home *** CD-ROM | disk | FTP | other *** search
/ Software 2000 / Software 2000 Volume 1 (Disc 1 of 2).iso / utilities / u584.dms / u584.adf / German Killer / Vt.Kompendium < prev    next >
Text File  |  1991-02-23  |  48KB  |  1,176 lines
  1. Vt.Kompendium                                   Letzte Änderung 03.02.1991
  2. --------------------------------------------------------------------------
  3.  
  4. Dieser Text enthält einige rudimentäre Informationen über die diversen
  5. Viren und Bootblöcke sowie die Vorgehensweise des Vt. Zuviel soll aber
  6. nicht weitergegeben werden. Daneben gibt es noch Informationen über
  7. verschiedene Nutzprogramme und ungewöhnliche Bootblöcke, die von Vt erkannt
  8. werden.
  9.  
  10.  
  11.                  I. Bekannte Viren (die ich habe)
  12.                  ================================
  13.  
  14.   Diese werden vom Vt erkannt und ohne RESET (in der Regel, aber die
  15.   hat je bekanntlich immer Ausnahmen) im Speicher gelöscht.
  16.  
  17.   Der Test erfolgt auf drei Langworte im Speicher !!!
  18.  
  19.   Kein FastMem heißt, daß das VirusPrg mit einer Ramerweiterung bei mir
  20.   abstürzt, könnte aber mit $C00000 oder einer anderen FastMemKarte laufen?
  21.  
  22.   Es folgt eine alphabetische Liste:
  23.  
  24.    - .info    anderer Name: TimeBomb V0.9   s.u.
  25.  
  26.  
  27.    - 16 Bit Crew   Cool, im Prg. noch DoIo, FastMem ja, im Speicher
  28.       immer ab $7ec00
  29.       Vermehrung: ueber BB
  30.       im BB steht unverschluesselt:
  31.       The 16 Bit Crew 1988
  32.  
  33.    - 2001     SCA-Clone, Cool immer 7EC3E, nur anderer Text
  34.  
  35.    - Abraham     siehe Claas Abraham
  36.  
  37.    - Aids      Vkill-Clone siehe dort
  38.          Unterschied: 3 Bytes
  39.             1.Byte: in der Pruefsumme
  40.             2.Byte: Vermehrungszaehler
  41.             3.Byte: Einsprung in entschluesselten Text
  42.         (ein Prg. springt z.B. nach $7ebc3, das 2. Prg. nach $7eba9)
  43.  
  44.    - AIDS-HIV  SCA-Clone, Cool immer 7EC3E, nur anderer Text
  45.  
  46.    - AlienNewBeat    Cold, Cool, DoIo, nur KS1.2, Fastmem ja
  47.          im Speicher immer ab $20000
  48.          Vermehrung: ueber BB          Vermehrungszaehler: $2037e
  49.          Text im BB sichtbar: z.B.
  50.          THIS IS THE ALIEN NEW BEAT BOOT!
  51.  
  52.    - Amiga Freak    Forpib-Clone  s.u.
  53.          nur Name im BB geaendert
  54.  
  55.    - Art Byte Bandit     anderer Name: ByteBanditPlus    s.u.
  56.  
  57.    - Australian Parasite   Fastmem ja, Cool, DoIo, im Prg. BeginIo
  58.          Vermehrung: ueber BB
  59.          ueber GraphikRoutine wird BildschirmInhalt gedreht
  60.          im BB sichtbar:
  61.          The Australien Parasite!
  62.           By Gremlin 18/5/88!
  63.           Will NOT destroy game bootsectors or corrupt disks,
  64.           and kill other viruses!
  65.  
  66.    - BAHAN     anderer Name BUTONIC_1.1  siehe dort
  67.  
  68.    - BGS9 I (schiebt Org.Prg. in devs)   Bytes 2608
  69.          KickMem, KickTag, KickCheckSum, OpenWindow
  70.          PrgTeile verschluesselt mit eori.l #$1AF45869,(a0)+
  71.          unsichtbares File in devs: A0A0A0202020A0202020A0
  72.          am Ende des Prg.Files ist mit einem Monitor zu sehen: TTV1
  73.          beim 4.Reset Textausgabe ueber GraphikRoutine:
  74.          schwarzer Hintergrund, weisse Schrift
  75.             A COMPUTER VIRUS IS A DISEASE
  76.              TERRORISM IS A TRANSGRESSION
  77.              SOFTWARE PIRACY IS A CRIME
  78.  
  79.                   THIS IS THE CURE
  80.  
  81.          BGS9 BUNDESGRENZSCHUTZ SEKTION 9
  82.               SONDERKOMMANDO "EDV"
  83.  
  84.             Entfernung: File in devs in OrginalPrg. umbenennen
  85.                         BGSVirusFile loeschen
  86.                         OrgPrg aus devs in entsprechendes Verzeichnis
  87.                         kopieren
  88.  
  89.    - BGS9 II  aehnlich BGS9 I
  90.          aber File in devs jetzt:
  91.             A0E0A0202020A0202020A0
  92.          Hinweis: $E0 ist ein a mit Akzent
  93.          Aenderung im Text:    :SOFTWARE'
  94.          Die Veraenderungen liegen im codierten PrgBereich
  95.          Im PrgFile TTV1 sichtbar
  96.  
  97.    - BLACKFLASH V2.0     Cool, DoIo, FastMem ja
  98.          im Speicher immer ab $7F000
  99.          Zaehlzelle = $13  Textausgabe mit Graphikroutine (s.u.)
  100.          Schrift rot, Hintergrund schwarz
  101.          Vermehrung: ueber BB
  102.          Text steht unverschluesselt im BB:
  103.          HELLO, I AM AMIGA !
  104.            PLEASE HELP ME !
  105.          I FEEL STICK !
  106.          I HAVE A VIRUS !
  107.          ! BY BLACKFLASH !
  108.  
  109.    - BlackStar       anderer Name: Starfire1/NorthStar1  siehe dort
  110.  
  111.    - Blade Runners   SCA-Clone, immer ab 7EC00, Cool, im Prg. DoIo
  112.          Text: Hello! We are the Blade Runners!     u.s.w.
  113.  
  114.    - BS1! (noch ein SCA )
  115.  
  116.    - BUTONIC 1.1     anderer Name BAHAN (im BB immer lesbar)
  117.          Cool, im Prg. DoIo, immer ab $7ec00, FastMem ja
  118.          Vermehrung: ueber BB wenn DOS0 gefunden
  119.          Textausgabe mit PrintIText (entschluesselt mit eori.b #-1,d1
  120.          nach $7eb0c)
  121.          im Speicher dann sichtbar:
  122.      BUTONIC'S VIRUS 1.1 GREETINGS TO HACKMACK ... <GENERATION NR. #####>
  123.  
  124.    - Byte Bandit       ohne FastMem
  125.          Begin, KickTag, KickCheckSum, Vec5
  126.  
  127.    - Byte Bandit 2    anderer Name: No Name 1  s.u.
  128.  
  129.    - Byte Bandit Clone     ohne Fastmem
  130.       Diff zu OrgByteBandit: 180 Bytes
  131.      (  Byte B.. Text wurde aus BB entfernt !!)
  132.  
  133.    - ByteBanditError
  134.       das OrginalByteBanditVirusPrg. beginnt im BB bei $0C, hier bei $32
  135.       Da die alte BB-Copy Routine verwendet wird, ist das 1.LW im neuen
  136.       Copy-BB nicht DOS0, d.h. die neu verseuchte Disk ist "Not a DOS-Disk"
  137.       also weder boot- noch vermehrungsfaehig
  138.  
  139.    - ByteBanditPlus  Kick1.2 ohne FastMem
  140.                   Begin, KickTag, KickCheckSum, Vec5
  141.       Diff zu OBB: 92 Bytes
  142.       (zusaetzlich trackdisk.... entfernt)
  143.  
  144.    - Byte Warrior (DASA)    (KickV1.2)
  145.          DoIo, KickTag, KickCheckSum
  146.  
  147.    - CCCP-Virus    Cool, im Prg. Vec3, DoIo, Openwindow, NewOpenLib !!!!
  148.       erstes VirusPrg. das sich als BB und als Link vermehren kann !!
  149.       im BB sichtbar: CCCP VIRUS
  150.       Link: verlaengert ein File um 1044 Bytes
  151.       befaellt keine Prg.e in l (z.B.libs), d (z.B.devs), f (z.B.fonts)
  152.  
  153.    - CENTURIONS     anderer Name: THE SMILY CANCER   siehe dort
  154.  
  155.    - Claas Abraham     andere Namen: Abraham, MCA
  156.       Cold, Cool, KickTag, KickCheckSum, $68
  157.       braucht FastRam !!!!! Angefordert mit #$4,d1 und AllocMem
  158.       (Programmierfehler ????)
  159.       im Prg.Ablauf erst BeginIo
  160.       Vermehrung: ueber BB
  161.       Schaden: nach $F-Resets Formatierung
  162.       Eor-Byte wird fuer neuen BB aus $DFF006 erzeugt
  163.       entschluesselt steht im Speicher:
  164.       >>> Claas Abraham Virus !!! <<<
  165.  
  166.    - Clist-Virus    anderer Name: U.K.LamerStyle
  167.       Begin, Kicktag, KickCheckSum
  168.       entschluesselt steht im Speicher:
  169.    expansion ram.trackdisk.device..clist.library.clist 33.80 (8 Oct 1986).
  170.       Vermehrung: ueber BB
  171.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  172.       schluesselungsByte wird mit $DFF006 festgelegt.
  173.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  174.       und !!!! mit allocabs eingetragen.
  175.  
  176.    - CODER  immer $7f600, DoIo, KickTag, KickCheckSum, $68
  177.       im BB steht unverschluesselt:
  178.       Bootblock installed with 'CODER' - The Ultimate Viruskiller!!
  179.       Vermehrung: ueber BB
  180.       im Speicher steht (entschluesselt mit ror.b #2,d1):
  181.             Something WONDERFUL has happened!!
  182.          Your Amiga is alive, and it is infected with the
  183.          'Coders Nightmare Virus'. - The ultimate key-killer,
  184.          masterminded by the megamighty Mr. N of
  185.          The Power Bomb Systems!!
  186.  
  187.    - DAG   Cool, im Prg DoIo und zurueck, Fastmem ja, immer ab $7ec00
  188.       eine Meisterleistung: in den SCA-Text wurde eingebaut:
  189.                Try ANTIVIRUS from DAG
  190.  
  191.    - DASA  anderer Name: ByteWarrior  s.o.
  192.  
  193.    - Destructor   Cold
  194.          im BB sichtbar:
  195.             Destructor_Virus v1.2 Written by Aldo Reset.
  196.             (c) M.C.T. Ltd 1990- Everything is under control !
  197.             (eh!eh!)
  198.          keine Vermehrungsroutine gefunden
  199.          zerstoert beim naechsten Reset ueber Cold eine nicht
  200.          schreibgeschuetzte Disk indem jeder 4. Track ueberschrieben
  201.          wird.
  202.  
  203.    - DIGITAL EMOTIONS   Cool, im Prg. DoIo und zurueck, immer $7ec00
  204.          im BB immer sichtbar: *** DIGITAL EMOTIONS ***
  205.          je nach Zaehlerstand
  206.          - wird eigener BB geschrieben oder
  207.          - Track 0 mit 'VIRUS ' beschrieben.  Folge: keine Dos-Disk
  208.          Textausgabe (decodiert mit -1) ueber DisplayAlert:
  209.                 KickStart ROM Corrupted at $c00276
  210.  
  211.    - DISASTER MASTER V2  ( cls * )   1740 Bytes
  212.          eigenstaendiges Prg. fuer startup-sequence
  213.          kicktag, kickcheck
  214.          im Prg. DoIo und wieder zurueck
  215.          cool und cold werden geloescht
  216.       Entfernung: 1.Zeile in startup. loeschen
  217.                   cls in DfX:c loeschen
  218.          Erstellungsprogramm:
  219.          Intro-Maker von T.C.R.
  220.  
  221.    - DiskDoctors (KickV1.2)
  222.          die angeblichen Mutanten unterscheiden sich in $4 (Pruefsumme)
  223.          und von $390-$3A8 (Variablenablage)=bei jedem Reset anders
  224.  
  225.    - Disk-Herpes    Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  226.          wird haeufig mit Phantasmumble verwechselt, Fastmem ja
  227.          Vermehrung: ueber BB
  228.          Schaden: schreibt auf Track 80 (Root) Speicherinhalt ab
  229.          $60000. Folge: Disk BAD
  230.          Graphikroutine: Deutschlandfahne + Text (auch im BB sichtbar)
  231.               --- Hello Computerfreak ---
  232.             You've got now your first VIRUS
  233.               ** D i s k - H e r p e s **
  234.               Many Disks are infected !!
  235.             Written by >tshteopghraanptha<
  236.                 c 27.07.1987 in Berlin
  237.  
  238.    - EXTREME
  239.          DoIo, KickTag, KickCheckSum
  240.          entweder 7f800 oder ff800, da Berechnung ueber SysStkLower
  241.          Alertmeldung und Zerstoeren (Disk BAD) aller nicht schreibge-
  242.          schuetzten Disks in allen LW
  243.          Vermehrung: ueber BB
  244.  
  245.    - F.A.S.T.
  246.          Cool, DoIo , FreeMem, immer ab $7F000
  247.          Alertmeldung (verschluesselt mit eori-Byte in Abhaengigkeit
  248.          von $DFF006) und loeschen
  249.          veraendert auch $C0-$E0  (SetPatchListe!)
  250.          Vermehrung: BB
  251.  
  252.    - F.A.S.T. 1     FAST-Clone
  253.          im BB wurde der codierte Prg.Teil um einige Bytes verschoben,
  254.          um im BB-Kopf dos.library einbauen zu koennen. Die Speicher-
  255.          lage wurde nicht veraendert.
  256.  
  257.    - F.I.C.A
  258.          Beginio, KickTag, KickCheckSum, SumKickData
  259.          Vermehrung: BB
  260.          Besonderheit: spielt sauberen BB vor
  261.          sichtbarer Text im BB ab $288
  262.          z.B. F.I.C.A RULES!
  263.  
  264.    - FORPIB    kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  265.          Vermehrung: ueber BB
  266.          besorgt sich Speicher ueber MemList, Speicher fuer neuen
  267.          VirusBB mit AllocMem
  268.          Im BB sichtbar:  - FORPIB - 09.88 - N° 197102 -    usw.
  269.  
  270.    - Gadaffi  (KickRomV1.2 Floppymusik)
  271.          Cool, DoIo, KickTag, KickCheckSum
  272.  
  273.    - Graffiti      aehnlich 16Bit Crew + 3D-Graphik
  274.          FastMem ja, Cool, im Prg DoIo, im Speicher immer $7ec00
  275.          Vermehrung: ueber BB
  276.          Graphikroutine mit 3D
  277.          unverschluesselt im BB:
  278.          VIRUS! written by Graffiti
  279.  
  280.    - GREMLIN    Cool, KickSumData, im Prg. DoIo, im Speicher immer $7f400
  281.          Vermehrung: ueber BB
  282.          Textausgabe mit GraphikRoutine: roter Hintergrund, weisse Schrift
  283.                         GREMLIN
  284.  
  285.    - GX.TEAM    Fastmem ja, nur KS1.2 da absoluter DoIo-Einsprung
  286.          Cool, DoIo, KickTag, KickCheckSum, im Speicher immer ab $7f4d0
  287.          Vermehrung: ueber BB
  288.          Textanzeige mit displayAlert (wird mit sub.b #$41,d0 nach
  289.          $7f300 entschluesselt):
  290.          Mais qui voila ???C'est le nouveau VIRUS de GX.TEAM !!
  291.          AAAHH! Les salauds! Les ...(Insultes diverses)
  292.          He!He! SILENCE :
  293.          GX.TEAM entre enfin dans la legende ...
  294.          BYE!!!
  295.  
  296.    - Hilly  KickTag, KickCheckSum, Kick1.2
  297.             Vermehrung: ueber BB
  298.             sonst keine Routine gefunden (keine Graphik usw.)
  299.  
  300.    - HODEN V33.17   nur KS1.2, da absoluter DoIo-Einsprung
  301.             DoIo, KickTag, KickCheckSum, im Speicher immer $7f000
  302.             Vermehrung: ueber BB
  303.             Kennzeichen: nach fuenf Kopien wandert ein gelber Kopf
  304.             von links nach rechts ueber den Bildschirm.
  305.             unverschluesselt steht im BB:  HODEN V33.17
  306.  
  307.    - ICE    SCAClone, Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  308.             Vermehrung: ueber BB
  309.             Textausgabe durch GraphikRoutine
  310.             unverschluesselt steht im BB:
  311.             Greets from The Iceman & The IRQ  usw.
  312.  
  313.    - Incognito     anderer Name Trojan
  314.             DoIo, KickMem, KickTag, KickCheckSum, FastMem ja
  315.             nur KS1.2, da absoluter DoIo-Einsprung ins ROM
  316.             Vermehrung: ueber BB
  317.             sonst keine Schaeden und kein Text
  318.             im BB: nichts zu sehen, da trackdisk.device verschluesselt.
  319.  
  320.    - IRQ-TeamV41.0   Link-Virus, verlaengert ein Prg. um 1096 Bytes
  321.                      Einsprung nach Reset: KickTag
  322.                      Einsprung bei Arbeit: OldOpenLib
  323.          Textanzeige im CliTitel: (entschluesselt mit eor.l d0,(a0)+
  324.          addq.l #3,d0 ; fuer einen neuen Virus wird der Inhalt von
  325.          d0 ueber move.l alterWert,d0 u. add.l $dff004,d0 veraendert)
  326.              AmigaDOS presents:a new virus by the IRQ-TeamV41.0
  327.          entweder wird c/dir oder das erste File der startup-sequence
  328.          befallen. K e i n  File wird zweimal befallen. Das File
  329.          darf nicht laenger als 100 000 Bytes sein.
  330.       Entfernung: 1.Zeile in startup. loeschen
  331.                   OrgFile besorgen und neu kopieren
  332.  
  333.    - IRQ II    wie IRQ I, aber die Routine auf Test schon befallen
  334.          (cmpi. #$fffe6100,30(a4,d6.l) wurde verfaelscht. Das heisst:
  335.          das erste File von der startup-sequence wird solange befallen,
  336.          (d.h. verlaengert) bis die Disk voll ist.
  337.       Nachtrag:gilt fuer IRQI+II; mit meiner FastmemKarte ist n a c h
  338.          einem Reset keine Vermehrung mehr moeglich ?????
  339.  
  340.  
  341.    - JEFF-BUTONIC V1.31/05.11.88    PrgFileVirus   3408 Bytes
  342.  
  343.          DoIo, KickTag, KickCheckSum, $68
  344.          schreibt sich in die 1. Zeile der Startup-Sequence einer
  345.          nicht schreibgeschuetzten Disk. Tarnnamen s.u.
  346.  
  347.          Texte codiert mit: eori.l #$AAAAAAAA,(a0)+
  348.  
  349.  
  350.      Text fuer DisplayAlert:
  351.  
  352.              "Einen ganz wunderschönen guten Tag!"
  353.  
  354.       "* I am JEFF - the new Virus generation on Amiga *"
  355.  
  356.                 "(w) by the genious BUTONIC."
  357.  
  358.            "V 1.31/05.11.88 - Generation Nr.00037"
  359.  
  360.     "Greetings to * Hackmack *,* Atlantic *, Wolfram, Frank,"
  361.  
  362.  "Miguel, Alex, Gerlach, and to the whole Physik-LK from MPG !!"
  363.  
  364.  
  365.   Texte fuer die Fensterleiste:
  366.  
  367.     "Ich brauch jetzt'n Bier!"
  368.     "Stau auf Datenbus bei Speicherkilometer 128!"
  369.     "Mehr Buszyklen für den Prozessor!"
  370.     "Ein dreifach MITLEID für Atarist!"
  371.     "BUTONIC!"
  372.     "Schon die Steinzeitmenschen benutzten MS-DOS...einige sogar heut noch!"
  373.     "Schon mal den Sound vom PS/2 gehört???"
  374.     "PC/XT-AT: Spendenkonto 004..."
  375.     "Unabhängigkeit & Selbstbestimmung für den Tastaturprozessor!"
  376.     "Paula meint, Agnus sei zu dick."
  377.     "IBM PC/XT: Ein Fall für den Antiquitätenhändler..."
  378.     "Sag mir, ob du Assembler kannst, und ich sage dir, wer du bist."
  379.  
  380.  
  381.   Tarnnamen:
  382.  
  383.       fuer RootDir:                        in Startup-Sequence:
  384.  
  385.        AddBuffers                            "AddBuffers 20"
  386.        Add21K                                "Add21K "
  387.        Fault                                 "Fault 206"
  388.        break                                 "break 1 D"
  389.        changetaskpri                         "changetaskpri 5"
  390.        wait                                  "wait "
  391.        $A0                                   $A020
  392.        $A0A0A0                               $A0A0A020
  393.        Arthus                                "Arthus "
  394.        Helmar                                "Helmar "
  395.        Aloisius                              "Aloisius "
  396.   ??   $20                                   $2020          ??
  397.    die Erzeugung des $20-Tarnnamen ist nicht gelungen, steht aber im
  398.    Virus-Prg.
  399.  
  400.    - JEFF-BUTONIC V3.00/9.2.89   PrgFileVirus  2916Bytes
  401.             Name im Hauptverzeichnis: A0A0A0
  402.             1.Zeile in startup. A0A0A0209B41
  403.             DoIo, KickTag, KickCheckSum
  404.             Vermehrung: jede nicht schreibgeschuetzte DOS-Disk mit startup
  405.             Entfernung: 1.Zeile in startup loeschen
  406.                         File in DfX: loeschen
  407.                            Entschuesselungsroutine:
  408.       entschluesselter Text:                       move.w #$013a,D0
  409.          Hi.                                     loop:
  410.          JEFF`s speaking here...                   move.w (A0)+,(a1)
  411.          (w) by the genious BUTONIC.               eori.w #$b4ed,(A1)+
  412.          usw. insgesamt ueber $270 Bytes Text      dbf D0, loop
  413.  
  414.    - JITR          Cool, DoIo, FastMem ja, im Speicher immer ab $7ec10
  415.          Vermehrung: ueber BB
  416.          Sonst keine Routine vorhanden !!!! VirusPrg. nur $200 Bytes lang.
  417.          Im BB lesbar:
  418.             I'm a safe virus! Don't kill me! I want to travel!
  419.                And now a joke : ATARI ST
  420.             This virus is a product of JITR
  421.  
  422.    - Joshua
  423.       senkrechtstehender Text Joshua (ueber Graphikroutine)
  424.       Begin, Kickmem, KickTag, KickCheck, Vec5
  425.  
  426.    - Joshua 2     anderer Name: Joshua3 oder Switch-Off
  427.       Cold, Begin, Vec5
  428.       hat Probleme mit einem Befehl im C-SubD. von WB1.3
  429.       Bootblock jetzt verschluesselt:  loop: move.b (A0),D0
  430.                                              eori.b #$18,D0
  431.       das eor-Byte wechselt und steht auch   move.b D0,(A0)+
  432.       an $3ff des BBs. Zu erkennen ist der   cmpa.l A1,A0
  433.       Joshua 2 am Ende des BBs an der Byte-  bne loop
  434.       folge, wobei sich aber das X je nach   rts
  435.       eor-Byte aendert: .XX...XXX........XX.XX.XXXX...X.XX.
  436.       die Punkte koennen auch durch andere Zeichen belegt sein
  437.  
  438.    - Joshua 3    anderer Name und richtig: Joshua 2
  439.       es existiert eine BB-Sammlung, die einen wirklichen ByteBandit
  440.       (aufs Byte im Speicher) Joshua1 nennt. Hieraus ergibt sich
  441.       dann eine falsche Nummer.
  442.  
  443.    - Julie   anderer Name Tick
  444.          immer $7f800, cool, DoIo, BeginIo und  $20
  445.          arbeitet nicht sauber mit 1MB Chip
  446.          testet einige Zeiger und drei Werte (z.B. auf $7ec00)
  447.          Vermehrung: ohne Warnung ueber (nur ausfuehrbare) BB's
  448.  
  449.    - Kauki   immer $7ec00, Cool, im Prg. $80, $84, $88
  450.          im Prg. auch noch DoIo, schreibt aber spaeter im Prg DoIo von
  451.          KS1.2 zurueck (nach Vermehrung)
  452.          den meisten Platz brauchen die Chopperlisten. Das ChopperIntro
  453.          laeuft auch mit KS1.3 . Kauki im BB nicht sichtbar.
  454.  
  455.    - Lameralt    abcd bei $3a6
  456.          schreibt Lamer in irgendeinen Block
  457.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  458.    - Lamerneu    abcd bei $396
  459.          schreibt LAMER in irgendeinen Block
  460.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  461.    - Lamer1      fedc bei $342
  462.          schreibt LAMER
  463.          Begin, KickTag, KickCheckSum
  464.    - Lamer2      abcd bei $392
  465.          schreibt LAMER
  466.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData 
  467.    - Lamer3      abcd bei $3f4
  468.          (orgbb in 2 u. 3)
  469.          Fastmem ja, Begin, KickTag, KickCheckSum, SumKickData
  470.  
  471.    - Lamer4      abcd bei $3ae
  472.       BeginIo, KickTag, KickCheckSum und SumKickData
  473.       Vermehrung: ueber BB
  474.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  475.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  476.          mit $DFF006 ermittelt.
  477.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  478.       schluesselungsByte wird mit $DFF007 festgelegt.
  479.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt.
  480.  
  481.    - Lamer5      abcd bei $3aa   FastMem ja
  482.       BeginIo, KickTag, KickCheckSum und SumKickData
  483.       Vermehrung: ueber BB
  484.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  485.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  486.          mit $DFF006 ermittelt.
  487.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  488.       schluesselungsByte wird mit $DFF007 festgelegt.
  489.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  490.  
  491.    - Lamer6      abcd bei $396   FastMem ja
  492.                   aehnlich Lamerneu Unterschied 48Bytes
  493.       BeginIo, KickTag, KickCheckSum und SumKickData
  494.       Vermehrung: ueber BB
  495.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  496.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  497.          mit $DFF006 ermittelt.
  498.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  499.       schluesselungsByte wird mit $DFF007 festgelegt.
  500.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  501.       zusaetzlich im Prg. noch Remove Node, Test auf Cool u. Cold .
  502.  
  503.    - Lamer7     andere Namen: Selfwriter, Pseudoselfwriter
  504.       keine signifikante Endekennung, Laenge BB $3BD,
  505.       BeginIo, KickTag, KickCheckSum
  506.       Vermehrung: ueber BB
  507.       Zerstoerung: ueberschreibt einen Block mit 85 x Lamer! und da
  508.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  509.          mit $DFF006 ermittelt.
  510.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  511.       schluesselungsByte wird mit $DFF007 festgelegt.
  512.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  513.       und !!!! mit allocabs eingetragen. (machen andere Lamer nicht)
  514.  
  515.    - Lamer8    keine Endekennung
  516.       BeginIo, KickTag, KickCheckSum, SumKickData
  517.       Vermehrung: ueber BB
  518.       Schaden: Format alle LW
  519.       Ein neuer BB wird wieder verschluesselt mit eori.w . Das Ver-
  520.       schluesselungswort wird mit $dff006 festgelegt.
  521.       BB ist verschluesselt von $3e bis $3cc
  522.  
  523.    - LSD!      (noch ein SCA!)
  524.  
  525.    - MAD II     nur KS1.2, da absoluter DoIo-ROM-Einsprung
  526.       Cool, DoIo, KickTag, KickCheckSum, im Speicher immer $7FB00
  527.       im BB sichtbar: MAD II VIRUS is better  usw.
  528.       Vermehrung: ueber BB
  529.       Sobald der Inhalt des Zaehlers groesser $D ist, wird in eine
  530.       DiskStepRoutine verzweigt. Da diese falsch programmiert und somit
  531.       nicht funktionsfaehig ist, wird nur der Bildschirm dunkel.
  532.  
  533.    - MicroSystems     FastMem ja  nur KS1.2
  534.          holt selbst Namen aus ROM (z.B. dos.library)
  535.       Cool und Cold
  536.       im Prg. bei Bedarf: AddTask, RemTask und DoIo
  537.       Vermehrung: ueber BB
  538.       Textausgabe ueber Graphikroutine
  539.       unverschluesselt steht im BB:
  540.       YOUR AMIGA IS INFECTED BY
  541.       A NEW GENERATION OF VIRUS
  542.       CREATED IN SWEDEN BY
  543.       MICROSYSTEMS
  544.  
  545.    - MCA      siehe Claas Abraham
  546.  
  547.    - MEGAMASTER
  548.       Cool, DoIo, immer $7e300
  549.       zwei codierte Bereiche im BB
  550.       1. Bereich: eori.b #-$45,(a0)+   ; testet auf andere Viren
  551.       2. Bereich: eori.b #-$11,(a0)+   ; Textausgabe ueber Graphik
  552.                schwarzer Hintergrund, rote Schrift
  553.                         Surprise!!!
  554.                Your Amiga is controlled by
  555.                         MEGAMASTER
  556.      Vermehrung: ueber BB
  557.  
  558.    - MGM89     anderer Name: MEGAMASTER   s.o.
  559.  
  560.    - Micro-Master  ( noch ein SCA! )
  561.  
  562.    - Morbid Angel   Forpib-Clone   s.o.
  563.          nur sichtbarer Text und einige unwichtige Bytes wurden
  564.          geaendert.
  565.  
  566.    - No head     s.b. ByteBanditPlus
  567.  
  568.    - No Name 1    anderer und richtiger Name :  Byte Bandit 2
  569.       kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  570.       SpeicherLage ueber structMemList, Speicherreservierung fuer
  571.       neuen  BBVirus mit allocmem, Zaehlstelle: Virusstart + $1c
  572.       Vermehrung: ueber BB
  573.       Im BB lesbar: trackdisk.device (weit unten)
  574.       ein ByteBanditClone, ohne Tastaturabfrage, nur 5 Kopien und
  575.       kuerzer gesetzter Zeit
  576.  
  577.    - NorthStar   anderer Name: Starfire  s.u.
  578.  
  579.    - Obelisk1  ( Deutschlandfahne + Graphiktext) Einsprung:cool
  580.                schreibt in Speicherstelle $00000060 das Wort GURU
  581.                zerstoert damit den Ausnahmevector, der ins ROM
  582.                IR-Ebene 7 zeigt !!
  583.  
  584.    - Obelisk2   Begin, KickTag, KickCheckSum, Vec5
  585.                 Einsprung:KickTag ,drei ZaehlZellen, Ausgabe:Graphik-
  586.                 text mit FormatAndrohung, wird nur durch KopfAnschlag
  587.                 vorgetaeuscht !! Nachweis mit TrackDisplay !!
  588.                 Speicherstelle $60 s.o.
  589.  
  590.    - OPAPA     Begin, KickTag, KickCheckSum, Vec5
  591.                Zaehlzelle: ja, Vermehrung: ueber BB jedes LW
  592.                Textausgabe (ueber Graphik) OPAPA-VIRUS READY STEADY FORMAT
  593.                Kopf steppt nach Track 0 alle LW
  594.  
  595.    - PARATAX   SCA-Clone, Cool immer 7EC3E, nur anderer Text
  596.  
  597.    - PARATAX II    Disk-Dokters-Clone, nur KS1.2 da DoIo-ROMEinsprung
  598.                Cold, Cool, DoIo, im Prg. Vec5
  599.                im BB sichtbar: PARATAX II
  600.                clipboard.device durch ".dos.library" ersetzt
  601.                je nach Zaehlerstand wird eigener BB geschrieben oder
  602.                Disk ab Cylinder 40 (ROOT) formatiert
  603.  
  604.    - PentagonCircle     cool,kickchecksum
  605.                Fastmem ja, im Speicher immer ab $7fb00, im Prg. noch DoIo
  606.                testet auf einige Viren, Alert-Meldung
  607.                Vermehrung: ueber BB
  608.                Text im BB sichtbar: z.B.
  609.                The Pentagon Circle VirusSlayer by Mr.Moutnlake!
  610.  
  611.    - PentagonVirusSlayer2:  cool, KickCheckSum, immer ab $7f000
  612.                Fastmem ja, im Prg. DoIo, Programmierung voellig anders
  613.                als Pentagon, Alert-Meldung
  614.                Vermehrung: ueber BB
  615.                Text im BB sichtbar: z.B.
  616.                The Pentagon Circle VirusSlayer 2 by Mr.Mountainlake!
  617.  
  618.    - PentagonVirusSlayer3:  Cool, KickCheckSum, immer ab $7e000
  619.                Fastmem ja, im Prg. DoIo, FindResident
  620.                Alert-Meldung
  621.                Vermehrung: ueber BB
  622.                Text im BB sichtbar: z.B.
  623.                The Pentagon Circle VirusSlayer by Mr.Mountainlake!
  624.  
  625.    - Pseudoselfwriter   andere Namen: Selfwriter, Lamer7
  626.  
  627.    - Rene    anderer Name: bei mir Lamer8
  628.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  629.          das Verhalten einem Lamervirus entspricht, halte ich eine
  630.          Zuordnung zur Lamer-Gruppe fuer richtig.
  631.  
  632.    - Return Of The Lamer       PrgFileVirus    Laenge 1848 Bytes
  633.             nur KRESET (Entschuldigung)
  634.          tarnt sich als Disk-Validator
  635.          KickTag, KickCheckSum, BeginIo und andere
  636.          zu erkennen an: hat im Gegensatz zum Org.Disk-Validator keinen
  637.          lesbaren ASCII-Text
  638.          Schaeden in Abhaengigkeit von der Zeit:
  639.          a) bestimmt eine Blocknummer ueber $DFF007 und schreibt 64 x
  640.             LAMER!!! hinein
  641.          b) Fastformatroutine fuer alle Laufwerke und ueber DisplayAlert
  642.             Textausgabe:
  643.             The Return Of The Lamer Exterminator
  644.          c) schreibt den falschen Disk-Validator auf Disk
  645.  
  646.    - Revenge Bootloader!  Begin, KickTag, KickCheckSum, Vec5
  647.                Fastmem: nein
  648.                Vermehrung ueber BB
  649.  
  650.    - Revenge V1.2       cool,doio,vec5 , im Speicher immer $7e000
  651.            und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  652.           Vermehrung: ueber BB
  653.          Schaden: nach einger Zeit neuer Mauszeiger
  654.          im BB sichtbar: Revenge V1.2GCount:
  655.  
  656.    - Revenge of the Lamer   PrgFileVirus Laenge 4560 Bytes
  657.                nur KRESET (Entschuldigung)
  658.                es werden mir zuviele Zeiger verbogen (10!!)
  659.                entschluesselt steht im Speicher:
  660.                dos.library.graphics.library.intuition.library.
  661.                trackdisk.device.DOS s/startup.sequence   usw.
  662.                Name:$A0A0A0A0A0 steht im Hauptverzeichnis und
  663.                1.Zeile Startup
  664.                testet vor Vermehrung ob genuegend Platz auf Disk ist
  665.                nach 6 Resets (denke ich), Formatieren aller eingelegten
  666.                nicht schreibgeschuetzten Disks
  667.                3 Seiten Alert-Meldung
  668.  
  669.    - Revenge of the Lamer 2
  670.                PrgFileVirus   Laenge 4448 Bytes
  671.                einige Write-Test-Routinen fehlen,
  672.                sonst wie Revenge of the Lamer
  673.  
  674.    W A R N U N G: es ist mir beim Testen gelungen, Revenge of the
  675.       Lamer 1 u. 2 so zu vermehren, dass SID und andere Prg.e die
  676.       5 A0  n i c h t  anzeigen. Mein FileRequester auch nicht. Das
  677.       VirusPrg. wird aber  a u c h  bei diesen Disks aktiviert und
  678.       vermehrt sich !!!  Mit einem DiskMonitor kann das Prg. ge-
  679.       funden werden. Bei meinem PrgTest erscheint dann:
  680.                Rev. Lam. unsichtbar
  681.       Dies ist kein Schwachsinn, sondern der Sachverhalt wurde von
  682.       anderen Programmierern nach meiner Entdeckung gegengeprueft !!!
  683.  
  684.    - RIPPER             Programcode = Northstar, nur anderer Text
  685.                         cool im Prg. DoIo  immer ab $7ec00
  686.                         Vermehrung: BB
  687.       Text (auch im BB sichtbar):ATARI KILLS COMMODORE! RIP! RIP THE RIPPER
  688.       usw.
  689.  
  690.    - SCA!
  691.  
  692.    - SCA 2  keine Gefahr, nie bootfaehig, immer GURU
  693.          deshalb in meinem Prg. nur Nicht-Standard-BB
  694.          Begruendung: read $200 nach $7FC00 von Zylinder 79 und
  695.                       dann jmp $7FA00 (alles klar Anfaenger !!)
  696.  
  697.    - SCARFACE   BeginIo, KickTag, KickCheckSum, Vec5
  698.          FastMem nein
  699.          Vermehrung: ueber BB
  700.          ResetRoutine, die ueber Vec5 gesteuert wird (Zaehlzelle > $2710)
  701.          Im BB sichtbar:  z.B. SCARFACE
  702.  
  703.    - Self-Writer  andere Namen: Pseudoselfwriter   bei mir Lamer7
  704.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  705.          das Verhalten einem Lamervirus entspricht, halte ich eine
  706.          Zuordnung zur Lamer-Gruppe fuer richtig.
  707.  
  708.    - Sendarian   Revenge V1.2-Clone, Cool, Doio, Vec5, im Speicher $7e000
  709.          und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  710.          Vermehrung: ueber BB
  711.          Schaden: nach einiger Zeit neuer Mauszeiger
  712.          im BB sichtbar: Sendarian #1Count:
  713.  
  714.    - STARFIRE/NorthStar 1   anderer Name  BlackStar
  715.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 1
  716.          testet nicht auf SystemZ, nur auf SCA, ByteBandit = DisplayAlert
  717.          Vermehrung: ueber BB
  718.          Im BB lesbar:
  719.          Virus detected on this disk  usw.
  720.          Reset,WriteProt OFF (bei NorthStar2 nicht vorhanden)
  721.  
  722.    - STARFIRE/NorthStar 2 = OldNorthStar  ????
  723.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 2
  724.          testet auf SCA, ByteBandit, SystemZ, NorthStar1, Folge=DisplayAlert
  725.          Vermehrung: ueber BB
  726.          Im BB lesbar:
  727.          VIRUS detected on this disk  usw.
  728.          My AntiVirus is better!    (bei NorthStar1 nicht vorhanden)
  729.  
  730.    - STARFIRE/NorthStar 3 = 1 (bis auf 5 unwichtige Bytes??!!)
  731.  
  732.    - Suntronic       cool,doio, nur Kick1.2 da absolute ROM-Einspruenge
  733.                      Vermehrung ueber BB   , immer $7fa00
  734.                      Suntronic-Text im BB sichtbar
  735.  
  736.    - SuperBoy     Cool, im Prg DoIo, im Speicher immer ab $7ec00
  737.          Vermehrung ueber BB
  738.          Alertmeldung mit  .... The Famous SuperBoy
  739.  
  740.    - Switch-Off    anderer Name: Joshua 2 s.o.
  741.  
  742.    - Target   cool,  im Prg. DoIo
  743.          formatiert jede nicht schreibgeschuetzte Bootdisk, die in Block
  744.          880 ab $1b0/1 nicht eine bestimmte Zeichenfolge enthaelt, ab
  745.          Track 40 bis Ende (mal was Neues)
  746.  
  747.    - Termigator: Kick 1.2 (da absolute ROM-Einspruenge)
  748.          immer $7f4d0, Cool und DoIo
  749.          entschluesselte Alertmeldung:
  750.          Only the TERMIGATOR'VIRUS makes it possible! Bye!...
  751.          Vermehrung: ueber BB
  752.  
  753.    - Terrorists     PrgFileVirus  Laenge 1612 Bytes
  754.          KickMem, KickTag, KickCheckSum
  755.          Textausgabe mit GraphikRoutine
  756.          nimmt Namen des 1.Files in der Startup an
  757.          verschiebt OrgPrg ins Hauptverzeichnis (unsichtbar s.o.)
  758.          Vermehrung: jede nichtschreibgeschuetzte Disk mit Startup
  759.          im PrgFile sichtbar: TTV1
  760.          schwarzer Hintergrund, weisse Schrift, zeilenweise
  761.  
  762.                   THE NAMES HAVE BEEN CHANGED
  763.                   TO PROTECT THE INNOCENT...
  764.                   THE TERRORISTS HAVE YOU UNDER CONTROL
  765.                   EVERYTHING IS DESTROYED
  766.                   YOUR SYSTEM IS INFECTED
  767.                   THERE IS NO HOPE FOR BETTER TIMES
  768.                   THE FIRST TERRORISTS VIRUS !!!
  769.  
  770.    - THE SMILY CANCER   LinkVirus, verlaengert das Prg. um 3916 Bytes
  771.          Fastmem ja, im Speicher immer ab $7F000, KickTag, KickCheckSum,
  772.          SumKickData, im Prg. noch BeginIo und $6c = Vec3
  773.          PrgTeile decodiert mit ror.b #2,d1 oder codiert mit rol.b #2,d1
  774.          befaellt einmal das erste File der startup-sequence,
  775.          testet  n i c h t  auf Sonderzeichen im Filenamen,
  776.          d.h. jedes File wird befallen
  777.          nach 20 Vermehrungen:
  778.          Mauszeiger aendert sich in gelben Kopf (smily) mit blauem Hut
  779.          und Endlosausgabe einer roten Laufschrift:
  780.    "????????.........."
  781.    " HI THERE!!! A NEW AGE IN VIRUS MAKING HAS BEGUN!!!"
  782.    " THANX TO US... THANKX TO: --- CENTURIONS ---  "
  783.    " AND WE HAVE THE PLEASURE TO INFORM YOU THAT SOME"
  784.    " OF YOUR DISKS ARE INFECTED BY OUR FIRST MASTERPIECE"
  785.    " CALLED: ` THE SMILY CANCER `  "
  786.    " HAVE FUN LOOKING FOR IT... AND STAY TUNED FOR OUR NEXT PRODUCTIONS.  "
  787.    " CENTURIONS: THE FUTURE IS NEAR!"
  788.    "                     "
  789.  
  790.    Ausserdem ist im decodierten Prg noch zu lesen:
  791.    (erscheint nicht in der Laufschrift)
  792.    HELLO HACKERS OUT THERE!! A NEW FORCE HAS BORN IN ITALY:
  793.    --- CENTURIONS ---. OUR TEAM IS COMPOSED OF 2 GUYZ:
  794.    ME & HIM.(AHAHHA!)
  795.    THE AIM OF - - CENTURIONS - - IS JUST VIRUS MAKING..
  796.    WE HAVE LOTTA FUN DOING THIS AND WE ALSO HOPE TO GIVE FUN TO THE
  797.    KILLERS MAKERS (HI STEVE TIBBETT!) HAW! HAW! HAW!
  798.     SIGNED: ME & HIM / CENTURIONS
  799.  
  800.    - Tick
  801.          siehe unter Julie
  802.  
  803.    - TimeBomb V0.9    Trojanisches Pferd
  804.       wird mit dem Prg. BMassacre erzeugt (da steht auch TimeBomb V0.9)
  805.       besteht aus 2 Teilen in SubDir c und Root:
  806.          in c: .info      = Virus   Laenge: 7840 Bytes
  807.       in Root: pic.xx     = Zaehler (Startwert=6)  Laenge: 1 Byte
  808.       in der 1.Zeile der startup steht: c/.info
  809.       nicht resident, keine Vermehrungsroutine in .info
  810.       Verhalten: vermindert bei jedem Neustart den Wert in pic.xx um 1 .
  811.       Sobald 0 erreicht ist, wird die Disk formatiert.
  812.       Damit der Wert in pic.xx geaendert werden kann, darf die Disk
  813.       nicht schreibgeschuetzt sein. Falls doch, erscheint:
  814.          User Request : Please remove write Protection and press
  815.                         left Mouse Button to continue..
  816.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  817.       der Disk nicht moeglich.
  818.       Im Cli wird immer ausgegeben:
  819.             RAM CHECKED - NO VIRUS FOUND.
  820.  
  821.    - TimeBomb V1.0  BB-Virus
  822.      ( verbiegt keine "bekannten" Zeiger )
  823.      (je nach Zaehlerstand wird eigener BootBlock geschrieben,
  824.      (( Einsprung bei #$70208))
  825.      oder Track 40 (Directory) mit Speicherinhalt ab #$20000 ueberschrieben
  826.          = Disk wird unlesbar !!!)
  827.      (( Einsprung bei #$70026))
  828.  
  829.    - TimeBomber    Trojanisches Pferd
  830.       wird mit dem Prg. TimeBomber erzeugt
  831.       besteht aus 2 Teilen in RootDir:
  832.       virustest         = Virus   Laenge: 936 Bytes
  833.       virustest.data    = Zaehler (Startwert=5)  Laenge: 1 Byte
  834.       in der 1.Zeile der startup steht: virustest
  835.       nicht resident, keine Vermehrungsroutine in virustest
  836.       Verhalten: vermindert bei jedem Neustart den Wert in virustest.data
  837.       um 1 .Sobald 0 erreicht ist, wird die Disk formatiert.
  838.       Damit der Wert in virustest.data geaendert werden kann, darf die
  839.       Disk nicht schreibgeschuetzt sein. Falls doch, erscheint:
  840.          User Request : Please remove write Protection and press
  841.                         left Mouse Button to continue..
  842.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  843.       der Disk nicht moeglich.
  844.       Im Cli wird immer ausgegeben:
  845.             RAM checked - no virus found.
  846.  
  847.    - Tomates-Gentechnic-Service  = TimeBomb-BB-Clone
  848.             nur der Text wurde veraendert
  849.  
  850.    - Traveling Jack
  851.       LinkVirusPrg mit variabler HunkLaenge
  852.       verbiegt DosBase+$2E  (= dos.library-Zeiger ins ROM), nicht resetfest
  853.       a) schreibt ein File auf Disk VIRUS.xy   Laenge immer 198 Bytes
  854.          x u. y sind HexZahlen, die ueber $BFE801 bestimmt werden.
  855.  
  856.          Text in VIRUS.xy:
  857.       The Traveling Jack....
  858.       I'm traveling from town to town looking for respect,
  859.       and all the girls I could lay down make me go erect.
  860.                             -Jack, 21st of September 1990
  861.  
  862.       b) linkt sich an andere Prg.e
  863.       Bedingungen:
  864.       DOS0-Disk, Disk validated, 12 Bloecke frei auf Disk, Filelaenge
  865.       mind. 2000 Bytes, FileName mind. 5 Zeichen, FileName enthaelt
  866.       kein Zeichen kleiner als $40,
  867.       kein Info.File
  868.       Typ A:
  869.       LinkHunkLaengenBerechnung:
  870.       $24C + Wert aus $DFF006
  871.       decodiert im Speicher $909+1 Bytes
  872.       Typ B:
  873.       LinkHunkLaengenBerechnung:
  874.       $25B + Wert aus $DFF006
  875.       decodiert im Speicher $945+1 Bytes
  876.  
  877.    - Trojan     anderer Name: Incognito    s.o.
  878.  
  879.    - TURK_V1.3      Cool, DoIo, im Speicher immer $7f000
  880.          schreibt TURK nach $60
  881.          Vermehrung: ueber BB
  882.          Textausgabe (entschluesselt mit subq #6,d0) ueber DisplayAlert:
  883.             Amiga Failure... Cause: TURK VIRUS Version 1.3!
  884.          im BB sichtbar: TURK
  885.  
  886.    - U.K.LamerStyle   anderer Name: Clist s.o.
  887.  
  888.    - UF-Virus   anderer Name: UltraFox  s.u.
  889.  
  890.    - UltraFox       Cool, DoIo, FastMem ja, nur KS1.2 da $fc06dc
  891.          Vermehrung: ueber BB
  892.          im Speicher immer ab $7eb00
  893.          Zaehlzelle groesser $f = Textausgabe, Graphikroutine
  894.          Hintergrund dunkelblau, Balken hellblau, Schrift gelb.
  895.          Greetings from ULTRAFOX of Aust.
  896.  
  897.    - virustest    anderer Name: TimeBomber  s.o.
  898.  
  899.    - VKill 1.0     anderer Name: Aids, veraendert PutMsg
  900.            mit FastMem:
  901.   (loescht j e d e n nicht schreibgeschuetzten Bootblock o h n e Warnung !!!,
  902.                     auch wenn es ein Org. Bootblock ist !! ) 
  903.            mit nur ChipMem:
  904.      (schreibt ohne Warnung eigenen Bootblock)
  905.          EntschluesselungsLW: " KEN"
  906.  
  907.    - Warhawk   Cool, im Prg. DoIo, liegt immer ab $7e600
  908.  
  909.    - Warshaw Avenger   BeginIo, KickTag, KickChechSum, SumKickData
  910.          grosse Aehnlichkeiten mit Lamer, BB aber unverschluesselt
  911.          schreibt je nach Zaehlerstand BB oder schreibt in einen
  912.          Diskblock (Lage je nach $dff006) $55 x Warsaw und 1 x !! .
  913.  
  914.    - XENO     Link-Virus, verlaengert das befallene Prg. um 1124 Bytes
  915.          verbiegt DosOpen, DosLock und DosLoadSeg
  916.          erhoeht Hunk-Zahl im File-Header nicht !!!
  917.          testet vor Befall Filenamen auf 0-9, a-z und A-Z,
  918.          Folge: Programme, deren Namen SonderZeichen enthalten, werden
  919.          n i c h t  befallen.
  920.          Ausserdem werden  a l l e  Prg., die im Unterverzeichnis
  921.          l oder devs stehen, n i c h t  verseucht.
  922.  
  923.          Textausgabe (Output, Write) in Abhaengigkeit von $DFF006
  924.          Text wird erst zur Ausgabe decodiert ( eori.b #-$80,(a0)+ ) :
  925.             Greetings Amiga user from the Xeno virus!
  926.          in einem verseuchten File ist in der Naehe von $460 mit einem
  927.          Monitor zu sehen:
  928.                l.devs.fastfilesystem.
  929.  
  930.  
  931.    - erkannte Virenfinder:
  932.      =====================
  933.       teilweise KickRomV1.2, haeufig mit Bootblock-Schreibzugriff,
  934.       veraltet, resident, werden nach Abfrage geloescht
  935.  
  936.       - ASS VirusProtector V1.0  (KickV1.2, Tonfolge)
  937.          FastMem ja, KickTag, KickCheckSum, Vec5
  938.  
  939.       - Blizzard Protector V1.0
  940.             testet Cool, Vec3, falls veraendert wird ohne Warnung
  941.             eigener BB geschrieben (verwendet dazu ueber den verbogenen
  942.             CoolVector das andere Prg (jsr 82(a0))
  943.             Empfehlung: loeschen
  944.  
  945.       - BlizzPro V3.1    cool, Fastmem ja,
  946.             im Prg. closedevice (oh, was neues)
  947.             Vermehrung: ueber BB
  948.             erkennt einige Viren, schreibt aber KS1.2 DoIo zurueck
  949.             Meldung ueber DisplayAlert
  950.             unverschluesselter Text im BB:
  951.             BlizzPro V3.1  und Virennamen
  952.  
  953.       - CLONK!  DoIo, KickMem, KickTag, KickCheckSum, SumKickData
  954.             nur 512KB Chip (oder resetfestes 1MB), da zur Aktivierung
  955.             immer ein Reset ausgefuehrt wird. (7D042 nach $80, TRAP 0)
  956.  
  957.       - DISKGUARD v1.0   cool, im Prg DoIo, immer $7FA00
  958.             Vermehrung: ueber BB
  959.             Meldung fremder BB.e: mit DisplayAlert
  960.             schreibt immer  DoIo von KS1.2, Folge: Guru mit KS1.3
  961.             Empfehlung: loeschen
  962.  
  963.       - H.C.S I      veraendert cool, im Prg DoIo, loescht KickTag
  964.                      im Speicher immer ab $7EC00
  965.                      Vermehrung: jeder DOS-BB ohne Warnung !!!!
  966.  
  967.       - H.C.S II  veraendert cool
  968.                   erkennt einige alte BBViren ( Alertmeldung )
  969.                   beim ersten Bootblockschreiberfolg wird noch der
  970.                   DoIo-Vector verbogen und bleibt verbogen
  971.                   bei leerem Laufwerk blinkt PowerLed
  972.  
  973.       - Sherlock     AntiVirenBB , Cool, DoIo, resident im Speicher,
  974.          im Speicher immer ab 7FA00, benutzt zusaetzlich 7CA00,
  975.          Textausgabe mit DisplayAlert
  976.          schreibt bei mehr als 512KB  BeginIo an falsche Stelle,
  977.          Empfehlung: loeschen
  978.  
  979.       - SystemZ V3.0, 4.0, 5.0, 5.1, 5.3, 5.4, 6.1, 6.3, 6.4, 6.5
  980.          KickTag, KickCheckSum, loescht Cool, im Prg. DoIo
  981.          Melodie und Farbbalken
  982.          ab 6.3 keine speicherabsolute Adresse mehr
  983.          neuer Name Virusprotector (meldet sich vor Schreibzugriff)
  984.  
  985.       - Virus-Killer
  986.             KickMem, KickTag, KickCheckSum
  987.  
  988.       - VIRUS SLAYER V1.0     Cool, DoIo, im Speicher immer $7FA00
  989.          nur KS1.2 da DoIo absolut ROM
  990.          veraltet, Empfehlung: loeschen
  991.          Vermehrung: ueber BB
  992.  
  993.    - erkannte Nutzprogramme:
  994.      =======================
  995.       teilweise mit Kennung (N) versehen
  996.  
  997.  
  998.       - ACT-Killer          ;BeginIo, KickTag, KickCheckSum, SumKickData
  999.                               (AntiVirenProgramm)
  1000.       - ALF2-HD             ;KickTag, KickCheckSum, KickMem
  1001.  
  1002.       - ATool               ;fast alle Vectoren
  1003.                               (Utilities)
  1004.       - BOIL3-HD            ;KickTag, KickCheckSum, KickMem
  1005.  
  1006.       - Berserker 5         (AntiVirenPrg.)
  1007.  
  1008.       - FaccII              ;BeginIo
  1009.                               (FloppySpeeder)
  1010.       - Guardian V1.1/V1.2  ;KickMem, KickTag, KickCheckSum
  1011.                               (AntiVirenProgramm)
  1012.       - MemGuard 4          (Speicherueberwachung)
  1013.  
  1014.       - MemWatch            (Speicherueberwachung)
  1015.  
  1016.       - Pseudo-Ops          ;KickMem, KickTag, KickCheckSum
  1017.                               (AntiVirenProgramm)
  1018.       - RAD: (RAMB0)        ; KickTag
  1019.  
  1020.       - RRam Disk           ;KickMem, KickTag, KickCheckSum
  1021.                               (Recoverable Ram Disk)
  1022.       - Setpatch r V1.34  1MB RAD      ; Cold
  1023.  
  1024.       - TurboPrint II       ;KickTag, KickCheckSum,
  1025.                               (Drucker-Utility)
  1026.       - Ultrakill           ;Cold, Cool
  1027.                               (AntiVirenProgramm)
  1028.       - VD0:                (ASDG-RamDisk)
  1029.  
  1030.       - VirusControlV2.0    ;Cold, Cool, DoIo, BeginIo
  1031.                               (AntiVirenProgramm)
  1032.  
  1033.    - andere Bootbloecke:
  1034.      ===================
  1035.  
  1036.       - AntiRipperBoot   anderer Name: The Punisher  s.u.
  1037.  
  1038.       - Fastloader by Byte Warrior
  1039.          aendert nur Werte in der Portstruktur (step-Schleife und
  1040.          Zeitschleife fuer Kopfberuhigung)
  1041.          nicht resident, keine Vermehrung, Reset falls beim Bootvorgang
  1042.          linke Maustaste gedrueckt.
  1043.          Meine Meinung: Install, da neue Werte zu extrem (WriteErrors!!)
  1044.          im BB sichtbar: >>Fastloader by Byte Warrior !<<
  1045.  
  1046.       - INTERFERON  harmlos, nicht resident
  1047.          testet Cold, Cool, Kicktag auf Null, falls nein: ROM-Reset
  1048.          Textausgabe ueber Graphikroutine
  1049.          im BB sichtbar: I N T E R F E R O N   usw.
  1050.  
  1051.       - MemoryAllocator V1.3
  1052.         harmlos
  1053.  
  1054.       - MemoryController V1.3
  1055.         harmlos
  1056.  
  1057.       - NoBoot
  1058.         Cold, Cool, im Prg. DoIo usw. , keine Vermehrung
  1059.         vgl. Kickstart 10.90 S87ff
  1060.  
  1061.       - NOLL DETECTOR  harmlos, nicht resident
  1062.          testet Cold, Cool, Kicktag auf Null, falls nein: ROM-Reset
  1063.          Textausgabe ueber Graphikroutine
  1064.          im BB sichtbar: DIETMAR NOLL   usw.
  1065.  
  1066.       - Outlaw-VirusChecker
  1067.         keine Vermehrung, erkennt SCA. Schreibt aber immer KS1.2 Werte
  1068.         (z.B. Vec5 $fc12fc) zurueck. Folge: GURU mit KS1.3
  1069.         nicht resident
  1070.  
  1071.       - Random Access      CopperIntro
  1072.          schreibt GURU nach $60, nicht resident, keine Vermehrung
  1073.          Empfehlung: loeschen
  1074.  
  1075.       - Scoopex utility V1.0
  1076.          harmloser, nuetzlicher Bootblock,
  1077.  
  1078.       - Sinister Syndicate   , nicht resident
  1079.          wird von ZeroVirus 3 als Virus erkannt
  1080.          ich halte das fuer ein CopperIntro, ohne eor- oder Vermehrungs-
  1081.          routine, GURU wird in $60 geschrieben, kann im Arbeitsmenue
  1082.          zurueckgesetzt werden (vgl. Obelisk)
  1083.  
  1084.       - Telstar cold, cool, Zaehlzelle $c0
  1085.      ganz gemein, taeuscht durch Text Virusprotector 6.0 vor, entschluesselt
  1086.          (neg.b) BBteile nach $7fc00, jeder 4/2.Reset Graphikausgabe (holl.
  1087.          Flagge und Text u.a. Telstar), keine Vermehrungsroutine gefunden.
  1088.  
  1089.       - The IRQ Protector
  1090.          keine Vermehrung
  1091.          verbiegt OpenLibVector nach $120, prueft aber vorher nicht, ob
  1092.          dieser Vector vielleicht schon falsch ist.
  1093.          Empfehlung: loeschen
  1094.  
  1095.       - The Punisher  anderer Name: AntiRipperBoot,   Cold
  1096.          verbiegt Cold und schreibt einen Wert kleiner $FF in diese Zelle.
  1097.          Folge: wird von einer anderen Disk, die diesen BB nicht ent-
  1098.          haelt gebootet, so erfolgt ein Reset.
  1099.          Empfehlung: loeschen
  1100.  
  1101.       - The Supply Team
  1102.         nicht resident, keine Vermehrung, aber schreibt nur KS1.2-Vectoren
  1103.         Empfehlung deshalb: Install
  1104.         loescht Cool, KickMem, KickTag, KickCheckSum. Aber schreibt immer
  1105.         nur absolute KS1.2-Vectoren: DoIo, BeginIo, Vec5
  1106.         Anschließend: Textausgabe ueber GraphikRoutine, dunkler Hinter-
  1107.         grund, hellbrauner Balken, dunkelbraune Schrift
  1108.         Text auch im BB sichtbar:  The Supply Team
  1109.  
  1110.       - Viruscope V1.0 BB
  1111.         harmlos
  1112.  
  1113.       - VirusTerminator 1.0 = A.C.I.D
  1114.         keine Vermehrung, erkennt SCA, Byte und DASA. Schreibt aber immer
  1115.         KS1.2 Werte (z.B. DoIo $fc06dc) zurueck. Folge: GURU mit KS1.3
  1116.         nicht resident
  1117.  
  1118.       - VirusTerminator 3.0 = A.C.I.D
  1119.         keine Vermehrung, erkennt einige Viren, DisplayAlert, loescht
  1120.         dann Cool und fuehrt einen Reset mit ROM-Einsprung aus.
  1121.         nicht resident, harmlos, da keine falschen Zeiger gesetzt werden.
  1122.  
  1123.  
  1124.  Es werden nur Viren ohne KReset geloescht, die ich selbst reassembliert habe.
  1125.  Leider werden die Virenroutinen immer besser (immer mehr Listen und Zeiger
  1126.  veraendert), sodass mit vernuenftigen Aufwand der Org.Zustand nicht mehr
  1127.  hergestellt werden kann. Deshalb inzwischen auch bei einigen Viren, die
  1128.  ich reassembliert habe, nur noch KRESET !!
  1129.  Alles andere ist mir zu gefaehrlich !! (Zeiger vergessen, Task nicht erkannt
  1130.  usw.)
  1131.  
  1132.  
  1133.    BEKANNTE PROBLEME:
  1134.    ==================
  1135.  
  1136.    - Probleme mit Mach2.4, dann nehmen Sie bitte MachII V2.6 (z.B.Fish254)
  1137.       und lesen Sie bitte Mach2.6Doc !!
  1138.       Tip von J.K. fuer Mach2.4 :
  1139.          waehrend des Aufbaus meines Prg.s Mauszeiger bewegen
  1140.  
  1141.    - oder MachIII (z.B.Fish378)
  1142.  
  1143.    - weitere Probleme bitte melden
  1144.  
  1145.    - Fuer Aenderungswuensche bin ich dankbar !!
  1146.       (Texte bitte auf Disk und kennzeichnen mit "an Heiner")
  1147.        (aber bitte nicht gecruncht, sondern als ASCII, Ihr
  1148.        Text- oder CrunchPrg besitze ich nach Murphy bestimmt nicht)
  1149.  
  1150.   D A N K E !!  D A N K E !!
  1151.  
  1152.   Bitte Disk mit "Viren" kennzeichnen !!!
  1153.   Adresse und Tel. nicht vergessen, kleiner Text waere nicht schlecht
  1154.    (Beides aber nicht unbedingt notwendig, nur das VIRUS-Prg.  zaehlt)
  1155.  
  1156.   Hinweis: Ich suche  n u r  Viren !! , Disk wird nach Kopieren des
  1157.            VirusBBs oder des VirusPrgs  formatiert.
  1158.            Adresse und Tel. wandert nach Virusanalyse in Papierkorb !!
  1159.             (da keine Rueckfrage mehr notwendig)
  1160.            Ich pflege meine Zusagen auch einzuhalten !!
  1161.  
  1162.  
  1163.  
  1164.    Heiner Schneegold
  1165.    Am Steinert 8
  1166.    8701 Eibelstadt
  1167.    (W-Deutschland)
  1168.  
  1169.    Tel: 09303/8369
  1170.    (19.00 - 20.00 Uhr)
  1171.  
  1172.  
  1173.  bis bald !!
  1174.  
  1175.  Heiner
  1176.