home *** CD-ROM | disk | FTP | other *** search
/ Turnbull China Bikeride / Turnbull China Bikeride - Disc 2.iso / STUTTGART / ANTIVIRUS / SCANNER / AVRD158t < prev   
Text File  |  1992-10-27  |  104KB  |  2,863 lines
  1. This is the textual version of the AVRD. In order to minimise
  2. editing overhead this version is now derived directly from the
  3. source of the HyperText version. The derivation is performed
  4. by a program, so the formatting may not always be perfect -
  5. but we'd rather spend our time coding !Killer/!Scanner !
  6.  
  7. Ignore any references to clicking in specific places in the
  8. document - this facility is only available in the HyperText
  9. version.
  10.  
  11.  
  12. ###########################################################################
  13.  
  14. The Archimedes Virus Reference Document
  15. ---------------------------------------------------------------------------
  16.  
  17. Version 1.58h (October 25, 1992)
  18.  
  19. Copyright © 1991, 1992 Tor O. Houghton and Alan Glover
  20.  
  21. This document is copyright. Profit based distribution (whether PD 
  22. or Shareware) without prior consent from the authors, is strictly 
  23. illegal. If in doubt, contact one of the authors. Note that this 
  24. version of !ClearView also has certain conditions upon it's distribution.
  25.  
  26. This is the hypertext form of this document, using the Binary Star 
  27. !ClearView package. Click here (on the underlined word) for a brief 
  28. guide to using this software and details about obtaining enhanced 
  29. versions.
  30.  
  31. A full list of the contents, and an index of the viruses covered 
  32. in this edition of this document can be seen by clicking the 'index' 
  33. icon (the rightmost one), or the underlined word in this sentence.
  34.  
  35.  
  36.  
  37. ###########################################################################
  38.  
  39. Abstract
  40. ---------------------------------------------------------------------------
  41.  
  42. As the number of people using the Archimedes range of computers has 
  43. increased over the years, so has the number of viruses.
  44.  
  45. This document should be of interest to all users of an Acorn computer 
  46. running a version of RISC OS, and contains the compiled information 
  47. from various virus researchers and their killers. In particular, 
  48. it is (as the title suggests) a compendium of the knowledge about 
  49. viruses of Tor Houghton and Alan Glover.
  50.  
  51. The purpose of this document is to give as many details as possible 
  52. on each virus known, and to assist those who think they might be 
  53. infected by a virus.
  54.  
  55. A dilemma occurred as this document took form. How much information 
  56. should be included? If we provided too much information, this document 
  57. could well become an effective "cookbook" for people wanting to write 
  58. a virus. This is not our intention. The professionals and programmers 
  59. who read this will easily identify the missing or omitted information 
  60. because they already have this background knowledge - it is part 
  61. of the working tools of our profession.
  62.  
  63. The document is not intended to provide very detailed technical information 
  64. on a virus (although this may happen as a way of explaining it), 
  65. but to allow the reader to understand what the virus generally does, 
  66. what makes it activate and what it does upon activation. Most important, 
  67. however, it should help the user with the removal!
  68.  
  69. 1.0 Introduction
  70. ---------------------------------------------------------------------------
  71.  
  72. A virus is nothing magical. Anyone with a bit of programming skills 
  73. and some knowledge about the machine's operating system is capable 
  74. of creating a virus. Usually these programmers think it is fun, they've 
  75. read too many cyberpunk books, or they are generally pitiful creatures 
  76. who like to inflict damage.
  77.  
  78. Final note: In spite of many journalist's secret wishes, a computer 
  79. virus cannot spread from one type of computer to another. For example, 
  80. a virus written on a PC running MS-DOS or Windows cannot infect the 
  81. Archimedes - in native mode. If you are using the PC emulator, a 
  82. virus functions perfectly under this environment too (probably with 
  83. a few exceptions due to the fact that there are about 1000 viruses 
  84. running under this particular operating system). The only area in 
  85. which some crossover is possible is hardware - if you have a DOS 
  86. virus which thrashes the floppy disc out of alignment, it will obviously 
  87. affect it when it is used normally!
  88.  
  89. 1.1 Some Definitions
  90. ---------------------------------------------------------------------------
  91.  
  92. Connectivity: The level of ability a computer has to connect to other 
  93. computers. Nowadays it is very easy to, for example, phone a BBS 
  94. and download new software. The higher level of connectivity, the 
  95. higher the level of possible exposure to computer viruses. The same 
  96. may also be considered true of other sources of software, such as 
  97. PD libraries.
  98.  
  99. Trojan Horse: This is a generic name (taken from Greek mythology) 
  100. for a penetration method that includes hidden code. An example of 
  101. this is the Link virus which, while being helpful in the ways of 
  102. converting backspace to delete, also launches a virus into your computer.
  103.  
  104. Virus: A computer virus can be defined as a malicious program capable 
  105. of replicating itself. See "A Computer Security Glossary for the 
  106. Advanced Practitioner" in the Computer Security Journal IV, No. 1, 
  107. 1987 for a similar description. Please note that most computer viruses 
  108. on the Archimedes do nothing but replicate, although there are a 
  109. few exceptions.
  110.  
  111. Worm: A computer program which moves through your computer system, 
  112. altering data as it copies itself and deleting the old copy. If a 
  113. worm reproduces it could also be called a virus. There are no reports 
  114. of worms on the Archimedes, mainly because it is such a closed system, 
  115. and would be detected much too easily to become a hazard. Networks 
  116. are more exposed to such nasties.
  117.  
  118. 1.2 Entry Explanations
  119. ---------------------------------------------------------------------------
  120.  
  121. Name: The most common name of the virus. Often chosen because of 
  122. some text found in the virus, or like CeBIT, connected to some event 
  123. (the biggest computer show in Europe).
  124.  
  125. Aliases: Names which other anti-viral agent documents (usually brief 
  126. notes which are included with the program) use for the same virus. 
  127. This includes names that are commonly used by BBS users etc.
  128.  
  129. Origin: The country where the virus seems to have originated from.
  130.  
  131. Isolation Date: The date (as detailed as possible) when the virus 
  132. was first found.
  133.  
  134. Effective Length: The length the virus occupies on the disc. The 
  135. actual length in memory may well be shorter.
  136.  
  137. Virus Type: Task refers to viruses written as a multitasking program 
  138. (i.e. appears on the Task Manager, with or without a task name). 
  139. Resident refers to viruses which, by reserving some memory, insert 
  140. themselves as a machine code program invisible to the task manager. 
  141. By monitoring certain interrupts the virus is able to spread. Also, 
  142. if the virus attaches itself to files, this is noted along with what 
  143. type of files it infects.
  144.  
  145. Symptoms: Odd behaviour which might occur if the virus is loaded. 
  146. This could be spurious crashes or files suddenly appearing (or disappearing!). 
  147. Take note that this has nothing to do with what the virus actually 
  148. does when it activates, as this will be detailed as extensive as 
  149. possible under the 'general comments' section.
  150.  
  151. Detection: Refers to anti-virus agents (complete with earliest version 
  152. number) which to our knowledge detects the virus. Please be so kind 
  153. as to update me on this, as I know there are several anti-virus programs 
  154. wandering around which I don't have!
  155.  
  156. Removal: Refers either to programs  which remove the virus from the 
  157. infected file (complete with earliest version number), or if possible, 
  158. which files to delete without destroying the program. Where it says 
  159. 'Remove named file(s)', take note that if there is a !Boot file present, 
  160. be sure to check this too (i.e. with !Edit).  In particular, never 
  161. assume that a Module may be RMKilled, or that an application task 
  162. may be Quit. It might disappear, but it may also set up a time bomb 
  163. with serious effects on the system.
  164.  
  165. As a rule, it is unwise to attempt to remove a virus from memory 
  166. yourself. However some anti-virus programs contain specific code 
  167. to detect and remove viruses which are present in memory. Where an 
  168. anti-virus program is known to be able to do this the program and 
  169. version is given. The criteria for this is that the anti-virus program 
  170. either neutralises or removes the virus from memory, leaving the 
  171. machine in a safe enough state for the anti-virus program to remove 
  172. the infection from your media. Even with this protection, you should 
  173. still do a CTRL-Reset as soon as possible after you have been infected.
  174.  
  175. General Comments: As detailed information about the virus as possible. 
  176. Also, if there are any mutated versions of the virus, these are stated 
  177. here too, along with any relevant information. Please note that the 
  178. number after the virus name states how many bytes it occupies on 
  179. the disc.
  180.  
  181. Source: The person who provided the information about the virus concerned. 
  182. Where a name does not appear, it will probably have been written 
  183. by Tor Houghton or Alan Glover. In some cases, an acknowledgment 
  184. will be included to someone who has helped in the isolation or analysis 
  185. of the virus.
  186.  
  187. Sometimes square brackets ("[]") with a comment might appear. These 
  188. are our comments, and offer additional useful information which we 
  189. thought the original author left out. 
  190.  
  191. ###########################################################################
  192.  
  193. Virus index
  194. ---------------------------------------------------------------------------
  195.  
  196.  
  197. Click on the virus name to find out more about it
  198.  
  199. Archie          FF8
  200. Arcuebus
  201. BBCEconet
  202. Bigfoot
  203. CeBIT
  204. Code            Sicarius
  205. Extend
  206. Funky          
  207. Garfield_I
  208. Garfield_W
  209. Handler
  210. Icon            Icon-A, Filer, Poison, NewVirus
  211. Image
  212. Increment
  213. Irqfix
  214. Link
  215. Mode87
  216. Module          ModVir, Illegal
  217. MyMod           Silicon Herpes
  218. NetManager
  219. NetStatus       Boot
  220. Parasite *
  221. Runopt
  222. Sprite *        
  223. SpriteUtils           
  224. T2 *
  225. Terminator *
  226. Thanatos *      RISCOSExt
  227. Traphandler
  228. Valid
  229. Vigay           DataDQM, Shakes
  230.  
  231. Viruses marked with an asterisk (*) indicate that they carry malicious 
  232. code.  Any detection of one of these viruses should be treated thus:
  233.  
  234. 1) Perform a CTRL-RESET as soon as possible.To be safe, press F12 
  235. and type FX 200,3 beforehand. This should get the virus out of memory, 
  236. just leaving the storage media to be cleaned. Remember that infection 
  237. can be as easy as opening a filer viewer!
  238.  
  239. 2) Load a virus killer, and check that the virus is not active. Some 
  240. virus killers (e.g. Pineapple's !Killer) are capable of removing 
  241. any resident virus, and withstanding infection attempts whilst doing 
  242. this. Bear in mind that not all anti-virus programs are intended 
  243. to start up in an environment where a virus is active.
  244.  
  245. 3) Run the virus killer through the system, opening the minimum possible 
  246. number of filer  windows. Obviously, if you keep your copy of  the 
  247. virus killer on a write-protected floppy this is quite easy! Remember 
  248. to check removable discs too!
  249.  
  250. Please note that spurious resets and/or errors which occur are usually 
  251. the results of poor programming, and is therefore not considered 
  252. malicious (it merely depicts the programmer's skills - he should 
  253. have stuck to LOGO).
  254.  
  255. Although not usually marked as malicious, some viruses will cause 
  256. the !Boot of an application to be overwritten. This can cause things 
  257. which usually happen automatically (eg: locating !System) to fail.
  258.  
  259.  
  260. ###########################################################################
  261.  
  262. Archie
  263. ===========================================================================
  264.  
  265. Last Updated:        21st April 1992
  266. Aliases:             FF8
  267. Origin:              United Kingdom
  268. Isolation Date:      1988 
  269. Effective Length:    920 bytes
  270. Virus Type:          Resident Absolute (FF8) file infector.
  271. Symptoms:            May cause "Address exception" or "Undefined 
  272.                      instruction" errors. Absolute files will grow 
  273.                      in length.
  274.  
  275. ---------------------------------------------------------------------------
  276.  
  277. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  278.                      Scanner 1.02+                 Killer 1.17+ 
  279.  
  280. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+
  281.  
  282. ---------------------------------------------------------------------------
  283.  
  284. General Comments:
  285.  
  286. This is a piece of ARM code that is appended to executables with 
  287. the Absolute (&FF8) filetype. It is 920 (&398) bytes long and has 
  288. a tell-tale 4-character string at the end of its code, "1210", which 
  289. is used as an "already-infected" flag. The first instruction of the 
  290. original executable is saved near the end of the virus code space 
  291. and is replaced by a branch to the first instruction of the Archie 
  292. virus code.
  293.  
  294. What Archievirus does when first run:
  295.  
  296. 1.Attempts to infect executables (Absolute filetype) with the filespecs 
  297. "@.*" and "%.*". In other words, all executables in the current and 
  298. library directory are attacked.
  299.  
  300. 2.Uses OS_File 36 as a "semaphore" to see if it is lodged in RMA. 
  301. If a call to OS_File 36  returns with an error, then it hasn't infected 
  302. the RMA yet, so it proceeds to claim 920  bytes of RMA, copy itself 
  303. into there and points a claim of the OS_File vector to its new  RMA 
  304. location.
  305.  
  306. 3.The time is checked to see if it is the 13th of the month. If so, 
  307. the code loops  indefinitely, displaying the 45-character message 
  308. (in the virus, this message is EORed  with &64, and is therefore 
  309. not easy to spot.):
  310.  
  311. Hehe...ArchieVirus strikes again...
  312.  
  313. 4.Assuming it wasn't the 13th of the month (and NO, it doesn't check 
  314. for a Friday!), then  the original first instruction of the executable 
  315. is replaced and the original normal code  continues from &8000 onwards.
  316.  
  317. The OS_File vector claim is quite important, because this serves 
  318. two purposes:
  319.  
  320. a.It allows OS_File 36 to return without an error, signalling that 
  321. the RMA is already  infected. 
  322.  
  323. b.It checks for OS_Files 0 and 10 (Save memory to file), 11 (create 
  324. empty file) and  12,14,16 and 255 (Load file). If any of these are 
  325. encountered then an infection attack is  activated (see step 1 above).
  326.  
  327. (Source: Richard K. Lloyd)
  328.  
  329.  
  330. ###########################################################################
  331.  
  332. Arcuebus
  333. ===========================================================================
  334.  
  335. Last Updated:        25th October 1992
  336. Aliases:             
  337. Origin:              UK
  338. Isolation Date:      October 1992
  339. Effective Length:    9619 bytes
  340. Virus Type:          Resident application infector
  341. Symptoms:            Extra module files appear in applications
  342.  
  343. ---------------------------------------------------------------------------
  344.  
  345. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  346.                      VProtect 1.24+
  347.  
  348. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  349.  
  350. ---------------------------------------------------------------------------
  351.  
  352. General Comments:
  353.  
  354. This virus spreads as a module within applications. The module has 
  355. eight possible names: ProgUtil, Resource, InfoFile, SystemRS, ModularR, 
  356. PureMath, SoundMdl and GraphMdl. When loaded (from a !Boot file) 
  357. it installs itself as a NetStatus 3.07 (15 Sep 1988).
  358.  
  359. A quick check for this virus is to press <F12> and type 'Help Virus'. 
  360. The following text will be displayed:
  361.  
  362. Congratulations. Your system has the Arcuebus virus.
  363. The following data may interest you:-
  364. Virus generation number: Dnnn
  365. This copy was born: <date/time>
  366.  
  367. At the same time a sound sample (loaded as a voice called Percussion-Bass) 
  368. is played. This says 'I am a servant of the <???>'. If anyone who 
  369. hears this has a good idea what the last word is - do tell us!
  370.  
  371. (Source: Paul Frohock)
  372.  
  373.  
  374.  
  375. ###########################################################################
  376.  
  377. BBCEconet
  378. ===========================================================================
  379.  
  380. Last Updated:        29th June 1992
  381. Aliases:              
  382. Origin:              United Kingdom
  383. Isolation Date:      April 1992
  384. Effective Length:    5280 bytes
  385. Virus Type:          Resident Absolute (FF8) file infector.
  386. Symptoms:            Module "BBCEconet 0.09" resident in RMA (&018xxxxx) 
  387.                      (see also Mode87!).
  388.  
  389. ---------------------------------------------------------------------------
  390.  
  391. Detection Media:     Killer 1.33+     Memory:      Killer 1.33+
  392.                      Scanner 1.33+                 Interferon 2.12+
  393.                                                    Scanner 1.34+
  394.                                                    VProtect 1.15+
  395.  
  396. Removal   Media:     Killer 1.33+     Memory:      Killer 1.33+
  397.                                                    Scanner 1.34+
  398.  
  399. ---------------------------------------------------------------------------
  400.  
  401. General Comments:    
  402.  
  403. The action of this virus bears a marked similarity to Link, i.e. 
  404. it appends code to absolutes and uses a module to perform the infection 
  405. (in this case BBCEconet, which it installs).
  406.         
  407. As with Link, it attempts to infect %.Squeeze. However, both viruses 
  408. use the same check to see whether a file is infected so it is not 
  409. possible to have an absolute simultaneously infected by Link and 
  410. BBCEconet.
  411.         
  412. The majority of this virus is kept encrypted when it is not executing, 
  413. and it also encrypts a segment at the beginning of the absolute file. 
  414. The encryption key changes with each infection. In short, you need 
  415. dedicated software to remove it.
  416.         
  417. The datestamp will not change, and as with Link, it temporarily patches 
  418. Interferon to allow itself to infect without any alarms being given.
  419.  
  420. There are various date fired routines, outlined below.
  421.  
  422. Friday 13th:
  423.  
  424. It's Friday! Why are you working?
  425. I first infected a commercial program with good help from
  426. Dr. Blob.
  427. Now you're infected too - and probably most of your penpals.
  428. I've got more in store!
  429. And... I've created XXXX copies of myself.
  430. Good luck!
  431.  
  432. December 25th:
  433.  
  434. Merry Christmas!
  435.  
  436. April 1st:
  437.  
  438. E.T. phones home!
  439. (It sends ATD 0749 679794 to the serial port, so if you have a Hayes 
  440. compatible modem connected, it will dial this number - a well-known 
  441. bulletin board service in Somerset.)
  442.  
  443. June 25th:
  444.  
  445. Ph'nglui mglw'nafh Chtulhu R'lyeh fthagn.
  446. And... I've created XXXX copies of myself.
  447.  
  448. [The non-english part of this message was introduced by H.P. Lovecraft 
  449. in his short story The Call of Cthulhu, where it translates to "In 
  450. his house at R'lyeh, dead Cthulhu waits dreaming." Probably used 
  451. by the virus writer as proof that he has read this book.]
  452.  
  453. All of these messages will appear in an error box titled "Ouch! You've 
  454. been bitten!" It may also clear the screen and print the word "LOVE" 
  455. in mode 12.
  456.  
  457. (Source: Alan Glover)
  458.  
  459.  
  460.  
  461. ###########################################################################
  462.  
  463. Bigfoot
  464. ===========================================================================
  465.  
  466. Last Updated:        11th September 1992
  467. Aliases:             
  468. Origin:              United Kingdom
  469. Isolation Date:      August 1992
  470. Effective Length:    5535 or 5580 bytes
  471. Virus Type:          Task. Stores code as separate file.
  472. Symptoms:            Additional files with random names in capital 
  473.                      letters appear in applications
  474.  
  475. ---------------------------------------------------------------------------
  476.  
  477. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  478.                      Scanner 1.47+ (5580 byte strain only?)
  479.                 
  480. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+ 
  481.                                                    
  482.                      delete named file, remove line from !Boot.
  483.  
  484. ---------------------------------------------------------------------------
  485.  
  486. General Comments:
  487.                                 
  488. This is a fairly simple BASIC program, which installs as a desktop 
  489. task called Bigfoot.
  490.  
  491. It has messages for certain dates, namely:
  492.   
  493. 25 Dec:
  494.  
  495. Happy Christmas from BigFoot ... The VIRUS
  496.  
  497. 05 Nov:
  498.  
  499. "Wizz Bang! Its Guyfalks night  BigFoot Strikes again!
  500.    
  501. 04 Jul:
  502.   
  503. "Hay there its the 4th of July ,American Independence! Best wishes 
  504. from BigFoot
  505.  
  506. 15 Mar:
  507.  
  508. This is a HOLD UP! Give me all the PD software you can get,,, Or 
  509. you SYSTEM gets it!!!  By the way its the end of the fishing season.
  510.  
  511. It infects by creating or modifying the !Boot file, using a random 
  512. name of 1-10 upper case characters. The virus is saved as a BASIC 
  513. file of the same name. However the BASIC itself always has REM>Bigfoot 
  514. on the first line.
  515.  
  516. Apart from spreading, it has no malicious code. 
  517.  
  518. The 5535 byte version can not be Quitted from the Task Manager.
  519.  
  520. (Source: Alan Glover, with thanks to Paul Frohock and David Cox for 
  521. initial analysis)
  522.  
  523.  
  524. ###########################################################################
  525.  
  526. CeBIT
  527. ===========================================================================
  528.       
  529. Last Updated:        21st April 1992
  530. Aliases:             Lord of Darkness, TlodMod
  531. Origin:              Germany
  532. Isolation Date:      March 1991
  533. Effective Length:    1240 bytes
  534. Virus Type:          Resident !Boot file infector, stores code as 
  535.                      separate file.
  536. Symptoms:            File "TlodMod" in application directories.
  537.  
  538. ---------------------------------------------------------------------------
  539.  
  540. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  541.                      Scanner 1.23+                 Killer 1.17+ 
  542.                      VProtect 1.06+                Scanner 1.20+
  543.                 
  544. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  545.                      delete named file, remove last line from !Boot.
  546.  
  547. ---------------------------------------------------------------------------
  548.  
  549. General Comments:
  550.  
  551. This is a module called "TlodMod" with the following title string:
  552.  
  553. TlodMod 1.11 (11 Nov 1990) by Devil the LORD OF DARKNESS
  554.  
  555. It is 1240 (&4D8) bytes long and hooks itself into UpCallV. It then 
  556. activates once a minute and first checks for the existence of <Obey$Dir>.TlodMod. 
  557. If this already exists, then no further action is taken. If it doesn't, 
  558. however, it then attempts to append the following line to <Obey$Dir>.!Boot:
  559.  
  560. rme. TlodMod 0 rml. <Obey$Dir>.TlodMod
  561.  
  562. If it succeeds at this, a counter is incremented and the module is 
  563. replicated as <Obey$Dir>.TlodMod. Every 16th successful infection 
  564. will trip the virus into issuing a "*Wipe $.path.file*" (which will 
  565. inevitably fail!) and then displaying a message accompanied by a 
  566. simple graphic.
  567.  
  568. The message displayed is thus:
  569.  
  570. This is a warning to all Users,
  571. I am back on the Archimedes ...
  572.  
  573. Your Archie is infected now and
  574. with him most of your programms.
  575.  
  576. Don't worry, nothing is damaged,
  577. but keep in mind the protection!
  578.  
  579. And always think about the other
  580. side of THE LORD OF DARKNESS ...
  581.  
  582. Virus generation is <counter>
  583.  
  584. (Source: Richard K. Lloyd)
  585.  
  586.  
  587. ###########################################################################
  588.  
  589. Code
  590. ===========================================================================                     
  591.  
  592. Last Updated:        11th September 1992
  593. Aliases:              
  594. Origin:              UK
  595. Isolation Date:      June 1992
  596. Effective Length:    2251 bytes
  597. Virus Type:          Resident !Boot file infector, stores code as 
  598.                      separate file.
  599. Symptoms:            File "Code" in application directories.
  600.  
  601. ---------------------------------------------------------------------------
  602.  
  603. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  604.                      Scanner 1.42+                 VProtect 1.17+
  605.  
  606. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+
  607.                      Scanner 1.42+
  608.  
  609. ---------------------------------------------------------------------------
  610.  
  611. General Comments:
  612.  
  613. This virus installs itself as a desktop task called "Window Manager". 
  614. The 'Code' file is filetyped as &FF8, but is actually plain BASIC. 
  615.  
  616.  
  617. The virus can either extend a !Boot or create one - if one is created 
  618. it will be 44 bytes long. 
  619.  
  620. The only effects from this virus will be the the loss of sprites 
  621. for some applications, since the !Boot file it creates does not contain 
  622. an IconSprites statement to load the sprites. 
  623.  
  624. (Source: Alan Glover)
  625.  
  626.  
  627.  
  628. ###########################################################################
  629.  
  630. Extend
  631. ===========================================================================
  632.       
  633. Last Updated:        21st April 1992
  634. Aliases:             
  635. Origin:              United Kingdom
  636. Isolation Date:      October 1990
  637. Effective Length:    940 bytes
  638. Virus Type:          Resident task. Stores code as separate file.
  639. Symptoms:            File "MonitorRM", "CheckMod", "ExtendRM", "OSextend", 
  640.                      "ColourRM",  "Fastmod", "CodeRM" or "MemRM" in 
  641.                      application directory. Each time the code is 
  642.                      executed it grabs 1k of RMA - this will eventually 
  643.                      lead to a system crash.
  644.  
  645. ---------------------------------------------------------------------------
  646.  
  647. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  648.                      VProtect 1.06+                Killer 1.17+
  649.                      Hunter 1.00+                  Scanner 1.20+
  650.                      Scanner 1.36+
  651.                 
  652. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+
  653.                      delete named file, remove extra lines from !Boot.
  654.  
  655. ---------------------------------------------------------------------------
  656.  
  657. General Comments:
  658.  
  659. It's a module which can go under 8 different filenames (the name 
  660. is picked at random using the current time as a seed):
  661.  
  662. MonitorRM, CheckMod, ExtendRM, OSextend, ColourRM, Fastmod, CodeRM 
  663. or MemRM.
  664.  
  665. However, the module itself has the following title string:
  666.  
  667. Extend 1.56 (08 Jul 1989)
  668.  
  669. It is 940 (&3AC) bytes long and initialises itself as a nameless 
  670. Wimp task which then looks for Wimp Message 5 (double-click). It 
  671. attempts to either create an !Boot in the application directory or 
  672. append to an already existing one with the following lines:
  673.  
  674. IconSprites <Obey$Dir>.!Sprites [0D]        
  675. RMEnsure Extend 0 RMRun <Obey$Dir>.ModName [0D]
  676. ||[FF]
  677.  
  678. The "IconSprites" line is omitted if it is appended to an existing 
  679. !Boot. "ModName" is one of the 8 possible filenames. The Extend Virus 
  680. uses the &FF (i.e. decimal 255) byte at the end as a self-check to 
  681. see if has infected the !Boot file already. Of course, it copies 
  682. itself to the new name inside the application directory as you would 
  683. expect. Note the incorrect use of &0D (decimal 13) to terminate the 
  684. lines, rather than the more correct &0A (decimal 10).            
  685.           
  686.  
  687. A shift-double-click does NOT cause an infection, but it DOES claim 
  688. yet another 1K of never-to-be-released RMA.
  689.  
  690. There is no damage apart from the claiming of RMA (which will eventually 
  691. lead to a system crash).
  692.  
  693. (Source: Richard K. Lloyd)
  694.  
  695.  
  696. ###########################################################################
  697.  
  698. Funky
  699. ===========================================================================
  700.  
  701. Last Updated:        25th October 1992
  702. Aliases:             
  703. Origin:              UK
  704. Isolation Date:      October 1992
  705. Effective Length:    1308 bytes
  706. Virus Type:          Resident application infector
  707. Symptoms:            Sprite file called 'Funky!', application task 
  708.                      called 'Window Dude'
  709.  
  710. ---------------------------------------------------------------------------
  711.  
  712. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  713.                      VProtect 1.24+
  714.  
  715. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  716.  
  717. ---------------------------------------------------------------------------
  718.  
  719. General Comments:
  720.  
  721. In common with the Icon family, this is a BASIC program hidden under 
  722. a Sprite filetype. It initialises as a desktop task called 'Window 
  723. Dude' and infects by saving copies of itself and amending !Boot files.
  724.  
  725. (Source: Paul Frohock)
  726.  
  727.  
  728.  
  729. ###########################################################################
  730.  
  731. Garfield_I
  732. ===========================================================================
  733.  
  734. Last updated:        11th September 1992
  735. Aliases:              
  736. Origin:              United Kingdom
  737. Isolation Date:      June 1992
  738. Effective Length:    1640, not including the files "!Boot", "!Run" 
  739.                      and "!Sprites".
  740. Virus Type:          Resident application infector.
  741. Symptoms:            Directory "!Pic" with files "!Boot", "!Run", 
  742.                      "!Mod" (module) and "!Sprites". Recursive infections 
  743.                      possible.
  744.  
  745. ---------------------------------------------------------------------------
  746.  
  747. Detection Media:     Killer 1.362+    Memory:      Killer 1.362+
  748.                      Scanner 1.42+                 VProtect 1.20+
  749.                                                    Scanner 1.47+
  750.                      
  751. Removal   Media:     Killer 1.362+    Memory:      Killer 1.362+
  752.                      Scanner 1.42+                 Scanner 1.47+
  753.  
  754. ---------------------------------------------------------------------------
  755.  
  756. General Comments:
  757.  
  758. Garfield_I is a resident virus, lodging itself in the RMA as a module 
  759. "IconManager". When active, it creates a directory inside an application 
  760. called "!Pic" with the files "!Boot", "!Run", "!Mod" and "!Sprites". 
  761. The virus code is contained in "!Mod". It then proceeds to add the 
  762. following lines to the infected application's "!Boot" file: 
  763.  
  764. RMEnsure IconManager 1.27 <obey$dir>.!pic
  765.         
  766. Garfield_I uses the default Acorn sprite file sprite, so a casual 
  767. glimpse in an application folder will not reveal it unless you a) 
  768. use a different sprite for sprite files or you b) open the folder 
  769. with "full info". 
  770.  
  771. It does not check for multiple infections. Infected applications 
  772. will, more often than not, contain "!Pic" directories inside "!Pic" 
  773. directories. 
  774.  
  775. Garfield_I activates on the first Monday of any month, displaying
  776.  
  777. "The Garfield Virus is here to stay"
  778.  
  779. then repeatedly
  780.  
  781. "Don't you just hate Mondays?"
  782.  
  783. until the machine is reset or switched off.
  784.  
  785. (Source: Alan Glover)
  786.  
  787.  
  788.  
  789. ###########################################################################
  790.  
  791. Garfield_W
  792. ===========================================================================
  793.  
  794. Last Updated:        11th September 1992
  795. Aliases:              
  796. Origin:              United Kingdom
  797. Isolation Date:      June 1992
  798. Effective Length:    1480, not including the files "!Boot", "!Run" 
  799.                      and "!Sprites".
  800. Virus Type:          Resident application infector.
  801. Symptoms:            Directory "!Obey" with files "!Boot", "!Run", 
  802.                      "!Mod" (module) and "!Sprites". Recursive infections 
  803.                      possible.
  804.  
  805. ---------------------------------------------------------------------------
  806.  
  807. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  808.                      Scanner 1.41+                 Scanner 1.41+
  809.                      VProtect 1.17+                Interferon 2.00+
  810.                                            
  811. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+ 
  812.                                                    
  813.                                                    Scanner 1.41+
  814.  
  815. ---------------------------------------------------------------------------
  816.  
  817. General Comments:
  818.  
  819. Garfield_W is a resident virus, lodging itself in the RMA as a module 
  820. "WimpAIDS". When active, it creates a directory inside an application 
  821. called "!Obey" with the files "!Boot", "!Run", "!Mod" and "!Sprites". 
  822. The virus code is contained in "!Mod". It then proceeds to add the 
  823. following lines to the infected application's "!Boot" file: 
  824.  
  825. <Obey$Dir>.!Obey
  826. |Above line is inoculation for the wimp virus
  827.         
  828. Garfield_W uses the default Acorn Obey file sprite, so a casual glimpse 
  829. in an application folder will not reveal it unless you a) use a different 
  830. sprite for obey files or you b) open the folder with "full info". 
  831.  
  832.  
  833. Garfield_W does not check for multiple infections. Infected applications 
  834. will, more often than not, contain "!Obey" directories inside "!Obey" 
  835. directories. 
  836.  
  837. Garfield_W activates on the first Monday of any month, displaying
  838.  
  839. "The Garfield Virus is here to stay"
  840.  
  841. then repeatedly
  842.  
  843. "Don't you just hate Mondays?"
  844.  
  845. until the machine is reset or switched off.
  846.  
  847. [ Note: Although both Garfield_I and Garfield_W call themselves Garfield, 
  848. and give the same message, we have given them separate entries since 
  849. certain items differ between them - notably application and module 
  850. names. ]
  851.  
  852. (Source: Alan Glover)
  853.  
  854.  
  855.  
  856. ###########################################################################
  857.  
  858. Handler
  859. ===========================================================================
  860.  
  861. Last Updated:        25th October 1992
  862. Aliases:             
  863. Origin:              UK
  864. Isolation Date:      October 1992
  865. Effective Length:    1532 bytes
  866. Virus Type:          Resident application infector
  867. Symptoms:            Desktop Task called 'Task Handler'.
  868.  
  869. ---------------------------------------------------------------------------
  870.  
  871. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  872.                      VProtect 1.24+
  873.  
  874. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  875.  
  876. ---------------------------------------------------------------------------
  877.  
  878. General Comments:
  879.  
  880. This virus is loaded by a !run file, so is likely to spread slower 
  881. than most. It renames the original !Run file to Obey. The virus itself 
  882. is in an absolute called Handler.
  883.  
  884. It may display a message:
  885.  
  886. You have been infected with the Handler VIRUS
  887. The Virus is just to see how good a program can infect
  888. Sorry if it has up set you in any way, Thats about all i can
  889. say!
  890. Generation :
  891. Press any key to change the channel.
  892.  
  893.  
  894. (Source: Paul Frohock)
  895.  
  896.  
  897.  
  898. ###########################################################################
  899.  
  900. Icon
  901. ===========================================================================
  902.  
  903. Last Updated:        7th July 1992
  904. Aliases:             Icon-A, Filer, Poison, NewVirus
  905. Origin:              United Kingdom
  906. Isolation Date:      1990?
  907. Effective Length:    5498 bytes in base version
  908. Virus Type:          Task. Stores code as separate file.
  909. Symptoms:            Nameless wimp task on the Task Manager. Silly 
  910.                      error messages may appear without reason. The 
  911.                      files "Icon", "Poison", "Splodge" or "NewVirus" 
  912.                      in application directories
  913.  
  914. ---------------------------------------------------------------------------
  915.  
  916. Detection Media:     Killer 1.17+     Memory:      Killer 1.17+
  917.                      Scanner 1.32+                 Scanner 1.32+
  918.                      IVSearch 2.05+ (note 1)
  919.                      VProtect 1.06+ 
  920.                      Hunter 1.00+ (note 1)
  921.                 
  922. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  923.                      delete named file, remove last line from !Boot.
  924.  
  925. ---------------------------------------------------------------------------
  926.  
  927. General Comments:
  928.  
  929. The Icon virus family is a type of very contagious viruses. They 
  930. are harmless to that extent that they do not destroy files. However, 
  931. they are very annoying (although I must admit some of the messages 
  932. were quite amusing!). Common for all the viruses in the Icon family 
  933. is that the virus is an unnamed wimp task written in BASIC. It spreads 
  934. by adding a few lines to the !Boot file of an application (without 
  935. checking for multiple infections), and then saving the code as a 
  936. file as with filetype sprite.
  937.  
  938. <set the wimpslot>
  939. BASIC -quit <obey$dir>.<virusfile>
  940.  
  941. The original virus displayed a stupid error message on start-up, 
  942. and then every so often after that. Commonly also called the Filer 
  943. virus as the error message header claims that it's from the Filer. 
  944. Here are a few examples of what type of error messages which might 
  945. appear:
  946.  
  947. ".desreveR maertS tuptuO"
  948. "This error should not occur."
  949. "Previous error did not occur."
  950. "Could not reach top of stack."
  951.  
  952. Known variant(s) of the Icon virus are:
  953.  
  954. Icon-2096
  955.  
  956. Filename: Poison
  957.  
  958. Random error code replaced with a *I am stuck - which might log the 
  959. user on to a network if they're very unfortunate!
  960.  
  961. Icon-2616
  962.  
  963. Filename: Icon
  964.  
  965. No silly messages from this version - also has the name of the person 
  966. who modified it  (yes, the UK Computer Crimes Unit have acted on 
  967. this!).
  968.          
  969. Icon-2631
  970.  
  971. Filename: Splodge
  972.  
  973. Identical to 2616, except the change of name.
  974.  
  975. Icon-5498 
  976.  
  977. Filename: Icon, though the in-core name is 'Extra'. 
  978.  
  979. Does have silly messages.
  980.  
  981. Icon-5574      
  982.  
  983. Filename: Icon
  984.  
  985. As 5498 with missing Hourglass_On call added. Silly message less 
  986. likely to appear when it is loaded.
  987.  
  988. Icon-5737
  989.  
  990. Filename: NewVirus
  991.  
  992. As 5574, but with a three-key sequence to exit the program. High 
  993. likelihood of a silly error at startup. Insignificant changes to 
  994. !Boot save routine.
  995.  
  996. Icon-5742
  997.  
  998. Filename: Icon
  999.  
  1000. Bugfix of 5737. Less likely to give silly errors when loaded.
  1001.  
  1002. (Source: Alan Glover)
  1003.  
  1004.  
  1005. ###########################################################################
  1006.  
  1007. Image
  1008. ===========================================================================
  1009.  
  1010. Last Updated:        21st April 1992
  1011. Aliases:             
  1012. Origin:              Northern Ireland ?
  1013. Isolation Date:      Jan. 1992 by Svlad Cjelli
  1014. Effective Length:    512 bytes
  1015. Virus Type:          Resident, although not in RMA
  1016. Symptoms:            Files "Image" and "!Spr" in application directories. 
  1017.                      The file "image" has no filetype, but !Spr has 
  1018.                      the type Obey.
  1019.  
  1020. ---------------------------------------------------------------------------
  1021.  
  1022. Detection Media:     Killer 1.26+     Memory:      Killer 1.26+
  1023.                      Scanner 1.13+
  1024.                      VProtect 1.07+ 
  1025.                 
  1026. Removal   Media:     Killer 1.26+     Memory:      Killer 1.26+ 
  1027.                      Scanner 1.15+
  1028.                      delete "Image". If there is a "!Spr" file, delete 
  1029.                      !Run and rename !Spr as !Run, otherwise delete 
  1030.                      !Boot.
  1031.  
  1032. ---------------------------------------------------------------------------
  1033.  
  1034. General Comments:
  1035.  
  1036. This virus carries no payload, but spreads VERY fast, to the extent 
  1037. that you can delete the file, only to see it instantly re-appear 
  1038. again if it is in memory!
  1039.  
  1040. It loads its code into the OS workspace, at &5500, it is therefore 
  1041. liable to crash the machine should the OS use that area of workspace.
  1042.  
  1043. The !Run or !Boot file looks like this:
  1044.  
  1045. LOAD <OBEY$DIR>.IMAGE 5500[0d]GO 5500[0d]
  1046.  
  1047. It's action on infection is to save <Obey$Dir>.Image, and then either 
  1048. to create a !Boot file if one does not exist, or if it does, rename 
  1049. the !Run file to !Spr and then create a new !Run file.
  1050.  
  1051. (Sources: Alan Glover, Svlad Cjelli)
  1052.  
  1053.  
  1054. ###########################################################################
  1055.  
  1056. Increment
  1057. ===========================================================================
  1058.  
  1059. Last Updated:        18th September 1992
  1060. Aliases:             
  1061. Origin:              UK, Cornwall ?
  1062. Isolation Date:      September 1992
  1063. Effective Length:    464 bytes
  1064. Virus Type:          Resident
  1065. Symptoms:            CMOS configuration settings seem to change randomly
  1066.  
  1067. ---------------------------------------------------------------------------
  1068.  
  1069. Detection Media:     Killer 1.375+    Memory:      Killer 1.375+
  1070.                      Scanner 1.49+                 Scanner 1.49+
  1071.                      VProtect 1.23+
  1072.  
  1073. Removal   Media:     Killer 1.375+    Memory:      Killer 1.375+
  1074.  
  1075. ---------------------------------------------------------------------------
  1076.  
  1077. General Comments:
  1078.  
  1079. The virus appends itself to existing !boot files. The virus may not 
  1080. be immediately obvious when an infected !boot file is viewed in !Edit 
  1081. because it inserts 28 or more line feeds between the legitimate file 
  1082. and the viral appendage. However CTRL-Down Arrow will move down to 
  1083. the bottom of the file and expose the telltale signs of a machine 
  1084. code appendage on the end of the file.
  1085.  
  1086. On each infection the virus will increment a CMOS RAM location - 
  1087. the location is incremented too on each infection with the effect 
  1088. of seemingly random problems appearing (including ROM modules becoming 
  1089. unplugged for example).
  1090.  
  1091. (Source: Alan Glover, with thanks to Lee Davies)
  1092.  
  1093.  
  1094. ###########################################################################
  1095.  
  1096. Irqfix
  1097. ===========================================================================
  1098.       
  1099. Last Updated:        14th September 1992
  1100. Aliases:             
  1101. Origin:              United Kingdom
  1102. Isolation Date:      September 1992
  1103. Effective Length:    940 bytes
  1104. Virus Type:          Resident task. Stores code as separate file.
  1105. Symptoms:            File "RiscExtRM", "WimpPoll", "OSSystem", "MiscUtil", 
  1106.                      "FastRom", "IRQFix" or "AppRM" in application 
  1107.                      directory. Each time the code is executed it 
  1108.                      grabs 1k of RMA - this will eventually lead to 
  1109.                      a system crash.
  1110.  
  1111. ---------------------------------------------------------------------------
  1112.  
  1113. Detection Media:     Killer 1.374+    Memory:      Killer 1.374+
  1114.                      Scanner 1.48+                 Scanner 1.48+
  1115.                      VProtect 1.22+
  1116.  
  1117. Removal   Media:     Killer 1.374+    Memory:      Killer 1.374+
  1118.                      Scanner 1.48+
  1119.                      delete named file, remove extra lines from !Boot.
  1120.  
  1121. ---------------------------------------------------------------------------
  1122.  
  1123. General Comments:
  1124.                                                                  
  1125.                          
  1126. This is a variant of Extend which uses IRQFix as the module name, 
  1127. and different filenames. In all other respects the code is identical 
  1128. to Extend.
  1129.  
  1130. (Source: Alan Glover, with thanks to Alex Belton)
  1131.  
  1132.  
  1133. ###########################################################################
  1134.  
  1135. Link
  1136. ===========================================================================
  1137.  
  1138. Last Updated:        21st April 1992
  1139. Aliases:             
  1140. Origin:              United Kingdom
  1141. Isolation Date:      January 10th, 1992
  1142. Effective Length:    1416 bytes
  1143. Virus Type:          Resident Absolute file infector. Also a Trojan 
  1144.                      Horse.
  1145. Symptoms:            Module 'BSToDel' in module list. Files are re-stamped.
  1146.  
  1147. ---------------------------------------------------------------------------
  1148.  
  1149. Detection Media:     Killer 1.27+     Memory:      Interferon 2.10+
  1150.                      Scanner 1.03+                 Killer 1.27+
  1151.                      Hunter 1.16+                  Hunter 1.16+
  1152.                                                    Scanner 1.20+
  1153.  
  1154. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  1155.                      Hunter 1.16+                  Inteferon 2.10+
  1156.                      Scanner 1.20+                 Hunter 1.16+
  1157.                                                    Scanner 1.20+
  1158.  
  1159. ---------------------------------------------------------------------------
  1160.  
  1161. General Comments:
  1162.  
  1163. The reason why I found the Link virus was because of the module 'BSToDel' 
  1164. appearing in the module list. Also, suddenly Killer 1.17 didn't work 
  1165. (It gave an "Integrity check failed" and refused to load)! As I already 
  1166. have made my own 'backspace to delete' utility as a module, I wondered 
  1167. where that module came from! (It certainly wasn't as a separate module 
  1168. on the disc.)
  1169.  
  1170. Before installing itself as a module, it infects %.Squeeze (if there 
  1171. is a library directory, and if Squeeze is indeed in it) - just in 
  1172. case there wasn't enough room in the RMA. Then it hooks onto the 
  1173. FSControlV and InsV vectors. The latter so that it can do what the 
  1174. module title expects it to do: convert backspace (&08) to delete 
  1175. (&7F) (the reason why I also typed it as a Trojan Horse).
  1176.  
  1177. The FSControl vector is used so that it can look for certain actions 
  1178. - namely *Run and *Copy. When it detects one of these, it does the 
  1179. following.
  1180.  
  1181. Replaces the first three instructions in the file with its own, making 
  1182. an absolute branch to the end of the file. The rest of the module 
  1183. is then stored here, with the original three instructions too. To 
  1184. make
  1185. detection a bit more difficult, it encrypts itself with an EOR variant 
  1186. (different key each time).
  1187.  
  1188. On any Friday the 13th, it will display the message
  1189.  
  1190. Message from LINK: Active since 30-Nov-91
  1191.  
  1192. every time it infects a program. [As Alan pointed out, this date 
  1193. is fixed, so meaning that it bears no relationship to the time which 
  1194. a system became infected.]
  1195.  
  1196. The virus does no damage apart from attaching itself to files. Files 
  1197. infected by the Link virus are re-stamped to the date they were infected. 
  1198. Also, at the end of the module (and effectively each infected file 
  1199. - although encrypted) the word  'LINK' appears. I first thought this 
  1200. was used as an 'already infected' flag, but this is not so. What 
  1201. it does is check the second instruction in the file, and if this 
  1202. is 'MOV PC,R0' (probably reckons that few programs have this as their 
  1203. second instruction) it recognizes it as infected. If not, the file 
  1204. is infected. This method of checking the file might add to the difficulty 
  1205. of making an inoculator.
  1206.  
  1207. Why didn't Interferon detect this virus?
  1208.  
  1209. At first, I thought that there might be a bug in Interferon, but 
  1210. as I found out, the Link virus checks to see if Interferon is in 
  1211. memory by using OS_Module 18 (look-up module name). By doing this, 
  1212. it also finds where the module code is. Then, it changes a CMP instruction 
  1213. within the code so that Interferon never detects OS_GBPB. After the 
  1214. infection is finished, the Link virus changes the code back to what 
  1215. it was.  [I'm working on a CRC routine for a future version of Interferon 
  1216. at the moment, so Interferon should be 100% operational 'real soon 
  1217. now'.]
  1218.  
  1219.  
  1220. ###########################################################################
  1221.  
  1222. Mode87
  1223. ===========================================================================
  1224.  
  1225. Last Updated:        11th September 1992
  1226. Aliases:              
  1227. Origin:              Unknown. UK?
  1228. Isolation Date:      Unknown - possibly autumn 1991
  1229. Effective Length:    848 bytes
  1230. Virus Type:          Resident !Boot file infector.
  1231. Symptoms:            Module 'Mode87' in application directories. 
  1232.                      
  1233.  
  1234. ---------------------------------------------------------------------------
  1235.  
  1236. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  1237.                      Scanner 1.41+                 Interferon 1.10+
  1238.                      VProtect 1.17+
  1239.  
  1240. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+
  1241.                      Scanner 1.41+
  1242.  
  1243. ---------------------------------------------------------------------------
  1244.  
  1245. General Comments:
  1246.  
  1247. Mode87 installs itself in the RMA as "BBCEconet". The way to tell 
  1248. the difference from this and the original Acorn network module, is 
  1249. that the address of where the module lies is at &01xxxxxx instead 
  1250. of a ROM address (&03xxxxxx) by typing *Modules. If Acorn's original 
  1251. module is not *Unplugged, it will install itself on top of this, 
  1252. and not easily seen in the module list. 
  1253.  
  1254. Mode87 is not malevolent. Although it destroys the original !Boot 
  1255. file of an application, it is not treated as a virus with serious 
  1256. damage potential. Mode87 simply overwrites any !Boot file already 
  1257. there (and if there isn't one, it creates a new one) with: 
  1258.  
  1259. | Boot file
  1260. IconSprites <Obey$Dir>.!Sprites
  1261. RMLoad <Obey$Dir>.Mode87
  1262. [00][00][00]
  1263.  
  1264. Then it proceeds to save itself as a module with the filename "Mode87". 
  1265. If it has reached an infection count of 256, an expanding circle 
  1266. (black, if you are using the standard desktop palette) will "eat" 
  1267. your screen. Control will then return to normal. 
  1268.  
  1269. Mode87 releases its vector claim on OS_FSControl, so it is quite 
  1270. safe to *RMKill it. 
  1271.  
  1272. (Source: Tor Houghton)
  1273.  
  1274.  
  1275. ###########################################################################
  1276.  
  1277. Module
  1278. ===========================================================================
  1279.  
  1280. Last Updated:        11th September 1992
  1281. Aliases:             Illegal, ModVir
  1282. Origin:              Unknown
  1283. Isolation Date:      October 1991
  1284. Effective Length:    956 bytes
  1285. Virus Type:          Resident module infector.
  1286. Symptoms:            Modules grow by approx. 1k, and are re-datestamped. 
  1287.                      May cause system crashes when accessing files 
  1288.                      (load, save, etc.
  1289.  
  1290. ---------------------------------------------------------------------------
  1291.  
  1292. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  1293.                      Hunter 1.00+                  Killer 1.17+ 
  1294.                      Scanner 1.14+                 Hunter 1.00+
  1295.                      VProtect 1.10+                 
  1296.                 
  1297. Removal   Media:     Killer 1.26+     Memory:      Killer 1.26+
  1298.                      Hunter 1.00+                  Hunter 1.00+
  1299.                      Scanner 1.46+
  1300.  
  1301. --------------------------------------------------------------------------- 
  1302.  
  1303. General Comments:
  1304.  
  1305. This is a very nicely written virus which appends itself to modules, 
  1306. redirecting three module entry points to pass through itself before 
  1307. being handed on to the module's original entry point. It spreads 
  1308. by infecting a module as it is loaded, and then the newly loaded 
  1309. module infects the next one loaded, and so on...
  1310.  
  1311. This virus is likely to be very widespread, since it was distributed 
  1312. on the Archimedes World February 1992 cover disc in the MicroDrive 
  1313. demo (in it, several modules were infected). It does nothing until 
  1314. 6th September 1992, when it will display the message:
  1315.  
  1316. Your computer has been virus infected. This is intended to be a friendly 
  1317. virus, and hasn't done any damage to your disc as is  possible now, 
  1318. but it isn't active anymore from now on. Be more careful with illegal 
  1319. software next time!
  1320.  
  1321. [Along with a generation counter. Another interesting observation 
  1322. is that it does not infect locked modules. Infects whenever it notices 
  1323. a RUN or LOAD action on a module. As a result, THIS VIRUS IS EXTREMELY 
  1324. CONTAGIOUS.]
  1325.  
  1326. The message that it isn't active anymore is not true! It ALWAYS (even 
  1327. after 06-Sep-1992) attaches itself to the OS_File (FileV) vector.
  1328.  
  1329. The virus first calls the previous owner of the OS_File vector (FileSwitch?). 
  1330. This means that the module will be loaded and initialised. If the 
  1331. length of the module minus the initialise word of the module is equal 
  1332. to 956 (i.e. the length of the virus), then the module is already 
  1333. infected and the virus deactivates itself (the newly loaded module 
  1334. has already attached itself to the OS_File vector). If the module 
  1335. isn't infected, the virus attaches itself at the end of the module, 
  1336. overwriting the init/final/service words in the module header, preserving 
  1337. the original 3 words.
  1338.  
  1339. (Source: Alan Glover, Michel Fasen)
  1340.  
  1341.  
  1342. ###########################################################################
  1343.  
  1344. MyMod
  1345. ===========================================================================
  1346.  
  1347. Last Updated:        21st April 1992
  1348. Aliases:             Silicon Herpes
  1349. Origin:              United Kingdom
  1350. Isolation Date:      June-August 1991
  1351. Effective Length:    2948 bytes
  1352. Virus Type:          Resident
  1353. Symptoms:            Additional files "SSLM" (filetype Module) and 
  1354.                       "SSLF" in application directories. Message on 
  1355.                      every Friday the 13th. Module "MyMod" in module 
  1356.                      list.
  1357.  
  1358. ---------------------------------------------------------------------------
  1359.  
  1360. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  1361.                      Scanner 1.15+                 Killer 1.17+
  1362.                      VProtect 1.10+                Scanner 1.20+ 
  1363.                                                    
  1364.                      Hunter 1.16+                  Hunter 1.16+
  1365.                 
  1366. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  1367.                      Scanner 1.16+                 Hunter 1.16+
  1368.                                                    Interferon 2.10+
  1369.                                                    Scanner 1.20+
  1370.                      delete "SSLM", rename "SSLF" to !Boot.
  1371.  
  1372. ---------------------------------------------------------------------------
  1373.  
  1374. General Comments:
  1375.  
  1376. This works by redirecting the Alias$@RunType for Obey files, so spreads 
  1377. very fast.
  1378.  
  1379. Once on each Friday 13th you'll get this message: 
  1380.                                                                  
  1381.  
  1382.  
  1383. Hi there. It's me, with my latest addition to the ARCHIMEDIES range 
  1384. of computer programs. This one's called silicon herpes. It's  annoying 
  1385. but DOES NO REAL DAMAGE!!! 
  1386.  
  1387. Anyway, it's Friday the 13th, and what can you expect. Acorn state 
  1388. that RISC OS has high protection against programs of this nature. 
  1389. I can't call it a virus, as a virus does damage
  1390.  
  1391. With Acorn making these bold statements about RISC OS I decided to 
  1392.  write a demonstration to disprove their theories. I must admit  
  1393. though, it was quite difficult. 
  1394.  
  1395. Anyway, I don't want to keep you so I'd like to say, have a very 
  1396.  happy Christmas, Easter, Summer or what ever, and hang kickin
  1397.  
  1398.  
  1399. There's a likelihood of various spurious errors from one of the variants 
  1400. (both are the same length) since it addresses application memory 
  1401. directly!
  1402.  
  1403. (Source: Alan Glover)
  1404.  
  1405.  
  1406. ###########################################################################
  1407.  
  1408. NetManager
  1409. ===========================================================================
  1410.  
  1411. Last Updated:        11th September 1992
  1412. Aliases:             
  1413. Origin:              United Kingdom
  1414. Isolation Date:      June-August 1991
  1415. Effective Length:    900 bytes
  1416. Virus Type:          Resident !Boot file infector
  1417. Symptoms:            Module 'NetManager' in module list.
  1418.  
  1419. ---------------------------------------------------------------------------
  1420.  
  1421. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  1422.                      VProtect 1.10+                Killer 1.17+
  1423.                      Scanner 1.40+                 Scanner 1.20+
  1424.                 
  1425. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17
  1426.                      Scanner 1.40+                 Scanner 1.20+
  1427.                                                    Interferon 2.10+
  1428.                      delete !Boot.                 RMKill NetManager
  1429.  
  1430. ---------------------------------------------------------------------------
  1431.  
  1432. General Comments:
  1433.  
  1434. I believe this to be the prototype for, or maybe the inspiration 
  1435. for, the TrapHandler virus. Although the coding is quite different 
  1436. in places, there's quite a similarity in the design.
  1437.  
  1438. There are a number of coding errors in the virus, most notably around 
  1439. the time bomb area, making it harmless in this form. The intention 
  1440. of the code is to check for Friday 13th, and display a message, however 
  1441. it will never detonate (... unless there's a fixed version in circulation 
  1442. ... though that's what I believe TrapHandler is).  It's fortunate 
  1443. that it never displays the message, because there's another coding 
  1444. error and the message isn't actually there!
  1445.  
  1446. (Source: Alan Glover)
  1447.  
  1448.  
  1449. ###########################################################################
  1450.  
  1451. NetStatus
  1452. ===========================================================================
  1453.  
  1454. Last Updated:        21st April 1992
  1455. Aliases:             Boot
  1456. Origin:              Norway or Belgium
  1457. Isolation Date:      October 1991
  1458. Effective Length:    2048 or 2072 bytes
  1459. Virus Type:          Resident !Boot file infector
  1460. Symptoms:            !Boot filelength increase.
  1461.  
  1462. ---------------------------------------------------------------------------
  1463.  
  1464. Detection Media:     Killer 1.27+     Memory:      Interferon 1.10+
  1465.                      Scanner 1.02+                 Killer 1.27+
  1466.                      VProtect 1.10+                Scanner 1.20+
  1467.                      Hunter 1.16+                  Hunter 1.16+
  1468.                      VirusKill 1.00+ 
  1469.                 
  1470. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  1471.                      Scanner 1.17+                 Hunter 1.16+
  1472.                      Hunter 1.16+                  Interferon 1.10+
  1473.                                                    Scanner 1.20+
  1474.                                                    RMKill NetStatus
  1475.  
  1476. ---------------------------------------------------------------------------
  1477.  
  1478. General Comments:
  1479.  
  1480. NetStatus is written as a module, and in many ways it functions exactly 
  1481. the same way as the TrapHandler virus, as it saves all of its code 
  1482. in an application's !Boot file. It differs strongly from from this 
  1483. one, however, as NetStatus does not overwrite the !Boot file. The 
  1484. original !Boot instructions are executed after the virus has been 
  1485. loaded, making it more difficult to spot than TrapHandler.
  1486.  
  1487. Some times a message will appear (after a mode change):
  1488.  
  1489. Hello, there.
  1490. Just a little message.
  1491. The infection count is: <infection count>
  1492. This program is harmless
  1493. 10 Jun 1991
  1494.  
  1495. [This message is encrypted, and will neither show up in memory nor 
  1496. in the infected !Boot file.]
  1497.  
  1498. One might think that NetStatus should be placed as a 'variant' of 
  1499. TrapHandler, as the way the two viruses work are so similar (both 
  1500. viruses work by loading the !Boot file into memory below &8000 and 
  1501. then jumping to the code). However, seeing that the code itself was 
  1502. so different, I chose to let it have it's own entry. Also, NetStatus 
  1503. infects the !Boot file instead of overwriting it! If you think you 
  1504. might have been infected by this virus, do *Help NetStatus to see 
  1505. if it is version 2.00, and if it is, do a *Modules to check where 
  1506. it resides. If the address is 018xxxxx then you are infected, if 
  1507. not, the address should be 038xxxxx. [This virus has the potential 
  1508. to cause chaos on Econet networks, where it will replace the real 
  1509. NetStatus module - causing anything that relies on it to fail.]
  1510.  
  1511. Known variant(s) of the NetStatus virus are:
  1512.  
  1513. NetStatus-2048
  1514.  
  1515. This appears to be an earlier version of NetStatus. Some code is 
  1516. missing in this version, but they appear identical in operation. 
  1517. Please note that not many virus killers are aware of both versions. 
  1518. If it understands only one strain, the !Boot file will become corrupt.
  1519.  
  1520.  
  1521. ###########################################################################
  1522.  
  1523. Parasite
  1524. ===========================================================================
  1525.  
  1526. Last Updated:        21st April 1992
  1527. Aliases:             
  1528. Origin:              UK, Cheshire?
  1529. Isolation Date:      January 1992 by S. Haeck
  1530. Effective Length:    6K & 7K
  1531. Virus Type:          Resident application infector, stores code as 
  1532.                      separate file.
  1533. Symptoms:            Additional modules appearing within applications
  1534.  
  1535. ---------------------------------------------------------------------------
  1536.  
  1537. Detection Media:     Killer 1.27+     Memory:      Killer 1.27+
  1538.                      Scanner 1.23+                 Scanner 1.20+
  1539.                      VProtect 1.12+ 
  1540.                 
  1541. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  1542.  
  1543. ---------------------------------------------------------------------------
  1544.  
  1545. General Comments:
  1546.  
  1547. This is a **very** nasty virus. Handle any infections with care!
  1548.  
  1549. The parasite virus was first discovered by S. Haeck in January 1992.
  1550.  
  1551. The two strains are identical, except that the first always uses 
  1552. the same name for it's module, and the second has a random choice 
  1553. of 20 (twenty) filenames. It will only activate on machines whose 
  1554. network station number is <80 - which will include non-networked 
  1555. machines, which typically have 0 or 1 in the CMOS. Do NOT try to 
  1556. RMKill the module - a delayed action machine crash will result. It 
  1557. will *wipe any of the following file/directory names - !vkiller, 
  1558. vir, shield, prot and !guardian - this points at a UK origin since 
  1559. it is not aware of Scanner.
  1560.  
  1561. It has a whole repertoire of dirty tricks, which are time triggered:
  1562.  
  1563. - Corruption of the net printer name (it uses this as workspace)
  1564. - Midnight, and xx:13: crash the computer
  1565. - Before 07:00: crash the computer 300-900 seconds later
  1566. - 00:00 to 00:59 on 1st Jan: crash the computer
  1567. - 1st of any month: claim 16K of RMA (not used)
  1568. - 21st June: set MouseStep to 1
  1569. - 21st December: set MouseStep to 127 (fast!)
  1570. - 29th February: Set MouseStep to -5 (fast, and reversed)
  1571. - If there is a 0 in the time, and the virus loaded from SCSI:*unplug 
  1572. the Podule Manager (disabling the SCSI disc)  - At 0x and x0 seconds, 
  1573. if the module came from IDEFS: alias the IconSprites command so that 
  1574. no further sprites are cached
  1575.  
  1576. Furthermore, there are some which can be fired at any time:
  1577.  
  1578. 1 in 50: Change sound settings
  1579. 1 in 25: Redefine character set to all spaces after 60-240 seconds
  1580. 1 in 60: Corrupt the disc in drive 0
  1581.  
  1582. Lastly, there are a group of serious actions (which are limited so 
  1583. only a certain number occur within a given period):
  1584.  
  1585.  - Before 08:00 (14:00 Sundays): configure number of hard and floppy 
  1586. drives to zero.
  1587.  
  1588.  - Mondays: Configure Fontsize 0K, SpriteSize 512K, which will cripple 
  1589. a 1Mb machine!
  1590.  
  1591.  - 25th December: Configure MonitorType 3, Sync 0
  1592.  
  1593.  - A 7 in the time: Configure Country to Greece
  1594.  
  1595.  - 1 in 4: Configure ADFS, Harddiscs 2, Drive 5 (very tricky if you 
  1596. don't happen to have two ST506 drives)
  1597.  
  1598. The module names which it can use are:
  1599.  
  1600. FontLibrary, CodeLibrary, ScreenObjct, PromptsPick, HPIBIntMngr, 
  1601. PRomModules, BasicCryptr, ChrSelecter, WimpModMake, PaletteUtl2, 
  1602. ModeUtility, FontUtility, TempManager, ColourConvt, IndexReader, 
  1603. ArthurImage, SyncUtility, VIDCManager, FontPalette, HugoFiennes.
  1604.  
  1605. The first (6435 byte) strain always uses the name FontLibrary.
  1606.  
  1607. Note that Hugo Fiennes, whose name appears at several points in the 
  1608. code, as well as being one of the module filenames, has much better 
  1609. things to do than write viruses, and has no known connection with 
  1610. this virus!
  1611.  
  1612. (Source: Alan Glover, with thanks to Geoff Riley for much of the 
  1613. decoding)
  1614.  
  1615.  
  1616. ###########################################################################
  1617.  
  1618. Runopt
  1619. ===========================================================================
  1620.  
  1621. Last Updated:        25th October 1992
  1622. Aliases:             
  1623. Origin:              UK
  1624. Isolation Date:      October 1992
  1625. Effective Length:    1684 bytes
  1626. Virus Type:          Resident application infector
  1627. Symptoms:            Desktop APPLICATION Task called 'Task Manager'.
  1628.  
  1629. ---------------------------------------------------------------------------
  1630.  
  1631. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  1632.                      VProtect 1.24+
  1633.  
  1634. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  1635.  
  1636. ---------------------------------------------------------------------------
  1637.  
  1638. General Comments:
  1639.  
  1640. In a similar manner to Icon, this virus uses a !Boot file to load 
  1641. a BASIC program. The program is called RunOpt!, and is filetyped 
  1642. as data. 
  1643.  
  1644. Note that the real 'Task Manager' shows up as a module task NOT an 
  1645. application task.
  1646.  
  1647. (Source: Paul Frohock)
  1648.  
  1649.  
  1650.  
  1651. ###########################################################################
  1652.  
  1653. Sprite
  1654. ===========================================================================
  1655.  
  1656. Last Updated:        21st April 1992
  1657. Aliases:             'Really Annoying Sprite Virus'
  1658. Origin:              Germany ? Ireland ?
  1659. Isolation Date:      February 1992 by Svlad Cjelli
  1660. Effective Length:    720 bytes
  1661. Virus Type:          Resident application infector, stores code as 
  1662.                      separate file.
  1663. Symptoms:            File "Sprite" and maybe !Str in applications
  1664.  
  1665. ---------------------------------------------------------------------------
  1666.  
  1667. Detection Media:     Killer 1.27+     Memory:      Killer 1.27+
  1668.                      Scanner 1.23+
  1669.                 
  1670. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  1671.                      delete Sprite, delete !Boot OR delete !Run and 
  1672.                      rename !Str to !Run (depending whether !Str is 
  1673.                      present or not).
  1674.  
  1675. ---------------------------------------------------------------------------                              
  1676.  
  1677. General Comments:
  1678.  
  1679. This has got some similarities with Image, but until I've (Alan) 
  1680. had a chance to do a code comparison, I'm not going to class them 
  1681. as members of the same virus family.
  1682.  
  1683. In months which begin with an F it will change the pointer settings. 
  1684. As far as I can tell, the parameter block is junk, and it's hard 
  1685. to tell whether the call will return! If it does, a delayed routine 
  1686. is programmed, which when entered will do FX200,3, zero all the CMOS 
  1687. RAM, and display a message.
  1688.  
  1689. The message is:
  1690.  
  1691. Piracy IS theft - Your SYSTEM is DOOMED - Deutschland Uber Alles!
  1692.  
  1693. For people like me who don't know any German, a liberal translation 
  1694. is 'Germany is best'. This is encrypted, so is not usually visible.
  1695.  
  1696. Important note: Initial reports about this virus suggested that it 
  1697. could cause disc corruption. Aside from possible errors during attempted 
  1698. infections, it does not have any maliciously targetted code for filing 
  1699. systems. 
  1700.  
  1701. Infection is by saving the virus code as 'Sprite' (filetyped as such), 
  1702. and either creating a !Boot, or renaming !Run to !Str and saving 
  1703. a new !Run which runs !Str.
  1704.  
  1705. (Source: Alan Glover, with thanks to Svlad Cjelli)
  1706.  
  1707.  
  1708. ###########################################################################
  1709.  
  1710. SpriteUtils
  1711. ===========================================================================
  1712.  
  1713. Last Updated:        11th September 1992
  1714. Aliases:              
  1715. Origin:              UK
  1716. Isolation Date:      June 1992
  1717. Effective Length:    3028 bytes
  1718. Virus Type:          Resident application infector, stores code as 
  1719.                      separate file.
  1720. Symptoms:            File "Sprutils" appears in applications
  1721.  
  1722. ---------------------------------------------------------------------------
  1723.  
  1724. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  1725.                      VProtect 1.17+
  1726.                      Scanner 1.42+
  1727.  
  1728. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+
  1729.                      Scanner 1.42+
  1730.  
  1731. ---------------------------------------------------------------------------
  1732.  
  1733. General Comments:
  1734.  
  1735. This virus spreads by inserting a line in !run files, loading a trojan 
  1736. SpriteUtils module. 
  1737.  
  1738. It is my opinion that this virus is designed as an enabling tool 
  1739. for further unpleasant activities triggered remotely over a network. 
  1740.  
  1741.  
  1742. My reason for concluding this is that in addition to normal spreading 
  1743. and replication it goes to great pains to alter the Econet Protection 
  1744. setting to enable User Remote Procedure Calls.                   
  1745.      
  1746.  
  1747. It intercepts the SWI vectors to process Econet_SetProtection and 
  1748. Econet_ReadProtection to return, and allow modification of, the value 
  1749. which was present when the virus started. 
  1750.  
  1751. It then supports two RPCs, one to turn off all protection, and the 
  1752. other to restore the setting with just RPCs enabled. 
  1753.  
  1754. It also attempts to disable VProtect, and will succeed with earlier 
  1755. versions. However, a new version of VProtect will have no problem 
  1756. in preventing the virus from being loaded in to a clean machine. 
  1757.  
  1758.  
  1759. It has no timed or other malicious contents, however as usual there 
  1760. are some consequences of the way it is written. 
  1761.  
  1762. In particular, it will claim 2K of RMA workspace, and never release 
  1763. it, nor does it restore the Econet protection setting it first found. 
  1764.  
  1765.  
  1766. (Source: Alan Glover)
  1767.  
  1768.  
  1769.  
  1770. ###########################################################################
  1771.  
  1772. T2
  1773. ===========================================================================
  1774.  
  1775. Last Updated:        11th September 1992
  1776. Aliases:             
  1777. Origin:              United Kingdom
  1778. Isolation Date:      July 1992
  1779. Effective Length:    4304 bytes
  1780. Virus Type:          Merges with absolute !RunImage files.
  1781. Symptoms:            Messages from "T2" and spurious errors.
  1782.  
  1783. ---------------------------------------------------------------------------
  1784.  
  1785. Detection Media:     Killer 1.370+    Memory:      Killer 1.370+
  1786.                      VProtect 1.20+                Scanner 1.43+
  1787.                      Scanner 1.43+
  1788.                 
  1789. Removal   Media:     Killer 1.370+    Memory:      Killer 1.370+ 
  1790.                                                    
  1791.  
  1792. ---------------------------------------------------------------------------
  1793.  
  1794. General Comments:
  1795.  
  1796. This is a very dangerous virus, which can cause severe data loss 
  1797. if not treated rapidly. 
  1798.  
  1799. On 1st Jan, 14th Feb, 1st May, 4th July, 31st October, 25th December 
  1800. and Friday 13th a message from T2 will be displayed and it will write 
  1801. invalid data to the first 32K of ADFS drives 0-7. On D or E format 
  1802. floppies this will destroy the FS Map and Root Directory, on D format 
  1803. hard discs it will destroy the boot block, FS Map and Root Directory. 
  1804. On E format hard discs, it will destroy the boot block only, since 
  1805. the Free Space map and Root directory are elsewhere on the disc surface. 
  1806. It will also attempt to do the same to Nexus drives 4-7.
  1807.  
  1808. The messages are:
  1809.  
  1810. December 25th
  1811.  
  1812. Yuletide Jollities from T2
  1813. A special christmas present: New blank disks all round.
  1814.  
  1815. 1st January
  1816.  
  1817. New Year's Resolution from T2
  1818. New Year's Resolution: I will keep my disks write protected.
  1819.  
  1820. 14th February
  1821.  
  1822. St. Valentine's Day
  1823. Roses are red, Violets are blue, I've wiped your hard disk, Because 
  1824. I hate you.
  1825.                                                                  
  1826.                    
  1827. 1st May
  1828.  
  1829. Mayday from T2
  1830. Mayday, mayday, mayday: your data's sinking.
  1831.  
  1832. 31st October
  1833.  
  1834. Spookiness from T2
  1835. You've got a vicious virus AND blanked disks - spooky huh?
  1836.  
  1837. July 4th
  1838.  
  1839. Independence Day celebrations from T2
  1840. You are now fully independent of your saved data.
  1841.                                                       
  1842. Friday 13th
  1843.  
  1844. Comiserations from T2
  1845. Bad luck, me ol' China.  Your disks have kinda left you in the lurch, 
  1846. as it were.  Unfortunate, huh?
  1847.  
  1848. And the random choice ones:
  1849.  
  1850. Greetings from T2
  1851. I hate you.  F*ck off and die.  Painfully.
  1852.  
  1853. Comment from T2
  1854. You stink of sh*t.
  1855.  
  1856. Observation from T2
  1857. You're a f*cking c*nt.
  1858.  
  1859. Hi there, from your friendly virus
  1860. Hi there.  You may (or may not) know me.  I'm a virus.  User meet 
  1861. T2.  T2 meet user.  Good ... See ya around.
  1862.  
  1863.  
  1864. It also has a random chance routine, based on a 0.1 second timer, 
  1865. which has various possible effects, including:
  1866.   
  1867. - A rude message (see above)
  1868. - Scrambled CMOS memory
  1869. - Crashing the machine 
  1870. - Destroying disc data (as above)
  1871.  
  1872. There is not an easy quick check for this virus, since it will not 
  1873. show up as a module or desktop task. The easiest way I can come up 
  1874. with to do the following from BASIC (ensure that VProtect 1.20 or 
  1875. above is NOT loaded to avoid a false alarm).
  1876.  
  1877. SYS "XOS_ServiceCall",,&C0FFEE TO ,A%:PRINT A%
  1878.  
  1879. If the number printed is zero, and VProtect 1.20+ is not loaded (or 
  1880. any other anti-virus program aware of this virus) then it is loaded 
  1881. and active.
  1882.  
  1883. (Source: Alan Glover)
  1884.  
  1885.  
  1886. ###########################################################################
  1887.  
  1888. Terminator
  1889. ===========================================================================
  1890.  
  1891. Last Updated:        11th September 1992
  1892. Aliases:             
  1893. Origin:              United Kingdom
  1894. Isolation Date:      July 1992
  1895. Effective Length:    3648 bytes
  1896. Virus Type:          Task. Stores code as separate file.
  1897. Symptoms:            Additional files appear in applications (see 
  1898.                      below)
  1899.  
  1900. ---------------------------------------------------------------------------
  1901.  
  1902. Detection Media:     Killer 1.372+    Memory:      Killer 1.372+
  1903.                      Scanner 1.47+
  1904.                 
  1905. Removal   Media:     Killer 1.372+    Memory:      Killer 1.372+ 
  1906.                                                    
  1907.                      delete named file, remove last line from !Boot.
  1908.  
  1909. ---------------------------------------------------------------------------
  1910.  
  1911. General Comments:
  1912.  
  1913. Strictly speaking - this is an Icon variant. However it has been 
  1914. changed sufficiently that it merits its own entry.
  1915.  
  1916. It can choose one of eight task names, and one of eight different 
  1917. filenames/filetypes to save itself.
  1918.  
  1919. In other respects it acts and spreads like Icon, though there is 
  1920. 1 in 10 chance of drive zero being wiped on each infection.
  1921.  
  1922. The task names are : ADFS Filer, RMA Manager, Filer Extension, File 
  1923. Compactor, ADFS Filer (again), MemAlloc, " " and "F*ck off!" (except 
  1924. with no asterisk - you know what I mean...).
  1925.  
  1926. The filenames and filetypes are: Icon (Sprite), MemAlloc (Module), 
  1927. RunCode (Absolute), ABCLib (Module), CLib (Module), Colours (Modules), 
  1928. FPEmulator (Module) and !DeskBoot (Utility).
  1929.  
  1930. !Killer patches the virus before removing it to ensure that ADFSFiler 
  1931. is not rmkilled by the virus.
  1932.  
  1933. (Source: Alan Glover)
  1934.  
  1935.  
  1936. ###########################################################################
  1937.  
  1938. Thanatos
  1939. ===========================================================================
  1940.  
  1941. Last Updated:        21st April 1992
  1942. Aliases:             RISCOSext, RISCOS Extensions
  1943. Origin:              United Kingdom
  1944. Isolation Date:      May 1991
  1945. Effective Length:    11756 or 11764 bytes
  1946. Virus Type:          Task. Stores code as separate file.
  1947. Symptoms:            Files "RISCOSext" and "TaskAlloc" in application 
  1948.                      directories. Wimp task "Thanatos" visible in 
  1949.                      the Task Manager.
  1950.  
  1951. ---------------------------------------------------------------------------
  1952.  
  1953. Detection Media:     Killer 1.17+     Memory:      Killer 1.17+
  1954.                      Scanner 1.23+
  1955.                      VProtect 1.10+ 
  1956.                 
  1957. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  1958.                      delete named files
  1959.  
  1960. ---------------------------------------------------------------------------
  1961.  
  1962. General Comments:
  1963.  
  1964. This is an encrypted (simple EOR with &7A, lower-case "z") BASIC 
  1965. program (crypted = 11756 bytes long, TOP-PAGE of BASIC program = 
  1966. 7660 bytes) called "RISCOSext" with a filetype of Absolute (yes, 
  1967. a very poor piece of ARM code decrypts and runs it and wastes nearly 
  1968. 4K of space between &8100 and &9000 !). Associated with it is a Sprite 
  1969. file (actually of filetype Module) called "TaskAlloc", which is 344 
  1970. bytes long containing a rude sprite to replace the mouse pointer.
  1971.  
  1972. When run, it installs itself as a Wimp task named "Thanatos" and 
  1973. then looks for double-clicks to infect application directories (copies 
  1974. the RISCOSext and TaskAlloc files into there and then appends the 
  1975. 'usual' string to the !Boot file (to run RISCOSext).             
  1976.          
  1977.  
  1978. The nasty section of the Thanatos Virus REALLY IS nasty, so I urge 
  1979. you to study this carefully.
  1980.  
  1981. Rough once every 100000 times around the Wimp_Poll loop, Thanatos 
  1982. can:
  1983.  
  1984. * 2 out of 13 chancesShut down icon bar application at random (whilst 
  1985. displaying its own icon bar icon during the shutdown).
  1986.  
  1987. * 1 out of 13 chancesCause a Desktop Quit.
  1988.  
  1989. * 3 out of 13 chancesReverse the mouse pointer step (sets it -2).
  1990.  
  1991. * 1 out of 13 chancesCrash the machine by poking a duff instruction 
  1992. at the start of memory.
  1993.  
  1994. * 1 out of 13 chancesRandomise the 240 bytes of CMOS. [If this happens, 
  1995. you may have to either short or remove the battery from your machine, 
  1996. as  it might refuse to boot.]
  1997.  
  1998. * 4 out of 13 chancesRandomly display one of 8 very rude messages 
  1999. - one of which also changes the mouse pointer shape to a rude graphic 
  2000. and another will also shutdown an icon bar application (the same 
  2001. routine as above).
  2002.  
  2003. * 1 out of 13 chancesWipe the contents of <Obey$Dir>.
  2004.  
  2005. It also has a "special date" section as follows:
  2006.  
  2007. Any Friday 13th: Advertises its own "virus killer" (from Armen Software). 
  2008. April 1st10 Address exception errors, followed by coloured rectangles 
  2009. and  a 'stuck' mouse pointer for 10 seconds. An "April Fool" message 
  2010.  
  2011. is then displayed.
  2012.  
  2013. December 25th: Destroys the disk map of ADFS drives 0, 4 and 5 followed 
  2014. by a  "Merry Crimble" message.
  2015.  
  2016. October 31st:Formats the floppy in drive 0, followed by a "Spooky" 
  2017. message. 
  2018.  
  2019. January 1st: As December 25th, but followed by a New Year's Resolution 
  2020.  message (to keep your disks write-protected...).               
  2021.  
  2022. [ The 11764 byte variant is functionally identical, but a slightly 
  2023. earlier version ]
  2024.  
  2025. (Source: Richard K. Lloyd)
  2026.  
  2027. [Attempting to kill Thanatos by clicking 'Quit' in the Task Manager 
  2028. will not work. However, Killer and VKiller will patch the missing 
  2029. closedown code into the virus before removing it from memory.]
  2030.  
  2031.  
  2032.  
  2033. ###########################################################################
  2034.  
  2035. TrapHandler
  2036. ===========================================================================
  2037.  
  2038. Last Updated:        21st April 1992
  2039. Aliases:             
  2040. Origin:              United Kingdom
  2041. Isolation Date:      September 1991
  2042. Effective Length:    924 bytes
  2043. Virus Type:          Resident !Boot file infector. Overwrites original 
  2044.                      !Boot file completely (or creates a new one if 
  2045.                      it doesn't find one) and stores own code here.
  2046. Symptoms:            Applications which depend on a !Boot file fail 
  2047.                      to run (i.e. if the !System !Boot file was overwritten, 
  2048.                      !Edit would fail to run due to the fact that 
  2049.                      the !System folder hasn't been seen. The same 
  2050.                      applies if the !Boot file in the Fonts directory 
  2051.                      is overwritten. The module 'TrapHandler'is present 
  2052.                      in the  module list.
  2053.  
  2054. ---------------------------------------------------------------------------
  2055.  
  2056. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  2057.                      Scanner 1.03+                 Killer 1.17+
  2058.                      VProtect 1.10+                Scanner 1.23+
  2059.                 
  2060. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  2061.                      Scanner 1.03+                 Interferon 2.10+
  2062.                      delete !boot file             Scanner 1.20+
  2063.                                                    RMKill TrapHandler
  2064.  
  2065. ---------------------------------------------------------------------------
  2066.  
  2067. General Comments:
  2068.  
  2069. The TrapHandler virus is written as a module which infects application 
  2070. directories by overwriting the !Boot file with its own code. By hooking 
  2071. onto the FSControl vector, it looks for a *Run action, and on finding 
  2072. one (eg. the user opens a directory with applications, and if any 
  2073. of these contain a !Boot file (which RISC OS automatically executes)), 
  2074. TrapHandler overwrites the application's !Boot file with its own 
  2075. code.
  2076.  
  2077. This code is loaded into memory by using a simple 
  2078.  
  2079. *LOAD <Obey$Dir>.!Boot <address>
  2080.  
  2081. and then executing the code at <address>.
  2082.  
  2083. On any Friday after the 20th of any month it will open a regular 
  2084. message box (i.e. using Wimp_ReportError) with the number of infections 
  2085. in the header, and an 'Ignorance will be your undoing.' This message 
  2086. is rather misleading, as the only destructive thing it does is overwrite 
  2087. your !Boot files (although it could - as all viruses can - be modified 
  2088. to do much nastier things). I might sound a bit trivial here - if 
  2089. your $.!Boot on the harddisc was overwritten, you might get a bit 
  2090. more than annoyed(!). However, as this !Boot file only gets run when 
  2091. you reset your machine, it is not very likely to get infected by 
  2092. this virus (unless you accidentally double-click on it or run it).
  2093.  
  2094.  
  2095.  
  2096. ###########################################################################
  2097.  
  2098. Valid
  2099. ===========================================================================
  2100.  
  2101. Last Updated:        21st April 1992
  2102. Aliases:             
  2103. Origin:              Unknown
  2104. Isolation Date:      March 4, 1992 by Atle M. Bårdholt
  2105. Effective Length:    1389 bytes
  2106. Virus Type:          Non-resident application infector, stores code 
  2107.                      as separate file.
  2108. Symptoms:            Files "Valid" and "Source" in application directories.
  2109.  
  2110. ---------------------------------------------------------------------------
  2111.  
  2112. Detection Media:     Killer 1.30+     Memory:      n/a
  2113.                      Scanner 1.23+
  2114.                      VProtect 1.13+ 
  2115.                 
  2116. Removal   Media:     Killer 1.30+     Memory:      n/a
  2117.                      Scanner 1.23+
  2118.                      delete !Run and "Source". Rename "Valid" to 
  2119.                      !Run.
  2120.  
  2121. ---------------------------------------------------------------------------
  2122.  
  2123. General Comments:
  2124.  
  2125. Valid is a non-resident virus written in BASIC which works by renaming 
  2126. the !Run file of the application to "Valid", then saving itself as 
  2127. a file called "Source" and creating a new !Run file which points 
  2128. to the virus code. Both have correct filetypes (e.g. Obey and BASIC).
  2129.  
  2130. In its current form it can hardly spread far. It surprises me that 
  2131. it was even released at all. Due to a major flaw in the code, Valid 
  2132. creates faulty !Run files every time it infects - effectively rendering 
  2133. the application non-executable - making it easy to detect that something 
  2134. is wrong. It is assumed, however, that this is fixed in other or 
  2135. newer versions (the incore filename of the BASIC file is "Source2"), 
  2136. as it is a very simple thing to do something about it. (This version 
  2137. keeps the first 21 chars of the orginal !Run file instead of making 
  2138. a new one.)                                            
  2139. On floppy based systems this virus causes a noticeable slowdown when 
  2140. it infects an application, as it uses the OSCLI command EnumDir to 
  2141. create a list of applications to infect. This list is saved as a 
  2142. file (as a result of EnumDir), and then loaded into some reserved 
  2143. memory. When the processing of this data is finished, the file is 
  2144. deleted.                                                   
  2145.  
  2146. Valid never infects an application twice, as it checks to see if 
  2147. there's an "our" in the first line (part of RUN <Obey$Dir>.Source) 
  2148. of the !Run file. Also, it is not certain it will infect a given 
  2149. application - there's Ŵonly a 30% chance (determined by RND(10)>7) 
  2150. of this happening. Valid does little besides replicate (if it had 
  2151. worked properly), but does create a 0 byte file called "Infected!"Ŵ 
  2152. in the application directory after any 22nd in any month.
  2153.  
  2154.  
  2155.  
  2156. ###########################################################################
  2157.  
  2158. Vigay
  2159. ===========================================================================
  2160.  
  2161. Last Updated:        21st April 1992
  2162. Aliases:             DataDQM, Shakes
  2163. Origin:              United Kingdom
  2164. Isolation Date:      Probably April 1991
  2165. Effective Length:    2311 or 2432 bytes
  2166. Virus Type:          Task. Stores code as separate file.
  2167. Symptoms:            File "DataDQM" in application directories. The 
  2168.                      Task "TaskManager" in the Task Manager window.
  2169.  
  2170. ---------------------------------------------------------------------------
  2171.  
  2172. Detection Media:     Killer 1.17+     Memory:      Killer 1.17+
  2173.                      Scanner 1.23+
  2174.                      VProtect 1.10+ 
  2175.                 
  2176. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+
  2177.                      delete !Boot and file.
  2178.  
  2179. ---------------------------------------------------------------------------
  2180.  
  2181. General Comments:
  2182.  
  2183. This is a BASIC program called "datadqm" with an associated 97-byte 
  2184. !Boot file. The REMs at the start of the program are as follows:
  2185.  
  2186. REM (C)1989 PAUL VIGAY
  2187. REM
  2188. REM A nasty little Archie Virus !!
  2189. REM ... or is something up with your monitor ???
  2190. REM
  2191. REM version 1.1a (24th October 1989)
  2192.  
  2193. Hence you now know why it's called the "Vigay Virus" - the author's 
  2194. name appears as a comment at the start! When first run, it initialises 
  2195. as a Wimp task called "TaskManager" and then waits for either:
  2196.  
  2197. 1) a chance of (500 * hours left of a Thursday) to 1 to crop up to 
  2198. spark off a silly  "wobble" demo (wobbles the screen and mouse pointer). 
  2199. Yes, this demo only appears  on a Thursday and more frequently as 
  2200. the day wears on.
  2201.  
  2202. or,
  2203.  
  2204. 2) a file/directory double-click, in which case it attempts to replicate 
  2205. itself to the first application directory at that level that doesn't 
  2206. already have either an "!Boot" or a  DataDQM" file.
  2207.  
  2208. (Source: Richard K. Lloyd)
  2209.  
  2210. [Apparently there are several versions existing (but apparently not 
  2211. circlulating), some activating on Fridays, others on Friday the 13th. 
  2212. It is not known whether these Friday versions broke loose, and later 
  2213. variants were also compiled using the Archimedes BASIC Compiler by 
  2214. DABS Press. We are still speculating if any of these are available 
  2215. to the general public. Also, it is worth clarifying that the 'TaskManager' 
  2216. will appear as an application task, unlike the real Task Manager 
  2217. which is a module task.]
  2218.  
  2219.  
  2220. ###########################################################################
  2221.  
  2222. Virus Detection Utilities
  2223. ---------------------------------------------------------------------------
  2224.  
  2225. (Note: only this programs which are still believed to be regularly 
  2226. updated are included here)
  2227.  
  2228. Guardian:   © Paul Vigay. Latest version known is !Guardian3 3.09 
  2229.             (14th Oct-1992). Multitasking application which keeps 
  2230.             an eye on tasks and also has virus scanner/removal capabilities. 
  2231.             IMPORTANT NOTE: At various places in the application it 
  2232.             claims to remove all known viruses, and to be "equal, 
  2233.             if not better, in spec than !Killer". Both these claims 
  2234.             are clearly false (the current version of !Guardian only 
  2235.             deals with five viruses - including his own (Vigay)). 
  2236.             Handle the software, and the author's claims, with care. 
  2237.             
  2238.  
  2239. Hunter:     © Michel Fasen. Latest version known is 1.16/9 (17-Feb-1992). 
  2240.             Multitasking application. Nice touch by using the Interface 
  2241.             manager. Not RISC OS 3 compatible. Public Domain.
  2242.  
  2243. Interferon: © Tor O. Houghton. Latest known version is 2.12 (13-Mar-1992). 
  2244.             Resident program which looks for transfer  of data to 
  2245.             disc from areas below &8000, and from the RMA (e.g. most 
  2246.             viruses which are written as modules, for example). Public 
  2247.             Domain.
  2248.  
  2249. Killer:     © Pineapple Software Ltd. Written by Alan Glover of Acorn 
  2250.             Computers Ltd. Latest version known is 1.381 (25-Oct-1992). 
  2251.             Multi-tasking scanner/disinfectant. Currently, this  application 
  2252.             is the one which detects and removes all known viruses 
  2253.             on the Archimedes. Very user friendly interface, lots 
  2254.             of useful options, includes a nice window with look-up 
  2255.             virus information. Commercial product.
  2256.  
  2257. Scanner:    © Tor O. Houghton. Latest version known is 1.51 (Oct-1992). 
  2258.             A non-WIMP application which detects and removes the most 
  2259.             common viruses. Commercial software, available direct 
  2260.             from the author.
  2261.  
  2262. VProtect:   © Pineapple Software Ltd. Written by Alan Glover of Acorn 
  2263.             Computers Ltd. Latest version known is 1.24 (25-Oct-1992). 
  2264.             Resident program which, amongst other things, checks !Run 
  2265.             and !Boot and module files for infection before running 
  2266.             them. Supplied with !Killer.
  2267.  
  2268. As you can see, there are several virus utilities mentioned in section 
  2269. 3.0. For all of you who have written a virus utility and want it 
  2270. to appear with correct information concerning version numbers, and 
  2271. what it can detect and remove etc., could you please send your latest 
  2272. version to one of the previously mentioned addresses.
  2273.  
  2274. This document exists in three parallel forms. Versions suffixed 'p' 
  2275. are the Impression version (primarily maintained by Tor Houghton), 
  2276. and those suffixed 'h' use the Binary Star !Clearview PD reader application 
  2277. to present a hypertext document. Updates to the document may be sent 
  2278. to either author, and both versions will get updated. The text version 
  2279. (suffixed 't') is derived from the Cleariew version. There is also 
  2280. an experimental vb version.
  2281.  
  2282. Also, could you please include a note on what the program/virus does? 
  2283. Some help files we have seen have been very vague. All this information 
  2284. is based on our own reactions, and may well be incorrect in some 
  2285. parts. If you don't like it, send us some information (not too verbose).
  2286.  
  2287.  
  2288. ###########################################################################
  2289.  
  2290. Acknowledgements & Credits
  2291. ---------------------------------------------------------------------------
  2292.  
  2293. This list contains some of the many people who have helped in the 
  2294. preparation and updating of this document. Despite their best efforts, 
  2295. there are undoubtably some errors - which are wholly our own work 
  2296. :-).
  2297.  
  2298. Simon Burrows: Additional virus documentation.
  2299. Svlad Cjelli: Additional virus documentation.              
  2300. Michel Fasen: Additional virus documentation.
  2301. Eivind Hagen: For letting me borrow Impression of him! 
  2302. Bjørn Hotvedt: For keeping up with the never-ending postings to and 
  2303. from Alan (and other people!). 
  2304. Richard K. Lloyd: For documentation on the older viruses. 
  2305. Terje Slettebø: For help with the disassembly of the NetStatus virus.
  2306. Paul Frohock: For help and information long before !Killer saw light 
  2307. of day (and still going strong :-) )!
  2308.  
  2309. The following pieces of software are amongst those I (Alan) use for 
  2310. virus analysis - my thanks to those in the list below who have added 
  2311. changes etc at my request or helped in other ways (you know who you 
  2312. are...).
  2313.  
  2314. !QZap - Kevin Quinn (PD Desktop Disassembler)
  2315. !Dissi - John Tytgat (Registered version - Desktop Disassembler/Source 
  2316. generator)
  2317. !DeskEdit - RISC Developments (!Edit, with many useful additions)
  2318. !Snoop - DT Software (Desktop examination tool)
  2319. !QDBug - Vertical Twist/QDE (Powerful Debugger/Monitor)
  2320. !Detour - Electronic Solutions (Path control utility)
  2321.  
  2322.  
  2323. ###########################################################################
  2324.  
  2325. Contacting the authors
  2326. ---------------------------------------------------------------------------
  2327.  
  2328. POST:
  2329.  
  2330.    Tor Houghton                   Alan Glover
  2331.    17K Park Village               PO Box 459
  2332.    University of Sussex           Cambridge
  2333.    Falmer                         CB1 4QB
  2334.    Brighton                       UK
  2335.    BN1 9RD
  2336.    UK
  2337.  
  2338. EMAIL:
  2339.  
  2340.    Tor O. Houghton:  torh@cogs.susx.ac.uk
  2341.    Alan Glover:      aglover@acorn.co.uk
  2342.  
  2343. BBS:
  2344.  
  2345.    The World of Cryton(+44) (0)749 670030 or (+44) (0)749 679794
  2346.         
  2347.                      Tor O. Houghton: #121 
  2348.                      Alan Glover: #6
  2349.  
  2350.    Arcade (+44) (0)81 654 2212
  2351.  
  2352.                      Alan Glover: #244
  2353.  
  2354.    Excelsior! (M)BBS (+47) (0)2 84 63 79
  2355.  
  2356.                      Tor O. Houghton: Tor Houghton
  2357.  
  2358. (Note: Tor is presently unable to call BBSs, and I do not call very 
  2359. often at the moment - use another means to contact either of us).
  2360.  
  2361. FAX:
  2362.  
  2363.    Alan Glover                    (+44) (0)223 415222
  2364.    Acorn Computers Ltd.           (+44) (0)223 254264
  2365.    Pineapple Software             (+44) (0)81 598 2343
  2366.  
  2367. TELEPHONE:
  2368.  
  2369.    Pineapple Software             (+44) (0)81 599 1476
  2370.    Acorn Computers Ltd.           (+44) (0)223 254254
  2371.  
  2372.  
  2373. ###########################################################################
  2374.  
  2375. Checklist
  2376. ---------------------------------------------------------------------------
  2377. (last change 25/10/92)
  2378.  
  2379. Click on the name of the virus to read more about it.
  2380.  
  2381.                          Media    Memory
  2382. Virus       Utility      D   R    D  R
  2383.  
  2384. Archie      Guardian     Y   N    ?  ?
  2385.             Killer       Y   Y    Y  Y
  2386.             Scanner      Y   N    N  N
  2387.  
  2388. Arcuebus    Killer       Y   Y    Y  Y
  2389.                            
  2390. BBCEconet   Killer       Y   Y    Y  Y
  2391.             Scanner      Y   N    Y  Y
  2392.             Interferon   N   N    Y  N
  2393.  
  2394. Bigfoot     Killer       Y   Y    Y  Y
  2395.             Scanner      Y   N    N  N
  2396.                                                     
  2397. CeBIT       Hunter       Y   Y    Y  Y
  2398.             Interferon   N   N    Y  Y
  2399.             Killer       Y   Y    Y  Y
  2400.             Scanner      Y   N    Y  N
  2401.  
  2402. Code        Killer       Y   Y    Y  Y
  2403.             Scanner      Y   Y    N  N
  2404.  
  2405. Extend      Guardian     Y   ?    Y  ?
  2406.             Hunter       Y   Y    N  N
  2407.             Interferon   N   N    Y  N
  2408.             Killer       Y   Y    Y  Y
  2409.             Scanner      Y   N    Y  N
  2410.  
  2411. Funky       Killer       Y   Y    Y  Y
  2412.  
  2413. Garfield_I  Killer       Y   Y    Y  Y
  2414.             Scanner      Y   Y    Y  Y
  2415.             Interferon   N   N    Y  N
  2416.  
  2417. Garfield_W  Killer       Y   Y    Y  Y
  2418.             Scanner      Y   Y    Y  Y
  2419.             Interferon   N   N    Y  N
  2420.                 
  2421. Handler     Killer       Y   Y    Y  Y
  2422.  
  2423. Icon        Hunter       !   !    N  N
  2424.             IVSearch     !   !    ?  ?
  2425.             Killer       Y   Y    Y  Y
  2426.             Scanner      Y   Y    N  N
  2427.  
  2428. Image       Killer       Y   Y    Y  Y
  2429.             Scanner      Y   N    Y  Y
  2430.  
  2431. Increment   Killer       Y   Y    Y  Y
  2432.             Scanner      Y   N    Y  N
  2433.  
  2434. IRQFix      Killer       Y   Y    Y  Y
  2435.             Scanner      Y   Y    N  N
  2436.  
  2437. Link        Hunter       Y   Y    Y  Y
  2438.             Interferon   N   N    Y  Y
  2439.             Killer       Y   Y    Y  Y
  2440.             Scanner      Y   Y    Y  Y
  2441.  
  2442. Mode87      Killer       Y   Y    Y  Y
  2443.             Scanner      Y   Y    N  N
  2444.             Interferon   N   N    Y  N
  2445.  
  2446. Module      Guardian     Y   Y    ?  ?
  2447.             Hunter       Y   Y    Y  Y
  2448.             Interferon   N   N    Y  N
  2449.             Killer       Y   Y    Y  Y
  2450.             Scanner      Y   Y    N  N
  2451.  
  2452. MyMod       Hunter       Y   Y    Y  Y
  2453.             Interferon   N   N    Y  Y
  2454.             Killer       Y   Y    Y  Y
  2455.             Scanner      Y   Y    Y  Y
  2456.  
  2457. NetManager  Guardian     ?   ?    ?  ?
  2458.             Interferon   N   N    Y  Y
  2459.             Killer       Y   Y    Y  Y
  2460.             Scanner      Y   Y    Y  Y
  2461.  
  2462. NetStatus   Hunter       !   !    Y  Y
  2463.             Interferon   N   N    Y  Y
  2464.             Killer       Y   Y    Y  Y
  2465.             Scanner      Y   Y    Y  Y
  2466.             VirusKill    Y   Y    ?  ?
  2467.  
  2468. Parasite*   Killer       Y   Y    Y  Y
  2469.             Scanner      Y   N    Y  N
  2470.                     
  2471. Runopt      Killer       Y   Y    Y  Y
  2472.  
  2473. Sprite*     Killer       Y   Y    Y  Y
  2474.             Scanner      Y   N    N  N
  2475.  
  2476. SpriteUtils Killer       Y   Y    Y  Y
  2477.             Scanner      Y   Y    N  N
  2478.  
  2479. T2          Killer       Y   Y    Y  Y
  2480.             Scanner      Y   N    N  Y
  2481.  
  2482. Terminator* Killer       Y   Y    Y  Y
  2483.             Scanner      Y   N    N  N
  2484.  
  2485. Thanatos*   Hunter       Y   Y    N  N
  2486.             Killer       Y   Y    Y  Y
  2487.             Scanner      Y   N    N  N
  2488.  
  2489. Traphandler Hunter       Y   Y    Y  Y
  2490.             Interferon   N   N    Y  Y
  2491.             Killer       Y   Y    Y  Y
  2492.             Scanner      Y   Y    Y  Y
  2493.  
  2494. Valid       Killer       Y   Y    na na
  2495.             Scanner      Y   Y    na na
  2496.  
  2497. Vigay       Guardian     Y   Y    ?  ?
  2498.             Killer       Y   Y    Y  Y
  2499.             Scanner      Y   N    N  N
  2500.  
  2501.  
  2502. ? Refers to cases where the documentation fails to explain exactly
  2503. what it does with the virus.
  2504.  
  2505. ! Special cases (e.g. some killers might not detect all variants 
  2506. of a
  2507. virus), refer to the separate virus entries in this document for
  2508. details.
  2509.  
  2510. na Not applicable, typically a virus which does not reside in memory.
  2511.  
  2512.  
  2513. ###########################################################################
  2514.  
  2515. Quick Checks
  2516. ---------------------------------------------------------------------------
  2517. (last change 25/10/92)
  2518.  
  2519. Click on the virus name to read more about it.
  2520.  
  2521. Archie - Attacks absolute (filetype &FF8) files.
  2522.  
  2523. Arcuebus - Installs a false NetStatus module (3.07).
  2524.  
  2525. BBCEconet - Attacks absolute files, encrypting part of them. Loads 
  2526. trojan BBCEconet module.
  2527.  
  2528. Bigfoot - Desktop task called 'bigfoot', file with randomly chosen 
  2529. name in capitals (BASIC file).
  2530.  
  2531. CeBIT - Attacks applications. File "TlodMod" in app. directory. Module 
  2532. "TlodMod" in module list.
  2533.  
  2534. Code - Desktop task called 'Window Manager'. Applications may 'lose' 
  2535. their sprites.
  2536.  
  2537. Extend - Attacks applications. Files "MonitorRM", "CheckMod", "ExtendRM", 
  2538. "OSextend",  ColourRM", "Fastmod", "CodeRM" or  "MemRM"  in app. 
  2539. directory . Module "Extend" in module list.
  2540.  
  2541. Funky - Desktop task called 'Window Dude'.
  2542.  
  2543. Garfield_I - Creates application called !Pic, loads a module called 
  2544. IconManager.
  2545.  
  2546. Garfield_W - Creates application called !Obey, loads a module called 
  2547. WimpAIDS.
  2548.  
  2549. Handler - Creates an application task called 'Task Handler'.
  2550.  
  2551. Icon - Attacks applications. Files "Icon", "Poison" or "NewVirus" 
  2552. in app. directories. Nameless WIMP task in the Task Manager.
  2553.  
  2554. Image - Attacks applications. Files "Image" and "!Spr" in app. directory.
  2555.  
  2556. Increment - Attacks applications. Appends to !Boot - look for 'load 
  2557. <obey$dir>.!boot 8000' towards the end of the !Boot.
  2558.  
  2559. Irqfix - Attacks applications. Files "RiscExtRM", "WimpPoll", "OSSsystem", 
  2560. "MiscUtil", "FastRom", "IRQFix" or "AppRM in app. directory. Module 
  2561. "Irqfix" in module list.
  2562.  
  2563. Link - Attacks absolute (filetype &FF8) files. Module "BSToDel" in 
  2564. module list. Infected files are re-stamped.
  2565.  
  2566. Mode87 - Loads a module called BBCEconet (replacing the real one). 
  2567. Overwrites !Boot files.
  2568.  
  2569. Module - Attacks modules. Infected modules are re-stamped.
  2570.  
  2571. MyMod - Attacks applications. Files "SSLM"  and "SSLF" in app. directories. 
  2572. Module "MyMod" in module list.
  2573.  
  2574. NetManager - Attacks !Boot files. Module "NetManager" in module list.
  2575.  
  2576. NetStatus - Attacks !Boot files. Module "NetStatus" in module list 
  2577. (at offset &018xxxxx). Ensure the program you use understands both 
  2578. strains of this virus! Killer and Scanner do. See also Arcuebus.
  2579.  
  2580. Parasite - Attacks applications. Random of 20 filename choices for 
  2581. the code carrier.
  2582.  
  2583. RunOpt - Starts an APPLICATION task called 'Task Manager'
  2584.  
  2585. Sprite - Attacks applications. Files "Sprite" and "!Str" in app. 
  2586. directories.
  2587.  
  2588. SpriteUtils - Attacks applications. File SprUtils saved in applications. 
  2589. Loads from !run.
  2590.  
  2591. T2 - Attacks !RunImage files of type &FF8. Files grow by about 4K. 
  2592. See entry for details.
  2593.  
  2594. Terminator - An Icon variant which uses varied file/task names. Extra 
  2595. files appear in directories.
  2596.  
  2597. Thanatos - Attacks applications. Files "RISCOSext" and "TaskAlloc" 
  2598. in app. directory. "Thanatos" visible in the Task Manager.
  2599.  
  2600. TrapHandler - Attacks !Boot files. Module "TrapHandler" in module 
  2601. list.
  2602.  
  2603. Valid - Attacks applications. Files "Valid" and "Source" in app. 
  2604. directory.
  2605.  
  2606. Vigay - Attacks applications. File "DataDQM" in app. directories. 
  2607. WIMP task named "TaskManager" in  the Task Manager.
  2608.  
  2609. ###########################################################################
  2610.  
  2611. Calendar
  2612. ---------------------------------------------------------------------------
  2613.  
  2614. A number of viruses have messages which are programmed to be displayed 
  2615. on a given day or dates. Some are specific dates (eg 4th July) others 
  2616. are less specific such as the first monday of the month, or Friday 
  2617. 13th.
  2618.  
  2619. This section is subdivided into months, for the viruses with specific 
  2620. dates and messages which could occur in any suitable month.
  2621.  
  2622. To read more about a particular virus mentioned in this section click 
  2623. on the virus name (which will be underlined).
  2624.  
  2625. January
  2626. February
  2627. March
  2628. April
  2629. May
  2630. June
  2631. July
  2632. August
  2633. September
  2634. October
  2635. November
  2636. December
  2637. Any
  2638.  
  2639.  
  2640. ###########################################################################
  2641.  
  2642. January
  2643. ---------------------------------------------------------------------------
  2644.  
  2645. Date        Virus        Message/Action
  2646.  
  2647. 1st         Parasite     Crashes computer before 01:00
  2648. 1st         T2           New Year's Resolution from T2...
  2649. 1st         Thanatos     Suggested new-year's resolution...
  2650.  
  2651.  
  2652. ###########################################################################
  2653.  
  2654. February
  2655. ---------------------------------------------------------------------------
  2656.  
  2657. Date        Virus        Message/Action
  2658.  
  2659. 14th        T2           St. Valentine's Day Roses are red, Violets 
  2660.                          are blue...
  2661.  
  2662. 29th        Parasite     Set Mouse step rate to -5 (fast & reversed)
  2663.  
  2664.  
  2665. ###########################################################################
  2666.  
  2667. March
  2668. ---------------------------------------------------------------------------
  2669.  
  2670. Date        Virus        Message/Action
  2671.  
  2672. 15th        Bigfoot      This is a HOLD UP! Give me all the PD software...
  2673.  
  2674.  
  2675. ###########################################################################
  2676.  
  2677. April
  2678. ---------------------------------------------------------------------------
  2679.  
  2680. Date        Virus        Message/Action
  2681.  
  2682. 1st         BBCEconet    E.T. phones home!
  2683. 1st         Thanatos     Address Exception at &0863FB3C
  2684.  
  2685.  
  2686. ###########################################################################
  2687.  
  2688. May
  2689. ---------------------------------------------------------------------------
  2690.  
  2691. Date        Virus        Message/Action
  2692.  
  2693. 1st         T2           Mayday from T2...
  2694.  
  2695.  
  2696. ###########################################################################
  2697.  
  2698. June
  2699. ---------------------------------------------------------------------------
  2700.  
  2701. Date        Virus        Message/Action
  2702.  
  2703. 21st        Parasite     Set Mouse step rate to 1 (slow)
  2704.  
  2705. 25th        BBCEconet    Ph'nglui mglw'nafh Chtulhu...
  2706.  
  2707.  
  2708. ###########################################################################
  2709.  
  2710. July
  2711. ---------------------------------------------------------------------------
  2712.  
  2713. Date        Virus        Message/Action
  2714.  
  2715. 4th         T2           Independence Day celebrations from T2...
  2716. 4th         Bigfoot      Hay there its the 4th of July...
  2717.  
  2718.  
  2719. ###########################################################################
  2720.  
  2721. August
  2722. ---------------------------------------------------------------------------
  2723.  
  2724. Date        Virus        Message/Action
  2725.  
  2726. No viruses are known which display messages specifically during this 
  2727. month.
  2728.  
  2729.  
  2730. ###########################################################################
  2731.  
  2732. September
  2733. ---------------------------------------------------------------------------
  2734.  
  2735. Date        Virus        Message/Action
  2736.  
  2737. 6th (1992)  Module       Your computer has been virus infected...
  2738.  
  2739.  
  2740. ###########################################################################
  2741.  
  2742. October
  2743. ---------------------------------------------------------------------------
  2744.  
  2745. Date        Virus        Message/Action
  2746.  
  2747. 31st        T2           Spookiness from T2...
  2748. 31st        Thanatos     Your disk's been formatted without you asking...
  2749.  
  2750.  
  2751. ###########################################################################
  2752.  
  2753. November
  2754. ---------------------------------------------------------------------------
  2755.  
  2756. Date        Virus        Message/Action
  2757.  
  2758. 5th         Bigfoot      Wizz Bang! Its Guyfalks night...
  2759.  
  2760.  
  2761. ###########################################################################
  2762.  
  2763. December
  2764. ---------------------------------------------------------------------------
  2765.  
  2766. Date        Virus        Message/Action
  2767.  
  2768. 21st        Parasite     Set Mouse step rate to 127 (very fast)
  2769. 21st        Parasite     Change MonitorType and Sync settings
  2770.  
  2771. 25th        BBCEconet    Merry Christmas!
  2772. 25th        Bigfoot      Happy Christmas from BigFoot ... The VIRUS
  2773. 25th        T2           Yuletide Jollities from T2...
  2774. 25th        Thanatos     Merry Chrimble! Hope you liked your pressy...
  2775.  
  2776.  
  2777. ###########################################################################
  2778.  
  2779. Any Month
  2780. ---------------------------------------------------------------------------
  2781.  
  2782. Date        Virus        Message/Action
  2783.  
  2784. 13th        Archie       Hehe ArchieVirus strikes again
  2785.  
  2786. Friday 13th Link         Message from LINK: Active since 30-Nov-91
  2787. Friday 13th BBCEconet    It's Friday! Why are you working....
  2788. Friday 13th MyMod        Hi there. It's me, with my latest addition...
  2789. Friday 13th T2           Comiserations from T2...
  2790.  
  2791. Friday >20thTraphandler  Ignorance will be your undoing
  2792.  
  2793. First MondayGarfield_I   The Garfield Virus is here to stay
  2794. First MondayGarfield_I   Don't you just hate Mondays?
  2795. First MondayGarfield_W   The Garfield Virus is here to stay
  2796. First MondayGarfield_W   Don't you just hate Mondays?
  2797.  
  2798. Any ThursdayVigay        Screen wobbles up/down
  2799.  
  2800.  
  2801. ###########################################################################
  2802.  
  2803. Index
  2804. ---------------------------------------------------------------------------
  2805.  
  2806. Introduction             Introduction
  2807. Abstract
  2808. Virus Index              Index to known viruses
  2809. Virus Detection Utilities
  2810. Acknowledgements & Credits
  2811. Contacting the authors
  2812. Checklist
  2813. Quick Checks
  2814. Calendar
  2815.  
  2816. Index of virus names and aliases:
  2817.  
  2818. Archie
  2819. Arcuebus
  2820. BBCEconet
  2821. Bigfoot
  2822. Boot
  2823. CeBIT        
  2824. Code
  2825. DataDQM
  2826. Extend
  2827. Filer
  2828. FF8   
  2829. Funky    
  2830. Garfield_I
  2831. Garfield_W
  2832. Handler
  2833. Icon
  2834. Icon-A
  2835. Illegal
  2836. Image
  2837. Increment
  2838. IRQFix
  2839. Link
  2840. Mode87
  2841. Module
  2842. ModVir
  2843. MyMod
  2844. NetManager
  2845. NetStatus
  2846. Newvirus
  2847. Parasite
  2848. Poison
  2849. RISCOSExt
  2850. Runopt
  2851. Shakes
  2852. Sicarius
  2853. Silicon Herpes
  2854. Sprite
  2855. SpriteUtils
  2856. T2
  2857. Terminator
  2858. Thanatos
  2859. Traphandler
  2860. Valid
  2861. Vigay
  2862.  
  2863.