home *** CD-ROM | disk | FTP | other *** search
/ Floppyshop 2 / Floppyshop - 2.zip / Floppyshop - 2.iso / diskmags / 0022-3.564 / dmg-3160 / misc / atarivir.690 next >
Text File  |  1987-04-21  |  34KB  |  645 lines
  1. ========================================================================
  2. ==                Computer Virus Catalog (Version 1.2)                ==
  3. ==                      *** 18 Atari Viruses ***                      ==
  4. ========================================================================
  5. ==      Status:        June 5, 1990                                   ==
  6. ==      Classified:  6 Atari-Viruses (ATARIVIR.A89): Nov. 15, 1989    ==
  7. ==                 +12 Atari-Viruses (ATARIVIR.690): June  5, 1990    ==
  8. ========================================================================
  9. ==       List of classified Atari Viruses:                         =Doc=
  10. ==       ---------------------------------                         =---=
  11. ==          +  1) ACA Virus                                        =690=
  12. ==             2) Anthrax = Milzbrand Virus                        =A89=
  13. ==          +  3) ANTI-2 Virus                                     =690=
  14. ==          +  4) Blot Virus                                       =690=
  15. ==             5) c't Virus                                        =A89=
  16. ==             6) Emil 1A = "Key" = "BPL" Virus ="Virus 1A"        =A89= 
  17. ==             7) Emil 2A Virus = "Virus 2A"                       =A89=
  18. ==          +  8) Goblins Virus                                    =690=
  19. ==          +  9) Kobold 2 Virus                                   =690=
  20. ==          + 10) LAB Virus                                        =690=
  21. ==          + 11) MAD Virus                                        =690=
  22. ==          + 12) Maulwurf (=Mole) Virus                           =690=                  
  23. ==            13) Mouse (Inverter) Virus                           =A89=
  24. ==          + 14) Oli Virus                                        =690=
  25. ==          + 15) Pirate Trap Virus                                =690=
  26. ==          + 16) Screen Virus                                     =690=
  27. ==            17) Zimmermann-Virus                                 =A89=
  28. ==          + 18) 5th Generation Virus                             =690=
  29. == Remark: new entries are marked "+" in column 13; the suffix (A89,  ==
  30. == 690) refers to the specific documents where entry is published.    ==
  31. ==                                                                    ==
  32. == Presently, the following viruses are analysed:                     ==
  33. ==             .) Freeze Virus                                        ==
  34. == Generally, we have problems to receive Atari viruses for analysis, ==
  35. == since many users wish to exchange their viruses (like stamps)      ==
  36. == against our's, which we principally refuse: the Virus Test Centers ==
  37. == ethical standard is, that we do not spread viruses!                ==
  38. ========================================================================
  39.  
  40.  
  41. ======== Computer Virus Catalog 1.2: "ACA"-VIRUS (5-June-1990) ========
  42. Entry............... "ACA" Virus
  43. Alias............... ---
  44. Strain.............. ---
  45. Detected when....... October 1988
  46.          where...... Utrecht (Netherlands)
  47. Classification...... System (Bootsector) Virus, Reset-resident
  48. Length of virus..... 512 Bytes
  49. ------------------------Preconditions----------------------------------
  50. Operating System(s). Atari TOS
  51. Version\Release..... All versions
  52. Computer models..... All Atari ST,STE
  53. -------------------------Attributes------------------------------------
  54. Easy identification. If the bootsector is infected, the string "ACA"
  55.                      can be found at bootsector position $04 and $4E.
  56.                      In memory, the same string can be found at $630.
  57. Type of infection...: Self-Identification: The Virus tests boot sector-
  58.                       position 4 for String "AC"; if string does not 
  59.                       match, virus infects boot sector.
  60.                       Reset-resident at address $600 via magic long-
  61.                       word ($12123456) and checksum ($1234).
  62. Infection Trigger...: Reset
  63. Storage media affected: The virus infects drive A,B!
  64. Interrupts hooked...: No Interrupts used.
  65.                       No system vectors changed
  66. Damage..............: Permanent Damage: Only after reset overwriting 
  67.                       boot sectors.
  68.                       Transient Damage: Clearing first track
  69. Damage Trigger......: Damage occurs after 10 infections. 
  70. Particularities.....: ---
  71. Similarities........: ---
  72. --------------------- Agents -----------------------------------------
  73. Countermeasures.....: Program that search for reset-resident programs, 
  74.                       especialy lower system area ($800).
  75.                       Programs that calculate the checksum and change 
  76.                       it, if it is $1234; the sector is then regarded
  77.                       as not executable. Reboot the system with a
  78.                       'clean' disk! ( Category 1.3 ).
  79. Countermeasures successful:---
  80. Standard means......: Write-protect the disk. 
  81.                       Write a well-known program to the boot sector;
  82.                       'manually' change the checksum to a value other 
  83.                       than $1234.
  84. --------------------- Acknowledgement ---------------------------------
  85. Location............: Virus Test Center, University Hamburg, FRG
  86. Classification by...: Thomas Piehl  
  87. Documentation by....: Thomas Piehl 
  88. Information Source..: from George R. Woodside           
  89. Date................: 5-June-1990
  90. ==================== End of "ACA"-VIRUS ===============================
  91.  
  92.  
  93. ======== Computer Virus Catalog 1.2 "ANTI-2" Virus (5-June-1990) ======
  94. Entry............... "Anti-2" Antivirus Virus
  95. Alias............... ---
  96. Strain.............. ---
  97. Detected when....... October 1988
  98.          where...... Helmond (Netherlands)
  99. Clssification....... Bootsector Virus
  100. Length of virus..... 512 Bytes
  101. ------------------------Preconditions----------------------------------
  102. Operating System(s). Atari TOS
  103. Version\Release..... All versions
  104. Computer models..... All Atari ST
  105. -------------------------Attributes------------------------------------
  106. Easy identification. The string : "This Anti-Virus beeps" can be found 
  107.                         in the bootsector at Byte Nr. $1E, or in memory 
  108.                         at Dskbufp+$600+$1E.
  109. Type of infection... Any non-executable Bootsector will be overwritten
  110. Infection Trigger... Execution of BIOS disk function Getbpb.
  111. Media affected...... Any kind of media. 
  112. Interrupts hooked... hdv_bpb vector (used by BIOS disk functions).
  113. Damage.............. ---
  114. Damage trigger...... ---
  115. Particularities..... The Program can be used as an anti-virus. If the
  116.                         bootsector is executable, the program produces 
  117.                         a sound and the screen flashes.
  118. Similarities........ ---
  119. -----------------------------------------------------------------------
  120. Countermeasures..... Make sure that the virus is not in memory. Modify
  121.                         the last byte in bootsector to another value.
  122. Standart means...... Clear all bytes in bootsector beginning at
  123.                         offset 30 decimal.
  124. -----------------------Acknowledgements--------------------------------
  125. Location............ Virus Test Center, University of Hamburg, FRG
  126. Classification by... Andre' Schaper
  127. Documentation by.... Andre' Schaper
  128. Information Source.. George R. Woodside
  129. Date................ 5-June-1990
  130. ==================== End of "Anti-2" Virus ============================
  131.  
  132.  
  133. ======== Computer Virus Catalog 1.2: "Blot" Virus (5-June-1990) =======
  134. Entry............... "Blot" Virus
  135. Alias............... ---
  136. Strain.............. ---
  137. Detected when....... May 1988
  138.          where...... Amherst (USA)
  139. Classification...... Boot sector virus
  140. Length of virus..... 681 Bytes
  141. ------------------------Preconditions----------------------------------
  142. Operating System(s). Atari TOS
  143. Version\Release..... ROM TOS from 02.06.1986; in other versions,
  144.                          no action is performed.
  145. Computer models..... All Atari ST
  146. -------------------------Attributes------------------------------------
  147. Easy identification. In memory at Phystop +34 and in the boot sector at 
  148.                      the same offset, the following bytes can be found:
  149.                          $0206198600FC0018 
  150. Type of infection... Boot sector of drive A.
  151. Infection trigger... Usage of drive A.
  152. Media affected...... Drive A. 
  153. Interrupts hooked... 200 Hz interrupt , Bios Parameter Vector.
  154.                      Critical Error Handler at infection time.
  155.                      Phystop is decremented by 1 KByte.
  156. Damage.............. The screen is blacked out from bottom to middle 
  157.                      and from top to middle at same time. 
  158. Damage trigger.....  Virus is about 3 hours in Ram. (Depends on value 
  159.                      of 200 Hz timer).  
  160. Particularities..... Only boot sectors that aren't executable are in-
  161.                      fected.
  162. Similarities........ The general concept of the virus is similar to the 
  163.                      'Screen'-Virus
  164. -----------------------------------------------------------------------
  165. Countermeasures..... Make sure that the virus is not in memory.
  166.                      Search bootsector for the string mentioned above.
  167.                      Modify last byte in boot sector to another value.
  168. Standard means...... Clear all bytes in bootsector (sector 0) beginning  
  169.                      at offset 30 (dec) and clear all bytes in sector 5.
  170. -------------------- Acknowledgements----------------------------------
  171. Location............ Virus Test Center, University of Hamburg FRG
  172. Classifcation by.... Ralf Stegen
  173. Documentation by.... Ralf Stegen
  174. Information Source.. George R. Woodside
  175. Date................ 5-June-1990
  176. ==================== End of "Blot" Virus ==============================
  177.  
  178.  
  179. ====== Computer Virus Catalog 1.2: "GOBLINS" Virus (5-June-1990) ======
  180. Entry............... "GOBLINS" Virus
  181. Alias............... -
  182. Strain.............. -
  183. Detected when....... May 1989
  184.          where...... Utrecht (Netherlands)
  185. Clssification....... System (Boot sector) Virus
  186. Length of virus..... 512 Bytes
  187. ------------------------Preconditions----------------------------------
  188. Operating System(s). Atari TOS
  189. Version\Release..... TOS 1.2
  190. Computer models..... All Atari ST
  191. -------------------------Attributes------------------------------------
  192. Easy identification. The string  "The Little Green Goblins" can be 
  193.                      found in the boot sector $1B6, or in memory
  194.                      at pystop -$8200 +$1B6.
  195. Type of infection... The actual boot sector will be overwritten.
  196. Infection Trigger... Execution of BIOS disk function Getbpb.
  197. Media affected...... Floppy disk drive with device 0 (A:) or 1 (B:).  
  198. Interrupts hooked... hdv_bpb vector (used by BIOS disk Getbpb).
  199. Damage.............. - First text line or menu line is modified until
  200.                        next execution of the damage routine.
  201.                      - A message is printed on the screen.
  202. Damage trigger...... Copy Counter in Memory:
  203.                      (Counter mod 16) = 0    :   Modify screen
  204.                      (Counter mod 128)= 0    :   Print message.
  205. Particularities..... The virus is reset-resident!
  206. Similarities........ ---
  207. -----------------------------------------------------------------------
  208. Countermeasures..... Make sure that the virus is not in memory.
  209.                      Modify the last byte in boot sector to other value.
  210. Standard means...... Clear all bytes in boot sector beginning at
  211.                      offset 30 (decimal).
  212. -----------------------Acknowledgements--------------------------------
  213. Location............ Virus Test Center, University of Hamburg, FRG
  214. Classification by... Andre' Schaper
  215. Documentation by.... Andre' Schaper
  216. Information Source.. George R. Woodside
  217. Date................ 5-June-1990
  218. ==================== End of "GOBLINS" Virus ===========================
  219.  
  220.  
  221. ======== Computer Virus Catalog 1.2: "KOBOLD 2" (5-June-1990) =========
  222. Entry............... "Kobold 2" Virus
  223. Alias............... ---
  224. Strain.............. ---
  225. Detected when....... ---
  226.          where...... Utrecht (Netherlands)
  227. Classification...... System (Boot sector) Virus, Reset-resident
  228. Length of virus..... 512 Bytes
  229. ------------------------Preconditions----------------------------------
  230. Operating System(s). Atari TOS
  231. Version\Release..... TOS 1.0 and 1.2
  232. Computer models..... Atari ST 
  233. -------------------------Attributes------------------------------------
  234. Easy identification. If the boot sector is infected, the string
  235.                      'KOBOLD#2 AKTIV!' can be found in the middle of the
  236.                      boot sector; in memory, this string can be found
  237.                      at beginning of transient programm area (TPA).
  238. Type of infection... Any boot sector that can be written to.
  239. Infection trigger... Execution of XBIOS disk functions.
  240.                      Execution of boot code.
  241. Media affected...... Drive which is set as boot device or accessed by 
  242.                      XBIOS.
  243. Interrupts hooked... Vertical Blank Interrupt at infection time;
  244.                      hdv_bpb (harddisk bios parameter block);
  245.                      resetvector.
  246. Damage.............: Permanent Damage: Overwriting Bootsectors.
  247.                      Transient Damage: Speeding up mouse motion 
  248.                          in directions UP and LEFT. 
  249. Damage trigger.....: Internal counter 
  250. Particularities..... With TOS 1.2, mouse motion is not changed.
  251. Similarities........ ---
  252. Countermeasures..... Make sure that the virus is not in memory.
  253.                      Search boot sector for string mentioned above.
  254.                      Modify last byte in boot sector to other value.
  255. Standard means...... Clear all bytes in boot sector beginning at
  256.                      offset 30 decimal.
  257. -----------------------Acknowledgements--------------------------------
  258. Location............ Virus Test Center, University of Hamburg FRG
  259. Classifcation by.... Thomas Piehl
  260. Documentation by.... Thomas Piehl
  261. Information Source.. George R. Woodside
  262. Date................ 5-June-1990
  263. ==================== End of "KOBOLD #2" VIRUS =========================
  264.  
  265.  
  266. ======== Computer Virus Catalog 1.2: "LAB"-VIRUS (5-June-1990) ========
  267. Entry............... "LAB" Virus
  268. Alias............... ---
  269. Strain.............. ---
  270. Detected when....... 1989
  271.          where...... Utrecht (Netherlands)
  272. Classification...... System (Boot sector) Virus, Reset-resident
  273. Length of virus..... 512 Bytes
  274. ------------------------Preconditions-------------------------------------
  275. Operating System(s). Atari TOS
  276. Version\Release..... Version TOS 1.0 AND TOS 1.2
  277. Computer models..... All Atari ST with TOS 1.0 or blitter TOS
  278. -------------------------Attributes------------------------------------
  279. Easy identification. If the bootsector is infected, the string "Virus"
  280.                      can be found at bootsector position $02. In memory,
  281.                      the same string can be found behind screen memory.
  282. Type of infection...: Self-Identification: No identification.
  283.                       The virus installs itself RAM-resident behind
  284.                       screen memory.
  285. Infection Trigger...: Each time a new diskette is inserted, the virus 
  286.                       will infect the new diskette.
  287. Storage media affected: The virus infects drive A,B
  288. Interrupts hooked...: No Interrupts used.
  289.                       hdv_bpb changed to infect Bootsector of new Disk.
  290. Damage..............: Permanent Damage: Overwriting Bootsectors.
  291.                       Transient Damage: Painting screen black.
  292. Damage Trigger......: Damage action after 10 infections. 
  293. Particularities.....: If virus is installed and harddisk is connected,
  294.                       sometimes harddisk access maybe impossible.
  295. Similarities........: ---
  296. --------------------- Agents ------------------------------------------
  297. Countermeasures.....: Programs that calculate the checksum and change 
  298.                       it, if it is $1234; the sector is then regarded
  299.                       as not executable. Reboot the system with a
  300.                       'clean' disk! (Category 1.3).
  301. Countermeasures successful:---
  302. Standard means......: Write-protect the disk. 
  303.                       Write a well-known program to the boot sector;
  304.                       'manually' change the checksum to a value other 
  305.                       than $1234.
  306. --------------------- Acknowledgement ---------------------------------
  307. Location............: Virus Test Center, University Hamburg, FRG
  308. Classification by...: Thomas Piehl  
  309. Documentation by....: Thomas Piehl 
  310. Information Source..: from George R. Woodside           
  311. Date................: 5-June-1990
  312. ===================== End of "LAB"-VIRUS ==============================
  313.  
  314.  
  315. =========Computer Virus Catalog 1.2: "MAD" Virus (5-June-1990) ========
  316. Entry............... "MAD" Virus
  317. Alias............... -
  318. Strain.............. -
  319. Detected when....... October 1988
  320.          where...... Helmond (Netherlands)
  321. Clssification....... Boot sector virus
  322. Length of virus..... 512 Bytes
  323. ------------------------Preconditions----------------------------------
  324. Operating System(s). Atari TOS
  325. Version\Release..... All versions
  326. Computer models..... All Atari ST
  327. -------------------------Attributes------------------------------------
  328. Easy identification. The words : $7FE,$80F,$8100,$400  can be found 
  329.                      on boot sector at Byte $1D6, and in memory
  330.                      at phystop-$300+$1D6.
  331. Type of infection... Any Boot sector that can be written to.
  332. Infection Trigger... Execution of BIOS disk functions.
  333. Media affected...... Floppy disk drive with device 0 (A:) or 1 (B:). 
  334. Interrupts hooked... hdv_rw vector (used by BIOS disk functions).
  335. Damage.............. Only screen damage:
  336.                         -Change screen address
  337.                         -Rotate screen bytes
  338.                         -Invert screen
  339.                         -Split screen into upper and lower half and
  340.                          change them 
  341.                         -Make a sound (beep)
  342. Damage trigger...... Copy counter = 6 (6 bootsectors infected).
  343. Particularities..... ---
  344. Similarities........ "Anti-2" Virus
  345. -----------------------------------------------------------------------
  346. Countermeasures..... Make sure that the virus is not in memory.
  347.                      Modify the last byte in boot sector to other value.
  348. Standard means...... Clear all bytes in boot sector beginning at
  349.                      offset 30 decimal.
  350. -----------------------Acknowledgements--------------------------------
  351. Location............ Virus Test Center, University of Hamburg, FRG
  352. Classification by... Andre' Schaper
  353. Documentation by.... Andre' Schaper
  354. Information Source.. George R. Woodside
  355. Date................ 5-June-1990
  356. ==================== End of "MAD" Virus ===============================
  357.  
  358.  
  359. == Computer Virus Catalog 1.2: "Maulwurf" (Mole) Virus (5-June-1990) ==
  360. Entry...............: "Maulwurf" (=Mole) Virus
  361. Alias(es)...........: Maulwurf I SSG (=Subversive Software Group) Virus
  362. Virus Strain........: ---
  363. Virus detected when.: 14 May 1989
  364.               where.: Utrecht (Netherlands)
  365. Classification......: System (BootSector) Virus, Reset-resident, 
  366.                       Overwriting
  367. Length of Virus.....: 512 Byte
  368. --------------------- Preconditions -----------------------------------
  369. Operating System(s).: ATARI-TOS 
  370. Version/Release.....: Only TOS Version 1.0
  371. Computer model(s)...: Atari ST with TOS 1.0
  372. --------------------- Attributes --------------------------------------
  373. Easy Identification.: ---
  374. Type of infection...: Self-Identification: The virus tests, if its 
  375.                       whole code from boot sector is behind screen 
  376.                       memory; if not, virus installs itself reset-
  377.                       resident and  patches system initialisation
  378.                       after reset.
  379. Infection Trigger...: Each time a new diskette is inserted, the virus 
  380.                       will infect the new diskette.
  381. Storage media affected: The virus infects only drive A,B
  382. Interrupts hooked...: -VBL Interrupt: 1.to check if hdv_bpb is changed 
  383.                                         back to old address; 
  384.                                       2.to test if time is right to 
  385.                                         deadlock the system.
  386.                       -Resetvector to patch system initialisation.
  387.                       -hdv_bpb changed to infect boot sector of new disk.
  388. Damage..............: Permanent Damage: Overwriting boot sectors.
  389.                       Transient Damage: Whole screen filled with message
  390.                       'Maulwurf I - SSG (Subversive Software Group)' 
  391.                       and deadlock system also after reset if time is 
  392.                       over.
  393. Damage Trigger......: after 7 minutes + number of infections * 5 minutes     
  394.                       The counter is located at start of virus+$1FC.
  395. Particularities.....: ---
  396. Similarities........: ---
  397. --------------------- Agents ------------------------------------------
  398. Countermeasures.....: Programs that checks hdv_bpb-, Reset-vector if 
  399.                       adress points after screen memory (Category 1.2).
  400.                       Programs that calculate the checksum and change 
  401.                       it, if it is $1234; the sector is then regarded
  402.                       as not executable. Reboot the system with a
  403.                       'clean' disk! (Category 1.3).
  404. Countermeasures successful:---
  405. Standard means......: Write-protect the disk. 
  406.                       Write a well-known program to the boot sector;
  407.                       'manually' change the checksum to a value other 
  408.                       than $1234.
  409. --------------------- Acknowledgement ---------------------------------
  410. Location............: Virus Test Center, University Hamburg, FRG
  411. Classification by...: Thomas Piehl  
  412. Documentation by....: Thomas Piehl
  413. Information Source..: from George R. Woodside
  414. Date................: 5-June-1990
  415. ===================== End of "Maulwurf I" Virus =======================
  416.  
  417.  
  418. ======== Computer Virus Catalog 1.2: "OLI" VIRUS (5-June-1990) ========
  419. Entry............... "OLI" Virus
  420. Alias............... ---
  421. Strain.............. ---
  422. Detected when....... May 1989
  423.          where...... Utrecht (Netherlands)
  424. Classification...... Boot sector virus
  425. Length of virus..... 512 Bytes
  426. ------------------------Preconditions----------------------------------
  427. Operating System(s). Atari TOS
  428. Version\Release..... All versions
  429. Computer models..... All Atari ST
  430. -------------------------Attributes------------------------------------
  431. Easy identification. If the boot sector is infected, the string
  432.                      "OLI-VIRUS installed ." can be found at end of
  433.                      the boot sector; in memory, the same string can 
  434.                      be found at $7B6.
  435. Type of infection... Any boot sector that can be written to.
  436. Infection trigger... Execution of XBIOS disk functions.
  437.                      Execution of boot code.
  438. Media affected...... Drive which is set as boot device or accessed by 
  439.                      XBIOS.
  440. Interrupts hooked... TRAP #14, TRAP #12 set to old value of TRAP #14.
  441.                      Vertical Blank Interrupt at infection time.
  442. Damage.............. Transient damage:1.Message on screen: 
  443.                                   "OLI-VIRUS installed. "
  444.                                2. The computer slows down until stop; 
  445.                                   all CPU time is used by Vertical
  446.                                   Blank Interrupt; time until stop 
  447.                                   depends on the time the computer has 
  448.                                   been used (=number of VBI's).
  449. Damage trigger.....  Internal counter =0 (3rd byte in boot code
  450.                         +$414 in RAM).
  451. Particularities..... The virus simulates an uninfected boot sector by
  452.                      modifying the read buffer. The disk information
  453.                      is left unchanged, and the virus code is over-
  454.                      written with $4E ='N'. 
  455.                      The virus is recognised by Sagrotan because of 
  456.                      direct programming of the FDC.
  457. Similarities........ ---
  458. -----------------------------------------------------------------------
  459. Countermeasures..... Make sure that the virus is not in memory.
  460.                      Search bootsector for the string mentioned
  461.                      above. Modify the last byte in boot sector
  462.                      to another value.
  463. Standard means...... Clear all bytes in boot sector beginning at
  464.                      offset 30 decimal.
  465. -----------------------Acknowledgements--------------------------------
  466. Location............ Virus Test Center, University of Hamburg, FRG
  467. Classifcation by.... Ronald Greinke
  468. Documentation by.... Ronald Greinke
  469. Information......... George R. Woodside
  470. Date................ 5-June-1990
  471. ==================== End of "OLI" Virus ===============================
  472.  
  473.  
  474. ==== Computer Virus Catalog 1.2: "PIRATE TRAP" VIRUS (5-June-1990) ====
  475. Entry............... "PIRATE TRAP" Virus
  476. Alias............... ---
  477. Strain.............. ---
  478. Detected when....... May 1989
  479.          where...... 
  480. Classification...... System (Boot sector) Virus, Reset-resident
  481. Length of virus..... 512 Bytes
  482. ------------------------Preconditions----------------------------------
  483. Operating System(s). Atari TOS
  484. Version\Release..... all TOS versions
  485. Computer models..... All Atari ST
  486. -------------------------Attributes------------------------------------
  487. Easy identification. In memory behind screen memory and in the boot
  488.                      sector, the following string can be found.:
  489.                      "*** The Pirate Trap ***
  490.                       * Youre being watched *
  491.                       *** [C] P.M.S. 1987 ***"
  492. Type of infection... Boot sector of drive A.
  493. Infection trigger... Execution of XBIOS floprd on bootsector of drive A.
  494.                      Execution of boot code.
  495. Media affected...... Drive A. 
  496. Interrupts hooked... TRAP #14 XBIOS, reset vector.
  497. Damage.............. The the message mentioned above appears on screen,
  498.                      and the computer waits for a keystroke; then, the 
  499.                      computer continues execution.
  500. Damage trigger.....  Internal counter = 0. 
  501. Particularities..... A lower counter on disk than the one in memory
  502.                      is not changed.
  503. Similarities........ ---
  504. -----------------------------------------------------------------------
  505. Countermeasures..... Make sure that the virus is not in memory.
  506.                      Search boot sector for the string mentioned
  507.                      above. Modify the last byte in boot sector
  508.                      to another value.
  509. Standard means...... Clear all bytes in boot sector beginning at
  510.                      offset 30 decimal.
  511. -----------------------Acknowledgements--------------------------------
  512. Location............ Virus Test Center, University of Hamburg, FRG
  513. Classification by... Ronald Greinke
  514. Documentation by.... Ronald Greinke
  515. Information Source.. George R. Woodside
  516. Date................ 5-June-1990
  517. ==================== End of "PIRATE TRAP" Virus =======================
  518.  
  519.  
  520. ======= Computer Virus Catalog 1.2: "SCREEN" VIRUS (5-June-1990) ======
  521. Entry............... "SCREEN" Virus
  522. Alias............... ---
  523. Strain.............. ---
  524. Detected when....... May 1989
  525.          where...... Utrecht (Netherlands)
  526. Classification...... Boot sector virus
  527. Length of virus..... 456 Bytes (512)
  528. ------------------------Preconditions----------------------------------
  529. Operating System(s). Atari TOS
  530. Version\Release..... ROM TOS from 02.06.1986; in other versions,
  531.                          virus will not be installed.
  532. Computer models..... All Atari ST
  533. -------------------------Attributes------------------------------------
  534. Easy identification. In memory at Phystop +34 and in the boot sector at 
  535.                      the same offset, the following bytes can be found:
  536.                         $0206198600FC0018 
  537. Type of infection... Boot sector of drive A.
  538. Infection trigger... Usage of drive A.
  539. Media affected...... Drive A. 
  540. Interrupts hooked... 200 Hz interrupt($114) for time-control and damage.
  541.                      hdv_bpb to infect bootsector.
  542.                      Critical Error Handler at infection time.
  543.                      Phystop is decremented by 512.
  544. Damage.............. The screen is blacked out from bottom to middle 
  545.                      and from top to middle at same time; no more action 
  546.                      can be performed as screen is permanently black. 
  547. Damage trigger.....  Between 3 and 30 minutes (depends on value of 
  548.                      200 Hz timer; action when timer >=360000). 
  549. Particularities..... Only boot sectors that are not executable are in- 
  550.                      fected. The word at offset 30 from beginning of 
  551.                      bootsector varies from infection to infection. If 
  552.                      a reset is performed, the virus becomes inactive
  553.                      but is still in RAM. If the virus is on a disk
  554.                      used after reset and the damage was active before 
  555.                      reset, it reappears after 3 minutes. 
  556. Similarities........ Same screen damage as BLOT VIRUS (same routine).
  557. -----------------------------------------------------------------------
  558. Countermeasures..... Make sure that the virus is not in memory.
  559.                      Search boot sector for the string mentioned
  560.                      above. Modify the last byte in boot sector
  561.                      to another value.
  562. Standard means...... Clear all bytes in boot sector beginning at
  563.                      offset 30 decimal.
  564. -----------------------Acknowledgements--------------------------------
  565. Location............ Virus Test Center, University of Hamburg, FRG
  566. Classification by... Ronald Greinke
  567. Documentation by.... Ronald Greinke
  568. Information Source.. George R. Woodside
  569. Date................ 5-June-1990
  570. ====================== End of "SCREEN" Virus ==========================
  571.  
  572.  
  573. ====== Computer Virus Catalog 1.2: "5th Generation" (5-June-1990) =====
  574. Entry...............: "5th. Generation"  
  575. Alias(es)...........: ---
  576. Virus Strain........: ---
  577. Virus detected when.: May 1989
  578.               where.: Utrecht (Netherlands)
  579. Classification......: Bootsector-Virus
  580. Length of Virus.....: 326 Bytes
  581. --------------------- Preconditions -----------------------------------
  582. Operating System(s).: Atari-TOS
  583. Version/Release.....: 1.0, 1.2 (1.4 not yet tested)
  584. Computer model(s)...: All types of the Atari ST Series
  585. --------------------- Attributes --------------------------------------
  586. Identification......: First word in the boot sector = $601C. 
  587. Type of infection...: Infects the boot sector of the disk A, if it is 
  588.                       regarded to be non-infected.
  589. Infection Trigger...: check if bootsector is executable
  590. Media affected......: Infection of disc in drive A.
  591. Interrupts hooked...: BIOS-Trap used and changed by this virus.
  592. Damage..............: Infects the boot sector of the disk, if it is 
  593.                       regarded to be un-infected. Clear Track 0 
  594.                       with the FAT and the directory.
  595. Damage Trigger......: If counter (at start of virus + 324) = 0. Initial
  596.                       value depends on number of infections.
  597. Particularities.....: ---
  598. Similarities........: ---
  599. --------------------- Agents ------------------------------------------
  600. Countermeasures.....: Programs that calculate the bootsector's checksum 
  601.                       and modify it, if it is $1234; then, the sector  
  602.                       is regarded as not executable. The suspected  
  603.                       more dangerous second part of the virus might 
  604.                       not be recognized because it does not need
  605.                       to have the correct checksum.
  606. Countermeasures successful: ---
  607. Standard means......: Write protect the disk / Write an easily 
  608.                       identifiable bootsector / 'Manually' change the 
  609.                       checksum to a value other than $1234 .
  610. --------------------- Acknowledgement ---------------------------------
  611. Location............: Virus Test Center, University Hamburg, FRG
  612. Classification by...: Ralf Stegen
  613. Documentation by....: Ralf Stegen
  614. Information Source..: George R. Woodside
  615. Date................: 5-June-1990
  616. ===================== End of "5th Generation"-Virus ===================
  617.  
  618.  
  619. ======================================================================== 
  620. == The Computer Virus Catalog may be copied free of charges provided  ==
  621. == that the source is properly mentioned at any time and location     ==
  622. == of reference.                                                      ==
  623. ==                                                                    ==
  624. ==  Editor:   Virus Test Center, Faculty for Informatics              ==
  625. ==            University of Hamburg                                   ==
  626. ==            Schlueterstr. 70,  D2000 Hamburg 13, FR Germany         ==
  627. ==            Prof. Dr. Klaus Brunnstein, Simone Fischer-Huebner      ==
  628. ==            Tel: (040) 4123-4158 (KB), -4175 (SFH), -4162(Secr.)    ==
  629. ==  Email (EAN/BITNET): Brunnstein@RZ.Informatik.Uni-Hamburg.dbp.de   ==
  630. ======================================================================== 
  631. ==  Critical and constructive comments as well as additions are       ==
  632. ==  appreciated. Especially, descriptions of recently detected viruses =
  633. ==  will be of general interest. To receive the Virus Catalog Format, == 
  634. ==  please contact the above address.                                 ==
  635. ========================================================================
  636.  
  637. ========================================================================
  638. ==                  End of ATARIVIR.690 document                      ==
  639. ==              (640 Lines, 3.407 Words, 35k Bytes)                   ==
  640. ========================================================================
  641.  
  642.  
  643.  
  644.  
  645.