home *** CD-ROM | disk | FTP | other *** search
/ Amiga Collections: Taifun / Taifun 244 (1993-06-10)(Manewaldt, A.)(DE)(PD).zip / Taifun 244 (1993-06-10)(Manewaldt, A.)(DE)(PD).adf / Schutz / VT.Dokumente / VT.kennt < prev    next >
Text File  |  1993-06-11  |  265KB  |  5,784 lines
  1.  
  2.  
  3.    VT2.53 kennt:
  4.    ==============
  5.                   (oder sollte erkennen)
  6.  
  7.    Stand: 20.05.93
  8.  
  9.    - bitte lesen Sie zuerst VT.LiesMich. Danke !
  10.  
  11.    - Serienersteller sollten vorher Kontakt mit mir aufnehmen !!!
  12.  
  13.  
  14.    Heiner Schneegold
  15.    Am Steinert 8
  16.    8701 Eibelstadt
  17.    W-Deutschland
  18.    Tel. 09303/8369     (nur 19.00 - 20.00 Uhr)
  19.  
  20.  
  21.  nicht sicher erkannte Viren: (die ich nicht habe, alte Viren nur 2)
  22.    - Requester enthält vier umgedrehte Fragezeigen
  23.    - das jeweils eine Testlangwort, wurde teilweise aus dem
  24.      SourceCode mehrerer bekannten VirenschutzProgramme (PD) ent-
  25.      nommen.
  26.    - deshalb bei Anzeige nur Kreset oder weiter
  27.  
  28.     - bekannte Viren (die ich habe):
  29.       ==============================
  30.             (werden vom Prg. erkannt und ohne RESET (nein, drei Virus-Prg.e
  31.             nicht mehr s.u.) im Speicher geloescht)
  32.             Test auf drei Langworte im Speicher !!!
  33.             Kein FastMem heisst, dass das VirusPrg mit FastmemKarte bei
  34.             mir abstuerzt, koennte aber mit $C00000 oder einer anderen
  35.             FastMemKarte laufen ????
  36.  
  37.    - $4EB9-Link ??
  38.       Fileauszug:
  39.        00000000: 000003f3 00000000 0000000d 00000000 ................
  40.        00000010: 0000000c 00000004 00000014 00000630 ...............P
  41.        00000020: 400000cc 00000001 0000007c 0000042a @..............+
  42.        00000030: 00000486 00000014 000026d8 0000007c ..........&.....
  43.        00000040: 000013aa 00000923 000003e9 00000004 .......#........
  44.        00000050: 4eb90000 00004eb9 00000000 70004e75 N.....N.....p.Nu
  45.        00000060: 000003ec 00000001 00000001 00000002 ................
  46.        00000070: 00000001 00000008 00000008 00000000 ................
  47.        00000080: 000003f2 000003e9 00000014 48e7ffff ............H...
  48.       Diese Struktur taucht in letzter Zeit immer haeufiger im Zusam-
  49.       menhang mit gelinkten Viren auf. Bei den Viren handelt es sich
  50.       in der Regel um "alte" Teile, die aber nicht erkannt werden
  51.       koennen, da die Testlangworte an einer anderen Stelle liegen.
  52.       Vermutlich wurde die Struktur von einer Szene-Gruppe entwickelt,
  53.       um ein Intro vor ein Programm linken zu koennen.
  54.       Diese Struktur wird nun abgekupfert (oder es existiert sogar
  55.       ein Programm dafuer ??).
  56.       Also BITTE, BITTE nicht bei jedem $4eb9 sofort loeschen, sondern
  57.       nachdenken und das File erst auf eine andere Disk kopieren.
  58.       Der groesste Teil der gefundenen Programme wird wahrscheinlich
  59.       der Szene zuzuordnen sein, d. h.  das Spiel wird nach dem Loeschen
  60.       NICHT mehr laufen. Bitte helfen SIE mit, die Virus-Programme her-
  61.       auszufiltern und schicken Sie die Programme bitte an mich. Wenn
  62.       es geht mit Tel. Nr. . Ich rufe dann zurueck, sobald ich das
  63.       Teil entschluesselt habe. Ich sichere noch einmal zu, dass sowohl
  64.       Telefonnummern als auch Adressen nach Erledigung der Arbeit in
  65.       den Abfalleimer wandern.
  66.       Struktur:
  67.       Ab $84 beginnt das gelinkte Virus-Teil
  68.       Ab $48 beginnt der Ausloeser-Hunk. Er ist sehr kurz (4) und
  69.       enthaelt nur 2 Sprungbefehle jsr ($4EB9), moveq 0,d0 (7000) und
  70.       ein rts (4e75). Danach folgt ein Reloc-Hunk fuer die jsr-Befehle.
  71.       Ablauf:
  72.       Der 1. jsr-Befehl installiert das Virus-Teil und kehrt zurueck.
  73.       Der 2. jsr-Befehl fuehrt das Nutzprogramm aus und kehrt nach Be-
  74.       endigung des Programms zurueck. Danach wird d0 geloescht und mit
  75.       rts das ganze File beendet. So einfach ist das.
  76.  
  77.  
  78.    - .info    anderer Name: TimeBomb V0.9   s.u.
  79.  
  80.    - 16 Bit Crew   Cool, im Prg. noch DoIo, FastMem ja, im Speicher
  81.       immer ab $7ec00
  82.       Vermehrung: ueber BB
  83.       im BB steht unverschluesselt:
  84.       The 16 Bit Crew 1988
  85.  
  86.    - 2001     SCA-Clone, Cool immer 7EC3E, nur anderer Text
  87.  
  88.    - A.H.C.-Virus   BB   nur KS1.3  immer ab $7FA00
  89.       Cool $7FAFE, DoIo 7FFB3E
  90.       Sollte auch mit KS1.2 laufen. Leider hat der Superprogrammierer
  91.       beim Nachbau $23FC mit $33FC verwechselt. Ja das Augenlicht !!!
  92.       Ursprung: groessere Teile wurden bei Sherlock_Anti.BB abge-
  93.       kupfert.
  94.       Fordert trackdisk.device NICHT !!!!
  95.       Namensbegruendung: siehe unten
  96.       Schaeden: gibt immer wieder mehrere verschiedene Alert-Meldungen
  97.       aus. siehe unten
  98.       Vermehrung: BB
  99.       Im BB ist zu lesen:
  100.            790005bc 2048656c 6c6f2c20 412e482e y... Hello, A.H.
  101.            432e2073 7065616b 696e6720 68657265 C. speaking here
  102.            21212120 20200050 32d02020 20505245 !!!   .P2.   PRE
  103.            53532052 49474854 20425554 544f4e20 SS RIGHT BUTTON
  104.            20200050 50b42020 466f7220 6120676f   .PP.  For a go
  105.            6f642046 75636b2e 2e2e2041 2e482e43 od Fuck... A.H.C
  106.            2e212020 00202020 20200000 05e62049 .!  .     .... I
  107.            606d2074 68652041 2e482e43 2e2d5649 `m the A.H.C.-VI
  108.            52555320 00505000 20202020 20202020 RUS .PP.
  109.            20202020 20202020 20202020 20204920               I
  110.            636f6e74 726f6c20 796f7572 20636f6d control your com
  111.            70757465 72212121 00505000 00000000 puter!!!.PP.....
  112.            002e1eb0 2045696e 20647265 69666163 .... Ein dreifac
  113.            68657320 4d69746c 65696420 66fc7220 hes Mitleid f.r
  114.            41746172 69535400 50330020 412e482e AtariST.P3. A.H.
  115.            432e2028 68616861 68612920 20202020 C. (hahaha)
  116.            20202020 20202020 20202020 20202000                .
  117.  
  118.  
  119.    - Abraham     siehe Claas Abraham
  120.  
  121.    - ACCESS FORBIDDEN BB    anderer Name: s.u. bei  VCCofTNT-Virus
  122.  
  123.    - ADAM BRIERLEY  BB     Cold immer $7E700   KEIN Virus !!!!
  124.      Namensbegruendung:
  125.          2A202020 20434F44 45204259 20204144 *    CODE BY  AD
  126.          414D2042 52494552 4C455920 2020202A AM BRIERLEY    *
  127.      KEINE Vermehrungsroutine !!! Es handelt sich um einen Bootblock-
  128.      lader, was man bei RICHTIGER Reassemblierung leicht feststellen
  129.      kann. Es koennte sich sogar um einen BB handeln, aus dem eine
  130.      Schutzroutine entfernt wurde  (sehr viele NOPs an einer Stelle).
  131.      Warum die Beschreibung doch hier steht und nicht in "VT andere BB"?
  132.      Damit die Erbsenzaehler nicht 2 Texte lesen muessen !!
  133.      VT kennt: 15.10.92
  134.  
  135.    - AFFE-Virus   s.u. SADDAM-Clone
  136.  
  137.    - aibon-Virus     siehe bei Express2.20-Virus
  138.  
  139.    - aibon 2-Virus   siehe bei Express2.20-Virus
  140.  
  141.    - Aids      Vkill-Clone siehe dort
  142.          Unterschied: 3 Bytes
  143.             1.Byte: in der Pruefsumme
  144.             2.Byte: Vermehrungszaehler
  145.             3.Byte: Einsprung in entschluesselten Text
  146.         (ein Prg. springt z.B. nach $7ebc3, das 2. Prg. nach $7eba9)
  147.  
  148.    - AIDS-HIV  SCA-Clone, Cool immer 7EC3E, nur anderer Text
  149.  
  150.    - AlienNewBeat    Cold, Cool, DoIo, nur KS1.2, Fastmem ja
  151.          im Speicher immer ab $20000
  152.          Vermehrung: ueber BB          Vermehrungszaehler: $2037e
  153.          Text im BB sichtbar: z.B.
  154.          THIS IS THE ALIEN NEW BEAT BOOT!
  155.  
  156.    - Amiga Freak    Forpib-Clone  s.u.
  157.          nur Name im BB geaendert
  158.  
  159.    - AMIGAKNIGHTVIRUS    Filevirus  Laenge: 6048 (ungepackt)
  160.          DoIo, KickTag, KickCheckSum
  161.          Schreibt in Root das File init_cli und auch in startup-sequence
  162.          Sonst keine Schaeden festgestellt.
  163.          Nach 5 Resets wird der Bildschirm schwarz und rosa Schrift fuer
  164.          Text. Der Text ist bis dahin codiert.
  165.  
  166.             oberer Bildschirmbereich:
  167.                YEAH, THE INVASION HAS STARTED! YOUR
  168.                TIME HAS RUN OUT, AND SOON WE WILL BE
  169.                            EVERYWHERE!
  170.  
  171.             Bildschirmmitte:   Vektordemo
  172.  
  173.             unterer Bildschirmbereich:
  174.                THIS IS GENERATION 0039 OF THE EVIL
  175.                         AMIGAKNIGHTSVIRUS
  176.              GREETINGS TO DUFTY, DWARF, ASID CUCUMBER
  177.               ASTERIX, ANDY, AND ALL AMIGIANS I KNOW
  178.  
  179.          Vectordemo: 3 TextTeile erscheinen mit Zoomeffekt nacheinander
  180.                      a)    Toco of
  181.                      b)      THE
  182.                      c)  AMIGAKNIGHTS
  183.  
  184.    - AmiPatch-Virus V1.0a    File   Laenge:8288 Bytes
  185.          Wahrscheinlich ein Einbruchswerkzeug, also ungefaehrlich fuer
  186.          den Normal-User ohne Mailbox.
  187.          Oeffnet user.data und legt ein neues File an (doswrite):
  188.           bbs:011011
  189.          Ich haette das Programm nicht aufgenommen, wenn es nicht auch
  190.          OHNE Hauptprogramm in der Shell behaupten wuerde, zu opti-
  191.          mieren (Prozentzahlen).
  192.  
  193.    - Angel-Virus  BB  Cool, PutMsg, Wait
  194.          Fordert trackdisk.device NICHT
  195.          Nach RESET GURU, da Cool absoluten Sprung enthaelt:
  196.                    4EF9 000110CC  JMP $110CC    (Anfaenger !!)
  197.          Namensbegruendung: s.u.
  198.          Vermehrung: ueber BB  (auch wenn die Cool-Routine falsch ist)
  199.              Jeder BB sieht anders aus, da codiert mit Wert aus $DFF007 .
  200.          Schaeden: Abhaengig von einer Zaehlzelle wird ueber Seek ein
  201.              KopfStep ausgefuehrt. Die Textausgabe (s.u.) ist mir nicht
  202.              gelungen.
  203.              Text im Speicher decodiert mit:  eor.b d2,(a1)+
  204.                                 54686520 54726176         The Trav
  205.               656c206f 66207468 6520416e 67656c2d el of the Angel-
  206.               56697275 73204765 6e657261 74696f6e Virus Generation
  207.               204e722e 30303030 30202048 69204275  Nr.00000  Hi Bu
  208.               746f6e69 63202620 47616e64 616c6600 tonic & Gandalf.
  209.               4c617566 7765726b 20444630 3a206973 Laufwerk DF0: is
  210.               74206c65 69646572 20626573 6368e464 t leider besch.d
  211.               6967742e 2e2e0000                   igt...
  212.          VT-kennt: 02.12.92
  213.  
  214.    - Animal-Virus  SADDAM-Clone  Wird von VT als SADDAM-Clone erkannt.
  215.          Blocklangwort: $363636a0
  216.          Namensbegruendung: im Speicher ist decodiert zu lesen
  217.               74726163 6B646973 6B2E6465 76696365 trackdisk.device
  218.               00010820 416E696D 616C2056 69727573 ... Animal Virus
  219.          Behandlung: siehe bei SADDAM     28.03.93
  220.  
  221.    - ANTI-KANACKEN-Virus     BB  SCA-Clone   (s.u.)
  222.          Namensbegruendung:
  223.               6f732e6c 69627261 72790000 44617320 os.library..Das
  224.               414e5449 2d4b414e 41434b45 4e205669 ANTI-KANACKEN Vi
  225.               72757320 28536965 67204865 696c292d rus (Sieg Heil)-
  226.          Hallo ihr jungen Leute im wiedervereinigten Deutschland. Wollt
  227.          ihr, dass die Welt Grund hat, mit dem Finger auf uns zu zeigen.
  228.          So schafft ihr es bestimmt, ALLES was eure Eltern in 47 Jahren
  229.          aufgebaut haben, in kurzer Zeit kaputt zu machen. Denkt BITTE
  230.          nach !!!
  231.          VT-kennt: 17.10.92
  232.  
  233.    - Antichrist-Virus   Link     dosbase+$2e  KS2.04: nein
  234.          Grundgeruest war ein Trav. Jack  (siehe unten)
  235.          Namensbegruendung: im Speicher ist zu lesen:
  236.            20202020 20202020 20202020 20202020
  237.            20202020 20202020 20546865 20416e74          The Ant
  238.            69636872 69737420 332f342f 39322020 ichrist 3/4/92
  239.            20202020 20202020 20202020 20202020
  240.          Unterschiede zu Trav, Jack:
  241.            - legt ab und zu ein File an mit der Laenge: #26 Bytes
  242.              Name Antichrist.X  (das X wechselt, siehe Beispiel).
  243.              Inhalt des Textfiles siehe Beispiel
  244.             Antichrist.Y
  245.             0c0a0d54 68652041 6e746963 68726973 ...The Antichris
  246.             74206973 20626163 6b0a0000 00000000 t is back.......
  247.            - Codierung des VirusPrg.s fehlt.
  248.            - Hunklaenge wechselnd $24f oder $250
  249.          VT erkennt und loescht im Speicher: 13.03.93
  250.          VT erkennt und baut aus im File   : 14.03.93
  251.          VT erkennt und loescht neues File : 14.03.93
  252.  
  253.    - Art Byte Bandit     anderer Name: ByteBanditPlus    s.u.
  254.  
  255.    - ASV-Virus  immer $7DC00, Cool, im Prg Forbid, loescht KickTag usw.
  256.          keine Vermehrungsroutine
  257.          Schaden: verbiegt mit setfunction Forbid auf ChipAllocMem-Routine
  258.                   d.h. bei jedem Forbid-Aufruf geht ChipMem verloren.
  259.  
  260.    - ASYLANT-Virus    SCA-Clone  nur Test geaendert
  261.                                    2048616c              Hal
  262.         6c6f2069 63682062 696e2065 696e2020 lo ich bin ein
  263.         4153594c 414e5420 21212121 21212121 ASYLANT !!!!!!!!
  264.  
  265.  
  266.    - Australian Parasite   Fastmem ja, Cool, DoIo, im Prg. BeginIo
  267.          Vermehrung: ueber BB
  268.          ueber GraphikRoutine wird BildschirmInhalt gedreht
  269.          im BB sichtbar:
  270.          The Australien Parasite!
  271.           By Gremlin 18/5/88!
  272.           Will NOT destroy game bootsectors or corrupt disks,
  273.           and kill other viruses!
  274.       HINWEIS: manchmal gibt VirusX Australian Parasite aus, obwohl
  275.       es sich um den SADDAM Disk-Validator handelt !!!!
  276.  
  277.    - AutoBootingBootProtector V2.0    anderer Name: VCCofTNT-Virus  s.u.
  278.  
  279.    - BAHAN     anderer Name BUTONIC_1.1  siehe dort
  280.  
  281.    - BB-Prot   BB Virus   anderer Name: T.ET.E  s.u.
  282.  
  283.    - BEETHOVEN  22.11.92   File  Laenge:2608  immer ab $7EF00
  284.       Bret Hawnes Clone  KS2.04: ja
  285.       Kicktag, SumKickData, KickCheckSum, OpenNewLib, $6C
  286.       Namensbegruendung : siehe bei DisplayAlert (Unterschied zu B.H.)
  287.       Abhaengig von der Zeit meldet sich das VirusTeil mit DisplayAlert.
  288.       Die Routine und der Text wird decodiert mit:
  289.                        not.b (a1)
  290.                        eor.b #$27,(a1)+
  291.       Da hierbei die intuition.base hardcodiert im RangerRam ($c...)
  292.       abgelegt wird, wird nicht jeder in den "Genuss" des Textes kom-
  293.       men. (Ich denke ein Anfaenger war am Werk)
  294.  
  295.            62726172 79000000 00000096 14484559 brary........HEY
  296.            20212049 43482042 494e205a 5552dc43  ! ICH BIN ZUR.C
  297.            4b202121 21212121 21212100 01007d2d K !!!!!!!!!....-
  298.            2d3d3e20 4c554457 49472056 414e2042 -=> LUDWIG VAN B
  299.            45455448 4f56454e 203c3d2d 000100aa EETHOVEN <=-....
  300.            46494348 204d4143 4845204d 49434820 FICH MACHE MICH
  301.            4a45545a 54204155 46204445 4d200001 JETZT AUF DEM ..
  302.            00d75541 4d494741 20425245 49542021 ..UAMIGA BREIT !
  303.            21212120 00010096 69444153 20484945 !!! ....iDAS HIE
  304.            52204953 5420dc42 52494745 53204d45 R IST .BRIGES ME
  305.            494e204e 45554552 20564952 55530001 IN NEUER VIRUS..
  306.            00967d48 45204845 20484520 48452048 ...HE HE HE HE H
  307.            45204845 2048452e 2e2e2e20 20000100 E HE HE....  ...
  308.            96875649 454c2053 5041df20 4e4f4348 ..VIEL SPA. NOCH
  309.            2e2e2e20 00010096 91502e53 2e204d45 ... .....P.S. ME
  310.            494e4520 4d555349 4b205741 52205343 INE MUSIK WAR SC
  311.            484549df 45200001 00bea02d 20414245 HEI.E .....- ABE
  312.            52204d45 494e4520 56495245 4e205349 R MEINE VIREN SI
  313.            4e442047 45494c20 21210001 00e1b453 ND GEIL !!.....S
  314.            55434b20 4d592044 49434b20 0001005a UCK MY DICK ...Z
  315.            c3424954 54452043 4f4d5055 54455220 .BITTE COMPUTER
  316.            41555353 4348414c 54454e2e 2e2e2000 AUSSCHALTEN... .
  317.  
  318.       startup-sequence verseucht:
  319.         c0a0e0a0 c00a636c 730a0a00 00000000 ......cls.......
  320.         ^^^^^^^^^^^^^
  321.       Das Virusteil schreibt sich also in die erste Zeile der
  322.       s.-seq. . Diese Aenderung muessen Sie von Hand mit einem
  323.       Editor rueckgaengig machen. Das Programm selbst schreibt
  324.       sich in die Root einer Disk mit $C0A0E0A0C0 (ist sichtbar)
  325.       Nach 10 Vermehrungen wird bei B.H. eine Format-Routine an-
  326.       gesprungen. Diese Routine fehlt bei BEETHOVEN. Stattdessen
  327.       wird die DisplayAlert-Routine angesprungen.
  328.  
  329.    - BESTIAL-Virus  Link  dos.open
  330.        Gefunden an das Prg. border (Torsten Juergeleit) gelinkt.
  331.        Laenge dann: 7876 Bytes
  332.        Namensbegruendung: im Speicher und im File ist zu lesen
  333.            02e86018 3e204245 53544941 4c204445 ..`.> BESTIAL DE
  334.            56415354 4154494f 4e203c20 243c0000 VASTATION < $<..
  335.        Anmerkungen:
  336.           - Es duerfte sich um eine Anfaenger-Programmierung
  337.             handeln.
  338.           - Grundlage duerfte das XENO-Virus sein.
  339.           - Die Decodier-Routine im XENO wurde "uebersehen".
  340.           - Dafuer kommen jetzt 2 absolute JMP nach $Cxyz vor.
  341.             Wer da keinen Speicher hat, sieht bei der naechsten
  342.             Verwendung von dos-Open den GURU B.
  343.           - Mit etwas Glueck und Absicht gelingt der Link-Vorgang.
  344.           - Von 20 !!!!! gelinkten Files war KEIN File lauffaehig,
  345.             das mehr als 5 Hunks hatte. GURU 3, 4 usw.
  346.           - Die richtige Hunk-Behandlung bereitet Probleme. Mal
  347.             werden $10 Bytes doppelt geschrieben, bei Hunkanzahl
  348.             kleiner 3 oder es wird $3E9 verschluckt usw. Und dafuer
  349.             hab ich 4 Stunden geopfert.
  350.           - Meine Empfehlung: Leute spielt lieber mit dem Joystick !!!
  351.        Speichererkennung mit VT : getestet 04.03.93
  352.        Fileausbau mit VT        : getestet 08.03.93 (VT kann teilweise
  353.             auch Files reparieren, die im gelinktem Zustand nicht mehr
  354.             lauffaehig sind.)
  355.  
  356.    - BGS9 I (schiebt Orig.Prg. in devs)   Bytes 2608
  357.          laueft mit KS2.04 !!!!!
  358.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  359.          der BGS9 I bei fehlendem devs-Verz. das OrigPrg unsichtbar
  360.          in das Hauptverzeichnis.
  361.          KickMem, KickTag, KickCheckSum, OpenWindow
  362.          PrgTeile verschluesselt mit eori.l #$1AF45869,(a0)+
  363.          unsichtbares File in devs: A0A0A0202020A0202020A0
  364.          am Ende des Prg.Files ist mit einem Monitor zu sehen: TTV1
  365.          beim 4.Reset Textausgabe ueber GraphikRoutine:
  366.          schwarzer Hintergrund, weisse Schrift
  367.             A COMPUTER VIRUS IS A DISEASE
  368.              TERRORISM IS A TRANSGRESSION
  369.              SOFTWARE PIRACY IS A CRIME
  370.  
  371.                   THIS IS THE CURE
  372.  
  373.          BGS9 BUNDESGRENZSCHUTZ SEKTION 9
  374.               SONDERKOMMANDO "EDV"
  375.  
  376.             Entfernung: File in devs in OriginalPrg. umbenennen
  377.                         BGSVirusFile loeschen
  378.                         OrigPrg aus devs in entsprechendes Verzeichnis
  379.                         kopieren
  380.          Hinweis: es wird ein unsichtbares File (Name s.o.) weiterge-
  381.             geben mit der Laenge #64 und dem Inhalt "Protection file!".
  382.             Dieses File soll einen BGS9-Befall der Disk verhindern.
  383.          Clone: 04.03.92
  384.             TTV1 durch FUCK ersetzt
  385.  
  386.    - BGS9 II  aehnlich BGS9 I
  387.          aber File in devs jetzt:
  388.             A0E0A0202020A0202020A0
  389.          Hinweis: $E0 ist ein a mit Akzent
  390.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  391.          der BGS9 II bei fehlendem devs-Verz. das OrigPrg in das
  392.          Hauptverzeichnis.
  393.          Aenderung im Text:    :SOFTWARE'
  394.          Die Veraenderungen liegen im codierten PrgBereich
  395.          Im PrgFile TTV1 sichtbar
  396.  
  397.    - BGS9 III     s.o.
  398.          Neu: unsichtbarer Filename:
  399.             devs:A0,0
  400.             Entfernung: File in devs in OriginalPrg. umbenennen
  401.                         BGSVirusFile loeschen
  402.                         OrigPrg aus devs in entsprechendes Verzeichnis
  403.                         kopieren
  404.  
  405.    - BIG BOSS    SCA-Clone nur Text geaendert s.u.
  406.  
  407.    - BLACK KNIGHT Virus   BB  im Speicher immer ab $7F300
  408.          Cool $7F394, DoIo $7F3BC  KS2.04: ja
  409.          Fordert trackdisk.device NICHT
  410.          Namensbegruendung: decodiert ist im BB zu lesen
  411.                BLACK KNIGHT (12/11/91)
  412.          Virus meldet sich nicht.
  413.  
  414.    - BLACKFLASH V2.0     Cool, DoIo, FastMem ja
  415.          im Speicher immer ab $7F000
  416.          Zaehlzelle = $13  Textausgabe mit Graphikroutine (s.u.)
  417.          Schrift rot, Hintergrund schwarz
  418.          Vermehrung: ueber BB
  419.          Text steht unverschluesselt im BB:
  420.          HELLO, I AM AMIGA !
  421.            PLEASE HELP ME !
  422.          I FEEL STICK !
  423.          I HAVE A VIRUS !
  424.          ! BY BLACKFLASH !
  425.  
  426.    - BlackStar       anderer Name: Starfire1/NorthStar1  siehe dort
  427.  
  428.    - Blade Runners   SCA-Clone, immer ab 7EC00, Cool, im Prg. DoIo
  429.          Text: Hello! We are the Blade Runners!     u.s.w.
  430.  
  431.    - BLF-Virus  immer ab $7F000, Cool, DoIo, BeginIo
  432.          loescht KickTag usw.
  433.          Virusprogramm meldet sich NICHT.
  434.          Programmteil decodiert mit    eori.b #$28,(a1)+
  435.             u.a. zu lesen:    This is the new virus by BLF
  436.          Schaden und Vermehrung: BB
  437.  
  438.    - BlowJob   KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7f000
  439.          Taeuscht durch Text Memory Allocator 3.01 vor
  440.          Vermehrung und Schaden: Bootblock
  441.          Sobald die Zaehlzelle den Wert $7530 erreicht hat, wird ein
  442.          Programmteil mit subi.b #$71,D0 entschluesselt und mit display-
  443.          Alert der Text ausgegeben:
  444.             ONCE AGAIN SOMETHING WONDERFULL HAPPENED  (HE HE HE)
  445.            PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF
  446.  
  447.    - BlueBox  Filevirus, keine bekannten Vectoren werden verbogen
  448.          Laenge (gecrunched) 5608, nur Kreset (tut mit leid)
  449.          gedacht fuer Modembesitzer und Mailboxbetreiber, aber KEINE
  450.          Voraussetzung fuer Vermehrung (enthaelt Source fuer seriellen
  451.          Port $DFF030, $DFF018 ???!!!??? behindert Verbindung?!?!)
  452.          Das gecrunchte Prg. (Bluebox) besteht aus 3 Teilen:
  453.          - ein Taeuschprogramm: ermoeglicht Tonfolge mit Zehnertastatur
  454.          - eine komplette icon.library
  455.             - Laenge:6680
  456.             - zusaetzlicher Text: input.device , RAM:
  457.             - andere Jahreszahl
  458.          - ein Kopierteil fuer falsche icon.library
  459.             - testet ob icon.library schon existiert, falls nein
  460.               KEINE Aenderung
  461.             - testet ob Disk validated
  462.             - setzt Protection-Bits zurueck
  463.             - kopiert falsche icon.library
  464.             - arbeitet auch mit HD !!!!!!
  465.          Nach einem Reset wird ueber icon.library ein Process
  466.          'input.device ' (mit Leerzeichen) gestartet. VT findet
  467.          diesen Process, kann ihn aber nicht beenden (KReset).
  468.          Erstellt auf RAM: ein unsichtbares ($A0) File (nicht immer).
  469.          Ausbauhinweise:
  470.          VT erkennt den VirusTraeger Bluebox nur als crunched !!
  471.          Ignorieren Sie das Kreset-Angebot und loeschen Sie zuerst
  472.          die falsche icon.library. Kopieren Sie dann die Original-
  473.          icon.library auf die Disk oder HD (sonst nach Reset keine
  474.          WB!!!). Zum Schluss starten Sie bitte das Kreset-Prg.
  475.          Meine Maschine verhielt sich danach wieder normal. Dies
  476.          kann bei Modemprg. oder MailboxPrg. anders sein ??? Probleme
  477.          bitte melden. Danke
  478.          Herkunft: Bluebox.lzh  23033 Bytes
  479.                   -Bluebox            5608    (noch einmal gecrunched)
  480.                   -Bluebox.info       325
  481.                   -Bluebox.DOC        37271
  482.                   -Bluebox.DOC.info   354
  483.  
  484.    - BOMB-Bootblock   es wird dieser Bootblock als Virus weiterge-
  485.          geben. Die Pruefsumme ist als BOMB lesbar. Es wird nachge-
  486.          laden von einem hohen Track (habe nur BB). in diesem Track
  487.          koennten natuerlich VirenRoutinen stehen, aber es kann
  488.          genausogut ein BB-Lader sein. Bitte schicken Sie mir eine
  489.          funktionsfaehige Disk mit diesem hohen Track. Danke
  490.  
  491.    - boot-aids Virus  BB
  492.          KS2.04: nein
  493.          Namensbegruendung: im BB ist uncodiert zu lesen:
  494.                boot-aids by hiv
  495.          verbogene Vektoren: BeginIo, KickTag, KickCheckSum, SumKick-
  496.            Data
  497.          Der Speicherbereich fuer das Virusteil wird mit $DFF007 be-
  498.          stimmt.
  499.          Schaeden: In Abhaengigkeit von $DFF006 soll ein Block mit
  500.          HIV gefuellt werden.
  501.          Vermehrung: BB
  502.          Ihnen kommt das bekannt vor ? Erinnert irgendwie an Lamer !
  503.          Selbst die Endekennung $abcd ist vorhanden.
  504.  
  505.    - BOOTJOB  File  FF 760    Laenge:1356
  506.          Namensbegruendung: s.u.
  507.                                       23c0003c ,y......N...#..<
  508.                                           ^^^^
  509.            e3b4                           237c ..C...N...C...#.
  510.            ^^^^
  511.            003ce3a4
  512.            ^^^^^^^^
  513.            45442057 49544820 424f4f54 4a4f4220 ED WITH BOOTJOB
  514.            56312e30 30205752 49545445 4e204259 V1.00 WRITTEN BY
  515.  
  516.          Ein Utility-Prg. zum Abspeichern eines BBs als aus-
  517.          fuehrbares File. Bei Filetest und BlockKette wird
  518.          BootJob erkannt. Wenn Sie wissen wollen, um welchen BB
  519.          es sich handelt, gehen Sie bitte in den File-Req.,
  520.          klicken das File an und klicken dann auf Filetest.
  521.          Es werden 2 absolute Adressen verwendet (^^^). Was
  522.          macht der User, der dort keinen Speicher hat ?
  523.          Empfehlung: Loeschen
  524.  
  525.    - BOOTJOB V1.3 File  FF 814    Laenge:1356
  526.          Fehler mit absoluten Adressen behoben.
  527.  
  528.  
  529.    - BOOTX-Virus  BB   KickTag, KickCheckSum  auch KS2.04
  530.          anderer Name: PERVERSE I
  531.          Taeuschungsversuch durch lesbaren Text in BB:
  532.             BOOTX-Viruskiller by P.Stuer
  533.          verraet sich bei mir bei gesetztem Schreibschutz durch
  534.          Systemrequest  read/write error
  535.          Vermehrung: BB
  536.          Schaeden:
  537.          faengt ueber input.device Tastatureingaben ab und gibt Text
  538.          aus. Der Text steht als RAW-Code im BB (amerik.Tastatur !!)
  539.  
  540.          SOFTWARE_PIRATES RUINED MY EXCELLENT PROFESSIONAL DTP_PROGRAM
  541.          I REVENGE MYSELF ON THESE IDIOTS BY PROGRAMMING VIRUSES
  542.          THIS IS PERVERSE I  BECAUSE I LIKE ASSHOLE_FUCKING
  543.          I PROGRAM VIRUSES FOR MS_DOS TOO
  544.  
  545.          Eine Weiterarbeit ist NICHT moeglich. Das Virusprogramm
  546.          muss geloescht werden.
  547.  
  548.    - BRET HAWNES    Filevirus  Laenge: 2608 , immer ab $7F000
  549.           Kicktag, SumKickData, KickCheckSum, OpenNewLib, $6c
  550.           Vermehrung und Schaden:
  551.           schreibt in Root und in 1.Zeile startup: C0A0E0A0C0
  552.  
  553.           nach 20 Minuten blauer Graphikbildschirm und weisse Schrift:
  554.  
  555.             GUESS WHO`S BACK ??? VEP. BRET HAWNES BLOPS YOUR SCREEN
  556.                  I`VE TAKEN THE CONTROLL OVER YOUR AMIGA!!!
  557.              THERE`S ONLY ONE CURE: POWER OFF AND REBOOT ! ! ! ! !
  558.  
  559.           Statt der 10. Vermehrung werden Tracks zerstoert.
  560.  
  561.  
  562.    - BS1! (noch ein SCA )
  563.  
  564.    - BUTONIC 1.1     anderer Name BAHAN (im BB immer lesbar)
  565.          Cool, im Prg. DoIo, immer ab $7ec00, FastMem ja
  566.          Vermehrung: ueber BB wenn DOS0 gefunden
  567.          Textausgabe mit PrintIText (entschluesselt mit eori.b #-1,d1
  568.          nach $7eb0c)
  569.          im Speicher dann sichtbar:
  570.      BUTONIC'S VIRUS 1.1 GREETINGS TO HACKMACK ... <GENERATION NR. #####>
  571.  
  572.    - Byte Bandit       ohne FastMem
  573.          Begin, KickTag, KickCheckSum, Vec5
  574.  
  575.    - Byte Bandit 2    anderer Name: No Name 1  s.u.
  576.  
  577.    - Byte Bandit Clone     ohne Fastmem
  578.       Diff zu OrigByteBandit: 180 Bytes
  579.      (  Byte B.. Text wurde aus BB entfernt !!)
  580.  
  581.    - ByteBanditError
  582.       das OriginalByteBanditVirusPrg. beginnt im BB bei $0C, hier bei $32
  583.       Da die alte BB-Copy Routine verwendet wird, ist das 1.LW im neuen
  584.       Copy-BB nicht DOS0, d.h. die neu verseuchte Disk ist "Not a DOS-Disk"
  585.       also weder boot- noch vermehrungsfaehig
  586.  
  587.    - ByteBanditPlus  Kick1.2 ohne FastMem
  588.                   Begin, KickTag, KickCheckSum, Vec5
  589.       Diff zu OBB: 92 Bytes
  590.       (zusaetzlich trackdisk.... entfernt)
  591.  
  592.    - ByteParasite       reines Zerstoerungsprogramm  Laenge: 2108
  593.       soll auch $6c verbiegen, aber vorher GURU
  594.       Schaeden:
  595.       soll zwischen cd, dir und startup-sequence je 1 Byte austauschen, aber
  596.       sehr sehr schlecht programmiert (Anfaenger spielt besser mit dem
  597.       Joystick). Deshalb meist GURU.
  598.       Keine Vermehrung, keine Textausgabe
  599.  
  600.    - BYTEPARASITE II  File, Laenge ungepackt: 908 Bytes
  601.       Auch mit KS2.04, keine Vektoren verbogen
  602.       Taeuscht durch das Zeigen einer Fensterleiste:
  603.          VirusX: Checking Device Df0:
  604.       Versucht dann von df0:c VirusX nach df1:c zu kopieren und
  605.       verraet sich so wenn in df1: keine Disk liegt durch einen
  606.       Requester.
  607.       Gefahr der Vermehrung besteht nur wenn BYTEPARASITE II als
  608.       VirusX getarnt in df0:c vorhanden ist.
  609.       Aus dem Text im File kann geschlossen werden, dass damit
  610.       ein Antivirusprogrammierer geaergert werden soll:
  611.          But now send me to : (Adresse)
  612.  
  613.    - BYTEPARASITE III   File, Laenge ungepackt: 2160 Bytes
  614.       Cool, KickMem, KickCheckSum  (teilweise sinnlose Werte ausser-
  615.          halb des vorhandenen Speichers)
  616.       $6c  (sinnvoller Wert)
  617.          Das Programm MUSS !!!! im Speicher geloescht werden, sonst
  618.          erscheint nach einigen Arbeiten mit dem Computer sicher
  619.                Task held usw. . Dies ist nicht Absicht, sondern die
  620.          sinnlosen Werte sind verantwortlich.
  621.       Taeuscht durch das Zeigen einer Fensterleiste:
  622.          Virus-Checker V3.0 by   usw
  623.       Sucht c/Virus-Checker und schreibt Prg-Teile (falls gefunden)
  624.       absolut nach $7C000. Versucht in einem anderen LW mit SubDir c
  625.       Virus-Checker anzulegen (bei mir IMMER dann Filelaenge 0).
  626.       Verraet sich durch DOS-Requester.
  627.       Hinweis: Hallo Enforcer-Freunde. VT erzeugt hier beim Test
  628.          einen weiteren Enforcer-Hit. ($6c=ZeroPage)    
  629.       Nachtrag1: 14.01.92 Erkennungsroutine geaendert.
  630.       Nachtrag2: Stand 14.02.92
  631.          Leider haben mich einige Briefe erreicht, die darauf hin-
  632.          weisen, dass Hardwareschaeden (sinnlose Werte s.o.) durch BP3
  633.          verursacht werden. Stellvertretend ein Auszug:
  634.      ".... musste ich feststellen, dass der Steppermotor sich am Spindel-
  635.       ende zur Laufwerksmitte festgedreht hatte....
  636.       ... drehte die Spindel mit der Spitzzange zurueck...
  637.       ... das Laufwerk/Schreib-Lesekopf muss neu justiert werden."
  638.      Es ist also im Amiga-Bereich jetzt auch der Punkt erreicht, dass
  639.      Viren Hardwareschaeden verursachen koennen. NIE !!!!! eine unbe-
  640.      kannte Disk starten. Nehmen Sie sich die Zeit und testen Sie die
  641.      Disk mit einem AntiVirusProgramm ihrer Wahl durch !!!
  642.  
  643.    - BYTE VOYAGER I    Kicktag, KickCheckSum, im Prg. DoIo und $6c
  644.          immer ab $7F000, verschluesselt mit $DFF006
  645.  
  646.       Vermehrung und Schäden (auch HD !!):
  647.       Bootblock und schreibt in Block 880 "Infected by BYTE VOYAGER !!!!!"
  648.       Der Text ist bei Disks der neue Diskname.
  649.  
  650.    - Byte Voyager II    Kicktag, KickCheckSum, im Prg. DoIo und $6c
  651.          immer ab $7F000, verschluesselt mit $DFF006
  652.  
  653.       Vermehrung und Schäden (auch HD !!):
  654.       Bootblock und schreibt in Block 880 "Another Virus by Byte Voyager"
  655.       Der Text ist bei Disks der neue Diskname.
  656.  
  657.    - Byte Warrior (DASA)    (KickV1.2)
  658.          DoIo, KickTag, KickCheckSum
  659.          erster BB-Virus, der verschluesselt wurde
  660.       moegliches Ursprungsprogramm: ByteWarriorCreater
  661.                      gepackt: 6012 Bytes  (TNM)
  662.                    ungepackt: 7360 Bytes
  663.         Erzeugt mit FastMem   NDOS-Disk
  664.         Schreibt ohne FastMem ByteWarrior in Bootblock von DF1:
  665.  
  666.    - Cameleon-Virus  BB    siehe bei Little Sven
  667.  
  668.    - CCCP-Virus    Cool, im Prg. Vec3, DoIo, Openwindow, NewOpenLib !!!!
  669.       erstes VirusPrg. das sich als BB und als Link vermehren kann !!
  670.       im BB sichtbar: CCCP VIRUS
  671.       Link: verlaengert ein File um 1044 Bytes
  672.       befaellt keine Prg.e in l (z.B.libs), d (z.B.devs), f (z.B.fonts)
  673.  
  674.    - CENTURIONS     anderer Name: THE SMILY CANCER   siehe dort
  675.  
  676.    - Challenger   trojanisches Pferd
  677.       Keine Vektoren verbogen.
  678.       Herkunft: FF622  challenger_d.main  Laenge: 126336 Bytes
  679.       Ablauf (vgl. Snoopdos): Sobald Sie das Spiel starten, wird ein
  680.       Original-Setclock-Befehl (4884 Bytes) in SYS:devs/keymaps ange-
  681.       legt und in a umbenannt. In c: wird ein neuer Setclock-Befehl
  682.       angelegt:
  683.          Laenge gepackt mit Imploder: 4884  (explode.lib)
  684.                             entpackt: 7344
  685.       Weiterhin wird in SYS:devs/keymaps noch ein File mit Namen rca
  686.       angelegt:
  687.          Laenge gepackt mit Imploder: 5328  (explode.lib)
  688.                             entpackt: 8388
  689.       Vermehrung: nur nach SYS:
  690.       Der setclock-Befehl sollte in der startup-sequence stehen (ab
  691.       KS2.04 NICHT mehr notwendig !!!). Deshalb rufen Sie bei jedem
  692.       Boot-Vorgang auch diesen Befehl auf. Dies ist am 24. Juli eines
  693.       Jahres gefaehrlich. An diesem Tag wird das File rca auch aufge-
  694.       rufen. Es wird ein Text (schwarzer Hintergrund rote Schrift)
  695.       ausgegeben und der Rechner blockiert.
  696.          
  697.            Guten Tag, hier ist der Guru Ihres
  698.            Amiga-Computers. Laut Arbeitsvertrag
  699.            habe ich das Recht auf einen Medita-
  700.            tionstag pro Jahr. In meinem Fall ist
  701.            das der 24. Juli jeden Jahres. Da wir
  702.            heute dieses Datum schreiben, stehe ich
  703.            Ihnen erst morgen wieder zur Verfügung.
  704.            Bitte haben Sie Verständnis dafür, denn
  705.            auch wir Gurus müssen einmal ausruhen.
  706.  
  707.       Es sind noch weitere Texte in rca vorhanden, aber die wurden
  708.       bei mir nicht ausgegeben. Die Zerstoerung von Files wurde
  709.       von mir nicht festgestellt.
  710.       Empfehlung: entsprechende Files in c und keymaps loeschen und
  711.       setclock von OrigWB-Disk neu nach c: kopieren.
  712.       Arbeit mit VT:  (getestet: 16.04.92)
  713.       challenger_d.main  wird geloescht
  714.       c:setclock  es wird ein rename mit devs/keymaps/a versucht. Falls
  715.       nicht vorhanden, wird setclock allein geloescht. Sie muessen dann
  716.       unter KS1.3 setclock von OrigWB-Disk neu kopieren
  717.       devs/keymaps/rca  wird geloescht
  718.  
  719.    - Chaos      anderer Name: Taipan-Chaos
  720.       Cool, DoIo
  721.       BB codiert mit Wert aus $DFF006
  722.       Schaeden:
  723.       Vermehrung mit BB
  724.       sobald Zaehlzelle 8 erreicht hat:
  725.       alle Blocks einer Disk werden mit unsinnigen Werten gefuellt,
  726.       DisplayAlert: Chaos! by Tai-Pan   usw.
  727.       dann reset
  728.       Herkunft: Virusinstall V2.0
  729.  
  730.    - CHAOS-MASTER V0.5   File   PP-Laenge: 12972, ungepackt:16676
  731.             CHAOS-MASTER V0.5 im ungepackten File lesbar
  732.          Filename wahrscheinlich: dir
  733.          KEINE bekannten Vektoren verbogen, nicht resetfest
  734.       Schaeden und Vermehrung:
  735.          - dir-Befehl wird manchmal nicht ausgefuehrt. Ein kleines
  736.            Fenster erscheint: Error xyz, Return-Gadget
  737.             die Zahl xyz kann auch negativ sein und entspricht NICHT
  738.             dem DOS-Error-Code.
  739.          - Sie geben ein: dir df3:
  740.            Das Inhaltsverzeichnis von df3 wird ausgegeben und das
  741.            Virus-File nach df3:c/dir kopiert. Ein bereits vorhandener
  742.            Dir-Befehl wird ueberschrieben.
  743.          - Sie geben ein: dir prefs
  744.            Das Inhaltsverzeichnis von prefs wird ausgegeben und ein File
  745.            disk.info (Laenge:370 Bytes) nach prefs kopiert. Dieses File
  746.            enthaelt am Anfang die Icon-Struktur. Der groessere Teil der
  747.            Struktur ist durch Text ueberschrieben. Folge: Sie klicken
  748.            die Prefs-Schublade an, disk.info muesste als Icon darge-
  749.            stellt werden, geht aber nicht, da Struktur nicht in Ordnung.
  750.            Also stellt der Computer die Arbeit ein. Reset wird notwendig.
  751.            Text in disk.info: Sorry an alle User  usw.
  752.          - Sie geben ein: c/dir df3:
  753.            Inhaltsverzeichnis wird ausgegeben und das Virus-File nach
  754.            df3:c/r  (!!!! Programmierfehler) geschrieben.
  755.       Empfehlung: dir-Befehl loeschen (VT) und von OrigWB neu kopieren.
  756.  
  757.    - Charlie Braun      anderer Name: Hireling Protector V1.0
  758.       ForpibClone  s.u.    nur Text geaendert
  759.  
  760.    - CHEATER HIJACKER  BB   auch KS2.04    LameBlame-Clone s.u.
  761.          DisplayAlert-Text geaendert:
  762.             -+= CHEATER HIJACKER     usw.
  763.       Wird auch erzeugt von VIRUS TERMINATOR V6.0  s.u.
  764.  
  765.    - Check    Filevirus   PP-crunched   Laenge:18644
  766.       Process: HardDisk.device
  767.       in C-Aztek
  768.       Schaeden: alle 5 Min (delay $3a98) Bild (Totenkopf) und Sound
  769.       fuer kurze Zeit
  770.       KEINE Vermehrungsroutine gefunden
  771.  
  772.    - CHRISTMAS VIOLATOR   Link
  773.       Soll einen zusaetzlichen 1.Hunk erzeugen.
  774.       Verlaengert File um 1060 Bytes
  775.       Verwendet aufs Byte genau die IRQ-Linkroutine
  776.       Braucht ExecBase im Speicher ab $C00000
  777.       Cool immer $7E07a, im Prg. OldOpenLib immer $7FB88
  778.       Nur mit KS1.3, da absoluter ROM-Einsprung.
  779.       Programm liegt zweigeteilt ab $7E000 und $7FB84 im Speicher.
  780.       Der Linkvorgang konnte NICHT erreicht werden, da im Programm
  781.       MEHRERE Fehler vorliegen. Immer GURU 3. VT-Empfehlung: loeschen
  782.       Meine Empfehlung: spielt lieber mit dem Joystick.
  783.       Namensbegruendung:
  784.        Ein Programmteil, das NIE erreicht wird, decodiert mit
  785.            eori.b #$27,(a1)+  ergibt:
  786.                                       203e3e3e              >>>
  787.            20434852 4953544d 41532056 494f4c41  CHRISTMAS VIOLA
  788.            544f5220 62792074 68652044 7265616d TOR by the Dream
  789.            20546561 6d202d20 28484520 4845293c  Team - (HE HE)<
  790.            3c3c2020 48617665 2061206e 69636520 <<  Have a nice
  791.            6461792e 2e2e2000                   day...
  792.       Sollte es sich dabei um jene Gruppe handeln, die in letzter
  793.       Zeit haeufiger negativ auffaellt, so sollte man diesen
  794.       Leuten einmal etwas naeher treten !!!!
  795.  
  796.  
  797.    - Claas Abraham     andere Namen: Abraham, MCA
  798.       Cold, Cool, KickTag, KickCheckSum, $68
  799.       braucht FastRam !!!!! Angefordert mit #$4,d1 und AllocMem
  800.       (Programmierfehler ????)
  801.       im Prg.Ablauf erst BeginIo
  802.       Vermehrung: ueber BB
  803.       Schaden: nach $F-Resets Formatierung
  804.       Eor-Byte wird fuer neuen BB aus $DFF006 erzeugt
  805.       entschluesselt steht im Speicher:
  806.       >>> Claas Abraham Virus !!! <<<
  807.  
  808.    - Clist-Virus    anderer Name: U.K.LamerStyle
  809.       Begin, Kicktag, KickCheckSum
  810.       entschluesselt steht im Speicher:
  811.    expansion ram.trackdisk.device..clist.library.clist 33.80 (8 Oct 1986).
  812.       Vermehrung: ueber BB
  813.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  814.       schluesselungsByte wird mit $DFF006 festgelegt.
  815.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  816.       und !!!! mit allocabs eingetragen.
  817.  
  818.    - COBRA-Virus   BB    Fastmem: Nein   KS2.04: Nein
  819.       BeginIo, KickTag, KickCheckSum, Exec IntVec 5
  820.       Namensbegruendung:
  821.        4E714E71 4E752043 4F425241 20484157 NqNqNu COBRA HAW
  822.        20484157 20484157 200041FA 002C3010  HAW HAW .Au'.,0.
  823.       Schaeden und Vermehrung: BB
  824.       VT kennt: 15.10.92
  825.  
  826.    - CODER     anderer Name: Coders Nightmare
  827.       immer $7f600, DoIo, KickTag, KickCheckSum, $68
  828.       Fordert trackdisk.device NICHT
  829.       im BB steht unverschluesselt:
  830.       Bootblock installed with 'CODER' - The Ultimate Viruskiller!!
  831.       Vermehrung: ueber BB
  832.       im Speicher steht (entschluesselt mit ror.b #2,d1):
  833.             Something WONDERFUL has happened!!
  834.          Your Amiga is alive, and it is infected with the
  835.          'Coders Nightmare Virus'. - The ultimate key-killer,
  836.          masterminded by the megamighty Mr. N of
  837.          The Power Bomb Systems!!
  838.  
  839.    - Coders Nightmare    anderer Name: CODER  s.o.
  840.  
  841.    - Color   Filevirus  Laenge: 2196Bytes
  842.          DoIo immer $70000, Cool
  843.          belegt sinnlos 102400 Bytes ChipMem,
  844.          taeuscht durch ein Graphik-Demo, schwarzer Hintergrund und
  845.          drei Balken (rot, gruen, blau) und installiert gleichzeitig
  846.          ab 70000 das Virusprogramm und ab 7F000 den Virus-BB (TURK).
  847.          Veraendert die startup-s. NICHT.
  848.          Schaeden:
  849.          Bei DoIo-Einsprung wird der Virus-BB geschrieben.
  850.          Bei Cool-Einsprung wird $5000 x TURK in den Speicher geschrieben.
  851.  
  852.    - Commodore-Virus  File  Laenge:1752  reines Zerstoerungsprogramm
  853.          KEINE Vermehrung, also nach Definition kein Virus. Unter
  854.          welchem Namen das Programm weitergegeben wird, ist mir nicht
  855.          bekannt. Als VirusTestPrg ???? siehe unten . NICHT resetfest.
  856.  
  857.          Namensbegruendung:
  858.            20210054 68697320 69732074 6865206E  !.This is the n
  859.            65772043 6F6D6D6F 646F7265 2D566972 ew Commodore-Vir
  860.            75732021 00425920 53544152 4C494748 us !.BY STARLIGH
  861.            5420454E 54455250 52495345 53203139 T ENTERPRISES 19
  862.            39320000                            92
  863.          Verbiegt Cool auf eigenen Programmtext (Schwachsinn),
  864.          also voellig unsinnig. Da ausserdem allocmem nicht
  865.          benutzt wird, wird nach Programmende der Speicher von
  866.          einem beliebigen anderen Programm benutzt, d.h. der
  867.          Cool-Vektor zeigt auf irgendetwas, nur nicht auf den
  868.          gewuenschten Text, weil dieser ja laengst ueberschrieben
  869.          ist. VT erkennt beim Cool-Vektor-Test deshalb nur unbe-
  870.          kanntes Programm. Gehen Sie Weiter und loeschen Sie den
  871.          Vektor in VT/Tools. Danke
  872.          Legt eine Zaehlzelle bei $66666 an, OHNE allocmem.
  873.          Schreibt auch einen anderen Wert ins RangerRAM ($C0).
  874.          Da auch der Text "dos.library" 3x im Programm vorkommt
  875.          und aufgerufen wird, draengt sich der Verdacht auf, dass
  876.          ein Anfaenger 3 Assemblerkursteile zusammengesetzt hat.
  877.          Abhaengig von Zaehlzelle:
  878.          DisplayAllert:   (Zelle=2)
  879.  
  880.            00961420 20204968 7220436F 6D707574 ...   Ihr Comput
  881.            65722069 737420DC 62657268 69747A74 er ist überhitzt
  882.            20212121 0001007D 2D57656E 6E206573  !!!...}-Wenn es
  883.            206E6163 68206465 6D205265 73657420  nach dem Reset
  884.            65696E20 61627374 75727A20 67696274 ein absturz gibt
  885.            000100AA 46202053 4348414C 54454E20 ...S   SCHALTEN
  886.            49484E20 53494520 42495454 45204155 IHN SIE BITTE AU
  887.            53000100 D7552020 20436F6D 6D6F646F S...xU   Commodo
  888.            72652031 39383700                   re 1987.
  889.  
  890.          oder Textausgabe: (Zelle=3)
  891.            0000636F 6E3A3130 2F31302F 3333302F ..con:10/10/330/
  892.            35302F52 45515545 53542000 9B316D9B 50/REQUEST ..1m.
  893.            33336D20 4B45494E 20564952 55532049 33m KEIN VIRUS I
  894.            4E204452 49564520 4446303A 20200A20 N DRIVE DF0:  .
  895.            20202020 20204745 46554E44 454E2021       GEFUNDEN !
  896.            21202020                            !
  897.  
  898.     Schaeden:
  899.        - loescht startup-sequence
  900.            - schreibt leeres Unterverzeichnis
  901.               Name: Commodore war hier !!
  902.         Erkennung im Speicher mit VT: nicht moeglich (siehe oben)
  903.         File-Erkennung mit VT getestet: 26.09.92
  904.         Empfehlung: einfach loeschen und gegebenenfalls in s-sequence
  905.         nachschauen, ob geloeschter Programmname dort auftaucht. Dann
  906.         bitte diese Zeile mit ED loeschen.
  907.  
  908.    - CompuPhagozyte   File  Laenge ungepackt: 1452
  909.          keine Vektoren verbogen
  910.          sichtbar z.B.: The CompuPhagozyte usw.
  911.          Erstellt eine Fensterleiste mit dem Text:
  912.             Virus-Checker V4.0 by ... (Name)
  913.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  914.          Gegensatz zum echten Virus-Checker NICHTS passiert. Wartet
  915.          auf CloseWindow und DiskInserted.
  916.          Schaeden:
  917.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  918.          nicht schreibgeschuetzten Disk mit c/Virus-Checker bei mir das
  919.          Orig-Prg auf 1452 Bytes gekuerzt. (also keine Vermehrung)
  920.          Empfehlung: loeschen und Orig-Virus-Checker neu aufspielen.
  921.  
  922.    - CompuPhagozyte 2  File  Laenge ungepackt: 1148
  923.          keine Vektoren verbogen
  924.          sichtbar z.B.: The CompuPhagozyte usw.
  925.          Erstellt eine Fensterleiste mit dem Text:
  926.             VirusX 5.00 by ... (Name)
  927.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  928.          Gegensatz zum echten VirusX NICHTS passiert. Wartet auf Close-
  929.          Window und DiskInserted.
  930.          Schaeden:
  931.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  932.          nicht schreibgeschuetzten Disk mit c/VirusX bei mir das
  933.          Orig-Prg auf 1148 Bytes gekuerzt. (also keine Vermehrung)
  934.          Empfehlung: loeschen und Orig-VirusX 4.01 neu aufspielen.
  935.  
  936.            6e2e6c69 62726172 79003a63 2f566972 n.library.:c/Vir
  937.            75735800 3a632f56 69727573 58005468 usX.:c/VirusX.Th
  938.            6520436f 6d707550 6861676f 7a797465 e CompuPhagozyte
  939.            20686173 20617474 61636865 6420746f  has attached to
  940.            20796f75 72207379 7374656d 20210a57  your system !.W
  941.            61697420 666f7220 206e6577 20766972 ait for  new vir
  942.            75732069 6e206f74 68657220 636f6d70 us in other comp
  943.            75746572 2d737973 74656d73 20210a20 uter-systems !.
  944.            54686520 436f6d70 75506861 676f7a79 The CompuPhagozy
  945.            74652069 6e20392e 39312062 79205468 te in 9.91 by Th
  946.            6520456d 7065726f 72204f66 20547269 e Emperor Of Tri
  947.            6c6c696f 6e202042 79746573 20210000 llion  Bytes !..
  948.            56697275 73582035 2e303020 62792053 VirusX 5.00 by S
  949.            74657665 20546962 62657474 00000000 teve Tibbett....
  950.  
  951.  
  952.    - CompuPhagozyte 3  File  bekannte Filelaengen: 568 Bytes
  953.                                                    592 Bytes
  954.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  955.         da ein entsprechender Code im Prg nicht vorkommt.
  956.  
  957.        Cool immer $7C000
  958.        Wahrscheinlich als cls-Befehl getarnt, da mit mehreren " ",0a
  959.        das Shell-Fenster geloescht wird.
  960.          fuer mich KEIN Virus, Routine veraltet, KEINE Vermehrung
  961.          im Prg zu lesen:
  962.            200A5468 6520434F 4D505550 6861676F  .The COMPUPhago
  963.            7A797465 20696E20 392E3931 20212121 zyte in 9.91 !!!
  964.            0A546865 20456D70 65726F72 204F6620 .The Emperor Of
  965.            5472696C 6C696F6E 20427974 65732073 Trillion Bytes s
  966.            7472696B 65732062 61636B20 21210A1F trikes back !!..
  967.          Legt ab $7C000 ein kleines Prg ab, das durch cool resetfest sein
  968.          soll (geht z.B nicht mit 1Mb). Dieses Prg loescht Cold, Warm,
  969.          KickMem, KickTag, KickCheckSum.
  970.          KS2.04 : GURU A nach Reset
  971.          Empfehlung: File loeschen
  972.          Erkennung im Speicher mit VT:  ja
  973.          Fileerkennung mit VT  :   08.10.92
  974.  
  975.    - CompuPhagozyte 4  File  bekannte Filelaengen : 916 Bytes
  976.                                                   : 952 Bytes
  977.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  978.         da ein entsprechender Code im Prg nicht vorkommt.
  979.  
  980.          Cool immer $7C600 , OldOpenLib immer $7E000
  981.          Reserviert mit AllocAbs 3 Speicherbereiche:
  982.          $7C000   ganzes VirusPrg
  983.          $7C600   CoolRoutine fuer RESET
  984.          $7E000   OldOpenLibRoutine fuer Vermehrung
  985.  
  986.          df0:A0A0A0A0   (unsichtbar in Root)
  987.          df0:s/startup-sequence  A0A0A0A0
  988.  
  989.          COMPUPhagozyte !!!  am Fileende zu lesen (s.u.)
  990.          Testet OldOpenLib auf $FC1430  = KS 1.2 , falls nein wird neue
  991.          OldOpenLib-Vektor-Routine NICHT kopiert. D.h. eine Vermehrung
  992.          ist nicht moeglich. Wegen der Vorgabe (s.o.) ist nur eine Ver-
  993.          mehrung in DF0 moeglich. Am Anfang des Files steht KEIN Text
  994.          "Compu...".
  995.          KS2.04 : Nach Tastatur-Reset Uebergang in Dauer-Reset.
  996.                 Typ C 4:
  997.         e1ce0007 e1d04446 303aa0a0 a0a00000 ......DF0:......
  998.         4446303a 732f7374 61727475 702d7365 DF0:s/startup-se
  999.         7175656e 63650000 a0a0a0a0 0a200a54 quence....... .T
  1000.         6865206d 69676874 206f6620 54686520 he might of The
  1001.         456d7065 726f7220 69732075 6e6c696d Emperor is unlim
  1002.         69746564 20212121 0a200a43 4f4d5055 ited !!!. .COMPU
  1003.         50686167 6f7a7974 65202121 210a0000 Phagozyte !!!...
  1004.  
  1005.    - CompuPhagozyte 5  File  bekannte Filelaengen: 892 Bytes
  1006.                                                    900 Bytes
  1007.                                                    936 Bytes (1.Hunk $CF)
  1008.                                                    936 Bytes (1.Hunk $CD)
  1009.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  1010.         da ein entsprechender Code im Prg nicht vorkommt.
  1011.  
  1012.         Cool immer $7C600 , OldOpenLib immer $7E000
  1013.         Reserviert mit AllocAbs 3 Speicherbereiche:
  1014.          $7C000   ganzes VirusPrg
  1015.          $7C600   CoolRoutine fuer RESET
  1016.          $7E000   OldOpenLibRoutine fuer Vermehrung
  1017.  
  1018.          :A0A0A0A0   (unsichtbar in Root)
  1019.          :s/startup-sequence
  1020.           Also keine Festlegung auf DF0 mehr.
  1021.  
  1022.         COMPUPhagozyte jetzt auch am Fileanfang zu lesen:
  1023.                              434f4d50 55506861         COMPUPha
  1024.            676f7a79 74650a00                   gozyte..
  1025.  
  1026.          Neu: KEIN Test auf OldOpenLib = $FC1430 = KS 1.2 mehr.
  1027.          KS2.04 : Nach Tastatur-Reset Uebergang in Dauer-Reset.
  1028.  
  1029.         Vermehrung:
  1030.          Falls ein anderes Prg die oldopenlib-Routine aufruft, wird
  1031.          eine Vermehrung versucht. Kein Schreibschutztest vorher.
  1032.          Speicher ab $7C000 soll als A0A0A0A0-File auf Disk geschrieben
  1033.          werden. Danach wird die startup-sequence geaendert.
  1034.         Empfehlung: sofort loeschen und auch startup-sequence ueber-
  1035.                     pruefen.
  1036.  
  1037.                 Typ 5:
  1038.         00000000 00000000 00000000 00003aa0 ..............:.
  1039.         a0a0a000 3a732f73 74617274 75702d73 ....:s/startup-s
  1040.         65717565 6e636500 a0a0a0a0 0a200a54 equence...... .T
  1041.         6865206d 69676874 206f6620 54686520 he might of The
  1042.         456d7065 726f7220 69732075 6e6c696d Emperor is unlim
  1043.         69746564 20212121 0a200a00 000003ec ited !!!. ......
  1044.  
  1045.    - CompuPhagozyte 6  File  bekannte Filelaengen: 1008 Bytes
  1046.                                                    1048 Bytes
  1047.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  1048.         da ein entsprechender Code im Prg nicht vorkommt.
  1049.          :A0A0A0A0   (unsichtbar in Root)
  1050.          :s/startup-sequence    A0A0A0A0
  1051.         immer ab $7C000
  1052.         Verbogene Vektoren: Cool, OldOpenLib,
  1053.         NEU: jetzt wird auch SumKickData verbogen.
  1054.         Im File am Anfang jetzt erweiterter Text:
  1055.                           3e434f4d 50555068         >COMPUPh
  1056.         61676f7a 79746520 50726f74 65637469 agozyte Protecti
  1057.         6f6e2046 696c6520                   on File
  1058.       Sie muessen auch die s.-seq. mit einem Editor bearbeiten.
  1059.       VT kennt File und Speicher: 24.11.92
  1060.  
  1061.    - CompuPhagozyte 7  Link
  1062.       Speicher immer ab $7C000, Cool $7C120
  1063.       Es liegt nur ein voellig unbrauchbares und nicht ladbares, ge-
  1064.       linktes File vor (Error 121).
  1065.       Suchen Sie bitte nach dem Install-file. Danke
  1066.       Es duerfte sich um den ersten Versuch des/der Programmierer
  1067.       von der CompuPhagozyte-Familie handeln, ein Link_Virusteil
  1068.       zu programmieren. Die Link-Routine kommt einem bekannt vor ($1b3)
  1069.       und die Behandlung von Hunk-Strukturen ist einfach nur falsch. Nach
  1070.       meinem Eindruck koennen nur nicht lauffaehige Link-Files entstehen.
  1071.       Es droht also nur Gefahr von dem Install-File.
  1072.       Mit etwas Glueck erkennt VT den Typ 7 im Speicher. An einem File
  1073.       wird Typ 7 NICHT erkannt. Dafuer brauche ich das Install-File,
  1074.       um mehrere zerstoerte Files selbst zu erzeugen. Mit einem
  1075.       Filemonitor koennen Sie vielleicht zerstoerte Files selbst
  1076.       finden. In meinem File ist zu lesen:
  1077.            732e6c69 62726172 7900436f 6d707550 s.library.CompuP
  1078.            6861676f 4c696e6b 20627920 54686520 hagoLink by The
  1079.                                                    ^^^^
  1080.            456d7065 726f7220 4f662054 72696c6c Emperor Of Trill
  1081.            696f6e20 42797465 ff6c33ee ffe20007 ion Byte.l3.....
  1082.  
  1083.    - Crackright    anderer Name: Disk-Doktors  s.u.
  1084.  
  1085.    - CREEPING EEL  BB
  1086.       Namensbegruendung: siehe unten
  1087.       KS2.04: nein
  1088.       Fordert trackdisk.device NICHT
  1089.       verbogene Vektoren: Cool, DoIo
  1090.       Speicherlage: immer ab $7EC00
  1091.       Vermehrung und Schaeden: BB
  1092.         UND !!!!!
  1093.         Schreibt in einen Zylinder, der bei einer Disk (880kb)
  1094.         dem Root-Zylinder entspricht (bei Festplatte ergibt sich
  1095.         ein anderer Zyl.), Datenmuell aus Speicher ab $60000.
  1096.         Diese Disks sind NICHT MEHR zu retten. Tut mir leid.
  1097.         Versuchen Sie bitte mit z.B. disksalv noch einige File
  1098.         von anderen Zylindern zu retten.
  1099.  
  1100.        Sobald die Zaehlzelle den Wert $14 erreicht hat:
  1101.          - Deutschland-Farben auf dem Bildschirm
  1102.          - Text, der uncodiert im BB steht
  1103.            2d204865 6c6c6f20 436f6d70 75746572 - Hello Computer
  1104.            66726561 6b202d2d 2d000016 004e596f freak ---....NYo
  1105.            75277665 20676f74 206e6f77 20796f75 u've got now you
  1106.            72206669 72737420 56495255 532e0000 r first VIRUS...
  1107.            002a0068 2a2a2a2a 20544845 20435245 .*.h**** THE CRE
  1108.            4550494e 47204545 4c20202a 2a2a2a00 EPING EEL  ****.
  1109.            002f0082 4d616e79 20446973 6b732061 ./..Many Disks a
  1110.            72652069 6e666563 74656420 21210000 re infected !!..
  1111.            001e00b4 57726974 74656e20 6279203e ....Written by >
  1112.            4d415820 4f462053 5441524c 49474854 MAX OF STARLIGHT
  1113.            3c200000 003c00be a9203239 2e30342e < ...<... 29.04.
  1114.            31393932 203c3c4d 41583e3e 20200000 1992 <<MAX>>  ..
  1115.  
  1116.    - Crime! Linkvirus verlaengert ein File um 1000 Bytes. Haengt sich
  1117.       an den ersten Codehunk an. Cool, AllocMem, Dos: Open, LoadSeg,
  1118.       Dosbase+$2e
  1119.       KS2.04 = NEIN
  1120.       Kein Meldeprogrammteil gefunden.
  1121.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  1122.       Routine fehlt. (nach 3 Links ans gleiche File habe ich aufgehoert)
  1123.       Allerdings muss dazwischen immer ein anderes File aufgerufen wer-
  1124.       den, damit der Filenamenbuffer (vom VirusPrg. angelegt) ueberschrie-
  1125.       ben wird.
  1126.       Im Speicher werden 19 Bytes mit eori.b #$5e,-1(a5) decodiert:
  1127.                   Crime!00dos.library
  1128.       Vermehrungsbedingungen:
  1129.             - Flag Disk o.k. ($52)
  1130.             - #16 Block free
  1131.             - File kleiner als #102400  (#$19000)
  1132.             - 1.LW #$3F3  (File ausfuehrbar)
  1133.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  1134.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  1135.               dann $4E71 (NOP) ein.
  1136.               oder
  1137.               wird bis $3E+1 Wort-Schritte zurueck gefunden. Virus traegt
  1138.               dann $60xy (bra.s xy) ein.
  1139.             - Name enthaelt nicht: #, *, -, ., ?,
  1140.  
  1141.       Speichererkennung mit VT getestet: 15.02.92
  1142.       Ausbau mit VT getestet:            16.02.92
  1143.       wichtig !!!!!!!!!!
  1144.       VT sollte im Filetest das befallene File sicher finden. Da die
  1145.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  1146.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  1147.       VT meldet sich dann NICHT !!!
  1148.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere CrimeLinks ans gleiche
  1149.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  1150.       sich bitte. Danke
  1151.  
  1152.    - Crime!++ Linkvirus verlaengert ein File um 872 Bytes. Haengt sich
  1153.       an den ersten Codehunk an. Cool, Wait, Dos: Dosbase+$2e
  1154.       KS2.04 = NEIN (die Linkroutine wird zwar aktiviert, aber Dosbase+$2e
  1155.          stimmt NICHT. Deshalb kein Link sondern haeufig GURU.
  1156.       Kein Meldeprogrammteil gefunden.
  1157.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  1158.       Routine fehlt. (nach 5 Links ans gleiche File habe ich aufgehoert)
  1159.   
  1160.       Im Speicher werden $1A5+1 Worte mit eor.w d1,(a0)+ decodiert:
  1161.                   Crime!++
  1162.          d1 wird bei jedem Linkversuch ueber $DFF00A neu festgelegt.
  1163.       Vermehrungsbedingungen:
  1164.             - Flag Disk o.k. ($52)
  1165.             - #16 Block free
  1166.             - File kleiner als #102400  (#$19000)
  1167.             - 1.LW #$3F3  (File ausfuehrbar)
  1168.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  1169.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  1170.               dann $4E71 (NOP) ein.
  1171.               oder
  1172.               wird bis $3F+1 Wort-Schritte zurueck gefunden. Virus traegt
  1173.               dann $60xy (bra.s xy) ein.
  1174.  
  1175.       Speichererkennung mit VT getestet: 24.05.92
  1176.       Ausbau mit VT getestet:            25.05.92
  1177.  
  1178.       wichtig !!!!!!!!!!
  1179.       VT sollte im Filetest das befallene File sicher finden. Da die
  1180.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  1181.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  1182.       VT meldet sich dann NICHT !!!
  1183.       wichtig 2:
  1184.       verseuchte Files sind lauffaehig:
  1185.          VT sollte den Urzustand wieder herstellen koennen.
  1186.       verseuchte Files sind NICHT lauffaehig:
  1187.          Die Linkroutine ist nicht ++ , sondern enthaelt mehrere Fehler-
  1188.          quellen, die in Crime! nicht vorhanden waren. EINEN Fehler er-
  1189.          kennt VT und versucht ihn beim Ausbau auszubessern. Bitte mit
  1190.          einer Kopie ausbauen !!!!
  1191.       wichtig 3:
  1192.          Es werden AUCH Files mit einem "." im Namen verseucht.
  1193.          Beweis: Es wurde ein Datablock ausgedruckt. Danach waren ver-
  1194.          seucht: c/print, devs/printer.device, devs/parallel.device,
  1195.          und devs/printer/NEC  .
  1196.       wichtig 4: Nach dem Ausbau rufen Sie bitte BlockITest auf und
  1197.          loeschen alle jetzt noch gefunden Crime!++ - Bloecke (auf
  1198.          der Diskkopie!!!). Das entseuchte File wird nicht unbedingt
  1199.          an die gleiche Stelle auf der Disk zurueckgespielt und so
  1200.          kann ein NICHT mehr aufrufbarer Block stehenbleiben. Danach
  1201.          rufen Sie bitte Blockkette auf und testen die Files auf
  1202.          richtige Verkettung. Sollten vor BlockITest bei BlockKette
  1203.          alle Files noch in Ordnung gewesen sein und jetzt nicht mehr,
  1204.          dann fuehren Sie bitte mit der Disk, die noch nicht mit
  1205.          BlockItest nachbehandelt wurde ein EinzelFileCopy durch. Auch
  1206.          hier werden nur die belegten und benutzten Blocks kopiert.
  1207.          UND rufen Sie mich bitte an. Danke
  1208.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere Crime++Links ans gleiche
  1209.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  1210.       sich bitte. Danke
  1211.       Ursprung:  driveinfo  trojanisches Pferd  s.u.
  1212.  
  1213.    - Crime'92     Linkvirus  verlaengert ein File um 1800 Bytes 1.HunkEnde
  1214.        Namensbegruendung: decodiert im Speicher:
  1215.        4372696D 65273932 000048E7 FFFE47FA Crime'92..
  1216.        Fordert trackdisk.device NICHT
  1217.        resetfest, Virusprogramm meldet sich nicht. Liegt immer im
  1218.        ChipMem. Codierung wechselt.
  1219.        Verbogene Vektoren bis KS1.3 einschl. : Cold, Cool, Wait (exec)
  1220.           dosbase+$2e
  1221.        Verbogene Vektoren ab KS1.4 ($23) : Cool, Wait (exec), LoadSeg,
  1222.           NewLoadSeg
  1223.        68040: NUR OHNE Cache
  1224.        Schaeden:
  1225.         abhaengig vom Wert einer Zaehlzelle:
  1226.         Schreibt in Block 2-7 (=6 Blocks) von Track 0  Speichermuell (der
  1227.         geschriebene Speicher kann auch nur Nullen enthalten). Sollten
  1228.         da Datenbloecke von Programmen gelegen haben, so sind diese
  1229.         Programme unbrauchbar. KEINE Rettung moeglich. Tut mir leid.
  1230.         Wenn das VirusPrg nun den Rigid-Track ihrer Festplatte zerstoert
  1231.         (fordert trackdisk.device NICHT), so ist die Festplatte nach dem
  1232.         naechsten Reset NICHT mehr ansprechbar !!!! Ich hoffe Sie haben
  1233.         ein Backup ?????
  1234.        Vermehrung:
  1235.             - Flag Disk o.k. ($52)  (validated)
  1236.             - #8 Block frei
  1237.             - File kleiner als #102400  (#$19000)
  1238.             - 1.LW #$3F3  (File ausfuehrbar)
  1239.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  1240.             - Test auf schon befallen
  1241.             - Virus sucht ab Ende 1.Hunk nach RTS.
  1242.               Steht RTS genau am Ende, dann wird es mit den ersten zwei
  1243.               Bytes von $48e7fffe (movem.l d0-a6,-(a7)) ueberschrieben.
  1244.               Steht RTS nicht am Ende, dann wird bis $3e+1 Wort-Schritte
  1245.               zurueck gesucht. Virus traegt $60xy (bra.s xy) ein.
  1246.  
  1247.       Speichererkennung mit VT getestet: 22.10.92
  1248.       Ausbau mit VT getestet:            23.10.92
  1249.       wichtig1 !!!!!!!
  1250.        Bitte aktivieren Sie die DruckOption zuerst in Prefs. Es koennte
  1251.        mit den notwendigen Druckprogrammen Crime'92 eingeladen werden.
  1252.        Beim naechsten GadgetKlick im Hauptfenster MUSS VT den Crime'92
  1253.        dann im Speicher finden !!!!  Zumindest bei meinen Tests.
  1254.       wichtig2 !!!!!!!!!!
  1255.        VT sollte im Filetest das befallene File sicher finden. Da die
  1256.        anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  1257.        nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  1258.        VT meldet sich dann NICHT !!!
  1259.       Nachtrag 20.02.93: es ist ein Crime92-Clone aufgetaucht. Es sind
  1260.        zwei Files (assign, dir) bekannt.
  1261.        Laenge verseucht:  assign 5020  dir 5240
  1262.        Das VirusTeil ist laenger codiert. Die Vermehrung findet ABER
  1263.        als "normaler" Crime92 statt. Schlussfolgerungerung: Die beiden
  1264.        Files wurden "von Hand" verseucht um die AntiVirusPrg.e zu
  1265.        taeuschen. Virus wird im Speicher selbst mit der aeltesten VT-
  1266.        Version (die Crime92 erkennt) erkannt und geloescht. Also lasst
  1267.        das. Da es sich um Files fuer KS2.04 und hoeher handelt, keine
  1268.        Aktivierung des VirusTeils unter KS1.3 . Da in beiden Files der
  1269.        letzte RTS-Teil ab KS2.04 selten erreicht wird, kaum Gefahr der
  1270.        VirusTeil-Aktivierung ab KS2.04 .
  1271.  
  1272.  
  1273.    - D-Structure A/B/C-Virus
  1274.       immer ab $7C000  oldOpenLib immer $7C06E   Write (-$30) immer
  1275.       $7C0CC   nicht resetfest
  1276.       Name: D-Structure   in der Mitte des Files zu lesen
  1277.       Typ A: Filelaenge: 428 Bytes
  1278.       Typ B: Filelaenge: 352 Bytes     (haeufig Absturz)
  1279.       Typ C: Filelaenge: 464 Bytes     (21.10.92)
  1280.                 Typ A u. B :
  1281.           ffd24e75 0007c200 0007c204 442d5374 ..Nu........D-St
  1282.           72756374 75726500 c24033ee 000003ec ructure..@3.....
  1283.                 Typ C:
  1284.           C2000007 C204442D 53747275 63747572 A...A.D-Structur
  1285.           65202000 000003F3 00000000 00000002 e  ....o........
  1286.             ^^^^                               ^^
  1287.             also mit zwei zusaetzlichen Leerzeichen
  1288.       Ablauf:
  1289.       - allocabs $7C000
  1290.       - oldOpenlib wird gerettet und verbogen
  1291.       - wenn nun ein anderes Programm oldopenlib aufruft, wird getestet
  1292.         ob dos.library geoeffnet werden soll.
  1293.           wenn nein:  z.B. intuition.lib
  1294.             - newopenlib wird ausgefuehrt und D-Structure wartet weiter
  1295.           wenn ja:
  1296.             - dosBase wird gerettet
  1297.             - Orig-Write wird gerettet und verbogen
  1298.             - oldopenlib wird zurueckgesetzt
  1299.             - newopenlib wird ausgefuehrt
  1300.           beim 5. Aufruf von Write wird nun nicht das Gewuenschte ge-
  1301.           schrieben (in cli, auf disk usw.), sondern das VirusPrg ab
  1302.           $7C000. Dieses File auf Disk ist leider nicht zu retten.
  1303.            - VirusPrg meldet sich NICHT !!!!
  1304.       Empfehlung: loeschen Sie das VirusPrg und alle zerstoerten Files.
  1305.                   Ueberpruefen Sie bitte die startup-sequence.
  1306.         D-Structure A/B-File-Erkennung mit VT getestet: 09.09.92
  1307.         D-Structure A/B-Speicher mit VT getestet:       09.09.92
  1308.         D-Structure C  mit VT getestet:                 21.10.92
  1309.  
  1310.    - DAG   Cool, im Prg DoIo und zurueck, Fastmem ja, immer ab $7ec00
  1311.       eine Meisterleistung: in den SCA-Text wurde eingebaut:
  1312.                Try ANTIVIRUS from DAG
  1313.       Erzeuger: DAG_Creator   ungepackt:7000 Bytes
  1314.          schreibt Dag in BB von df1:
  1315.  
  1316.    - DARTH VADER   File  Laenge: 784 Bytes
  1317.       Cool und nach Reset auch OldOpenLib
  1318.       Vermehrung und Schaeden:
  1319.          - sobald OldOpenLib verbogen ist, versucht sich das Prg.
  1320.            im Root-Verzeichnis als $A0 zu vermehren. In die 1.Zeile
  1321.            der Startup-Sequence wird $A00A geschrieben.
  1322.          - sobald in der Zaehlzelle der Wert 6 steht, wird mit
  1323.            Output ausgegeben:
  1324.                VIRUS(V1.1) BY DARTH VADER
  1325.       Fehlerquellen:
  1326.          nicht mit KS2.04
  1327.          nicht mit FastMem
  1328.          mit 1Mb Chip nur mit setpatch r
  1329.          Kann nur eine startup-sequence bis zur Groesse #1000 richtig
  1330.          veraendern.
  1331.       Empfehlung: loeschen und 1.Zeile in der startup-sequence mit
  1332.                   Editor ebenfalls loeschen.
  1333.       Loeschen mit VT getestet: 26.04.92
  1334.  
  1335.    - D&A FileVirus  Laenge:1052 Bytes  anderer Name SCA Dos Kill
  1336.       Cool immer $7E3CE und nach Reset auch DoIo
  1337.       KS2.04: keine BB-Verseuchung gelungen, Vektoren aber verbogen
  1338.       Schaeden: Das FileVirus schreibt bis KS1.3 auf eine nicht schreib-
  1339.       geschuetzte Disk einen BB dem die DOS0-Kennung fehlt. Dort steht
  1340.       dafuer $00000400 . Das Betriebssystem meldet deshalb mit einem
  1341.       Requester "Not a Dos Disk" . Schreiben Sie einfach einen Standard-
  1342.       Bootblock auf diese Disk. Der defekte BB ist ein leicht geaenderter
  1343.       SCA-BB (z.B. SCA! durch D&A! ersetzt). Das File muessen Sie loeschen.
  1344.       Schauen Sie bitte auch in der startup-sequence nach, ob dieser File-
  1345.       name vorkommt und loeschen Sie diese Zeile.
  1346.       Vermutung: Dieser BB wurde mit einem Prg. erzeugt, das aus einem
  1347.       BB ein Execute-File macht. Gibt es leider auch auf FF. Lesen Sie
  1348.       dazu auch FileTest bei SP-File-Sp in VT2.xyd .
  1349.  
  1350.    - DASA  anderer Name: ByteWarrior  s.o.
  1351.  
  1352.    - DAT '89   nur KS1.2 da DoIoRomEinsprung, KickTag, KickCheckSum
  1353.       immer 7F800, versucht durch Text im BB zu taeuschen:
  1354.             THIS BOOT RESETS ALL VECTORS   usw.
  1355.       Sobald die Zaehlzelle $F erreicht, DisplayAlert:
  1356.                      DAT '89!!!
  1357.       Fordert NICHT trackdisk.device !!!!
  1358.       Schaeden:
  1359.          schreibt sich in BB
  1360.          zerstoert Block 880 und 881 (bei Disk Root)
  1361.  
  1362.    - DATA CRIME   CCCP-Clone    s.o.
  1363.       BB Vermehrung auch mit ROM KS2.04
  1364.          CCCP-VIRUS in DATA CRIME geaendert (irre Leistung)
  1365.             hat aber bei VT NICHTS genuetzt !!!, also lasst das
  1366.  
  1367.    - DATACRIME-killer  BB  s.o. ASV-BB
  1368.       Endlich hat es wieder jemand geschafft den ASCII-Text zu aendern ..
  1369.          THIS BOOTBLOCK KNOWS SOME OLD AND NEW VIRUSES  usw.
  1370.             Wird von VT weiterhin als ASV erkannt. Pech gehabt !!
  1371.  
  1372.    - Deniz  Cool SCA-Clone
  1373.          Vermehrung auch mit KS2.04
  1374.          nur Text geaendert
  1375.  
  1376.    - DERK1 u. 2  BB     richtiger Name: MALLANDER VIRUS V1.0
  1377.          Hinweis: Derk1=Derk2
  1378.          Beweis fuer Nichtassemblerfreaks: nutzen Sie die Funktion
  1379.          vgl. in VT . Die 1 und 2 in der BB-Checksum ergeben sich aus
  1380.          den abgespeicherten unterschiedlichen DoIo's. Sonst KEINE
  1381.          Unterschiede .
  1382.  
  1383.    - Destructor   Cold
  1384.          im BB sichtbar:
  1385.             Destructor_Virus v1.2 Written by Aldo Reset.
  1386.             (c) M.C.T. Ltd 1990- Everything is under control !
  1387.             (eh!eh!)
  1388.          keine Vermehrungsroutine gefunden
  1389.          zerstoert beim naechsten Reset ueber Cold eine nicht
  1390.          schreibgeschuetzte Disk indem jeder 4. Track ueberschrieben
  1391.          wird.
  1392.  
  1393.    - DETLEF-Virus   BB    KickTag, KickCheckSum, DoIo
  1394.          Namensbegruendung: siehe unten
  1395.          Fordert trackdisk.device NICHT
  1396.      BB wird in den Speicher decodiert mit: add.b d1,(a0)+
  1397.          Jeder neu geschriebene Virus-BB wird neu codiert in Abhaengig-
  1398.          keit von $DFF00A .
  1399.          In Abhaengigkeit von $DFF006 wird mit DisplayAlert ein Text
  1400.          ausgegeben. Dazu wird ein Virusteil nach $73000 kopiert und
  1401.          mit  add.b #$ad,(a0)+  decodiert.
  1402.          AlertText:
  1403.                            Guten Tag.
  1404.                       » Ich heiße DETLEF «
  1405.           Ich werde Sie in der nächsten Zeit etwas nerven.
  1406.             Gemacht wurde ich von ·      M  A  X       .
  1407.          Vermehrung und Schaden: BB
  1408.  
  1409.    - Devil_V8_B.Door    anderer Name:SwiftWare  Laenge ungepackt: 44224
  1410.          Ein Hunk wurde vor das Originalfile gehaengt, um das Sysop-Pass-
  1411.          word auslesen zu koennen und in einem neuen File abzulegen.
  1412.            Ein Teil des 1.Hunks decodiert mit neg.b (a0)+ ergibt:
  1413.                                           6262               bb
  1414.            733A6E6F 6465302F 6E6F6361 6C6C6572 s:node0/nocaller
  1415.            73617433 30300062 62733A75 7365722E sat300.bbs:user.
  1416.            64617461 00                         data.
  1417.          Da das Teil sich nicht vermehrt, handelt es sich nach der
  1418.          Definition nicht um einen Virus.
  1419.          Namensbegruendung: Eine Gruppe (oder Einzelperson) soll fuer
  1420.          diese BBS-Einbrueche verantwortlich sein. Kann ich nicht nach-
  1421.          pruefen.
  1422.          VT bietet den Ausbau an.
  1423.  
  1424.    - Devil_11_B.Door
  1425.          Drei Files sind mir bekannt, vor die das Teil gehaengt wurde:
  1426.               - DLog V1.8   Laenge verseucht: 23452
  1427.               - ULog V1.8   Laenge verseucht: 23452
  1428.               - MsgTop V1.0 Laenge verseucht,aber einmal entpackt: 17884
  1429.          Alle drei Prg.e verseucht auf A4000 = GURU 4
  1430.          BackDoor-Teil ausgebaut, aber ohne BBS: = Fehler -1
  1431.          Wenn Sie das BackDoorTeil entpacken, finden Sie gleich am An-
  1432.          fang:
  1433.            000003e9 0000093d 4efa09ac 42425300 .......=N...BBS.
  1434.            44483000 44483100 4844303a 00484431 DH0.DH1.HD0:.HD1
  1435.            3a004448 30004448 31004844 303a0048 :.DH0.DH1.HD0:.H
  1436.            44313a00 4242533a 00444830 3a424253 D1:.BBS:.DH0:BBS
  1437.            2f004448 313a4242 532f0048 44303a42 /.DH1:BBS/.HD0:B
  1438.            42532f00 4844313a 4242532f 00444830 BS/.HD1:BBS/.DH0
  1439.            3a004448 313a0048 44303a00 4844313a :.DH1:.HD0:.HD1:
  1440.          Mit SnoopDos koennen Sie das nachvollziehen.
  1441.          Schaden: (Die folgende Aussage wurde uebernommen)
  1442.           Sucht nach Files mit Laenge 1972 Bytes und aendert sie so ab,
  1443.           dass ab Level 10 Account edit und Sysop download moeglich wird.
  1444.  
  1445.          Da das Teil sich nicht vermehrt, handelt es sich nach der
  1446.          Definition nicht um einen Virus.
  1447.          Namensbegruendung: Eine Gruppe (oder Einzelperson) soll fuer
  1448.          diese BBS-Einbrueche verantwortlich sein. Kann ich nicht nach-
  1449.          pruefen.
  1450.          VT bietet den Ausbau an.
  1451.  
  1452.  
  1453.    - dailer-BBS  V2.8g   Von der Definition kein Virus, da keine Ver-
  1454.          mehrung. Ein Einbruchswerkzeug in BBS . Das Hauptprogramm
  1455.          duerfte eine Bluebox sein.
  1456.          Gepackt mit CrunchMania: Laenge: 11992 Bytes
  1457.          Laenge entpackt: 33908 Bytes
  1458.          Wird von VT entpackt als XLink erkannt. Also war meine Ver-
  1459.          mutung, dass auch dieses Programm fuer Viren missbraucht wird,
  1460.          RICHTIG !!!!
  1461.            Im File ist dann zu lesen:
  1462.  
  1463.            79006262 733a7573 65722e64 61746100 y.bbs:user.data.
  1464.            6262733a 6e6f6465 312f4e4f 43414c4c bbs:node1/NOCALL
  1465.            45525341 54333030 00010000 000003ec ERSAT300........
  1466.            ;.......
  1467.            4469616c 65722076 322e3867 2f555044 Dialer v2.8g/UPD
  1468.            41544544 20425920 53545249 4b455220 ATED BY STRIKER
  1469.  
  1470.          Oeffnet user.data und speichert ein paar Bytes in
  1471.          NOCALLERSAT300 ab.
  1472.  
  1473.  
  1474.    - Died   siehe bei PP-Bomb
  1475.  
  1476.    - DIGITAL AGE = Rude Xerox = Forpib-Clone
  1477.          nur Text geaendert
  1478.  
  1479.    - DIGITAL EMOTIONS   Cool, im Prg. DoIo und zurueck, immer $7ec00
  1480.          im BB immer sichtbar: *** DIGITAL EMOTIONS ***
  1481.          je nach Zaehlerstand
  1482.          - wird eigener BB geschrieben oder
  1483.          - Track 0 mit 'VIRUS ' beschrieben.  Folge: keine Dos-Disk
  1484.          Textausgabe (decodiert mit -1) ueber DisplayAlert:
  1485.                 KickStart ROM Corrupted at $c00276
  1486.  
  1487.    - DirtyTricks  richtiger Name Incognito
  1488.       (das VirusPrg speichert am Ende des BB`s Tabellen mit ab, die
  1489.        sich nach Speicherlage und Konfiguration des Amiga aendern.
  1490.        Beim Booten des Viruses werden die Tabellen neu angelegt !!!)
  1491.  
  1492.    - DISASTER MASTER V2  ( cls * )   1740 Bytes
  1493.          eigenstaendiges Prg. fuer startup-sequence
  1494.          KickTag, KickCheck
  1495.          im Prg. DoIo und wieder zurueck
  1496.          Cool und Cold werden geloescht
  1497.       Entfernung: 1.Zeile in startup. loeschen
  1498.                   cls in DfX:c loeschen
  1499.          Erstellungsprogramm:
  1500.          Intro-Maker von T.C.R. Laenge: 10624 Bytes
  1501.           (war vor der Entdeckung z.B. auf Franz 47)
  1502.  
  1503.    - DISGUST  BB  Cool $7EDDE, DoIo $7ECA4  im Speicher immer $7EC00
  1504.          KS2.04: GURU nach RESET
  1505.          Fordert trackdisk.device NICHT
  1506.          Schaden und Vermehrung: ueber BB
  1507.  
  1508.          Versucht durch im BB lesbaren Text zu taeuschen:
  1509.                              003e2041 6d696761         .> Amiga
  1510.            20353030 20557469 6c697479 2020426f  500 Utility  Bo
  1511.            6f74426c 6f636b20 56310030 20546869 otBlock V1.0 Thi
  1512.            73206973 204e4f20 56697275 73203c00 s is NO Virus <.
  1513.  
  1514.          Namensbegruendung:
  1515.          Decodiert mit :   not.b (a1)
  1516.                            eori.b #$28,(a1)+
  1517.                                   steht im Speicher:
  1518.                                       20546869              Thi
  1519.            73206973 20746865 20444953 47555354 s is the DISGUST
  1520.            202d2056 69727573 20627920 4d617820  - Virus by Max
  1521.  
  1522.  
  1523.    - Disk Speed Check V1.01ß  Virus  anderer Name: DSC101 s.u.
  1524.  
  1525.    - Disk-Doktors (KickV1.2)
  1526.          Die angeblichen Mutanten unterscheiden sich in $4 (Pruefsumme)
  1527.          und von $390-$3A8 (Variablenablage = bei jedem Reset anders)
  1528.  
  1529.    - Disk-Herpes    Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  1530.          wird haeufig mit Phantasmumble verwechselt, Fastmem ja
  1531.          Vermehrung: ueber BB
  1532.          Schaden: schreibt auf Track 80 (Root) Speicherinhalt ab
  1533.          $60000. Folge: Disk BAD
  1534.          Graphikroutine: Deutschlandfahne + Text (auch im BB sichtbar)
  1535.               --- Hello Computerfreak ---
  1536.             You've got now your first VIRUS
  1537.               ** D i s k - H e r p e s **
  1538.               Many Disks are infected !!
  1539.             Written by >tshteopghraanptha<
  1540.                 c 27.07.1987 in Berlin
  1541.  
  1542.    - Disk.info   Laenge: 370 Bytes  KEINE Vermehrung
  1543.          Ein OriginalWB1.3-Icon wurde in der Struktur geaendert. (Text
  1544.          eingebaut z.B. This is a little present for all Lamers
  1545.          abroad ). Sobald Sie diese Disk einlegen und es muesste das
  1546.          Disk-Icon auf der WB angezeigt werden, stuerzt der Rechner
  1547.          ab. Haben Sie die Startup-Sequence im Cli abgebrochen, so
  1548.          muss kein Icon dargestellt werden und deshalb koennen Sie
  1549.          mit dieser Disk ohne Probleme arbeiten. AbHilfe: Ersetzen
  1550.          Sie Disk.info .       Herkunft: unbekannt  (Disk-Packer ???)
  1551.                                        
  1552.    - DISK-KILLER V1.0  File  Laenge ungepackt: 1368 Bytes
  1553.        Unter welchem Filenamen das Programm weitergegeben wird, ist
  1554.        mir unbekannt. (wahrscheinlich disktest)
  1555.        Namensbegruendung: im File steht uncodiert:
  1556.          20204449 534b2d4b 494c4c45 52205631   DISK-KILLER V1
  1557.          2e302020 200a                        .0   .
  1558.        Nach dem Fileaufruf wird folgender Text ausgegeben:
  1559.  
  1560.         "   DISK-KILLER V1.0   ",10
  1561.         "HEY YOU IN FRONT OF THE SCREEN !",10
  1562.         "YOU ARE A LAMER !!!! HE HE HE ",10
  1563.                 "WHY ????",10
  1564.         "- BECAUSE YOU HAVE A VIRUS !!",10
  1565.         "HE HE HE ",10
  1566.             "THIS WAS DONE IN TEN MINUTES",10
  1567.         "BY THE MEGA-MIGHTY MAX ",10
  1568.         "BYE BYE DISK !!",10
  1569.         "GREETS ARE GOING TO:",10
  1570.         "> LAMER EXTERMINATOR <",10
  1571.             "SUFFER...",10
  1572.  
  1573.        Danach beginnt SOFORT die Zerstoerungsarbeit in ALLEN Disk-
  1574.        Laufwerken. Die Disketten sind danach WERTLOS. Sie muessen
  1575.        sie neu formatieren. Das Virusteil ist also NICHT im Speicher
  1576.        zu finden, sondern nur beim Filetest. Von der Definition her
  1577.        handelt es sich nicht um ein Virus-Programm, da keine Ver-
  1578.        mehrung angestrebt wird. VT getestet: 21.11.92  Bitte ueber-
  1579.        pruefen Sie nach dem Loeschen des Files auch die startup-
  1580.        sequence ihrer Disk.
  1581.        siehe auch: XaCa lummin V1.5 = Clone
  1582.  
  1583.    - Disk-Terminator Virus   BB   SCA-Clone  siehe unten
  1584.        Namensbegruendung: im BB ist zu lesen
  1585.            20202044 69736b2d 5465726d 696e6174    Disk-Terminat
  1586.            6f722056 69727573 20202020 2020d2aa or Virus      ..
  1587.        Anfaengerprogrammierung: graphics.library liegt an ungerader
  1588.        Adresse. GURU ist sicher   
  1589.            fe018000 00ffffff fe0428ff fafbd367 ..........(....g
  1590.            72617068 6963732e 6c696272 61727900 raphics.library.
  1591.                                                               ^
  1592.        Weiterer Auszug:
  1593.        43fa lea     743(PC)(=$a030f),A1
  1594.        2c79 move.l  $000004,A6
  1595.        4eae jsr     -96(A6)
  1596.        2040 move.l  D0,A0
  1597.        2068 move.l  22(A0),A0
  1598.        7000 moveq   #$00,D0
  1599.        4e75 rts
  1600.         doslibname wird an ungerader Adresse gesucht, ist aber an ge-
  1601.         rader Adresse. Also wird nach Name gesucht, der mit 0 beginnt.
  1602.         (siehe ^ ) GURU ist sicher. Verantwortlich zeichnet SLASH
  1603.  
  1604.    - Disktroyer V1.0  File Laenge ungepackt: 804 Bytes
  1605.          AllocMem
  1606.          auch mit KS2.04
  1607.          Versucht durch Loeschen des Cli-Fensters zu taeuschen.
  1608.          Ich vermute deshalb, dass das File als Cls-Befehl getarnt
  1609.          wird.
  1610.          Im File zu lesen: Disktroyer V1.0   usw.
  1611.          Keine Vermehrungsroutine
  1612.          Schaeden, wenn:
  1613.             - allocmem angesprungen wird und
  1614.                - in der Zaehlzelle der Wert $96 steht
  1615.                - Disk im Laufwerk liegt
  1616.                - Disk nicht schreibgeschuetzt ist dann:
  1617.             - Kopfstep (Zerstoerung der Disk(s)) alle Laufwerke
  1618.                (Routinen stehen nach meiner Meinung genau so in einem
  1619.                   bekannten Buch !!!!!)
  1620.             - DisplayAlert: Disktroyer V1.0    usw.
  1621.          Empfehlung: File loeschen (VT) und startup-sequence ueber-
  1622.             pruefen .
  1623.  
  1624.    - Disktroyer V2.0  File Laenge ungepackt: 812 Bytes
  1625.          GetMsg
  1626.          auch mit KS2.04
  1627.          Versucht durch Loeschen des Cli-Fensters zu taeuschen.
  1628.          Ich vermute deshalb, dass das File als Cls-Befehl getarnt
  1629.          wird.
  1630.          Im File zu lesen: 
  1631.            01041444 69736b74 726f7965 72205632 ...Disktroyer V2
  1632.            2e300001 00c82828 77292061 6e6420a9 .0....((w) and .
  1633.            20313939 31206279 20746865 20706f77  1991 by the pow
  1634.            65726675 6c200001 01003c54 68652046 erful ....<The F
  1635.            616e6174 69632043 72657720 00010098 anatic Crew ....
  1636.            usw. .....
  1637.          Keine Vermehrungsroutine
  1638.          Schaeden, wenn:
  1639.             - GetMsg angesprungen wird und
  1640.                - in der Zaehlzelle der Wert $222222 steht
  1641.                    (Wert wird zuegig erreicht)
  1642.                - Disk im Laufwerk liegt
  1643.                - Disk nicht schreibgeschuetzt ist dann:
  1644.             - Kopfstep (Zerstoerung der Disk(s)) alle Laufwerke
  1645.                (Routinen stehen nach meiner Meinung genau so in einem
  1646.                   bekannten Buch !!!!!)
  1647.             - DisplayAlert: Disktroyer V2.0    usw.
  1648.          Empfehlung: File loeschen (VT) und startup-sequence ueber-
  1649.             pruefen .
  1650.  
  1651.    - DiskVal1234      Disk-Validator   Laenge:1848 Bytes
  1652.          Grundgeruest ist der SADDAM-Disk-Validator  (siehe unten)
  1653.          Aenderungen: nicht mehr codiert als Disk-Validator (lesbar
  1654.            am Fileende z.B. strap, mycon.write usw )
  1655.            Veraendert Bloecke die mit 8 beginnen:
  1656.            Schreibt in diese Bloecke nach $5a  1234  und ab $64 dann
  1657.            66x 4e71 (NOP). (Also nicht mehr Austausch von 8 mit IRAK)
  1658.  
  1659.            Rufen Sie dann ein solches File auf, so stuerzt der Rechner
  1660.            ab, da ja wichtiger PrgCode mit NOPs ueberschrieben wurde
  1661.            (bei mir wird der Bildschirm gelbbraun).
  1662.            So leid es mir tut, diese Files koennen NICHT gerettet wer-
  1663.            den. VT bietet loeschen an. Es kann also sein, dass ihre
  1664.            ganze Disk unbrauchbar wird.
  1665.  
  1666.    - DIVINA EXTERMINATOR I   Cool, DoIo, Inter.5 und $64. Im Prg dann
  1667.          noch $68 und $6c. Ueberschreibt SetPatchListe ab $C0.
  1668.          Codiert BB neu mit Wert aus $DFF006 (steht dann im BB $3F6)
  1669.          nach eor.w d0,d1   ist im Speicher zu lesen:
  1670.             VIRGO PRESENTS DIVINA EXTERMINATOR I
  1671.          Versucht einen sauberen OrigBB vorzutaeuschen.
  1672.          Schaeden und Vermehrung: BB
  1673.          nach 3 Vermehrungen: beginnt die K-Taste abzufragen und bis
  1674.          10 in einer Zaehlzelle abzulegen. Dann wird nach $4 (ExecBase-
  1675.          Zeiger) der Wert 0 geschrieben = Absturz
  1676.          Ursprung: -p-turbo.dms
  1677.  
  1678.    - DIVINA II  s.o. DIVINA EXTERMINATOR I
  1679.          Das Decodierwort in $3F6 ist anders. Grund s.o.
  1680.          (schafft endlich die Brainfiles ab !!! und disassembliert
  1681.           den VirenCode sauber und vollstaendig)
  1682.  
  1683.    - DLog V1.8   siehe oben Devil_11_B.Door
  1684.  
  1685.    - DM-Trash  File  siehe bei ZAPA-B.Door
  1686.  
  1687.    - DOpus-Virus     Filename:dopusrt   Laenge ungepackt: 6408 Bytes
  1688.          Bleibt NICHT im Speicher.
  1689.          Von der Definition kein Virus, da keine Vermehrung.
  1690.          Einbruchswerkzeug gegen Mailboxen. Veraendert zwei Files und
  1691.          fuehrt dann das OrigPrg aus.
  1692.          Empfehlung: loeschen
  1693.          VT erkennt File: 15.01.93
  1694.          Im File ist zu lesen:     
  1695.            61727900 00626273 3A757365 722E6461 ary..bbs:user.da
  1696.            74610000 00000000 00000000 00000000 ta..............
  1697.                      ;......
  1698.            00000000 00000000 6262733A 75736572 ........bbs:user
  1699.            2E6B6579 73000000 00000000 00000000 .keys...........
  1700.                      ;......
  1701.            00000000 00000000 00000000 416E6479 ............Andy
  1702.            2F446563 61646500 00000000 00000000 /Decade.........
  1703.            00000000 00000000 00000031 39393200 ...........1992.
  1704.            00000000 3E2D442D 452D432D 412D442D ....>-D-E-C-A-D-
  1705.            452D3C00 00000000 00000000 00000000 E-<.............
  1706.            00003034 302F3735 35333637 32000000 ..040/7553672...
  1707.         Nachtrag 04.03.93: Es ist ein 2. File aufgetaucht, an das
  1708.          dieses gleiche Teil angelinkt ist. Auch dieses File ge-
  1709.          hoert zu DOpus. CRC  Laenge ungepackt: 20716 Bytes
  1710.         Nachtrag 06.03.93: Da jetzt 2 Testfiles vorhanden sind,
  1711.          wurde eine Ausbauroutine eingebaut. Da diese Routine nur
  1712.          an zwei Files getestet werden kann, koennte sie wackeln.
  1713.          Fertigen Sie bitte deshalb vor dem Ausbauversuch UNBEDINGT
  1714.          eine Kopie des verseuchten Files an. Danke
  1715.  
  1716.    - DOSSPEED  (Neuseeland)  richtiger Name: Revenge of the Lamer
  1717.  
  1718.    - Dotty-Virus    immer $7F000  KickTag, KickCheckSum
  1719.          im Programm: DoIo, Vec5
  1720.          Fordert trackdisk.device NICHT
  1721.          Vermehrung: BB
  1722.          weitere Schaeden:
  1723.          modifiziert PRIVAT-intuition-struktur
  1724.  
  1725.    - DUMDUM  BB   auch mit KS2.04    immer ab $7FA00
  1726.          Cool, im Prg DoIo, $64, $80  (Hallo Enforcer-Freunde)
  1727.             Text im BB lesbar:
  1728.          You are the owner of a DUMDUM virus please unprotect
  1729.          disk disk to kill!
  1730.             (machen Sie das BITTE NICHT)
  1731.          Textausgabe mit DisplayAlert
  1732.          Schaeden und Vermehrung:
  1733.          - Vermehrung ueber BB
  1734.          oder:
  1735.          - Format Disk
  1736.  
  1737.    - DriveInfo V0.91 by ESP   trojanisches Pferd, Laenge: 1704 Bytes
  1738.          (PP-Data und ein decrunch-header davor)
  1739.             entpackt: Laenge: 1740 Bytes
  1740.             Im File ist dann z.B. zu lesen: EAST SIDE POWER 91/92
  1741.          KS2.04: NEIN  Findet dann KEIN Laufwerk und meldet sich mit
  1742.             Requester. Nach kurzer Zeit dann GURU beim Arbeiten.
  1743.          Versucht unter KS1.3 zu taeuschen, indem Laufwerksdaten (Drive,
  1744.           Volume usw.) ausgegeben werden.
  1745.          Verhindert hierbei AutoRequest. Installiert mit addintserver
  1746.          "Install yeah!" . Wird nach Crime!++ - Installierung mit Rem-
  1747.          IntServer wieder entfernt. Interrupt = 5 .
  1748.          Installiert nach etwa EINER Minute (das ist echt neu) Crime!++
  1749.          im Speicher (Cool, wait usw. s.o.).
  1750.          Empfehlung: sofort loeschen
  1751.             siehe auch :  Crime!++
  1752.  
  1753.    - DSC101-Virus  Zerstoerungsfile gegen BBS:
  1754.          Ungepackt Laenge: 33152 Bytes . VT kennt nur die ungepackte
  1755.          Version, weil mir das Prg. ungepackt zugeschickt wurde.
  1756.          Von der Definition KEIN Virus, da keine Vermehrungsroutine
  1757.          vorhanden. Grosse Teile des Prg.s bestehen nur aus Null-Bytes.
  1758.          Ein Teil des wirklichen Prg.s ist codiert mit:  not.b (a0)+
  1759.          Das Prg. bleibt NICHT im Speicher
  1760.          Das Prg versucht durch eine Cli-Ausgabe zu taeuschen:
  1761.           Disk Speed Check V1.01ß - © Micro-Tech Softwares® 1992
  1762.           Programming by Alan Forslake. (1.10.1992)
  1763.           Usage : DSC -mode <drive>, Where mode is :
  1764.           1=disk speed check 2=scsi speed test
  1765.  
  1766.           Didnt` found a supported SCSI drive, sorry!
  1767.           Try to contact Alan Forslake on :223/22/32 in@sf@com
  1768.  
  1769.          In Wirklichkeit wird versucht (aber wirklich nur versucht)
  1770.          folgende Teile zu loeschen:
  1771.  
  1772.              bbs:user.keys
  1773.              bbs:user.data
  1774.              sys:s/startup-sequence
  1775.              s:acp.startup
  1776.  
  1777.          Empfehlung: einfach loeschen
  1778.          VT Fileerkennung getestet: 19.10.92
  1779.  
  1780.  
  1781.    - EM-Wurm        (zielgerichtet gegen EUROMAIL)
  1782.          nicht resetfest
  1783.          immer:
  1784.          schreibt in startup-sequence  $A0,$0A  (1.Zeile)
  1785.          eigener Process: clipboard.device
  1786.          schreibt in c: $A0, Laenge: 3888 Bytes (ASCII-Text vorhanden)
  1787.          schreibt in 5.Byte von c:protect (falls vorhanden) $01
  1788.          Folge: protect wird unbrauchbar
  1789.          Zerstoerungsroutine:
  1790.          Wird nur ausgefuehrt wenn Verzeichnis EM, EUROMAIL oder
  1791.          EUROSYS vorhanden ist.
  1792.          Ueberschreibt alle Files in obengenannten Schubladen mit
  1793.          Speicherinhalt ab MsgPort. In zerstoerten Files ist ab $BC
  1794.          clipboard.device zu lesen.
  1795.          Dann wird mit dosdelay $259A eine 3 Minuten Pause eingelegt.
  1796.          Nach dieser Pause wird die Zerstoerungsroutine wieder in der
  1797.          Schleife aufgerufen.
  1798.          Ursprungsprogramm:
  1799.          QuickInt   PP-crunched  Laenge: 3196 Bytes
  1800.          Mein VT loescht den Process  n i c h t, sondern fuellt ihn
  1801.          mit NOP's.
  1802.          Einige Programmteile, z.B. Autorequester, con usw. konnten
  1803.          nicht getestet werden, weil ich EUROMAIL nicht besitze. Diese
  1804.          Teile werden ebenfalls mit NOP's ueberschrieben. Falls des-
  1805.          halb bei aktivem EUROMAIL-Programm ein GURU erscheint, bitte
  1806.          ich um Hilfestellung. Danke !!
  1807.  
  1808.    - Ethik-Virus   siehe bei SHIT
  1809.  
  1810.    - EXCREMENT-Virus   BB     Cool: $7F47A   DoIo: $7F4C2  immer ab: $7F400
  1811.          KS2.06: GURU B nach Reset
  1812.          Fordert trackdisk.device NICHT
  1813.          Namensbegruendung: im BB ist zu lesen:
  1814.               61727900 45584352 454d454e 54002d7c ary.EXCREMENT.-.
  1815.          Vermehrung: BB
  1816.          Schaeden: Sobald eine Zaehlzelle den Wert $A erreicht hat,
  1817.             blinkt die LED. Mehr ist bei mir nicht passiert.
  1818.  
  1819.    - EXCREMENT-Installer  File Laenge: 1180 Bytes
  1820.          VT erkennt EXCREMENT-Virus.
  1821.          Ein File das aus dem BB (s.o.) und ein paar Speicher-Install-
  1822.          Bytes besteht. Das Teil kann sich dann nur als BB und NICHT
  1823.          als File vermehren. Einfach loeschen.
  1824.  
  1825.    - Excreminator 1   File    Laenge: 2392 Bytes   auch KS2.04
  1826.          KEINE verbogenen Vektoren
  1827.          KEINE Vermehrungsroutine
  1828.          KEINE Schreibroutine fuer Startup-Seq
  1829.          Versucht durch angeblichen Virustest zu taeuschen.
  1830.          Im File zu lesen: The Lame Trio  usw.
  1831.          verraet sich durch System-Requester: Write-pro....
  1832.          Schaeden:
  1833.          Versucht in libs Exec.library (4 Bytes) als Zaehlerfile
  1834.          (Startwert=5) anzulegen.
  1835.          Verringert dann bei jedem Aufruf den Zaehler.
  1836.          Bei 0  KopfStep ALLE Laufwerke
  1837.          Folge: Not a DOS Disk
  1838.          und mit DisplayAlert: LAME SUCKER  usw...
  1839.          danach RESET
  1840.          Empfehlung: beide Files sofort loeschen und gegebenenfalls
  1841.          Startup-Seq. ueberpruefen.
  1842.  
  1843.    - EXECUTORS  BB  Cool $7EC74  DoIo $7ED4A  im Speicher immer $7EC00
  1844.          Herpes-Clone   KS2.04: ja
  1845.          Fordert trackdisk.device NICHT
  1846.          Namensbegruendung: s.u.
  1847.          Vermehrung: ueber BB
  1848.          Schaden: Zerstoert Track ab $6E000 (Bei Disk Root)
  1849.          Sobald eine Zaehlzelle den Wert 5 erreicht hat, wird ein Text
  1850.          ausgegeben:   Hintergrund: Deutschland-Fahne
  1851.                                           
  1852.                 HI ! THE EXECUTORS ARE HERE
  1853.  
  1854.                Some of your fucking Disks are
  1855.                  infected with the Virus V1
  1856.                     Greets are going to :
  1857.  
  1858.                M A X  O F  S T A R L I G H T
  1859.                     Lamer....FUCK OFF!
  1860.  
  1861.  
  1862.    - Express2.20-Virus  keine Vermehrung (also von Def. kein Virus)
  1863.          keine verbogenen Vektoren, Zerstoerungsprogramme
  1864.          1. File Express2.20   Laenge: 194064
  1865.          2. File aibon         Laenge: 776
  1866.          aibon haengt am Ende von Express2.20 und wird mit jmp ange-
  1867.          sprungen.
  1868.          Am Ende der Files ist zu lesen bbs: sys: ram: dos.library .
  1869.          Naja werden Sie denken wieder mal gegen Ami-Express gerichtet.
  1870.          Trifft mich nicht, hab ja keine Mail-Box. Halt !!!! Vorsicht !
  1871.          Das Starten von Express2.20 reicht um Sie an die Decke gehen
  1872.          zu lassen.
  1873.          Zerstoerungsablauf:
  1874.          - Sie starten Express2.20 von Sys-Ebene  (halt mal sehen was
  1875.          das Programm macht)
  1876.          - aibon wird nach :s kopiert
  1877.          - :s/startup-sequence wird auf EINE Zeile :s/aibon gekuerzt
  1878.          - Requester   Datentraeger bbs einlegen
  1879.          - Sie haben keine Mailbox und klicken  cancel
  1880.          - Tastatur wird gesperrt
  1881.          - und jetzt gehts los
  1882.          - jedes File in sys: wird eingelesen und mit 42 Bytes Laenge
  1883.            zurueckgeschrieben. Da kommt Freude auf.
  1884.          - Also Tastatur-Reset  (geht leider nicht siehe oben)
  1885.          - Also nehmen Sie not validated in Kauf und schalten schnell
  1886.            den Computer 1 Minute aus.
  1887.          - Computer wieder an UND es wird weiter geloescht
  1888.             (richtig:   sys:s/startup-sequence mit der Zeile :s/aibon
  1889.              existiert noch)
  1890.            Das merken Sie aber erst so nach 40 Sekunden, weil ihre
  1891.            startup-sequence fuer die Festplatte immer eine Zeit braucht.
  1892.          - Um hier noch etwas zu retten brauchen Sie eine WB-Disk von
  1893.            der Sie booten koennen und im Zweifelsfalle ihre Festplatte
  1894.            anmelden zu koennen. Kopieren Sie auf ihre Festplatte eine
  1895.            neue startup-sequence und hoffen Sie, dass Sie schnell genug
  1896.            waren und einige Files noch nicht zerstoert wurden.
  1897.          Nachtrag: Falls bbs: gefunden wurde, werden natuerlich zuerst
  1898.            dort alle Files zerstoert.
  1899.          Herkunft: d-aex220.lha  Laenge 135400
  1900.               angeblich neues Ami-Express
  1901.          Erkennung der beiden Files mit VT getestet:  09.09.92
  1902.          Loeschen der beiden Files mit VT getestet :  09.09.92
  1903.              aibon:
  1904.               00000000 00000000 00006262 733a0073 ..........bbs:.s
  1905.               79733a00 72616d3a 00646f73 2e6c6962 ys:.ram:.dos.lib
  1906.        Nachtrag 01.05.93:
  1907.          Es ist ein aibon 2 aufgetaucht. Verhalten siehe oben.
  1908.             Install-File Laenge ungepackt: 1872 Bytes
  1909.                            aibon 2 Laenge: 784 Bytes
  1910.          Besonderheit:
  1911.           Install-File sucht zuerst nach Portnamen: ser.read
  1912.  
  1913.          aibon 2 neu: df0, df1  :
  1914.               00007379 733a0062 62733a00 6466303a ..sys:.bbs:.df0:
  1915.               00646631 3a00646f 732e6c69 62726172 .df1:.dos.librar
  1916.        Nachtrag 02.05.93:
  1917.           Es ist ein File DwEditV1.62 verseucht mit aibon2 aufgetaucht.
  1918.               FileLaenge verseucht: 43700 Bytes
  1919.               aibon2 ausgebaut    : 41468 Bytes
  1920.           Da aibon2 mit hunklab angelinkt wurde, erkennt VT hunklab.
  1921.           Waehlen Sie bitte Ausbau. Die Lauffaehigkeit des sauberen
  1922.           Files wurde getestet. Schaeden siehe oben
  1923.  
  1924.  
  1925.    - EXTREME
  1926.          DoIo, KickTag, KickCheckSum, Rasterstrahl
  1927.          entweder 7f800 oder ff800, da Berechnung ueber SysStkLower+$1000
  1928.          lesbarer Text im BB: THE EXTREME ANTIVIRUS  usw.
  1929.          sobald Zaehlzelle Null :
  1930.          Zerstoeren (Disk BAD) aller nicht schreibgeschuetzten Disks
  1931.          in allen LW und Alertmeldung
  1932.          Vermehrung: ueber BB
  1933.  
  1934.    - F.A.S.T.
  1935.          Cool, DoIo , FreeMem, immer ab $7F000
  1936.          Alertmeldung (verschluesselt mit eori-Byte in Abhaengigkeit
  1937.          von $DFF006) und loeschen
  1938.          veraendert auch $C0-$E0  (SetPatchListe!)
  1939.          Vermehrung: BB
  1940.  
  1941.    - F.A.S.T. 1     FAST-Clone
  1942.          im BB wurde der codierte Prg.Teil um einige Bytes verschoben,
  1943.          um im BB-Kopf dos.library einbauen zu koennen. Die Speicher-
  1944.          lage wurde nicht veraendert.
  1945.  
  1946.    - F.I.C.A
  1947.          Beginio, KickTag, KickCheckSum, SumKickData
  1948.          Vermehrung: BB
  1949.          Besonderheit: spielt sauberen BB vor
  1950.          sichtbarer Text im BB ab $288
  1951.          z.B. F.I.C.A RULES!
  1952.  
  1953.  - Fast Eddie  starke Aehnlichkeit mit Glasnost Block 2 u 3
  1954.          KickTag, KickCheckSum
  1955.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  1956.          fordert trackdisk.device NICHT.
  1957.          Wird aktiv wenn Block 880 gelesen wird
  1958.          Schaeden:
  1959.          blockiert nach 15 oder 20 Min. Rechner
  1960.          schreibt eigenen BB
  1961.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  1962.          in diesen Block ab $100  Fast Eddie .
  1963.          Dieser Block kann NICHT gerettet werden.
  1964.          Benennt Disknamen um  ( This disk is infected (HE-HE) ) .
  1965.          Codiert jeden BB neu mit ByteWert von $DFF006  eor.b d1,(a0)+ .
  1966.          Decodiert eigenen BB  mit  eor.b d6,(a0)+ .
  1967.          Decodiert im Speicher :
  1968.             Call 43-444304 and ask for HENRIK HANSEN (FAST EDDIE)
  1969.  
  1970.    - FORPIB    kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  1971.          Vermehrung: ueber BB
  1972.          besorgt sich Speicher ueber MemList, Speicher fuer neuen
  1973.          VirusBB mit AllocMem
  1974.          Im BB sichtbar:  - FORPIB - 09.88 - N° 197102 -    usw.
  1975.  
  1976.    - Freedom     reines Zerstoerungsprogramm  Laenge: 10876Bytes
  1977.          Herkunft: Freedom!.LZH   8153 Bytes
  1978.          Fordert trackdisk.device; keine verbogenen Vektoren
  1979.          versucht durch Text zu taeuschen:
  1980.          Freedom !      by Steve Tibbett
  1981.          Checking df0: for 126 viruses
  1982.          nach kurzer Zeit wird abwechselnd ausgegeben:
  1983.          SADDAM-Virus removed !
  1984.          oder
  1985.          SMILY CANCER-Virus removed !
  1986.          Schaden: schreibt in jeden 5.Block (also auch Root=880)
  1987.             Datenmuell, der nach einigen Tracks sogar den Inhalt
  1988.             wechselt (vermutlich soll Blockerkennung verhindert
  1989.             werden). Durch die vielen zerstoerten Bloecke ist eine
  1990.             Rettung mit DiskSalv unwahrscheinlich. Daten also ab-
  1991.             schreiben und Disk formatieren.
  1992.          Mit etwas Glueck erkennt VT beim BitMapTest eine Freedom-Disk.
  1993.          Beim BlockITest meldet sich VT nicht, da der Muell von Disk zu
  1994.          Disk und auch nach einigen Tracks wechselt.
  1995.  
  1996.  
  1997.    - FrenchKiss   belegt auf Track 0 Block 0 bis 5
  1998.          Ich besitze nur Bl 0 u. 1 . Ein echter Virus !!!
  1999.          Cool, DoIo, $6c, Vec5,
  2000.          immer ab $7f0d0
  2001.          Vermehrung: Block 0 bis 5 auf Track 0
  2002.          Schaeden:
  2003.          Je nach Zaehlerstand wird Track 0 ueberschrieben oder Track 80
  2004.          (bei Disk = Dir ) zerstoert. Mehr kann ich nicht sagen, da ich
  2005.          nur Block 0 u. 1 habe. Bitte schicken Sie mir Ihre verseuchte
  2006.          Disk. Danke !!!
  2007.  
  2008.    - FRESHMAKER-Virus   BB  immer ab $78000   Cool $78154
  2009.          Nach Reset dann noch: DoIo, Findres, Supervisor
  2010.          Vermehrung nur: mit KS1.3, da absolute ROM-Einspruenge
  2011.              und ExecBase im Speicher ab $C00000
  2012.          Versucht durch lesbaren Text im BB zu taeuschen:
  2013.            203E2056 69727573 50726F74 6563746F  > VirusProtecto
  2014.            72205631 2E30203C 2000               r V1.0 <
  2015.          Nach #10 Vermehrungen Textausgabe mit intuition. Text wird
  2016.          mit eori.b #$27,(a1)+ decodiert:
  2017.                 ES IST WIRKLICH NICHT ZU GLAUBEN.
  2018.                 DU BOOTEST MIT EINER UNGESCHÜTZTEN DISK !
  2019.                 ES IST WIRKLICH SCHADE (!),  DAß ES SOLCHE
  2020.                 LAMER (!) NOCH GIBT. DU HAST WOHL KEINE
  2021.                 ANGST VOR VIREN ??? ICH WÜNSCHE DIR
  2022.                 NOCH VIEL SPAß (!) MIT DEINEM AMIGA...
  2023.                 UNTERZEICHNET: THE FRESHMAKER IN 1991 !
  2024.  
  2025.    - Frity  Forpib-Clone    s.o.
  2026.  
  2027.    - fuck.device-Virus   BB    Cool, DoIo
  2028.          Namensbegruendung: siehe unten
  2029.          Fordert trackdisk.device NICHT
  2030.      Das Virusteil meldet sich nicht.
  2031.          Schaeden und Vermehrung:
  2032.          je nach dem Wert in der Zaehlzelle wird:
  2033.            - der Virus-BB geschrieben (#1024 Bytes)
  2034.            - oder Block 0 und 1 zerstoert mit fuck.device. Da hier aber
  2035.              $800 Bytes geschrieben werden, wird in Block 2 und 3 Speicher-
  2036.              muell geschrieben. Sollte ein File Block 2 und 3 belegt haben,
  2037.              so ist dieses File NICHT mehr zu retten.
  2038.               6675636b 2e646576 69636500 00667563 fuck.device..fuc
  2039.               6b2e6465 76696365 00006675 636b2e64 k.device..fuck.d
  2040.               65766963 65000066 75636b2e 64657669 evice..fuck.devi
  2041.          Kopieren Sie mit VT einen neuen DOS-BB auf.
  2042.  
  2043.  
  2044.    - Future Disaster    nur KS1.2, Cool, DoIo, BeginIo, immer ab $7FB00
  2045.          fordert trackdisk.device (also HD nicht)
  2046.          Vermehrung:BB
  2047.          Schaden:
  2048.          sobald die Zaehlzelle den Wert 7 erreicht hat:
  2049.          - schreibt Speicherinhalt ab $10000 nach Block 0 u 1
  2050.          - schreibt Speicherinhalt ab $7Fb00 nach Block 880 und weiter
  2051.          Folge: Disk unbrauchbar
  2052.  
  2053.    - G-Zus-Packer       Laenge ungepackt: 15016 Bytes
  2054.          Wird in Docs als bester Packer angepriesen, aber:
  2055.          - das Original-File wird geloescht
  2056.          - ein neues File mit gleichem Namen und Erweiterung .god erzeugt
  2057.          - dieses neue File ist 30 Bytes lang und enthaelt nur:
  2058.  
  2059.            0000: 54686973 49734d61 67696321 34434f1c ThisIsMagic!4CO.
  2060.            0010: 27303811 10464b55 524e435b 4f470000 '08..FKURNC[OG..
  2061.  
  2062.          Wenn Sie kein zweites Original-File haben, dann haben Sie Pech
  2063.          gehabt.
  2064.          Ist also KEIN Virus, aber vielleicht wird jemand durch die Er-
  2065.          kennung vor Schaden bewahrt.
  2066.  
  2067.  
  2068.    - Gadaffi  (KickRomV1.2 Floppymusik)
  2069.          Cool, DoIo, KickTag, KickCheckSum
  2070.  
  2071.    - Gandalf BB  Cool, ExitIntr, PutMsg
  2072.          BB-Teile codiert mit eor.w d1,(a1)+
  2073.             decodiert ist im Speicher zu lesen: Gandalf`s Rache usw.
  2074.          Vermehrung und Schaeden:
  2075.            - schreibt sich auf BB
  2076.            - in Abhaengigkeit von der Zaehlzelle soll die Disk
  2077.              zerstoert werden. Verwechselt aber Disk-Seek mit Disk-Format,
  2078.              DisplayBeep mit DisplayAlert usw. (Anfaenger ??)
  2079.             
  2080.    - GCA-Virus  BB  Forpib-Clone   nur Text geaendert   26.11.92
  2081.             4765726d 616e2043 7261636b 696e6720 German Cracking
  2082.             4167656e 63792028 47434129 20212121 Agency (GCA) !!!
  2083.             20a92031 39383820 56312e30 20212121  . 1988 V1.0 !!!
  2084.  
  2085.    - GENESTEALER  BB  auch KS2.04  immer ab $7EC00
  2086.          Cool, DoIo
  2087.          Im BB ist zu lesen: GENESTEALER VIRUS!!! by someone...
  2088.          Schaeden und Vermehrung:
  2089.          ueber BB
  2090.          Testet VBlank  ( cmpi.b #$32,$212(a6) )
  2091.          Sollte der Wert NICHT 50 sein, so wird der Rootblock zerstoert.
  2092.          Fordert trackdisk.device NICHT .
  2093.  
  2094.    - GENETIC PROTECTOR V2.00    BB   Dotty-Clone  s.o.  16.03.92
  2095.          nur Text geaendert: GENETIC-ELECTRONICS  usw.
  2096.          Pech gehabt: wird weiterhin als Dotty erkannt
  2097.  
  2098.    - Germany-Virus    Forpib-Clone   nur Text geaendert
  2099.             4765726d 616e7920 21204c6f 76652020 Germany ! Love
  2100.             6974206f 72206c65 61766520 69742021 it or leave it !
  2101.             21212121 21212121 21212020 20202020 !!!!!!!!!!
  2102.  
  2103.    - Glasnost  Block 0 bis 3, Laenge also 2048, KickTag, KickCheckSum
  2104.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  2105.          fordert trackdisk.device NICHT.
  2106.          Wird aktiv wenn Block 880 gelesen wird
  2107.          Schaeden:
  2108.          blockiert nach 15 oder 20 Min. Rechner
  2109.          schreibt eigenen BB und zerstoert damit auch Files in Block 2 u. 3
  2110.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  2111.          in diesen Block ab $100 vier Langworte ($11111111, $22222222,
  2112.          $44444444, $88888888). Dieser Block kann NICHT gerettet werden.
  2113.          Text in Block 3: Glasnost VIRUS by Gorba!!  First release
  2114.  
  2115.    - Golden Rider  Linkvirus  im Speicher immer $7C000
  2116.          verbiegt Cool, DoIo, DosOpen
  2117.          Arbeitet nicht mehr mit Doslib-Version 35 oder hoeher.
  2118.          Verlaengert ein File um 868 Bytes, haengt sich auch mehrmals
  2119.          in ein File, da keine Abfrage ob schon befallen.
  2120.          File darf max 100000 Bytes gross sein.
  2121.          File muss executable sein.
  2122.          Filename + Pfad darf nur Zeichen ab A enthalten (Ausnahme / : 1 0 )
  2123.          Eine Zeichenobergrenze wurde im Programm nicht gefunden.
  2124.          Eine Vermehrung findet statt bei:
  2125.             df0:Test/File
  2126.          KEINE Vermehrung mit:
  2127.             df3:Test/F9
  2128.          Das VirusTeil enthaelt keine Melderoutinen.
  2129.          Haengt sich am Ende des 1.Hunks ein und ersetzt RTS durch
  2130.          ein NOP. Sollte kein RTS am Ende des 1. Hunks gefunden wer-
  2131.          den, so wird $38 Schritte ab Hunkende zurueck nach einem
  2132.          RTS gesucht und dann durch BRA.s ersetzt.
  2133.          In ersten Hunk des befallenen Files ist unverschluesselt zu
  2134.          lesen:   >>> Golden Rider <<< by ABT
  2135.          VT versucht den Virusteil auszubauen und ein lauffaehiges
  2136.          Ursprungsprogramm abzuspeichern. KEINE Garantie !!!
  2137.          Arbeiten Sie mit einer Kopie !!!!
  2138.          Vermehrung getestet: ja
  2139.          Ausbau getestet: ja
  2140.          Hinweis: Da sich die 3 Testlangworte in 2 verschiedenen Bloecken
  2141.          befinden koennen, wird der Golden Rider nur im Filetest SICHER
  2142.          erkannt. Bei der Blockkette koennte einer beim Test NICHT ge-
  2143.          meldet werden.
  2144.          Hinweis 31.08.92: Ab VT2.44 sollten mehrere GoldenRider-Links
  2145.          ans gleiche File in einem Durchgang ausgebaut werden. Falls
  2146.          nein, melden Sie sich bitte. Danke
  2147.  
  2148.    - Gotcha LAMER    Filevirus     anderer Name: Lamer Bomb
  2149.          verlaengert File um 372 Bytes, DoIo
  2150.          nur in Files dir, run, cd, execute
  2151.          Schaeden:
  2152.          - KEINE Vermehrung ueber obengenannte Files hinaus
  2153.          - KopfStep
  2154.          - DisplayAlert u. RESET: "HAHAHE...  Gotcha LAMER!!!"
  2155.          Ursprungsprogramm:
  2156.          MINIDEMO.EXE       Laenge: 773 Bytes
  2157.          sucht fuer Link nach:
  2158.          dh0:c/dir, dh0:c/run, dh0:c/cd, dh0:c/execute
  2159.  
  2160.    - Graffiti      aehnlich 16Bit Crew + 3D-Graphik
  2161.          FastMem ja, Cool, im Prg DoIo, im Speicher immer $7ec00
  2162.          Vermehrung: ueber BB
  2163.          Graphikroutine mit 3D
  2164.          unverschluesselt im BB:
  2165.          VIRUS! written by Graffiti
  2166.  
  2167.    - GREMLIN    Cool, KickSumData, im Prg. DoIo, im Speicher immer $7f400
  2168.          Vermehrung: ueber BB
  2169.          Textausgabe mit GraphikRoutine: roter Hintergrund, weisse Schrift
  2170.                         GREMLIN
  2171.  
  2172.    - GX.TEAM    Fastmem ja, nur KS1.2 da absoluter DoIo-Einsprung
  2173.          Cool, DoIo, KickTag, KickCheckSum, im Speicher immer ab $7f4d0
  2174.          Vermehrung: ueber BB
  2175.          Textanzeige mit displayAlert (wird mit sub.b #$41,d0 nach
  2176.          $7f300 entschluesselt):
  2177.          Mais qui voila ???C'est le nouveau VIRUS de GX.TEAM !!
  2178.          AAAHH! Les salauds! Les ...(Insultes diverses)
  2179.          He!He! SILENCE :
  2180.          GX.TEAM entre enfin dans la legende ...
  2181.          BYE!!!
  2182.  
  2183.    - GYROS  Cool, DoIo, immer ab $7EC00
  2184.          fordert trackdisk.device NICHT
  2185.          Vermehrung:BB
  2186.          Schaden:
  2187.          sobald die Zaehlzelle den Wert 10 erreicht hat:
  2188.          - blockiert Rechner
  2189.          im BB zu lesen: Your Amiga is fucked from a nice GYROS usw.
  2190.                                      
  2191.    - HAPPY NEW YEAR BB   21.11.92
  2192.          Cool, im Programm DoIo  immer ab $7EC00
  2193.          Namensbegruendung: im BB ist zu lesen:
  2194.             2d2b2d20 48415050 59204e45 57205945 -+- HAPPY NEW YE
  2195.             4152202d 2b2d4ef9 0fc00000 43f90007 AR -+-N.....C...
  2196.  
  2197.          Vermehrung: kaum moeglich
  2198.          Begruendung: endlich hat es jemand geschafft, einen
  2199.          HunkReloc32 im BB unterzubringen.
  2200.                                        000003ec ................
  2201.             00000006 00000000 000000e4 000000dc ................
  2202.             000000bc 0000006e 0000003e 00000022 .......n...>..."
  2203.             00000000 000003f2 00000000 00000000 ................
  2204.          Dies hat zur Folge, dass der OrigDoIo an einer Stelle
  2205.          abgelegt wird, und sobald er gebraucht wird, an einer
  2206.          ganz anderen Stelle im BB gesucht wird. Die Folgen
  2207.          sind klar.
  2208.          Meine Empfehlung: Anfaenger uebt weiter am Joystick.
  2209.          Glaubt mir, da ist euer Erfolgserlebnis groesser.
  2210.  
  2211.    - HARDEX VIRUS   SADDAM-Clone  s.u.
  2212.  
  2213.    - Hauke   Byte-BanditClone   s.o
  2214.          Text geaendert: Hauke Jean Marc    usw
  2215.  
  2216.    - Haukeexterminator I   Disk-DoctorClone  s.o
  2217.          Text geaendert: Haukeexterminator I     usw
  2218.  
  2219.    - HEIL Virus BB  Cool immer $7C070  immer ab $7C000
  2220.          Bei mir mit KS2.04 nach Reset kein neuboot von Disk.
  2221.          Unter KS1.3 werden nach dem Reset 2 Interrupts installiert.
  2222.             Nr. 3 = Ports = $7C1C6 = SS.install
  2223.             Nr. 5 = VERTB = $7C1E8 = SS.greets
  2224.          VT entfernt beim loeschen die Namen und setzt die Codezeiger
  2225.             auf 0 mit RemIntServer. Also keine Gefahr mehr. vgl. VT =
  2226.             Listen = IntVec
  2227.          Sobald die Zaehlzelle den Wert #$500 erreicht hat wird eine
  2228.          Graphikroutine angesprungen:
  2229.          schwarzer Hintergrund, helle Schrift
  2230.          Hakenkreuz,SS-Rune,Hakenkreuz und dann
  2231.             your computer is infected by SS-Virus!
  2232.          Danach ist ein Reset notwendig, da das VirusPrg. sich in einer
  2233.          Endlosschleife befindet.
  2234.          Der BB ist codiert mit eori.l #"HEIL",(a0)+
  2235.          Von der Definition handelt es sich nicht um einen BB-Virus,
  2236.          da keine Vermehrungsroutine gefunden wurde.
  2237.          siehe auch MOSH, SS-Virus
  2238.  
  2239.    - Hilly  KickTag, KickCheckSum, Kick1.2
  2240.             DoIo im Prg mit absolutem ROMeinsprung
  2241.             Test auf spezielle Kickstartversion (patched bei $FC0090)
  2242.             Falls vorhanden kein Virusaufbau.
  2243.             Fordert trackdisk.device nicht an, deshalb koennen Schreib-
  2244.             zugriffe auf die Festplatte erfolgen !!
  2245.             Lage im Speicher: immer ab $7f300 (ResStruc.)
  2246.             Vermehrung: ueber BB
  2247.             sonst keine Routine gefunden (keine Graphik usw.)
  2248.  
  2249.    - Hireling Protector V1.0     anderer Name: Charlie Braun
  2250.             ForpibClone  s.o.
  2251.             nur anderer Text
  2252.  
  2253.    - Hochofen  Link  auch mit KS2.04  verlaengert ein File um 3000 Bytes
  2254.             KEINE bekannten Vektoren verbogen !!!!
  2255.             Wurde mir als Trabbi zugeschickt. Da ich diesen Namen nicht
  2256.             nachvollziehen kann (kommt im Prg-code nicht vor), nenne
  2257.             ich ihn Hochofen (im 1. Hunk zu lesen).
  2258.             Taskname: Greetings to Hochofen
  2259.             Vermehrung:
  2260.             NUR moeglich beim Start eines bereits verseuchten Prgs.
  2261.             Scannt Root durch (examine, exnext usw.) und sucht nach
  2262.             Files, die
  2263.                   - ausfuehrbar ($3F3)
  2264.                   - kleiner als 200000 Bytes
  2265.                   - noch nicht befallen
  2266.                         sind.
  2267.             Haengt sich dann als erster Hunk an und verlaengert das
  2268.             File um 3000 Bytes (Hunk nicht codiert).
  2269.             Hinweis: NICHT jedes verseuchte File ist lauffaehig ! s.u.
  2270.             Schaeden:
  2271.             Task: Greetings to Hochofen
  2272.             im Task:   KEIN VermehrungsPrgTeil
  2273.             zeitabhaengig:
  2274.                   BildschirmHintergrund   schwarz  rot  gelb
  2275.                      mit Maustaste wegklicken
  2276.                   Requester   Fasten seat-belt!
  2277.                      mit Maustaste wegklicken
  2278.                   Task wird wieder entfernt
  2279.             Fehler: kennt viele Hunktypen NICHT und veraendert durch
  2280.             einen Schleifenfehler dann den Hunktyp um +1. Als Beispiel,
  2281.             weil ich es da zuerst bemerkt habe:
  2282.             Kennt hunksymbol ($3F0) nicht und macht daraus hunkdebug ($3F1).
  2283.             In unbekannten Hunks werden auch in einer Schleife Bytes
  2284.             FALSCH geaendert.
  2285.             Verseuchte Files die den Computer zum Absturz bringen, ver-
  2286.             aendern bei mir auch die Hardwareuhr !!!!
  2287.             Vermehrung getestet: ja auch mit ROM KS2.04
  2288.             Ausbau getestet: ja mit VT 2.37
  2289.  
  2290.    - HODEN V33.17   nur KS1.2, da absoluter DoIo-Einsprung
  2291.             DoIo, KickTag, KickCheckSum, im Speicher immer $7f000
  2292.             Vermehrung: ueber BB
  2293.             Kennzeichen: nach fuenf Kopien wandert ein gelber Kopf
  2294.             von links nach rechts ueber den Bildschirm.
  2295.             unverschluesselt steht im BB:  HODEN V33.17
  2296.  
  2297.    - HULKSTERS-Virus  BB   Pentagon-Clone s.u.
  2298.             Text geaendert: z.B.  SACHSEN/ANHALT  usw.
  2299.  
  2300.    - HunkLab-Virus  Link  von VT NUR im ungepackten Zustand erkannt !!!
  2301.             Es soll sich um ein XCopy-Programm handeln, dass es er-
  2302.             moeglicht, NutzPrg.e als auch Viren vor bereits vorhandene
  2303.             Programme zu haengen. Ganz ehrlich. Ich verstehe die Welt
  2304.             nicht mehr. Wie kann eine Firma so ein Programm verkaufen,
  2305.             das es jedem Anfaenger AUCH erlaubt, Viren an ein vor-
  2306.             handenes Programm zu linken ????? Aber noch einmal: Nicht
  2307.             jedes mit Hunklab veraendertes Programm muss ein Virus-
  2308.             teil enthalten.
  2309.             Zu Beginn des 1.Hunks ist zu lesen:
  2310.               58892f49 003c4cdf 7fff4e75 556e6974 X./I.<L...NuUnit
  2311.               6564a046 6f726365 53000000 00000001 ed.ForceS.......
  2312.             Bitte nehmen Sie fuer den Ausbau eine Kopie ihrer Disk.
  2313.             Ich habe nur 5 verseuchte Files (AIBON). Da ich Hunk-
  2314.             Lab nicht besitze, kann ich keine weiteren Files linken.
  2315.             Die Routine koennte also wackeln. Bitte teilen Sie mir
  2316.             festgestellte Fehler mit. Danke
  2317.             Fileerkennung und Ausbau mit VT: 05/06.12.92
  2318.         Hinweis 30.12.92: Es soll in der Szene ein modifiziertes
  2319.             Hunklabprogramm (oder aehnlich programmiert) Verwendung
  2320.             finden. Es kann also zu Verwechslungen kommen und die
  2321.             Programme sind vielleicht nach dem Ausbau NICHT mehr
  2322.             lauffaehig. Fertigen Sie also BITTE eine Kopie und ver-
  2323.             suchen Sie mit dieser den Ausbau.
  2324.  
  2325.    - ICE    SCAClone, Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  2326.             Vermehrung: ueber BB
  2327.             Textausgabe durch GraphikRoutine
  2328.             unverschluesselt steht im BB:
  2329.             Greets from The Iceman & The IRQ  usw.
  2330.  
  2331.    - Incognito     anderer Name Trojan
  2332.             DoIo, KickMem, KickTag, KickCheckSum, FastMem ja
  2333.             nur KS1.2, da absoluter DoIo-Einsprung ins ROM
  2334.             Vermehrung: ueber BB
  2335.             sonst keine Schaeden und kein Text
  2336.             im BB: nichts zu sehen, da trackdisk.device verschluesselt.
  2337.  
  2338.    - INDIANA JONES  BB  Cool immer $7E656   immer ab $7E600
  2339.            im Prg: DoIo $7E690, FindRes $7E676   KS2.04: ja
  2340.            Fordert trackdisk.device NICHT
  2341.            Warhawk-Clone
  2342.            Unterschied: die Textausgabe ueber Graphik-Routine wurde
  2343.            entfernt.
  2344.            Vermehrung: BB
  2345.        Namensbegruendung: Wenn Sie im BB die 7F-Zeichen richtig anordnen,
  2346.             ergibt sich:
  2347.        ····#··#··.#·##···#·####·#···#·####······####·####·#···#·###·###
  2348.        ····#··##·.#·#·#··#·#..#·##··#·#··#·········#·#··#·##··#·#···#··
  2349.        ····#··#·#.#·#··#·#·# .#·#·#·#·#··#·········#·#··#·#·#·#·##.·###
  2350.        ····#··#·.##·#·#··#·####·#··##·####·······#·#·#··#·#··##·#···..#
  2351.        ····#··#··.#·##···#.#·.#·#···#·#··#······#··#·####·#···#·###·###
  2352.        ··········································##····················
  2353.  
  2354.    - Infiltrator Link
  2355.             anderer Name Klein-Virus (von mir nicht nachvollziehbar)
  2356.          Arbeitet erst ab dos.library-Version #36 oder hoeher (also
  2357.          keine Vermehrung mit KS1.2 oder KS1.3)
  2358.          Verbiegt OldLoadSeg (NewLoadseg wird nicht verbogen)
  2359.          Ueberprueft ob Virus schon installiert mit Zeichenfolge "1992".
  2360.          Verlaengert ein File um 1052 Bytes.
  2361.          Am File ist das Virusprogramm codiert mit eori.b x,(A0)+ .
  2362.          Das Byte x aendert sich bei jedem neuen Linkvorgang in Abhaengig-
  2363.          keit von $DFF006 .
  2364.          Im Programm ist ein Textteil codiert mit:
  2365.                    move.w #$80,d0
  2366.             loop:  eor.b d0,(a0)+
  2367.                    dbra d0,loop
  2368.          Decodiert ist dann zu lesen:
  2369.             Howdy hacker! This is The Infiltrator!  usw.
  2370.  
  2371.          Sucht auch nach einem File user.data
  2372.  
  2373.          Arbeitsweise:
  2374.  
  2375.             - Sucht nach dem Langwort, das die Laenge des 1.CodeHunks
  2376.               enthaelt und erhoeht den Wert um $107 .
  2377.             - Schreibt zu Beginn des 1. CodeHunks 6100xxyy (bsr xxyy)
  2378.                d.h. der OriginalSourceCode wird ueberschrieben.
  2379.             - Haengt sich codiert am Ende des 1.OriginalCodeHunks an.
  2380.                d.h. keine Erhoehung der HunkAnzahl.
  2381.  
  2382.          Vermehrungsbedingungen:
  2383.             - Disk validated
  2384.             - mindestens 8 Bloecke Platz
  2385.             - 1. CodeHunk nicht groesser als $1ffc * 4 = $7FF0
  2386.                   (von Virusprogramm getestet )
  2387.             - Test 1. Wort im CodeHunk auf
  2388.                - $4EF9 (Jmp)    falls ja keine Verseuchung
  2389.                - $4EB9 (Jsr)    falls ja keine Verseuchung
  2390.             - Test ob schon von Infiltrator verseucht
  2391.               1. Wort im CodeHunk auf
  2392.                - $6100 (bsr)    falls ja 2. Test an anderer Stelle auf
  2393.                 - $48E7FFFE     falls ja schon verseucht, deshalb Ende.
  2394.            Ergebnis: verseucht auch libs, devices  usw.
  2395.                      AUCH auf FESTPLATTE !!!!!
  2396.          NACHTRAG 26.07.92 : entgegen dem schon befallen Selbsttest ist
  2397.             es mir gelungen das Virusprogrammteil 2x an diskfont.library
  2398.             zu linken !!!!
  2399.  
  2400.          Erfolg: NICHT alle Programme sind danach lauffaehig !!!!!
  2401.                (von Shell mehr als von WB)
  2402.  
  2403.          Ausbau: VT versucht den Originalzustand wieder herzustellen.
  2404.             Falls es Probleme gibt, wenden Sie sich bitte an mich.
  2405.             NACH dem FileTest machen Sie bitte ein EinzelFileCopy
  2406.             auf eine leere formatierte Disk. Zwei Gruende:
  2407.                - die Fragmentierung der Files wird aufgehoben
  2408.                   (Disk ist wieder schneller)
  2409.                - es werden nur benutzte Bloecke kopiert, d.h. jetzt
  2410.                  nicht mehr von Files belegte Bloecke werden nicht
  2411.                  mitkopiert und so kann dann auch BlockITest keinen
  2412.                  Infiltrator auf der NEUEN Disk in einem unbenutzten
  2413.                  Block finden.
  2414.  
  2415.          Suche: Sie MUESSEN mit FileTest suchen. Bei BlockKette kann
  2416.             eine Meldung unterbleiben, wenn von den 3 Testlangworten
  2417.             2 im Block x und 1 LW im Block x+1 liegen.
  2418.  
  2419.          Bitte: Suchen Sie NICHT nach verseuchten Files, solange ein
  2420.             sogenanntes "Nutzprogramm" aktiv ist, das loadseg verbiegt.
  2421.             Hinter diesem Nutzprg koennte der Infiltrator liegen !!!
  2422.             Folge: Das Nutzprogramm ueberprueft beim Laden das File
  2423.             und stellt fest, dass das File von ihm NICHT zu bearbeiten
  2424.             ist (also z.B. nicht gepackt) und uebergibt an den "OrigLoad-
  2425.             Seg-Vektor". Nur leider ist der "OrigLoadSeg-Vektor" auf die
  2426.             Infiltrator-Routine verbogen !!!!  Ihre Erfolgsaussichten
  2427.             sind NULL  !!!!!!
  2428.  
  2429.    - INFLUENZA   BB   Cool $7F320, DoIo $7F0FC, $60, immer ab $7F000
  2430.          Fordert trackdisk.device NICHT
  2431.          Turk-Clone
  2432.          Unterschiede:
  2433.              - Cool-Einsprung im Prg. verschoben
  2434.              - keine DisplayAlert-Routine
  2435.          Vermehrung: ueber BB
  2436.          Schaeden:
  2437.              - schreibt FUCK nach $60
  2438.              - Sobald in $300 (absolut!) der Wert #10 steht, wird die
  2439.                Disk von Zylinder 0-39 formatiert.
  2440.          Namensbegruendung: im BB ist zu lesen:
  2441.              20202020 48452048 45203c2d 20202d2b     HE HE <-  -+
  2442.              2d204920 4e204620 4c205520 45204e20 - I N F L U E N
  2443.              5a204120 2d2b2d20 202d3e20 20205355 Z A -+-  ->   SU
  2444.  
  2445.    - Inger IQ      ByteBandit/Forpib-Clone  s.d.
  2446.             Text:  ---Inger IQ Virus - Ersmark 1953---
  2447.  
  2448.    - INGO  BB   DoIo, KickTag, KickCheckSum   KS2.04: ja
  2449.          Fordert trackdisk.device NICHT
  2450.          LADS/ZEST-Clone  s.u.
  2451.          Unterschied: DisplayAlert abgeschaltet
  2452.          Namensbegruendung: im BB ist zu lesen:
  2453.              f00f494e 474f2049 53205350 45414b49 ..INGO IS SPEAKI
  2454.              4e472021 212100ff 00fc2344 45415448 NG !!!....#DEATH
  2455.  
  2456.    - INGO'S RETURN   BB  abcd bei $396  duerfte zur Lamer-Familie gehoeren.
  2457.          schreibt FUCK!! in irgendeinen Block
  2458.          BeginIo, KickTag, KickCheckSum, SumKickData
  2459.          KS2.04 nein
  2460.          Codiert jeden Virus-BB neu
  2461.          Namensbegruendung: decodiert mit eor.b d0,(a0)+ ist im Speicher
  2462.          zu lesen:
  2463.                >>INGO`S RETURN << suffer!
  2464.          Von INGO`S RETURN zerstoerte Bloecke in einem File sind NICHT
  2465.          mehr zu retten. Tut mir leid.
  2466.  
  2467.    - init_cli     anderer Name: AMIGAKNIGHTVIRUS   s.o.
  2468.  
  2469.    - IRQ-TeamV41.0   Link-Virus, verlaengert ein Prg. um 1096 Bytes
  2470.                      Einsprung nach Reset: KickTag
  2471.                      Einsprung bei Arbeit: OldOpenLib
  2472.             laeuft nicht mit KS2.04
  2473.          Textanzeige im CliTitel: (entschluesselt mit eor.l d0,(a0)+
  2474.          addq.l #3,d0 ; fuer einen neuen Virus wird der Inhalt von
  2475.          d0 ueber move.l alterWert,d0 u. add.l $dff004,d0 veraendert)
  2476.              AmigaDOS presents:a new virus by the IRQ-TeamV41.0
  2477.          entweder wird c/dir oder das erste File der startup-sequence
  2478.          befallen. K e i n  File wird zweimal befallen. Das File
  2479.          darf nicht laenger als 100 000 Bytes sein.
  2480.       Entfernung: 1.Zeile in startup. loeschen
  2481.                   OrigFile besorgen und neu kopieren
  2482.  
  2483.    - IRQ II    wie IRQ I, aber die Routine auf Test schon befallen
  2484.          (cmpi. #$fffe6100,30(a4,d6.l) wurde verfaelscht. Das heisst:
  2485.          das erste File von der startup-sequence wird solange befallen,
  2486.          (d.h. verlaengert) bis die Disk voll ist.
  2487.       Nachtrag:gilt fuer IRQI+II; mit meiner FastmemKarte ist n a c h
  2488.          einem Reset keine Vermehrung mehr moeglich ?????
  2489.       Hinweis: Ich besitze ein IRQ2-File mit sechs Links
  2490.       Hinweis 03.09.92: Ab VT2.44 sollten mehrere IRQ2-Links ans gleiche
  2491.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  2492.       sich bitte. Danke
  2493.  
  2494.  
  2495.    - JEFF-BUTONIC V1.31/05.11.88    PrgFileVirus   3408 Bytes
  2496.  
  2497.          DoIo, KickTag, KickCheckSum, $68
  2498.          schreibt sich in die 1. Zeile der Startup-Sequence einer
  2499.          nicht schreibgeschuetzten Disk. Tarnnamen s.u. Die Anzahl
  2500.          der neuen Buchstaben wird am Ende der Startup-Sequence weg-
  2501.          genommen.
  2502.  
  2503.          Texte codiert mit: eori.l #$AAAAAAAA,(a0)+
  2504.  
  2505.  
  2506.      Text fuer DisplayAlert:
  2507.  
  2508.              "Einen ganz wunderschönen guten Tag!"
  2509.  
  2510.       "* I am JEFF - the new Virus generation on Amiga *"
  2511.  
  2512.                 "(w) by the genious BUTONIC."
  2513.  
  2514.            "V 1.31/05.11.88 - Generation Nr.00037"
  2515.  
  2516.     "Greetings to * Hackmack *,* Atlantic *, Wolfram, Frank,"
  2517.  
  2518.  "Miguel, Alex, Gerlach, and to the whole Physik-LK from MPG !!"
  2519.  
  2520.  
  2521.   Texte fuer die Fensterleiste:
  2522.  
  2523.     "Ich brauch jetzt'n Bier!"
  2524.     "Stau auf Datenbus bei Speicherkilometer 128!"
  2525.     "Mehr Buszyklen für den Prozessor!"
  2526.     "Ein dreifach MITLEID für Atarist!"
  2527.     "BUTONIC!"
  2528.     "Schon die Steinzeitmenschen benutzten MS-DOS...einige sogar heut noch!"
  2529.     "Schon mal den Sound vom PS/2 gehört???"
  2530.     "PC/XT-AT: Spendenkonto 004..."
  2531.     "Unabhängigkeit & Selbstbestimmung für den Tastaturprozessor!"
  2532.     "Paula meint, Agnus sei zu dick."
  2533.     "IBM PC/XT: Ein Fall für den Antiquitätenhändler..."
  2534.     "Sag mir, ob du Assembler kannst, und ich sage dir, wer du bist."
  2535.  
  2536.  
  2537.   Tarnnamen:
  2538.  
  2539.       fuer RootDir:                        in Startup-Sequence:
  2540.  
  2541.        AddBuffers                            "AddBuffers 20"
  2542.        Add21K                                "Add21K "
  2543.        Fault                                 "Fault 206"
  2544.        break                                 "break 1 D"
  2545.        changetaskpri                         "changetaskpri 5"
  2546.        wait                                  "wait "
  2547.        $A0                                   $A020
  2548.        $A0A0A0                               $A0A0A020
  2549.        Arthus                                "Arthus "
  2550.        Helmar                                "Helmar "
  2551.        Aloisius                              "Aloisius "
  2552.   ??   $20                                   $2020          ??
  2553.    die Erzeugung des $20-Tarnnamen ist nicht gelungen, steht aber im
  2554.    Virus-Prg.
  2555.  
  2556.      Nachtrag 03.03.93: Es ist ein JEFF-BUTONIC V1.31 Clone aufgetaucht.
  2557.        Laenge bleibt 3408 Bytes. Nur Texte geaendert. Bilden Sie sich
  2558.        selbst ihre Meinung. Wird von VT als JEFF-BUTONIC V1.31. erkannt.
  2559.  
  2560.     DisplayAlert-Text:
  2561.                 Es tut mir leid es ihnen zu sagen !
  2562.               *Ihr computer hat AiDS ein neuer Virus*
  2563.                    Gemacht von Donald & Micky
  2564.                 IM Jahre 1992 - Generation Nr.05426
  2565.        Grüße gehen an : Metalwarrior - Mozart - Tiger 1 - Poge
  2566.       Außerdem noch an : Meinen Virus-Freund David Hasselhoff !
  2567.  
  2568.      Texte fuer Fensterleiste:
  2569.          Tina zeig mir deine Votz
  2570.          Hey du Depp am Computer ! was is ?
  2571.          Hilfe die NFL-Kappen Kommen !
  2572.          Redskins - Fickt euch alle !!!
  2573.          Evil C !
  2574.          Der Vorkotzer er will nicht kotzen !! Rechtfertige er sich !
  2575.          Easy and fast-- Schnebber-Pax !!
  2576.          Burger du Drecksack !!
  2577.          Popper überfährt man mit einem Chopper !!
  2578.          Rod Grod Med Flod !!
  2579.          Fuck for oil And for NLF-Deppen !!
  2580.          Ihr Assigen NFL-Ficker ihr seid alle schwul und dumm !!
  2581.  
  2582.       neue Dateinamen fuer das Virus-file:
  2583.          "D.Hasselhoff "
  2584.          "Jesus  "
  2585.          "Archippus"
  2586.          "Philemon "
  2587.          "-->PAX<--      "
  2588.          "---->",$3E
  2589.          $A020
  2590.          $A0A020
  2591.          "NKOTB  "
  2592.          "Ephesus"
  2593.          "Guardians"
  2594.          $2020
  2595.          $2020
  2596.  
  2597.  
  2598.  
  2599.    - JEFF-BUTONIC V3.00/9.2.89   PrgFileVirus  2916Bytes
  2600.             Name im Hauptverzeichnis: A0A0A0
  2601.             1.Zeile in startup. A0A0A0209B41
  2602.             DoIo, KickTag, KickCheckSum
  2603.             Vermehrung: jede nicht schreibgeschuetzte DOS-Disk mit startup
  2604.             Entfernung: 1.Zeile in startup loeschen
  2605.                         File in DfX: loeschen
  2606.                            Entschuesselungsroutine:
  2607.       entschluesselter Text:                       move.w #$013a,D0
  2608.          Hi.                                     loop:
  2609.          JEFF`s speaking here...                   move.w (A0)+,(a1)
  2610.          (w) by the genious BUTONIC.               eori.w #$b4ed,(A1)+
  2611.          usw. insgesamt ueber $270 Bytes Text      dbf D0, loop
  2612.  
  2613.    - JEFF-BUTONIC V3.10   Filevirus   Laenge 2916
  2614.          lesen Sie Auswirkungen unter Jeff 3.00
  2615.          Programmcodeteile wurden verschoben (soll Anti-Viren-Prge wohl
  2616.          taeuschen ??) + codierte Texte geaendert: z.b. Sauf blos keinen
  2617.          Wodka! usw.   Codierung weiterhin:  eori.w #$b4ed,(a1)+
  2618.  
  2619.          Ursprungprogramm:
  2620.             *JEFF* VIRUSKILLER     Mastercruncher: 7368
  2621.                                          entpackt: 9064
  2622.             andere Namen: Jeff-Maker, Jeff-Remover
  2623.          taeuscht durch Texte Jeff-Suche vor, schreibt aber in Wirklich-
  2624.          keit JEFF 3.10 auf Disk in Df0:
  2625.          Virus gefunden - bitte warten
  2626.          Startup-Sequence desinfiziert
  2627.          und Virus beseitigt!           usw.
  2628.          In diesem Prg ist JEFF V3.10 codiert [ eori.b $FF,(a0)+ ] ent-
  2629.          halten.
  2630.  
  2631.   - JEFF-BUTONIC V3.20   Filevirus   Laenge 2900
  2632.          Jeff 3.0 Clone Beweis:codierter Text gleich
  2633.          Die 16 gewonnenen Bytes kommen z.B. von der Adressierungsaenderung
  2634.          .l in .w .
  2635.          Das VirusPrg laeuft zwar an und verbiegt die Vektoren, aber bei
  2636.          einem Diskwechsel kommt der GURU.
  2637.          Eine Vermehrung konnte also von mir NICHT erreicht werden. Also
  2638.          keiner Erwaehnung wert. Leider nicht. Dieses unsichtbare File
  2639.          wurde auf einer A3000-HD in c gefunden. Die Startup-sequence
  2640.          war modifiziert und verhinderte den ordnungsgemaessen Bootvorgang.
  2641.          Ein 2.Fall wurde im Feb. im Fido-Netz besprochen, wobei hier
  2642.          aber nur ueber die Vektoren geschrieben wurde und das namentliche
  2643.          Nicht-Erkennen des Prg.s .
  2644.          Da bei einer HD der Rootblock nicht mit $6e000 gefunden werden
  2645.          kann, darf es gar nicht zu einer Vermehrung kommen. Ich vermute
  2646.          deshalb, dass ein anderes Prg. die Installierung vornimmt. Der
  2647.          Prg.Name ist NICHT bekannt.  Stand:07.03.92
  2648.          Empfehlung: SOFORT loeschen und startup-seq. ueberpruefen.
  2649.  
  2650.    - JITR          Cool, DoIo, FastMem ja, im Speicher immer ab $7ec10
  2651.          Vermehrung: ueber BB
  2652.          Sonst keine Routine vorhanden !!!! VirusPrg. nur $200 Bytes lang.
  2653.          Im BB lesbar:
  2654.             I'm a safe virus! Don't kill me! I want to travel!
  2655.                And now a joke : ATARI ST
  2656.             This virus is a product of JITR
  2657.  
  2658.    - Joshua
  2659.       senkrechtstehender Text Joshua (ueber Graphikroutine)
  2660.       Begin, Kickmem, KickTag, KickCheck, Vec5
  2661.  
  2662.    - Joshua 2     anderer Name: Joshua3 oder Switch-Off
  2663.       Cold, Begin, Vec5
  2664.       hat Probleme mit einem Befehl im C-SubD. von WB1.3
  2665.       Bootblock jetzt verschluesselt:  loop: move.b (A0),D0
  2666.                                              eori.b #$18,D0
  2667.       das eor-Byte wechselt und steht auch   move.b D0,(A0)+
  2668.       an $3ff des BBs. Zu erkennen ist der   cmpa.l A1,A0
  2669.       Joshua 2 am Ende des BBs an der Byte-  bne loop
  2670.       folge, wobei sich aber das X je nach   rts
  2671.       eor-Byte aendert: .XX...XXX........XX.XX.XXXX...X.XX.
  2672.       die Punkte koennen auch durch andere Zeichen belegt sein
  2673.  
  2674.    - Joshua 3    anderer Name und richtig: Joshua 2
  2675.       es existiert eine BB-Sammlung, die einen wirklichen ByteBandit
  2676.       (aufs Byte im Speicher) Joshua1 nennt. Hieraus ergibt sich
  2677.       dann eine falsche Nummer. Nachtrag: Diese BB-Sammlung wurde
  2678.       inzwischen (15.04.91) in diesem Punkt korrigiert !!
  2679.  
  2680.    - Julie   anderer Name Tick oder VIRUS PREDATOR
  2681.          immer $7f800, cool, DoIo, BeginIo und  $20
  2682.          arbeitet nicht sauber mit 1MB Chip
  2683.          testet einige Zeiger und drei Werte (z.B. auf $7ec00)
  2684.          Vermehrung: ohne Warnung ueber (nur ausfuehrbare) BB's
  2685.             decodiert mit not.b (a0)+ steht im Speicher:
  2686.                `  VIRUS PREDATOR  (4-88-SPAIN)  ID: 027798336  `
  2687.          also ist der Name Julie eigentlich falsch !!
  2688.  
  2689.  
  2690.    - Kauki   immer $7ec00, Cool, im Prg. $80, $84, $88
  2691.          im Prg. auch noch DoIo, schreibt aber spaeter im Prg DoIo von
  2692.          KS1.2 zurueck (nach Vermehrung)
  2693.          den meisten Platz brauchen die Chopperlisten. Das ChopperIntro
  2694.          laeuft auch mit KS1.3 . Kauki im BB nicht sichtbar.
  2695.  
  2696.    - Kefrens     SCA-Clone
  2697.          Text im BB:
  2698.                        Ohh noo!!!!
  2699.                I think something is wrong!
  2700.                    and even better...
  2701.                Some of your disks are sick
  2702.                        Watch out!
  2703.                        By Kefrens
  2704.                       offcourse!!!
  2705.  
  2706.    - Kefrens 2  wie Kefrens = SCA-Clone nur Text verschoben
  2707.  
  2708.    - KICK-Virus  SADDAM-Clone  wird von VT als SADDAM-Clone erkannt
  2709.          Blocklangwort: KICK
  2710.          Namensbegruendung: im Speicher ist decodiert zu lesen
  2711.            6b2e6465 76696365 00010820 204b4943 k.device...  KIC
  2712.            4b202056 49525553 00000000 03f30000 K  VIRUS........
  2713.            00000000 00010000 00000000 00000000 ................
  2714.            01c50000 03e90000 01c55573 65204b69 ..........Use Ki
  2715.            636b7374 61727420 312e322f 312e3300 ckstart 1.2/1.3.
  2716.            00000000 00000000 00000000 00000000 ................
  2717.          Use Kick... ist uncodiert im Disk-Validator-File zu lesen.
  2718.          Behandlung: siehe bei SADDAM     09.04.93
  2719.  
  2720.    - Killed Virus  BB  immer $7EC00, Cool $7EC92, DoIo $7ECCA
  2721.          KS2.04: ja   Fordert trackdisk.device NICHT
  2722.          Vermehrung und Schaden: BB
  2723.          Namensbegruendung: im BB zu lesen:
  2724.            72790020 4b696c6c 65642000 4ef90000 ry. Killed .N...
  2725.            0000ffff fdf6436f 70793a30 32390000 ......Copy:029..
  2726.          Beim Boot-Vorgang li.MT  Text ueber Graphik
  2727.             heller Hintergrund, dunkle Schrift
  2728.                  Copy:029
  2729.          Danach re. MT:  gleiche Farben:   Killed
  2730.  
  2731.    - L.A.D.S     DoIo, KickTag, KickCheckSum, immer $7F400
  2732.          versucht eine Taeuschung durch DisplayAlert beim Booten:
  2733.             (Text auch im BB lesbar)
  2734.                        L.A.D.S Virus Hunter
  2735.                         No virus in memory
  2736.                       Press any mouse button
  2737.          Entgegen der Aussage findet KEIN Virustest statt, sondern das
  2738.          eigene Programm wird resetfest installiert.
  2739.          Vermehrung: jeder BB einer Disk OHNE Rueckfrage
  2740.          bei Wert 5 in der Zaehlzelle:
  2741.          veraendert x- und y-Koordinaten bei Mausbewegungen
  2742.          sobald die Zaehlzelle den Wert 8 erreicht:
  2743.          ein Teil des Virusprogramms wird entschluesselt mit
  2744.                         eori.b #$41,(a0)+
  2745.          und mit DisplayAlert ausgegeben:
  2746.                   AMIGA COMPUTING Presents:
  2747.                       The GREMLIN Virus
  2748.              All Code (c) 1989 By Simon Rockman
  2749.  
  2750.          Hinweis 17.11.92: siehe auch MKV-Filevirus
  2751.  
  2752.  
  2753.    - LameBlame!    anderer Name: Taipan-LameBlame
  2754.          Cool, DoIo  auch KS2.04
  2755.          BB codiert mit Wert aus $DFF006
  2756.          Schaeden:
  2757.          Vermehrung mit BB
  2758.          sobald Zaehlzelle 8 erreicht hat:
  2759.          DisplayAlert: LameBlame! by Tai-Pan usw.
  2760.          sonst nichts
  2761.          Herkunft: Virusinstall V2.0
  2762.  
  2763.    - Lameralt    abcd bei $3a6    = Lamer! Exterminator
  2764.          schreibt Lamer!!! in irgendeinen Block
  2765.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  2766.    - Lamerneu    abcd bei $396    = LAMER! Exterminator
  2767.          schreibt LAMER!!! in irgendeinen Block
  2768.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData
  2769.    - Lamer1      fedc bei $342
  2770.          schreibt LAMER
  2771.          Begin, KickTag, KickCheckSum
  2772.    - Lamer2      abcd bei $392
  2773.          schreibt LAMER
  2774.          FastMem ja, Begin, KickTag, KickCheckSum, SumKickData 
  2775.    - Lamer3      abcd bei $3f4
  2776.          (OrigBB in 2 u. 3)
  2777.          Fastmem ja, Begin, KickTag, KickCheckSum, SumKickData
  2778.  
  2779.    - Lamer4      abcd bei $3ae
  2780.       BeginIo, KickTag, KickCheckSum und SumKickData
  2781.       Vermehrung: ueber BB
  2782.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  2783.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  2784.          mit $DFF006 ermittelt.
  2785.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  2786.       schluesselungsByte wird mit $DFF007 festgelegt.
  2787.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt.
  2788.  
  2789.    - Lamer5      abcd bei $3aa   FastMem ja
  2790.       BeginIo, KickTag, KickCheckSum und SumKickData
  2791.       Vermehrung: ueber BB
  2792.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  2793.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  2794.          mit $DFF006 ermittelt.
  2795.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  2796.       schluesselungsByte wird mit $DFF007 festgelegt.
  2797.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  2798.  
  2799.    - Lamer6      abcd bei $396   FastMem ja
  2800.                   aehnlich Lamerneu Unterschied 48Bytes
  2801.       BeginIo, KickTag, KickCheckSum und SumKickData
  2802.       Vermehrung: ueber BB
  2803.       Zerstoerung: ueberschreibt einen Block mit 85 x LAMER! und da
  2804.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  2805.          mit $DFF006 ermittelt.
  2806.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  2807.       schluesselungsByte wird mit $DFF007 festgelegt.
  2808.       Speicher fuer VirusHauptPrg wird ueber SysStkLower besorgt.
  2809.       zusaetzlich im Prg. noch Remove Node, Test auf Cool u. Cold .
  2810.  
  2811.    - Lamer7     andere Namen: Selfwriter, Pseudoselfwriter
  2812.       keine signifikante Endekennung, Laenge BB $3BD,
  2813.       BeginIo, KickTag, KickCheckSum
  2814.       Vermehrung: ueber BB
  2815.       Zerstoerung: ueberschreibt einen Block mit 85 x Lamer! und da
  2816.          zwei Bytes uebrig bleiben, dann !! . Die Blocknummer wird
  2817.          mit $DFF006 ermittelt.
  2818.       Ein neuer BB wird wieder verschluesselt mit eori.b. Das Ver-
  2819.       schluesselungsByte wird mit $DFF007 festgelegt.
  2820.       Speicher fuer VirusHauptPrg wird ueber StructMemList besorgt
  2821.       und !!!! mit allocabs eingetragen. (machen andere Lamer nicht)
  2822.  
  2823.    - Lamer8    keine Endekennung
  2824.       BeginIo, KickTag, KickCheckSum, SumKickData
  2825.       Vermehrung: ueber BB
  2826.       Schaden: Format alle LW
  2827.       Ein neuer BB wird wieder verschluesselt mit eori.w . Das Ver-
  2828.       schluesselungswort wird mit $dff006 festgelegt.
  2829.       BB ist verschluesselt von $3e bis $3cc
  2830.  
  2831.    - LAMER8-File   haengt an VirusX  Laenge: 13192 Bytes
  2832.       Wird im Speicher von VT als LAMER8 erkannt und entfernt.
  2833.       Wichtig:
  2834.       VirusX erkennt LAMER8 im Speicher NICHT !!!!!
  2835.       Vermehrung:
  2836.       NUR als LAMER8-Bootblock moeglich, NICHT als Linkfile !!!!
  2837.       Deshalb in FileTest nur Loeschangebot.
  2838.  
  2839.    - Lamer! Exterminator-File  gepackt: 2260 Bytes (Zahl stimmt)
  2840.                              ungepackt: 1824 Bytes
  2841.       KS2.04: Ja
  2842.       Verbogene Vektoren: siehe oben
  2843.       Tarnung:
  2844.       Fuehrt neben Installierung von Lameralt.BB im Speicher auch den
  2845.       endcli-Befehl (KS1.3) aus. Aenderung gegenueber OrigBefehl:
  2846.       process wird zu task, 2 Werte $52 werden zu $51
  2847.       Vermehrung:
  2848.       NUR als Lameralt-Bootblock moeglich, NICHT als Linkfile !!!!
  2849.       Da jeder den endcli-Befehl in c hat (KS2.04 nicht mehr), gibt
  2850.       es in FileTest nur Loeschangebot. Danach bitte von OrigWB endcli
  2851.       nach c neu kopieren.
  2852.       VT kennt: 16.10.92
  2853.  
  2854.       Hinweis:
  2855.       Es wird ein "Lamer"-Bootblock weitergegeben, bei dem Lamer
  2856.       Exterminator im BB zu lesen ist. Dieser BB ist NICHT bootfaehig
  2857.       und wird deshalb von VT nur als  Nicht-Standard-BB erkannt.
  2858.  
  2859.    - Lamer-LoadWB  FileVirus Laenge: 4172 Bytes
  2860.       KickTag, KickCheckSum, SumKickData, BeginIo
  2861.       in SubDir c
  2862.       in LoadWB sichtbar: The LAMER Exterminator !!!
  2863.       Virus haengt vor dem LoadWB-Teil
  2864.       schreibt zuerst das Virusprogramm in den Speicher und fuehrt dann
  2865.       den LoadWB-Befehl aus.
  2866.       Kann sich nicht als LoadWb vermehren, sondern schreibt einen
  2867.       Lamer-BB
  2868.  
  2869.    - Lamer Bomb     anderer Name: Gotcha LAMER   s.o.
  2870.  
  2871.    - Laurin-Virus  SADDAM-Clone  Wird von VT als SADDAM-Clone erkannt.
  2872.       Blocklangwort: $a0a0a0a0
  2873.       Namensbegruendung: im Speicher ist decodiert zu lesen
  2874.            74726163 6B646973 6B2E6465 76696365 trackdisk.device
  2875.            00010820 4C617572 696E2056 69727573 ... Laurin Virus
  2876.       Behandlung: siehe bei SADDAM
  2877.  
  2878.  
  2879.    - le RoLE   franz. Name fuer Return of The Lamer Exterminator  s.u.
  2880.  
  2881.    - Liberator virus v1.21  anderer Name: MemCheck s.u.
  2882.  
  2883.    - Liberator Virus V3.0  Laenge: ungepackt 10712 (ich hab nur die un-
  2884.          gepackte Version, deshalb erkennt VT auch nur das ungepackte
  2885.          File !!!)
  2886.          Namensbegruendung: s.u.
  2887.          KS2.04: JA    68030: JA
  2888.          bleibt NICHT im Speicher nach Aenderung von .fastdir .
  2889.          Richtiger Name fuer das File: cv
  2890.          Versucht durch Cli-Ausgabe zu taeuschen:
  2891. Check Vectors rev 5.1  All Rights Reserved  more TUPperware © by Mike Hansell
  2892. Reset vectors ok, Nothing resident, Trackdisk.device not intercepted,
  2893. DoIO ok, VBlank ok, dos.library not intercepted.
  2894. System appears to be free of viruses and trojans!
  2895.  
  2896.          Legt in Wirklichkeit .fastdir an (bei mir auf 3 SCSI-HD in einem
  2897.          Durchlauf). Laenge: 2/3 Bytes . Startwert auf allen Festplatten
  2898.          in .fastdir  $310a = 1 Return  . Hinweis: .fastdir hat danach im
  2899.          Namen noch 2 leerzeichen ($20)  Auszug aus FileheaderBlock:
  2900.                   0         0         0 ............
  2901.                13f1       3d5       484 ............
  2902.             a2e6661  73746469  72202000 ..fastdir  .
  2903.                   0         0         0 ............
  2904.  
  2905.  
  2906.          Schreibt in :s/startup-sequence: cv >NIL:
  2907.             in DH0 bei mir (Auszug):
  2908.           execute s:startup-sequence2
  2909.           cv >NIL:        ;also fast am Schluss !!!!
  2910.           endcli >NIL:
  2911.  
  2912.               DH1 bei mir= Wechselplatte zu der Zeit nicht gemounted
  2913.  
  2914.            in DH2 bei mir (AusZug):
  2915.           LoadWB
  2916.           cv >NIL:        ;also fast am Schluss !!!!!
  2917.           EndCLI >NIL:
  2918.  
  2919.            in DH3 bei mir:
  2920.           LoadWB -debug
  2921.           cv >NIL:        ;also fast am Schluss !!!!!
  2922.           endcli >NIL:
  2923.          Es wurden ALLE 3 s-seq in EINEM Durchgang veraendert !!!!
  2924.          MUESSEN Sie also nach dem Entfernen des VirusFiles AUCH loeschen
  2925.          Das Virus-File cv wird NICHT kopiert !!!
  2926.          Beim naechsten Start (vgl. s-seq) wird der Wert in .fastdir er-
  2927.          hoeht. Auszug:
  2928.                0000: 320A                                2.
  2929.          spaeter wird .fastfile-Laenge von 2 auf 3 und dann auf 4 Bytes
  2930.          erhoeht. Sobald erreicht ist: 3130300a = #100 wird ein Text
  2931.          ausgegeben:
  2932.   Congratulations your hard disk has been liberated of virus protection!!
  2933.  
  2934.          Hello from the Liberator virus v3.0 - Digital Deviant
  2935.  
  2936.                     The anti-anti-virus is here again!
  2937.  
  2938.                       Lets play trash the hard disk
  2939.                          and ram the disk heads
  2940.  
  2941.                       Only hardcore belgian rave can
  2942.                         truely liberate the mind!
  2943.  
  2944.                         The liberator 15/01/92
  2945.  
  2946.     Empfehlung: Liberator 3 und .fastdir loeschen . s.-seq in den
  2947.                     den Ursprungszustand zuruecksetzen.
  2948.         Hinweis: Durch die Virus-Programmierung kann es passieren, dass
  2949.         nach der Aktivierung Locks auf .fastdir noch bestehen. VirusPrg
  2950.         gibt den lock nicht frei. Diese Gefahr besteht nur, wenn sich
  2951.         das aktive VirusPrg ueber ihre BootDisk (s-seq) gestartet hat.
  2952.         VT meldet dann beim Loeschversuch DOS-Fehler. Entfernen Sie
  2953.         dann bitte die Zeile aus der s-seq und booten Sie neu. Da das
  2954.         VirusPrg nicht mehr aktiviert wird, koennen keine locks mehr
  2955.         entstehen und das Loeschen der Virus-Files MUSS moeglich sein.
  2956.         Fileerkennung mit VT getestet: 18.10.92
  2957.  
  2958.    - Liberator Virus V5.01  Laenge: ungepackt 16924 (ich hab nur die un-
  2959.          gepackte Version, deshalb erkennt VT auch nur das ungepackte
  2960.          File !!!)  Weiterentwicklung von V3.0 (sehr viele source-Teile
  2961.          gleich)
  2962.          Der "richtige" Name duerfte PV (s.u.) sein.
  2963.          Liberator-Namensbegruendung s.u.
  2964.  
  2965.          Versucht durch Cli-Ausgabe zu taeuschen:
  2966. PV(Protect Vectors) v1.02 by Peter Stuer
  2967. July 22, 1992 FREEWARE
  2968.  
  2969. Reset vectors ok, Nothing resident, Trackdisk.device not intercepted,
  2970. DoIO ok, VBlank ok, low interrupts ok, dos.library not intercepted.
  2971.  
  2972. monitoring vectors...
  2973.  
  2974. Fully Kickstartv2.xx compatible, stops all viruses, checks disk-validators,
  2975. Use run to push this program into the background.
  2976.  
  2977.     Die Tests wurden mit df0: und df1: durchgefuehrt.
  2978.     Nach der Cli-Ausgabe wird gesucht und nach df1: kopiert
  2979.          :c/run, :c/br  (runback), :s/.info (nach o ein Leerzeichen = $20)
  2980.          .info-Laenge: 4 Bytes, .info-Startinhalt bei mir: $00000064
  2981.          Hinweis: Sie MUESSEN also neben dem eigentlichen Virusfile auch
  2982.          .info in s loeschen.
  2983.          Kopiert :c/PV . Dabei wird IMMER der letzte Buchstabe des Files
  2984.          zufallsbedingt geaendert (also aus PV wird Pe oder Pb usw.) .
  2985.          Vermutlich um die Erkennung ueber Filenamen unmoeglich zu
  2986.          machen.
  2987.          Aendert die s.-seq . (MUESSEN Sie von Hand zuruecksetzen)
  2988.           vorher:
  2989.                cls
  2990.           nach Befall:
  2991.                br c:pe
  2992.                cls
  2993.          Das VirusFile enthaelt noch folgenden Text:
  2994.      Congratulations this disk has been liberated of virus protection!!
  2995.  
  2996.           Hello from the Liberator virus v5.01 - Random Disaster
  2997.  
  2998.                    The anti-anti-virus is here again!
  2999.  
  3000.                      Lets play trash the hard disk
  3001.                         and ram the disk heads
  3002.  
  3003.                            The piracy curse
  3004.                    Liberator V - The future is near.
  3005.  
  3006.           Look out for Liberator VI - The final nightmare ...
  3007.                coming soon from a lame swapper near you!
  3008.  
  3009.      Respect to the virus masters Lamer Exterminator,crime & Contrast.
  3010.  
  3011.                And remember - be excellent to each other!
  3012.  
  3013.                          The liberator 27/07/92
  3014.                            Virus Generation :
  3015.  
  3016.     Diesen Text habe ich auf dem Bildschirm im Gegensatz zu Lib 3
  3017.         NICHT gesehen. Vermutlich weil mir das Prg c:stars fehlt . Bei
  3018.         stars duerfte es sich um eine Animation handeln, die hinter dem
  3019.         Text ablaeuft.
  3020.         Empfehlung: Liberator 5, .info loeschen und s.-seq. aendern .
  3021.         Hinweis: Durch die Virus-Programmierung kann es passieren, dass
  3022.         nach der Aktivierung Locks auf s/.info noch bestehen. VirusPrg
  3023.         gibt den lock nicht frei. Diese Gefahr besteht nur, wenn sich
  3024.         das aktive VirusPrg ueber ihre BootDisk (s-seq) gestartet hat.
  3025.         VT meldet dann beim Loeschversuch DOS-Fehler. Entfernen Sie
  3026.         dann bitte die Zeile aus der s-seq und booten Sie neu. Da das
  3027.         VirusPrg nicht mehr aktiviert wird, koennen keine locks mehr
  3028.         entstehen und das Loeschen der Virus-Files MUSS moeglich sein.
  3029.         Fileerkennung mit VT getestet: 18.10.92
  3030.  
  3031.    - Little Sven  BB   anderer Name: Cameleon
  3032.          BB ist codiert (immer neu !!).
  3033.          Ein Teil der Codierung: eor.b d1,(a0)+
  3034.          Decodiert ist im Speicher zu lesen:
  3035.             The Curse of Little Sven!
  3036.          Cool, BeginIo, Supervisor, DisplayAlert im Programm dann: DoIo,
  3037.          FreeSignal
  3038.  
  3039.          Vermehrung: BB
  3040.  
  3041.          Schaeden:
  3042.          - Codiert Datenbloecke  Kennung: $ABCD0008  (Langwort 0 eines Blocks)
  3043.          Die Programme laufen, solange Little Sven im Speicher aktiv ist.
  3044.          Abhilfe: VT kann diese Datenbloecke decodieren. Falls Sie also
  3045.          beim FileTest oder BlockKetteTest den Requester Little Sven
  3046.          erhalten, brechen Sie bitte ab und starten BlockITest .
  3047.          - Verschiebt den Original-Bootblock codiert nach Block2+3.
  3048.            VT kann dies rueckgaengig machen (klicken Sie auf O-BB.
  3049.            Dieses Gadget war frueher Lam3 und schreiben Sie den BB zurueck).
  3050.            A B E R  !!!!!!!!
  3051.            Falls Block 2+3 vorher von einem File belegt war, so wurden
  3052.            durch das Virusprogramm 2 Datenbloecke zerstoert. Das File
  3053.            ist unbrauchbar. Es ist KEINE Rettung moeglich. VT sollte
  3054.            bei BlockKetteTest b.T.Data Block 2 zeigen. Oeffnen Sie
  3055.            den FileRequester (Sp-File-Sp) und loeschen Sie das File.
  3056.          - Enthaelt eine Routine, die 80 Steps nach innen ausfuehrt und
  3057.            dabei Daten schreibt. Diese Routine habe ich NICHT erreicht
  3058.            bei Tests. Alle Daten auf der Disk waeren dann unbrauchbar ???
  3059.          Wird erzeugt beim Starten von XCopyPro V6.5  (Laenge:28336)
  3060.          und kopiert sich dann weiter.
  3061.          Hinweis: im April 92 lag die OrigVersionsNr. von Xcopy erst
  3062.             bei 5.2x (glaub ich).
  3063.          Gefunden in: xcopy65e.lha  Laenge: 25360
  3064.  
  3065.    - LOGIC BOMB   anderer Name: PARADOX I   s.d.
  3066.  
  3067.    - LSD!      (noch ein SCA!)
  3068.  
  3069.    - LUPO-Virus   File   Nano-Clone  s.u.
  3070.               Laenge PP gepackt: 1420 Bytes
  3071.               Laenge ungepackt : 1484 Bytes
  3072.       Name des Files VOR der Vermehrung wahrscheinlich memclear
  3073.       Namensbegruendung: s.u.
  3074.       Unterschiede zu Nano:
  3075.           - anderer Text
  3076.           - unsichtbarer Filename soll " " sein
  3077.        Eine Meisterleistung !!!!!
  3078.            3a200000 00000000 3a732f73 74617274 : ......:s/start
  3079.            ^^^^^^
  3080.            75702d73 65717565 6e636500 20000000 up-sequence. ...
  3081.            0000200a 00c80a2e 2e2e6120 6e657720 .. .......a new
  3082.            76697275 73207275 6e6e6572 2066726f virus runner fro
  3083.            6d204c20 55205020 4f202120 2000140a m L U P O !  ...
  3084.  
  3085.              ^^ = ": ",0 = unsichtbarer Filename fuer Root
  3086.       Die Vermehrung von LUPO findet UNGEPACKT statt !!! Also Leute,
  3087.       seht ein, dass es sinnlos ist. Spielt mit dem Joystick !!!
  3088.       Weiterhin ist bemerkenswert, dass in die startup-sequence eine
  3089.       Zeile mit einem Leerzeichen und return eingebaut werden soll. Nach
  3090.       meinem Wissensstand wird ein normales Leerzeichen in der startup-
  3091.       sequence nicht als Filename , sondern als Leerzeile behandelt.
  3092.       Also wird das vermehrte Virusteil NIE aufgerufen.
  3093.       Speichererkennung von VT: als LUPO
  3094.       Fileerkennung von VT    : als NANO   mehr ist die Sache nicht wert.
  3095.  
  3096.    - LZ-Virus
  3097.       Linkvirus, verlaengert ein File um 400 Bytes
  3098.       testet Hauptversionsnummer der dos.library, falls groesser 34 oder
  3099.       kleiner 33 keine Aktivierung, verbiegt GlobVec 06 = Write
  3100.       linkt sich hinter CodeHunk (meist 1.) und ersetzt z.B. $4e75 = rts
  3101.       durch $6004 = bra.s 4 oder $4eee = jmp durch $60XY
  3102.       Muss deshalb HunkAnzahl nicht veraendern, sondern nur die Anzahl
  3103.       der Langwoerter des befallenen Hunks um $64 erhoehen.
  3104.       Bedingungen fuer ein File:
  3105.       0.LW = $3f3    (ausfuehrbar)
  3106.       1.LW = 0       (keine Resident-Libs zu laden)
  3107.                      (kein Overlay)
  3108.          es wird ein CodeHunk gefunden $3e9
  3109.       der gefundene CodeHunk ist laenger als #1000 Bytes
  3110.       Ursprung:   (Geruecht 14.07.91)
  3111.       SOLL ein LZ-Entpackungsprogramm sein ????   (hab ich nicht)
  3112.       Hinweis: MehrfachLinks an ein File gefunden !!!
  3113.       Hinweis 01.09.92: Ab VT2.44 sollten mehrere LZ-Virus-Links ans glei-
  3114.       che File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  3115.       sich bitte. Danke
  3116.  
  3117.    - MAD  (ForpibClone)  nur Text geaendert  s.o.
  3118.  
  3119.    - MAD II     nur KS1.2, da absoluter DoIo-ROM-Einsprung
  3120.       Cool, DoIo, KickTag, KickCheckSum, im Speicher immer $7FB00
  3121.       im BB sichtbar: MAD II VIRUS is better  usw.
  3122.       Vermehrung: ueber BB
  3123.       Sobald der Inhalt des Zaehlers groesser $D ist, wird in eine
  3124.       DiskStepRoutine verzweigt. Da diese falsch programmiert und somit
  3125.       nicht funktionsfaehig ist, wird nur der Bildschirm dunkel.
  3126.       Hinweis: es existiert ein MAD II, bei dem der MAD-Text mit sinn-
  3127.       losen Buchstabenfolgen (z.B. DAFGderFEHY) ueberschrieben wurde.
  3128.       Wird von VT als MAD II erkannt.
  3129.  
  3130.    - MAD IIa  wie MAD II nur jetzt Warm fuer Cool und andere Source-
  3131.       Aenderungen z.B. $2a in $2e usw. Ergebnis bleibt gleich
  3132.          (Anfaenger bitte bleibt beim Joystick !!!)
  3133.  
  3134.    - MAD III  nur KS1.2  Byte-Warrior-Clone  s.o.
  3135.          geaendert:  DASA0.2 in MAD.III
  3136.  
  3137.    - MAD IV  LamerAltClone  s.o.
  3138.          Unterschied: statt mit Lamer! soll der zerstoerte Block mit MAD
  3139.                       gefuellt werden.
  3140.  
  3141.    - MagiCall  es ist KEIN Virus  wird deshalb von VT nicht erkannt
  3142.       Es ist ein MagiCall (Laenge: 149664) aufgetaucht,
  3143.       an das am Anfang ein einfacher Hunk (mit Namen) angehaengt wur-
  3144.       de. Wenn Sie MagiCall aus dem Cli starten, passiert nichts.
  3145.       Starten Sie dagegen mit dem Icon, so beschwert sich MagiCall mit
  3146.       DisplayAlert ueber die falsche Hunkanzahl. Das Programm selbst
  3147.       enthaelt nach meiner Meinung keinen Virus.
  3148.  
  3149.    - MALLANDER VIRUS V1.0  BB  Block 0-3  auch KS2.04, braucht 1Mb Chip
  3150.          entgegen anderen Behauptungen: laeuft AUCH mit KS1.3 !!!
  3151.          KickTag, KickCheckSum, DoIo, immer ab 7F800
  3152.          anderer Name: DERK    ist 2x im BB zu lesen
  3153.          fordert trackdisk.device NICHT
  3154.          holt 4 Bloecke:
  3155.          Block 0 u. 1 = Virus
  3156.          Block 2 u. 3 = OrigBB  nicht codiert
  3157.          Vermehrung und Schaeden:
  3158.          speichert 4 Blocke ab, d.h. ein File das Block 2 u. 3 belegt,
  3159.          wird zerstoert.
  3160.          belegt immer $4000 ChipSpeicher neu
  3161.          sobald kein Chip mehr frei:
  3162.          decodiert einen BB-Teil mit  eori.w #$aaaa,(a0)+
  3163.          (auch intuition.library) und gibt den Text mit DisplayAlert aus.
  3164.          Danach Reset = jmp FC0000
  3165.                          J.D. MALLANDER VIRUS V. 1.0
  3166.          I need lots of money - buy my cool pd serie 'action power'
  3167.          Hinweis: es gibt KEINE 2 DERK, sondern einer enthaelt Vektoren
  3168.          von KS1.3, der andere von KS2.04 (Beweis: VT vergl.).
  3169.  
  3170.    - MCA      siehe Claas Abraham
  3171.  
  3172.    - MEGAMASTER
  3173.       Cool, DoIo, immer $7e300
  3174.       zwei codierte Bereiche im BB
  3175.       1. Bereich: eori.b #-$45,(a0)+   ; testet auf andere Viren
  3176.       2. Bereich: eori.b #-$11,(a0)+   ; Textausgabe ueber Graphik
  3177.                schwarzer Hintergrund, rote Schrift
  3178.                         Surprise!!!
  3179.                Your Amiga is controlled by
  3180.                         MEGAMASTER
  3181.      Vermehrung: ueber BB
  3182.  
  3183.    - MegaMon   siehe bei PP-Bomb
  3184.  
  3185.    - MemCheck v8.1  File anderer Name: Liberator virus v1.21
  3186.          gepackt (PP): 6492 Bytes   ungepackt: 10936 Bytes
  3187.          nicht resident
  3188.          nach Aufruf erfolgt Textausgabe: MEMORY CLEAR usw.
  3189.          mit SnoopDos kann man feststellen, dass :
  3190.             - versucht wird Sys:.FastDir zu oeffnen
  3191.             - Test ob MemCheck schon in Root
  3192.             - versucht wird startup-sequence zu oeffnen
  3193.                falls ja Eintrag in erste Zeile:
  3194.                   MemCheck s
  3195.          Weiterhin ist im File zu lesen:
  3196.             Hello from the Liberator virus v1.21
  3197.             Lets play trash the harddisk
  3198.             I`m outta here, kiss mine you lamer!
  3199.  
  3200.             DH0: , BLVC   usw.
  3201.  
  3202.          Mit Festplatte:
  3203.          Es wird ein File .FastDir im Root-Verz. angelegt. Sobald im
  3204.          File der Wert $f erreicht ist, erfolgt die Textausgabe (s.o.)
  3205.          und der Computer stellt die Arbeit ein. Kreset wird not-
  3206.          wendig.
  3207.  
  3208.    - MemSearcher-Virus  BB    $6c, $80,  immer ab $7EC00
  3209.          Eine Speicherlupe bis $80000 im BB
  3210.          Da keine Vermehrung eigentlich von der Definition her kein
  3211.          Virus. Aber auf Grund der verbogenen Vektoren dringende Loesch-
  3212.          empfehlung.
  3213.  
  3214.    - MENEM'S REVENGE   Link  LoadSeg
  3215.       Haengt 2 Hunks (ist neu) an. Hunk 1 = $3E9 = CodeHunk
  3216.                                    Hunk 2 = $3EA = DataHunk
  3217.       Verlaengert ein befallenes File um #3076 Bytes.
  3218.       Auch mit KS2.04
  3219.       Korrigiert dos.library mit SumLib.
  3220.       Erzeugt einen Prozess mit Namen: " ",0
  3221.       Wird ein schon befallenes File danach befallenen, so wird mit
  3222.       FindTask ueberprueft, ob der Prozessname schon da ist.
  3223.       Linkbedingungen:
  3224.       File kleiner als #60000
  3225.       Erster CodeHunk enthaelt folgende Bytefolge NICHT:
  3226.          $286A0164 $700C4E095   (vgl. WB1.3 in c  ask  usw.)
  3227.       Linkablauf:
  3228.       Sie starten ein Programm. Menem "merkt" sich dieses Prg..
  3229.       Sie starten ein neues Prg.. Jetzt erst linkt sich Menem an das
  3230.       alte Prg. Nachweis fuer Nicht-Ass-Benutzer mit SnoopDos.
  3231.       Linkergebnisse mit KS1.3:
  3232.       - gelinktes File ausfuehrbar      (auch libs usw.)
  3233.       - gelinktes File NICHT ausfuehrbar   (Hunks des OrigFiles nicht
  3234.           richtig behandelt, File bringt GURU)
  3235.       - File enthaelt nur noch Datenmuell  (keine Rettung moeglich)
  3236.       Unter KS2.04 entstehen weniger defekte Files. 
  3237.       Mit timer.device werden sechs Systemzeiten abgefragt.
  3238.       Textausgabe dann mit DisplayAlert.
  3239.       Dafuer wird ein Virusprogrammteil mit  asr.l #1,d0  decodiert.
  3240.             dc.b 0,$50,$10,"MENEM'S REVENGE HAS ARRIVED !!!"
  3241.                 dc.b 0,1,0,"  ARGENTINA STILL ALIVE",0,0
  3242.       Hinweis: VT setzt LoadSeg zurueck, schreibt einige RTS in den
  3243.          Speicher, entfernt aber den Prozess " "  NICHT. Die Ver-
  3244.          mehrung ist dann NICHT mehr moeglich. Wenn Sie VT nicht glauben
  3245.          oder "110%"-Sicherheit haben wollen, fuehren Sie bitte einen
  3246.          RESET aus.
  3247.       Hinweis2: Bei den Datenmuellfiles kann VT NICHT mehr helfen. Fuer
  3248.          Ausbauversuche bei den anderen Filetypen verwenden Sie bitte
  3249.          eine Kopie der verseuchten Disk. VT versucht auch, die
  3250.          "falschen Hunks" wieder zu berichtigen.
  3251.       Hinweis3: Bedenken Sie bitte, dass inzwischen einige Programme
  3252.          auf dem Markt sind, die Loadseg verbiegen. Wurde Menems VORHER
  3253.          gestartet, so wird er "zugedeckt", bleibt ABER AKTIV !!!!!!
  3254.          Koennen Sie z.B. mit Snoopdos nachvollziehen.
  3255.          Meine Empfehlung: keine Programme verwenden, die LoadSeg patchen.
  3256.  
  3257.  
  3258.    - METAMORPHOSIS V1.0   BB und Link     auch KS2.04  immer ab $7FA72
  3259.          Fordert trackdisk.device NICHT !!!
  3260.          Cold, DoIo, OldOpenLib,  im Prg. noch Cool
  3261.          Im BB und im verseuchten File ist zu lesen:
  3262.          -METAMORPHOSIS V1.0- the next Generation from LAMER-EXTERMINATOR !
  3263.          Schaeden:
  3264.          Sobald der Wert in der Zaehlzelle groesser als $14 ist,
  3265.          Kopfstep alle Laufwerke.
  3266.          NeuBoot dieser Disk ergibt bei mir einen Requester:
  3267.          Volume has a read/write error    (Tracks defekt) nicht mehr
  3268.          viel zu retten.
  3269.          Vermehrung:
  3270.          mit DoIo = BB
  3271.          mit OldOpenLib = Link an File als 1.Hunk
  3272.          Linkbedingungen:
  3273.          - sucht c:           (bei mir NUR da, steht auch so im Prg.)
  3274.          - und dann mit examine, exnext usw Files
  3275.          - kein Schreibschutz
  3276.          - File ausfuehrbar  $3F3
  3277.          - File kleiner #40000
  3278.          - File noch nicht befallen
  3279.  
  3280.          Fuer die Hunk-Bestimmung nimmt das VirusPrg. die IRQ-Methode.
  3281.          Befallene Files sind lauffaehig .
  3282.          Verlaengert ein File um 1060 Bytes.
  3283.          KEIN Eintrag in startup-sequence .
  3284.          Keine Textmeldung des VirusPrg's .
  3285.  
  3286.          Ausbau mit VT getestet: 11.04.92
  3287.  
  3288.          Hinweis: Da alle Files in c: verseucht sein koennen, sollten
  3289.             Sie ueberlegen, ob es nicht schneller ist, alle Files neu
  3290.             von c einer OrigWB-Disk zu kopieren. Dann brauchen Sie mit
  3291.             VT nur noch aus Files den Link-Hunk auszubauen, die auf
  3292.             der Orig-WB-Disk NICHT vorhanden waren.
  3293.  
  3294.    - MEXX     SCA-Clone
  3295.       Text:          Hello there...
  3296.                      Here I'm again...
  3297.                      I've infected ya Disx !
  3298.                      I'm a simple VIRUS
  3299.                      and I came from a group called
  3300.                       --- MEXX ---
  3301.                       Yeah, reset now !!!
  3302.                      Or I will infect more!
  3303.  
  3304.    - MGM89     anderer Name: MEGAMASTER   s.o.
  3305.  
  3306.    - MG's Virus V1.0 (BB)  auch mit KS2.04, aber NICHT mit 68030
  3307.          KickTag, KickCheckSum, SumKickData, GetMes, BeginIo
  3308.          AddIntSer (5 = Vert. Beam)
  3309.          Codiert mit   not.w (a1)+
  3310.          Decodiert im Speicher zu lesen: MG's Virus V1.0
  3311.          Meldet sich nicht.
  3312.          Taeuscht sauberen Bootblock vor bei verbogenen Vektoren
  3313.          Vermehrung bei:
  3314.           - Lesen oder schreiben Block 0
  3315.           - Format Disk
  3316.  
  3317.    - MicroSystems     FastMem ja  nur KS1.2
  3318.  
  3319.          holt selbst Namen aus ROM (z.B. dos.library)
  3320.       Cool und Cold
  3321.       im Prg. bei Bedarf: AddTask, RemTask und DoIo
  3322.       Vermehrung: ueber BB
  3323.       Textausgabe ueber Graphikroutine
  3324.       unverschluesselt steht im BB:
  3325.       YOUR AMIGA IS INFECTED BY
  3326.       A NEW GENERATION OF VIRUS
  3327.       CREATED IN SWEDEN BY
  3328.       MICROSYSTEMS
  3329.  
  3330.    - Micro-Master  ( noch ein SCA! )
  3331.  
  3332.    - MODEMCHECK-Virus    File
  3333.               Installprogramm   Laenge CrunchMania gepackt: 15516 Bytes
  3334.                                 Laenge ungepackt          : 22252 Bytes
  3335.               Virusprogramm loadwb  Laenge: 3604 Bytes
  3336.        Installablauf:
  3337.          Es werden angeblich verschiedene Modemleitungen getestet und
  3338.          die Ergebnisse in der Shell ausgegeben. Aber auch ohne Modem
  3339.          wurden bei mir alle Leitungen mit OK ausgegeben. In Wirklich-
  3340.          keit wird c/loadwb kopiert. Ein mitlaufendes Snoopdos-Programm
  3341.          wird abgeschaltet.
  3342.        Zerstoerungsablauf:
  3343.          Nach einem Reset muss loadwb neu geladen werden. Der loadwb-
  3344.          Befehl wird ausgefuehrt, wenn eine KS 36 oder hoeher vorliegt.
  3345.          Ausserdem wird immer ein Prozess Diskdriver.proc gestartet.
  3346.          Bevor die Zerstoerung beginnt werden noch einige Tests durchge-
  3347.          fuehrt:
  3348.            - execversion = 37.132 = KS2.04 . Falls Nein KEINE Zer-
  3349.              stoerung, sondern Programmende. Also keine Gefahr bei
  3350.              A600, A600HD usw.
  3351.            - ein Speicherbereich wird mit eori.b #$8E,d0 decodiert.
  3352.              Es ergibt sich S:HORSE
  3353.              Es wird nun versucht dieses File zu oeffnen. Falls ja,
  3354.              dann Programmende. Also wahrscheinlich ein Schutz fuer
  3355.              den Programmierer.
  3356.          Das Virusteil hat bei mir NIE sofort mit der Zerstoerung be-
  3357.          gonnen ( fuenf Versuche).
  3358.          Durch die Zerstoerungsroutine werden die Bloecke mit FUCK
  3359.          aufgefuellt. s.u.
  3360.          Es gibt leider KEINE Rettung fuer das Medium. Es bleibt nur
  3361.          Format.
  3362.            lZ    0 Bl      0
  3363.          00000000: 4655434b 4655434b 4655434b 4655434b FUCKFUCKFUCKFUCK
  3364.          00000010: 4655434b 4655434b 4655434b 4655434b FUCKFUCKFUCKFUCK
  3365.          00000020: 4655434b 4655434b 4655434b 4655434b FUCKFUCKFUCKFUCK
  3366.               usw.
  3367.          Hinweis: Der Rigid-Bereich war nicht betroffen.
  3368.          Hinweis 2: VT versucht den Prozess abzuschalten. Da Prozesse
  3369.          im Amiga nur schwer abzuschalten sind, KANN es zu einem Ab-
  3370.          sturz kommen, MUSS aber nicht. Ich habs 10x ohne Absturz ge-
  3371.          schafft, den AKTIVEN Prozess zu entfernen.
  3372.          Hinweis 3: Bitte vergessen Sie nicht, den Original-LoadWB-Be-
  3373.          fehl neu aufzuspielen, da VT nur loeschen fuer das Virusteil
  3374.          anbietet.
  3375.  
  3376.    - Morbid Angel   Forpib-Clone   s.o.
  3377.          nur sichtbarer Text und einige unwichtige Bytes wurden
  3378.          geaendert.
  3379.  
  3380.    - MOSH1-BB     Cool, nach Reset auch $68 immer ab $7C000
  3381.          soll Virusdemo sein (so ein Schwachsinn)
  3382.          keine Vermehrung, codiert mit MOSH, eor.l d0,(a0)+
  3383.          ueber $68 und in Abhaengigkeit von Zaehlzelle (Cmpi.l #$190,(a0))
  3384.          Textausgabe ueber Graphikroutine:
  3385.          schwarzer Hintergrund, Gelbe Schrift
  3386.             MAFIA PLK  usw
  3387.          da Endlosschleife Reset notwendig
  3388.          dringende Empfehlung: loeschen
  3389.  
  3390.    - MOSH2-BB s.o keine Vermehrung
  3391.       KS2.04: nach Reset Absturz
  3392.       zusaetzlich nach reset oldopenlib verbogen und ueber displayAlert
  3393.       Textausgabe: Hey you old lame   usw.
  3394.       Da keine Vermehrungsroutine eigentlich kein Virus
  3395.       dringende Empfehlung: sofort loeschen
  3396.  
  3397.    - MsgTop V1.0   siehe oben Devil_11_B.Door
  3398.              Laenge gepackt: 13548   VT erkennt Imploder
  3399.              Laenge einmal entpackt: 17884  VT erkennt Devil_11
  3400.  
  3401.    - mount-Virus   Laenge: 1072   KEINE verbogenen Vektoren
  3402.       reines Zerstoerungsprogramm  KS1.3: NEIN  GURU 3  KS2.04: JA
  3403.       laeuft aber unter KS2.04 mit ORIG-Mount-Befehl von KS1.3 .
  3404.       Guru-Fehler liegt im VirusPrg.
  3405.       Von der Definition KEIN Virus, da keine Vermehrung.
  3406.       Namensbegruendung: im File ist am Anfang zu lesen
  3407.                                           633A               c:
  3408.            6D6F756E 74000000 00000000 00000000 mount...........
  3409.       Liegt in c: als mount Laenge 1072
  3410.       Braucht in c:why . Wird von mount-Virus aufgerufen. Der why-
  3411.       Befehl ist ein umbenannter Orginal-Mount-Befehl. Die Version
  3412.       des Orginal-Mount-Befehls spielt keine Rolle. (wurde getestet)
  3413.       Den why-Befehl gibt es unter KS2.04 NICHT mehr in c: !!!!
  3414.       Ablauf:
  3415.       In jeder s-seq ist wahrscheinlich der mount-Befehl enthalten.
  3416.         mount aux   usw.
  3417.       Das Virus-Mount-Prg. wird also gestartet.
  3418.       Das VirusPrg. sucht sich selbst (c:mount) und ueberprueft ob die
  3419.       Zaehlzelle im Prg. schon den Wert #20 erreicht hat. Wenn nein,
  3420.       wird der Zaehler um 1 erhoeht und zurueckgeschrieben (open, seek,
  3421.       read, write, close). KEINE Gefahr !!!
  3422.       Wenn ja : Zaehlerzelle = #20
  3423.       Aufruf von c:why  (= Orig.-mount) mit execute
  3424.       Suche in Liste nach DH    (also keine Zerstoerung von df0: usw.)
  3425.       Info besorgen, Blockanzahl besorgen, allocmem leer Blocklaenge,
  3426.       Mit DoIo ueber Schleife jeden Block leer neu schreiben.
  3427.       Wenn fertig Motor aus. Suche in Liste naechstes DH .
  3428.       Sie koennen so ihre Festplatten ohne Probleme unbrauchbar machen.
  3429.                           Tests wurden durchgefuehrt mit df0:
  3430.       gemountet als DH0: . Erfolg siehe oben
  3431.  
  3432.       Fileerkennung getestet mit VT : 28.09.92
  3433.       Empfehlung: mount und why einfach loeschen und neu aufkopieren.
  3434.  
  3435.       Nachtrag 06.01.93: Ein User hat das Install-Programm gefunden.
  3436.       siehe bei SMBX-Mount Virus
  3437.  
  3438.  
  3439.    - MUTILATOR-Virus   BB
  3440.       Namensbegruendung: siehe unten
  3441.       Fordert trackdisk.device NICHT
  3442.       Im Speicher immer ab $7CAD0
  3443.       Verbogene Vektoren: Cool, DoIo
  3444.       Decodiert mit eori.b #$27,(a1)+ steht im Speicher:
  3445.            00000000 00aa0c54 48495320 49532054 .......THIS IS T
  3446.            4845204e 4557204d 5554494c 41544f52 HE NEW MUTILATOR
  3447.            2d564952 55532021 000100d2 14425920 -VIRUS !.....BY
  3448.            4d415820 4f462053 5441524c 49474854 MAX OF STARLIGHT
  3449.            00000000 00005468 616e7820 746f2054 ......Thanx to T
  3450.            68652045 78656375 746f7273 20666f72 he Executors for
  3451.            20537072 65616469 6e672074 68697320  Spreading this
  3452.            47524541 5420636f 64652021 20646f6e GREAT code ! don
  3453.            653a202d 20313939 32202d20 00000000 e: - 1992 - ....
  3454.        Vermehrung: BB
  3455.           Vermehrung mit DoIo ist nur moeglich, wenn Speicher ab
  3456.           $C000000 vorhanden ist !!!!
  3457.        Schaeden:
  3458.           Sobald eine Zaehlzelle den Wert $e0 und eine andere den
  3459.           Wert 3 erreicht hat, Textausgabe (s.o.)
  3460.  
  3461.    - MVK   17.11.92  FileVirus   Laenge: 1052 Bytes  wird weitergegeben
  3462.       als MVK.lzh  Laenge: 1171 Bytes
  3463.  
  3464.       Namensbegruendung: aus Readme.file in Archiv Laenge: 469 Bytes
  3465.  
  3466.        Yeah, SUPPLEX presents a new Mini-Virus-Killer !!!
  3467.        To Start write > MVK < and MVK is than aktiv in your Memory,
  3468.        don't panic it is not a Virus..........
  3469.        MVK-Archiv contains :
  3470.        MVK.exe
  3471.        Readme.file  ( You read this now )
  3472.  
  3473.       Im File ist uncodiert zu lesen:
  3474.           2A2C202F 41414600 F00F412E 492E442E *, /AAF.d.A.I.D.
  3475.           53205649 5255532D 48554E54 455200FF S VIRUS-HUNTER.y
  3476.  
  3477.       Es handelt sich also um eine Meisterleistung:
  3478.          - jemand hat es geschafft  L.A.D.S  in A.I.D.S  umzuwandeln.
  3479.          - jemand hat es geschafft mit einem UtilityPrg einen BB in ein
  3480.            ausfuehrbares Prg. umzuwandeln.
  3481.          - jemand hat es NICHT geschafft die codierte Graphik-Text-Routine
  3482.            zu aendern
  3483.       Es handelt sich also in Wirklichkeit um den LADS-BB-Virus. Lesen
  3484.       Sie bitte dort nach. Das Prg vermehrt sich NUR als BB. Da die
  3485.       DOS0-BB-Kennung fehlt, entsteht eine nicht bootbare Disk !!!
  3486.       VT erkennt im Speicher und beim FileTest LADS-Virus.
  3487.  
  3488.    - MwB-Virus BB   ein echter Julie s.o.
  3489.       Da der Julie.BB nicht den ganzen BB braucht, hat es jemand geschafft,
  3490.       einen Text einzubauen, der NIE erreicht wird. VT erkennt weiterhin
  3491.       Julie .      
  3492.            ccccc9df df000000 4d77422f 4777482f ........MwB/GwH/
  3493.            74686520 62657374 20696e20 686f6c6c the best in holl
  3494.            616e6400 00000000 00000000 00000000 and.............
  3495.  
  3496.  
  3497.    - NANO   File-Virus  Laenge: 1484 Bytes   KS2.04: ja
  3498.       Im Speicher immer ab: $7C000   Cool $7C0DE, OldOpenLib $7C1CC
  3499.       und SumKickData $7C3B2
  3500.       Grundgeruest ist die Compuphagozyte-Familie, erweitert um zwei
  3501.       Ausgaberoutinen.
  3502.       Schreibt in erste Zeile der startup-sequence:
  3503.         $A0A0A0A0A0A0," ",$0A
  3504.       Schreibt sich als unsichtbares ($A0A0A0A0A0A0) Programm in die
  3505.       Root-Dir (erzwungen durch : ).
  3506.       Beim Test gab es Probleme fuer das Virus-Prg, die richtige Startup-
  3507.       Sequence-Laenge zurueckzuschreiben. Sie muessen also mit dem Total-
  3508.       verlust der Startup-Sequence rechnen. Weiterhin wird die startup-
  3509.       sequence immer wieder verseucht (Beispiel s.u.), OHNE Test auf schon
  3510.       veraendert. Also eine typische ANFAENGER-Programmierung.
  3511.            a0a0a0a0 a0a0200a a0a0a0a0 a0a0200a        .       .
  3512.            a0a0a0a0 a0a0200a a0a0a0a0 a0a0200a        .       .
  3513.            a0a0a0a0 a0a0200a 636c730a 0a020000        .cls.....
  3514.  
  3515.       Hat zwei Zaehlzellen:
  3516.            a) Ausgabe der Deutschlandfarben
  3517.            b) DisplayAlert:
  3518.                     ... another masterpiece by  N A N O  !!!
  3519.         GREETINGS TO:
  3520.         Byte Bandit, Byte Warrior, DEF JAM, DiskDoktors
  3521.         FANTASY, Foundation For The Extermination Of Lamers,
  3522.         I.R.Q. Team, Obelisk Softworks Crew, S.C.A., UNIT A ...
  3523.       VT2.52 erkennt und loescht: 31.03.93
  3524.       Bitte denken Sie daran, auch die startup-sequence zu aendern !!!
  3525.  
  3526.  
  3527.    - NaST  29.03.92  File    Laenge: 2608 Bytes
  3528.       auch KS2.04
  3529.       Grundgeruest: BGS9
  3530.          KickMem, KickTag, KickCheckSum, Openwindow (int.lib)
  3531.       Neu: $6c, FindTask, OldOpenLib, NewOpenLib
  3532.            dafuer fehlt decode BitPlanes
  3533.       Herkunft des Namens:  2x im Virus-File zu lesen
  3534.       verschiebt Orig-File unsichtbar nach c
  3535.        $A020A020A020202020A0202020A0
  3536.       VT versucht zuerst rename und falls OrigFile nicht gefunden,
  3537.       wird angeboten das Virus-File allein zu loeschen. Dann muessen
  3538.       Sie aber wahrscheinlich die 1.Zeile der startup-sequence aendern.
  3539.  
  3540.    - Nasty-Nasty  BB  nur KS1.2  immer ab $7F000
  3541.       Cool, DoIo, Userstate, Superstate, Alert
  3542.       Vermehrung und Schaeden:
  3543.          - BB
  3544.          - sobald die Zaehlzelle den Wert 5 erreicht hat:
  3545.                format Disk
  3546.       Das VirusPrg gibt keine Meldung aus. Im BB ist Nasty-Nasty! zu
  3547.       lesen.
  3548.  
  3549.    - NO BANDIT   (siehe unten Virenfinder)
  3550.  
  3551.    - No head     s.b. ByteBanditPlus
  3552.  
  3553.    - No Name 1    anderer und richtiger Name :  Byte Bandit 2
  3554.       kein FastMem, BeginIo, KickTag, KickCheckSum, Vec5
  3555.       SpeicherLage ueber structMemList, Speicherreservierung fuer
  3556.       neuen  BBVirus mit allocmem, Zaehlstelle: Virusstart + $1c
  3557.       Vermehrung: ueber BB
  3558.       Im BB lesbar: trackdisk.device (weit unten)
  3559.       ein ByteBanditClone, ohne Tastaturabfrage, nur 5 Kopien und
  3560.       kuerzer gesetzter Zeit
  3561.  
  3562.    - NoName2   BB   Cool, DoIo, SumKickData  auch KS2.04
  3563.       Vermehrungszaehler: bei mir  $269
  3564.       Es ist mir ein Raetsel, warum dieser BB solange unbemerkt bleiben
  3565.       konnte. Im letzten Jahr hat es kein Virus weiter als $10 ge-
  3566.       bracht. Dann hat ihn jemand spaetestens entdeckt.  ???
  3567.       Erstinstallierung im Speicher von BB:
  3568.       Falls Cool und KickTag nicht Null oder DoIo nicht Original, dann
  3569.       RESET.
  3570.       Nach Installierung und Reset sichert der Virus sein Prg durch
  3571.       AllocAbs.
  3572.       Vermehrung und Schaden:
  3573.       ueber BootBlock
  3574.       Rueckgabewert von SumKickData in d0 enthaelt Wert aus $DFF006.
  3575.       Virus meldet sich NIE. Kein Name versteckt oder codiert, deshalb
  3576.       NoName2 . Im BB ist ab $264  trackdisk.device zu lesen.
  3577.  
  3578.    - No-Guru V2.0   Filelaenge: 1224 Bytes (mit PP-Data-Prg.teil)
  3579.       Nach meiner Meinung nur gefaehrlich fuer AmiExpress-Benutzer
  3580.          (hab ich nicht)
  3581.       verbiegt: Alert, Autorequest
  3582.       Textausgabe im Cli:   u.a.
  3583.          Making life with AmiExpress just that little bit easier...
  3584.       Sucht nach bss:user.data ; Falls vorhanden werden $8000 Bytes
  3585.       geladen. Der geladene Teil wird nach renegade, jock rockwell
  3586.       oder spiral durchsucht und gegebenenfalls geaenderte Daten
  3587.       zurueckgeschrieben.
  3588.       Empfehlung: loeschen
  3589.  
  3590.    - NorthStar   anderer Name: Starfire  s.u.
  3591.  
  3592.    - NoVi   (File)  TerroristsClone s.u.  Laenge:1612 Bytes
  3593.       Aenderungen: TTV1 geaendert in NoVi
  3594.          Orig-File wird jetzt nach sys:c/.fastdir,$A0 verschoben.
  3595.  
  3596.    - Nuked007    siehe bei SHIT
  3597.  
  3598.    - Obelisk1  ( Deutschlandfahne + Graphiktext) Einsprung:cool
  3599.                schreibt in Speicherstelle $00000060 das Wort GURU
  3600.                zerstoert damit den Ausnahmevector, der ins ROM
  3601.                IR-Ebene 7 zeigt !!
  3602.  
  3603.    - Obelisk2   Begin, KickTag, KickCheckSum, Vec5
  3604.                 Einsprung:KickTag ,drei ZaehlZellen, Ausgabe:Graphik-
  3605.                 text mit FormatAndrohung, wird nur durch KopfAnschlag
  3606.                 vorgetaeuscht !! Nachweis mit TrackDisplay !!
  3607.                 Speicherstelle $60 s.o.
  3608.  
  3609.    - OP1    (Neuseeland)  richtiger Name: Joshua
  3610.  
  3611.    - OPAPA     Begin, KickTag, KickCheckSum, Vec5
  3612.                Zaehlzelle: ja, Vermehrung: ueber BB jedes LW
  3613.                Textausgabe (ueber Graphik) OPAPA-VIRUS READY STEADY FORMAT
  3614.                Kopf steppt nach Track 0 alle LW
  3615.          Clone: 04.03.92   Text entfernt
  3616.  
  3617.    - Overkill VIRUS  BB  Block 0-3  auch KS2.04, immer ab $7F700
  3618.          Cool, KickCheckSum,SumKickData, DoIo
  3619.          fordert trackdisk.device NICHT   = auch HD !!!!!!!
  3620.          Namensbegruendung:
  3621.          decodiert ist im Speicher zu lesen: Overkill by the ENEMY !
  3622.          Decodierroutineteil:
  3623.             sub.b d6,d5
  3624.                         move.b d5,(a5)+
  3625.          holt 4 Bloecke:
  3626.          Block 0 u. 1 = Virus
  3627.          Block 2 u. 3 = OrigBB  nicht codiert
  3628.          Vermehrung:
  3629.          Codiert jeden Virus fuer BB neu in Abhaengigkeit von $DFF006
  3630.          speichert 4 Blocke ab, d.h. ein File das Block 2 u. 3 belegt,
  3631.          wird zerstoert.
  3632.          Schaden: (auch HD!!!!!!!!)
  3633.          - Bestimmt ueber $DFF006 eine Blocknummer
  3634.          - Schreibt ZWEI Bloecke (ist neu) mit Speicherinhalt.
  3635.            d.h. im unguenstigen Fall wird Block1 an das Ende eines Files
  3636.            und Block2 an den Beginn eines zweiten Files geschrieben.
  3637.            Diese Files sind NICHT zu retten. Im 1.ZerstoerungsBlock
  3638.            steht ab $22 Overkill by the ENEMY !. Da KEINE Blockaus-
  3639.            wertung erfolgt, kann auch ein Dir-Block, ListBlock usw.
  3640.            zerstoert werden. Versuchen Sie bitte mit disksalv zu retten,
  3641.            was noch brauchbar ist.
  3642.            Zyl 0 Block  55
  3643.                ^
  3644.          0000: 0007f708 00000000 4afc0007 f7080007 ........J.......
  3645.          0010: ff00011f 00450007 f7220007 f7220007 .....E..."..."..
  3646.          0020: f7d64f76 65726b69 6c6c2062 79207468 ..Overkill by th
  3647.          0030: 6520454e 454d5920 21002879 0007fab0 e ENEMY !.(y....
  3648.            Sie sehen: Es kann auch den Rigid-Bereich erwischen !!!
  3649.  
  3650.            Mit OrigBB koennen Sie den Block2-3 nach Block0-1 kopieren
  3651.            und abspeichern.
  3652.            VT kennt BB und Speicher: 17.10.92
  3653.  
  3654.    - PARADOX I  KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7F800
  3655.                Vermehrung und Schaden: Bootblock
  3656.                Text sichtbar im BB:
  3657.                * A new age of virus-production has begun ...
  3658.                This time PARADOX brings you the "LOGIC BOMB" Virus !!! *
  3659.  
  3660.    - PARADOX II  Kicktag, KickChecksum im Prg. DoIo u $6c, immer $7F000
  3661.                verschluesselt mit move.b $DFF006,D1 und eor.b d1,(a0)+
  3662.                Vermehrung und Schaden: Bootblock
  3663.                Text nach Entschluesselung:
  3664.                This is the second VIRUS by PARADOX  -
  3665.                For swapping call: 42-455416 - ask for Hendrik Hansen
  3666.  
  3667.    - PARAMOUNT  nur KS1.2 Kicktag, KickCheckSum, DoIo, immer $7F800
  3668.                Byte-Warrior-Clone, loescht Cold und Cool
  3669.                fordert trackdisk.device NICHT
  3670.                Vermehrung:BB
  3671.                im BB zu lesen: PARAMOUNT SOFTWORKS usw.
  3672.  
  3673.    - PARATAX   SCA-Clone, Cool immer 7EC3E, nur anderer Text
  3674.  
  3675.    - PARATAX II    Disk-Dokters-Clone, nur KS1.2 da DoIo-ROMEinsprung
  3676.                Cold, Cool, DoIo, im Prg. Vec5
  3677.                im BB sichtbar: PARATAX II
  3678.                clipboard.device durch ".dos.library" ersetzt
  3679.                je nach Zaehlerstand wird eigener BB geschrieben oder
  3680.                Disk ab Cylinder 40 (ROOT) formatiert
  3681.  
  3682.    - PARATAX III    16BitCrewClone   s.o.
  3683.                Unterschied: The 16Bit Crew 1988 in  PARATAX III (!!!)
  3684.                             geaendert
  3685.                eine echte Meisterleistung
  3686.  
  3687.    - PentagonCircle     cool,kickchecksum
  3688.                Fastmem ja, im Speicher immer ab $7fb00, im Prg. noch DoIo
  3689.                testet auf einige Viren, Alert-Meldung
  3690.                Vermehrung: ueber BB
  3691.                Text im BB sichtbar: z.B.
  3692.                The Pentagon Circle VirusSlayer by Mr.Moutainlake!
  3693.  
  3694.          Hinweis: Es wird ein Pentagon-BB weitergegeben, in dem das
  3695.             4.LW Null ist. Dieser Bootblock ist NICHT bootfaehig und
  3696.             wird deshalb von VT auch nicht als Pentagon erkannt !!!!
  3697.  
  3698.    - PentagonVirusSlayer2:  cool, KickCheckSum, immer ab $7f000
  3699.                Fastmem ja, im Prg. DoIo, Programmierung voellig anders
  3700.                als Pentagon, Alert-Meldung
  3701.                Vermehrung: ueber BB
  3702.                Text im BB sichtbar: z.B.
  3703.                The Pentagon Circle VirusSlayer 2 by Mr.Mountainlake!
  3704.  
  3705.    - PentagonVirusSlayer3:  Cool, KickCheckSum, immer ab $7e000
  3706.                Fastmem ja, im Prg. DoIo, FindResident
  3707.                Alert-Meldung
  3708.                Vermehrung: ueber BB
  3709.                Text im BB sichtbar: z.B.
  3710.                The Pentagon Circle VirusSlayer by Mr.Mountainlake!
  3711.  
  3712.    - PentagonCircle 4    cool,kickchecksum
  3713.                im Speicher immer ab $7fb00, im Prg. noch DoIo
  3714.                beim Booten immer GURU !!!  Grund: es hat jemand geschafft
  3715.                "dos.libr" zu erzeugen. Der Rest fehlt. ABER !!!!
  3716.                bevor diese Fehlerquelle erreicht wird, wurde schon Cool
  3717.                verbogen. Wenn Sie jetzt nur 512 kb Chipmem haben und beim
  3718.                2. Start die Maustaste druecken, wird der Bildschirm gruen.
  3719.                Jetzt legen Sie einen "echten" BB ein und schon kann sich
  3720.                der Pentagon-BB vermehren. Aber auch der vermehrte BB
  3721.                enthaelt obengenannten Fehler.
  3722.                Empfehlung deshalb : sofort loeschen
  3723.  
  3724.    - PERVERSE I  anderer Name: BOOTX-Virus  s.o.
  3725.  
  3726.    - PLASTIQUE  BB      Cool $7ED5E   immer ab: $7EC00  auch KS2.04
  3727.          von der Definition kein Virus, da keine Vermehrung. Die
  3728.          Routinen sind zwar vorhanden, werden aber NIE erreicht.
  3729.  
  3730.          Namensbegruendung:  im BB zu lesen:
  3731.            00000000 00000000 00000000 003e3e3e .............>>>
  3732.            2050204c 20412053 20542049 20512055  P L A S T I Q U
  3733.            20452020 3c3c3c2e 2e2e2e00 00000000  E  <<<.........
  3734.  
  3735.      Grundgeruest ist der 16-Bit-Crew-BB. Der Cool-Einsprung
  3736.          wurde geaendert, deshalb ist keine Vermehrung ueber DoIo
  3737.          moeglich.
  3738.          Schaeden: Sobald eine Zaehlzelle den Wert #10 erreicht hat,
  3739.          werden mehrere Vektoren auf den ROM-Beginn verbogen, d.h.
  3740.          sobald die Vektoren benutzt werden, wird ein Absturz her-
  3741.          vorgerufen.
  3742.  
  3743.    - POWERBOMB  ByteBandit/Forpib-Clone    s.o.
  3744.          Text: POWERBOMB SYSTEMS PRESENTS: BYTE BANDIT V2.0 !!!
  3745.  
  3746.    - PowerTeam  BB    KickTag, KickCheckSum, BeginIo
  3747.                nicht mit KS2.04
  3748.                Teile des BB's codiert mit eor.w d1,(a0)+
  3749.                Schaeden:
  3750.                - Sobald die Zaehlzelle den Wert $a erreicht hat,
  3751.                  Textausgabe mit DisplayAlert und dann bei mir
  3752.                  Absturz. Text:
  3753.                   Virus Meditation #0026051990.PowerTeam
  3754.  
  3755.    - PP-Bomb   Powerpacker, File-Trojan, keine Vermehrung, Vers.Nr. 3.2
  3756.       - 3 Programmteile
  3757.          - kurzer CodeHunk mit 2 jsr-Befehlen (notwendig fuer Ablauf)
  3758.          - crunched Bomb-Teil
  3759.          - Powerpacker 3.0b (ich glaube: NICHT veraendert und nicht ge-
  3760.                              crunched)
  3761.       Bomb-Teil:
  3762.       wird zuerst angesprungen, decrunched Laenge: 9880 Bytes
  3763.       Aztec-Prg mit dt. Fehlermeldungen (z.B. Fehler bei DISKFONTBASE)
  3764.       - sucht zuerst SnoopDos-Task; falls ja Bomb-Ende
  3765.       - sucht in c von dh0: und/oder dh1: nach why und setzt das File
  3766.         auf 0 Bytes
  3767.       - enthaelt alle Dos-Befehle um Files zu veraendern (sucht auch
  3768.         auf dh0: und dh1:, ist getestet).
  3769.       - soll AmiExpress veraendern (hab ich nicht)
  3770.       - weitere Eintraege: BBS: DH0:BBS/ DH1:BBS/ DH0: DH1:
  3771.       Ursprung:
  3772.                   qtx_pow.lzh       139670 Bytes
  3773.       Empfehlung:  (s.u.)
  3774.         loeschen und Original-Powerpacker aufkopieren
  3775.       Nachtrag 29.12.92: Es wurde mir ein weiteres verseuchtes File
  3776.         zugeschickt.  Name: snap   Laenge: 44260 Bytes
  3777.         Daraufhin wurden die Linkversuche mit PP wiederholt und mit
  3778.         snap neu durchgefuehrt. An beide Files kann sich der PP-Bomb-
  3779.         Teil  NICHT  von selbst linken. Es hat also jemand nachgehol-
  3780.         fen.
  3781.       Nachtrag 30.12.92: Es wurde in VT eine PP-Bomb-Ausbauroutine
  3782.         eingebaut. Diese Routine koennte wackeln. Fertigen Sie BITTE
  3783.         deshalb VOR dem Ausbauversuch ein Kopie an. Testen Sie nach
  3784.         dem Ausbau bitte die Lauffaehigkeit des verkuerzten Programms.
  3785.         Danke
  3786.       Nachtrag 16.02.93: Es ist ein weiterer PP-Bomb Clone aufgetaucht.
  3787.         Haengt an Died. Died verseucht Laenge: 67028 Bytes
  3788.         Ausgabe: PP-Bomb 2
  3789.         Besonderheit: Das PP-Bomb-Trojan-Teil wurde in der Laenge ge-
  3790.         kuerzt !!! Da im gepackten Teil eine Hunk-Kennung von $3EA auf
  3791.         $3E9 geaendert wurde, besteht Absturzgefahr ???? (2.Start von
  3792.         verseuchtem Died auf A4000 = GURU)
  3793.         Erkennung und Ausbau mit VT getestet: 16/17.02.93
  3794.       Nachtrag 17.02.93: Es ist ein weiterer PP-Bomb Clone aufgetaucht.
  3795.         Haengt an MegaMon. MegaMon verseucht Laenge: 26856 Bytes
  3796.         Ausgabe: PP-Bomb 3
  3797.         Besonderheit: Das PP-Bomb-Trojan-Teil wurde in der Laenge ge-
  3798.         kuerzt !!!
  3799.         Erkennung und Ausbau mit VT getestet: 17.02.93
  3800.       PP-Bomb-Virusteil entpackt Auszug:
  3801.                                       42425300             BBS.
  3802.            44483000 44483100 44483000 44483100 DH0.DH1.DH0.DH1.
  3803.            4242533a 00444830 3a424253 2f004448 BBS:.DH0:BBS/.DH
  3804.            313a4242 532f0044 48303a00 4448313a 1:BBS/.DH0:.DH1:
  3805.             ......
  3806.                     536e6f6f 70446f73 00433a57 `...SnoopDos.C:W
  3807.            68790077                            hy.w
  3808.  
  3809.  
  3810.    - Pstats-Virus  File  Laenge ungepackt: 19784 Bytes
  3811.         GFA-Basic-Programm. Keine verbogenen Vektoren
  3812.         Zielgerichtet gegen PHOBOS. Ein Mailbox-Programm (kenne ich nicht).
  3813.         Bleibt nicht im Speicher. Von der Definition ein reines Zer-
  3814.         stoerungsprogramm und kein Virus, da keine Vermehrung. Also KEINE
  3815.         Gefahr fuer "normale" Amiga-User. Es wird nach einigen Filenamen
  3816.         gesucht und dann deren Inhalt mit Speichermuell ueberschrieben.
  3817.               S:PHOBOS.CONF
  3818.               NETZCONFIG
  3819.               BRETTERCONFIG
  3820.               USERCONFIG
  3821.         Einige der oben genannten Filenamen werden auch noch mit der Er-
  3822.         weiterung .TAPO, .BAK, .CONF1 usw. gesucht. Nach der Zerstoerungs-
  3823.         arbeit wird also das Mailboxsystem nicht mehr laufen.
  3824.         Empfehlung: loeschen
  3825.         Es gibt da nichts auszubauen, da das Virusteil IM GFA-Teil sitzt.
  3826.         Der Programmierer MUSS also den sourcecode von pstats besitzen.
  3827.         Zumindestens ist mir kein Recompiler fuer GFA-Basic bekannt.
  3828.  
  3829.  
  3830.    - Pseudoselfwriter   andere Namen: Selfwriter, Lamer7
  3831.  
  3832.    - QRDL V1.1  Link verlaengert ein File um 2320 Bytes
  3833.      Vermehrung nur gelungen mit KS1.3 und Chip 512 kein Fastmem
  3834.      KS37.300 (A600) : immer GURU 3
  3835.  
  3836.          Haengt sich als 1.Hunk (neuer) ein.
  3837.          Zuerst gefunden an: PPLoadSeg  Laenge verseucht: 3484 Bytes
  3838.          Namensbegruendung: nach eor.b d5,(a0)+ ist im Speicher zu
  3839.          lesen:
  3840.            00000000 28432931 3939322D 30342D31 ....(C)1992-04-1
  3841.            36205152 444C2E20 52656C65 61736520 6 QRDL. Release
  3842.            312E3120 426F726E 20696E20 506F6C61 1.1 Born in Pola
  3843.            6E642C20 47727420 746F204A 61636B20 nd, Grt to Jack
  3844.          Verbogene Vektoren je nach Aktivierungsstand:
  3845.            Cool, DoIo, NewOpenLib, OpenWindow, $78(a6)->,
  3846.          Schaden A:
  3847.            Sucht den BitMapBlock einer Disk und gibt alle Bloecke
  3848.            frei. Fehler konnte erzeugt werden.
  3849.          Schaden B:
  3850.            Linkt sich an das erste File der startup-sequence.
  3851.            Mit KS1.3 (s.o.) gelungen
  3852.  
  3853.            Speichererkennung getestet:        20.11.92
  3854.            Fileerkennung und Ausbau getestet: 20.11.92
  3855.        Hinweis: Sie muessen auf Aufforderung PPLOADSeg loeschen,
  3856.            sonst besteht die Gefahr, dass VT den QRDL im Speicher
  3857.            uebersieht. Ich wiederhole mich ungern, aber noch einmal:
  3858.            Fuer einen sinnvollen Filetest mit VT  MUSS!!!! der Speicher
  3859.            sauber sein. Dies gilt nicht nur fuer QRDL, sondern allge-
  3860.            mein.
  3861.  
  3862.  
  3863.    - Random Access      CopperIntro
  3864.          schreibt GURU nach $60, nicht resident, keine Vermehrung
  3865.          Empfehlung: sofort loeschen
  3866.          von der Definition KEIN Virus, aber schaedlich wg. $60
  3867.  
  3868.    - Red October V1.7  Link   Name im Prg nicht nachvollziehbar
  3869.          auch KS2.04, Laenge Ursprungsfile ungepackt: 1296 Bytes
  3870.          keine verbogenen Vektoren, schnelle Vermehrung (20min eine
  3871.          Disk komplett verseucht). Haengt sich vor den ersten Hunk
  3872.          und verlaengert das File um 1296 Bytes. In einem verseuchten
  3873.          File ist um $500 zu lesen: timer.device, dos.library, ram:
  3874.          ram:1 . Virus meldet sich NIE. Manche verseuchten Files ver-
  3875.          suchten zwar noch erfolgreich eine Vermehrung, aber bei Aus-
  3876.          fuehrung des eigentlichen Prg.s GURU. VT kann auch diese
  3877.          Files retten.
  3878.       Schaeden in Abhaengigkeit von der Computer-Systemzeit:
  3879.             Computer-Sekunden teilbar durch 3 = Vermehrungsversuch
  3880.             Computer-Sekunden teilbar durch 16 = RESET
  3881.         Vermehrungsbedingungen:
  3882.          - nur bei Aufruf eines verseuchten Files
  3883.          - sucht mit lock, info, examine, exnext andere Files
  3884.          - testet auf Schreibschutz (#80)
  3885.          - File ausfuehrbar ($3F3)
  3886.          - File kleiner #50000
  3887.          - File noch nicht befallen
  3888.          - KEIN Test auf Disk voll
  3889.  
  3890.       VT-Test: 27.03.92  Ursprungsfile wird geloescht (da gibt es
  3891.           nichts auszubauen).
  3892.           Aus verseuchten Files (auch GURU-Files s.o.) wird Link aus-
  3893.           gebaut. ALLE Files waren wieder im Originalzustand und voll
  3894.           lauffaehig.
  3895.  
  3896.    - Rene    anderer Name: bei mir Lamer8
  3897.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  3898.          das Verhalten einem Lamervirus entspricht, halte ich eine
  3899.          Zuordnung zur Lamer-Gruppe fuer richtig.
  3900.  
  3901.    - REP-Virus    SCA-Clone  nur Text geaendert
  3902.           32165468 65204d65 67612d4d 69676874 2.The Mega-Might
  3903.           79205245 50202121 dc6e0000 4ef90000 y REP !!.n..N...
  3904.           00004121 52455021 52455021 52455021 ..A!REP!REP!REP!
  3905.  
  3906.    - Return Of The Lamer       PrgFileVirus    Laenge 1848 Bytes
  3907.             nur KRESET (Entschuldigung)
  3908.          tarnt sich als Disk-Validator
  3909.          KickTag, KickCheckSum, BeginIo und andere
  3910.          zu erkennen an: hat im Gegensatz zum Orig.Disk-Validator keinen
  3911.          lesbaren ASCII-Text
  3912.          Schaeden in Abhaengigkeit von der Zeit:
  3913.          a) bestimmt eine Blocknummer ueber $DFF007 und schreibt 64 x
  3914.             LAMER!!! hinein
  3915.          b) Fastformatroutine fuer alle Laufwerke und ueber DisplayAlert
  3916.             Textausgabe:
  3917.             The Return Of The Lamer Exterminator
  3918.          c) schreibt den falschen Disk-Validator auf Disk
  3919.  
  3920.    - Revenge Bootloader!  Begin, KickTag, KickCheckSum, Vec5
  3921.                Fastmem: nein
  3922.                Vermehrung ueber BB
  3923.  
  3924.    - Revenge V1.2       cool,doio,vec5 , im Speicher immer $7e000
  3925.            und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  3926.           Vermehrung: ueber BB
  3927.          Schaden: nach einger Zeit neuer Mauszeiger
  3928.          im BB sichtbar: Revenge V1.2GCount:
  3929.  
  3930.    - Revenge of the Lamer   PrgFileVirus Laenge 4560 Bytes
  3931.                nur KRESET (Entschuldigung)
  3932.                es werden mir zuviele Zeiger verbogen (10!!)
  3933.                entschluesselt steht im Speicher:
  3934.                dos.library.graphics.library.intuition.library.
  3935.                trackdisk.device.DOS s/startup.sequence   usw.
  3936.                Name:$A0A0A0A0A0 steht im Hauptverzeichnis und
  3937.                1.Zeile Startup
  3938.                testet vor Vermehrung ob genuegend Platz auf Disk ist
  3939.                nach 6 Resets (denke ich), Formatieren aller eingelegten
  3940.                nicht schreibgeschuetzten Disks
  3941.                3 Seiten Alert-Meldung
  3942.  
  3943.    - Revenge of the Lamer 2
  3944.                PrgFileVirus   Laenge 4448 Bytes
  3945.                einige Write-Test-Routinen fehlen,
  3946.                sonst wie Revenge of the Lamer
  3947.  
  3948.    W A R N U N G: es ist mir beim Testen gelungen, Revenge of the
  3949.       Lamer 1 u. 2 so zu vermehren, dass SID und andere Prg.e die
  3950.       5 A0  n i c h t  anzeigen. Mein FileRequester auch nicht. Das
  3951.       VirusPrg. wird aber  a u c h  bei diesen Disks aktiviert und
  3952.       vermehrt sich !!!  Mit einem DiskMonitor kann das Prg. ge-
  3953.       funden werden. Bei meinem PrgTest erscheint dann:
  3954.                Rev. Lam. unsichtbar
  3955.       Dies ist kein Schwachsinn, sondern der Sachverhalt wurde von
  3956.       anderen Programmierern nach meiner Entdeckung gegengeprueft und
  3957.       eine Fehlfunktion bei ExNext KS1.3 entdeckt. Dieser Fehler ist
  3958.       bei KS2.0 behoben.
  3959.       (vgl. auch Fish 429  Dr.doc)
  3960.  
  3961.    - RIPPER             Programcode = Northstar, nur anderer Text
  3962.                         cool im Prg. DoIo  immer ab $7ec00
  3963.                         Vermehrung: BB
  3964.       Text (auch im BB sichtbar):ATARI KILLS COMMODORE! RIP! RIP THE RIPPER
  3965.       usw.
  3966.  
  3967.    - Riska   Forpib-Clone     s.o.
  3968.  
  3969.    - Rob Northern   File    Laenge: 2616    BGS9 Clone  s.o
  3970.          Rob Northern im File lesbar
  3971.          Anfaengeraenderung:      !!!!
  3972.          testet immer noch auf TTV1 obwohl nicht mehr vorhanden
  3973.          schreibt nur 2608 Bytes zurueck (Geruechte behaupten, dies
  3974.          waere die Originallaenge von BGS9 ???)
  3975.          vergisst 3F3 zu schreiben
  3976.          d.h. ein vermehrtes Prg ist NICHT mehr lauffaehig
  3977.          d.h. die startup-sequence einer verseuchten Disk bricht ab
  3978.          VT findet weiterhin BGS9 im Speicher.
  3979.          Bei BlockKette wird Rob nicht gefunden, da 3F3 fehlt.
  3980.          Ausbau mit FileTest.  Stand 14.03.92
  3981.  
  3982.  
  3983.    - Rude Xerox = DIGITAL AGE = Forpib-Clone
  3984.          nur Text geaendert
  3985.  
  3986.    - SACHSEN VIRUS NO.1    Cool, immer ab $78000
  3987.          fordert trackdisk.device
  3988.          BB-Teile codiert mit  move.b #$70,d0
  3989.                                add.b d0,(a0)+
  3990.          decodiert im Speicher: ** SACHSEN VIRUS NO.1 ** usw
  3991.          Vermehrung: BB
  3992.          sonst keine Schaeden und keine Meldung
  3993.          GURU-Gefahr: sobald das Virus im Speicher ist und ein RESET
  3994.          ausgefuehrt wird, wird CloseDevice verbogen. Mit FastMem ab
  3995.          $200000 dann GURU.
  3996.  
  3997.    - SACHSEN VIRUS NO.3    Cool, DoIo, Wait, immer ab $78000
  3998.          belegt Block 0-3  (d.h. ein File ab Block 2 wird auch zerstoert.
  3999.          Fordert trackdisk.device NICHT  (HD!!!!)
  4000.          Alle Texte codiert.
  4001.          Vermehrung: BootBlock 0 - 3
  4002.          Schaeden:
  4003.          Schreibt nach Block 880 (Root bei Disk) neuen Disknamen
  4004.             SACHEN NO.3 ON DISK !!!
  4005.          Schreibt in Block (abhaengig von $DFF006) 64 x SACHSEN3
  4006.          Sollte dieser Block in einem File liegen, so ist dieses
  4007.          File NICHT mehr zu retten.
  4008.          DisplayAlert und dann RESET
  4009.             SACHSEN VIRUS NO.3 in Generation :        is running...
  4010.                (bei mir Generation 23)
  4011.  
  4012.    - SADDAM HUSSEIN Bootblockvirus    (vgl. auch BlowJob)
  4013.          KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7f000
  4014.          Taeuscht durch Text im Bootblock:
  4015.          A2000 MB Memory Controller V2
  4016.          Vermehrung und Schaden: Bootblock
  4017.          Sobald die Zaehlzelle den Wert $7530 erreicht hat, wird ein
  4018.          Programmteil mit subi.b #$71,D0 entschluesselt und mit display-
  4019.          Alert der Text ausgegeben:
  4020.           TOO BAD BROTHER ... SADDAM HUSSEIN STRIKES BACK !!!
  4021.           THE ONLY ESCAPE IS TO TURN THE POWER OFF !!!
  4022.  
  4023.  
  4024.    - SADDAM-VIRUS     Disk-Validator   Laenge:1848 Bytes
  4025.       KS2.04 und hoeher NEIN  (Disk-Validator liegt da im ROM)
  4026.       Festplatte NEIN  (es wird mit trackdisk.device gearbeitet)
  4027.       HINWEIS: wird manchmal von VirusX mit Australian Parasite
  4028.       verwechselt !!!!
  4029.       Das erste Virusprogramm, das mit 1 MB Chip, Kick1.3 und OHNE
  4030.       setpatch r einen Reset mit der Tastatur uebersteht !!!!!!!!
  4031.       Cold, BeginIo, Close im Trackdisk.device, Rasterstrahl $90(a6)
  4032.       im Prg. dann noch OpenWindow, InitResident, direkte Dos.lib-Ein-
  4033.       spruenge.
  4034.  
  4035.       entschluesselt im Speicher mit:    eor.b d0,(a0)+
  4036.                                          subq.l #2,d0
  4037.                                          dbra d1,loop
  4038.  
  4039.       Zum Verschluesseln eines neuen SADDAM-Disk-Validators wird
  4040.       ein Wert aus $DFF007 in d0 abgelegt.
  4041.  
  4042.       Speicherlage: SysStkLower - veraenderter Wert aus $DFF007 - Virus-
  4043.                     programmlaenge
  4044.  
  4045.       Name decodiert: " SADDAM VIRUS"
  4046.  
  4047.       Schaeden und Gefahren:
  4048.       Das Einlegen einer Disk mit ungueltiger BitMap genuegt,
  4049.       um SADDAM zu aktivieren !!!!
  4050.       abhaengig von der Zaehlzelle:
  4051.       KopfStep alle Laufwerke (Disk danach BAD) und DisplayAlert:
  4052.                             SADDAM-VIRUS
  4053.       Ueberschreibt jeden echten Disk-Validator auf einer ungeschuetzten
  4054.       Disk !!!!!
  4055.       Falls auf einer Disk kein l-Dir vorhanden ist, wird es erstellt
  4056.       und dann der verseuchte Disk-Validator hineinkopiert. Noch KEIN
  4057.       anderes Virusprogramm hat Unterverzeichnisse angelegt !!!!
  4058.       Sucht ueber den FileHeaderBlock den ersten FileDataBlock und
  4059.       schreibt in T.DATA das LWort IRAK . Der Rest des FileDataBlocks
  4060.       wird mit    eor.l d1,(a0)+
  4061.                   dbra d0,loop
  4062.               verschluesselt. Bei aktivem SADDAM-VIRUS wird statt IRAK
  4063.       der richtige Wert 8 angezeigt! (Taeuschung !! vgl. Lamergruppe,
  4064.       die sauberen BB vortaeuscht!)
  4065.       Schreibt manchmal in ROOT in $13c (=Zeiger auf BitMapBlock) den
  4066.       Wert Null. Mit Glueck finden Sie in $140 den Originalwert (abge-
  4067.       legt vom Virusprogramm) .
  4068.       Wenn Sie Pech haben, hat ein anderer Virusprogrammteil diese
  4069.       Stelle kurz danach auch auf Null gesetzt. Versuchen Sie dann mit
  4070.       einer Bootdisk den OriginalDisk-Validator zu starten oder versuchen
  4071.       Sie mit einem Disk-Monitor zu Fuss den BitMapBlock zu finden und
  4072.       wieder in $13c einzutragen. Oder lesen Sie BitMapTest.dok (11.07.91)
  4073.       Hinweis: Versuchen Sie bitte NICHT decode IRAK auf einem fms.device
  4074.          (Grund: phys. und logischer Block verschieden). Sie muessen
  4075.          IRAK auf einer Disk decodieren !!!!!
  4076.       Hinweis 2: Ich besitze inzwischen (21.10.91) einen SADDAM-Disk-
  4077.          Validator mit der Laenge: 1892 Bytes . Dieser Disk-Validator
  4078.          aktiviert sich trotz Null in $138 und $13c nicht, sondern der
  4079.          System-Requester erscheint !!!!
  4080.       Hinweis 3: Um IRAK-codierte Bloecke zu reparieren, verwenden Sie
  4081.          bitte BlockITest. Geht sehr schnell im Vergleich zum FileTest.
  4082.          Danke
  4083.  
  4084.    - SADDAM-Clones  verwenden statt IRAK  LAME, LOOM, RISC,
  4085.          a0a0a0a0, 363636a0  usw.
  4086.          Testen Sie mit BlockITest und verneinen Sie decode und schauen
  4087.          sich den Block an. Langwort 0 enthaelt das Erkennungslangwort.
  4088.          Decode in BlockITest sollte richtig arbeiten. Falls nein, rufen
  4089.          Sie mich bitte an. Danke
  4090.  
  4091.    - SADDAM-File  Laenge: 14524 Bytes   NICHT lauffaehig  Error 121
  4092.          Grund: Hunklaengenangabe immer noch $1c5 . Sofort loeschen
  4093.  
  4094.    - SADDAM ][  Disk-Validator  Laenge: 1848 Bytes
  4095.          Verhalten: s.o.
  4096.          Schreibt IRAK
  4097.          Aenderungen:
  4098.          Name: "  SADDAM ][  "
  4099.          andere Decodierroutine:
  4100.              z.B.   subq.l #3,d0  (Orig. subq.l #2,d0)
  4101.        Nachtrag 02.01.93: Clone aufgetaucht. Verwendet als Kennung 1.29
  4102.        Nachtrag 15.04.93: Mir wurde ein SADDAM ][ zugeschickt, der
  4103.          sofort mit GURU bei Benutzung antwortet. Ein Anfaenger, wahr-
  4104.          scheinlich mit Monitor-Kenntnissen, hat genau in der Codier-
  4105.          Routine zugeschlagen. Mit diesem Teil ist KEINE Verseuchung
  4106.          moeglich. Loeschen Sie das Teil aus L: und kopieren Sie den
  4107.          Original-Disk-Validator neu.
  4108.  
  4109.    - SADDAM-Clone besondere Art  Name geaendert in HARDEX VIRUS
  4110.          Soll statt IRAK  HARD  schreiben. Wie das gehen soll, ist
  4111.          mir aber noch nicht klar.
  4112.          Begruendung:
  4113.          Der Nachprogrammierer hat nicht nur Namen geaendert, sondern
  4114.          auch noch 'trackdisk.device' geloescht. Deshalb kann BeginIo
  4115.          nicht verbogen werden. Also keine Codierung eines Blocks
  4116.          moeglich. VT erkennt SADDAM . Bitte einfach loeschen.
  4117.      Nachtrag 05.03.93: es ist ein neuer Clone augetaucht.
  4118.          Laurin-Virus  Wird von VT als SADDAM-Clone erkannt.
  4119.          Blocklangwort: $a0a0a0a0
  4120.          Namensbegruendung: im Speicher ist decodiert zu lesen
  4121.            74726163 6B646973 6B2E6465 76696365 trackdisk.device
  4122.            00010820 4C617572 696E2056 69727573 ... Laurin Virus
  4123.          Behandlung: siehe bei SADDAM
  4124.      Hinweis 05.03.93: Falls Sie noch mit KS1.3 arbeiten, so kopieren
  4125.          Sie sich bitte einen ORIGINAL-Disk-Validator auf die VT-Disk.
  4126.          Die Arbeit wird erleichtert. Ich darf das nicht, da es sich
  4127.          um ein Commodore-File handelt.
  4128.      Nachtrag 28.03.93: es ist ein neuer Clone aufgetaucht.
  4129.          Animal-Virus  Wird von VT als SADDAM-Clone erkannt.
  4130.          Blocklangwort: $363636a0
  4131.          Namensbegruendung: im Speicher ist decodiert zu lesen
  4132.            74726163 6B646973 6B2E6465 76696365 trackdisk.device
  4133.            00010820 416E696D 616C2056 69727573 ... Animal Virus
  4134.          Behandlung: siehe bei SADDAM
  4135.      Nachtrag 09.04.93: es ist ein neuer Clone aufgetaucht.
  4136.          KICK-Virus  Wird von VT als SADDAM-Clone erkannt.
  4137.          Blocklangwort: KICK
  4138.          Namensbegruendung: im Speicher ist decodiert zu lesen
  4139.            6b2e6465 76696365 00010820 204b4943 k.device...  KIC
  4140.            4b202056 49525553 00000000 03f30000 K  VIRUS........
  4141.            00000000 00010000 00000000 00000000 ................
  4142.            01c50000 03e90000 01c55573 65204b69 ..........Use Ki
  4143.            636b7374 61727420 312e322f 312e3300 ckstart 1.2/1.3.
  4144.            00000000 00000000 00000000 00000000 ................
  4145.          Use Kick... ist uncodiert im Disk-Validator-File zu lesen.
  4146.          Behandlung: siehe bei SADDAM
  4147.      Nachtrag 18.04.93: es ist ein neuer Clone aufgetaucht.
  4148.          NATO-Virus . Wird von VT als SADDAM-Clone erkannt.
  4149.          Blocklangwort: NATO
  4150.          Namensbegruendung: im Speicher ist decodiert zu lesen
  4151.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  4152.            00010820 20204e41 544f2056 49525553 ...   NATO VIRUS
  4153.            00000000 03f30000 00000000 00010000 ................
  4154.            00000000 00000000 01c50000 03e90000 ................
  4155.            01c54772 65617465 73742048 756d616e ..Greatest Human
  4156.            20204572 726f7200 00000000 00000000   Error.........
  4157.          Greatest... ist uncodiert im Disk-Validator-File zu lesen.
  4158.          Behandlung: siehe bei SADDAM
  4159.      Nachtrag 15.05.93: es ist ein neuer Clone aufgetaucht.
  4160.          AFFE-Virus . Wird von VT als SADDAM-Clone erkannt.
  4161.          Blocklangwort: AFFE
  4162.          Im Speicher ist zu lesen:
  4163.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  4164.            00010820 476f7269 6c612056 69727573 ... Gorila Virus
  4165.            00000000 03f30000 00000000 00010000 ................
  4166.            00000000 00000000 01c50000 03e90000 ................
  4167.            01c52167 6e696874 6f6e2079 61732c72 ..!gnihton yas,r
  4168.            6165682c 65655300 00000000 00000000 aeh,eeS.........
  4169.          Man koennte auch Gorilla richtig schreiben.
  4170.      Nachtrag 18.05.93: es ist ein neuer Clone aufgetaucht.
  4171.          AFFE-Virus . Wird von VT als SADDAM-Clone erkannt.
  4172.          Blocklangwort: IRAN
  4173.          Im Speicher ist zu lesen: 
  4174.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  4175.            00010820 41796174 6f6c6c61 68766972 ... Ayatollahvir
  4176.            00000000 03f30000 00000000 00010000 ................
  4177.            00000000 00000000 01c50000 03e90000 ................
  4178.            01c56e61 6320756f 79207461 6877206c ..nac uoy tahw l
  4179.            6c61206c 6c696b00 00000000 00000000 la llik.........
  4180.          Ist schon schlecht, dass man mit einem Speichermonitor
  4181.          Virus abkuerzen muss, weil man nicht sagen kann, ob man
  4182.          das naechste Null-Wort noch verwenden darf. Meine
  4183.          Empfehlung: Gebts endlich auf. Jeder gesteht euch zu,
  4184.          dass ihr einen Satz fast vollstaendig richtig rueckwaerts
  4185.          schreiben koennt. Aber von Viren habt ihr KEINE Ahnung.
  4186.          Und ein AntiVirusPrg verwirrt ihr SO NIE.
  4187.  
  4188.    - SAO PAULO Virus   BB   im Speicher immer ab $7FC00
  4189.          Cool $7FF3A  nach Reset DoIo  $7FF56   KS2.04: ja
  4190.          Fordert trackdisk.device NICHT .
  4191.          Namensbegruendung: im BB ist zu lesen
  4192.                   SA0 PAULO!
  4193.          Fast der ganze Block 0 ist leer (Taeuschungsversuch ???) .
  4194.          Der Virencode steht in Block 1.
  4195.          Das Virusteil meldet sich nie .
  4196.  
  4197.    - SARON        Es ist KEIN Virus  Wird von VT deshalb nicht erkannt.
  4198.       Es ist ein XCopy 6.5 pro (Laenge: 27196) aufge-
  4199.       taucht, das beim Start im Cli zuerst in grossen Buchstaben
  4200.       SARON usw. ausgibt. Nach meiner Meinung enthaelt das File
  4201.       KEINEN Virus.
  4202.  
  4203.    - SATAN-Virus  BB  immer ab: $7CD30   Cool $7CDA6  im Prg DoIo $7CDD2
  4204.       Fordert trackdisk.device NICHT .
  4205.       Vermehrung und Schaeden: BB
  4206.       Der Text im BB wird NIE erreicht .
  4207.       Namensbegruendung: im BB ist zu lesen
  4208.            21212120 48696572 20737072 69636874 !!! Hier spricht
  4209.            20646572 20534154 414e2021 21212120  der SATAN !!!!
  4210.  
  4211.    - SCA Dos Kill   siehe bei D&A Virus
  4212.  
  4213.    - SCA!
  4214.  
  4215.    - SCA 2  keine Gefahr, nie bootfaehig, immer GURU
  4216.          deshalb in meinem Prg. nur Nicht-Standard-BB
  4217.          Begruendung: read $200 nach $7FC00 von Zylinder 79 und
  4218.                       dann jmp $7FA00 (alles klar Anfaenger !!)
  4219.  
  4220.    - SCARFACE   BeginIo, KickTag, KickCheckSum, Vec5
  4221.          FastMem nein
  4222.          Vermehrung: ueber BB
  4223.          ResetRoutine, die ueber Vec5 gesteuert wird (Zaehlzelle > $2710)
  4224.          Im BB sichtbar:  z.B. SCARFACE
  4225.  
  4226.    - scsi-Virus     File   Laenge ungepackt: 1560 Bytes
  4227.          reines Zerstoerungsprogramm
  4228.          KEINE verbogenen Vektoren
  4229.          KS3.0: ja
  4230.          Keine Vermehrungsroutine
  4231.          Fileauszug:
  4232.            2c780004 4eaefe3e 4e75733a 24e724a1 ,x..N..>Nus:$.$.
  4233.                                  ^^^^^^^^^^^^^
  4234.            00000000 00000000 00000000 00000000 ................
  4235.            00000000 00000000 00000000 00000000 ................
  4236.            00000000 00000000 00000000 00000000 ................
  4237.            00000000 00000000 00000000 00000000 ................
  4238.            00000000 00000000 00000000 00000000 ................
  4239.            00000000 646f732e 6c696272 61727900 ....dos.library.
  4240.            8b624828 91819187 1e000000 00000000 .bH(............
  4241.            ;;;;;;;; :::::::::::
  4242.  
  4243.            ;;;;  decodiert mit subi.b #$28,d0 ergibt:  "c: ",0
  4244.            ::::  decodiert mit subi.b #$1E,d0 ergibt:  "scsi",0
  4245.  
  4246.          Ablauf:
  4247.            Test ob der Filename (^^^^) "s:$",E7,"$",A1,0 vorhanden
  4248.            ist. Falls ja, Virusprogrammende
  4249.            DateStamp wird aufgerufen und auf $15A0 = 27.Feb.93
  4250.            ueberprueft.
  4251.            -Falls die Computerzeit noch nicht so weit ist, wird
  4252.             mit LoadSeg das Original-Programm aufgerufen ("c: ",0)
  4253.             und durch einen direkten Einsprung abgearbeitet. Danach
  4254.             wird UnloadSeg aufgerufen und das Virusprogramm beendet.
  4255.            -Falls die Systemzeit den 27.Feb.93 erreicht hat:
  4256.             Ueber dosbase+$22 wird die device-Liste durchsucht.
  4257.             Verglichen werden NUR devices (keine Vol usw.) mit
  4258.             scsi  (s.o.). Also ein Test auf vier Buchstaben.
  4259.               d.h. alles was mit scsi beginnt, wird ausgewaehlt.
  4260.                   auch scsi3... usw.
  4261.               NICHT ausgewaehlt wird SCSI oder gvpscsi usw.
  4262.             Danach wird der ROOT-Block berechnet und durch Auffuellen
  4263.             mit Nullen zerstoert.
  4264.             WICHTIG:
  4265.             Da dieser Vorgang in einer Schleife ablaeuft, werden ALLE
  4266.             Root-Bloecke von ALLEN Laufwerken und ALLEN Partitionen, die
  4267.             die Vorgabe erfuellen, zerstoert. Hab ich mit einer Wechsel-
  4268.             platte und drei Partitionen ausprobiert.
  4269.  
  4270.             VT erkennt das Virus-File und bietet Rename mit dem Original-
  4271.             File in c: an. Falls das Original-File in c: nicht gefunden
  4272.             wird, schlaegt VT vor, das Virus-File allein zu loeschen.
  4273.  
  4274.             Hinweis:
  4275.             Mit DiskSalv Repair konnten alle Partition wieder herge-
  4276.             stellt werden, da der Root-Block jeweils neu aufgebaut wurde.
  4277.             Bitte besorgen Sie sich deshalb DiskSalv (neuste Version 93)
  4278.             BEVOR der Unfall passiert. DiskSalv belegt die Partition
  4279.             mit dem Namen wanagi-wachipi . Also so aehnlich wie diskdoctor
  4280.             mit Lazarus frueher.
  4281.  
  4282.             Wichtig 2:
  4283.             Es MUSS ein INSTALL-Programm geben. Dieses ist bis jetzt
  4284.             nicht bekannt. Bitte helfen Sie mit bei der Suche. Danke !
  4285.               Denn niemand benennt freiwillig ein Original-Programm
  4286.               in ein unsichtbares File in c: um.
  4287.  
  4288.  
  4289.    - Self-Writer  andere Namen: Pseudoselfwriter   bei mir Lamer7
  4290.          da im entschluesselten Programm The LAMER Ex... zu lesen ist und
  4291.          das Verhalten einem Lamervirus entspricht, halte ich eine
  4292.          Zuordnung zur Lamer-Gruppe fuer richtig.
  4293.  
  4294.    - Sendarian   Revenge V1.2-Clone, Cool, DoIo, Vec5, im Speicher $7e000
  4295.          und Speicherstelle $C0-$FF (Gefahr fuer setpatch-Liste)
  4296.          Vermehrung: ueber BB
  4297.          Schaden: nach einiger Zeit neuer Mauszeiger
  4298.          im BB sichtbar: Sendarian #1Count:
  4299.  
  4300.    - SEPULTURA-Virus  File   Laenge ungepackt: 1876 Bytes
  4301.          KS1.3 : ja
  4302.          KS2.04: Endlos-GURU . Sie muessen den Computer ausschalten.
  4303.                  Tastatur-Reset fuehrt wieder zu GURU. Laden eines Files
  4304.                  z.B. KReset ist auch nicht moeglich.
  4305.          Verbogene Vektoren: KickTag, KickCheckSumPointer
  4306.                              Open, Lock, Delete, Rename, LoadSeg
  4307.          Zeitweise verbogene Vektoren: $6c, FindResident
  4308.          Das Programm rettet fast KEINE Vektoren !!!!!
  4309.          Arbeitet mit df0:, df1: und df2: . Mehr Laufwerke hat der
  4310.          Programmierer wahrscheinlich nicht.
  4311.          Namensbegruendung: s.u. lat. sepultura = Begraebnis
  4312.  
  4313.          Ein Speicherbereich wird decodiert mit: eori.b #$FB,(a0)+
  4314.            0000646f 732e6c69 62726172 79006466 ..dos.library.df
  4315.            303a732f 73746172 7475702d 73657175 0:s/startup-sequ
  4316.            656e6365 00006466 303aa0a0 a0a00000 ence..df0:......
  4317.                                  ^^^^^^^^^
  4318.          ^^^^^ unsichtbarer Filename "A0A0A0A0" in Root von df0/1/2 .
  4319.          Die Null der beiden df0: wird bei Bedarf im Programm-Code
  4320.          durch 1 oder 2 ersetzt.
  4321.  
  4322.          Ausgabe eines Textes mit DisplayAlert in Abhaengigkeit
  4323.          von $DFF006 .
  4324.          Fuer DisplayAlert wird bei Bedarf ein Speicherbereich
  4325.          decodiert mit: eori.b #$FA,(a0)+       
  4326.            790000fa 0a486920 4775797a 20212100 y....Hi Guyz !!.
  4327.            0100a014 53455055 4c545552 41207374 ....SEPULTURA st
  4328.            72696b65 73206261 636b2077 69746820 rikes back with
  4329.            74686569 72206e65 77000100 fa232056 their new....# V
  4330.            49525553 21212100 01009632 4c6f6f6b IRUS!!!....2Look
  4331.              usw.......
  4332.          Hinweis: Ein Satz, der decodiert wird, erscheint nicht beim
  4333.           Alert. Wahrscheinlich hat sich der Programmierer verzaehlt.
  4334.  
  4335.          Vor Schreibzugriff auf Disk wird getestet auf:
  4336.              - validated
  4337.              - max $6a0=1696 Bloecke belegt
  4338.  
  4339.          Empfehlung: unsichtbares File in Root loeschen und in startup-
  4340.           sequence die entsprechende Zeile entfernen.
  4341.          VT kennt: 14.04.93
  4342.          VT setzt ALLE Vektoren zurueck .
  4343.  
  4344.  
  4345.    - SHIT-Virus  (BB)   nicht mit KS2.04, nicht mit FastMem
  4346.          KickTag, KickCheckSum, BeginIo, Vec5, $64, $68, $6c
  4347.          haeufig GURU
  4348.          Zeitzaehler: 8 Min
  4349.          setzt irgrndwann $60 auf 0
  4350.          codiert mit: eor.w d0, (a0)+
  4351.                       add.w $xyz(pc),d0
  4352.          Im codierten BB ist zu lesen: Nuked007 (wobei Nu=RTS)
  4353.          Zugeschickt wurde mir der BB als Ethik-BB. Diesen Namen kann
  4354.          ich nicht nachvollziehen.
  4355.          Schaeden in Abhaengigkeit von der Zaehlzelle:
  4356.             - schreibt $1400 Bytes ab Block 0   (Absicht ???)
  4357.                  zerstoert also auch Files die ab Block 2 liegen
  4358.             - schreibt in einen Block ab $30 SHIT
  4359.                   addiert 8 zu $10 im Block (bei OFS=NextDataBlock)
  4360.                   addiert 8 zu $14 im Block (bei OFS=BlockCheckSum)
  4361.                   schreibt den veraenderten Block dann 1 Position
  4362.                   spaeter zurueck.
  4363.             Diese Files sind NICHT zu retten !!!!!!!!
  4364.          Gefaehrlich: in weniger als 5 Minuten habe ich 12 SHIT-Bloecke
  4365.             auf einer Disk erzeugt !!!
  4366.  
  4367.    - SMBX-Mount Virus  File  Laenge ungepackt: 65488 Bytes
  4368.          KEINE verbogenen Vektoren.
  4369.          Installiert Mount-Virus  (s.o.)
  4370.          Namensbegruendung: im File ist zu lesen:
  4371.            00000000 00001897 733a534d 42582d44 ........s:SMBX-D
  4372.            4f532e63 66675573 6572203a 20526573 OS.cfgUser : Res
  4373.             ......
  4374.            6963652f 2f2f2f2f 202d444f 532d5368 ice///// -DOS-Sh
  4375.            656c6c20 56202863 29313939 312f3932 ell V (c)1991/92
  4376.          Ein aufmerksamer User hat das Teil gefunden. Danke !!!!!!
  4377.          Es handelt sich um ein Shell-Programm, das mit einem Mail-
  4378.          box-Programm mitgeliefert werden soll?
  4379.          Das codierte Mount-Virus-Teil liegt von $EC38 bis $F068 im
  4380.          File. Es handelt sich beim Shell-Programm um eine Gfa-Basic-
  4381.          Compilierung und die Decodierung findet IM Gfa-Teil statt.
  4382.          Deshalb muss nach meiner Meinung der Programmierer des Mount-
  4383.          Virus-Teils den Source-Code des Basicprogramms besitzen.
  4384.          Ein Ausbau ist aus oben genannten Gruenden nicht moeglich.
  4385.          Empfehlung deshalb: loeschen und bei der Lieferfirma nach dem
  4386.          Programmierer forschen !!!
  4387.  
  4388.    - SnoopDos1.6-Virus  Einbruchsprogramm in AmiExpress
  4389.          Von der Definition kein Virus, da keine Vermehrungsroutine ge-
  4390.          funden wurde.
  4391.          gefunden in: SNOOPD16.LHA  35444
  4392.          Snoopdos-Laenge: 11312 Bytes    Orig.SnoopDos1.5 : 10540 Bytes
  4393.          Es wurde SD1.5 verwendet und ein neuer Hunk als 1. angehaengt.
  4394.          Die Hunkanzahl erhoeht sich von 3 auf 4. Der neue 1. Hunk
  4395.          ist codiert mit:
  4396.                     loop:  move.w #$2d1,d2
  4397.                            eor.b d2,(a2)+
  4398.                            dbf d2,loop
  4399.          Nach Decodierung ist zu lesen:
  4400.             4ED46172 702E6C69 62726172 79004242 NOarp.library.BB
  4401.             53004242 533A7573 65722E64 61746100 S.BBS:user.data.
  4402.             4242533A 75736572 2E6B6579 7300002A BBS:user.keys..*
  4403.             4242533A 4E6F6465 302F6C6F 676F6E2E BBS:Node0/logon.
  4404.             74787400 44455854 45520000 00000000 txt.DEXTER......
  4405.             00000000 00000000 00000000 00000000 ................
  4406.             00000052 45545552 4E000000 3D3E2046 ...RETURN...=> F
  4407.             414E5441 20434F4E 4E454354 20323030 ANTA CONNECT 200
  4408.             31203C3D 00000000 3034392D 34333133 1 <=....049-4313
  4409.             36333633 34000000 00FF0000 00005858 63634....y....XX
  4410.             58585858 58585800 008F0013 007570CC XXXXXXX......upI
  4411.  
  4412.         Empfehlung: Virus-File loeschen , logon loeschen und Orig.
  4413.             SnoopDos neu aufspielen. Keine Gefahr fuer Amiga-Be-
  4414.             nutzer ohne Mailbox.
  4415.         VT erkennt File: 23.10.92
  4416.         Hinweis 01.11.92:   gelesen im FIDO-Netz
  4417.         Laut Eddy Carroll (Prg. von Snoopdos) gibt es auch ein
  4418.         echtes SnoopDos 1.6, das allerdings nicht offiziell ver-
  4419.         breitet wurde. Das echte SD1.6 (hab ich nicht) soll bei
  4420.         Aufruf von version den Versions-Text ausgeben. Mein Test:
  4421.         Das SnoopDos1.6-Virus enthaelt den Text NICHT.
  4422.  
  4423.    - Sonja VIRUS   BB      KS2.04: NEIN
  4424.     Fordert trackdisk.device: JA
  4425.     BeginIo, KickTag, KickCheckSum
  4426.     Codiert mit Wert aus $DFF007
  4427.     DecodierRoutine: eor.b d0,-(a1)
  4428.     Im Speicher findet man dann z.B.:
  4429.                     00007472 61636B64 69736B2E      ..trackdisk.
  4430.            64657669 63650014 49742773 20536F6E device..It's Son
  4431.            6A612056 49525553 21212100 28632939 ja VIRUS!!!.(c)9
  4432.            31206279 204D4300                   1 by MC.
  4433.  
  4434.     Vermehrung: als BB
  4435.     Schaeden:
  4436.     Sobald eine Zaehlzelle den Wert $14 erreicht hat, wird eine
  4437.         Format-Routine aufgerufen. Formatiert wird Track 2, 4, 6 usw.
  4438.         (Mal was Neues). Dann wird nach Block #880 ein neuer Rootblock
  4439.         geschrieben. RootBlockAuszug:
  4440.          1A0: 00000000 00000000 00000000 00000000 ................
  4441.          1B0: 14497427 7320536F 6E6A6120 56495255 .It's Sonja VIRU
  4442.          1C0: 53212121 00286329 39312062 79204D43 S!!!.(c)91 by MC
  4443.          1D0: 00000000 00000000 00000000 00000000 ................
  4444.  
  4445.         Am Schluss wird nach $FC0000 (reset) gesprungen. Die Disk
  4446.         ist unbrauchbar. Es ist NICHTS mehr zu retten. Da der Disk-
  4447.         name durch das Byte 1B0 = $14 in der Laenge begrenzt wird,
  4448.         erfolgt die Ausgabe nur bis zum letzten ! .
  4449.  
  4450.     BootBlock-Erkennung mit VT getestet:  23.09.92
  4451.         Speicher-Erkennung mit VT getestet :  23.09.92
  4452.  
  4453.    - SS Virus BB  Cool immer $7C078  immer ab $7C000
  4454.          Bei mir mit KS2.04 nach Reset kein neuboot von Disk.
  4455.          Unter KS1.3 werden nach dem Reset 2 Interrupts installiert.
  4456.             Nr. 3 = Ports = $7C1D6 = SS.install
  4457.             Nr. 5 = VERTB = $7C1F8 = SS.greetings
  4458.          VT entfernt beim loeschen die Namen und setzt die Codezeiger
  4459.             auf 0 mit RemIntServer. Also keine Gefahr mehr. vgl. VT =
  4460.             Listen = IntVec
  4461.          Sobald die Zaehlzelle den Wert #$500 erreicht hat wird eine
  4462.          Graphikroutine angesprungen:
  4463.          schwarzer Hintergrund, helle Schrift
  4464.          Hakenkreuz,SS-Rune,Hakenkreuz und dann
  4465.             your computer is infected by SS-Virus!
  4466.          Danach ist ein Reset notwendig, da das VirusPrg. sich in einer
  4467.          Endlosschleife befindet.
  4468.          Der BB ist codiert mit eor.l d0,(a0)+
  4469.          Von der Definition handelt es sich nicht um einen BB-Virus,
  4470.          da keine Vermehrungsroutine gefunden wurde.
  4471.          siehe auch MOSH, HEIL-Virus
  4472.  
  4473.    - STARFIRE/NorthStar 1   anderer Name  BlackStar
  4474.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 1
  4475.          testet nicht auf SystemZ, nur auf SCA, ByteBandit = DisplayAlert
  4476.          Vermehrung: ueber BB
  4477.          Im BB lesbar:
  4478.          Virus detected on this disk  usw.
  4479.          Reset,WriteProt OFF (bei NorthStar2 nicht vorhanden)
  4480.  
  4481.    - STARFIRE/NorthStar 2 = OldNorthStar  ????
  4482.          Cool, DoIo, im Speicher immer ab $7ec00, VersionsNr: 2
  4483.          testet auf SCA, ByteBandit, SystemZ, NorthStar1, Folge=DisplayAlert
  4484.          Vermehrung: ueber BB
  4485.          Im BB lesbar:
  4486.          VIRUS detected on this disk  usw.
  4487.          My AntiVirus is better!    (bei NorthStar1 nicht vorhanden)
  4488.  
  4489.    - Starfire2    nur Block 0, sehr viel Text: The Virusbusters North Star
  4490.          Es ist kein Virus. VT erkennt Nicht Standard-BB
  4491.  
  4492.    - STARLIGHT        Warhawk-Clone  s.u.
  4493.          nur Text geaendert
  4494.  
  4495.    - STARLIGHT II     MicroSystems-Clone s.o.
  4496.          nur Text geaendert
  4497.  
  4498.    - Suntronic       cool,doio, nur Kick1.2 da absolute ROM-Einspruenge
  4499.                      Vermehrung ueber BB   , immer $7fa00
  4500.                      Suntronic-Text im BB sichtbar
  4501.  
  4502.    - SuperBoy     Cool, im Prg DoIo, im Speicher immer ab $7ec00
  4503.          Vermehrung ueber BB
  4504.          Alertmeldung mit  .... The Famous SuperBoy
  4505.  
  4506.    - SwiftWare   siehe bei: Devil_V8_B.Door
  4507.          im File ist zu lesen:
  4508.            4E5D4E75 0C092020 53776966 74576172 N]Nu..  SwiftWar
  4509.            65207625 642E2564 202D2000 1B5B313B e v%d.%d - ..[1;
  4510.            25646D00 00427920 4A616262 61682026 %dm..By Jabbah &
  4511.            20504F57 001B5B25 646D0000 202D2054  POW..[%dm.. - T
  4512.            6F702055 706C6F61 64657220 5574696C op Uploader Util
  4513.  
  4514.    - Switch-Off    anderer Name: Joshua 2 s.o.
  4515.  
  4516.    - Suicide-Virus   BB   immer ab $7E120, Kicktag, KickChecksum,
  4517.        Supervisor , KS2.04: GURU
  4518.        Fordert trackdisk.device NICHT .
  4519.        Kodiert mit Byte aus $DFF006   eor.b d1,(a0)+  jeden BB fuer
  4520.        Vermehrung neu.
  4521.        Meldet sich nicht .
  4522.        Schaeden und Vermehrung: BB
  4523.        Namensbegruendung:  dekodiert ist im Speicher zu lesen:
  4524.            3e3e2053 75696369 6465204d 61636869 >> Suicide Machi
  4525.            6e652062 79204d41 5820696e 2032342e ne by MAX in 24.
  4526.            30392e31 39393220 3c3c0000 2c790000 09.1992 <<..,y..
  4527.  
  4528.    - T.ET.E   BB Virus   anderer Name:BB-Prot     Zombi 1 Clone  s.u.
  4529.        Unterschied zu Zombi:
  4530.        versucht beim Booten durch die XCopy-Meldung
  4531.            NO VIRUS ON BOOTBLOCK   zu taeuschen.
  4532.        Die codierte Zombi-Meldung (intuition) wurde ueberschrieben.
  4533.        Schreibt in den zerstoerten  Rootblock als Diskname:
  4534.         01b0: 07542e45 542e4520 00000000 00000000 .T.ET.E ........
  4535.        Im Virus-BB ist zu lesen:
  4536.            4ef90007 a0363e42 422d5072 6f742062 N....6>BB-Prot b
  4537.            79205420 4520696e 20313200 30360031 y T E in 12.06.1
  4538.            3939353c 0007ee00 0007ee50 2001fffe 995<.......P ...
  4539.        Da beim Neuschreiben des RootBlocks, die ZOMBI-CheckSum (= falsch
  4540.        fuer T.ET.E) verwendet wird, duerfte wieder einmal ein An-
  4541.        faenger am Werk gewesen sein. Meine Bitte: spielt lieber mit
  4542.        dem Joystick, ihr lernt es nie !!!
  4543.  
  4544.    - T.F.C. Revenge V1.03  Clone Extreme s.o.
  4545.           Text geaendert und Text im BB verschoben
  4546.  
  4547.    - T.F.C. Revenge V2.14
  4548.           Versionsnummer und Datum geaendert, Rest s.o.
  4549.  
  4550.    - T.F.C. Revenge LoadWB     File, Laenge ungepackt: 2804 Bytes
  4551.       Fuehrt LoadWB-Befehl aus und legt T.F.C. Revenge BB im Speicher
  4552.       ab. Verbogene Vektoren siehe bei Extreme.
  4553.       Vermehrung nur als Bootblock moeglich.
  4554.  
  4555.    - Taipan-Chaos    anderer Name: Chaos  s.o.
  4556.  
  4557.    - Taipan-LameBlame  anderer Name: LameBlame  s.o.
  4558.  
  4559.    - Target   cool,  im Prg. DoIo , immer $7ec00
  4560.       schreibt auf jede nicht schreibgeschuetzte Disk, die in Block
  4561.       880 ab $1b0/1 (=Diskname)  eine bestimmte Zeichenfolge
  4562.       enthaelt, ab Track 80 bis Ende (mal was Neues) sinnlose Daten
  4563.       Ursprungsprogramm:target.install (Malta)
  4564.  
  4565.    - TeleCom-Virus   File   Laenge: 756 Bytes
  4566.       Cool immer $C71082, im Programm noch DoIo und FindRes .
  4567.       Braucht Execbase im Speicher ab $C00000 .
  4568.       Nur mit KS1.3, da absolute ROM-Einspruenge .
  4569.       Namensbegruendung:
  4570.       Decodiert mit eori.b #$27,(a1)+ ist im Speicher zu lesen:
  4571.            732f7374 61727475 702d7365 7175656e s/startup-sequen
  4572.            63650000 2054656c 65436f6d 20d80000 ce.. TeleCom ...
  4573.       Vermehrung:
  4574.        -Schreibt in startup-sequence 1.Zeile $A00A . Also den
  4575.         nichtsichtbaren Filenamen $A0 und ein Return.
  4576.        -Kopiert sich selbst ins Root-Verzeichnis mit Filename $A0.
  4577.       Einfach loeschen und in startup-sequence mit einem Editor
  4578.       die 1.Zeile loeschen.
  4579.       Hinweis: Der unsichtbare Filename $A0 wird auch von BGS9-3
  4580.       fuer das verschobene Originalprogramm verwendet. Es koennte
  4581.       also zu Verwechslungen kommen.
  4582.  
  4583.    - Telstar   Cold, Cool, Zaehlzelle $C0
  4584.      ganz gemein, taeuscht durch Text Virusprotector 6.0 vor, entschluesselt
  4585.          (neg.b) BBteile nach $7fc00, jeder 4/2.Reset Graphikausgabe (holl.
  4586.          Flagge und Text u.a. Telstar), keine Vermehrungsroutine gefunden.
  4587.  
  4588.    - Termigator: Kick 1.2 (da absolute ROM-Einspruenge)
  4589.          immer $7f4d0, Cool und DoIo
  4590.          entschluesselte Alertmeldung:
  4591.          Only the TERMIGATOR'VIRUS makes it possible! Bye!...
  4592.          Vermehrung: ueber BB
  4593.  
  4594.    - Terrorists     PrgFileVirus  Laenge 1612 Bytes
  4595.          KickMem, KickTag, KickCheckSum
  4596.          Textausgabe mit GraphikRoutine
  4597.          nimmt Namen des 1.Files in der Startup an
  4598.          verschiebt OrigPrg ins Hauptverzeichnis
  4599.          (unsichtbar A0202020A02020A020A0A0)
  4600.          Vermehrung: jede nichtschreibgeschuetzte Disk mit Startup
  4601.          im PrgFile sichtbar: TTV1
  4602.          schwarzer Hintergrund, weisse Schrift, zeilenweise
  4603.  
  4604.                   THE NAMES HAVE BEEN CHANGED
  4605.                   TO PROTECT THE INNOCENT...
  4606.                   THE TERRORISTS HAVE YOU UNDER CONTROL
  4607.                   EVERYTHING IS DESTROYED
  4608.                   YOUR SYSTEM IS INFECTED
  4609.                   THERE IS NO HOPE FOR BETTER TIMES
  4610.                   THE FIRST TERRORISTS VIRUS !!!
  4611.          Hinweis: es wird ein unsichtbares File (Name s.o.) weiterge-
  4612.             geben mit der Laenge #64 und dem Inhalt "Protection file!".
  4613.             Dieses File soll einen Terrorists-Befall der Disk verhindern.
  4614.  
  4615.    - THAHO8  BB     es ist KEIN Virus  Empfehlung: loeschen
  4616.          VT kennt: 21.10.92
  4617.          Die Format- und BB-Kopier-Routine im BB ab $1FE wird NIE er-
  4618.          reicht. Ueber Graphik wird auf schwarzem Hintergrund mit
  4619.          heller Schrift ausgegeben:
  4620.  
  4621.                  THAHO8 VIRUS V2.0
  4622.  
  4623.          Im BB ist zu lesen:
  4624.           00000000 54686973 20697320 74686520 ....This is the
  4625.           6D696768 74792054 6861686F 38205669 mighty Thaho8 Vi
  4626.           72757320 56322E30 21202045 61742073 rus V2.0!  Eat s
  4627.           6869742C 204C414D 45522120 20546861 hit, LAMER!  Tha
  4628.           686F2054 6861686F 20546861 686F2054 ho Thaho Thaho T
  4629.           6861686F 20546861 686F2054 6861686F haho Thaho Thaho
  4630.  
  4631.    - THE SMILY CANCER   LinkVirus, verlaengert das Prg. um 3916 Bytes
  4632.          Fastmem ja, im Speicher immer ab $7F000, KickTag, KickCheckSum,
  4633.          SumKickData, im Prg. noch BeginIo und $6c = Vec3
  4634.          PrgTeile decodiert mit ror.b #2,d1 oder codiert mit rol.b #2,d1
  4635.          befaellt das erste File der startup-sequence,
  4636.          testet  n i c h t  auf Sonderzeichen im Filenamen,
  4637.          d.h. jedes File wird befallen
  4638.          nach 20 Vermehrungen:
  4639.          Mauszeiger aendert sich in gelben Kopf (smily) mit blauem Hut
  4640.          und Endlosausgabe einer roten Laufschrift:
  4641.    "????????.........."
  4642.    " HI THERE!!! A NEW AGE IN VIRUS MAKING HAS BEGUN!!!"
  4643.    " THANX TO US... THANKX TO: --- CENTURIONS ---  "
  4644.    " AND WE HAVE THE PLEASURE TO INFORM YOU THAT SOME"
  4645.    " OF YOUR DISKS ARE INFECTED BY OUR FIRST MASTERPIECE"
  4646.    " CALLED: ` THE SMILY CANCER `  "
  4647.    " HAVE FUN LOOKING FOR IT... AND STAY TUNED FOR OUR NEXT PRODUCTIONS.  "
  4648.    " CENTURIONS: THE FUTURE IS NEAR!"
  4649.    "                     "
  4650.  
  4651.    Ausserdem ist im decodierten Prg noch zu lesen:
  4652.    (erscheint nicht in der Laufschrift)
  4653.    HELLO HACKERS OUT THERE!! A NEW FORCE HAS BORN IN ITALY:
  4654.    --- CENTURIONS ---. OUR TEAM IS COMPOSED OF 2 GUYZ:
  4655.    ME & HIM.(AHAHHA!)
  4656.    THE AIM OF - - CENTURIONS - - IS JUST VIRUS MAKING..
  4657.    WE HAVE LOTTA FUN DOING THIS AND WE ALSO HOPE TO GIVE FUN TO THE
  4658.    KILLERS MAKERS (HI STEVE TIBBETT!) HAW! HAW! HAW!
  4659.     SIGNED: ME & HIM / CENTURIONS
  4660.    Hinweis: Ich besitze ein Smily-File mit vier Links
  4661.  
  4662.    - The Smily Cancer II   Filevirus  Laenge: 4676  2x verschluesselt
  4663.       nach 1x entschluesseln mit   eori.b #$90,d1
  4664.                                    subi.b #$22,d1
  4665.       kann man am Fileende lesen:
  4666.             CENTURIONS STRIKES BACK: THE SMILY CANCER II
  4667.  
  4668.       Beim Starten des Programms wird der loadwb-Befehl simuliert und
  4669.       das Virusteil setzt sich im Speicher fest. Die Vermehrung erfolgt
  4670.       dann als Smily 1, d.h. es findet KEINE Vermehrung als Smily II
  4671.       statt. siehe oben
  4672.  
  4673.     Hinweis: Es wird ein Smily-File (Laenge 4792 Bytes, ab $200 im
  4674.          File Text zu lesen) in Deutschland weitergegeben, das
  4675.          NICHT lauffaehig ist (April 92). Dieses Prg wird von VT  NICHT
  4676.          erkannt, da keine Gefahr besteht. Lasst solche Scherze und
  4677.          verunsichert nicht die Amiga-Benutzer !!!!
  4678.     Hinweis 03.09.92: Ab VT2.44 sollten mehrere SmilyLinks ans gleiche
  4679.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  4680.       sich bitte. Danke
  4681.     Hinweis 16.04.93: Es ist ein Smily Clone aufgetaucht.
  4682.       Laenge: verlaengert ein File um 3916 Bytes
  4683.       FAST KEIN mit Absicht verseuchtes File war lauffaehig. Das laesst
  4684.       den Schluss zu, dass der addbuffers-befehl von Hand manipuliert
  4685.       wurde.
  4686.       VT hat die Files wieder auf die Original-Laenge verkuerzt und die
  4687.       Startup-Sequence war danach wieder lauffaehig.
  4688.       Unterschied zu Original: Der Sprung-Befehl zur Decodier-Routine
  4689.       wurde geaendert.
  4690.       weiteres Verhalten: siehe oben
  4691.  
  4692.    - The Traveller 1.0
  4693.       KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7F000
  4694.       abhaengig vom Zaehlerstand: Textausgabe
  4695.          roter,gruener und blauer Balken, schwarze Schrift
  4696.             NEVER HEARD OF VIRUS-PROTECTION ??? -LAMER !!!
  4697.       Vermehrung und Schaden: BB   (auch HD !!!!!!!!!)
  4698.  
  4699.    - Tick
  4700.          siehe unter Julie
  4701.  
  4702.    - TimeBomb V0.9    Trojanisches Pferd
  4703.       wird mit dem Prg. BMassacre erzeugt (da steht auch TimeBomb V0.9)
  4704.       besteht aus 2 Teilen in SubDir c und Root:
  4705.          in c: .info      = Virus   Laenge: 7840 Bytes
  4706.       in Root: pic.xx     = Zaehler (Startwert=6)  Laenge: 1 Byte
  4707.       in der 1.Zeile der startup steht: c/.info
  4708.       nicht resident, keine Vermehrungsroutine in .info
  4709.       Verhalten: vermindert bei jedem Neustart den Wert in pic.xx um 1 .
  4710.       Sobald 0 erreicht ist, wird die Disk formatiert (Track 0-159) .
  4711.       Damit der Wert in pic.xx geaendert werden kann, darf die Disk
  4712.       nicht schreibgeschuetzt sein. Falls doch, erscheint:
  4713.          User Request : Please remove write Protection and press
  4714.                         left Mouse Button to continue..
  4715.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  4716.       der Disk nicht moeglich.
  4717.       Im Cli wird immer ausgegeben:
  4718.             RAM CHECKED - NO VIRUS FOUND.
  4719.  
  4720.    - TimeBomb V0.9 Clone   Trojanisches Pferd
  4721.          Wird von VT als Timebomb erkannt.
  4722.       besteht aus 2 Teilen in SubDir c und Root:
  4723.          in c: .info      = Virus   Laenge mit PP: 1584 Bytes
  4724.       in Root: setmap     = Zaehler (Startwert=FF)  Laenge: 1 Byte
  4725.       in der 1.Zeile der startup steht: c/.info
  4726.       nicht resident, keine Vermehrungsroutine in .info
  4727.       Verhalten: vermindert bei jedem Neustart den Wert in setmap um 1 .
  4728.       Sobald 0 erreicht ist, wird die Disk formatiert (Track 0-150) .
  4729.       Textausgabe danach:
  4730.          Hey Looser ! Boot again !
  4731.       Damit der Wert in df0:setmap geaendert werden kann, darf die Disk
  4732.       nicht schreibgeschuetzt sein. Falls doch, erscheint:
  4733.          User Request : Please remove write Protection and press
  4734.                         left Mouse Button to continue..
  4735.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  4736.       der Disk nicht moeglich.
  4737.       Im Cli wird ausgegeben:
  4738.             DISC SPEEDER BY BUD usw
  4739.       VT bietet im FileTest loeschen an und sucht auch nach setmap (1Byte).
  4740.       Falls gefunden, wird auch setmap im Rootverzeichnis geloescht.
  4741.  
  4742.  
  4743.    - TimeBomb V1.0  BB-Virus
  4744.      ( verbiegt keine "bekannten" Zeiger )
  4745.      (je nach Zaehlerstand wird eigener BootBlock geschrieben,
  4746.      (( Einsprung bei #$70208))
  4747.      oder Track 80 (Directory) mit Speicherinhalt ab #$20000 ueberschrieben
  4748.          = Disk wird unlesbar !!!)
  4749.      (( Einsprung bei #$70026))
  4750.      Hinweis 29.10.92: VT hat einen ganz normalen BB-Loader mit TimeBomb
  4751.      verwechselt. Entschuldigung. Fehler behoben 29.10.92 VT2.47
  4752.  
  4753.    - TimeBomber    Trojanisches Pferd
  4754.       wird mit dem Prg. TimeBomber erzeugt
  4755.       besteht aus 2 Teilen in RootDir:
  4756.       virustest         = Virus   Laenge: 936 Bytes
  4757.       virustest.data    = Zaehler (Startwert=5)  Laenge: 1 Byte
  4758.       in der 1.Zeile der startup steht: virustest
  4759.       nicht resident, keine Vermehrungsroutine in virustest
  4760.       Verhalten: vermindert bei jedem Neustart den Wert in virustest.data
  4761.       um 1 .Sobald 0 erreicht ist, wird die Disk formatiert.
  4762.       Damit der Wert in virustest.data geaendert werden kann, darf die
  4763.       Disk nicht schreibgeschuetzt sein. Falls doch, erscheint:
  4764.          User Request : Please remove write Protection and press
  4765.                         left Mouse Button to continue..
  4766.       Eine weitere Abarbeitung der startup-sequence ist ohne Oeffnung
  4767.       der Disk nicht moeglich.
  4768.       Im Cli wird immer ausgegeben:
  4769.             RAM checked - no virus found.
  4770.  
  4771.    - Timer-Virus   Files
  4772.        2 Files: timer   Laenge:4812     setmap  Laenge:1712
  4773.        Verbiegt $74 (ZeroPage)  Verbiegt $74 VecPage NICHT
  4774.           (Hallo Enforcer-Freunde)
  4775.        Beim timer-File handelt es sich um das install-Programm.
  4776.        Zur Taeuschung wird ein Fenster (V1.1) geoeffnet und es erfolgt
  4777.        die Ausgabe:      Ram  ....
  4778.                          Chip ....
  4779.                          Time ....
  4780.                          Date ....
  4781.        In Wirklichkeit wird aber versucht :c/setmap und/oder :system/setmap
  4782.        zu kopieren. Die Unterverzeichnisse muessen existieren und koennen
  4783.        vom timer-Prg NICHT angelegt werden. Nachweis: z.B. snoopdos
  4784.        Das timer-File enthaelt das setmap-File uncodiert.
  4785.  
  4786.        Beim naechsten reset wird nun der falsche setmap-Befehl aufgerufen,
  4787.        wenn er in ihrer s.-seq. steht.
  4788.                      - installiert Zeichensatz
  4789.                      - verbiegt $74 auf eigene Routine
  4790.                      - oeffnet console.device
  4791.  
  4792.        $74-Routine:
  4793.                      - arbeitet am seriellen Port
  4794.                       $DFF018, $DFF019
  4795.                      - testet nach meiner Meinung eingehende Zeichen
  4796.                      - hat den execute-Befehl
  4797.                      - enthaelt eine Zeitschleife
  4798.                      - am Schluss jmp Orig.-$74
  4799.        Koennte ein Prg. sein, um in eine Mailbox einzubrechen ????
  4800.        $74-Erkennung mit VT getestet    : 29.09.92
  4801.        timer-Erkennung mit VT getestet  : 29.09.92
  4802.        setmap-Erkennung mit VT getestet : 29.09.92
  4803.        Empfehlung: loeschen Sie die beiden Files mit VT und kopieren Sie
  4804.                    bei Bedarf das setmap-File neu auf.
  4805.        Zeichen, die so im Orig_Setmap_File NICHT vorkommen:
  4806.         00004E75 72616D64 72697665 2E646576 ..Nuramdrive.dev
  4807.         69636500 636F6E73 6F6C652E 64657669 ice.console.devi
  4808.         63650000 3A646576 732F6B65 796D6170 ce..:devs/keymap
  4809.         732F6400 00000000 00000000 00000000 s/d.............
  4810.         646F732E 6C696272 61727900 00000000 dos.library.....
  4811.         .
  4812.         .
  4813.         .
  4814.         00000000 00000000 00000000 646F732E ............dos.
  4815.         6C696272 61727900 52414D3A 436F6D6D library.RAM:Comm
  4816.         616E642D 30302D54 30310000 00000000 and-00-T01......
  4817.  
  4818.  
  4819.    - TNK    noch ein SCA-Clone          08.04.92
  4820.          im BB zu lesen: This was The New Kid   usw.
  4821.  
  4822.    - Tomates-Gentechnic-Service  = TimeBomb-BB-Clone
  4823.             nur der Text wurde veraendert
  4824.  
  4825.    - Tomates-Gentechnic-Service 2 = Coder.BB
  4826.         Wieder eine Meisterleistung. Der Text wurde geaendert.
  4827.         Lesen Sie bitte bei Coder.BB nach.
  4828.         Im BB ist zu lesen:
  4829.            546f6d61 7465732d 47656e74 6563686e Tomates-Gentechn
  4830.            69632d53 65727669 63652032 2e30202d ic-Service 2.0 -
  4831.            2d2d2054 68652042 65737420 696e2045 -- The Best in E
  4832.            75726f70 65203139 39322021 21201400 urope 1992 !! ..
  4833.               ;.......
  4834.            8059a5c9 d5cd8084 8400416e 74697669 .Y........Antivi
  4835.            7275732d 436f6465 20426567 696e2024 rus-Code Begin $
  4836.            37666130 302d59a5 c9d5cd80 84842d45 7fa00-Y.......-E
  4837.            6e642024 37666134 3020446f 6e742069 nd $7fa40 Dont i
  4838.            6e737461 6c6c2074 68697320 4d414749 nstall this MAGI
  4839.            432d424f 4f54424c 4f434b20 4265726c C-BOOTBLOCK Berl
  4840.            696e204a 756c7927 393259a5 c9d5cd80 in July'92Y.....
  4841.            84486176 65206120 676f6f64 20776179 .Have a good way
  4842.  
  4843.         Im Speicher wird mit ror.b #2,d1 und FALSCHER Laenge decodiert:
  4844.            20202020 2020746f 6d617465 732d6765       tomates-ge
  4845.            6e746563 686e6963 2d736572 76696365 ntechnic-service
  4846.            20212120 67726565 74696e67 7320746f  !! greetings to
  4847.            2065696e 732d676d 62682061 6e64206b  eins-gmbh and k
  4848.            6f626f6c 2d646174 61202121 21202056 obol-data !!!  V
  4849.  
  4850.    - TOPDOG    anderer Name: Top util  s.u.
  4851.  
  4852.    - Top util Virus  Laenge ungepackt: 2260 Bytes
  4853.      Namensbegruendung:
  4854.      Top util By Zacker of EnSoniC V1.0 ist im File zu lesen.
  4855.      Wurde mir ungepackt zugeschickt. Wird deshalb von VT nur unge-
  4856.      packt erkannt. Bleibt NICHT im Speicher, deshalb keine Speicher-
  4857.      erkennung notwendig. Von der Definition kein Virus, da keine Ver-
  4858.      mehrung. Ein Zerstoerungsfile gegen BBS gerichtet. Also fuer den
  4859.      User ohne Mail-Box ungefaehrlich. Versucht durch Cli-Ausgabe zu
  4860.      taeuschen:
  4861.              Top util By Zacker of EnSoniC V1.0
  4862.         Call Zack BBS 16.8 HST 407-232-6324 HST ONLY !!
  4863.  
  4864.     USEAGE: Top (num /ALL) <-Hfname> <-Sfname> <-Ttext>
  4865.     num : Min. megs to get on the list
  4866.     ALL : Show all users (default to BBS:User.rpt)
  4867.     -H  : Use the file name after -H as the TOP hdr
  4868.           if no -s is used default =  BBS:user.rpt
  4869.     -T  : text to be used with top dog
  4870.         : TOPDOG (I just added)
  4871.     -S  : Use the file name after -S as TOP list
  4872.  
  4873.      Schaden in Wirklichkeit:
  4874.      bbs:user.data wird mit Laenge 66 Bytes neu angelegt, d.h. ein
  4875.      altes user.data-file geht verloren:
  4876.      0000: 0CEBEAE5 EAA0F4E9 E9E9F4E7 B4A0E9F7 
  4877.      0010: EDF6E5F7 E5F7E9A0 E9F2E5F7 E7E5F7A0 
  4878.      0020: 67726577 67206565 20200A20 54686520 grewg ee  . The
  4879.      0030: 54687265 65204D75 736B6574 65657273 Three Musketeers
  4880.      0040: 200A
  4881.      Fileerkennung mit VT : 02.11.92
  4882.      Empfehlung: File einfach loeschen
  4883.  
  4884.    - Trabbi  Link  anderer Name: Hochofen  s.o.
  4885.  
  4886.    - Traveling Jack
  4887.       LinkVirusPrg mit variabler HunkLaenge
  4888.       verbiegt DosBase+$2E  (= dos.library-Zeiger ins ROM), nicht resetfest
  4889.       a) schreibt ein File auf Disk VIRUS.xy   Laenge immer 198 Bytes
  4890.          x u. y sind HexZahlen, die ueber $BFE801 bestimmt werden.
  4891.  
  4892.          Text in VIRUS.xy:
  4893.       The Traveling Jack....
  4894.       I'm traveling from town to town looking for respect,
  4895.       and all the girls I could lay down make me go erect.
  4896.                             -Jack, 21st of September 1990
  4897.  
  4898.       b) linkt sich an andere Prg.e
  4899.       Bedingungen:
  4900.       DOS0-Disk, Disk validated, 12 Bloecke frei auf Disk, Filelaenge
  4901.       mind. 2000 Bytes, FileName mind. 5 Zeichen, FileName enthaelt
  4902.       kein Zeichen kleiner als $40,
  4903.       kein Info.File
  4904.       Typ A:
  4905.       LinkHunkLaengenBerechnung:
  4906.       $24C + Wert aus $DFF006
  4907.       decodiert im Speicher $909+1 Bytes
  4908.       Typ B:
  4909.       LinkHunkLaengenBerechnung:
  4910.       $25B + Wert aus $DFF006
  4911.       decodiert im Speicher $945+1 Bytes
  4912.  
  4913.    - Travelling Jack 3  gibt es nicht, es handelt sich um Typ B, glauben
  4914.       Sie mir. Einige andere VirenChecker machen einen Fehler, indem sie
  4915.       die Hunklaengenaenderung nicht beachten und erkennen deshalb nur
  4916.       EINEN Typ B, obwohl mehrere moeglich sind. (Stand 28.09.91)
  4917.  
  4918.    - TRIPLEX-Virus    BB    Cool, DoIo  auch KS2.04
  4919.          belegt im Speicher $800 Bytes, ist 2x im Speicher
  4920.       Vermehrung und Schaeden: BB
  4921.       VirusPrg. meldet sich NICHT
  4922.       im BB ist zu lesen:
  4923.          This nice little Virus was written in 1990  usw.
  4924.  
  4925.    - TRISECTOR 911 Virus BB   immer $7F000
  4926.       KS2.04 : nein
  4927.       fordert trackdisk.device NICHT
  4928.       KickTag, KickChecksum
  4929.       nach 1. Reset auch:
  4930.       DoIo,
  4931.       Vermehrung und Schaeden:
  4932.          BB und  $94(a6) fuer Zeitbestimmung
  4933.  
  4934.    - TRISTAR-Viruskiller V1.0
  4935.       Es ist NICHT der Original TRISTAR- BB gemeint, sondern jemand hat
  4936.       den Text in einen Target-BB  (sehr kurzer Code) eingesetzt.
  4937.       Oh, ihr Anfaenger !!   VT erkennt Target  s.o.
  4938.  
  4939.    - Trojan   BB  anderer Name: Incognito    s.o.
  4940.  
  4941.    - TROJAN 3.0  File Laenge ungepackt: 10536 Bytes
  4942.          Einbruchsprogramm gegen BBS, also fuer Normaluser ohne Mailbox
  4943.          ungefaehrlich. Empfehlung: einfach loeschen
  4944.          Versucht durch Cli-Ausgabe zu taeuschen:
  4945.  
  4946.   TROJAN KILLER V3.0  (23/8/92)
  4947.  
  4948.   Please enter the full path U have to your download dir
  4949.   < eg. BBS:warez/upload >
  4950.   The directory?:
  4951.   Checking for known trojans on harddisk...
  4952.   Report: 0 trojan(s) found'
  4953.   Checking for known trojans in memory...!
  4954.   Trojan(s) found on harddisk   : 0!
  4955.   Trojan(s) found in memory     : 0
  4956.   Please contact ->NYLONMAN<- for new trojan killers!!!
  4957.   Note: This program only works on AmiExpress 1.xx and 2.xx Press <<ENTER>>
  4958.  
  4959.   in Wirklichkeit:
  4960.         liest aus:
  4961.               BBS:user.data
  4962.         legt ab in:
  4963.               /demo99.lha
  4964.  
  4965.         liest aus:
  4966.               BBS:user.keys
  4967.         legt ab in:
  4968.               /demo98.lha
  4969.  
  4970.   Es handelt sich natuerlich NICHT um lha-Files. Die Files werden in dem
  4971.   Unterverzeichnis abgelegt, das Sie oben nach ?: eingegeben haben.
  4972.   Loeschen Sie bitte diese zwei "lha"-Files von Hand.
  4973.   Trojan-File-Erkennung mit VT getestet: 20.10.92
  4974.  
  4975.    - TURK_V1.3      Cool, DoIo, im Speicher immer $7f000
  4976.          schreibt TURK nach $60
  4977.          Vermehrung: ueber BB
  4978.          Textausgabe (entschluesselt mit subq #6,d0) ueber DisplayAlert:
  4979.             Amiga Failure... Cause: TURK VIRUS Version 1.3!
  4980.          im BB sichtbar: TURK
  4981.  
  4982.    - TWINZ SANTA CLAUS    Coder-Clone  s.o.
  4983.          Text geaendert im BB: THE SANTA CLAUS VIRUS !!!! usw.
  4984.  
  4985.    - U.K.LamerStyle   anderer Name: Clist s.o.
  4986.  
  4987.    - UF-Virus   anderer Name: UltraFox  s.u.
  4988.  
  4989.    - ULDV8   kein Fastmem, KickTag, KickCheckSum, BeginIo, IntVec 5
  4990.          im BB sichtbar: ULDV8
  4991.          fordert trackdisk.device
  4992.          Vermehrung:BB
  4993.  
  4994.    - ULog V1.8   siehe oben Devil_11_B.Door
  4995.  
  4996.    - UltraFox       Cool, DoIo, FastMem ja, nur KS1.2 da $fc06dc
  4997.          Vermehrung: ueber BB
  4998.          im Speicher immer ab $7eb00
  4999.          Zaehlzelle groesser $f = Textausgabe, Graphikroutine
  5000.          Hintergrund dunkelblau, Balken hellblau, Schrift gelb.
  5001.          Greetings from ULTRAFOX of Aust.
  5002.  
  5003.    - Umyj Dupe   nur KS1.2, da absoluter DoIo-Romeinsprung
  5004.          KickTag, KickCheckSum, DoIo, immer ab $7F800
  5005.          Fordert trackdisk.device nicht !!!
  5006.          Schaeden und Vermehrung:
  5007.          Bootblock
  5008.          Schreibt in Block 880 (ist nur bei Disk der RootBlock)
  5009.             Umyj Dupe   usw.
  5010.          DisplayAlert:
  5011.             Umyj Dupe   usw.
  5012.  
  5013.    - V1  BB   siehe oben bei EXECUTORS.BB
  5014.  
  5015.    - VCCofTNT-Virus  BB
  5016.          Graphikausgabe:
  5017.                VCC of TNT
  5018.             ACCESS FORBIDDEN
  5019.          Schreibt VCC9 nach #34(a6)
  5020.          Fordert trackdisk.device NICHT
  5021.          auch KS2.04
  5022.          Schaeden:
  5023.          schreibt sofort unsinnige Werte aus dem Speicher in den BB
  5024.          und den Root-Block
  5025.          Ergebnis: Not a Dos Disk
  5026.          Empfehlung: sofort loeschen
  5027.          Wird auch als AutoBootingBootProtector V2.0 weitergegeben.
  5028.  
  5029.    - VIPHS-Virus   BB   BeginIo, Kicktag, KickCheckSum, Vec5, im Prg $6c
  5030.          KS2.04: nein
  5031.          Versucht zu taeuschen im BB durch:
  5032.             ANTIVIRUS 1989 by VIPHS
  5033.          Verwendet den ByteBandit-Code um $20 verschoben und $6c
  5034.          Auswirkungen s.o. bei ByteBandit
  5035.  
  5036.    - VirConSet-Virus  BB   (VirusConstructionSet)
  5037.          immer ab $7F000, Cool $7F0BE, DoIo $7F0D2
  5038.          Fordert trackdisk.device NICHT
  5039.          Schaeden und Vermehrung:
  5040.          in Abhaengigkeit von der Zaehlzelle (5) wird
  5041.           - ein Virus-BB geschrieben oder
  5042.           - mit DisplayAlert ein Text ausgegeben. Schwachpunkt: Intuition-
  5043.             Base wird immer im $C00000-Bereich abgelegt.
  5044.          Die schlimmste Sache:
  5045.          Der BB wird mit dem Programm Virusconstructionset erzeugt.
  5046.          Laenge gepackt (PP): 10192 Bytes
  5047.          Sie werden aufgefordert, einen max 60 Zeichen langen Display-
  5048.          Alert-Text einzugeben. Den erzeugten BB koennen Sie dann auf
  5049.          Disk in DF0: abspeichern.
  5050.  
  5051.  
  5052.    - Vermin  Cool, im Prg DoIo  immer ab $7eb10
  5053.          fuellt nicht benoetigten Platz im BB mit Inhalt von $DFF006 auf.
  5054.          Vermehrung und Schaden: Bootblock
  5055.  
  5056.    - VIRUS FIGHTER V1.0  BB  auch mit KS2.04 VKill-Clone   s.u.
  5057.          Prg-Code = VKill
  5058.          DecodierLW geaendert: "1991"  (nuetzt bei VT NICHTS!! )
  5059.          decodierter Text fuer Requester anders:
  5060.             VIRUS FIGHTER V1.0  usw.
  5061.  
  5062.    - VIRUS PREDATOR BB: anderer und eigentlich falscher Name: Julie s.o.
  5063.  
  5064.    - VIRUS TERMINATOR V6.0    trojanisches Pferd  Mega1-Cr: 1880 Bytes
  5065.                auch KS2.04
  5066.          Versucht durch Text zu taeuschen:
  5067.             VIRUS TERMINATOR V6.0 by Rudolf Neiber (1992)  usw.
  5068.          Installiert in Wirklichkeit im Speicher CHEATER HIJACKER Virus-BB
  5069.             Wird von VT im Speicher als CHEATER HIJACKER erkannt.
  5070.             Sollte von VT im FileTest als VIRUS TERMINATOR 6 erkannt wer-
  5071.             den.
  5072.          Empfehlung: sofort loeschen
  5073.  
  5074.    - Virus V1    immer ab $7EC00  Cool $7ec62, DoIo $7eca8
  5075.          Arbeitet auch mit KS2.04 !
  5076.          Fordert trackdisk.device NICHT !!!
  5077.          Schaeden und Vermehrung:
  5078.          ueber Bootblock
  5079.          sobald die Zaehlzelle den Wert $F erreicht hat:
  5080.          Textausgabe mit Graphics-Routinen
  5081.             dunkler Hintergrund
  5082.             Virus V1 (rot)
  5083.             Wir sind wieder da ahaaa.. (gruen)
  5084.          Der letzte Text ist auch im BB zu lesen
  5085.  
  5086.    - Virusblaster V2.3   ungepackt 9232 Bytes
  5087.          keine Vermehrung, keine Vektoren verbogen,
  5088.          (also von der Definition her KEIN Virus, aber auf Zerstoerung
  5089.          ausgelegt)
  5090.          zerstoert Disk in Df0
  5091.          meldet sich im Cli als AntiVirenProgramm von M&T 7/91
  5092.          einfach loeschen
  5093.          Herkunft: Virusblaster.LZH  27944 Bytes
  5094.             - Doc-File (geaendertes VT2.26doc-File)
  5095.             - Virusblaster   PP   7292 Bytes
  5096.  
  5097.    - virustest    anderer Name: TimeBomber  s.o.
  5098.  
  5099.    - VKill 1.0     anderer Name: Aids, veraendert PutMsg
  5100.            mit FastMem:
  5101.   (loescht j e d e n nicht schreibgeschuetzten Bootblock o h n e Warnung !!!,
  5102.                     auch wenn es ein Orig. Bootblock ist !! )
  5103.            mit nur ChipMem:
  5104.      (schreibt ohne Warnung eigenen Bootblock)
  5105.          EntschluesselungsLW: " KEN"
  5106.  
  5107.    - WAFT  BB   Cool, DoIo  auch mit KS2.04 Vermehrung
  5108.          Teile des BB`s codiert mit eori.b #-$31,(a0)+
  5109.             ergibt u.a. Text: W A F T  usw
  5110.          Vermehrung u. Schaeden:
  5111.             - BB
  5112.             - DisplayAlert
  5113.             - sucht Screen- u. Windowstruktur
  5114.  
  5115.    - WAHNFRIED  BB   Cool immer $7F0D8   PutMsg immer $7F0DE
  5116.          KS 2.06: ja
  5117.          fordert trackdisk.device  NICHT
  5118.          Namensbegruendung:
  5119.          im BB ist immer zu lesen
  5120.            20574148 4E465249 45442053 5452494B  WAHNFRIED STRIK
  5121.            45532041 4741494E 20212120 20202020 ES AGAIN !!
  5122.          Vermehrung:
  5123.         ueber BB
  5124.            Allerdings ist ein vermehrter BB nicht mehr bootfaehig,
  5125.            da die BB-CheckSum nicht nachgebessert wird.
  5126.          Schaeden:
  5127.        Eine Zaehlzelle wird bei der Aktivierung des Viruses mit
  5128.            dem Wert $14 beschrieben. Sobald in der Zaehlzelle der
  5129.            Wert 0 erreicht wird, wird mit DisplayAlert ein Text ausge-
  5130.            geben. Dieser Text wird im Speicher decodiert mit:
  5131.                           eori.b #$a7,d0
  5132.               move.b d0,(a1)+
  5133.            Text:
  5134.            Hardware Failure    Press left mouse button to continue
  5135.                    Guru Meditation    #00000015.00C03L12
  5136.                    Hooligen-Bits randalieren im Datenbus!
  5137.                                                       Gruß Erich!
  5138.  
  5139.  
  5140.    - Warhawk   Cool, im Prg. DoIo, liegt immer ab $7e600
  5141.          Clone: 04.03.92  Text entfernt
  5142.  
  5143.    - Warshaw Avenger   BeginIo, KickTag, KickChechSum, SumKickData
  5144.          grosse Aehnlichkeiten mit Lamer, BB aber unverschluesselt
  5145.          schreibt je nach Zaehlerstand BB oder schreibt in einen
  5146.          Diskblock (Lage je nach $dff006) $55 x Warsaw und 1 x !! .
  5147.  
  5148.    - XaCa-Virus    Disk-Killer Clone  s.o.
  5149.          Laenge PP-gepackt: 1440 Bytes
  5150.          Laenge ungepackt : 1368 Bytes
  5151.          Filename: disktest
  5152.          Jemand hat es wieder einmal geschafft, einen Text zu aendern.
  5153.          Spielt lieber weiter mit dem Joystick.
  5154.          Wird weiterhin als Diskkiller-Virus erkannt. Tut mir leid,
  5155.          die Muehe war umsonst.
  5156.          Im entpackten File ist zu lesen:
  5157.            20205861 4361206c 756d6d69 6e205631   XaCa lummin V1
  5158.            2e352020 200a2020 20202020 20202020 .5   .
  5159.            20202020 20202020 20202020 20202020
  5160.            20202020 20200a43 41544348 204d4520       .CATCH ME
  5161.            49462059 4f552043 414e2120 47524820 IF YOU CAN! GRH
  5162.            usw.
  5163.  
  5164.    - XCopyPro6.5-Trojan
  5165.          Erzeugt beim Starten von XCopyPro V6.5  (Laenge:28336)
  5166.          den BB  Little Sven
  5167.          Hinweis: im April 92 lag die OrigVersionsNr. von Xcopy erst
  5168.             bei 5.2x (glaub ich).
  5169.          Gefunden in: xcopy65e.lha  Laenge: 25360
  5170.          Empfehlung: sofort loeschen und Original-XCopyPro besorgen.
  5171.  
  5172.    - XENO     Link-Virus, verlaengert das befallene Prg. um 1124 Bytes
  5173.          verbiegt DosOpen, DosLock und DosLoadSeg
  5174.          erhoeht Hunk-Zahl im File-Header nicht !!!
  5175.          testet vor Befall Filenamen auf 0-9, a-z und A-Z,
  5176.          Folge: Programme, deren Namen SonderZeichen enthalten, werden
  5177.          n i c h t  befallen.
  5178.          Ausserdem werden  a l l e  Prg., die im Unterverzeichnis
  5179.          l oder devs stehen, n i c h t  verseucht.
  5180.  
  5181.          Textausgabe (Output, Write) in Abhaengigkeit von $DFF006
  5182.          Text wird erst zur Ausgabe decodiert ( eori.b #-$80,(a0)+ ) :
  5183.             Greetings Amiga user from the Xeno virus!
  5184.          in einem verseuchten File ist in der Naehe von $460 mit einem
  5185.          Monitor zu sehen:
  5186.                l.devs.fastfilesystem.
  5187.  
  5188.    - XENO a    kleine Veraenderung um AntiVirusPrg.e zu taeuschen
  5189.          09.03.92
  5190.          Nachtrag 02.11.92: mehrere Xeno-links ans gleiche File sollten
  5191.          in einem Durchgang ausgebaut werden.
  5192.  
  5193.    - Xerox = DIGITAL AGE = Forpib-Clone
  5194.          nur Text geaendert
  5195.  
  5196.    - XLINK  V3.0  File
  5197.          VT glaubt ein File gefunden zu haben, das mit XLINK erzeugt
  5198.          wurde. Es handelt sich angeblich um ein Szenen-Programm, mit
  5199.          dem 2 ausfuehrbare Programm-Files zu 1 File zusammengelinkt
  5200.          werden koennen. Also geeignet fuer VirenProduktion !!!
  5201.          Muss aber NICHT immer negativ verwendet werden. VT sucht in
  5202.          dem File NICHT nach Viren-Mustern. Sie muessen selbst eine
  5203.          Entscheidung treffen.
  5204.  
  5205.    - XPRZSPEED-Virus   anderer Name: ZSPEED-Virus    s.u.
  5206.  
  5207.    - Z.E.S.T  BB    LADS-Clone  s.o
  5208.          Aenderung: lesbarer Text, kein TaeuschAlert, verschluesselter
  5209.          Text ist gleich  (Anfaenger)
  5210.          lesbarer Text: Z.E.S.T is the B.E.S.T Virus-Killer usw.
  5211.  
  5212.    - ZACCESS V1.0    16Bit-Clone   s.o.
  5213.          nur Text geaendert
  5214.  
  5215.    - ZACCESS V2.0    Forpib-Clone  s.o.
  5216.          nur Text geaendert
  5217.  
  5218.    - ZACCESS V3.0    Extreme-Clone s.o.
  5219.          nur Text geaendert
  5220.  
  5221.    - ZAPA_B.Door   Filename DM-Trash
  5222.          Laenge gepackt:  4764   VT erkennt P-Packer
  5223.          Laenge entpackt: 7636   VT erkennt ZAPA
  5224.              gegen AmiExpress ???
  5225.          dm-tr.lha 5135 Bytes  entpackt: dm-trash 4764 Bytes
  5226.          folgender Text (doc) ist zur Taeuschung enthalten:
  5227.          New virus ...caused by the new FIXED (?) Version
  5228.          of DMS 1.11 Turbo!
  5229.          It is some kind of linkvirus and uses Devices
  5230.          like DH0:, LIBS:, and BBS: (!!) usw.
  5231.  
  5232.          Eigene Versuche mit FangFiles (habe AmiExpress nicht) haben
  5233.          ergeben, dass eben von dm-trash folgende Files veraendert wer-
  5234.          den:  bbs:config1  bbs:user.data  bbs:user.key 
  5235.          Die Files wurden verlaengert und ZAPA eingetragen.
  5236.          dm-trash. Vermutlich soll ein Superlevel fuer einen Boxzu-
  5237.          gang geschaffen werden. Also fuer normale Amiga-User kein
  5238.          Problem.
  5239.          VT bietet loeschen an.
  5240.  
  5241.    - ZENKER-Virus   BB  KS2.04: ja  im Speicher immer ab $7F800
  5242.          Cool $7F86c DoIo $7F894
  5243.          Fordert trackdisk.device NICHT
  5244.          Versucht im BB durch lesbaren Text zu taeuschen:
  5245.               Commodore Bootloader (20 Oct 1987)
  5246.          Dieser BB holt in Wirklichkeit ab $70000 auf Speichermedium (bei
  5247.          Disk Zyl 40 Sektor 16-19) 4 Bloecke. Die ersten beiden Bloecke
  5248.          enthalten das Virusteil. Die restlichen beiden Bloecke enthalten
  5249.          den ehemaligen Orginal-BB. Dabei wurde ab der DOS-Kennung
  5250.          == ZENKER == eingetragen. Dies behindert die Vermehrung nicht,
  5251.          da das Virusteil erst ab $C in den Orginal-BB einspringt.
  5252.          Das Virusteil meldet sich NICHT.
  5253.          Vermehrung und Schaeden:
  5254.          Der Orginal-BB der eingelegten Disk wird nach $7FC00 geholt,
  5255.          == Zenker == eingetragen und dann mit dem Virus-Teil nach Zyl 40
  5256.          Sektor 16 ff. abgespeichert. File-Bloecke an dieser Stelle oder
  5257.          die BitMap (im Test passiert) werden ueberschrieben und koennen
  5258.          NICHT gerettet werden !! Tut mir leid. Danach wird der Bootloader
  5259.          in den BB geschrieben.
  5260.          Falls der BB-loader erkannt wurde, sollte das Gadget O-BB aktiviert
  5261.          werden. Sie koennen damit versuchen, den Original-BB von Zyl 40
  5262.          zu holen. VT schreibt dann die Dos0-Kennung und $370 neu. Danach
  5263.          wird die BB-CheckSum neu berechnet. Diesen BB koennen sie dann mit
  5264.          Speicher-BB zurueckschreiben oder im File-Req abspeichern.
  5265.          Vielleicht haben Sie Glueck und ihre Disk bootet wieder. Der
  5266.          Fehler auf Zyl 40 kann aber NICHT behoben werden.
  5267.          Auf Festplatte arbeiten Sie bitte so NICHT. Holen Sie das Backup
  5268.          des Rigid-Bereichs hervor (das haben Sie doch oder ???) und
  5269.          schreiben Sie den Rigid-Bereich mit ihrer Kontroller-Software
  5270.          (ist mir lieber so) oder wenn es gar nicht anders geht mit VT-
  5271.          Restore zurueck.
  5272.          Erkennung und Loeschung mit VT2.51 getestet:
  5273.          Speicher        19.03.93
  5274.          BB              19.03.93
  5275.          BlockITest      19.03.93
  5276.          BlockKette      19.03.93
  5277.          hole O-BB       21.03.93
  5278.  
  5279.  
  5280.    - ZOMBI I-Virus   Cool, im Prg DoIo, immer ab $7A000
  5281.          fordert trackdisk.device NICHT
  5282.          Vermehrung: BB
  5283.          Schaeden:
  5284.          Sobald die Zaehlzelle den Wert $F erreicht hat:
  5285.          - RootBlock und Bitmapblock neu schreiben !!!!
  5286.          - Name der Disk dann: Zombi I
  5287.          - Textausgabe mit DisplayAlert
  5288.             Text wird decodiert nach $70000 mit eori.l #$AAAAAAAA,(A0)+
  5289.                >>>>>    Hello AMIGA User !!!!!    <<<<<
  5290.                            HERE IS ZOMBI I
  5291.                    If you want to clean your Disks
  5292.                     use Zombie I without risks !
  5293.  
  5294.          Da der BitMapBlock immer nach $371 geschrieben wird, was aber
  5295.          im DOS nicht zwingend festgelegt ist, kann ein File, das beim
  5296.          Block $371 beginnt, zerstoert werden. Alle Hashwerte im Root-
  5297.          Block werden auf Null gesetzt. Beim BitMapTest erkennen Sie
  5298.          diese Disk am Namen Zombi I ab $1B0.
  5299.          Rettung: DiskDoc oder DiskSalv aufrufen.
  5300.  
  5301.    - ZSPEED-Virus   File  Laenge ungepackt: 9556
  5302.          gefunden in Archiv: XPRZSPEED.LHA  8703
  5303.          Von der Definition kein Virus, da keine Vermehrung, sondern
  5304.          Zerstoerungs-File gegen AmiExpress (BBS). Also KEINE Gefahr
  5305.          fuer den Normal-User.
  5306.          Empfehlung: einfach loeschen UND s.seq aendern !!!
  5307.            lesbarer Textauszug am Fileende:
  5308.            00000058 0000005A 06060000 5850522D ...X...Z....XPR-
  5309.            53706565 64657220 56332E32 202D2041 Speeder V3.2 - A
  5310.            43544956 45202D20 30343A31 33424253 CTIVE - 04:13BBS
  5311.            64656C65 74652062 62733A23 3F20616C delete bbs:#? al
  5312.            6C626273 3A446970 5F696E5F 44554445 lbbs:Dip_in_DUDE
  5313.            ....
  5314.            4746412D 42415349 43000000 00000000 GFA-BASIC.......
  5315.          Versucht in doc zu taeuschen:
  5316.      This tool was coded in order to improve your Z-Modem transfers.
  5317.      And it works really good in 30 % of our TEST-Downloads there was
  5318.      an acceleration of nearly 6-7 % !!!
  5319.         Fileerkennung mit VT getestet :    08.10.92
  5320.         WICHTIG: wird von VT im Speicher NICHT gefunden !!!!!
  5321.         Deshalb sollten Mailbox-Betreiber ab und zu in  vt/listen/task
  5322.         suchen nach:
  5323.      $003ae000  wait      process     Background CLI [xprzspeedV3.2.exe]
  5324.  
  5325.         Schadensverlauf:
  5326.          - soll mit run gestartet werden
  5327.          - gibt dann im cli aus: XPR-Speeder V3.2 - ACTIVE
  5328.          - oeffnet nur einen Port OHNE Namen
  5329.         (deshalb auch keine Speichererkennung mit VT  vgl. VT/Listen/Port)
  5330.          - wird um 04:13 Uhr (Nacht) aktiviert
  5331.          - delete bbs:#? all
  5332.          - holt delete (zumindest bei mir wird in Sys: danach gesucht)
  5333.          - loescht alle Files in bbs:
  5334.          - loescht ram:temp
  5335.          - legt Dip_in_DUDE neu an
  5336.          - vergroessert dieses File bis die Partition voll ist
  5337.          - dann ein System-Requester bbs voll
  5338.          - dieses File enthaelt bei mir nur Muell und die geloeschten
  5339.            Filenamen
  5340.  
  5341.    - erkannte Virenfinder:
  5342.      =====================
  5343.       teilweise KickRomV1.2, haeufig mit Bootblock-Schreibzugriff,
  5344.       veraltet, resident, werden nach Abfrage geloescht
  5345.  
  5346.       - ACID Terminator V3.0  AntiVirusBB
  5347.             nicht fuer KS2.04 geeignet, da absolute Werte geschrieben
  5348.             werden.
  5349.             Empfehlung deshalb: loeschen
  5350.  
  5351.       - AmigaDOS Viruskiller V2.1 immer ab 7F3F0, resetfest
  5352.             verbiegt DoIo, KickTag, OpenOldLib, und im Prg OpenWindow
  5353.             Schreibt in CLI-Leiste AmigaDOS  Viruskiller 2.1
  5354.             meldet veraenderten Bootblock und bietet BB-AmigaDOS an.
  5355.             GURU mit KS2.04 deshalb Empfehlung loeschen
  5356.  
  5357.       - Anti-Virus_Boot V1.1 c1991 by Hoeppelsoft
  5358.             KickTag, KickMem, KickCheckSum
  5359.             bei Erstinstallierung: gruener Bildschirm
  5360.             bei Reset : Bildschirm mit blauen Streifen
  5361.             eigentlich harmlos, aber:
  5362.             verhindert bei mir mit KS2.04 booten von Festplatte
  5363.             Empfehlung deshalb :   loeschen
  5364.  
  5365.       - ASS VirusProtector V1.0  (KickV1.2, Tonfolge)
  5366.             FastMem ja, KickTag, KickCheckSum, Vec5
  5367.  
  5368.           6e6b7320 746f2074 68652041 53532056 nks to the ASS V
  5369.           49525553 2050524f 54454354 4f522056 IRUS PROTECTOR V
  5370.           312e3020 2a2a2a00 00000000 00000000 1.0 ***.........
  5371.  
  5372.       - Blizzard Protector V1.0
  5373.             testet Cool, Vec3, falls veraendert wird ohne Warnung
  5374.             eigener BB geschrieben (verwendet dazu ueber den verbogenen
  5375.             CoolVector das andere Prg (jsr 82(a0))
  5376.             Empfehlung: loeschen
  5377.  
  5378.       - BlizzPro V3.1    cool, Fastmem ja,
  5379.             im Prg. closedevice (oh, was neues)
  5380.             Vermehrung: ueber BB
  5381.             erkennt einige Viren, schreibt aber KS1.2 DoIo zurueck
  5382.             Meldung ueber DisplayAlert
  5383.             unverschluesselter Text im BB:
  5384.             BlizzPro V3.1  und Virennamen
  5385.  
  5386.       - BlizzPro V3.3     Cool gegenueber BlizzPro V3.1 verschoben
  5387.             NICHT mit KS2.04
  5388.             kein Virus = Bildschirm gruen
  5389.             sonst s.o.
  5390.             unverschluesselter Text im BB:
  5391.             BlizzPro V3.3  und Virennamen
  5392.             Empfehlung: sofort loeschen
  5393.  
  5394.       - CLONK!  DoIo, KickMem, KickTag, KickCheckSum, SumKickData
  5395.             nur 512KB Chip (oder resetfestes 1MB), da zur Aktivierung
  5396.             immer ein Reset ausgefuehrt wird. (7D042 nach $80, TRAP 0)
  5397.             Ursprungsprogramm: Clonk! (Alcatraz)
  5398.  
  5399.       - DISKGUARD v1.0   cool, im Prg DoIo, immer $7FA00
  5400.             Vermehrung: ueber BB
  5401.             Meldung fremder BB.e: mit DisplayAlert
  5402.             schreibt immer  DoIo von KS1.2, Folge: Guru mit KS1.3
  5403.             Empfehlung: loeschen
  5404.  
  5405.       - Exterminator 2   cool, im Prg DoIo
  5406.             FastMem: nein
  5407.             KS2.04:  nein
  5408.             Empfehlung deshalb: L=loeschen
  5409.  
  5410.       - H.C.S I      veraendert cool, im Prg DoIo, loescht KickTag
  5411.                      im Speicher immer ab $7EC00
  5412.                      Vermehrung: jeder DOS-BB ohne Warnung !!!!
  5413.            4F4C4420 482E432E 5320414E 54492D56 OLD H.C.S ANTI-V
  5414.            49525553 202D2048 2E432E53 20273432 IRUS - H.C.S '42
  5415.            3230202A 2A2A0000 00607E2A 2A2A2042 20 ***...`~*** B
  5416.  
  5417.  
  5418.       - H.C.S II  veraendert cool       laenger als HCS1
  5419.                   erkennt einige alte BBViren ( Alertmeldung )
  5420.                   beim ersten Bootblockschreiberfolg wird noch der
  5421.                   DoIo-Vector verbogen und bleibt verbogen
  5422.                   bei leerem Laufwerk blinkt PowerLed
  5423.  
  5424.       - Outlaw-VirusChecker
  5425.         keine Vermehrung, erkennt SCA. Schreibt aber immer KS1.2 Werte
  5426.         (z.B. Vec5 $fc12fc) zurueck. Folge: GURU mit KS1.3
  5427.         nicht resident
  5428.         Empfehlung: loeschen
  5429.  
  5430.       - M&U  V5.5 u. V6.1   KickTag, KickCheckSum immer $7F400
  5431.          nach Reset auch DoIo, prueft die Standard-Vektoren und
  5432.          springt bei der Erstinstallation, falls diese nicht 0 sind,
  5433.          ins ROM zum Reset.
  5434.          Fehler: or.l $550(a6),d0  (richtig:$226)
  5435.          Stand: Feb. u. Maerz 90
  5436.          Empfehlung deshalb: sofort loeschen
  5437.  
  5438.       - MemClear.BB        Cool $7F0AE
  5439.          Keine Vermehrung, KS2.06: ja  Empfehlung: Loeschen
  5440.          Setzt Reset-Vektoren auf Null und verbiegt dann Cool wieder
  5441.          Namensbegruendung: im BB uncodiert zu lesen
  5442.            203e204d 656d6f72 79436c65 6172426f  > MemoryClearBo
  5443.            6f745631 2e323520                   otV1.25
  5444.  
  5445.       - Monkey-Killer   AssProt-Clone  Empfehlung loeschen  s.o.
  5446.          Endlich hat es jemand geschafft den Text abzuaendern. Leider
  5447.          erkennt VT diesen BB weiterhin als ASS-Prot.BB .
  5448.  
  5449.       - NO BANDIT  soll ByteBandit am Bootblockbefall hindern
  5450.          Text:  NO BANDIT ANYMORE!  R.T.
  5451.          Empfehlung: loeschen
  5452.  
  5453.       - Sherlock     AntiVirenBB , Cool, DoIo, resident im Speicher,
  5454.          im Speicher immer ab 7FA00, benutzt zusaetzlich 7CA00,
  5455.          Textausgabe mit DisplayAlert
  5456.          schreibt bei mehr als 512KB  BeginIo an falsche Stelle,
  5457.          Empfehlung: loeschen
  5458.          Hinweis: 04.03.92 (Brief)
  5459.             soll Disks zerstoeren. Getestet: nicht aufgetreten
  5460.  
  5461.  
  5462.       - SystemZ V3.0, 4.0, 5.0, 5.1, 5.3, 5.4, 6.1, 6.3, 6.4, 6.5
  5463.          KickTag, KickCheckSum, loescht Cool, im Prg. DoIo
  5464.          Melodie und Farbbalken
  5465.          ab 6.3 keine speicherabsolute Adresse mehr
  5466.          neuer Name Virusprotector (meldet sich vor Schreibzugriff)
  5467.                z.B. :
  5468.             20535953 54454D20 5A205649 52555320  SYSTEM Z VIRUS
  5469.             2050524F 54454354 4F522056 342E3020  PROTECTOR V4.0
  5470.  
  5471.       - Trackers Antivirus V1.2
  5472.          blauer Streifen, helle Schrift
  5473.          2 alte absolute ROM-Einspruenge
  5474.          Empfehlung deshalb: sofort loeschen
  5475.  
  5476.       - VIRUS HUNTER  Kicktag $7F300, KickCheckSum $7F307 immer ab $7F300
  5477.          war ein AntiVirusBB fuer KS1.2  Empfehlung heute: sofort loeschen
  5478.          Begruendung:
  5479.             direkte RomEinspruenge
  5480.             jsr $FC06DC, $94(a6)=$FC12FC, schreibt nach $238(a6) dieser
  5481.             Teil wird aber seit KS2.04 genutzt !!!   usw.
  5482.  
  5483.       - Virus-Killer
  5484.             KickMem, KickTag, KickCheckSum
  5485.  
  5486.       - VIRUS SLAYER V1.0     Cool, DoIo, im Speicher immer $7FA00
  5487.          nur KS1.2 da DoIo absolut ROM
  5488.          veraltet, Empfehlung: loeschen
  5489.          Vermehrung: ueber BB
  5490.  
  5491.       - ZVirusKiller V1.5  BB   KickTag, KickCheckSum, veraltet
  5492.          Empfehlung: loeschen
  5493.          Text: ZViruskiller V 1.5 usw.
  5494.  
  5495.  
  5496.    - harmlose Programme:
  5497.      ===================
  5498.  
  5499.       - ANTI-Disk-Validator  Laenge: 1848 Bytes
  5500.          in einen Disk-Validator von WB1.3 wurde das Wort ANTI ein-
  5501.          gebaut. Ueber diesen String wird mit bra.s hinweggesprungen.
  5502.          Die zusaetzlichen 8 Bytes werden wieder eingespart durch die
  5503.          Umwandlung von zwei Longs in Short im weiteren Programm.
  5504.          Dieses Programm ist harmlos. Um aber das Durcheinander bei
  5505.          den Disk-Validatoren gering zu halten, empfehle ich:
  5506.             LOESCHEN !!!!!
  5507.  
  5508.       - PowerUp  ein GagPrg.  Laenge: 800 Bytes      KEIN Virus !!!!!!
  5509.          keine verbogenen Vektoren. Kein Schreibzugriff
  5510.          Empfehlung: loeschen
  5511.          Ablauf:
  5512.          - nach dem Start wird ein PrgTeil decodiert mit eori.b #$AB,(a0)+
  5513.          - in der shell erfolgt die Ausgabe:
  5514.                  PowerUp ist installiert. Viel Spaß!!!
  5515.          - promptzeichen kommt NICHT
  5516.          - 1. Zeitschleife (dosDelay) laeuft an.
  5517.          - Ausgabe ueber AutoRequest
  5518.                  Achtung!
  5519.                  PowerUp wurde entfernt, da der
  5520.                  Rechner zu heiß wurde.
  5521.                  Neue Installation erst nach Abkühlung der
  5522.                  Logik-Chips möglich!
  5523.                   Oh, schade                  Oh, schade
  5524.          - Nach Mausklick immer noch kein prompt
  5525.          - 2. Zeitschleife laeuft an
  5526.          - DisplayAlert
  5527.                     A P R I L , A P R I L !!!
  5528.          - Nach Mausklick erscheint Prompt-Zeichen
  5529.  
  5530.    - schaedliche Programme:
  5531.      ======================
  5532.  
  5533.       - Blieb6   Laenge: 7612
  5534.          Oeffnet dh0:bbs/config1 oder dh1:bbs/config1 und verlaengert
  5535.          das File auf 1972 Bytes. Versucht dann explode.library zu laden,
  5536.          um sich selbst weiter zu entpacken. Dabei erscheint bei mir sofort
  5537.          der GURU auf jedem Test-Rechner und bei jeder KS . Falls Sie
  5538.          mehr Glueck haben, bitte eine Nachricht. Danke
  5539.  
  5540.       - BootblockMassacre    gepackt: 9592
  5541.          bietet install von verschiedenen alten BB-Viren   (1988)
  5542.          Wird von VT NICHT erkannt, da SIE gewollt die Viren installieren
  5543.          muessen. Das Prg. wird von selbst NICHT aktiv !!!!!
  5544.  
  5545.       - BootX5.02   gibt es noch gar nicht (Stand:26.06.92)
  5546.          Jemand mit Filemonitorkenntnis hat mehrmals das Wort Porky
  5547.          eingebaut. Sofort loeschen
  5548.  
  5549.       - ByteWarriorCreater   gepackt: 6012 Bytes  (TNM)
  5550.                            ungepackt: 7360 Bytes
  5551.          Erzeugt mit Fastmem eine NDOS-Disk
  5552.          Ohne Fastmem wird der ByteWarrior in den Bootblock geschrieben
  5553.  
  5554.       - DAG_Creator     ungepackt: 7000 Bytes
  5555.             anderer Name: Infector V2.0    gepackt:4956
  5556.             schreibt DAG-Virus in BB von df1:
  5557.  
  5558.       - Disk.info   Laenge: 370 Bytes  KEINE Vermehrung
  5559.          Ein OriginalWB1.3-Icon wurde in der Struktur geaendert. (Text
  5560.          eingebaut z.B. This is a little present for all Lamers
  5561.          abroad ). Sobald Sie diese Disk einlegen und es muesste das
  5562.          Disk-Icon auf der WB angezeigt werden, stuerzt der Rechner
  5563.          ab. Haben Sie die Startup-Sequence im Cli abgebrochen, so
  5564.          muss kein Icon dargestellt werden und deshalb koennen Sie
  5565.          mit dieser Disk ohne Probleme arbeiten. AbHilfe: Ersetzen
  5566.          Sie Disk.info .
  5567.  
  5568.       - DiskRepair V2.6     Laenge:37740
  5569.          Schreibt nach dem ersten Scandurchgang einen LEEREN RootBlock
  5570.          mit Namen PHOENIX . Beim 2. Durchgang werden aber dann die
  5571.          Files wieder eingetragen.  ABER  !!!!!
  5572.          es wird immer ein nicht ausfuehrbarer BootBlock geschrieben ???
  5573.          Der Fehler liegt nach meiner Meinung im File bei $80d0 . Ich
  5574.          rate also von diesem Prg. ab !!!
  5575.  
  5576.       - DM-Trash     06.08.92
  5577.              gegen AmiExpress ???            wird von VT NICHT erkannt
  5578.          dm-tr.lha 5135 Bytes  entpackt: dm-trash 4764 Bytes
  5579.          folgender Text (doc) ist enthalten:
  5580.          New virus ...caused by the new FIXED (?) Version
  5581.          of DMS 1.11 Turbo!
  5582.          It is some kind of linkvirus and uses Devices
  5583.          like DH0:, LIBS:, and BBS: (!!) usw.
  5584.  
  5585.          Eigene Versuche mit FangFiles (habe AmiExpress nicht) haben
  5586.          ergeben, dass eben von dm-trash folgende Files veraendert wer-
  5587.          den:  bbs:config1  bbs:user.data  bbs:user.key 
  5588.          Die Files wurden verlaengert.
  5589.          dm-trash. Vermutlich soll ein Superlevel fuer einen Boxzu-
  5590.          gang geschaffen werden. Also fuer normale Amiga-User kein
  5591.          Problem.
  5592.  
  5593.       - Guardian.DMS  sofort loeschen
  5594.          Nach dem Entpacken auf Disk entsteht guardian.config,
  5595.          startup-sequence und andere Files.
  5596.          Gefaehrlich:
  5597.  
  5598.          guardian.config
  5599.          v1.0 dh0:bbs/
  5600.          v1.0 dh1:bbs/
  5601.          2
  5602.             - v1.0 ist in c auf der Disk ein umbenannter delete-Befehl
  5603.  
  5604.          startup-sequence
  5605.          echo " "
  5606.          echo "      GUARDIAN MULTITOOL INSTALL      "
  5607.          echo " "
  5608.          echo "Please wait"
  5609.          v1.0 dh0:bbs/user.data
  5610.          v1.0 dh0:bbs/user.keys
  5611.          v1.0 dh0:bbs/config1
  5612.          v1.0 dh0:s/startup-sequence
  5613.          check drive dh0: Name Guardian-Multi
  5614.          wait 3
  5615.          echo " "
  5616.          echo "Operation complete "
  5617.             - check ist in c auf der Disk ein umbenannter format-Befehl
  5618.  
  5619.       - Infect     Laenge ungepackt: 1384
  5620.          schreibt File (z.B. BB) in BB eines LW's DFx
  5621.          kann sowohl positiv als auch negativ genutzt werden
  5622.  
  5623.       - Infector V2.0   = DAG_Creator  s.o.
  5624.  
  5625.       - Keeper V2.0   gepackt: 34272 Bytes
  5626.          Hat einige Viren zum installieren FEST eingebaut.
  5627.  
  5628.       - Lhwarp_V1.40   Laenge: 47880 Bytes (ungepackt)
  5629.                Hinweis eines Users: mit Impl: 24788, mit PP: 27828
  5630.          Schreibt bei mir auf Zieldisk, falsche DiskStruktur beim Entpacken.
  5631.          Disk dann unbrauchbar. Bitte fuehren Sie aber mit unwichtigen
  5632.          Disks selbst Tests durch und testen Sie mit BlockKette.
  5633.  
  5634.       - LZ 2.0             Hinweis: Stand 21.09.91
  5635.          In Boxen ist ein LZ2.0 aufgetaucht, mit Laenge 37380 Bytes
  5636.          entpackt. Muss sich um einen Patch handeln und soll Archive
  5637.          zerstoeren. Hab ich, wird aber von VT nicht erkannt.
  5638.          Die hoechste OriginalVersionsNummer von LZ war am 22.09.91
  5639.          LZ 1.92 .
  5640.  
  5641.       - Show Sysops Util  06.08.92       wird von VT NICHT erkannt
  5642.          Laenge: 5780   entpackt: 7860
  5643.          Sucht nach BBS:USER.DATA und gibt Daten am Bildschirm aus.
  5644.          An einem FangFile konnten keine Veraenderungen festge-
  5645.          stellt werden. Dies kann aber bei einem Mailboxprg. anders
  5646.          sein. Fuer normale Amiga User nach meiner Meinung keine
  5647.          Gefahr und Sysops wissen sich zu helfen oder ??
  5648.  
  5649.       - Sysinfo V2.2   PP: 3928   ungepackt: 5656
  5650.          enthaelt: delete BBS:#? all  (gegen AmiExpress)
  5651.                                          wird von VT NICHT erkannt
  5652.          Diese Funktion konnte ich bei Tests auf keinem Amiga-Typ, mit
  5653.          dem ich testen kann, ausloesen. Das Programm belegt Speicher
  5654.          und zeigt dann sehr schnell den GURU bei irgendeiner Arbeit
  5655.          auf der WB. Falls Sie mehr "Glueck" haben, bitte eine Nach-
  5656.          richt. Danke
  5657.             793F0000 0D0A5379 7374656D 496E666F y?....SystemInfo
  5658.             2056322E 320D0A00 0A506C65 61736520  V2.2....Please
  5659.             .
  5660.             ....
  5661.             3A320000 64656C65 74652042 42533A23 :2..delete BBS:#
  5662.             3F20616C 6C202054 3A340000 000003F2 ? all  T:4.....
  5663.  
  5664.       - Sysinfo V1.1   (Original)  ungepackt: 5680
  5665.          enthaelt NICHT !!! : delete BBS:#? all
  5666.          also auch kein Zerstoerungsprogramm gegen AmiExpress !!!
  5667.             303B316D 53797374 656D496E 666F2056 0;1mSystemInfo V
  5668.             312E3120 28432920 496F616E 6E697320 1.1 (C) Ioannis
  5669.             43686174 7A69616E 6472656F 752C2031 Chatziandreou, 1
  5670.             3939302C 20426F63 68756D20 4652471B 990, Bochum FRG.
  5671.  
  5672.       - uinfo        Laenge:13048   wird von VT  NICHT  erkannt
  5673.          Sucht nach AEDoorPort (AmiExpress ???) und Userdaten.
  5674.          Also fuer NormalUser ohne MailBox keine Gefahr.
  5675.          10.09.92
  5676.  
  5677.       - Virusconstructionset       Laenge gepackt (PP): 10192 Bytes
  5678.          Sie werden aufgefordert, einen max 60 Zeichen langen Display-
  5679.          Alert-Text einzugeben. Den erzeugten BB koennen Sie dann auf
  5680.          Disk in DF0: abspeichern. Das Programm wird von VT nicht er-
  5681.          kannt, da es ohne Absicht keinen Schaden anrichten kann. Der
  5682.          erzeugte BB wird erkannt.
  5683.  
  5684.       - Virusmaker V1.0
  5685.          erzeugt nach Wahl: Byte Bandit, Byte Warrior, S.C.A., North-
  5686.          Star 1+2, System Z
  5687.  
  5688.       - X-Ripper V1.1     Laenge: 41360 Bytes (ungepackt)
  5689.          erlaubt mit inst 5 das Schreiben eines Lamer-BBs. Es wird
  5690.          aber eine NDos-Disk daraus, weil die DOS0-Kennung um 8 Bytes
  5691.          verschoben angelegt wird.
  5692.  
  5693.       Programme gegen BBS, die ich nicht besitze. Bitte zusenden.Danke
  5694.  
  5695. /      ---> Date And Time Uploaded -- Mon 01-Feb-93  2:34:10 PM <---        \
  5696. -----------------------------------------------------------------------------
  5697.  WARNING ! DO NEVER RUN THE FILE "KILLKIM.EXE" ON YOUR BBS COMPUTER !!!
  5698. IT LOOKS FOR THE USER.DATA,USER.KEYS, STARTUP-SEQUENCE & EXPRESS MAINFILE
  5699. AND FILLS THEM WITH THE FOLLOWING TEXT:
  5700.  
  5701. --------------CUT HERE------------------
  5702. STARTUP-SEQUENCE SUCCESSFUL DESTROYED!!! 
  5703. --------------CUT HERE------------------
  5704.  
  5705.  
  5706. --------------CUT HERE-----------------
  5707. USER.KEYS SUCCESSFUL DESTROYED !!! 
  5708. --------------CUT HERE-----------------
  5709.  
  5710.  
  5711. AND SO ON. THEN IT RUNS AN APPENDED LSD INTRO. 
  5712. TO THE LAMER WHO 'CODED'[IT WAS COMPILED AREXX] THAT STUFF:LOOKS PRETTY LAME
  5713. IF THERE'S A REQUESTER ON SCREEN "PLEASE INSERT VOLUME BBS: IN ANY DRIVE"...
  5714. I WOULD AT LEAST CHECK IF BBS: ACTUALLY EXISTS ! 
  5715.                                                       CYCLONE/DUAL CREW
  5716.  
  5717.  
  5718. /      ---> Date And Time Uploaded -- Sun 31-Jan-93  1:31:54 PM <---        \
  5719. -----------------------------------------------------------------------------
  5720.   -------------------------------------------------------------------------
  5721.    WARNING ! WARNING ! WARNING ! WARNING ! WARNING ! WARNING ! WARNING !
  5722.  -------------------------------------------------------------------------
  5723.   THE FILES JISMTRO.EXE IS A TROJAN ! IT CREATES A FILE IN AREA 2 UPLOAD
  5724.             DIR WITH THE NAME TSL-BBS.EXE !!!! DO NOT RUN IT !
  5725.  -------------------------------------------------------------------------
  5726.  
  5727. Maerz 93:
  5728.  
  5729. WARNiNG!
  5730.  
  5731. A File Named 'TRSITW.EXE' Was Spread Some Days Ago, Labeled As A
  5732. New TRSI Intro  - This Is A Damn FAKE! And Even Worse It Has A
  5733. BackDoor In It Which Tries To Open The File 'DH0:BBS/USER.DATA' !
  5734. After That It Looks For A User Called 'EASY-E' And Sets (If Existing)
  5735. His UserLevel To 255 ! 
  5736.  
  5737. Whoever This Little Creep May Be : Give Him A Kick If Ya' Know Him !
  5738.  
  5739.   ------------------------------------------------------------------------
  5740.  
  5741. April 93:
  5742.  
  5743.  Es ist ein Gfa-Basic-Programm aufgetaucht, das angeblich verschiedene
  5744.  Link-Viren erzeugt.
  5745.    VCS         Laenge PP-crunched: 30276
  5746.    VCS.info    Laenge: 459
  5747.    VCS.data    Laenge: 23632
  5748.    VCS1.data   Laenge: 12536
  5749.  
  5750.  Nach IHRER muehevollen, aber leider vergeblichen Arbeit, wird auf der
  5751.  Disk in df0 ein File mit Namen Tasten-Text erzeugt.
  5752.  
  5753.         Hallo Virustown !
  5754.                          
  5755.         Es ist Sommerzeit und der 1.April 
  5756.  
  5757.  
  5758.        Aber vielleicht ist ja doch ein Virus da ?
  5759.               SCHAU DOCH MAL IN DER UHR NACH ?!!?
  5760.                                                  
  5761.               Hier  ne Tastenkombination:
  5762.               linke Hand: alt,ctrl,q,4,v
  5763.               rechte Hand: Enter,8,Alt,Help,ü
  5764.               Nase: F6
  5765.               Zunge: z
  5766.  
  5767.  Ich finde den "GAG" nicht so stark und denke die erste geloeschte
  5768.  Festplatte, laesst diesen Programmierer mit seiner SINNLOSEN Arbeit,
  5769.  anders denken.
  5770.  
  5771.  --------------------------------------------------------------------------
  5772.  
  5773.    Heiner Schneegold
  5774.    Am Steinert 8
  5775.    8701 Eibelstadt
  5776.    (W-Deutschland)
  5777.  
  5778.    Tel: 09303/8369
  5779.    (19.00 - 20.00 Uhr)
  5780.  
  5781.        
  5782.  Heiner
  5783.  
  5784.