home *** CD-ROM | disk | FTP | other *** search
/ Belgian Amiga Club - ADF Collection / BS1 part 65.zip / BS1 part 65 / Chamäleon music player 1.8.adf / Virus_Checker.doc < prev    next >
Text File  |  1991-12-22  |  40KB  |  809 lines
  1. Virus Checker
  2. -------------
  3.    This Program
  4.  
  5. Virus_Checker is a freely distributable, copyrighted piece of software.
  6. You do not have to pay money to use it, and may upload it wherever you
  7. choose, but you are not allowed to sell Virus_Checker for profit, or
  8. include Virus_Checker on a disk which is sold for profit, without the
  9. author's (John Veldthuis) permission.
  10. Commodore have this permission already.
  11.  
  12. Money is not solicited but would be welcome.
  13. I can be contacted at the address below.
  14.  
  15. Please send me any more new viruses so I can update Virus_Checker
  16.  
  17. But please don't send a letter asking for a copy without sending me at
  18. least a disk to send it back on. I just cannot afford to do this.
  19.  
  20. John Veldthuis
  21. 21 Ngatai Street
  22. Manaia, Taranaki
  23. New Zealand
  24. Phone  (0624) 8409
  25.  
  26. Email addresses:
  27. FIDO 3:771/400.0
  28. USENET johnv@tower.actrix.gen.nz
  29.  
  30.  
  31. I have been asked to include the following:
  32.  
  33. Virus_Checker can be kept up to date thanks to the energy and work put into
  34. a global anti-virus information bank founded by Erik Løvendahl Sørensen
  35. from Denmark.
  36.  
  37.   This group has over 120 international members now, among them some of the
  38. programmers of well known anti-virus programs like Steve Tibbet and Jonathan
  39. Potter.  Among the activities of this group are:
  40.  
  41. - Spreading information to anti-virus programmers as fast as
  42.   possible.
  43. - Trying to get names and proof against virus programmers and
  44.   giving the information to the justice department of his/her
  45.   country to press charges.
  46. - Writing articles in popular magazines to inform new Amiga
  47.   users about viruses and how to protect themselves.
  48.  
  49.   All this is volunteer work.  If you want some more information about this
  50. organization or you want to sponsor our work, contact Erik at the following
  51. address:
  52.  
  53.    Erik Løvendahl Sørensen
  54.    Snaphanevej 10
  55.    4720 Præstø
  56.    Denmark - Europe
  57.  
  58.    Phone: 00 45 53 79 25 12
  59.    Fidonet 2:230/114.26
  60.  
  61. To use Virus_Checker , place in your startup-sequence the following line -
  62.  
  63. Virus_Checker
  64.  
  65. This will run virus_checker.
  66.  
  67. Or from the CLI Type Virus_Checker and hit return.
  68.  
  69.  
  70. ****** Special Notice for Users of File Packers and Crunchers ******
  71.  
  72. If you use a program such as PowerPacker to make your files smaller then be
  73. aware to check these files before you crunch them. If the file is infected
  74. and you crunch them then VC will not find the virus in the file and each
  75. time you use that file it will infect your machine.
  76. VC will still detect the virus in memory and remove it okay.
  77. So if you get VC telling you your memory is infected but you cannot find it
  78. on any disks then start unpacking any of these files and check them
  79. UNPACKED.
  80.  
  81. **New features**
  82. ----------------
  83. New Features added to Virus_Checker are added to the command line.
  84. The syntax is Virus_Checker -l### -t### -w### -b -q -n dirname
  85. where ### is any decimal number
  86.  
  87. -l### Tells Virus_Checker  how far from the left edge of the screen to open
  88.       the Virus_Checker window.
  89. -t### Tells Virus_Checker how far down from the top edge of the screen to
  90.       open the Virus_Checker window.
  91. -w### Tells Virus_Checker how wide you want the window. It has a maximum
  92.       size of 386 pixels and a minimum of 200. Any numbers out of this
  93.       range are ignored.
  94. -b    Tells Virus_Checker to send its window to the back of all the other
  95.       open windows.
  96. -n    Tells Virus_Checker not to open a window. It will check memory and
  97.       disks inserted but you will have to use the ARexx port to get it to
  98.       scan the whole disk for Link/File viruses.
  99.       To stop VC, run VC again or use the ARexx port.
  100.       Versions prior to 5.33 opened a 1x1 bit backdrop window but 5.33 on
  101.       do not open any window except requester windows when needed.
  102. -q    Virus_Checker will check all memory, files, and disks for viruses
  103.       then exit. To check the dh0: partition and exit do the following -
  104.       Virus_Checker -q dh0:
  105.       This will check memory, disks, files, and dh0:, then exit.
  106.  
  107. dirname is the directory/file you want checked for File Viruses on startup.
  108.     An example to open the window at x/y position of 200/100 and check DH0:
  109.     is Virus_Checker -l200 -t100 dh0:
  110.  
  111. Any values outside the size of the WB screen are ignored and any non
  112. numerical values are ignored. There must be no spaces between the options
  113. and the numbers. Options may be given in any order.
  114.  
  115. ***  AREXX PORT added ***
  116. -------------------------
  117. An Arexx port has been added to VC so you can make VC do things from an
  118. ARexx script. The port name is  Virus_Checker. Be aware that case is
  119. important and ARexx will not find it if the name is not spelt right.
  120. Here is an example
  121. address 'Virus_Checker'    /* Talk to Virus_Checker  */
  122. 'checkdrive\df0:'          /* Make virus_Checker check df0: for viruses */
  123. 'scanforsaddam\df0:'       /* Make VC check df0: for Saddam virus damage 
  124. 'quit'                     /* Make Virus_Checker shut down */
  125.  
  126. Notice the '\' between the command and the drive name in the middle
  127. examples. This must be put between all commands and their options. 'quit'
  128. does not take an option so does not need the '\' character there.
  129. Virus_Checker will take the following commands
  130.  
  131. checkdrive\drivename      Check drive drivename for file viruses.
  132. scanforsaddam\drivename   Check drive (DF0:-DF3) for Saddam damage.
  133. quit                      Make Virus_Checker shut down.
  134.  
  135. None of the ARexx commands returns results to Arexx.
  136.  
  137.  
  138. As from Version 5.27
  139. --------------------
  140. If Virus_Checker is already running and you give it a blank command line
  141. then it will ask you if you want to stop Virus_Checker. If you give it a
  142. directory/File name then it will be passed on to the running Checker and
  143. the scan will start straight away.
  144. If you select the VC window and press the s key this will bring up the disk
  145. scan requester and if you press the m key, VC will do another complete
  146. memory scan.
  147.  
  148. Upon running Virus_Checker will first check your memory for viruses and
  149. tell you if any were detected. They will either be removed or disabled. Next
  150. all disks in the drives will be checked. Any disk put into any drive
  151. (df0: to df3:) will be checked. The rest is easy.
  152. Sometimes the machine may GURU when it disables the LAMER Exterminator virus
  153. in memory but if you reboot it should be gone.
  154.  
  155. Keys Active when Virus_Checker window is active
  156. -----------------------------------------------
  157. The Following keys will activate the following functions
  158.  
  159. s -    Will activate the Scan mode (Or Right-AMIGA S key)
  160. m -    Will immediately do a complete memory scan (same as startup)
  161. f -    Will activate the Saddam Disk Scan (used to fix Saddam virus damage)
  162.        (or Right-AMIGA F key)
  163. 0 - 3  Will check the First File in startup-sequence and bootblock on disk
  164.        in drive which matches number
  165. Right-AMIGA Q. Will shut down Virus_Checker
  166.  
  167. Link/File virus check
  168. ---------------------
  169. If you want to check a disk for Link/File viruses then put the disk in
  170. any drive. Make sure the Virus_Checker window is active and use the right
  171. mouse button to bring up the Project Menu. Select the "Link/File Scan"
  172. and release the mouse button.
  173. An alternative way is to just press the 's' key on the keyboard.
  174.  
  175. This will bring up a requester asking you which drive to check.  Enter the
  176. drive name in the box, eg.  DF0:, DH1:,RAD:  etc.
  177. Under WB2.0 you can also use the "Use Requester" option
  178.   It will then check all the files on that drive.  You can also enter
  179. directories if you want to eg, c:  df0:c, df0:libs etc
  180.  
  181. When Virus_Checker is scanning the disk and you know that a directory is
  182. clear and don't want to check it press control-d in the window with the
  183. filenames and Virus_Checker will ignore that directory and go back up one
  184. level.
  185. If you want to stop the check completely press control-c in the window with
  186. the filenames and Virus_Checker will print a break message then stop
  187. scanning the disk and go back to normal scanning.
  188.  
  189. If Virus_Checker brings a requester up that says a program just run has
  190. infected your memory with the Xeno Virus, it has already disabled it.
  191. You should immediately check all files on the disks that are in the drives
  192. at that time. This means that a program that you just ran or a program
  193. some other program just ran is infected with the virus and all files
  194. should be checked to find out which one it was.
  195.  
  196. With viruses which use a RomTag I have decided to clear out all RomTags to
  197. make sure I remove the Viruses from the list. In doing this you will lose
  198. things like Recoverable ram disks such as RAD:, VD0: etc. If you have a
  199. virus make sure that you save anything in the ram disks that you want
  200. before rebooting. The ramdisks and others will disappear on a reboot.
  201. My policy is better safe than sorry.
  202.  
  203. BRAINFILE ADDITION
  204. ------------------
  205. I have added a BrainFile to Virus_Checker as of Version 5.13. When VC finds
  206. a Non-Standard bootblock it will bring up 4 gadgets. The new Gadget is Learn.
  207. Pressing this will allow VC to remember this BootBlock and not bother you
  208. again with it.
  209. To do this VC writes a file called VCBrainFile to the S: directory.
  210. If you have a single drive this will invoke a requester asking that Volume
  211. something be put in the drive. This will then save to the file.
  212. On Startup VC will check for the file in the S: directory and read it if it
  213. is there. If not it will carry on without it. If you get an error then VC
  214. will tell you about it and will happily write over the file next time.
  215.  
  216.  
  217. Versions
  218. --------
  219. 1.0  Was an arp.library version.
  220. 1.1  Was an port to the normal libraries.
  221. 1.2  Had the ByteBandit virus detection added into it.
  222. 1.3  Had detection of the 3 Viruses in memory and removal of them.
  223. 1.4  Added code to detect + remove the Byte Warrior Virus from memory
  224.      and disk.
  225. 1.41 Found a slight bug when using DSM to disassemble this.
  226.      The program was testing low memory instead of a value when
  227.      checking for the Revenge Virus.
  228. 1.42 Changed code to be assembled by the CAPE 68K assembler.
  229.      which is much faster than A68k or Assem. Now also uses base register
  230.      addressing mode for data access.
  231. 1.43 Changed code to cut down executable code.
  232. 2.0  Added Pentagon, System Z, North Star, Obelisk and the
  233.      new IRQ virus which lives in files and not in the Boot Block.
  234. 2.1  Corrected a few little bugs in program.
  235. 3.0  Did a listing of Source code and found many bugs.
  236.      Did a major rewrite to clean it up and saved about 400 bytes.
  237. 3.0  Now checks for these viruses -
  238.      SCA, AEK, Byte Bandit, Byte Warrior, Revenge, Pentagon Circle
  239.      System Z, North Star, Obelisk, Disk-Doktors and the latest IBM
  240.      type virus the IRQ virus.
  241. 3.01 Got a new virus, Lamer Exterminator. Added code to get rid of it.
  242. 3.02 Got a second version of the Lamer Exterminator virus.
  243. 3.03 After many requests decided to add checking of BootGirl
  244.      BootBlocks which were being registered as Non-Standard. It now
  245.      just ignores BootGirl BootBlocks.
  246. 4.00 Updated to make better use of the Stack. Now store all variables
  247.      on the stack for a saving of 124 bytes in the executable.
  248. 4.10 TimeBomb virus added to code.
  249. 4.20 Altered startup code to start a separate process to avoid doing
  250.      a RunBack -2 Virus_Checker.
  251. 4.22 Added Gadaffi virus to checker.
  252. 4.23 Found a potentially Fatal Error in Code when accessing Unit
  253.      Byte off the Stack.
  254. 4.24 Added Graffiti, Ultra Fox, and Phantasmumble Viruses.
  255.      Don't actually have these last 3 viruses so anyone please send them
  256.      to me if you find them. Still looking for the IRQ Virus as well.
  257. 4.25 Added BSG9 virus to code.
  258. 4.26 Changed Error Checking on BSG9 virus a bit.
  259. 4.27 Got the War Hawks virus and added it. Also added V3 of Lamer
  260.      Exterminator virus. Changed checking for BSG9 virus. Now checks
  261.      when disk is inserted into drive.
  262. 4.28 Found I was losing the memory that was used by the program when
  263.      it exited. This was caused by me not UnLoading the Segment used for
  264.      the program. Fixed.
  265. 4.29 Found program got into a continuous loop when there where no RomTags
  266.      present in the system. Fixed.
  267.      Also cut code size down a bit more by combining a few checks.
  268. 4.30 Put further checking in for the BSG9 virus as sometimes the checker
  269.      would not find the file on the disk depending on which directory
  270.      it was in. Put VKill virus checking in.
  271.      Also Ultra Fox and PVLProtector virus checking added.
  272. 4.40 Put in DosSpeed virus and an Unknown virus.It does not have any names
  273.      at all.
  274. 4.41 Stopped Requester that comes up after pulling disk out.
  275. 4.42 Added JITR virus which was sent to me by Jonathan Potter (AUST).
  276. 4.43 Added MicroSystems virus checking to code and BootBlock checking of
  277.      the HCS II, Opapa, BackFlash, and Australian Parasite viruses.
  278. 4.44 Changed code around a bit to get better use of tables and added
  279.      Xeno virus check for Memory only.
  280. 5.00 Changed user interface to give a new look and better messages.
  281. 5.01 Major Bug repaired. V5.00 GURU'ed when checking disk. Worked with
  282.      68020 CPU but failed on standard Amigas due to a bad address.
  283. 5.02 Was not checking startup-sequence properly when disk was put in 
  284.      3 1/2" drive when a filename was given as C:SetCPU or something like
  285.      that. Came up with a strange filename not being checked. Fixed.
  286.      Added second version of Byte Bandit Virus, Someone hacked it.
  287.      Added code to remove Xeno virus from files.
  288. 5.03 Slight bug corrected in code.
  289. 5.04 Have changed this from PD to Freely Redistributable after an offer
  290.      from someone to sell Virus_Checker. I feel this still needs to be
  291.      at minimal (copying charge) or no charge to be effective.
  292.      Also cleaned up the code a bit. This may introduce new bugs so
  293.      please tell me about them if you find them
  294.      Added checking of IRQ virus when checking for Xeno files on disk.
  295.      As the file is in the buffer already this adds very little extra
  296.      time to the check. And better safe than sorry.
  297. 5.05 Changed text when Xeno Virus found after a program has been run
  298.      to warn that the program just run may be the culprit.
  299. 5.06 Added 16 Bit crew Virus, New Alien Beat Virus, Digital Emotions
  300.      virus, Graffiti Virus, two new versions of the Byte Bandit virus,
  301.      ScarFace virus, Turk virus, Joshua virus.
  302.      Also a little bug when used with NTSC machines. You could not display
  303.      the Boot Block Sectors. Now Startup alters for which machine it is
  304.      on. The Startup code is only used once and then the memory for it
  305.      is freed.
  306. 5.07 Added better Error messages when an error occurs with files.
  307.      It will now say File protected from deletion when the file is
  308.      protected instead of just saying could not open file.
  309.      Added Butonic virus to checker.
  310. 5.08 Added Centurions virus to checker.
  311. 5.09 Got Aids virus but this is a mutant VKill virus and is found already.
  312.      Added Coders nightmare virus to checker.
  313.      Added Forpib, GX Team, Gremlins, and Kauki Virus.
  314.      Added Centurions and Butonic virus check when scanning disk.
  315. 5.10 Finally got IRQ virus and corrected a few bugs in its code.
  316.      Added Target, Clist, Abraham, and FAST virus. This FAST virus is
  317.      supposed to be from the Federation Against Software Theft. If it is,
  318.      then they are just as big arseholes as the pirates themselves.
  319.      Added Tick virus.
  320.      Added control-c, control-d to multiscan pass so as to stop the scan
  321.      if you got the wrong directory or drive.
  322. 5.11 Slight bug in removing BSG9 virus if virus not in devs: directory.
  323.      Also was picking up some game files as Butonic virus.
  324. 5.12 Virus_Checker was finding WB2.0 reboot code as the HCS II virus.
  325.      This code may not be in the final release but it is at the moment.
  326.      Also SetPatch code moved a bit. Seems to be the same but different.
  327. 5.13 Added a Brain File so that you can remember the BootBlocks that
  328.      You want to. Games etc.
  329.      No new viruses added.
  330. 5.14 Added a feature to allow checking for link viruses on startup
  331.      eg. virus_checker dh0: will check dh0: before carrying on as usual.
  332. 5.15 Slight bug found with brain file.
  333. 5.16 ULDV8 virus added. Uses VertB int and RomTag. Very Tame virus.
  334.      Also fixed up bugs when using Enforcer. Showed up some reads to
  335.      non-existent memory.
  336. 5.17 Added OP1 virus. Seemed to confuse VC into think it had a standard
  337.      Boot block unless write protected.
  338. 5.18 Had to add extra checking for IRQ virus as it found a program that
  339.      matched IRQ and VC crashed trying to remove the IRQ virus which
  340.      wasn't there.
  341. 5.19 Added a much asked for feature so that you can tell VC where to put
  342.      its window.
  343. 5.20 Added a width parameter as well. Also added 1 new virus called the
  344.      SADDAM virus. This virus lives as the Disk-Validator and can infect
  345.      an Amiga simply by putting a disk in the drive.
  346. 5.21 Added the CCCP virus to the checker.
  347. 5.22 Added another version of the Joshua virus. Also fixed bug that occurred
  348.      when checking for file viruses and a name was in the File Header.
  349.      Added -q option to make VC check and then quit.
  350. 5.23 Added ARexx port to Checker. Will Take commands via Arexx. See info
  351.      above.
  352.      Added Disaster Master Virus 2, another file type virus.
  353. 5.24 Added checking memory for Australian Parasite virus, added BootBlock
  354.      viruses:- BlowJob ,Butonic-Bahan, Byte Voyager I, Byte Voyager II,
  355.      Destructor, DiskGuard, Fast1, ByteWarrior FastLoader (not really a
  356.      virus), FICA, Mad II, Hilly, Changed OP1 virus to real name (Joshua),
  357.      Changed Tick virus to real name (Julie), Another version of Lamer
  358.      Exterminator, MegaMaster, Paradox, Saddam Hussein (Paradox copy),
  359.      Termigator, SuperBoy, UltraFox, Vermin viruses.
  360.      Another version of the BSG9 file virus was found so I changed the
  361.      checking to find both versions.
  362.      Added second version of Butonics File virus, added Hawnes file virus.
  363.      Added another version of the BSG9 virus and Return Lamer File virus.
  364.      Did a big rewrite of the checking for file viruses. Now reads file
  365.      once and scans a table of data. Will do the same with Link viruses
  366.      later.
  367. 5.25 VC was finding BootMenu as the Destructor virus. Changed scanning of
  368.      startup-sequence so disks with the cmd sys:c/command would have the
  369.      sys: stripped off them. VC could not find these before.
  370.      Fixed bug which sometimes screwed the virus name reported in the
  371.      requester. 1 BB virus added.
  372.      Changed name of DOSSPEED virus to its real name. Revenge Lamer Ext.
  373. 5.26 Fixed bug that was shown when disk in df1: had a startup-sequence
  374.      entry that said df0:filename. Tried to access df0: when no disk in
  375.      drive.
  376.      Added  Turk Virus file carrier. This was a file that carried to Boot
  377.      Block virus Turk.
  378.      Added a logic bomb file virus. This would wipe out a floppy after the
  379.      the file had been run so many times.
  380.      Added about 10 new BootBlock viruses.
  381. 5.30 Fixed bug that showed up as DF0:2has... and no learn gadget on display.
  382.      Added -n option to make VC window 1x1 pixel/backdrop effectively no
  383.      window.
  384.      Also added keys to VC. Press 's' key to start Disk Scan (same as right
  385.      mouse button), 'm' to do a memory check.
  386.      Added a Lamer TimeBomb Virus, EMWurm logic bomb, and another version
  387.      of the Travelling Jack virus.
  388.      FixSaddam code added to Checker instead of a seperate program
  389. 5.31 Small problem with startup from Workbench corrected.
  390. 5.32 Fixes a major bug in the FixSaddam code. It Guru'ed under 68000
  391.      sometimes and never fixed the Checksums properly.
  392. 5.33 Released 6 November 1991.
  393.      WB2.0 BootBlock added to code.
  394.      True no window option added for those users of WB2.0.
  395.      Added liberator virus and fixed slight bug with Saddam virus,did not
  396.      reset TD BeginIo Close vectors.
  397. 5.34 Increased stack size to 4000 bytes as it was crashing when used with
  398.      PowerPacker Patcher.
  399.      Added Hackers Etic BB virus
  400.      Little problem with the CTRL-C and CTRL-D when used in FixSaddam mode
  401. 5.35 Released 21 November 1991
  402.      Added support for the asl.library FileRequester when running under WB2
  403.      When you select scan disk you can now select Use Requester gadget and
  404.      this will bring up the asl FileRequester
  405. 5.36 Released 23 November 1991
  406.      Added better handling of Proportional fonts. Requesters look much
  407.      better now
  408. 5.37 Released 22 December 1991
  409.      When scanning the disk for Saddam virus damage and the disk is
  410.      unvalidated, VC will change the disk so that it looks validated.
  411.      VC will not validate the disk but will make AmigaDOS think it is.
  412.      VC will warn you when it does this so you can check the disk with a
  413.      program such as FixDisk, Quarterbacktools or (God help me) DiskDoctor.
  414.      Small bug in ARexx interface. If you used OPTIONS RESULTS then VC
  415.      did not recognize the command.
  416.      Added WB2.0 ExAll() code for Link/File scan. This fixes the bug with
  417.      RAM: and deleting files while scanning. Only works with WB2.
  418.      Using WB2 and ExAll() is alot faster than WB1.3. A test on my DH0:
  419.      showed WB1.3 took 1 minute 28 seconds while WB2 took 1 minute. This 
  420.      was on 531 files in about 12 directories.
  421.      Found furthur bug in Requester with Fonts in WB2.04. Window opens up
  422.      with normal default font and not what was set. Now do a SetFont() so
  423.      I know what I am getting. Real big fonts eg 24 point still seem to
  424.      muck up placement of the gadgets but at least it stills readable.
  425.      Added menus to VC window. This means right mouse button for Disk Scan
  426.      will no longer work.
  427.      Bug found in shutdown code. If you pressed the right mouse button
  428.      after clicking on the close gadget then VC would GURU.
  429.  
  430. ************************************************************************
  431.  
  432. NON-STANDARD BOOT CODE
  433.  - When Virus_Checker brings up a Requester that says the disk has
  434. non-standard boot code this means that the code in the boot block is not
  435. what should be there. This does not mean that it is a virus as many games
  436. use copy protection in their boot blocks. You should however be cautious if
  437. it is not a game. Do not replace the boot block if you are not sure. If
  438. something strange happens then please send a copy of the disk to me so that
  439. I can check it out.
  440. Here is a way of checking non-standard boot code
  441.  
  442. 1.      Format a blank disk so you know it is clear.
  443. 3.      Make sure all disks except the one just formatted are write protected
  444. 3.      Boot from the disk that you suspect.
  445. 4.      Place formatted disk in drive zero and then reboot.
  446. 5.      Take disk out of drive zero and turn off computer for about 30 secs.
  447. 6.      Run the Virus_Checker program. If the Virus_Checker finds
  448.         non-standard boot code on the newly formatted disk you have found a
  449.         new virus. Please send it to me.
  450.  
  451.   Viruses Dealt With:
  452.   -------------------
  453.  
  454. SCA
  455.  - The SCA is the simplest virus to deal with, as it's not actually DOING
  456. anything except hiding in memory, until you reboot.  We just look at
  457. CoolCapture and fix it to get it out of RAM.
  458.  
  459. AEK
  460.  - This is a clone of the SCA virus and we get rid of it in the same
  461. manner.
  462.  
  463. LSD 
  464.  - Another SCA clone and uses the same code.
  465.  
  466. Byte Bandit  (Now 4 versions)
  467. (Amiga Freak)
  468.  - The Byte Bandit virus takes the DoIO() vector and re-directs it through
  469. itself.  Thus, any attempt to read or write the boot block (ie, AmigaDOS
  470. trying to figure out what kind of disk it is) results in the BB writing
  471. itself onto that disk.  We couldn't just rewrite the boot block, we have to
  472. get him out of RAM first.  This virus also has an interrupt that crashes the
  473. machine every 5 minutes or so after it's infected a few of your disks. Ow.
  474. It stays in memory not via the Capture vectors, but by a Resident module.
  475. When machine looks crashed press these keys at the same time from left to
  476. right LAlt,LAmiga,Space,RAmiga,RAlt.
  477.  This will restore things for another 5 minutes.
  478.  
  479. Revenge
  480.  - Basically, a Byte Bandit clone except it will bring up an obscene pointer
  481. a few minutes after you reboot.  We treat it much like the byte bandit.
  482.  
  483. Byte Warrior
  484.  - Jumps right into 1.2 Kickstart.  Won't work under 1.3.
  485.  Hangs around via Resident struct, doesn't do any damage.
  486.  
  487. North Star/ StarFire
  488.  - Like SCA, hangs around via CoolCapture, killing CoolCapture kills the
  489. North Star.
  490.  
  491. Obelisk Softworks Crew
  492.  - Hangs around via CoolCapture, also watches reads of DoIO() (but doesn't
  493. infect EVERY disk - only ones you boot from).
  494.  
  495. IRQ
  496.  - This is the FIRST Non-Bootblock Virus.  It copies itself from place to
  497. place via the first executable program found in your startup-sequence.  It
  498. SetFunction's OldOpenLibrary(), has a KickTagPtr, and lives in the first
  499.  hunk of an infected program.
  500.  
  501. Pentagon Circle
  502.  - This one looks at the DoIO vector, and has a CoolCapture vector. It will
  503. write itself over any virus inserted, but not onto anything else. No
  504. danger, easy to eliminate.  Holding left button while booting with this one
  505. shows different screen colour, but doesn't get rid of it.
  506.  
  507. HCS Virus
  508.  - Hooks into the System Z protector
  509.  
  510.  - This is another virus protector that can write itself to disks.  Anything
  511. that spreads itself, under any name, is a virus.  Doesn't do anything except
  512. during a reboot, then examines disks and writes over viruses.
  513.  
  514. Disk-Doktors
  515.  - This is another virus which looks at the DoIO routine for the reading of
  516. any bootblocks.  If it finds one it will rewrite a copy of its code to it if
  517. it can.  This one also patches into the Vertical Blank interrupt and seems
  518. to format your disk after a certain number of interrupts (can't be sure
  519. though).The nasty bit is it also creates a task called clipboard.device
  520. which spends its life copying itself through memory fragmenting the memory
  521. into small blocks.  Calls ROM CODE direct so won't work under V1.3.  We
  522. restore the DoIO routine, the Vert Blank interrupt and RemTask the
  523. clipboard.device
  524.  
  525. LAMER Exterminator
  526.  - This virus was sent to me by Andrew Mercer of the Palmerston North group.
  527. His letter said that He noticed strange things on his disks.  On
  528. disassembling the virus I found that most of it was encrypted and the data
  529. was encrypted randomly using the beam position of the screen.  Thus it
  530. appears different each time.  It patches the trackdisk.device to look at
  531. reads and writes, It patches the Sumkick vector in exec in case someone
  532. tries to get rid of it. When it detects a read or a write it will randomly
  533. select a sector on the disk and will check if it is a data block.  If it is
  534. it will write LAMER! all over the sector and rewrite it.  Some say this
  535. Virus will write to write protected disks.  I have not had this happen to me
  536. and I can see no special code in the disassembly to accomplish this feat.
  537.  
  538. TimeBomb Virus
  539.  - This is a strange Virus. It does not insert itself into any vectors.
  540. However it will copy itself back to the disk it came from.  When the
  541. count gets to 2 it will wipe out the Root Directory of the boot disk and
  542. display an alert.  If the count is over 2 it will just display an alert.
  543.  
  544. GADAFFI Virus
  545.  - Inserts itself into the CoolCapture vector, Uses a RomTag structure and
  546. patches the DoIO vector. Jumps directly into the Kickstart so will only work
  547. under V1.2 Kickstart. After 13 copies it will step the heads of drives 0
  548. and 1 in and out.  We simply clear all vectors and Use the old V1.2 DoIO
  549. code entry point.
  550.  
  551. BSG9 Virus 
  552. - This is similar to the IRQ virus in that it does not live in the Boot
  553. Block.  It operates differently.  Inserts itself into the RomTag pointer.
  554. It then loads the program it replaced and executes it.  On Reboot the RomTag
  555. is called.  It patches the Intuition OpenWindow Routine to its code.  It
  556. then returns.  Once AmigaDos opens up the CLI window the virus code gets
  557. run.  This gets the startup-sequence file and gets the first command that
  558. is run.  It then checks if it is already here. If not, then it moves this
  559. program from its directory into the devs:  directory and renames it a
  560. strange name.It then copies itself to replace the command it just moved.  A
  561. give away is the file size.  The Virus size is 2608 bytes and there will be
  562. a file with what looks like spaces for its name in the devs:  directory. To
  563. get rid of it we copy the file in devs:  back to the c: directory and rename
  564. it.Then delete the file in the devs:  directory.  In memory all we do is
  565. change the RT_INIT code which is run on reboot to do an immediate RTS. The
  566. memory for the program is still used but the Virus is disabled.  It will
  567. display a screen of its own which says:
  568.  A Computer Virus is a disease
  569.  Terrorism is a Transgression
  570.  Software Piracy is a crime
  571.  This is the Cure
  572.  BSG9 plus some other junk
  573.  
  574. War Hawks 
  575. - This Virus installs itself into the CoolCapture Vector.  It copies itself
  576. to the disk when the computer is warm booted.  After every four copies it
  577. displays a message.  To get rid of it we simply clear the CoolCapture vector.
  578.  
  579. VKill or Aids Virus  
  580.  - This is another virus hidden as a Virus protector.  When booted it copies
  581. itself to the stack area that is not used.  It then patches the CoolCapture
  582. vector to survive a reboot.  It patches the PutMsg vector of ExecBase to
  583. watch for BootBlock reads and writes.When it finds one it checks it and
  584. tells you if a virus is present.If you want to get rid of it it will copy
  585. itself to the disk.To remove it we Clear the CoolCapture Vector and
  586. SetFunction the PutMsg vector
  587.  
  588. Ultra Fox
  589.  - This one lives in the CoolCapture vector. When you reboot it will change
  590. the DoIO vector and wait for a BootBlock read.When it finds one and the disk
  591. is not already infected it will write itself to the bootblock.After every 16
  592. copies it will put a custom copper list which displays greetings.
  593.  
  594. PVLProtector
  595.  - This one is another bootblock protector.When it finds a virus it will
  596. write itself to the disk instead of a proper bootblock.  All we do is set
  597. the RomTag to do a RTS.
  598.  
  599. Revenge Lamer Exterminator (previously DOSSPEED)
  600.  
  601.  - This is another file virus.  It is supposed to speed up disk operations
  602. by 800%.  This was found on a BBS and when run patches itself into several
  603. places. It will read the s:startup-sequence file on reboot and will edit it
  604. so that it runs itself as the program. It sticks out because the first line
  605. in the startup-sequence will be blank.When the Checker finds it look in the
  606. Root directory and you will find what looks like a blank filename. Virus
  607. Checker will rename this virus for you. You can then delete the virus and
  608. alter your startup-sequence to get rid of the first blank line
  609.  
  610. UnKnown
  611.  - This is a virus that has no names anywhere and will only work under V1.2
  612. Kickstart.  Very easy to get rid of.
  613.  
  614. JITR Virus
  615.  - Very mild sort of virus this one.  Only writes itself to the BootBlock.
  616. Does nothing else.  Easily fixed by clearing the CoolCapture vector.
  617.  
  618. MicroSystems
  619.  - Haven't got this one yet so can't tell you much about it. Just have to
  620. restore a vector in the Exec.library and clear the Exec CoolCapture vector.
  621.  
  622. Xeno Virus
  623.  - This virus is a very nasty one in the way that it infects all programs
  624. that can be run. It does not need the program to be run but even someone
  625. doing a list or dir on a disk when the virus is present will infect all
  626. those other files on disk. It patches into the dos.library and takes over
  627. the OPEN,LOCK and LOADSEG calls in dos. This way it can intercept the files
  628. being looked at. It will copy itself to the start of every runnable program
  629. and alter the file so that it still works. There is also an encrypted
  630. message which says 'Greetings from the Xeno Virus' but I have not worked out
  631. when this appears yet. To get rid of it from memory we have to reset the
  632. changed vectors. To get rid of it from the file is very much harder. First
  633. the file has to have the virus removed from the code. Then the relocation
  634. data pointers have to be changed so that everything still works.
  635. When Virus_Checker finds a file infected with the Xeno Virus it will tell
  636. you which file it is and bring up a requester. You can now check the files
  637. on drive zero for further viruses if you want. I will soon add a string
  638. gadget so that all drives can be checked.
  639.  
  640. 16 Bit Crew
  641.  - This virus does not do much and only infects disks that you boot with.
  642. To get rid of it from memory we clear the CoolCapture Vector and restore
  643. the DoIO vector.
  644.  
  645. New Alien Beat Virus
  646.  - This one will only work under Version 1.2 Kickstart as it jumps into
  647. the ROM code directly. To fix in memory we have to manually patch the
  648. DoIO vector and FindResident Vector with the correct values for 1.2.
  649. and clear the Capture vectors.
  650.  
  651. BlackFlash virus
  652.  - This virus will display a message after a certain amount of copies of
  653. it have been made. It says that your computer is sick and has a virus. To
  654. remove it we just restore the DoIO vector and clear out the capture
  655. vectors.
  656.  
  657. Digital Emotions virus
  658.  - This is another tame virus. Only infects disks when it is rebooted.
  659. Clean out the Captures vectors and it is gone.
  660.  
  661. ScarFace Virus
  662.  - This takes over the BeginIO routine in the trackdisk.device to watch for
  663. reads and writes to the disk. When it finds one it will write itself to the
  664. disk. It also has a VertBlank interrupt which will do something after
  665. a while. I think it only reboots the machine. It also has a romtag which we
  666. have to clear out.
  667.  
  668. Turk Virus
  669.  - Another simple virus. Does not do very much. Simple to get rid of.
  670.  
  671. Joshua Virus
  672.  - Again, lives in the TrackDisk BeginIO and VertBlank Interrupt.
  673. Also has a RomTag to survive reboots. This one will display a sprite after
  674. so many interrupts. I am not sure what it looks like but maybe someone
  675. wants to wait until it is triggered. It counts interrupts. It will also
  676. infect every disk but in the drive that is not write protected. Data in it
  677. that says something is encoded. To remove we simply restore the BeginIO
  678. code and VertBlank Interrupt and wipe out the RomTag.
  679.  
  680. Butonic Virus
  681.  - This is another file type virus. It uses the DoIO vector to check for
  682. reads to the Root Block of a disk. It will then write the virus to the disk
  683. and add it to the startup-sequence as the first instruction. The filename
  684. of the virus and its comment make it invisible when doing a dir but shows
  685. up with a list. This will also bring up GURU messages and change the title
  686. of the active window to some german stuff.
  687. To get rid of it we clear the ROMTAG, restore the DoIO vector and delete
  688. the file off the disk. You will need to remove the blank line from the
  689. startup-sequence where the virus was.
  690. The second version of this infects the Level 2 Interrupt as well and uses
  691. different file names to hide itself in the startup-sequence.
  692.  
  693. Centurions Virus
  694.  - Another file type virus. It hooks into the Trackdisk BEGINIO vector and
  695. waits for reads to the boot block of a disk. It changes the SumKickData
  696. vector so that it will survive a checksum. To get rid of it in memory we
  697. simply kill the RomTag vector, restore the SumKickData vector and patch the
  698. trackdisk code it uses to skip over the virus.
  699. When it finds a read to the bootblock it will check the write protect. It
  700. will then find the startup-sequence and find the name of the first command.
  701. It then looks for the command in the root directory, then the c directory.
  702. Once found it adds itself to the front of the file and is run when the
  703. startup-sequence is run again. Signs of infection are that it adds 3916
  704. bytes to the size of the file it infects.
  705. After every ten copies it will change the pointer to a smiley face and a
  706. message will scroll across it.
  707.  
  708. Coders Nightmare Virus
  709.  - A boot block virus. Fairly tame this one but it will wreck copy
  710. protected disks. It takes over the DoIO vector waiting for reads to track
  711. zero block 0 then it writes itself to the disk if it can. It has a level 2
  712. interrupt which after a time will display a message and then reboot the
  713. machine. To remove we just reset the DoIO and Level 2 Interrupt vectors and
  714. clear out the RomTag.
  715.  
  716. Forpib Virus
  717.  - Another boot block virus. It takes over the Trackdisk BeginIO vector and
  718. waits for reads to block 0. Then it copies itself if it can. It also has a
  719. VertBlank Interrupt and after a certain time a message will appear. (I
  720. think). There is a bug in this in that it tries to use a color register but
  721. it has got the wrong value in there. To remove just restore both vectors
  722. and remove the RomTag.
  723.  
  724. GX Team virus
  725.  - Yet another bootblock virus. This just takes over the DoIO vector and
  726. after a certain number of copies it will bring up a requester then guru.
  727. To remove replace the DoIO vector and clear RomTag and Capture vectors.
  728. This virus will only work under version 1.2 kickstart.
  729.  
  730. Gremlins virus
  731. - Yes another bb virus. Sickening isn't it. Don't know what this one does but
  732. very easy to remove. Just zero the Capture vectors, restore the SumKickData
  733. vector and DoIO vector and it's gone.
  734.  
  735. Kauki virus
  736. - This boot block virus will only work under Version 1.2 kickstart. As I
  737. don't have it I can't tell you what is displayed but something is
  738. displayed. Easy to get rid of. Just clear the Capture vector and set the
  739. DoIO vector to $FC06DC just to make sure.
  740.  
  741.  
  742. Have given up Telling what BootBlock viruses do as they are mostly the same
  743. and all work the same way. From now on I will only give descriptions on File
  744. Type viruses.
  745.  
  746. SADDAM virus
  747. - This is a file type file that hides itself as the Disk-Validator. The
  748. disk on which it came was unvalidated so AmigaDOS loaded it to try and
  749. validate the disk. This causes the virus to run and infect your machine.
  750. It does infect a lot of vectors that need fixing when it is found.  I just
  751. wipe it off the disk and it is left to the user to put a new Disk-Validator
  752. on the disk.
  753. It will change the root block BitMap pointer so that if the virus is not
  754. running AmigaDOS will think the disk is UnValidated and load the virus.
  755. It will also change DATA blocks so DOS does not know them unless the virus
  756. is running. When the virus is triggered it will wipe out the whole disk and
  757. bring up a Requester telling you it is the SADDAm virus.
  758.  
  759. CCCP virus
  760. - This a combination Bootblock and file virus. It changes itself so that it
  761. will write to the BootBlock and to random files on the disk. The only way
  762. to find it on disk is to scan the whole disk.
  763.  
  764. Disaster Master 2
  765. - This is a fairly simple File type virus. It will write to a disk after a
  766. warm boot and if there is enough room on the disk will make a file called
  767. cls in the c directory and add cls * as the first line in the
  768. startup-sequence.
  769. We just clear the RomTag and Capture vectors, check the DoIO vector and
  770. that's it for memory. Just wipe the file off the disk and warn the User
  771. about the startup-sequence.
  772.  
  773. Hawnes virus
  774. - A simple file type virus. It infects the OpenLibrary vector waiting for an
  775. opening of intuition.library. It then patches OpenWindow to it's own
  776. routine. When a window opens it checks the startup-sequence and if not
  777. already present copies itself to the disk using DOS. It patched the VertB
  778. int and will display something after a while. It will Wipe out a disk after
  779. so many copies as well. Simple to remove and alter the first line in your
  780. startup-sequence which will hold in hex $C0A0E0A0C0.
  781.  
  782. Return Lamer virus
  783. - Another file type virus which replaces the Disk-Validator.It uses a
  784. RomTag to stay in memory, infects vectors, VertBlank Int, TrackDisk.device
  785. BeginIO, and another vector in the trackdisk. When the RomTag is called it
  786. infects the OpenWindow vector.
  787. Just delete the Disk-Validator and replace it from a good disk.
  788. In memory, just restore the vectors and clear the RomTag out.
  789.  
  790. Travelling Jack virus
  791. - A Link type virus this one installs itself into the internals of AmigaDOS
  792. taking over the BCPL inner workings. To check in memory we have to wind our
  793. way thru many vectors and then reinstall the original from the virus.
  794. To remove from file we just remove the first code hunk.
  795. Seems to copy itself to each file that has been read but not sure on this.
  796.  
  797. Liberator virus
  798. - This is a file virus that says it will remove all viruses but is in fact
  799. a virus itself.
  800. It copies itself to the s/startup-sequence with a line that says
  801. memcheck s
  802. You will also find a file called .FastDir on the disk.
  803. After a certain count it will delete the entire s/startup-sequence and
  804. display a message, stop access to the floppy drives and DH0:
  805. It will also stop most virus checking programs by RemTask()ing them.
  806. Virus_Checker 5.30 and above is safe from the current version as the Task
  807. name has been changed.
  808. Easy to remove, we just delete the file.
  809.