459.   system 7.x, or System 6 under MultiFinder. Can damage applications 
  460.   so that they can't be 100% repaired. 
  461.  
  462.   CDEF - infects desktop files. No intentional damage, and doesn't 
  463.   spread under system 7.x. 
  464.  
  465.   CLAP: nVIR variant that spoofs Disinfectant to avoid detection 
  466.   (Disinfectant 3.6 recognizes it). 
  467.  
  468.   Code 1: file infector. Renames the hard drive to "Trent Saburo". 
  469.   Accidental system crashes possible. 
  470.  
  471.   Code 252: infects application and system files. Triggers when run 
  472.   between June 6th and December 31st. Runs a gotcha message ("You 
  473.   have a virus. Ha Ha Ha Ha Ha Ha Ha Now erasing all disks... 
  474.   [etc.]"), then self-deletes. Despite the message, no intentional 
  475.   damage is done, though shutting down the Mac instead of clicking to 
  476.   continue could cause damage. Can crash System 7 or damage files, 
  477.   but doesn't spread beyond the System file. Doesn't spread under 
  478.   System 6 with MultiFinder beyond System and MultiFinder. Can cause 
  479.   various forms of accidental damage. 
  480.  
  481.   Code 9811: hides applications, replacing them with garbage files 
  482.   named "something like 'FIDVCXWGJKJWLOI'." According to Ken Dunham 
  483.   who reported this virus in November, "The most obvious symptom of 
  484.   the virus is a desktop that looks like electronic worms and a 
  485.   message that reads 'You have been hacked by the Pretorians.'" 
  486.  
  487.   Code 32767: once a month tries to delete documents. This virus is 
  488.   not known to be in circulation. 
  489.  
  490.   Flag: unrelated to WDEF A and B, but was given the name WDEF-C in 
  491.   some anti-virus software. Not intentionally damaging but when 
  492.   spreading it overwrites any existing 'WDEF' resource of ID '0', an 
  493.   action which might damage some files. This virus is not known to be 
  494.   in circulation. 
  495.  
  496.   Frankie: only affects the Aladdin emulator on the Atari or Amiga. 
  497.   Doesn't infect or trigger on real Macs or the Spectre emulator. 
  498.   Infects application files and the Finder. Draws a bomb icon and 
  499.   displays 'Frankie says: No more piracy!" 
  500.  
  501.   Fuck: infects application and System files. No intentional damage. 
  502.   (nVIR B strain) 
  503.  
  504.   Init 17: infects System file and applications. Displays message 
  505.   "From the depths of Cyberspace" the first time it triggers. 
  506.   Accidental damage, especially on 68K machines. 
  507.  
  508.   Init 29 (Init 29 A, B): Spreads rapidly. Infects system files, 
  509.   applications, and document files (document files can't infect other 
  510.   files, though). May display a message if a locked floppy is 
  511.   accessed on an infected system 'The disk "xxxxx" needs minor 
  512.   repairs. Do you want to repair it?'. No intentional damage, but can 
  513.   cause several problems - Multiple infections, memory errors, system 
  514.   crashes, printing problems, MultiFinder problems, startup document 
  515.   incompatibilities. 
  516.  
  517.   Init 1984: Infects system extensions (INITs). Works under Systems 6 
  518.   and 7. Triggers on Friday 13th. Damages files by renaming them, 
  519.   changing file TYPE and file CREATOR, creation and modification 
  520.   dates, and sometimes by deleting them. 
  521.  
  522.   Init-9403 (SysX): Infects applications and Finder under systems 6 
  523.   and 7. Attempts to overwrite whole startup volume and disk 
  524.   information on all connected hard drives. Only found on Macs 
  525.   running the Italian version of MacOS. 
  526.  
  527.   Init-M: Replicates under System 7 only. Infects INITs and 
  528.   application files. Triggers on Friday 13th. Similar damage 
  529.   mechanisms to INIT-1984. May rename a file or folder to "Virus 
  530.   MindCrime". Rarely, may delete files. 
  531.  
  532.   MacMag (Aldus, Brandow, Drew, Peace): first distributed as a 
  533.   HyperCard stack Trojan, but only infected System files. Triggered 
  534.   (displayed a peace message and self-deleted on March 2nd 1988, so 
  535.   very rarely found. 
  536.  
  537.   MBDF (A,B): originated from the Tetracycle, Tetricycle or 
  538.   "tetris-rotating" Trojan. The A strain was also distributed in 
  539.   Obnoxious Tetris and Ten Tile Puzzle. Infect applications and 
  540.   system files including System and Finder. Can cause accidental 
  541.   damage to the System file and menu problems. A minor variant of 
  542.   MBDF B appeared in summer 1997: Disinfectant and Virex have been 
  543.   updated accordingly. 
  544.  
  545.   MDEF (MDEF A/Garfield, MDEF B/Top Cat, C, D): infect System file 
  546.   and application files (D doesn't infect System). No intentional 
  547.   damage, but can cause crashes and damaged files. 
  548.  
  549.   MDEF-E and MDEF-F: described as simple and benign. They infect 
  550.   applications and system files with an 'MDEF' resource ID '0', not 
  551.   otherwise causing file damage. These viruses are not known to be in 
  552.   circulation. 
  553.  
  554.   nCAM: nVIR variant 
  555.  
  556.   nVIR (nVIR A, B, C - AIDS, Fuck, Hpat, Jude, MEV#, nFlu): infect 
  557.   System and any opened applications. Extant versions don't cause 
  558.   intentional damage. Payload is either beeping or (nVIR A) saying 
  559.   "Don't panic" if MacInTalk is installed. 
  560.  
  561.   nVIR-f: nVIR variant. 
  562.  
  563.   prod: nVIR variant 
  564.  
  565.   Scores (Eric, Vult, NASA, San Jose Flu): aimed to attack two 
  566.   applications that were never generally released. Can cause 
  567.   accidental damage, though - system crashes, problems printing or 
  568.   with MacDraw and Excel. Infects applications, Finder, DA Handler. 
  569.  
  570.   SevenDust-A through G (MDEF 9806-A through D, also known as 666, E 
  571.   was at first called "Graphics Accelerator"): a family of five 
  572.   viruses which spread both through 'MDEF' resources and a System 
  573.   extension created by that resource. The first four variants are not 
  574.   known to be in circulation. Two of these viruses cause no other 
  575.   damage. On the sixth day of the month, MDEF 9806-B may erase all 
  576.   non-application files on the current volume. The SARC encyclopedia 
  577.   calls MDEF 9806-C, "polymorphic and encrypted, no payload," and 
  578.   MDEF 9806-D, "encrypting, polymorphic, symbiotic," and says the 
  579.   symbiotic part, "alters a 'WIND' resource from the host 
  580.   application." SevenDust E, not to be confused with the legitimate 
  581.   ATI driver "Graphics Accelerator", began as a trojan horse released 
  582.   to Info-Mac and deleted there on or about September 26, 1998. Takes 
  583.   two forms, 'INIT' resource ID '33' in an extension named 
  584.   "\001Graphics Accelerator" and an 'MDEF' resource ID '1' to '255'. 
  585.   Between 6:00 a.m. and 7:00 a.m. on the sixth and twelfth day of any 
  586.   month, the virus will try to delete all non-application files on 
  587.   the startup disk. John Dalgliesh describes "Graphics Accelerator" 
  588.   on his Web page for AntiGax, a free anti-SevenDust E utility; any 
  589.   errors here in translation are not his. SevenDust F uses a trojan 
  590.   "ExtensionConflict", common extensions names, and creator 'ACCE'.[SL] 
  591.  
  592.   T4 (A, B, C, D): infects applications, Finder, and tries to modify 
  593.   System so that startup code is altered. Under System 6 and 7.0, 
  594.   INITs and system extensions don't load. Under 7.0.1, the Mac may be 
  595.   unbootable. Damage to infected files and altered System is not 
  596.   repairable by Disinfectant. The virus masquerades as Disinfectant, 
  597.   so as to spoof behaviour blockers such as Gatekeeper. Originally 
  598.   included in versions 2.0/2.1 of the public domain game GoMoku. 
  599.  
  600.   T4-D spreads from application to application on launch by appending 
  601.   itself to the 'CODE' resource. Deletes files other than the System 
  602.   file from the System Folder, and documents, and is termed dangerous. 
  603.   The D strain is not known to be in circulation [SL]. 
  604.  
  605.   WDEF (A,B): infects desktop file only. Doesn't spread under System 
  606.   7. No intentional damage, but causes beeping, crashes, font 
  607.   corruption and other problems. 
  608.  
  609.   zero: nVIR variant. 
  610.  
  611.   Zuc (A, B, C): infects applications. The cursor moves diagonally 
  612.   and uncontrollably across the screen when the mouse button is held 
  613.   down when an infected application is run. No other intentional 
  614.   damage is done. 
  615.  
  616. 7.2  HyperCard infectors 
  617. ------------------------ 
  618.   These are a somewhat esoteric breed, but a couple have been seen 
  619.   since Disinfectant was last upgraded in 1995, and most of the 
  620.   commercial scanners detect them. 
  621.  
  622.   Dukakis - infects the Home stack, then other stacks used 
  623.   subsequently. Displays the message "Dukakis for President", then 
  624.   deletes itself, so not often seen. 
  625.  
  626.   HC 9507 - infects the Home stack, then other running stacks and 
  627.   randomly chosen stacks on the startup disk. On triggering, displays 
  628.   visual effects or hangs the system. Overwrites stack resources, so 
  629.   a repaired stack may not run properly. 
  630.  
  631.   HC 9603 - infects the Home stack, then other running stacks. No 
  632.   intended effects, but may damage the Home stack. 
  633.  
  634.   HC "Two Tunes" (referred to by some sources as "Three Tunes") - 
  635.   infects stack scripts. Visual/Audio effects: 'Hey, what are you 
  636.   doing?' message; plays the tune "Muss I denn"; plays the tune 
  637.   "Behind the Blue Mountains"; displays HyperCard toolbox and pattern 
  638.   menus; displays 'Don't panic!' fifteen minutes after activation. 
  639.   Even sources which describe this virus as "Three Tunes" seem to 
  640.   describe the symptoms consistently with the description here, but 
  641.   we will, for completeness, attempt to resolve any possible 
  642.   confusion when time allows. This virus has no known with the PC 
  643.   file infector sometimes known as Three Tunes. 
  644.  
  645.   MerryXmas - appends to stack script. On execution, attempts to 
  646.   infect the Home stack, which then infects other stacks on access. 
  647.   There are several strains, most of which cause system crashes and 
  648.   other anomalies. At least one strain replaces the Home stack script 
  649.   and deletes stacks run subsequently. Variants include Merry2Xmas, 
  650.   Lopez, and the rather destructive Crudshot. [Ken Dunham discovered 
  651.   the merryXmas virus. His program merryxmasWatcher 2.0 was very 
  652.   popular and still can eradicate the most common two strains, 
  653.   merryXmas and merry2Xmas. merryxmasWatcher 2.0 is outdated for the 
  654.   rest this family.] 
  655.  
  656.   Antibody is a recent virus-hunting virus which propagates between 
  657.   stacks checking for and removing MerryXmas, and inserting an 
  658.   inoculation script. 
  659.  
  660.   Independance (sic) Day - reported in July, 1997. It attempts to 
  661.   to be destructive, but fortunately is not well enough written to be 
  662.   more than a nuisance. More information at: 
  663.   <http://www.hyperactivesw.com/Virus1.html#IDay> 
  664.  
  665.   Blink - reported in August, 1998. Nondestructive but spreads; 
  666.   infected stacks blink once per second starting in January, 1999. 
  667.  
  668. 7.3  Mac Trojan Horses 
  669. ---------------------- 
  670.   These are often unsubtle and immediate in their effects: while 
  671.   these effects may be devastating, Trojans are usually very 
  672.   traceable to their point of entry. The few Mac-specific Trojans are 
  673.   rarely seen, but of course the commercial scanners generally detect 
  674.   them. 
  675.  
  676.   ChinaTalk - system extension - supposed to be sound driver, but 
  677.   actually deletes folders. 
  678.  
  679.   CPro - supposed to be an update to Compact Pro, but attempts to 
  680.   format currently mounted disks. 
  681.  
  682. + ExtensionConflict - supposed to identify Extensions conflicts, but 
  683.   installs one of the six SevenDust a.k.a. 666 viruses. 
  684.  
  685.   FontFinder - supposed to lists fonts used in a document, but 
  686.   actually deletes folders. 
  687.  
  688.   MacMag - HyperCard stack (New Apple Products) that was the origin 
  689.   of the MacMag virus. When run, infected the System file, which then 
  690.   infected System files on floppies. Set to trigger and self-destruct 
  691.   on March 2nd, 1988, so rarely found. 
  692.  
  693.   Mosaic - supposed to display graphics, but actually mangles 
  694.   directory structures. 
  695.  
  696.   NVP - modifies the System file so that no vowels can be typed. 
  697.   Originally found masquerading as 'New Look', which redesigns the 
  698.   display. 
  699.  
  700.   Steroid - Control Panel - claims to improve QuickDraw speed, but 
  701.   actually mangles the directory structure. 
  702.  
  703.   Tetracycle - implicated in the original spread of MBDF 
  704.  
  705.   Virus Info - purported to contain virus information but actually 
  706.   trashed disks. Not to be confused with Virus Reference. 
  707.  
  708.   Virus Reference 2.1.6 mentions an 'Unnamed PostScript hack' which 
  709.   disables PostScript printers and requires replacement of a chip on 
  710.   the printer logic board to repair. A Mac virus guru says: 
  711.  
  712.   "The PostScript 'Trojan' was basically a PostScript job that 
  713.   toggled the printer password to some random string a number of 
  714.   times.  Some Apple laser printers have a firmware counter that 
  715.   allows the password to only be changed a set number of times 
  716.   (because of PRAM behavior or licensing -- I don't remember which), 
  717.   so eventually the password would get "stuck" at some random string 
  718.   that the user would not know.  I have not heard any reports of 
  719.   anyone suffering from this in many years." 
  720.  
  721.   AppleScript Trojans - A demonstration destructive compiled 
  722.   AppleScript was posted to the newsgroups alt.comp.virus, 
  723.   comp.sys.mac.misc, comp.sys.mac.system, it.comp.macintosh, 
  724.   microsoft.public.word.mac, nl.comp.sys.mac, no.mac, and 
  725.   symantec.support.mac.sam.general on 16-Aug-97, apparently in 
  726.   response to a call for help originally posted to alt.comp.virus on 
  727.   14-Aug-97 and followup on 15-Aug-97. On 03-Sep-97, MacInTouch 
  728.   published Xavier Bury's finding of a second AppleScript trojan 
  729.   horse, which, like the call for help followup, mentioned Hotline 
  730.   servers. It reportedly sends out private information while running 
  731.   in the background. A note to users from Hotline Communications CEO 
  732.   Adam Hinkley is posted at 
  733.   <http://www.macvirus.com/news/press/970903a.html>. 
  734.   AppleScripts should be downloaded only from known trusted sources. 
  735.   It is nigh impossible for an average person to know what any given 
  736.   compiled script will do. 
  737.  
  738. 7.4  Macro viruses, trojans, variants 
  739. ------------------------------------- 
  740.   At the time of the longstanding second-to-last upgrade of 
  741.   Disinfectant (version 3.6 in early 1995), there were no known macro 
  742.   viruses in the wild, apart from HyperCard infectors. In any case, 
  743.   Disinfectant was always intended to deal with system viruses, not 
  744.   trojans or macro/script viruses. However, many users are unaware of 
  745.   these distinctions and still assume that Disinfectant is a complete 
  746.   solution, even after its effective demise (in fact, there were 
  747.   people still relying on Gatekeeper long after its author disowned 
  748.   it....). 
  749.  
  750.   Unfortunately, the number of known macro viruses runs into several 
  751.   thousand, though the number in the wild is far fewer. 
  752.  
  753.   Most macro viruses (if they have a warhead at all) target Intel 
  754.   platforms and assume FAT-based directory structures, so they 
  755.   usually have no discernible effect on Macs when they trigger. 
  756.   Viruses that manipulate text strings within a document may work 
  757.   just as well on a Macintosh as on a PC. 
  758.  
  759.   In any case, the main costs of virus control are not recovery from 
  760.   virus payloads, but the costs of establishing detection and 
  761.   protection (or of not establishing them). The costs of not 
  762.   establishing these measures can be considerable, irrespective of 
  763.   damage caused on infected machines, especially in corporate 
  764.   environments. Secondary distribution of infected documents may 
  765.   result in: 
  766.  
  767.   * civil action - for instance, inadvertent distribution of an 
  768.     infected document to external organisations may be in breach of 
  769.     contractual obligations 
  770.  
  771.   * legal action in terms of breach of data-protection legislation 
  772.     such as the UK Data Protection Act or the European Data Protection 
  773.     directive. The eighth principle of the Data Protection Act, for 
  774.     instance, requires that security measures are taken to protect 
  775.     against unauthorised access to, and alteration, disclosure and 
  776.     destruction of personal data, or its accidental loss. 
  777.  
  778.   * damage to reputation - no legitimate organisation wants to be 
  779.     seen as being riddled with viruses. 
  780.  
  781.   Since Word 6.x for Macintosh supports WordBasic macros, it is as 
  782.   vulnerable as Word 6.x and 7.x on Intel platforms to being infected 
  783.   by macro viruses, and therefore to generating other infected 
  784.   documents (or, strictly speaking, templates). Working Excel viruses 
  785.   are now beginning to appear also, and any future Macintosh 
  786.   application that supports Visual Basic for Applications will also 
  787.   be vulnerable. Note also that the possibility of virus-infected 
  788.   files embedded as objects in files associated with other 
  789.   applications: this possibility exists on any platform that supports 
  790.   OLE. 
  791.  
  792. ++Office 98 is in general vulnerable to infection by most viruses which 
  793.   affect corresponding applications in Office 97. 
  794.  
  795.   Macro viruses are therefore highly transmissible via 
  796.   Macintoshes, even if they don't have a destructive effect on 
  797.   Motorola platforms, if there is an equivalent application 
  798.   available on the Macintosh. For instance, although Word for 
  799.   Windows versions before vs. 6 support WordBasic, Word 
  800.   versions for the Mac up to and including version 5.1 do not. 
  801.   [Thus Word 5.1 users can not be directly infected, but may, 
  802.   like anyone, pass on infected documents to vulnerable systems.]] 
  803.  
  804.   Network Associates, Symantec, and Intego all make known-virus 
  805.   scanners that detect a range of macro viruses. Microsoft make 
  806.   available a free 'protection tool' whose effectiveness is often 
  807.   overestimated. (See below.) 
  808.  
  809. ++[I'm no longer able to find any reference on Intego's site to Rival: 
  810. their efforts seems to be focused on their personal firewall for Macintosh.] 
  811.  
  812.   For further information on specific macro viruses, try one of the 
  813.   information resources given earlier. 
  814.  
  815. 7.5  Other Operating Systems, emulation on a Mac 
  816. ------------------------------------------------ 
  817.   Any Mac running any sort of DOS or Windows emulation such as 
  818.   Virtual PC, SoftPC, SoftWindows, RealPC, or a DOS compatibility 
  819.   card is a potential target for any PC virus, including Boot Sector 
  820.   Infectors/Multipartites; (effects will vary). It is highly 
  821.   recommended that anyone with such a system should run a reputable, 
  822.   up-to-date PC antivirus program under emulation, as well as a good 
  823.   Mac antivirus program. [Dr. Solomon's for the Mac detected PC boot 
  824.   sector infectors as well as Mac viruses, but didn't detect PC file 
  825.   viruses (apart from macro viruses), and so was not sufficient 
  826.   protection for a Mac with DOS emulation.] 
  827.  
  828.   Recommendations for defending PC systems or PC emulation on Macs 
  829.   are slightly out-of-scope for this FAQ. In fact, I don't know of 
  830.   any formal testing for PC antivirus software in the context of PC 
  831.   emulation on Macs. I've done some informal testing (referred to in 
  832.   another paper), but am not prepared to make vendor-specific 
  833.   recommendations on the basis of such testing. F-Prot, AVP, and Dr 
  834.   Solomon's are particularly well-regarded PC antivirus packages, of 
  835.   which some components on some platforms are available as freeware 
  836.   or for evaluation, but their efficacy in the context of PC 
  837.   emulation is not well tested or documented. 
  838.  
  839.   To find a commercial or shareware package relevant to PCs, check 
  840.   through the independent comparative reviews sites: 
  841.   University of Hamburg Virus Test Center 
  842.   <http://agn-www.informatik.uni-hamburg.de/vtc/naveng.htm> 
  843.   University of Tampere Virus Research Unit 
  844.   <http://www.uta.fi/laitokset/virus/> 
  845.   Secure Computing 
  846.   <http://www.westcoast.com/> 
  847.   Virus Bulletin 
  848.   <http://www.virusbtn.com/> 
  849.  
  850. + About.com has an aggregation of PC anti-virus reviews links. 
  851.   <http://antivirus.about.com/msub12.htm> 
  852.  
  853.   Robert Michael Slade's lists may also be helpful. 
  854.   <http://www.freenet.victoria.bc.ca/techrev/quickref.html> 
  855.   <http://www.freenet.victoria.bc.ca/techrev/rms.html> 
  856.  
  857. 7.6  AutoStart 9805 Worms 
  858. ------------------------- 
  859.   AutoStart 9805 is not a virus, but a worm: that is, it replicates 
  860.   by copying itself, but doesn't attach itself parasitically to a 
  861.   host program. The original took hold rapidly in Hong Kong and 
  862.   Taiwan in April 1998, and has been reported on at least four 
  863.   continents. In addition to the original worm, there are five 
  864.   variants. Virus Bulletin, July, 1998, includes a comprehensive 
  865.   analysis of AutoStart and some of its variants. 
  866.  
  867.   CIAC Bulletin I-067 is based on Eugene Spafford's information 
  868.   release on the original AutoStart worm. Unfortunately,this is now a 
  869.   little out-of-date, particularly as regards the update status of 
  870.   the antivirus software it mentions. Nor does it mention any of the 
  871.   subsequently discovered variants. 
  872.   <http://www.ciac.org/> 
  873.  
  874.   Symptoms: Perhaps the most noticeable symptom of the worms is that 
  875.   an infected system will _lock up and churn with unexplained disk 
  876.   activity_ every 6, 10, or 30 minutes.[SL] 
  877.  
  878.   Affected platforms: any PowerMac. Macintoshes and clones driven by 
  879.   Motorola 680x0 series CPUs can't run the replicative code. It works 
  880.   under any version of Mac OS, if QuickTime 2.0 or later is installed 
  881.   and CD-ROM AutoPlay is enabled in the "QuickTime Settings" Control 
  882.   Panel. 
  883.  
  884.   Transmission media: HFS or HFS+ volumes (hard disks, diskettes, 
  885.   most types of removable media, even disk images). Audio CDs can't 
  886.   transmit the virus, and it isn't necessary to disable "Audio CD 
  887.   AutoPlay". 
  888.  
  889.   Transmission method: infected media contain an invisible 
  890.   application file named "DB" or "BD" or "DELDB" in the root 
  891.   directory (type APPL, creator ????). This is an AutoStart file: 
  892.   i.e. it will run automatically if CD-ROM autoplay is enabled. If 
  893.   the host Mac isn't already infected, it copies itself to the 
  894.   Extensions folder. The new copy is renamed "Desktop Print Spooler" 
  895.   or "Desktop Printr Spooler", or "DELDesktop Print Spooler" 
  896.   respectively (type appe, creator ????). Unlike the legitimate 
  897.   Desktop Printer Spooler extension, the worm file has the invisible 
  898.   attribute set, and isn't listed as a running process by the system 
  899.   software, though it can be seen with Process Watcher or Macsbug. 
  900.   After copying itself, it reboots the system and is now launched 
  901.   every time the system restarts. At approximately 6, 10, or 30 
  902.   minute intervals, it examines mounted volumes to see if they're 
  903.   infected: if not, it writes itself to the root directory and sets 
  904.   up AutoStart (however, AutoStart won't work on a server volume). 
  905.  
  906.   Damage: files with names ending "data", "cod" or "csa" are targeted 
  907.   if the data fork is larger than 100 bytes. Files with names ending 
  908.   "dat" are targeted if the whole file is c. 2Mb or larger. Targeted 
  909.   files are attacked by overwriting the data fork (up to the 1st Mb) 
  910.   with garbage. 
  911.  
  912.   Besides the original, there are five variants: AutoStart 9805-B, 
  913.   which is less noticeable but can cause irreparable damage to files 
  914.   of type 'JPEG', 'TIFF', and 'EPSF'; AutoStart 9805-C and AutoStart 
  915.   9805-D which do not intentionally damage data; AutoStart 9805-E 
  916.   which spreads like B and is most similar to the original; and 
  917.   AutoStart 9805-F which is most similar to A and E. 
  918.   Dr Solomon's, Sophos, and Symantec had descriptions on the Web: 
  919.   <http://www.drsolomon.com/vircen/valerts/mac/> 
  920.   <http://www.sophos.com/virusinfo/analyses/autostart9805.html> 
  921.   <http://www.symantec.com/avcenter/data/autostart.9805.html> 
  922. ++Dead Mac Virus link cleaned. 
  923.  
  924.   Detection: updates to deal with the worms are available for Virex 
  925.   (http://www.drsolomon.com/products/virex/), for NAV and SAM 
  926.   (http://www.symantec.com/avcenter/download.html), and for Rival 
  927.   (http://www.intego.com/). 
  928.  
  929.   The last versions of VirusScan for Mac and Disinfectant did not detect 
  930.   AutoStart. [Reference to Dr Solomon's for Mac removed, as the product is 
  931.   no longer supported.] 
  932.  
  933.   Prevention: uninfected systems can be protected by disabling the 
  934.   AutoStart option in QuickTime settings (QuickTime 2.5 or later only 
  935.   - earlier versions don't have a disable option). This should also 
  936.   prevent infection by future malware exploiting the same loophole, 
  937.   but will fail if a setup is booted from a volume with an infected 
  938.   Extensions Folder [SL]. 
  939.  
  940.   Removal: the easiest and safest method for most people will be to 
  941.   use the updated version of their favoured anti-virus software, as 
  942.   it becomes available. 
  943.  
  944.   The worms can be also be removed manually. 
  945.   * Reboot with extensions disabled (hold down the shift key till an 
  946.     alert box tells you that extensions are off). 
  947.   * Use Find File to search all volumes for all instances of a file 
  948.     called "DB" or "BD" or "DELDB" with the invisibility attribute set 
  949.     (hold down Option key when clicking on "Name" pop-up menu to select 
  950.     for visibility). Trash 'em. 
  951.   * Use Find File to find and trash an invisible "Desktop Print 
  952.     Spooler", "Desktop Printr Spooler", or "DELDesktop Print Spooler" 
  953.     file (-not- Desktop Printer Spooler, which is a legitimate and 
  954.     usually necessary system file). 
  955.   * Empty the trash. 
  956.   * Disable AutoStart in QuickTime Settings Control Panel. 
  957.   * Restart. 
  958.  
  959. 7.7  Esperanto.4733 
  960. ------------------- 
  961.   This probably doesn't belong here. It's a PC file infector which 
  962.   works with a number of PC executable file formats. When it was 
  963.   first seen, it was reported to be a multiplatform virus capable of 
  964.   executing under some circumstances on Macintoshes. Subsequent 
  965.   reports indicate that this belief results from misinformation on 
  966.   the part of the author. However, at least two reputable PC 
  967.   anti-virus vendors still list it as capable of activating on a 
  968.   Macintosh. No Mac scanner is known to attempt to detect it.
  969.  
  970. 8.0  What's the best antivirus package for the Macintosh? 
  971. ========================================================= 
  972.  
  973.   As ever, we can't give a definitive answer to this. The best choice 
  974.   depends on subjective criteria and individal needs. Nonetheless, 
  975.   Here are some thoughts on the main contenders. 
  976.  
  977. 8.1  Microsoft's Protection Tools 
  978. --------------------------------- 
  979.   Microsoft's Macro Virus Protection Tools originally detected 
  980.   Concept (Nuclear and DMV were also mentioned in the documentation, 
  981.   but were not identified specifically by the tools). Principally, 
  982.   they merely warned users that the document they are about to open 
  983.   contained macros and offered the choice of opening the file without 
  984.   macros, opening it with macros, or cancelling the File Open. Later 
  985.   implementations built into the application are better on 
  986.   identifying a few specific viruses and on integration into Word 
  987.   itself, but should not be relied on for 100% effective detection, 
  988.   blocking and disinfection of macro viruses. More information from 
  989.   Microsoft may be available at the addresses below. 
  990.   <http://www.microsoft.com/office/antivirus/> (no longer accessible) 
  991.   MSN: GO MACROVIRUSTOOL 
  992.   AOL: the Word forum 
  993.   CompuServe: the Word forum 
  994.   Microsoft Product Support Services 
  995.   206-462-9673 (WinWord) 
  996.   206-635-7200 (Word Mac) 
  997.   email: wordinfo@microsoft.com 
  998.  
  999.   NB The Protection Tool traps some File Open operations, but not 
  1000.   all. There are a number of ways of opening a document which bypass 
  1001.   it, some of which are rather commonly used (e.g. double-clicking or 
  1002.   using the Recent Documents list). 
  1003.  
  1004.   The Protection Tool can be used to scan for Concept-infected files, 
  1005.   but there are a number of possible problems with it. 
  1006.  
  1007.   * Earlier versions could only handle a limited size of directory 
  1008.     tree, and ran very slowly if a large number of files required 
  1009.     scanning. Speed is certainly still a problem: I can't say about the 
  1010.     overflow problem. 
  1011.   * Files created in Word for Windows won't be scanned until they've 
  1012.     been opened in Word 6 for Mac (this is a system issue, not a bug in 
  1013.     the code). However, Microsoft suggest that you open the file in 
  1014.     Word for the Macintosh and save it before scanning. This will do 
  1015.     the job, but will also infect your system, if the file is infected. 
  1016.     If it's infected with a virus -other- than Concept, this could 
  1017.     create problems if the Protection Tool is bypassed on a subsequent 
  1018.     file open. 
  1019.   * Infected files embedded in OLE2 files or e-mail files will not be 
  1020.     detected. 
  1021.   * The Microsoft tools are not useful on non-English Windows systems 
  1022.     (which may be run under Virtual PC or Real PC). SCANPROT cannot 
  1023.     handle non-English documents, and will hang during the scanning 
  1024.     process if it encounters a document created with a non-English 
  1025.     version of Word. Microsoft's Excel add-in for the Laroux macro 
  1026.     virus causes multiple file open buttons to appear in non-English 
  1027.     versions of Excel, and so it has worse effects than the macro virus 
  1028.     itself. Again this applies to Windows emulation; however, most 
  1029.     virus protection and detection products are only tested in an 
  1030.     English language environment, and may cause problems on non-English 
  1031.     systems. [Thanks to Eric Hildum for this information.] 
  1032.  
  1033.   Windows 95 users should be aware that SCANPROT is not recommended 
  1034.   for use with MS Word 7.0a for Windows with internal detection 
  1035.   enabled, as these two tools will cancel each other out. 
  1036.  
  1037.   The Excel add-in for Macs removes only Laroux A and B. 
  1038.   <http://www.microsoft.com/macoffice/laroux.htm> 
  1039.  
  1040. ++Office 98 moves the goalposts again. This issue will probably be 
  1041.   addressed again here in more depth. In brief, Office 98 does a 
  1042.   better job of implementing a primarily generic approach [i.e. "If 
  1043.   it contains macros, it's suspicious: sort it out yourself...."], 
  1044.   but whether this is enough is a question demanding more space and 
  1045.   time than I have to spare right now. Office 97/98 include limited 
  1046.   detection of a handful of known viruses during upconversion of 
  1047.   macros. This is poorly implemented and in any case is only triggered 
  1048.   when macros are converted to VBA from WordBasic. Vesselin Bontchev 
  1049.   has considered macro upconversion at some length in papers for 
  1050.   Virus Bulletin and EICAR conferences. 
  1051.  
  1052. ++Microsoft's home page has recommended using an ICSA-certified 
  1053.   antivirus utility and sidesteps any hint of responsibility for any 
  1054.   macro virus or SCANPROT related problems. However, ICSA does not 
  1055.   currently certify Mac products, though this is being looked at. 
  1056.  
  1057. 8.2  Disinfectant 
  1058. ----------------- 
  1059.   [On May 6th 1998, John Norstad, author of this widely-used freeware 
  1060.   package announced that it was to be retired. 3.7.1 is the latest 
  1061.   and last version, and it won't be updated to detect AutoStart 9805 
  1062.   or any subsequent Macintosh malware. The main reason for this is 
  1063.   that he doesn't have the resources to extend its capabilities to 
  1064.   detect macro viruses, which have become by far the most significant 
  1065.   virus problem for most Macintosh users. 
  1066.  
  1067.   This is probably a wise decision, given the number of people who 
  1068.   still overestimate the effectiveness of the package in the face of 
  1069.   the macro virus threat. However, the entire Macintosh community 
  1070.   owes John Norstad a debt of gratitude for making it freely 
  1071.   available for so long, an act of altruism which has probably 
  1072.   contributed very significantly to the comparative rarity of native 
  1073.   Macintosh viruses.] 
  1074.  
  1075.   Disinfectant was an excellent anti-virus package with exemplary 
  1076.   documentation, and didn't cost a penny: however, it didn't detect 
  1077.   all the forms of malware that a commercial package usually does, 
  1078.   including HyperCard infectors, most Trojans, jokes or macro 
  1079.   viruses. Unlike some commercial packages, it didn't scan compressed 
  1080.   files, either: compressed files had to be expanded before scanning. 
  1081.   Self-extracting archives were probably best scanned before 
  1082.   unpacking, then again when unpacked. 
  1083.  
  1084.   Disinfectant has been available up to now from the following 
  1085.   sources, but this may not continue to be the case.: 
  1086.   <ftp://ftp.acns.nwu.edu/pub/disinfectant/> 
  1087.   CompuServe 
  1088.   GEnie 
  1089.   America Online 
  1090.   Calvacom 
  1091.   Delphi 
  1092.   BIX 
  1093.   Info-Mac mirrors in the ../vir/ directory 
  1094.  
  1095.   The Disinfectant README was updated to README-IMPORTANT on 6 May 
  1096.   1998, with the message, "because of the widespread and dangerous 
  1097.   Microsoft macro virus problem," "...All Disinfectant users should 
  1098.   switch..." to another program. README-IMPORTANT was updated again 
  1099.   on 11 October 1998, adding, "In addition to the Autostart worm and 
  1100.   the Microsoft macro viruses, several other new Mac viruses have 
  1101.   appeared since Disinfectant's retirement in May. This makes it even 
  1102.   more important that Disinfectant users switch..." to one of the 
  1103.   commercial products. 
  1104.   <ftp://ftp.nwu.edu/pub/disinfectant/README-IMPORTANT> 
  1105.   There is a copy of the retirement announcement on the Web: 
  1106.   <http://charlotte.acns.nwu.edu/jln/d-retire.ssi> 
  1107.  
  1108. 8.3  Demo Software 
  1109. ------------------ 
  1110.   Symantec has a 30-day fully-functioning trialware NAV (Norton 
  1111.   AntiVirus for Macintosh). Update it with current definitions. 
  1112.   <http://www.symantec.com/nav/fs_navmac5.html> 
  1113.  
  1114.   Network Associates has a 30-day fully-functioning evaluation 
  1115.   version of Virex 5.9.1. The Virex trial includes the application, 
  1116.   not the control panel. 
  1117.   <ftp://ftp.nai.com/pub/antivirus/mac/virex/> 
  1118.   Update the demo with current definitions: 
  1119.   <ftp://ftp.nai.com/pub/antivirus/datfiles/mac/virex/>. 
  1120.  
  1121.   Sophos also has a 30-day evaluation, also fully-functioning, 
  1122.   which includes the SWEEP application. The demo supports both 
  1123.   English and Japanese. 
  1124.   <http://www.sophos.com/downloads/eval/savmac.html> 
  1125.  
  1126. ++Intego has a limited-function French demo of Rival, "miniRival." 
  1127.   <http://www.intego.com/demo.html> [This seems to have disappeared, 
  1128.   along with Rival itself - 11-12-99] 
  1129.  
  1130.   Disinfector 1.0 is described by its author as shareware. However, 
  1131.   it's strictly speaking a limited-runtime demo -- it stops 
  1132.   functioning after 20 trial runs on one system. It's described as a 
  1133.   beta release, but the author expects users to register it at a 
  1134.   charge of $30 [subsequently reduced to $15]: in return, they get a 
  1135.   version which can be used an unlimited number of times. It only 
  1136.   detects a handful of Mac system viruses which the author claims 
  1137.   that commercial vendors have not detected, and have not been 
  1138.   reported in the wild. In the early days of virus/antivirus 
  1139.   technology, a number of utilities were made available which 
  1140.   addressed only one or a few viruses, and a proliferation of free 
  1141.   AutoStart worm detectors continues that honourable tradition. 
  1142.   However, charging for this particular utility puts it into the same 
  1143.   arena as the commercial scanners which detect a far wider range of 
  1144.   threats and for which full support is available, an area in which 
  1145.   it cannot at present compete. Disinfector was briefly available at 
  1146.   Info-Mac, but has since been removed. 
  1147. ++[I suspect that this product has been removed from circulation, but 
  1148. haven't checked with the author. This section will probably be amended 
  1149. or removed in the next version of the FAQ, when I've checked.] 
  1150.  
  1151.   There have also been a number of proposals since John Norstad 
  1152.   announced the retirement of Disinfectant, suggesting that if the 
  1153.   code was made public, it would be possible to maintain and further 
  1154.   develop Disinfectant, possibly still as a freeware product. This is 
  1155.   misguided, for a number of reasons. 
  1156.  
  1157.   * It misses one of the main points of Norstad's announcement, which 
  1158.     is to acknowledge the dangers of continuing to develop a scanner 
  1159.     which detects only one class of virus, when so many people have 
  1160.     laboured so long under the misapprehension that it was a complete 
  1161.     solution. 
  1162.   * Disinfectant -has- been developed further. VirusScan is based on 
  1163.     Disinfectant technology (under licence), and NAI are in a much 
  1164.     better position to develop it as commercial-grade software than a 
  1165.     group of well-meaning individuals without the specialised skills 
  1166.     and resources of a mainstream anti-virus development team. Indeed, 
  1167.     it may be that the terms of that agreement would prevent Norstad 
  1168.     from making the code public even if he wanted to (I doubt that he 
  1169.     does....). 
  1170.   * Making the code public, even to a limited circle, would increase 
  1171.     the chances of its falling into irresponsible hands. In fact, the 
  1172.     online documentation has long stated that the code for the 
  1173.     detection engine is not available, though some of the interface 
  1174.     code was. (I'm paraphrasing from memory: I may well check out 
  1175.     exactly what it says for the next update of the FAQ.) 
  1176.   * To think that a committee of well-intentioned amateurs (or a 
  1177.     single ambitious amateur can develop Disinfectant to the same high 
  1178.     standard that it achieved through its lifetime demonstrates a 
  1179.     profound underestimation of the difficulties of maintaining (let 
  1180.     alone creating) a first-class known-virus scanner. [DH] Curiously, 
  1181.     the same fallacies have recently been been aired on a Unix virus 
  1182.     discussion list. 
  1183.  
  1184. 8.4  Other freeware/shareware packages 
  1185. -------------------------------------- 
  1186.   For other freeware\shareware Mac packages, try Info-Mac mirrors 
  1187.   like: 
  1188.   <ftp://ftp.ucs.ubc.ca/pub/mac/info-mac/vir/> 
  1189.  
  1190.   The University of Texas holds some older documentation on Mac 
  1191.   viruses. 
  1192.   <http://wwwhost.ots.utexas.edu/mac/pub-mac-virus.html> 
  1193.  
  1194.   Tracker INIT and DelProtect INIT, both by Ioannis Galidakis, were 
  1195.   first released on 19-Nov-98. Tracker is a behavior blocker something 
  1196.   like the retired program GateKeeper. DelProtect protects against 
  1197.   malicious file deletion. Tracker is now at version 1.1. Scanner 1.1x 
  1198.   also by Ioannis Galidakis was released 15-Jan-99, and is a free, 
  1199.   generic, heuristic 68k virus scanner for advanced Macintosh users. 
  1200.   <http://www.crosswinds.net/athens/~jgal/> 
  1201.  
  1202.   John Dalgliesh has created Agax, an extensible, free anti-virus 
  1203.   program which replaces his program AntiGax, and uses plug-ins called 
  1204.   "Additives." At this time, Agax will detect and try to clean only 
  1205.   SevenDust, CODE 9811, and the AutoStart worms (the worm additive was 
  1206.   in beta testing at the time of this writing). The author's Web page 
  1207.   and documentation invite Mac programmers to contribute additives. 
  1208.   <http://www.cse.unsw.edu.au/~s2191331/agax/agax.html> 
  1209.  
  1210.   The Exorcist, free from Laffey Computer Imaging, may give some (by 
  1211.   one description, about 90%) protection from the SevenDust family. 
  1212.   <http://www.laffeycomputer.com/software.html> 
  1213.  
  1214.   Gatekeeper was not a scanner, but a generic tool. It is no longer 
  1215.   supported by its author, but is still available on some sites. It 
  1216.   is probably not safe to use or rely on on modern systems, and I 
  1217.   believe the author recommends that people don't attempt to use it, 
  1218.   though I've been unable to contact him to get confirmation. 
  1219.  
  1220.   In January 1997 Padgett Peterson, author of the PC utility 
  1221.   DiskSecure, released the first version of his MacroList macro 
  1222.   detection tool, which has been tested by the author on Macs (System 
  1223.   7.5 on SE/30, IIci and PowerMac) as well as Windows PCs, using 
  1224.   considerably more macro viruses than Microsoft seem to have heard 
  1225.   of..... The MacroList template is accessed by a button in the 
  1226.   standard toolbar. This is not a virus scanner, but allows disabling 
  1227.   of automacros, listing of any macros found in the current document 
  1228.   etc. Version 1.10 was due for release by the time of writing 
  1229.   (February 1997), and an adaptation for Office97 is in progress. 
  1230.   Watch the Web page for further details. [v1.1 and the Office 97 
  1231.   "late beta" were available as at 18th March 1997.] MacroList is 
  1232.   freeware, but please be sure to read the TRIALS link. 
  1233.   <http://www.freivald.org/~padgett/> 
  1234.   (under Anti-Virus Hobby) - NB change of URL. 
  1235.  
  1236.   WormGuard by Clarence Locke is a free on-access extension that 
  1237.   affords AutoStart worm protection: 
  1238.   <http://hyperarchive.lcs.mit.edu/cgi-bin/NewSearch?key=WormGuard> 
  1239.  
  1240.   The following free scanners may remove AutoStart 9805 and its B, C, 
  1241.   D, E, and F variants and may be useful in the absence of a 
  1242.   commercial application. There are a few reported instances of 
  1243.   failures by some of these programs to identify or remove the 
  1244.   AutoStart worms, and it is likely that D might be mis-identified as 
  1245.   C, and E may be mis-identified as the original worm. [SL] 
  1246.  
  1247.   WormScanner by James Walker 
  1248.   <http://members.aol.com/jwwalker/pages/worm.html> 
  1249.   Autostart Hunter by Akira Nagata 
  1250.   <http://www.nettaxi.com/citizens/yukoswrd/> (English) 
  1251.   <http://www.parkcity.ne.jp/~eyukoswrd/index_mac.html> (Japanese) 
  1252.   BugScan by Mountain Ridge Dataworks (also detects SevenDust E) 
  1253.   <http://www.mrdataworks.com/bscan.htm> 
  1254.   Worm Gobbler by Jim Kreinbrink 
  1255.   <http://www.lineaux.com/> 
  1256.   Innoculator by MacOffice 
  1257.   <http://www.macoffice.com/innoculator.htm> 
  1258.   WormFood by Doug Baer 
  1259.   <http://hyperarchive.lcs.mit.edu/cgi-bin/NewSearch?key=WormFood> 
  1260.   Eradicator with update, by Uptown Solutions Ltd. 
  1261.   <http://www.uptown.com/> 
  1262.  
  1263.   As stated above, one-shot solutions to a very small subset of a 
  1264.   particular class of threat have a long and honourable history, and 
  1265.   are very welcome when a new threat catches the antivirus developers 
  1266.   on the hop (it can take some time to incorporate detection of new 
  1267.   threats into the product update cycle). NB The maintainer does not 
  1268.   currently have the time or resources to do full detection testing of 
  1269.   these products (or any other). [DH] 
  1270.  
  1271. 8.5  Commercial Packages 
  1272. ------------------------ 
  1273.   Commercial packages include NAV (Norton AntiVirus for Macintosh) 
  1274.   [NAV supersedes SAM (Symantec Antivirus for Macintosh)], Virex for 
  1275.   Macintosh, Rival, and Sophos Anti-Virus for Macintosh (SAV). 
  1276.  
  1277.   Virex, NAV, and SAM [obsolete] all address a full range of threats, 
  1278.   including Trojans and macro viruses, and can do scheduled scanning 
  1279.   as well as on-access (memory-resident) scanning. 
  1280.  
  1281. ++Sophos Anti-Virus for Macintosh (SAV) was upgraded in January 1999 
  1282.   to include the SWEEP on-demand scanner. The shipping version can be 
  1283.   downloaded for free evaluation. English and Japanese are supported. 
  1284.   <http://www.sophos.com/downloads/eval/> Stand-alone on-access scanning 
  1285.   is now available in the release version. Server-based on-access scanning 
  1286.   has long been available for Mac clients on NT or NetWare networks. 
  1287.   The program offers customizable reporting and notification from an 
  1288.   attractive interface. So far, compressed archives must be 
  1289.   decompressed before scanning; I am assured that archive scanning 
  1290.   will be in future versions. Complete documentation is in PDF format. 
  1291.   <http://www.sophos.com/support/docs/> 
  1292. + Sophos combines an intercept driver (InterCheck) and a scanner 
  1293.   application (SWEEP). Sales are not retail, but direct or through 
  1294.   the Sophos Distributor network. Free technical support is all-year 
  1295.   round, any time of day. Virus identity updates are available from 
  1296.   the Web between monthly CD-ROMs. Major developments in the Sophos 
  1297.   product are expected, including smooth large-scale deployment and 
  1298.   ease of updating over networks.[SL] 
  1299. [This section is overdue for serious refurbishment. Next FAQ release, maybe. There 
  1300. may be an issue with the Sophos control panel and some USB drives - not formally 
  1301. tested to date.] 
  1302.  
  1303.   Norton AntiVirus for Macintosh (NAV) launched May 18, 1998. New 
  1304.   features included LiveUpdate virus definition updates over the 
  1305.   Internet, enhanced macro virus protection, automatic file repair, a 
  1306.   bootable CD-ROM for emergencies, faster scanning for PPC, and a 
  1307.   universal SafeZone. 
  1308.  
  1309.   NAV, SAM, and Virex offer checksumming/integrity checking 
  1310.   (detecting possible infection by unknown viruses, by monitoring 
  1311.   changes in infectable files) - the correct checksums or 
  1312.   fingerprints for individual files are kept in a database file. All 
  1313.   three applications check files compressed with StuffIt. 
  1314.  
  1315.   NAV, formerly SAM, is particularly oriented towards behaviour 
  1316.   blocking: the Intercept tool can be configured to raise an alert at 
  1317.   the slightest whiff of a 'suspicious' operation. Unfortunately, 
  1318.   this can be counterproductive in real life, since an over-stringent 
  1319.   alert policy is apt to result in the facility being turned off 
  1320.   altogether. However, configuration is very flexible. 
  1321.  
  1322.   SAM (Symantec AntiVirus for Macintosh) support was discontinued 
  1323.   May 1; the last update is for July '99. From Symantec's advice: 
  1324.    "In order to maintain the safety and security of your data 
  1325.     from viruses without interruption, we recommend that you 
  1326.     upgrade to NAVM 5.0.3 before May 1st. For presales and 
  1327.     upgrade questions, please contact customer service. They 
  1328.     can be reached at 800-441-7234 or online at:" 
  1329.     <http://www.symantec.com/custserv/> 
  1330.  
  1331.   [SAM 4.5.x needs the 4.5->4.5.1 application patch to run current 
  1332.   definitions, and the 4.5.3 Intercept patch to resolve a compatibility 
  1333.   issue with Microsoft Office 98, and Segment Loader errors when 
  1334.   Intercept loads. 
  1335.   <http://service.symantec.com/sam/> 
  1336.   <http://service1.symantec.com/SUPPORT/num.nsf/docid/19978714255> 
  1337.   SAM application Minimum and Preferred memory allocations must be 
  1338.   increased from their shipping defaults to 5000K or greater. The 
  1339.   (May 1998) SAM definitions files included a Read Me with 
  1340.   instructions. More information may be available from Symantec SAM 
  1341.   support on the Web.] 
  1342.  
  1343.   Symantec issued a Norton AntiVirus 5.x->5.0.3 patch for Mac OS 8.5, 
  1344.   fixing the problem with copying files on AppleShare networks. 
  1345.   <http://www.symantec.com/techsupp/files/navm/ 
  1346.   norton_antivirus_for_macintosh.html> 
  1347.  
  1348.   Virex offers very fast scanning is easy to update, and includes 
  1349.   checksumming for the detection of unknown viruses. It's also 
  1350.   possible to buy an administration package. The basic package 
  1351.   includes a control panel for scanning on file or diskette access 
  1352.   which can be locked independently of the administration package. 
  1353.   Installation and interface are easy and efficient. Virex 5.8 scans 
  1354.   ZIP archives, has a contextual menu plug-in module, and interface 
  1355.   enhancements. 
  1356.  
  1357.   Virex 5.9.1 was released on 18-Jan-99, for compatibility with 
  1358.   Mac OS 8.5 and Virex Administrator 1.4, and can be downloaded. 
  1359.   <http://www.drsolomon.com/download/home/>. Registered users who 
  1360.   bought McAfee VirusScan during the past six months or so, and 
  1361.   registered users of Virex 5.8 and 5.9 could still upgrade: 
  1362.   <http://www.nai.com/products/antivirus/virex_mac.asp>. 
  1363.   Virex Administrator version 1.4 was released by NAI on 23-Dec-98. 
  1364.   Virex and Virex Administrator had these home pages: 
  1365.   <http://www.drsolomon.com/products/virex/index.cfm> 
  1366.   <http://www.drsolomon.com/products/vadmin/index.cfm> 
  1367. ++Current Virex release is 6.0. Licensed 5.9x users can obtain an 
  1368.   upgrade. OS 9 users will need the beta control panel available from 
  1369.   www.nai.com, to overcome compatibility problems. 
  1370.  
  1371.   Dr Solomon's Software acquired Virex and netOctopus from Datawatch 
  1372.   Corp. on 10-Oct-97. Network Associates (NAI) acquired Dr Solomon's 
  1373.   on 13-Aug-98. Netopia, Inc., acquired what is now named Timbuktu 
  1374.   netOctopus in late '98 or early '99. 
  1375.  
  1376. ++VirusScan 3.0.1 is the final version for Macintosh, and may be 
  1377.   updated for macro viruses into 1999, but will never have AutoStart 
  1378.   worm definitions or definitions for the new System viruses like 
  1379.   SevenDust E. VirusScan customers need to take advantage of a free 
  1380.   upgrade to Virex as soon as possible. 
  1381.  
  1382.   Dr. Solomon's for Macintosh went through various stages of neglect 
  1383.   through late 1998 and support appears to have vanished altogether in 
  1384.   1999, when customers started to receive Virex disks instead of Dr. 
  1385.   Solly's updates. 
  1386.  
  1387. ++Rival 3.0.4 is available from Intego. [Probably obsolete info.] 
  1388.   <http://www.intego.com/> 
  1389.  
  1390. ++F-Secure for Macintosh is one of the best-kept secrets in anti-virus. 
  1391.   The last time I saw it, it detected macro viruses only. You might be 
  1392.   lucky and find some reference to it at: 
  1393.   <http://www.datafellows.com> 
  1394.   It features on datafellows evaluation CDs.
  1395.  
  1396. 8.6  Contact Details 
  1397. -------------------- 
  1398.   Network Associates 
  1399.   (for Virex, Dr Solomon's Anti-Virus Toolkit, and VirusScan) 
  1400.  
  1401.   Network Associates Corporate Headquarters 
  1402.   3965 Freedom Circle 
  1403.   McCandless Towers 
  1404.   Santa Clara, CA 95054 
  1405.   United States 
  1406.   Customer Care: 
  1407.   Voice +1 408 988 3832 
  1408.   Fax   +1 408 970 9727 
  1409.   Fax-back automated response system 
  1410.   +1 408 988 3034 
  1411.   BBS   +1 408 988 4004 
  1412.   America Online keyword: MCAFEE 
  1413.   CompuServe: GO NAI 
  1414.   support@nai.com 
  1415.   ftp://ftp.nai.com/pub/antivirus/mac/ 
  1416.   http://www.nai.com/ 
  1417.  
  1418.   Dr. Solomon's Software Ltd. 
  1419.   (for Dr. Solomon's Anti-Virus Toolkit) 
  1420.  
  1421.   Alton House 
  1422.   Gatehouse Way 
  1423.   Aylesbury 
  1424.   Buckinghamshire HP19 3XU 
  1425.   United Kingdom 
  1426.   UK Support: support@uk.drsolomon.com 
  1427.   US Support: support@us.drsolomon.com 
  1428.   UK Tel: +44 (0)1296 318700 
  1429.   USA Tel: +1 781-273-7400, 1-888-DRSOLOMON 
  1430.   CompuServe: GO DRSOLOMON 
  1431.   Web: http://www.drsolomon.com 
  1432.   FTP: ftp://ftp.drsolomon.com 
  1433.  
  1434.   Symantec Corporation (for NAV and SAM) 
  1435.  
  1436.   10201 Torre Avenue 
  1437.   Cupertino CA 95014 
  1438.   United States 
  1439.   +1 408 725 2762 
  1440.   Fax: +1 408 253 4992 
  1441.   US Support:  541-465-8420 
  1442.   AOL:  SYMANTEC 
  1443.   European Support:  31-71-353-111 
  1444.   Australian Support:  61-2-879-6577 
  1445.   http://www.symantec.com/ 
  1446.   ftp://ftp.symantec.com/ 
  1447.  
  1448.   Intego (for Rival) 
  1449.  
  1450.   10, rue Say 
  1451.   75009 Paris 
  1452.   France 
  1453.   +33 1 49 95 07 80 
  1454.   Fax: +33 1 49 95 07 83 
  1455.   Email: rival@intego.com 
  1456.   http://www.intego.com/ 
  1457.  
  1458.   Sophos Plc (for Sophos Anti-Virus) 
  1459.  
  1460.   The Pentagon 
  1461.   Abingdon 
  1462.   Oxon 
  1463.   England OX14 3YP 
  1464.   US Support: +1-888-SOPHOS-9 
  1465.   UK Support: +44-1235-559933 
  1466.   http://www.sophos.com/ 
  1467.  
  1468. ++Details on DataFellows will be included when I've determined the current 
  1469.   status of F-Secure for Macintosh. [Sorry: next time round, guys....] 
  1470.   
  1471.  
  1472. 9.0  Welcome Datacomp 
  1473. ===================== 
  1474.  
  1475.   From time to time there are reports from Mac users that the message 
  1476.   'Welcome Datacomp' appears in their documents without having been 
  1477.   typed. This is the result of using a Trojanised 3rd-party 
  1478.   Mac-compatible keyboard with this 'joke' hard-coded into the 
  1479.   keyboard ROM. It's not a virus - it cannot infect anything. The 
  1480.   only cure is to replace the keyboard (be polite but firm with the 
  1481.   dealer if you were sold this as a new keyboard!). 
  1482.   
  1483.  
  1484. 10.0  Hoaxes and myths 
  1485. ====================== 
  1486.  
  1487.   Some of these are PC-specific, rather than Mac-specific, while some 
  1488.   have no basis in reality on any system. [I look forward to hearing 
  1489.   about the first Turing machine infector....] They are included here 
  1490.   (a) because Mac support staff are accustomed to being asked about 
  1491.   them (b) because anything that -might- work on a real PC -might- 
  1492.   also work with DOS emulation, in principle. 
  1493. ++This section may vanish in the near future, or at least contract. 
  1494.   The hoax business has changed a lot since this FAQ began. 
  1495.  
  1496. 10.1  Good Times virus 
  1497. ---------------------- 
  1498.   There is *no* Good Times virus that trashes your hard disk and 
  1499.   launches your CPU into an nth-complexity binary loop when you read 
  1500.   mail with "Good Times" in the Subject: field. 
  1501.  
  1502.   You can get a copy of the latest version of Les Jones' FAQ on the 
  1503.   Good Times Hoax on the World Wide Web: 
  1504.   <http://www.public.usit.net/lesjones/goodtimes.html> 
  1505.  
  1506.   There's a Mini-FAQ available as: 
  1507.   <http://www.public.usit.net/lesjones/gtminifaq.html> 
  1508.  
  1509. 10.2  Modems and Hardware viruses 
  1510. --------------------------------- 
  1511.   There is no modem virus that spreads via an undocumented subcarrier 
  1512.   - whatever that means.... There is no virus that causes damage to 
  1513.   hardware. 
  1514.  
  1515. 10.3  Email viruses 
  1516. ------------------- 
  1517.   Any file virus can be transmitted as an E-mail attachment. However, 
  1518.   the virus code has to be executed before it actually infects. 
  1519.   Sensibly configured mailers and browsers don't allow this: check 
  1520.   yours. In particular, check that your Web browser doesn't 
  1521.   automatically pass Word documents to Word 6 to open, since this may 
  1522.   result in embedded macros being launched. 
  1523.  
  1524. 10.4  JPEG/GIF viruses 
  1525. ---------------------- 
  1526.   There is no known way in which a virus could sensibly be spread by 
  1527.   a graphics file such as a JPEG or .GIF file, which does not contain 
  1528.   executable code. Macro viruses work because the files to which they 
  1529.   are attached are not 'pure' data files. 
  1530.  
  1531. 10.5  Hoaxes Help 
  1532. ----------------- 
  1533.   If you should receive a virus warning, look at these sites before 
  1534.   forwarding it along (in fact, it's probably never justified to pass 
  1535.   on a virus alert indiscriminately, and reputable antivirus 
  1536.   companies don't do this. In fact, the information that such and 
  1537.   such a virus exists is not, in itself, useful to the average 
  1538.   computer user, even if it does. A statement like, "Please forward 
  1539.   to everyone!" is one mark of a hoax. 
  1540.  
  1541.   Computer Virus Myths home page 
  1542.   <http://www.kumite.com/myths/ 
  1543.  
  1544.   CIAC 
  1545.   <http://www.ciac.org/ciac/CIACHoaxes.html> 
  1546.  
  1547.   Data Fellows 
  1548.   <http://www.datafellows.com/news/hoax.htm> 
  1549.  
  1550.   Scams and Hoaxes FAQ: Messages you DON'T want to post 
  1551.   <http://www.faqs.org/faqs/net-abuse-faq/scams/> 
  1552.  
  1553.   Corporates who haven't sorted out their hoax management strategy 
  1554.   might get some mileage out of my mini-paper on "Dealing with 
  1555.   Internet Hoaxes", though it's getting a bit long in the tooth. It 
  1556.   is, however, one of the few papers on the subject which deals with 
  1557.   it from an adminstrator's/manager's point of view as well as from 
  1558.   an everyday user/victim's. [DH] 
  1559. ++<http://www.sherpasoft.org.uk/anti-virus/hoaxes.txt> 
  1560.   I'm slightly surprised to find that I'm managing an EICAR project 
  1561.   in this area: watch this space. 
  1562.   
  1563.  
  1564. 11.0  Glossary 
  1565. ============== 
  1566.  
  1567.   * Change Detectors/Checksummers/Integrity Checkers - programs that 
  1568.     keep a database of the characteristics of all executable files on a 
  1569.     system and check for changes which might signify an attack by an 
  1570.     unknown virus. 
  1571.   * Cryptographic Checksummers use an encryption algorithm to lessen 
  1572.     the risk of being fooled by a virus that targets that particular 
  1573.     checksummer. 
  1574.   * Dropper - a program that installs a virus or Trojan, often 
  1575.     covertly. 
  1576.   * Generic - catch-all name for antivirus software that doesn't know 
  1577.     about individual viruses, but attempts to detect viruses by 
  1578.     detecting virus-like code, behaviour, or changes in files 
  1579.     containing executable code. 
  1580.   * Heuristic scanners - scanners that inspect executable files for 
  1581.     code using operations that might denote an unknown virus. 
  1582.   * Monitor/Behaviour Blocker - a TSR that monitors programs while 
  1583.     they are running for behaviour which might denote a virus. 
  1584.   * Scanner (conventional scanner, command-line scanner, on-demand 
  1585.     scanner) - a program that looks for known viruses by checking for 
  1586.     recognisable patterns ('scan strings', 'search strings', 
  1587.     'signatures') or using a more flexible algorithmic approach for 
  1588.     detection of polymorphic viruses, which can't be found by a search 
  1589.     for a simple scan string. These are not usually associated with the 
  1590.     Macintosh platform, but there are Word Macro viruses which exhibit 
  1591.     mutation. 
  1592.   * Trojan (Trojan Horse) - a program intended to perform some covert 
  1593.     and usually malicious act that the victim did not expect or want. 
  1594.     It differs from a destructive virus in that it doesn't reproduce, 
  1595.     (though this distinction is by no means universally accepted). 
  1596.   * Virus - a program (a block of executable code) that attaches 
  1597.     itself to, overwrites or otherwise replaces another program in 
  1598.     order to reproduce itself without the knowledge of the computer 
  1599.     user. Most viruses are comparatively harmless, and may be present 
  1600.     for years with no noticeable effect: some, however, may cause 
  1601.     random damage to data files (sometimes insidiously, over a long 
  1602.     period) or attempt to destroy files and disks. Others cause 
  1603.     unintended damage. Even benign viruses (apparently non-destructive 
  1604.     viruses) cause significant damage by occupying disk space and/or 
  1605.     main memory, by using up CPU processing time, by introducing the 
  1606.     risk of incompatibilities and conflicts, and by the time and 
  1607.     expense wasted in detecting and removing them. 
  1608.   
  1609.  
  1610. 12.0  General Reference Section 
  1611. =============================== 
  1612.  
  1613. 12.1  Mac Newsgroups 
  1614. -------------------- 
  1615.   comp.sys.mac.apps 
  1616.   comp.sys.mac.comm 
  1617.   comp.sys.mac.misc 
  1618.   comp.sys.mac.system 
  1619.  
  1620.   comp.virus 
  1621.   alt.comp.virus 
  1622.  
  1623.   The focus on these two groups tends to be IBM-compatible, but Mac 
  1624.   issues are certainly aired. Alt.comp.virus is unmoderated, and the 
  1625.   quality of the advice and opinions aired there is very variable - 
  1626.   there are many reputable and expert posters, and many mischievous 
  1627.   and misleading contributions. Caveat lector.... comp.virus lies 
  1628.   dormant for years at a time, but is well worth watching when there's 
  1629.   anything there. 
  1630.  
  1631. 12.2  References and Publications 
  1632. --------------------------------- 
  1633.   Sensei Consulting Macintosh WAIS Archives 
  1634.   <http://wais.sensei.com.au/searchform.html> 
  1635.  
  1636.   "Inside the Apple Macintosh" - Peter Norton & Jim Heid (Brady) (The 
  1637.   2nd Edition is pre-PowerMac, and I haven't seen a later one, but 
  1638.   there's some surprisingly useful stuff in there). 
  1639.  
  1640.   "Inside Macintosh" (Addison Wesley). Essential reading for Mac 
  1641.   programmers. (Umpteen volumes of fairly low-level info. Expensive 
  1642.   (in the UK, at any rate), and whenever you get near some useful 
  1643.   info, it refers you to one of the volumes you haven't got. However, 
  1644.   the series has been re-vamped since I acquired my copies, and this 
  1645.   may be less than just. It's possible to download them in Acrobat 
  1646.   and in some cases other formats from: 
  1647.   <http://devworld.apple.com/> 
  1648.   where you can also order hardcopy and CD versions. Lots of other 
  1649.   useful files. 
  1650.  
  1651.   "Power Macintosh Emergency Handbook" (Apple Computer) 
  1652.   <ftp://ftp.info.apple.com/Apple.Support.Area/Manuals 
  1653.        /PMac_Emergency_Handbook.pdf> 
  1654.  
  1655.   MacFixIt "Troubleshooting for the Macintosh" 
  1656.   <http://www.macfixit.com/> 
  1657.  
  1658.   "Sad Macs, Bombs and other Disasters" 
  1659.   Ted Landau (Addison Wesley) 
  1660.   <http://www.macfixit.com/sadmacs3promo.html> 
  1661.  
  1662.   MacInTouch home page (info and services) 
  1663.   <http://www.macintouch.com/> 
  1664.  
  1665.   MacWEEK.com (Have run MacInTouch columns about the AutoStart worms.) 
  1666.   <http://macweek.zdnet.com/> 
  1667.   Macworld magazine 
  1668.   <http://www.macworld.com/> 
  1669.   TidBITS (Have done many good articles on Mac/macro virus issues.) 
  1670.   <http://www.tidbits.com/> 
  1671.   
  1672.  
  1673. 13.0  Mac troubleshooting 
  1674. ========================= 
  1675.  
  1676.   Since the initial release of this document, a number of people have 
  1677.   E-mailed me asking for help with a possibly virus-related problem. 
  1678.   While I'll always help if I can, I should point out (1) I'm an 
  1679.   experienced Mac user and an IT support professional, but I don't 
  1680.   claim to be a Mac expert (2) pressure of work and other commitments 
  1681.   and a huge E-mail turnover means that I can't promise a quick or 
  1682.   in-depth response [DH]. Whether you mail direct or post to a 
  1683.   relevant newsgroup, it's helpful if you can supply a few details, 
  1684.   such as: 
  1685.  
  1686.   * Which model of Macintosh you're using. It may be useful to know 
  1687.     how much RAM it has, the size of the hard disk, and any peripherals 
  1688.     you're using. 
  1689.   * Which version of MacOS you're using. 
  1690.   * Which applications you're using, and which version. If you're 
  1691.     using Word, it may be critical to know whether you're using version 
  1692.     6 or later, or an earlier version. 
  1693.   * Which, if any, antivirus packages you use, and what version 
  1694.     number. If you're using NAV, for instance, what version? 
  1695.   * List any error messages or alerts that have appeared. 
  1696.   * List any recent changes in configuration, additional hardware 
  1697.     etc. 
  1698.   * List any diagnostic/repair packages you've tried, and the 
  1699.     results. 
  1700.   * List any other steps you've taken towards determining the cause 
  1701.     of the problem and/or trying to fix it, e.g. rebuilding the 
  1702.     desktop, booting without extensions, zapping PRAM etc. 
  1703.  
  1704.   Here are a few steps that it might be appropriate to try if virus 
  1705.   scanning with an up-to-date scanner finds nothing. This section 
  1706.   will be improved when and if I have time. 
  1707.  
  1708.   Rebuilding the desktop is by no means a cure-all, but rarely does 
  1709.   any harm. It may be worth disabling extensions when you do this, 
  1710.   especially if the operation doesn't seem to be completed 
  1711.   successfully. 
  1712.  
  1713.   To disable extensions, restart the machine with the shift key held 
  1714.   down until you see an Extensions Off message. If you're rebuilding 
  1715.   the desktop, release the shift key and hold down Command (the key 
  1716.   with the Apple outline icon) & Options (alt) until requested to 
  1717.   confirm that you want to rebuild. 
  1718.  
  1719.   Disabling extensions is also a good starting point for tracking 
  1720.   down an extensions conflict. If booting without extensions appears 
  1721.   to bypass the problem, try removing extensions with Extensions 
  1722.   Manager (System 7.5) - remove one at a time, and replace it before 
  1723.   removing the next one and booting with that one removed. Remember 
  1724.   that if removing one stops the problem, it's still worth putting it 
  1725.   back and trying all the others to see if you can find one it's 
  1726.   conflicting with. Extensions Manager also lets you disable control 
  1727.   panels. If you don't have Extensions Manager, try Now Utilities or 
  1728.   Conflict Catcher. 
  1729.  
  1730.   Parameter RAM (PRAM) contains system information, notably the 
  1731.   settings for a number of system control panels. 'Zapping' PRAM 
  1732.   returns possibly corrupt PRAM data to default values. A likely 
  1733.   symptom of corrupted PRAM is a problem with date and time (but 
  1734.   could be a symptom of a corrupted system file). With system 7, hold 
  1735.   down Command-Option-P-R at bootup until the Mac beeps and restarts. 
  1736.   You may have restore changes to some control panels before your 
  1737.   system works properly. If the reset values aren't retained, the 
  1738.   battery may need replacing. 
  1739.   
  1740.  
  1741. -- 
  1742. End "Viruses and the Macintosh" version 1.6a by David Harley 
  1743.   
  1744.