home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1997 December / Internet_Info_CD-ROM_Walnut_Creek_December_1997.iso / faqs / alt / comp / virus / [alt.comp.virus]_FAQ_Part_2_4 < prev    next >
Internet Message Format  |  1997-10-24  |  55KB
  1. Path: senator-bedfellow.mit.edu!faqserv
  2. From: George Wenzel <gwenzel@gpu.srv.ualberta.ca>
  3. Newsgroups: alt.comp.virus,comp.virus,alt.answers,comp.answers,news.answers
  4. Subject: [alt.comp.virus] FAQ Part 2/4
  5. Supersedes: <computer-virus/alt-faq/part2_876222027@rtfm.mit.edu>
  6. Followup-To: alt.comp.virus
  7. Date: 23 Oct 1997 09:38:26 GMT
  8. Organization: none
  9. Lines: 1591
  10. Approved: news-answers-request@MIT.EDU
  11. Expires: 21 Nov 1997 09:32:10 GMT
  12. Message-ID: <computer-virus/alt-faq/part2_877599130@rtfm.mit.edu>
  13. References: <computer-virus/alt-faq/part1_877599130@rtfm.mit.edu>
  14. NNTP-Posting-Host: penguin-lust.mit.edu
  15. X-Last-Updated: 1997/09/07
  16. Originator: faqserv@penguin-lust.MIT.EDU
  17. Xref: senator-bedfellow.mit.edu alt.comp.virus:51175 comp.virus:30100 alt.answers:29802 comp.answers:28645 news.answers:115221
  18.  
  19. Archive-name: computer-virus/alt-faq/part2
  20. Posting-Frequency: Fortnightly
  21. URL: http://www.webworlds.co.uk/dharley/
  22. Maintainer: Co-maintained by David Harley, Bruce Burrell, and George Wenzel 
  23.  
  24.                alt.comp.virus (Frequently Asked Questions)
  25.                *******************************************
  26.  
  27.                        Version 1.04: Part 2 of 4
  28.                       Last modified 6th Sept 1997
  29.  
  30.  
  31.  
  32.                     ("`-''-/").___..--''"`-._
  33.                      `6_ 6  )   `-.  (     ).`-.__.`)
  34.                      (_Y_.)'  ._   )  `._ `. ``-..-'
  35.                    _..`--'_..-_/  /--'_.' ,'
  36.                   (il),-''  (li),'  ((!.-'
  37.  
  38.  
  39.  
  40. ADMINISTRIVIA
  41. =============
  42.  
  43. Disclaimer
  44. ----------
  45.  
  46. This document is an honest attempt to help individuals with computer
  47. virus-related problems and queries. It can *not* be regarded as being
  48. in any sense authoritative, and has no legal standing. The authors
  49. accept no responsibility for errors or omissions, or for any ill effects
  50. resulting from the use of any information contained in this document.
  51.  
  52. Not all the views expressed in this document are mine, and those views
  53. which *are* mine are not necessarily shared by my employer.
  54.  
  55. Copyright Notice
  56. ----------------
  57.  
  58. Copyright on all contributions to this FAQ remains with the authors
  59. and all rights are reserved. It may, however, be freely distributed
  60. and quoted - accurately, and with due credit. B-)
  61.  
  62. It may not be reproduced for profit or distributed in part or as
  63. a whole with any product for which a charge is made, except with
  64. the prior permission of the copyright holders. To obtain such permission,
  65. please contact one of the co-maintainers of the FAQ.
  66.  
  67.         David Harley  <D.Harley@icrf.icnet.uk>
  68.         Bruce Burrell <bpb@umich.edu>
  69.         George Wenzel <gwenzel@gpu.srv.ualberta.ca>
  70.  
  71. [Please check out the more detailed copyright notice at the beginning
  72. of Part 1 of the FAQ]
  73.  
  74. --------------------------------------------------------------------
  75.  
  76. TABLE OF CONTENTS
  77. =================
  78.  
  79.         Part 1
  80.         ------
  81.  
  82.         (1)     I have a virus - what do I do?
  83.         (2)     Minimal glossary
  84.         (3)     What is a virus (Trojan, Worm)?
  85.         (4)     How do viruses work?
  86.         (5)     How do viruses spread?
  87.         (6)     How can I avoid infection?
  88.         (7)     How does antivirus software work?
  89.  
  90. ----->  Part 2
  91.         ------
  92.  
  93. ----->  (8)     What's the best anti-virus software
  94.                       (and where do I get it)?
  95. ----->  (9)     Where can I get further information?
  96. ----->  (10)    Does anyone know about
  97.                 * Mac viruses?
  98.                 * UNIX viruses?
  99.                 * macro viruses?
  100.                 * the AOLGold virus?
  101.                 * the PKZip300 trojan virus?
  102.                 * the xyz PC virus?
  103.                 * the Psychic Neon Buddha Jesus virus?
  104.                 * the blem wit virus
  105.         * the Irina virus
  106.         * Ghost
  107. ++        * General Info on Hoaxes/Erroneous Alerts
  108. ----->  (11)    Is it true that...?
  109. ----->  (12)    Favourite myths
  110.                 * DOS file attributes protect executable files from
  111.                   infection
  112.                 * I'm safe from viruses because I don't use bulletin
  113.                   boards/shareware/Public Domain software
  114.                 * FDISK /MBR fixes boot sector viruses
  115.                 * Write-protecting suspect floppies stops infection
  116.                 * The write-protect tab always stops a disk write
  117.                 * I can infect my system by running DIR on an infected
  118.                   disk
  119.  
  120.         Part 3
  121.         ------
  122.  
  123.         (13) What are the legal implications of computer viruses?
  124.  
  125.         Part 4
  126.         ------
  127.  
  128.         (14)    Miscellaneous
  129.  
  130.         Are there anti-virus packages which check zipped files?
  131.         What's the genb/genp virus?
  132.         Where do I get VCL and an assembler, & what's the password?
  133.         Send me a virus.
  134.         It said in a review.....
  135.         Is it viruses, virii or what?
  136.         Where is alt.comp.virus archived?
  137. ++      What about firewalls?
  138.         Viruses on CD-ROM.
  139.         Removing viruses.
  140.         Can't viruses sometimes be useful?
  141.         Do I have a virus, and how do I know?
  142.         What should be on a (clean) boot disk?
  143.         How do I know I have a clean boot disk?
  144.         What other tools might I need?
  145.         What are rescue disks?
  146.         Are there CMOS viruses?
  147.         How do I know I'm FTP-ing 'good' software?
  148.         What is 386SPART.PAR?
  149.         Can I get a virus to test my antivirus package with?
  150.         When I do DIR | MORE I see a couple of files with funny names...
  151.         Reasons NOT to use FDISK /MBR
  152.         Why do people write/distribute viruses?
  153.         Where can I get an anti-virus policy?
  154.         Are there virus damage statistics?
  155.         What is NCSA approval?
  156.         What language should I write a virus in?
  157.         No, seriously, what language are they written in?
  158.         [DRD], Doren Rosenthal, the Universe and Everything
  159.         What are CARO and EICAR?
  160. ++      "Am I idle?" - Yellow Smiley in Win95 System Tray
  161.         Placeholders
  162.  
  163. Supplement: Virus-related FAQs vs. 1.02b
  164.  
  165. * The alt.comp.virus FAQ
  166. * The comp.virus/Virus-L FAQ
  167. * The macro-virus FAQ
  168. * The alt.comp.virus mini-FAQ
  169. * The Antiviral Software Evaluation FAQ
  170.  
  171. -------------------------------------------------------------------
  172.  
  173. (8) What's the best antivirus software (and where do I get it)?
  174. ===============================================================
  175.  
  176. In case it's not absolutely clear from the following, I can't
  177. possibly answer the first part of this question! There are,
  178. however, some suggestions following for sources of software
  179. and of information on particular packages, comparative reviews etc.
  180. The danger of this approach is that sites, servers, and packages
  181. come and go, and I haven't time to keep track of all these
  182. variables. Some of these URLs have been passed on by trusted
  183. sources, but I haven't the time to check them all out regularly.
  184. If you run into problems, please let me know (by e-mail, please).
  185.  
  186. Most of the people who post here have their favourites: if you just
  187. ask which is the best, you'll generally get either a subjective
  188. "I like such and such", recommendation of a particular product by
  189. someone who works for that company, or a request to be more specific
  190. about your needs. Some of us who are heavily involved with virus
  191. control favour using more than one package and keeping track of the
  192. market. Don't trust anything you read in the non-technical press.
  193. Don't accept uncritically reviews in the computing press, either:
  194. even highly-regarded IT specialists often have little understanding
  195. of virus issues, and many journalists are specialists only in
  196. skimming and misinterpreting. Magazines like Virus Bulletin and
  197. Secure Computing are much better informed and do frequent comparative
  198. reviews, and are also informative about their testing criteria,
  199. procedures and virus suites. Recently, a number of articles have been
  200. posted here by people who've run their own tests on various packages.
  201. These are often of interest, but should not be accepted uncritically.
  202. (No-one's opinion should be accepted uncritically!)
  203.  
  204. Valid testing of antivirus software requires a lot of care and
  205. thought, and not all those who undertake it have the resources,
  206. knowledge or experience to do it properly.
  207.  
  208. You may get a more informed response if you specify what sort of system
  209. you have - DOS, Windows, Win95? XT, AT, 386 or better? Is the system
  210. networked, and are you asking about protecting the whole network?
  211. (What sort of network?) Are you running NT, OS/2 or Win95, any of which
  212. involve special considerations?  Be aware that there is more than one way
  213. of judging the effectiveness of a package - the sheer number of viruses
  214. detected; speed; tendency to false alarms; size (can you run it from a
  215. single floppy when necessary?); types of virus detection & prevention
  216. (not at all the same thing) offered (command-line scanning, TSR scanning,
  217. behaviour blocking, checksumming, access-control, integrity shell etc.);
  218. technical support etc.
  219.  
  220. One possible measure of a package's efficiency in terms of virus
  221. detection is NCSA approval. Under the current testing protocol, a
  222. scanner must detect all viruses on the Wild List plus 90% of NCSA's
  223. full test suite.
  224.  
  225. DOS packages available from SimTel etc. include
  226.  
  227.         F-Prot
  228.         AVP Lite
  229.         McAfee
  230.         TBAV
  231.  
  232. Most Shareware/Freeware packages can be obtained from SimTel or SimTelNet
  233. via anonymous FTP or WWW, e.g.
  234.  
  235.   http://www.coast.net/SimTel/msdos/virus
  236.   ftp://ftp.coast.net/SimTel/msdos/virus/
  237.   ftp://ftp.simtel.net/pub/simtelnet/msdos/virus/
  238.  
  239. For information on mirror sites, a regularly-updated listing can
  240. be found at
  241.  
  242.   http://www.SimTel.net/simtel.net/mirrors.txt
  243.  
  244. Mirror sites include:
  245.  
  246. USA:-
  247.         ftp.cdrom.com
  248.         uiarchive.cso.uiuc.edu
  249.         oak.oakland.edu
  250.         wuarchive.wustl.edu
  251.         ftp.uoknor.edu
  252.         ftp.pht.com
  253.  
  254. UK:-
  255.         micros.hensa.ac.uk
  256.         src.doc.ic.ac.uk
  257.         ftp.demon.co.uk
  258.  
  259. as well as other sites in many other parts of the world.
  260.  
  261. There is some confusion at present regarding SimTel: you may find that
  262. some mirrors are still pointing to the Coast to Coast collection while
  263. others are pointing to SimTelnet (Walnut Creek).
  264.  
  265. Of course, such products can often be obtained direct from the
  266. publisher's WWW or FTP sites too.
  267.  
  268. There is a shareware program for Win95 called the Doctor.
  269.         Compuserve - GO NCSAVIRUS
  270.         ftp://thomnet.com/
  271.         http://www.tucows.com/files/doc9509.zip
  272.         ftp://ftp.mindspring.com/users/rogert
  273.         TNS BBS +1 (404) 971 8886
  274.  
  275. Finding an up-to-date version may be a problem, though, according to
  276. reports.
  277.  
  278. ftp://ftp.mcafee.com/pub/antivirus/
  279. http://thunderbyte.com/ftp/thunderbyte/
  280. ftp://ftp.thunderbyte.com/
  281.  
  282. ChekMate is described by its author as a targeted integrity checker.
  283. It's a potentially useful shareware supplement to a good virus scanner.
  284.  
  285.   Via anonymous ftp at:
  286.         ftp.coast.net/SimTel/msdos/virus/cm211.zip
  287.         ftp.demon.co.uk/pub/simtel/msdos/virus/cm211.zip
  288.         ftp.demon.co.uk/antivirus/ibmpc/av-progs/cm211.zip
  289.         ftp.gate.net/pub/users/ris1/cm211.zip
  290.  
  291.   At the World-Wide Web site:
  292.         http://www.psnw.com/~joe/avdos.html
  293.  
  294.  
  295. Commercial
  296. ----------
  297.  
  298. [vendors are invited to supply full contact details and indicate the range
  299. of platforms their product range covers. Let's not overdo the hype, though,
  300. guys.]
  301.  
  302. There is a pretty comprehensive list of anti-virus developers at
  303.  
  304.         http://www.virusbtn.com/AVLinks/
  305.  
  306. (NB Some of the following, though not shareware, can be obtained for
  307. evaluation via anon FTP or WWW.
  308.  
  309. Please note, I have not tested or even seen all the packages listed
  310. here, or all the contact data, come to that, and listing here does not
  311. imply recommendation (though I won't list anything I *know* is
  312. rubbish....).
  313.  
  314. DSAVTK (Dr Solomon's Anti-Virus ToolKit)
  315. [DOS; DOS & Windows; DOS & Win95; NetWare; NT; OS/2; Unix; Mac]
  316. Virus handling workshops.
  317. Access-control, software audit and other packages.
  318.  
  319. UK Support: support@uk.drsolomon.com
  320. US Support: support@us.drsolomon.com
  321. UK Tel: +44 (0)1296 318700
  322. USA Tel: +1 617-273-7400
  323. CompuServe: GO DRSOLOMON
  324. Web: http://www.drsolomon.com
  325. FTP: ftp://ftp.drsolomon.com
  326. Evaluation copy of Findvirus Dos scanner available via the Web.
  327.  
  328. *************
  329.  
  330. F-Prot Pro (DOS, Windows 3.x, Win95, WinNT, NetWare)
  331.  
  332. There are two flavours, though I gather that Command Software and
  333. Data Fellows are currently doing joint development.
  334.  
  335. Command Software Systems Inc.
  336. 1+407-575 3200
  337. ftp://ftp.commandcom.com
  338.  
  339. Data Fellows Ltd.
  340. f-prot@DataFellows.com
  341. ftp://ftp.DataFellows.com
  342. http://www.DataFellows.com
  343. http://www.Europe.DataFellows.com
  344.  
  345. UK:
  346.  
  347. Portcullis (for Data Fellows) 44-181-868-0098
  348.  
  349. Command Software UK 44-171-259-5710
  350. command@command.co.uk
  351.  
  352. More details inc. in ORDER-2.DOC, supplied with the shareware version.
  353. [The filename is now PRO.DOC in recent versions]
  354.  
  355. ************
  356.  
  357. IBM AntiVirus:
  358. http://www.brs.ibm.com/ibmav.html
  359. 800-551-3579 (US only)
  360. 800-465-7999
  361. fax: 800-267-5185
  362.  
  363. ************
  364.  
  365. McAfee Associates
  366. 2710 Walsh Ave
  367. Santa Clara, CA  95051
  368. 95054-3107  USA
  369. Voice (408) 988-3832
  370. FAX   (408) 970-9727
  371. BBS   (408) 988-4004
  372. CompuServe ID: 76702,1714 or GO MCAFEE
  373. mcafee@netcom.com
  374. ftp://ftp.mcafee.com/pub/antivirus/
  375. http://www.mcafee.com/
  376. [DOS, Windows, Win95, NetWare, Unix, Mac, NT]
  377.  
  378. ************
  379.  
  380. NAV (Norton AntiVirus)  [DOS, Windows, Win95, Mac (SAM), NT, NetWare]
  381. http://www.symantec.com/ ftp://ftp.symantec.com
  382. US Support:  541-465-8420                              AOL:  SYMANTEC
  383. European Support:  31-71-353-111   Australian Support:  61-2-879-6577
  384.  
  385. ************
  386.  
  387. AntiViral Toolkit Pro
  388. AVP LITE
  389.  
  390. (1) USA
  391.  
  392.    Central Command Inc.
  393.    P.O. Box 856
  394.    Brunswick, Ohio 44212
  395.  
  396. Phone: 330-273-2820
  397. FAX:   330-220-4129
  398. BBS:   330-220-4036
  399.  
  400. WWW:   www.command-hq.com/command
  401. ftp:   ftp.command-hq.com  pub/command/avp
  402.  
  403. email:  sales@command-hq.com
  404.         support@command-hq.com
  405.  
  406. (2) Switzerland
  407.  
  408. E-Mail:                     info@avp.ch
  409.  
  410. WWW:                        http://www.avp.ch/
  411.  AVP Virus Encyclopedia:    http://www.avp.ch/avpve/
  412.  AVP Updates & News:        http://www.avp.ch/E/avp-news.htm
  413.  AVP Distributors List:     http://www.avp.ch/E/distrib.htm
  414.  
  415. BBS:   +41 (0)31 348 1331
  416. FAX:   +41 (0)31 348 1335
  417.  
  418. ************
  419.  
  420. Sweep   http://www.sophos.com/ ftp://ftp.sophos.com
  421.  
  422. ************
  423.  
  424. Thunderbyte http://thunderbyte.com/ftp/thunderbyte/software/
  425.             ftp://ftp.thunderbyte.com (?)
  426.  
  427. ************
  428.  
  429. Invircible ftp://ftp.invircible.com
  430.              ftp://ftp.datasrv.co.il/pub/usr/netz/
  431.              http://invircible.com/
  432.  
  433. There is a growing tendency in the UK press to push InVircible as
  434. a one-fits-all solution which renders known-virus scanning obsolete,
  435. while Zvi Netiv and those who support his product have a tendency to 
  436. promote it by attacking the better-known scanners as being a
  437. security risk. While my personal view is that there is a place for
  438. both known-virus scanning and generic solutions, I would suggest 
  439. reading a couple of papers which take an opposing view before putting
  440. all your eggs in the InVircible basket.
  441.  
  442.     http://www.primenet.com/~mwest/iv-toc.htm
  443.     http://www.primenet.com/~mwest/iv-bill.txt
  444.  
  445. Discussion on these issues has generated a great deal of heat and 
  446. personal abuse. I have to advise caution when considering using a 
  447. product whose proponents are apt to descend to mudslinging and
  448. unethical advertising practices. 
  449.  
  450. ************
  451.  
  452. Reflex Magnetics Ltd
  453. 31-33 Priory Park Road
  454. London
  455. NW6 7UP
  456. United Kingdom
  457.  
  458. Tel+44 (0)171 372 6666
  459. Fax+44 (0)171 372 2507
  460. BBS+44 (0)171372 2584
  461. Emailsales@reflex-magnetics.co.uk
  462.  
  463. http://www.reflex-magnetics.co.uk/
  464.  
  465. Disknet access-control/virus control
  466. Diskette duplication.
  467. Security/Virus-control training.
  468.  
  469. ************
  470.  
  471. Reflex Magnetics Ireland
  472.  
  473. Unit 24 Johnstown Industrial Centre, Waterford, Ireland.
  474. tel: +353-(0)51-841051 J fax: +353-(0)51-841052
  475.  
  476.         http://www.reflex.ie/
  477.  
  478. ************
  479.  
  480. NH&A
  481. 577 Isham St. # 2-B
  482. New York, NY 10034
  483. Phone:  212-304-9660
  484. Fax:  212-304-9759
  485. CompuServe: 72115,661
  486. Internet: nhirsch@nha.com
  487. URL: http://www.nha.com
  488. BBS:  212-304-9759,,,,,,,3
  489.  
  490.  
  491. ************
  492.  
  493. Microsoft (Macro Virus fixes) - http://www.microsoft.com
  494. For updates to MSAV, contact Symantec (but better to get a more
  495. up-to-date package). CPAV updates from the same source.
  496.  
  497. There is a paper by Yisrael Radai which documents many of the problems
  498. with MSAV.
  499.  
  500.    ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/viruses/msaveval.zip
  501.  
  502. ************
  503.  
  504. ViruSafe, ViruSafe-95
  505.  
  506. I believe a version of this program was at one time marketed by
  507. Xtree.
  508.  
  509. They also maintain a Virus Hot Line via their WWW site or
  510. E-mail (virus@eliashim.co.il).
  511.  
  512. -------------------------------------------------------------
  513. EliaShim, LTD.                  Computer Security Specialists
  514. 5 Haganim st. Haifa 35022                 Tel: +972-4-8516111
  515. ISRAEL                                    Fax: +972-4-8528613
  516. Email: shimon@eliashim.co.il              BBS: +972-4-8516113
  517. URL: http://www.eliashim.com
  518. -------------------------------------------------------------
  519.  
  520.  
  521. ----------------------------------------------------------------------------
  522.  
  523. VirusNet PC (DOS, Win3.x, Win95) - (File: VNPC.EXE)
  524. VirusNet LAN (DOS, Win3.x, Win95, All Networks) - (File: VNLAN.EXE)
  525. StopLight PC (DOS, Win3.x) - (File: SLELS.EXE)
  526. StopLight for Win95 (Win95, Win3.x, DOS) - (File: Check Site)
  527. StopLight for OS/2 (OS/2, Dual Boot to DOS and Win3.x) - (File: sltmos2.exe)
  528.  
  529. Safetynet, Inc.
  530. 140 Mountain Ave.
  531. Springfield, NJ 07081
  532. 201-467-1024 (Sales and Support)
  533. 800-OS2-SAFE (Sales and Support in US and Canada)
  534. 201-467-1611 (Fax)
  535. 201-467-1581 (BBS 28800,n,8,1)
  536. Web: http://www.safe.net/safety/
  537. FTP: ftp.safe.net /pub/safetynet/
  538. EMail: support@safe.net
  539. CompuServe: GO CIS:SAFE
  540.  
  541. AntiVirus and security software evals and product updates are available from
  542. the Safetynet Web, FTP, BBS and CompuServe sites.
  543.  
  544. *****************
  545.  
  546. MIMESweeper (Mail scanning 'firewall')
  547.  
  548. Integralis Ltd.
  549. 10 Brewery Court
  550. Theale
  551. Berkshire
  552. RG7 5AH
  553. +44(0) 1734 306060
  554. Fax +44(0) 1734 302143
  555. info@integralis.co.uk
  556.  
  557. US Office in Kirkland, WA.
  558. Phone 206-889-4724.
  559.  
  560. --------------------------------------
  561.  
  562. Cybersoft have antivirus products for a variety of Unix
  563. platforms including detection for DOS, Mac and Amiga
  564. malware.
  565.  
  566. CyberSoft, Inc.
  567. 1508 Butler Pike
  568. Conshohoken, Pennsylvania 19428-1322 USA
  569. Voice: +1 (610) 825-4748
  570. Fax +1 (610) 825-6785
  571. Info@cyber.com
  572. http://www.cyber.com
  573.  
  574.  
  575. --------------------------------------
  576.  
  577. NetPro Computing
  578. 7150 E Camelback Rd, Suite 100
  579. Scottsdale, AZ 85251 USA
  580.  
  581. Products:
  582. * PC ScanMaster for Novell/Vines
  583. * Server ScanMaster for Banyan Vines
  584. (Use McAfee VirusScan engine)
  585.  
  586. General Office: 602.941.3600
  587. Sales: 800.998.5090
  588. International Sales: 602.941.3630
  589. DS Expert Info Line: 800.998.1550
  590. Technical Support: 602.941.3670
  591. FAX: 602.941.3610
  592.  
  593. On Line:
  594. BBS: 602.941.3620
  595. FTP: ftp.netpro.com
  596. HTTP: www.netpro.com
  597. e-mail: info@netpro.com or 70524,2670@compuserve.com
  598.  
  599. -----------------------------------------------------------------------------
  600.  
  601. F/Win is a scanner which is intended as a supplement to your main
  602. scanner: it detects Windows/macro viruses. There is a shareware version
  603. available. More information at:
  604.  
  605.     http://www.gen.com/fwin/
  606.  
  607. -----------------------------------------------------------------------------
  608.  
  609. There is a comprehensive set of product reviews at:
  610.  
  611.         http://www.first.org/virus/virrevws/
  612.  
  613. and a number of reputable vendors include comparative reviews,
  614. papers on testing etc. on their WWW/FTP servers.
  615.  
  616. Virus Bulletin comparative reviews are available from
  617.  
  618.         http://www.virusbtn.com/Comparatives/
  619.  
  620. and information is also available on their testing protocols.
  621.  
  622. Product reviews and other kewl stuff from Robert Slade:
  623.  
  624.         telnet://freenet.victoria.bc.ca
  625.         login as guest, give the command "go virus"
  626.  
  627. @@    http://www.freenet.victoria.bc.ca/techrev/mnvr.html
  628.  
  629. For a list of scanners that have received the "NCSA Approved" rating
  630. of the National Computer Security Association in the U.S.A. see
  631.  
  632.   http://www.ncsa.com/avpdcert.html
  633.  
  634. The page also explains the certification procedure.
  635.  
  636. There are links to just about every anti-virus site you ever heard of at
  637.  
  638.       http://www.club.innet.net/~ewillems/
  639.  
  640. In the event of a *real* tragedy, there are a number of firms which
  641. specialise in data recovery. In the UK, there is
  642.  
  643. Ontrack Data Recovery Europe (0800-243996) - see below
  644. Authentec (formerly Dr. Solomon's) - 0800-581263/fax 01296-318813
  645. Vogon International - 0118-989-0042/fax 0118-989-0042
  646.  
  647. ++In the US, there's Ontrack Computer Systems (parent company of Ontrack
  648. ...Europe).
  649.  
  650. ++
  651. Ontrack Data Recovery, Inc.
  652. 6321 Bury Drive, Suites 13-21
  653. Eden Prairie, MN  55346
  654. Phone: 612-937-5161
  655. FAX: 612-937-5750
  656. BBS: 612-937-0860
  657. Toll free: 1-800-872-2599
  658.  
  659. ++
  660. UK
  661. The Pavilions
  662. 1 Weston Road, Kiln Lane
  663. Epsom
  664. Surrey KT17 1JG
  665. Toll Free:  0800 24 39 96 (UK only)
  666. >From France: 05 90 72 42
  667. International: +44(0)181 974 5522
  668. Fax:  011-441-372-741-441
  669. Tech Support: 011-441-372-747-414
  670.  
  671. ++
  672. Japan:
  673. Ontrack Data Recovery Japan
  674. 182 Shinkoh, Iruma,
  675. Saitama, 358 Japan
  676. Phone: 81 429 32-6365
  677. Fax: 81 429 32-6370
  678. Toll-Free From Japan: 0120-413-374
  679.  
  680. ++
  681. ***NEW OFFICE***
  682. Germany:
  683. Ontrack Data Recovery GmbH
  684. Hanns-Klemm-Strasse 5
  685. 71034 Boeblingen
  686. Germany
  687. Toll free: 0130.815.198
  688. International: 011-49-7031-644-00
  689. Fax: 011-49-7031-644-100
  690.  
  691. ++
  692. Compuserve: GO DATARECOVERY
  693. W3: http://www.ontrack.com
  694. Email: sales@ontrack.com
  695.  
  696.  
  697. DataRescue:
  698.         http://www.datarescue.com/
  699.         info@datarescue.com
  700.  
  701. Anti-virus/security training/workshops in the UK:
  702.  
  703.         S&S International (see above) - live virus workshops
  704.         Sophos - 01235-544028 http://www.sophos.com
  705.         Precise Publishing Ltd. 01384-560527
  706.         Reflex Magnetics (see above) - live virus workshops,
  707.           Internet security/hacking, DTI codes of practice.
  708.  
  709.         Information on similar resources in the US or elsewhere
  710.         would be gratefully received.
  711.  
  712.  
  713. (9) Where can I get further information?
  714. ========================================
  715.  
  716. [I haven't checked all these: please mail me if you find any errors]
  717.  
  718. I'm now intermittently posting details of virus-related FAQs to
  719. alt.comp.virus. This will eventually be available by FTP/WWW
  720. and include other security resources.]
  721.  
  722. ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/catalog/
  723. ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/carobase/
  724. ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/viruses/
  725.  
  726. [mirror sites]
  727.  
  728. ftp://ftp.uu.net/pub/security/virus/
  729. ftp://sunsite.unc.edu/pub/docs/security/hamburg-mirror/virus/
  730.  
  731. +++http://www.SevenLocks.com/
  732. Lots of virus descriptions and other security information. Well
  733. worth a look.
  734.  
  735. http://all.net:8000/cgi-bin/all-search-2
  736. Virus Text Search
  737.  Search engine to check out documents in the following archives:
  738.  VIRUS-L Forum, 40Hex Archives, Risks Forum, Privacy Forum, CERT Advisories,
  739.  Internet RFCs, State Computer Crime Laws, The Telecom Privacy Digest,
  740.  CIAC Advisories, Firewalls Digest.
  741.  
  742.  
  743.  http://lipsmac.acs.unt.edu/Virus/virinfo.html
  744.  http://www.psnw.com/~joe/avinfo.html
  745.  http://www.primenet.com/~mwest/av.htm
  746.  http://csrc.ncsl.nist.gov/virus
  747.  http://www.jumbo.com/home/dos/virus
  748.  http://www.psnw.com/~joe/top10.html
  749.  ftp://ftp.uu.net/pub/virus/progs/virlab15.zip
  750.  http://www.infi.net/~wtnewton/vinfo/master.html
  751. @@ http://www.nc5.infi.net/~wtnewton/vinfo/master.html
  752.  
  753. Virus-List Archive (you can also pick up the Virus-L FAQ from here):
  754.  
  755.         ftp://cs.ucr.edu/pub/virus-l/
  756.  
  757. Virus Bulletin Home Page - vendor contact info, comparative reviews,
  758. review protocol info etc.
  759.  
  760.         http://www.virusbtn.com
  761.  
  762. Dr. Solomon's Software: evaluation copy of FindVirus, product info, 
  763. virus encyclopedia on-line, papers, links to other sites etc.
  764.  
  765.         http://www.drsolomon.com/
  766.         ftp://ftp.drsolomon.com/
  767.  
  768. ftp://ftp.sophos.com/
  769. http://www.sophos.com/
  770. Dr.Solomon's History of PC Viruses:
  771. http://dbweb.agora.stm.it/webforum/virus/solomhis.htm
  772. Robert Slade's Virus History:
  773. http://dbweb.agora.stm.it/webforum/virus/sladehis.htm
  774.  
  775. http://www.club.innet.net/~ewillems/
  776.  
  777. http://www.thenet.ch/metro/
  778.  
  779. Nic Ferri has an expansive home page with many useful links
  780.  
  781.         http://www.agora.stm.it/htbin/wwx?fi^N.Ferri
  782.  
  783. Henri Delger's home page has much useful info and useful links
  784.  
  785.         HTTP://pages.prodigy.com/virushelp/
  786.  
  787. Norman De Forest has some antivirus links, among other nice
  788. stuff.
  789.  
  790.     http://www.chebucto.ns.ca/~af380/Profile.html
  791.  
  792. http://www.DataFellows.com/
  793. http://www.Europe.DataFellows.com/
  794.  
  795. http://www.datarescue.com/
  796.  
  797. VSUM (not highly-rated for its accuracy)
  798. (Try SimTel mirrors, McAfee sites)
  799.  
  800. Tom Simondi has written a freeware virus tutorial (VTUTOR11.ZIP).
  801.  
  802.     http://www.cknow.com/
  803.  
  804. The Scanner is an AV newsletter also available online at 
  805.  
  806.     http://diversicomm.com/scanner
  807.  
  808. Try antivirus online at
  809.  
  810.     http://www.av.ibm.com/current/FrontPage/
  811.  
  812. Doug Muth has not only AV links but geek code as well....
  813.  
  814.     http://www.ot.com/~dmuth/
  815.  
  816. Bob Rosenberger's Computer Virus Myths Page 
  817.  
  818.     http://www.kumite.com/myths/
  819.  
  820. @@ A few Amiga links:
  821.  
  822.     http://www.cybercity.dk/users/ccc2452/antivirus.html
  823.     http://www.xs4all.nl/~keesh/virushelp.html
  824. [You can pick up the latest VirusScanList from either link]
  825.     http://ftp.uni-paderborn.de/aminet/dirs/util_virus.html
  826. [Antivirus info and programs]
  827.     ftp://ftp.uni-paderborn.de/aminet/util/virus/
  828. According to Dennis Boon, trsivw65.lha has info about 100 or so viruses;
  829. VT_docfiles.lha has info on nearly all amiga viruses (in German);
  830. VIB9508.lha file contains info on all viruses up to August 1995 
  831. (in English).
  832.  
  833.  
  834. The WildList (List of viruses currently 'in the wild'
  835. maintained by Joe Wells - doesn't include much description)
  836.  
  837. ftp://ftp.ncsa.com/pub/virus/wildlist
  838. http://www.drsolomon.com/
  839. http://www.symantec.com/virus/wl.html
  840. http://www.innet.net/~ewillems/vwild.htm
  841.  
  842. AV Software Update Auto-Notification:
  843.  http://www.primenet.com/~Emwest/up-form.htm
  844.  
  845. Most anti-virus packages include some information on common
  846. viruses, too.
  847.  
  848. Virus Descriptions
  849. ------------------
  850.  
  851.  Dr Solomon's Virus Encyclopedia:
  852.         http://www.drsolomon.com/virus/enc/enc.htm
  853.  free-form searches from the datafellows F-Prot virus description database:
  854.         http://www.datafellows.com/v-descs/
  855.  The AVP database:
  856.         http://www.datarescue.com/avpbase/
  857.         http://www.metro.ch/avpve/
  858.  
  859. http://www.datafellows.com/vir-info/              Data Fellows Virus Database
  860. http://www.symantec.com/avcenter/vinfodb.html     Symantec Virus Database
  861. http://www.mcafee.com/support/techdocs/vinfo/#top McAfee Virus Database
  862.  
  863. also ftp://mcafee.com/pub/3rdparty/vsumx603.zip
  864. [VSUM - not highly-rated for its accuracy]
  865.  
  866. Virus demonstrations
  867. --------------------
  868.  
  869.  ftp://ftp.uu.net/pub/virus/progs/virsim1.zip
  870.  
  871. (I haven't checked this one out yet).
  872.  
  873.  AVP also includes some virus demonstrations, and I know that other
  874.  publishers have demos available.
  875.  
  876.  There are also virus simulators, which are not quite the same thing.
  877.  These are sometimes advocated as a means of testing antivirus packages,
  878.  but there are dangers to this approach: after all, a package which
  879.  detects one of these simulators as the virus it detects is, technically,
  880.  false-alarming.
  881.  
  882. See section F6 of the Mark 2 Virus-L FAQ, which is rather good on
  883. types and uses of virus simulation.
  884.  
  885. Books which may be of use:
  886.  
  887.         Robert Slade's Guide to Computer Viruses - Springer-Verlag
  888.                 Pretty good introduction & general resource. Watch out
  889.                 for the 2nd Edition.
  890.         Computers Under Attack (ed. Denning) - Addison-Wesley
  891.                 Aging, but some classic texts
  892.         Survivors' Guide to Computer Viruses (ed. Lammer) - Virus Bulletin
  893.                 Uneven, but includes useful stuff from Virus Bulletin
  894.         Dr. Solomon's Virus Encyclopedia
  895.                 You may from time to time find copies of an older edition
  896.                 of this in bookshops, though it's better known as part of
  897.                 Dr. Solomon's AntiVirus ToolKit. It's a pretty good guide
  898.                 to some of the older viruses.
  899.         A Short Course on Computer Viruses (F. Cohen) - Wiley
  900.                 By the man who 'invented' the concept of computer viruses.
  901.                 Some aspects are controversial, but a good introduction to
  902.                 his work.
  903.  
  904. The comp.virus FAQ includes pointers to some books.
  905.  
  906. Useful (but expensive) periodicals:
  907.  
  908.         Virus Bulletin
  909.  
  910.                 Virus Bulletin Ltd
  911.                 21 The Quadrant
  912.                 Abingdon
  913.                 Oxfordshire
  914.                 OX14 3YS
  915.  
  916.                 44 (0) 1234 555139
  917.                 Compuserve 100070,1340
  918.  
  919.  
  920.         Computers and Security
  921.  
  922.                 Elsevier Advanced Technology
  923.                 PO Box 150
  924.                 Kidlington
  925.                 Oxford
  926.                 OX5 1AS
  927.  
  928.                 44 (0) 1865-843666
  929.                 a.verhoeven@elsevier.co.uk
  930.  
  931.  
  932. Rather cheaper (though still expensive for the non-corporate
  933. non-specialist in security) is the magazine Secure Computing.
  934. West Coast are launching a corporate licence scheme which may
  935. be of interest to corporate users
  936.  
  937.         Secure Computing
  938.  
  939.                 West Coast Publishing Ltd.
  940.                 William Knox House
  941.                 Britannic Way
  942.                 Llandarcy
  943.                 Swansea
  944.                 SA10 6EL
  945.                 UK
  946.  
  947.                 44 (0) 1792 324000
  948.                 Compuserve 70007,5406
  949.  
  950.  
  951. Doubts have been expressed concerning the impartiality or otherwise
  952. of Virus Bulletin, which is a sister company to Sophos, who market
  953. Sweep and other antivirus/security products. VB uses an advisory board
  954. of anti-virus experts from a wide variety of vendors and other
  955. organisations, and its virus statistics are collated monthly from a
  956. variety of sources, not only from Sophos.
  957.  
  958. Secure Computing, though formerly associated with S&S International, who
  959. market Dr.Solomon's AntiVirus ToolKit and other security products, is
  960. now an independent organization. SC also has input from experts associated
  961. with various vendors and other organisations.
  962.  
  963.  
  964. ***************************************************************************
  965. * As a regular and reasonably knowledgeable reader of both publications,  *
  966. * I'm personally satisfied that neither displays editorial bias, nor do   *
  967. * I believe that either publication intentionally weights its methodology *
  968. * to the unfair advantage of an affiliated product [DH]                   *
  969. ***************************************************************************
  970.  
  971. The Disaster Recovery Journal (more info & on-line articles)
  972.  
  973.         http://www.drj.com
  974.  
  975.  
  976. (10) Does anyone know about...
  977. ==============================
  978.  
  979. ...Mac viruses?
  980. ---------------
  981.  
  982. I have put together an FAQ on Mac/virus issues, now co-maintained
  983. with Susan Lesch, which can be found at:
  984.  
  985.     http://www.macvirus.com/
  986.     http://www.webworlds.co.uk/dharley/
  987.  
  988. It's much more up-to-date than this section.
  989.  
  990. There are around 35 Mac-specific viruses that I know of, though 
  991. Apple are, I've heard, quoting 2-300 hundred. I don't know if these
  992. include every minor variant, hypercard infectors, trojans and 
  993. macro viruses, but I'll try to find out. There are virtually no
  994. macro viruses which have a Mac-specific payload, but every one I know
  995. of can infect on Macs (and any other platform which runs Word 6.x or
  996. better).
  997.  
  998. The best single source of information on Mac viruses is the online
  999. help included in the freeware package Disinfectant, which can be
  1000. obtained from
  1001.  
  1002.         ftp://ftp.acns.nwu.edu/pub/disinfectant
  1003.         CompuServe
  1004.         GEnie
  1005.         America Online
  1006.         Calvacom
  1007.         Delphi
  1008.         BIX
  1009.         sumex-aim.stanford.edu
  1010.         rascal.ics.utexas.edu
  1011.         comp.binaries.mac
  1012.  
  1013.  
  1014. Information on Mac viruses is also available from the AntiVirus Catalog/
  1015. CARObase (see above).
  1016.  
  1017. Mac-specific virus information:
  1018.  
  1019.     www.datawatch.com
  1020.     www.symantec.com
  1021.     www.mcafee.com
  1022.     www.webworlds.co.uk/dharley/
  1023.     www.hyperactivesw.com
  1024.     ciac.llnl.gov/ciac/CIACVirusDatabase.html/
  1025.  
  1026. Disinfectant is an excellent anti-virus package: however, it doesn't catch
  1027. much in the way of hypercard infectors or trojans, nor does it detect
  1028. Word 6 macro viruses. McAfee have a scanner for the Mac which is based on
  1029. Disinfectant: version 2, however, includes detection of trojans, macro
  1030. viruses etc. You can get a 30-day evaluation copy from 
  1031.  
  1032.     http://www.mcafee.com/
  1033.  
  1034. For other mac packages, try Info-Mac mirrors like:
  1035.  
  1036.         ftp://ftp.ucs.ubc.ca/pub/mac/info-mac/vir/
  1037.  
  1038. The University of Texas holds the latest versions of Disinfectant and
  1039. Gatekeeper, and some documentation on Mac viruses.
  1040.  
  1041.         http://wwwhost.ots.utexas.edu/mac/pub-mac-virus.html
  1042.  
  1043.  
  1044. Commercial packages include SAM (Symantec AntiVirus for Mac), Virex, and 
  1045. Dr. Solomon's AntiVirus ToolKit for Macintosh. Dr. Solomon's for Mac has 
  1046. the unusual capacity for detecting PC boot-sector viruses on DOS floppies, 
  1047. which could be useful in a mixed environment.
  1048.  
  1049. ++ ...UNIX viruses? 
  1050.    ----------------
  1051.  
  1052. In general, there are virtually no non-experimental UNIX viruses.
  1053. There have been a few Worm incidents, most notably the Morris Worm
  1054. (a.k.a. the Internet Worm) of 1988.
  1055.  
  1056. There are products which scan some Unix systems for PC viruses,
  1057. though any machine used as a file server (Novell, Unix etc.) can be
  1058. scanned for PC viruses by a DOS scanner if it can be mounted as a
  1059. logical drive on a PC running appropriate network client software
  1060. such as PC-NFS.
  1061.  
  1062. Intel-based PCs running Unix (e.g. Linux, 386BSD, SCO Unix etc.)
  1063. can also be infected by a DOS boot-sector virus if booted from an
  1064. infected disk. The same goes for other PC-hosted operating systems
  1065. such as NetWare.
  1066.  
  1067. While viruses are not a major risk on Unix platforms, integrity
  1068. checkers and audit packages are frequently used by system administrators
  1069. to detect file changes made by other kinds of attack. However, Unix
  1070. security is outside the scope of this FAQ (see comp.security.unix).
  1071.  
  1072. In fact, such packages generally target PC viruses more than the 
  1073. handful of Unix viruses.
  1074.  
  1075. CyberSoft sell products for a number of Unix platforms which include
  1076. scanning (VFInd) and cryptographic integrity checking. Scanning 
  1077. includes PC, Mac and Amiga viruses.
  1078.  
  1079.     http://www.cyber.com/
  1080.  
  1081. Dr. Solomon's Software Ltd. (formerly S&S) have a scanner
  1082. which detects (primarily) DOS viruses on SCO Unix. 
  1083.  
  1084.     http://www.drsolomon.com/
  1085.  
  1086. McAfee have a scanner for SunOS, Solaris, FreeBSD and Linux, and
  1087. offer downloadable evaluation copies.
  1088.  
  1089.     http://www.mcafee.com/
  1090.  
  1091. Sophos' Intercheck client-server technology requires a Unix 
  1092. which is capable of running DOS emulation. 
  1093.  
  1094.     http://www.sophos.com/
  1095.  
  1096. Some other out-and-out DOS scanners may work to some extent on a PC 
  1097. running emulation, but this is not recommended unless the package is 
  1098. specifically configurable to run under these circumstances.
  1099.  
  1100. [See also the Unix section in the Virus-L/comp.virus FAQ]
  1101.  
  1102. A useful book:
  1103.  
  1104.         Practical Unix Security (Garfinkel, Spafford) - O'Reilly
  1105.  
  1106. Make sure you get the 2nd edition (retitled "Practical Unix and 
  1107. Internet Security")
  1108.  
  1109. ...macro viruses?
  1110. -----------------
  1111.  
  1112. Macro viruses spread from files in applications which use
  1113. macros capable of being infected, and are limited to the
  1114. specific applications for which they were written.
  1115.  
  1116. The macro viruses which are receiving attention currently
  1117. are specific to Word 6/WordBasic and Excel: however, many
  1118. applications, not all of them Windows applications, have
  1119. potentially damaging and/or infective macro capabilities
  1120. too.
  1121.  
  1122. One, now widespread, infects macros attached to Word
  1123. 6.0 for Windows, Word 6.0.1 for Macintosh, Word 6.0 for
  1124. Windows NT, and Word for Windows 95 documents.
  1125.  
  1126. What makes such a virus possible is that the macros
  1127. are created by WordBASIC, a program language which links
  1128. features used in Word to macros, and even allows DOS
  1129. commands to be run.
  1130.  
  1131. This virus, named "Concept," has no destructive
  1132. payload; it merely spreads, after a document containing the
  1133. virus is opened, copying itself to other documents as they
  1134. are saved, without affecting the contents of documents.
  1135. However, other macro viruses have been discovered, and some
  1136. of them contain destructive routines.
  1137.  
  1138. Microsoft suggests opening files without macros, to
  1139. prevent macro viruses from spreading, unless the user can
  1140. verify that the macros contained in the document will not
  1141. cause damage.  (This does NOT work for all macro viruses.)
  1142.  
  1143. For further info on macro viruses, you might like to try
  1144.  
  1145.         http://www.drsolomon.com/
  1146.         http://www.datafellows.com/macrovir.htm
  1147.  
  1148. Richard Martin is working on an FAQ on this subject.
  1149.  
  1150.         ftp.gate.net/pub/users/ris1/word.faq
  1151.         http://learn.senecac.on.ca/~jeashe/hsdemonz.htm
  1152.  
  1153. or mail to
  1154.  
  1155.         Bd326@TorFree.Net
  1156.  
  1157.         Subject: PLEASE SEND FAQ
  1158.  
  1159. ...The AOLgold virus
  1160. --------------------
  1161.  
  1162. This is actually a trojan. The following is extracted from the CIAC
  1163. bulletin (Number G-03).
  1164.  
  1165. Apparently, an e-mail message is being circulated that contains an attached
  1166. archive file named AOLGOLD.ZIP.  A README file that is in the archive
  1167. describes it as a new and improved interface for the AOL online service.
  1168. Note that there is no such program as AOLGOLD.  Also, simply reading an
  1169. e-mail message or even downloading an included file will not do damage to
  1170. your machine.  You must execute (or run) the downloaded file to release
  1171. the Trojan and have it cause damage.
  1172.  
  1173. If you unzip the archive, you get two files: INSTALL.EXE and README.TXT.
  1174. The README.TXT file again describes AOLGOLD as a new and improved interface
  1175. to the AOL online service.  The INSTALL.EXE program is a self-extracting ZIP
  1176. archive.  When you run the install program, it extracts 18 files onto your
  1177. hard drive.
  1178.  
  1179. The Trojan program is started by running the INSTALL.BAT file.  The
  1180. INSTALL.BAT file is a simple batch file that renames the VIDEO.DRV file to
  1181. VIRUS.BAT and then runs it.  VIDEO.DRV is an amateurish DOS batch file that
  1182. starts deleting the contents of several critical directories on your C:
  1183. drive.
  1184.  
  1185. When the batch file completes, it prints a crude message on the screen and
  1186. attempts to run a program named DoomDay.EXE.  Bugs in the batch file prevent
  1187. the DOOMDAY.EXE program from running.  Other bugs in the file cause it to
  1188. delete itself if it is run from any drive but the C: drive.  The programming
  1189. style and bugs in the batch file indicates that the Trojan writer appears
  1190. to have little programming experience.
  1191.  
  1192. You can get this and other CIAC notices from the CIAC Computer Security
  1193. Archive.
  1194.  
  1195.    World Wide Web:      http://ciac.llnl.gov/
  1196.    Anonymous FTP:       ciac.llnl.gov (128.115.19.53)
  1197.  
  1198. ++...the PKZip trojan virus? 
  1199.   --------------------------
  1200.  
  1201. Most of us prefer to distinguish between trojans and viruses (see Part
  1202. 1). The threat described in recent warnings is definitely not a virus,
  1203. since it doesn't replicate by infection.
  1204.  
  1205. There have been at least two attempts to pass off Trojans as an upgrade
  1206. to PKZip, the widely used file compression utility. A recent example was
  1207. of the files PKZ300.EXE and PKZ300B.ZIP made available for downloading
  1208. on the Internet.  An earlier Trojan passed itself off as version 2.0.
  1209. For this reason, PKWare have never released a version 2.0 of PKZip:
  1210. presumably, if they ever do release another DOS version (unlikely, at
  1211. this date, in my opinion), it will not be numbered version 3.0(0).
  1212. In fact, there are hardly any known cases of someone downloading and
  1213. being hit by this Trojan, which few people have seen (though most
  1214. reputable virus scanners will detect it). As far as I know, this Trojan
  1215. was only ever seen on warez servers (specialising in pirated software).
  1216.  
  1217. There are recorded instances of a fake PKZIP vs. 3 found infected with
  1218. a real live in-the-wild file virus, but this too is very rare.
  1219. To the best of my knowledge, the latest version of PKZip is 2.04g,
  1220. or 2.50 for Windows.
  1221. .
  1222. +++There was a version 2.06 put together specifically for IBM internal
  1223. use only (confirmed by PKWare). If you find it in circulation, avoid
  1224. it. It's either illicit or potentially damaging.
  1225.  
  1226. The recent rash of resuscitated warnings about this is at least in part
  1227. a hoax. It's not a virus, it's a trojan. It doesn't (and couldn't)
  1228. damage modems, V32 or otherwise, though I suppose a virus or trojan might
  1229. alter the settings of a modem - if it happened to be on and connected....
  1230. I don't want to get into hypothetical arguments about programmable 
  1231. modems right now. It appears to delete files, not destroy disks irrevocably.
  1232.  
  1233. It's certainly a good idea to avoid files claiming to be PKZip vs. 3,
  1234. but the real risk hardly justifies the bandwidth this alert has
  1235. occupied over the last year or so.
  1236.  
  1237. ...xyz PC virus?
  1238. ----------------
  1239.  
  1240. There are several thousand known PC viruses, and the number 'in the
  1241. wild' is in the hundreds. It is not practical to include information
  1242. about all of these in this FAQ. However, information about some or
  1243. most of those which regularly get asked about may shortly (Real Soon
  1244. Now) be available in a separate document. Meanwhile, sources of
  1245. information on specific viruses are included in the preceding sections.
  1246.  
  1247. There are rarely enquiries about viruses on other computing platforms
  1248. raised in alt.comp.virus, but there is some information concerning
  1249. viruses on most platforms available at the Virus Test Center in Hamburg.
  1250.  
  1251. ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/catalog/
  1252. ftp://ftp.informatik.uni-hamburg.de/pub/virus/texts/carobase/
  1253.  
  1254. The following sites also have virus descriptions listed alphabetically:
  1255.  
  1256. http://www.DataFellows.com/
  1257. http://www.drsolomon.com
  1258.  
  1259. ...the Psychic Neon Buddha Jesus virus?
  1260. ---------------------------------------
  1261.  
  1262. This is an allegedly humorous bit of javascript programming that found
  1263. its way onto a website. On clicking on a particular button, you may be
  1264. told that this virus has been detected.Javascript has many interesting
  1265. properties, but virus detection is not one of them. It's a joke.
  1266.  
  1267. ...the blem wit virus?
  1268. ----------------------
  1269.  
  1270. See the Virus-L FAQ. Basically, it's a mangled message that may come
  1271. up with older Novell drivers "[pro]blem wit[h]....."
  1272.  
  1273. ++ The Irina Virus?
  1274.    ----------------
  1275.  
  1276. Publicity stunt generated by Penguin Books to promote their 
  1277. 'interactive novel'. More info in the 'Viruses and the Mac'
  1278. FAQ, a CIAC bulletin on hoax and semi-hoax viruses, the
  1279. Computer Virus Myths website, www.drsolomon.com and many other
  1280. sources.
  1281.  
  1282. ++ GHOST
  1283.    -----
  1284.  
  1285. Just a screensaver...... More info in the CIAC bulletin 
  1286. mentioned above. I'll fill in some details on Ghost and
  1287. Irina when time allows.
  1288.  
  1289. +++
  1290. General Info on Hoaxes/Erroneous Alerts
  1291. ---------------------------------------
  1292.  
  1293. The CIAC updated bulletion mentioned several times above is
  1294. at:
  1295.  
  1296.         http://ciac.llnl.gov/ciac/bulletins/h-05.shtml
  1297.  
  1298. It includes info on the alerts mentioned below, some historical
  1299. background, and suggestions on validating hoaxes rather than
  1300. passing them on uncritically.
  1301.  
  1302. CIAC have now set up a hoaxes web page at:
  1303.  
  1304.     http://ciac.llnl.gov/ciac/CIACHoaxes.html
  1305.  
  1306. -----------------extract-------------------------------
  1307.  
  1308.                                            INFORMATION BULLETIN
  1309.  
  1310. H-05 Internet Hoaxes: PKZ300, Irina,
  1311. Good Times, Deeyenda, Ghost
  1312.  
  1313. November 20, 1996 16:00 GMT
  1314.  
  1315.  
  1316. PROBLEM:       This bulletin addresses the following hoaxes and erroneous
  1317.                warnings: PKZ300 Warning, Irina, Good Times, Deeyenda, and
  1318.                Ghost.exe
  1319. PLATFORM:      All, via e-mail
  1320. DAMAGE:        Time lost reading and responding to the messages
  1321. SOLUTION:      Pass unvalidated warnings only to your computer security
  1322.                department or incident response team. See below on how to
  1323.                recognize validated and unvalidated warnings and hoaxes.
  1324.  
  1325. VULNERABILITY   New hoaxes and warnings have appeared on the Internet and old
  1326. ASSESSMENT:     hoaxes are still being cirulated.
  1327.  
  1328. ---------------------end extract--------------------------------
  1329.  
  1330. ++
  1331. Mini-paper on "Dealing with Internet hoaxes":
  1332.  
  1333.     http://webworlds.co.uk/dharley/
  1334.  
  1335. (11) Is it true that....?
  1336. =========================
  1337.  
  1338.   (*or* some favourite hoaxes...)
  1339.  
  1340. (1) There is *no* Good Times virus that trashes your hard disk
  1341.     and launches your CPU into an nth-complexity binary loop when
  1342.     you read mail with "Good Times" in the Subject: field.
  1343.  
  1344.  You can get a copy of Les Jones' FAQ on the Good Times Hoax from:
  1345.  
  1346.   Via FTP:
  1347.  
  1348.   ftp://usit.net/pub/lesjones/good-times-virus-hoax-faq.txt
  1349.   ftp://members.aol.com/macfaq/good-times-virus-hoax-faq.txt
  1350.  
  1351.   On the World Wide Web:
  1352.  
  1353. [The URL at http://www.tcp.co.uk/etc. no longer works]
  1354.   http://www.nsm.smcm.edu/News/GTHoax.html
  1355.  
  1356. There's a Mini-FAQ available as:
  1357.  
  1358.   ftp://usit.net/pub/lesjones/Good-Times-Virus-Hoax-Mini-FAQ.txt
  1359.  
  1360.     There *is* at least one file virus christened Good Times
  1361.     by the individual who posted it in an attempt to cause
  1362.     confusion. It is more commonly referred to as GT-spoof.
  1363.  
  1364. (2) There is no modem virus that spreads via an undocumented
  1365.     subcarrier - whatever that means....
  1366.  
  1367. (3) Any file virus can be transmitted as an E-mail attachment.
  1368.     However, the virus code has to be executed before it actually
  1369.     infects. Sensibly configured mailers don't usually allow this
  1370.     by default and without prompting, but certainly some mailers
  1371.     can support this: for instance, cc:mail can, it seems, launch
  1372.     attachments straight into AmiPro.
  1373.  
  1374. [further information on this or other potentially dangerous
  1375. associations would be gratefully received]
  1376.  
  1377.     There's room for a lot of discussion here. The jury is still
  1378.     out on web browsers: Netscape can certainly be set up to do
  1379.     things I don't approve of, such as opening a Word document in
  1380.     Word without asking.
  1381.  
  1382.     Microsoft have made available a Word viewer which reads Word
  1383.     files, but doesn't run attached macros. If possible, use this
  1384.     instead.
  1385.  
  1386.     The term 'ANSI bomb' usually refers to a mail message or other
  1387.     text file that takes advantage of an 'enhancement' to the MS-DOS
  1388.     ANSI.SYS driver which allows keys to be redefined with an
  1389.     escape sequence, in this case to echo some potentially
  1390.     destructive command to the console. In fact, few systems
  1391.     nowadays run programs which need ANSI terminal emulation to run,
  1392.     and there's no guarantee that the program reading the file would
  1393.     pass such an escape sequence unfiltered to the console anyway.
  1394.     There are plenty of PD or shareware alternatives to ANSI.SYS that
  1395.     don't support keyboard redefinition, or allow it to be turned off.
  1396.  
  1397.     The term mail bomb is usually applied to the intentional
  1398.     bombardment of an e-mail address with multiple copies of a
  1399.     (frequently abusive) message, rather than to the above.
  1400.  
  1401.     See SimTel/keyboard on sites carrying a SimTel mirror.
  1402.  
  1403. (4) There is no known way in which a virus could sensibly be spread
  1404.     by a graphics file such as a JPEG or .GIF file, which does not
  1405.     contain executable code. Macro viruses work because the files to
  1406.     which they are attached are not 'pure' data files.
  1407.  
  1408. (5) In general, software cannot physically damage hardware - this
  1409.     includes viruses. There is a possibility that specific hardware
  1410.     may be damaged by specific code: however, a virus which drops
  1411.     a particular payload on the offchance that it's running on a
  1412.     system with a particular type of obsolete video card seems more
  1413.     than usually futile.
  1414.  
  1415.  
  1416. (12) Favourite myths
  1417. ====================
  1418.  
  1419. * DOS file attributes protect executable files from infection
  1420.  
  1421.   File attributes are set by software, and can therefore be
  1422.   changed by software, including viruses. Many viruses reset a
  1423.   ReadOnly/System/Hidden file to Read/Write, infect it, and
  1424.   often reset it to the original attributes afterwards.
  1425.  
  1426.   This also applies to other software mechanisms such as
  1427.   simulating hardware write-protection on a hard disk.
  1428.  
  1429.   However, file protection rights in NetWare *can* help to
  1430.   contain virus infections, if set up properly, as can
  1431.   trustee rights. [Trustee assignments govern whether an
  1432.   individual user has right of access to a subdirectory: the
  1433.   Inherited Rights Mask governs the protection rights of
  1434.   individual files and (sub)directories.]
  1435.  
  1436.   Basically, a file virus has the same rights of access as the
  1437.   user who happens to inadvertantly activate it.
  1438.  
  1439.   Setting up these levels of security is really a function
  1440.   of the network Administrator, but you might like to check
  1441.   (politely) that yours is not only reassuringly paranoid but
  1442.   also knowledgeable about viruses as well as networks, since a
  1443.   LAN which is not, in this respect, securely configured, can
  1444.   result in very rapid infection and reinfection of files
  1445.   across the whole LAN. In particular, accounts with supervisor
  1446.   equivalence can, potentially, be the unwitting cause of very
  1447.   rapid dissemination of viruses.
  1448.  
  1449.   [See also the comp.virus FAQ (version 2) section D]
  1450.  
  1451. * I'm safe from viruses because I don't use bulletin boards/shareware/
  1452.   Public Domain software.
  1453.  
  1454.   Many of the most widely-spread viruses are Boot Sector Infectors,
  1455.   which can't normally infect over a serial or network connection.
  1456.   Writers of shareware, freeware etc. are no more prone to accidental
  1457.   infection than commercial publishers, and possibly less. The only
  1458.   'safe' PC is still in it's original wrapping (which doesn't mean
  1459.   it isn't already infected...) And don't forget that shrinkwrapped
  1460.   software may have been rewrapped.
  1461.  
  1462. * FDISK /MBR fixes boot sector viruses.
  1463.  
  1464.   The mark II comp.virus FAQ is worth reading on this (see Part 1
  1465.   of this FAQ).
  1466.  
  1467.   In brief, don't use FDISK /MBR *unless* you're *very* sure of what
  1468.   you're doing, as you may lose data. Note also that if you set up the
  1469.   drive with a disk manager such as EZDrive, you won't be able to access
  1470.   the drive until and unless you can reinstall it.
  1471.  
  1472. ******************************************************************
  1473.  
  1474. (i) What does FDISK /MBR do?
  1475.     ------------------------
  1476.  
  1477.   It places "clean" partition code onto the partition of your hard disk.
  1478.   It does **not change the partition information, however.  The /MBR
  1479.   command-line switch is not officially documented and was introduced in
  1480.   DOS 5.0
  1481.  
  1482. [It does sometimes, and when it does it us usually fatal (for the
  1483. common user, anyway). FDISK /MBR will wipe the partition table data if
  1484. the last two bytes of the MBR are not 55 AA.]
  1485.  
  1486. (ii) What is the partition?
  1487.      ----------------------
  1488.  
  1489.   The partition sector is the first sector on a hard disk.  It contains
  1490.   information about the disk such as the number of sectors in each
  1491.   partition, where the DOS partition starts, plus a small program. The
  1492.   partition sector is also called the "Master Boot Record" (MBR).
  1493.  
  1494.   When a PC starts up it reads the partition sector and executes the
  1495.   code it finds there.  Viruses that use the partition sector modify
  1496.   this code.
  1497.  
  1498.   Since the partition sector is not part of the normal data storage
  1499.   part of a disk, utilities such as DEBUG will not allow access to it.
  1500.  
  1501. [Unless one assembles into memory]
  1502.  
  1503.   Floppy disks do not have a partition sector.
  1504.  
  1505.   FDISK /MBR will change the code in a hard disk partition sector.
  1506.  
  1507.  
  1508. (iii) What is a boot sector?
  1509.       ----------------------
  1510.  
  1511.   The boot sector is the first sector on a floppy disk.  On a hard disk
  1512.   it is the first sector of a partition. It contains information about
  1513.   the disk or partition, such as the number of sectors, plus a small
  1514.   program.
  1515.  
  1516.   When the PC starts up it attempts to read the boot sector of a disk in
  1517.   drive A:.  If this fails because there is no disk it reads the boot
  1518.   sector of drive C:.  A boot sector virus replaces this sector with its
  1519.   own code and usually moves the original elsewhere on the disk.
  1520.  
  1521.   Even a non-bootable floppy disk has executable code in its boot sector.
  1522.   This displays the "not bootable" message when the computer attempts to
  1523.   boot from the disk.  Therefore, non-bootable floppies can still contain
  1524.   a virus and infect a PC if it is inserted in drive A: when the PC
  1525.   starts up.
  1526.  
  1527.   FDISK /MBR will not change the code in a hard disk boot sector.  Most
  1528.   boot sector viruses infect the partition sector of hard disks and
  1529.   floppy disk boot sectors: most do not infect the boot sector of a hard
  1530.   disk - Form virus is an exception.
  1531.  
  1532. (iv) How can I remove a virus from my hard disk's partition sector?
  1533.      --------------------------------------------------------------
  1534.  
  1535.   There are two main alternatives: run an anti-virus product, or use
  1536.   FDISK /MBR.
  1537.  
  1538.   Most effective anti-virus products will be able to remove a virus from
  1539.   a partition sector, but some have difficulties under certain
  1540.   circumstances.  In these cases the user may decide to use FDISK /MBR.
  1541.  
  1542.   Unless you know precisely what you are doing this is unwise.  You may
  1543.   lose access to the data on your hard disk if the infection was done by
  1544.   a virus such as Monkey or OneHalf.
  1545.  
  1546. (v) Won't formatting the hard disk help?
  1547.     ------------------------------------
  1548.  
  1549.   No.  Formatting the hard disk can result in everything being wiped
  1550.   from the drive *apart* from the virus.  Format leaves the partition
  1551.   sector untouched.  There is always a better way of removing a
  1552.   virus infection than formatting the hard disk.
  1553.  
  1554. [Clarification: FORMAT alters the DOS partition, but leaves the
  1555. *partition sector*, aka MBR, alone.]
  1556.  
  1557. ******************************************************************
  1558.  
  1559. * Write protecting suspect floppies stops infection.
  1560.  
  1561. This sounds so silly I hesitate to include it. I've never seen it said
  1562. on a.c.v., but I've heard it so often in other contexts, I've included
  1563. it anyway. Write-protecting a suspect floppy will only protect that
  1564. diskette from *re-infection*, if it's already infected. It won't stop
  1565. an infected floppy from infecting other (write-enabled) drives.
  1566.  
  1567. If you boot with a disk in drive A which is infected with a boot-sector
  1568. virus, the fact that the diskette is write-protected will make no
  1569. difference at all.
  1570.  
  1571. Write-protecting a *clean* floppy will indeed prevent it from being
  1572. infected (but see below!).
  1573.  
  1574. * The write protect tab always stops a disk write
  1575.  
  1576. Briefly, write protection is built into the hardware on the Mac and
  1577. on the PC (and most other systems, of course, but we can't cover
  1578. everything), and can't be circumvented in software.
  1579.  
  1580. However, it is possible for the hardware to fail: it's not common,
  1581. but it happens. Thus when I do a cleanup, I try to create a file on a
  1582. sacrificial floppy before risking my R/O boot disk. Sometimes, I
  1583. even remember....
  1584.  
  1585. Other caveats: a disk which you receive write-protected could have
  1586. been de-protected, infected, and re-protected. Even a 3.5" disk with
  1587. the write-enable tab removed can be written to by covering the hole
  1588. with (e.g.) masking tape. And, of course, shrink-wrapped software
  1589. could have been infected before the duplication process.
  1590.  
  1591. * I can infect my system by running DIR on an infected disk
  1592.  
  1593. If you have a clean PC system, you can't contract a boot sector virus
  1594. *or* a file virus just by listing the files on an infected floppy.
  1595. Of course, if your PC is infected, you may well infect a *clean* floppy
  1596. by using
  1597.  
  1598.         DIR A:
  1599.  
  1600. It *is* possible to have a scanner report a virus in memory after a
  1601. DIR of a floppy with an infected boot sector. The distinction here is
  1602. that the virus is *not* actually loaded into memory, so the PC has
  1603. *not* been infected.
  1604.  
  1605. -----------------------------------------------------------------------
  1606.  
  1607. End of a.c.v. FAQ part 2
  1608.  
  1609.               
  1610.