home *** CD-ROM | disk | FTP | other *** search
/ BBS Toolkit / BBS Toolkit.iso / doors_1 / hack9301.zip / HACK92FA.RPT < prev    next >
Text File  |  1992-12-05  |  105KB  |  2,132 lines
  1.   =========================================================================
  2.                                     ||
  3.   From the files of The Hack Squad: ||  by Lee Jackson, Co-Moderator,
  4.                                     ||  FidoNet International Echo SHAREWRE
  5.           The Hack Report           ||  Volume 1, Number 24
  6.          for December 1992          ||  Report Date: December 5, 1992
  7.                                     ||
  8.   =========================================================================
  9.  
  10.   Welcome to the twenty-fourth issue of The Hack Report.  This is a series
  11.   of reports that aim to help all users of files found on BBSs avoid
  12.   fraudulent programs, and is presented as a free public service by the
  13.   FidoNet International Shareware Echo and the author of the report, Lee
  14.   Jackson (FidoNet 1:382/95).
  15.  
  16.   It is hard to believe, but this issue marks the end of a full year of The
  17.   Hack Report.  Over this time, many extremely nasty Trojans and ingenious
  18.   hoaxes have been seen, as well an large allotment of hacks and pirated
  19.   files.  It seems that no file is immune - even The Hack Report has been
  20.   the victim of a hack.  So, here are the final 1992 entries to the hall of
  21.   shame (with apologies to Fred Roggin), including a Trojan that attacks
  22.   .GIF files, yet another hack of TheDraw, and updates to the Meier/Morlan
  23.   list.  Thanks to everyone who has helped put this report together, and to
  24.   those that have sent in comments and suggestions.
  25.  
  26.   NOTE TO SYSOPS: The Hack Report may be freely posted as a bulletin on
  27.   your BBS, subject to these conditions:
  28.  
  29.              1) the latest version is used,
  30.              2) it is posted in its entirety, and
  31.              3) it is not altered in any way.
  32.  
  33.   NOTE TO OTHER READERS: The Hack Report (file version) may be freely
  34.   uploaded to any BBS, subject to the above conditions, and only if you do
  35.   not change the filename.  You may convert the archive type as you wish,
  36.   but please leave the filename in its original HACK????.* format.  The
  37.   Hack Report may also be cross-posted in other networks (with the
  38.   permission of the other network) as long as it meets the above conditions
  39.   and you give appropriate credit to the FidoNet International Shareware
  40.   Echo (and the author <g>).
  41.  
  42.   The idea is to make this information available freely.  However, please
  43.   don't cut out the disclaimers and other information if you use it, or
  44.   confuse the issue by spreading the file under different names.  Thanks!
  45.  
  46.   DISCLAIMER: The listings of Official Versions are not a guarantee of the
  47.   files' safety or fitness for use.  Someone out there might just be
  48.   sick-minded enough to upload a Trojan with an "official" file name, so
  49.   >scan everything you download<!!!  The author of this report will not be
  50.   responsible for any damage to any system caused by the programs listed as
  51.   Official Versions, or by anything using the name of an Official Version.
  52.  
  53.   *************************************************************************
  54.  
  55.                               Hacked Programs
  56.  
  57.   Here are the latest versions of some programs known to have hacked copies
  58.   floating around.  Archive names are listed when known, along with the
  59.   person who reported the fraud (thanks from us all!).
  60.  
  61.    Program              Hack(s)            Latest Official Version
  62.    -------              -------            -----------------------
  63.    Aliens Ate           !ALIENS                    K6DEMO
  64.     My Babysitter
  65.       Reported by:  Christopher Baker (1:374/14)
  66.  
  67.    ARJ Archiver         ARJ250                     ARJ230
  68. |     Reported by:  Tommy Vielkanowitz    (also ARJ239B, a beta test)
  69.                      (1:151/2305)
  70.  
  71.    AutoMenu             AUTO48                     AUTO47
  72.       Reported by:  Tony Blair (WildNet)
  73.                 via Ken Whiton (1:132/152)
  74.       Verified by Marshall Magee, Magee Enterprises, Inc.
  75.  
  76. |  BNU FOSSIL Driver    BNU202                     BNU170
  77. |     Reported By: Amauty Lambrecht (2:291/712)    (not counting betas)
  78.  
  79.    CatDisk              CDISK510                   CDISK632
  80.                         CDISK530
  81.                         CDISK661
  82.       Reported by:  Jeff Kaplow (1:120/234)
  83.  
  84.    CompuShow            CSHOW801                   CSHW850A
  85.                         CSHOW831
  86.                         CSHOW851
  87.       Reported by:  Paul Brazil
  88.                         CSHOW91
  89.       Reported by:  Harold Stein (Wildnet)
  90.       (Note:  Any version ending with a B, such as CSHW841B, is _not_
  91.        a shareware version.  This is the enhanced version received
  92.        with the user's registration and is not to be distributed.
  93.        Consider all B archives to be pirated copies.)
  94.  
  95. |  Disk OrGanizer       DOG320                     DOG317
  96. |     Verified by G. Allen Morris, author of DOG
  97.  
  98.    GoldED SysOp         GED241B6                  GED0240
  99.     Message Reader      GED0241B                (patch 0720)
  100.       Reported By: Andrew Owens (3:690/333.11)
  101.        verified by Odinn Sorensen, Author
  102.  
  103.    HS/Link              HSLK113                    HSLK112
  104.       Reported by:  Samuel H. Smith, Author
  105.       (Note - beta copies of HS/Link v1.13 are currently in
  106.        distribution, and are legitimate.  The filenames tend
  107.        change daily.  As of December 3rd, 1992, the latest
  108.        beta was HSL113D0.)
  109.  
  110.    Las Vegas EGA Casino (unknown)
  111.       Reported by the author, Diana Gruber, in the ILink net,
  112.       relayed by Richard Steiner (1:282/85)
  113.       (Note:  a version of this program sold through Gemini
  114.        shareware outlets with the title screen "Special GEMINI
  115.        game disk" and a version calling itself the "Ledyard$
  116.        EGA Casino" have been distributed.  No archive names
  117.        have been supplied yet.)
  118.  
  119.    LHA Archiver         LHA214                     LHA213
  120.       Reported by: Patrick Lee (RIME address RUNNINGB)
  121.                         LHA300
  122.       Reported by: Mark Church (1:260/284)
  123.  
  124. |  List                 LIST8                      LIST77A
  125. |                       LIST18                      (Also LIST77A2)
  126.       Reported by: The Hack Squad (from the Buerg BBS)
  127.                         LIST80
  128. |     Reported by: Brad Crochet, FidoNet 4DOS Support Echo
  129.  
  130.    Math Master          MATHMSTR                   M-MST301
  131.       Reported by: James Frazee (1:343/158)
  132.  
  133.    PKLite               PKLTE120                   PKL115
  134.       Reported By: HW Nemrod Kedem
  135.  
  136.    PKZip                PKZIP120                   PKZIP110
  137.                         PKZ199B
  138.       Verified by Mark Gresbach, PKWare
  139.                         PKZIP20B
  140.                         PKZIP_V2.EXE
  141.       Reported by: Mike Burger (WildNet)
  142.                via Ken Whiton (1:132/152)
  143.       Reported by: Fred Towner (1:134/73)
  144.                         PKZ201.ARJ
  145.       Reported by: HW Frank Pizer
  146.                         PKZ201.ZIP
  147.                         PKZ201.EXE
  148.       Reported by: Jim Westbrook (1:382/29)
  149.                         PKZ202
  150.       Reported by: Scott Drake (1:107/900)
  151.                         PKZ2010
  152.       Reported By: Stephen Walker (Internet, stephen.walker@nitelog.com)
  153.                         PKZ305
  154.       Reported by: Scott Raymond (1:278/624)
  155.                         PKX201.EXE
  156.       Reported by: Bill Logan (1:300/22)
  157.                         PKZ210F.EXE
  158.       Reported by: Bert Bredewoud (2:281/703)
  159.                         PKZIPV2
  160.       (Claims to be v2.2 of PKZip - reported via PKWare Tech Support)
  161.                         PKUNZIP.COM
  162.       Reported by: Harold Stein, via Ken Whiton
  163.                         PKZIP203.EXE
  164.       Reported by: Mark Clark (2:440/107)
  165.                         VER201
  166.       Reported by: Harold Stein (CIS 72377,3075)
  167.  
  168.  
  169.    QEdit Advanced       XEDIT                      QEDIT215
  170.       Reported by: Sammy Mitchell, Author
  171.       (thanks to Rand Nowell and Joe Morlan for relaying the report)
  172.                         QEDIT500
  173.       Reported by: Onno Tesink (ILink, via Richard Steiner, 1:282/85)
  174.  
  175.    Qmodem               QM451                      QM452TD
  176.       Reported by: Bill Lambdin, via Arthur Shipkowski (1:260/213.2)
  177.  
  178.    Shez                 SHEZ72A                    SHEZ82
  179.                         SHEZ73
  180.       Reported By: Bill Lambdin (1:343/45)
  181.  
  182.    Telegard             TG29EALP                   Telegard 2.7
  183.       Reported by: Karen Maynor (1:3640/5)
  184.       (Found on the NightOwl CD-ROM disc version 5.0)
  185.                         TG30
  186.       Reported by: Doug Sorber, via Martin Pollard (1:120/187)
  187.                         JIGSAWV2
  188.       Reported by: Tommy Smith, via Mark Evans (formerly 1:382/87)
  189.  
  190.    Telix                Telix v3.20                Telix v3.15
  191.                         Telix v3.25
  192.       Reported by: Brian C. Blad (1:114/107)
  193.                    Peter Kirn (WildNet, via Ken Whiton)
  194.                         Telix v4.00
  195.                         Telix v4.15
  196.       Reported by: Barry Bryan (1:370/70)
  197.                         Telix v4.25
  198.       Reported by: Daniel Zuck (2:247/30, via Chris
  199.                     Lueders (2:241/5306.1)
  200.                         MegaTelix
  201.       Verified by Jeff Woods, Exis, Inc. (now deltaComm), in the TELIX
  202.        echo, who also states that there will be _no_ commercial
  203.        release titled Telix 4.0.  He states the next release of Telix
  204.        will be under a "modified" form of the name Telix, which has not
  205.        been decided upon yet.  Any version with a number higher than
  206.        3.15 and claiming to be shareware can be considered a confirmed
  207.        hack, unless reported here otherwise.
  208.  
  209.                         Telix Pro
  210.      Reported by: Jason Engebretson (1:114/36), in the FidoNet TELIX echo
  211.  
  212.    TheDraw              TDRAW430                   TDRAW451
  213.                         TDRAW500
  214.       Reported by: Ian Davis, Author
  215.                         TDRAW550
  216.       Reported by: Steve Klemetti (1:228/19)
  217.                         TDRAW600
  218.       Reported by: Hawley Warren (1:120/297)
  219.                         THEDR60
  220.       Reported by: Larry Owens (PDREVIEW echo, 1:280/17)
  221.                         TDRAW601
  222.       Reported by: Jesper Tragardh (2:200/109)
  223.                         TDRAW800
  224.       Reported by: James Carswell (1:153/775)
  225.  
  226.    Turbo Antivirus      Version 9.00b              Version 8.10
  227.                         Version 9.01a
  228.                         (Archive names unknown)
  229.       Reported by: Thomas Ruess (2:246/24)
  230.  
  231. |  ViruScan             SCAN92                     SCAN99
  232.       Reported by: Don Dunlop (1:153/715)
  233.  
  234.    X00 Fossil           X00V130                    X00V124
  235.                         X00V130J                   (also official is
  236.                                                     X00V149A, a beta
  237.                                                     test of an OS/2 ver.)
  238.  
  239.   *** More Hacks
  240.  
  241.   Bill Lambdin (1:343/45), host of the Intelec Virus Info conference, sent
  242.   a list of versions of McAfee's ViruScan (better known as just SCAN) that
  243.   have been hacked.  Here are the version numbers he sent:
  244.  
  245.                         SCAN74    SCAN81     SCAN88
  246.                         SCAN78    SCAN83     SCAN92
  247.                         SCAN79    SCAN87     SCAN96
  248.  
  249.   More information on ViruScan can be found in The Trojan Wars section.
  250.  
  251.  
  252.   HW Bill Dennison saw a copy of the PKZ201.EXE file mentioned above, but
  253.   with a twist:  when he used the file view feature of the BBS he saw it
  254.   on, he saw that the file was not a PKZip SFX (self-extracting) file, but
  255.   was an LHA SFX (using -lh5- compression).  This, folks, is a bit of a
  256.   giveaway.  PKWare isn't likely to use any archiver other than ZIP to
  257.   distribute their next release.
  258.  
  259.  
  260.   Chris Lueders (2:241/5306.1) reports that a file calling itself VPIC50DT
  261.   is a hack of version 4.5 of the VPic graphics file viewer.  Specifically,
  262.   the 5.0dt file ("dt" indicates a German language edition, per Chris) is a
  263.   hack of the English version 4.5.  At the time of the report, version 5.1
  264.   was the latest official release, but a legitimate version 5.0 was
  265.   released.  Just be careful: if your copy of VPic starts up in German,
  266.   delete it.
  267.  
  268.  
  269.   Zone 2 (especially UK) users might want to watch out for a disk being
  270.   distributed by Personal Computer World magazine.  Shakib Otaqui (2:
  271.   440/74) reports that all of the files on the August issue's "free" cover
  272.   disk are zipped using the PKZip 1.93 alpha test release, and that the
  273.   version of PKZip distributed with the disk is the hacked version 2.01.
  274.   The PKZip 2.01 file is 19793 bytes, dated March 15, 1992, and is PKLited
  275.   with the extra compression (non-expandable) option.  Shakib tested the
  276.   file and confirmed that it is a simple hack with no viral or Trojan code.
  277.  
  278.  
  279.   Finally, here's one I'm not sure how to handle: It's a hack, but it
  280.   appears to be a hack of a commercial program.  HW Frank Pizer has found a
  281.   hack of a program called BitFax.  The hack, calling itself ZIPFAX.ZIP (at
  282.   146320 bytes), has been altered so that all occurrences of the word Bit
  283.   with the word Zip.  The archive contains configuration files with the
  284.   words "Technopoint - Avi Miller" in them.  Thanks to Frank for the report
  285.   from Zone 5: let's hope the rest of us can keep it from spreading beyond
  286.   there.
  287.  
  288.   =========================================================================
  289.  
  290.                                 Hoax Alert:
  291.  
  292. | Yet another hoax of Microsoft's HIMEM.SYS has turned up, this time under
  293. | the name HIMEM600.  Shakib Otaqui (2:440/74) says a binary comparison
  294. | with the latest official version, v3.07, shows that the only difference
  295. | is the date and version number.  Not only is this pirated, it is a hoax.
  296. | A similar file is being passed around under the filename HIMEM500.
  297.  
  298.  
  299.   Your Hack Squad has seen many posts of a warning about a virus called
  300.   PROTO-T.  The message warns that the virus has the ability to hide in the
  301.   RAM of VGA cards, hard disks, and "possibly, in modem buffers." It goes
  302.   on to warn that the virus was placed in two files:  one called "TEMPLE,"
  303.   and in a hack of PKZip, version "3.x".
  304.  
  305.   Joe Morlan (1:125/28) has stated that this message is a hoax.  I have
  306.   seen other information that leads me to agree with Joe's statement.  In
  307.   the meantime, I have sent a copy of PKZ305 (from your Hack Squad's
  308. | "TOXIC" diskette) to Bill Logan for testing.  In the meantime, Bill
  309. | Lambdin (1:343/45) has disassembled the file and stepped through it with
  310. | a debugger Here are his results:
  311. |
  312. | "I received PKzip 305 supposedly infected with the Proto-T virus.
  313. |
  314. | "I disassembled the file, and stepped through the code with a debugger.
  315. |
  316. | "i found suspicious code, and lots of interrupt 3s (debug break points),
  317. | but there was no replication routine in it whatsoever."
  318. |
  319. | He concludes...
  320. |
  321. | "Let me say it this way. If there is a Proto-T Virus, it deffinately
  322. | wasn't in PKzip3.05 that I received."
  323. |
  324. | Sounds good to me.  I am under the impression that Mr. Logan's results
  325. | will confirm Bill Lambdin's findings.
  326.  
  327.  
  328.   Here are Bill Logan's test results on Xtratank.  If you recall, Mr.
  329.   Logan, an agent of McAfee Associates, agreed to test out this file to see
  330.   once and for all if it really works, or if it is a hoax.
  331.  
  332.   Bill tested the program on two IBM compatible computers and one AT&T XT
  333.   clone.  The PC Clones were 286s, one with a 40meg IDE hard drive, the
  334.   other with a 40meg MFM hard drive.  The AT&T had a 10meg hard drive.
  335.  
  336.   To weed out possible clashes with DOS versions, the test was repeated on
  337.   each computer using 4 different DOS flavors:  MS-DOS 3.30, IBM DOS 3.30,
  338.   MS-DOS 4.01, and MS-DOS 5.0.
  339.  
  340.   The hard drives were formatted and Xtratank was installed on each.  The
  341.   PC Clones now reported that their drive capacity was now doubled.  The
  342.   AT&T XT did not, since it was not a true IBM compatible.  Bill then
  343.   attempted to copy 80 megabytes of raw, non-compressed files from floppy
  344.   disks onto the hard drives.  All of the hard drives ran out of disk space
  345.   after only 40 megs of files had been copied.
  346.  
  347.   The testing did not reveal any viral or Trojan code.  To quote Bill, "It
  348.   is our opinion that this program is simply nothing but a hoax."
  349.   (However, see the ???Questionable Files??? section for more on this.)
  350.  
  351.  
  352.   In addition to Bill's testing, Gary Weinfurther (1:120/301) sent a
  353.   summary of his disassembly of the programs in the archive.  He found that
  354.   the XTRATANK.EXE and the XTRATANK.COM files contained the exact same
  355.   code, with one padded with "garbage" that made it look larger.  The code
  356.   is designed to intercept the DOS 21h interrupt, function 36h, which is
  357.   for determining free space on a drive.  Xtratank then doubles the result.
  358.  
  359.   None of the warning messages in the docs are present in the files, and no
  360.   check is performed to see if it could be correctly installed.  Gary says
  361.   that since it is a simple interrupt-intercept TSR, "it can be
  362.   successfully installed every time."  He suggests (humorously) that
  363.   installing it twice would theoretically result in a report that your hard
  364.   drive space had quadrupled.
  365.  
  366.  
  367.   This should settle the debate once and for all - XTRATANK IS A HOAX AND
  368.   DOES NOT ACTUALLY WORK.  All of Bill's and Gary's results completely
  369.   verify the Fitzgerald Test results, so if you _still_ don't believe it,
  370.   run the test for yourself.
  371.  
  372.   *** The Fitzgerald Test
  373.  
  374.   Here is the now-famous Fitzgerald Test, devised by Tim Fitzgerald of
  375.   1:3800/18.0 and validated by Bill Logan's test results.  Try this if you
  376.   think you have managed to get XTRATANK to work on your system.  Follow
  377.   these simple steps:
  378.  
  379.       1. Run CHKDSK and write down the free space it reports as free.
  380.       2. Do a DIR command and write down what XTRATANK reports.
  381.       3. Copy any text file to a new text file.
  382.       4. Repeat steps 1 and 2, and compare.
  383.  
  384.   You will see that XTRATANK reports that twice as much disk space is taken
  385.   up by the new text file.
  386.  
  387.  
  388.   Other previously reported hoaxes:
  389.  
  390.   Filename       Claimed use/Actual activity/Reporter(s)
  391.   ------------   ---------------------------------------------------------
  392.   2496           This, and all files that claim to run a 2400 bps
  393.                  modem at 9600 or 14400 bps, are hoaxes.  If you
  394.                  follow their instructions, you will have a 0 bps
  395.                  modem.  Reported by several people.
  396.  
  397.   AMIGA          Claims to allow IBM/Clones to read Amiga Workbench
  398.                  Disks: displays a picture of an Amiga Workbench disk
  399.                  on your screen, then spins your A: drive and locks
  400.                  your system.  From Suriya Matsuda, Jacob Kanafoski
  401.                  (1:3613/4), Derek Vanmunster (1:229/418), and Jeff
  402.                  Hancock (1:3600/7).
  403.  
  404.   BIMOD126       Claims to be version 1.26 of BiModem - actually v1.24
  405.                  renamed and re-archived.
  406.  
  407.   HIMEM500       Looks like v5.00 of the HIMEM.SYS driver from MS-DOS and
  408.                  Windows, but is actually v3.07 with the numbers changed.
  409.                  Pirated as well (HIMEM.SYS is not shareware).  From
  410.                  Joe Morlan (1:125/28) and Mike Bray (RIME address COFFEE).
  411.  
  412.   MAXRES         Claims to "check your graphics interface and show you
  413.                  resolutions of your interface card."  Elaborate hoax
  414.                  that lists the author as Samuel H. Smith (of HS/Link
  415.                  fame).  Mr. Smith has confirmed that he did not write
  416.                  this program.  Possible Trojan, but no Trojan activity
  417.                  has been reported.
  418.  
  419.   SPEEDUP        Claims to increase system clock speed - instead doubles
  420.                  the length of each second and resets the system clock to
  421.                  use 30 of the new seconds each minute.  From Kim Miller
  422.                  (1:103/700).
  423.  
  424.   TG27E          Hoax "upgrade" of the Telegard BBS package.  Completely
  425.                  overwrites an existing configuration, but does no real
  426.                  damage, with the exception of creating a "horrendous
  427.                  color combination that looks like a bad acid trip."  From
  428.                  Scott Raymond (1:278/624), Telegard Alpha Tester.
  429.  
  430.   WOLFXXX        Claims to patch your copy of Wolfenstein-3D to version
  431.                  1.3.  No such version exists.  Also has a fake address
  432.                  that you are asked to send money to.  From Jay Wilbur of
  433.                  Id Software (1:124/6300).
  434.  
  435.   =========================================================================
  436.  
  437.                               The Trojan Wars
  438.  
  439.   There are quite a few new Trojans that popped up last month, some of
  440.   them quite nasty.  Read on for the gruesome details.
  441.  
  442. | Michael Toth (1:115/220) forwards a report from John Kristoff, a member
  443. | of FidoNet Net115, about a Trojan called BATMAN.  The file contains a
  444. | single executable, called BATMAN.EXE, and the archive is only 7k in size.
  445. | The description left by the user said, "Don't be fooled by it's (sic)
  446. | size, after the pretty long installation it will be like 10 times
  447. | bigger."  It is described as a "Very Nice Ega Batman Card Game."
  448. |
  449. | John looked inside the .exe for text strings, and here is what he found,
  450. | edited for television:
  451. |
  452. |       SPIDER-OPT Version
  453. |       Hard Disk Optimizer
  454. |       System/Disk Information:
  455. |       Instaling
  456. |       : will take approximately
  457. |        minutes.
  458. |       Instaling Game
  459. |       -3YOU STUPID #$% #$%^$# #$%#$%! HOW STUPID CAN YOU BE
  460. |       SPIDER.HAH2<<< YOU HAVE BEEN HIT BY
  461. |       S.W.A.T.
  462. |        YOU LOSER! >>>
  463. |       Done INSTALING! U
  464. |
  465. | From the looks of this, it isn't such a nice game after all.
  466.  
  467.  
  468. | Lincoln Decoursey (1:260/220) reported in the FidoNet VIRUS echo a
  469. | problem he had with a file called PDESK.  He says that he found it on a
  470. | CD-ROM, and that a virus scanner reported that the executables in the
  471. | file had suspicious code within.  As a test, he ran one of the .exe
  472. | files, and all of the .exe file on his hard drive were deleted.  The
  473. | files were recoverable using undelete, so it would appear that this was a
  474. | simple Trojan.
  475.  
  476.  
  477. | Charles Strusz (RBBS Net 970/201) reports that Southern Illinois has seen
  478. | a Trojan constructed from an archive of VPIC.  Charles says that the file
  479. | contains a VPIC.COM file in addition to the VPIC.EXE file.  The Trojan is
  480. | apparently either within or triggered by the .com file, since DOS will,
  481. | when given a filename with no extension, load a .com file with that
  482. | filename before loading a similarly named .exe file.
  483. |
  484. | When the Trojan runs, it seeks out all .GIF files on the drive it is run
  485. | from, overwrites the first few bytes (essentially ruining the .GIF), and
  486. | then deletes itself, leaving the original archive.
  487.  
  488.  
  489. | Bill Lambdin (1:343/45) forwarded a message posted in the Intelec
  490. | PC-Security conference by Bill Ziegler about an instance of a file called
  491. | CRPBATL.*.  The copy of the file circulating in the Tulsa, Oklahoma area
  492. | is an apparent dropper of a virus using the Mutation Engine for
  493. | encryption.
  494. |
  495. | The virus is dropped in a unique way:  initial scanning with popular
  496. | anti-viral utilities will not detect the infection.  However, when the
  497. | main executable (CRPBTL.EXE) is run, it overwrites itself and almost
  498. | doubles in size, at which point the MtE can be detected.  When the file
  499. | is run a second time, the virus tries to infect COMMAND.COM and
  500. | (possibly) some Novell Netware files as well.  Infection can be cleaned
  501. | with most AV utilties at this point.
  502. |
  503. | Mr. Ziegler was not able to make the file infect his test system, and
  504. | those in the Tulsa area which were infected were easily cleaned.
  505. | However, this is a particularly nasty way of spreading a potentially
  506. | destructive bit of code, and should be avoided.
  507.  
  508.  
  509. | Bill also forwards a message by Jay Blethen from the U'ni Net Virus
  510. | Conference (via Michael Burkhart) about COPY2-HD, which claims to be a
  511. | "FAT table cache to speed disk access."  Jay says that this file is
  512. | actually a Trojan which disables reboot calls, scrambles the FAT, and
  513. | then formats the disk.  Jay says that the "screen message is pretty mean,
  514. | too...."
  515.  
  516.  
  517. | Eric J. Essman (CompuServe, 74656,557) posted an article in the Internet
  518. | comp.virus newsgroup about a dropper included in an archive of LARRY5.*
  519. | (Leisure Suit Larry).  The file, which apparently spread from the
  520. | Northeastern United States, is a .com and .exe infector that infects
  521. | files over 3k in size when they are opened for any reason.  Other
  522. | symptoms include file allocation errors reported by CHKDSK, a disabled
  523. | left CTRL key, and a message that says:
  524. |
  525. |                   VSUM VIRUS - your PC is now infected
  526. |                   (c) 1992 P/S, Inc.
  527. |
  528. | The virus has polymorphic capabilities.  No information was given on what
  529. | programs will detect and/or clean this, so you might avoid any "Leisure
  530. | Suit Larry" files you see.  Even if they were clean, they'd be pirated.
  531.  
  532.  
  533. | Drew Roberts (1:216/510) forwarded a report from one of his users, Steve
  534. | Luzovich, into the VIRUS_INFO echo about the file HOYLE2.EXE.  The file
  535. | is supposed to be a collection of Solitaire games.  However, Steve said
  536. | his virus scanner reported that two of the internal files, SIERRA.COM and
  537. | EXISTS.COM, were infected with a strain of the TP44 virus.  To make
  538. | matters worse, Bill Lambdin (1:343/45) and Janne Granberg (2:227/12)
  539. | report that the original game is a commercial release by Sierra.  Janne
  540. | also relays that TP44 is "version 44 of the Yankee Doodle virus...."
  541. | Probably an isolated incident, but be on the lookout nonetheless.
  542.  
  543.  
  544. | An unusual report for this publication:  Kelvin Lawson reports the
  545. | existance of a file that registers FEBBS, called FEBBSREG.  I usually
  546. | don't relay reports on "crack" programs, but this one may contain a file
  547. | that might be dangerous.  First, here is the archive information:
  548. |
  549. |       Name          Length      Mod Date  Time     CRC
  550. |       ============  ========    ========= ======== ========
  551. |       FEBBSREG.EXE      4253    08 Jan 92 14:37:40 35BDF8FD
  552. |       SETPATH.EXE       2368    12 Jan 92 14:10:58 DAC8EECE
  553. |       004733.TXT        1406    10 Sep 92 00:57:16 AD32C519
  554. |       ============  ========    ========= ======== ========
  555. |       *total     3      8027    10 Sep 92 00:57:36
  556. |
  557. | The FEBBSREG.EXE file generates a serial number for FEBBS.  However, the
  558. | problem, according to Kelvin, is with the SETPATH.EXE file.  He says it
  559. | is a "little program which knackers (sic) your RA (RemoteAccess) BBS by
  560. | putting a little ANSI ad for (the hacker's) BBS on the login which has to
  561. | be patched out in the FAT."  I have no idea if this is widespread, nor do
  562. | I have confirmation of its damaging potential.  However, it would be a
  563. | wise move to avoid _any_ file that claims to register another program
  564. | without having to pay for the original.  Support shareware, and pay the
  565. | author for his or her work.
  566.  
  567.  
  568. | Bill Lambdin (1:343/45) forwards a message by Stephen Sauls in the Smart
  569. | Net Virus conference about a fake update patch program for PCBoard.
  570. | Stephen forwarded the message from Joe Crosby, who received it from David
  571. | W. Terry of the Salt Air BBS.  (Long way around, but at least it got
  572. | here.)
  573. |
  574. | The file in question is not named, but it claims to patch a "stack
  575. | overflow" problem with PCBoard.  David says no such problem exists, and
  576. | that the patch actually performs a low-level format on the first 300
  577. | sectors of your hard drive.
  578. |
  579. | David concludes that PCBoard users should never make use of patches
  580. | unless they are obtained directly from Clark Development Company and/or
  581. | downloaded directly from the Salt Air BBS, at (801) 261-8976.  Good
  582. | advice.
  583.  
  584.  
  585. | Now, a report that I accidentally left out of last month's issue:  Janne
  586. | Granberg (2:227/12), Co-Sysop of the Black Crypt BBS, reports that a
  587. | Trojan version of their BBS intro file (archive name BCINTRO) is in
  588. | distribution.  The file contains two executables, README.EXE and
  589. | INTRONOW.EXE, both of which are Trojans.  The first file is actually the
  590. | ADIDAS Trojan, and the second file is the ELEPHANT-2 Trojan.  Both can be
  591. | detected by Fridrik Skulasson's F-Prot Scanner.  (I'm not sure if you
  592. | have to use the /TROJAN switch on the command line; it might be the
  593. | default in later versions.)
  594.  
  595.  
  596. | Kyle Pinkley (1:3803/3.2) forwarded a message he found on a local BBS
  597. | that appears to be from PKWare, warning of hacked versions of PKZip.  In
  598. | the message, a Trojan version of the PUTAV program (part of the PKZip
  599. | package) calling itself PUTAV193 is reported.  I had not heard of this
  600. | before, so I am forwarding it here for your consideration.
  601.  
  602.  
  603.   Jef Fraas (CompuServe, 71044,256) has found a hacked archive of the
  604.   October issue of The Hack Report.  He said that there were four files in
  605.   the archive, one of which was called "README.BAT."  When he ran the file,
  606.   it tried to format his hard drive.
  607.  
  608.   Jef sent me a copy of the file for examination.  The hacker merely
  609.   inserted a few commands at the top of the HACK1092.COL file and renamed
  610.   it README.BAT.  Not a very professional hack job, and also a very good
  611.   argument for visually examining any unknown batch file before you run it.
  612.  
  613.   Let me emphasize one important point:
  614.  
  615.         >>>>THE OFFICIAL ARCHIVE OF THE HACK REPORT WILL _NEVER_
  616.         >>>>CONTAIN ANY FORM OF EXECUTABLE FILE.  ONLY TEXT FILES
  617.         >>>>WILL BE INCLUDED IN THE ARCHIVE.
  618.  
  619.   If you find an archive that has an executable file inside, delete it:
  620.   it's been tampered with.  Official copies of the archive are available
  621.   from sites listed at the end of this report.  Thanks to Jef for all his
  622.   help.
  623.  
  624.  
  625.   Michael Toth (1:115/220) forwarded a message from Doug Bora (1:115/858)
  626.   about a file someone uploaded to his system called MEM.*.  This file
  627.   contained the RedX virus.  The file was described as "a program that
  628.   upgrades your memory," and was 2048 bytes long.
  629.  
  630. | Doug supplied the file information on the archive, which is reprinted
  631. | here for those interested.
  632. |
  633. |     Searching ZIP: MEM.ZIP
  634. |
  635. |     Length  Method   Size  Ratio   Date    Time   CRC-32  Attr  Name
  636. |     ------  ------   ----- -----   ----    ----   ------  ----  ----
  637. |       1818  Stored    1818   0%  01-04-80  00:55  238335e0 --w  MEM.COM
  638. |     ------          ------  ---                                 -------
  639. |       1818            1818   0%                                       1
  640.  
  641.  
  642.   Your Hack Squad has seen a listing for two files called AIRCOP.* and
  643.   PUNK.*.  These files were advertised as viruses.  The first one, AIRCOP,
  644.   is supposed to destroy and overwrite files on drive A:, and to attempt to
  645.   corrupt files on any drive.  The second one, PUNK, was advertised as the
  646.   "smallest virus in the world."  It claims to corrupt every .com file it
  647.   can find.
  648.  
  649.   The above files were advertised as being available "for research purposes
  650.   only," but there is no way to tell if they ever made it into public
  651.   distribution.  Keep an eye open, and scan everything, just in case.
  652.  
  653.  
  654.   Tom Lane (1:382/91) forwarded a message from a caller named David Basile
  655.   of Daleville, Alabama, about two Trojan files.  The first was called
  656.   HOUSEPAN.*, which appears to be a compiled batch file.  It contains a
  657.   .DAT file which says that "your hard drive has just been infected with a
  658.   virus and only the PainKiller has the cure."  The Trojan then tries to
  659.   delete files using a program called "House," which is a renamed version
  660.   of a program called RM that simply removes files.
  661.  
  662.   The second file David reports is called RAZOR1.*, which claims to be a
  663.   game with "great graphics and sound."  When it runs, David says it claims
  664.   it will need "time to expand and a lot of hard drive space."  However, it
  665.   seems to need the same amount of time regardless of the machine it runs
  666.   on - it estimated 7.5 minutes on both his 486 and his Tandy 1000TL.  The
  667.   program winds up writing to your COMMAND.COM file during this time.  If
  668.   you have a backup copy of COMMAND.COM, David states you can just copy it
  669.   over the infected file and everything will go back to normal.  (Make sure
  670.   you boot from a clean, write-protected floppy before you do this,
  671.   though.)
  672.  
  673.  
  674.   Joachim Theile (CompuServe ID 100042,1552), reports a potential problem
  675.   with a copy of a file called PHANTOM2.*.  This program, a copy of The
  676.   Phantom of the Keyboard II, v1.1, seems to be an "isolated incident" of
  677.   an infected file.  The executable in the archive, PHANTOM2.EXE, was
  678.   reported to be infected with the Hafen [Hafn] virus by McAfee's ViruScan
  679.   (no version of SCAN provided).  If my memory serves, the program is
  680.   legitimate.  Joachim's copy seems to have been infected by a third party.
  681.  
  682.  
  683.   Jerry Murphy (1:157/2) located a copy of a file called PCS204.* which has
  684.   been infected with the MIMIC2 [Mim] virus.  McAfee's ViruScan v97
  685.   detected the infection in the internal files PCS.EXE and PCSLOG.EXE.  He
  686.   has sent a copy to McAfee, who have confirmed that the [Mim] virus is
  687.   real (it was added to the SCAN program before shipping, but wasn't
  688.   included in the VIRLIST.TXT in the SCAN archive).
  689.  
  690. | Jerry informs me that PCS is a program called PC-Sentry, and was the
  691. | shareware version of the program.  This appears to be another "isolated
  692. | incident" for everyone to be aware of.
  693.  
  694.  
  695.   Russell Wagner (1:202/307) reports in the FidoNet DIRTY_DOZEN echo that a
  696.   file called X_COMM.* contains a Trojan.  The file claims to increase the
  697.   speed of your modem.  A batch file in the archive, if run, will
  698.   apparently delete all .exe, .com, .sys, and .bat files in your root, DOS,
  699.   and WINDOWS directories.
  700.  
  701.  
  702.   A previous report forwarded by Troy Dowding about REGLITE brought in
  703.   some further information, forwarded by Bill Dennison (1:273/216).  One
  704.   message forwarded from Bill Baer of the ILink Shareware conference (via
  705.   Larry Dingethal) says that the file contained only an executable file,
  706.   with no docs.  Another message from John Cline gives further info on the
  707.   virus that infected the REGLITE file, called "Particle Man."  It
  708.   increases the size of a .com file by 690 bytes (no info on .exe files),
  709.   and is not detectable by SCAN v95.
  710.  
  711.   John says you can make SCAN detect it, using the following procedure:
  712.  
  713.     First make an ascii consisting of the following line:
  714.  
  715.     "b94201313583c702e2f9" Particle Man
  716.  
  717.     Type the line exactly, including the quotes, and save the textfile with
  718.     filename VIR.TXT to the same subdirectory that contains SCAN, next run
  719.     with the following command line:
  720.  
  721.     scan c: /ext vir.txt
  722.  
  723.     You can replace "c:" with any drive letter you want to check.
  724.  
  725.   The above scan string will detect the virus after it has started to
  726.   replicate, but before it starts overwriting files in all your
  727.   directories.
  728.  
  729.  
  730.   HW Richard Steiner forwarded a message from Eric Hamel (RIME address
  731.   SOFTC, Shareware Conference) about the file MSTLST10.  A user of a board
  732.   local to Eric found the file, described as "like Sidekick, only better,"
  733.   and downloaded it.  An INSTALL.BAT file in the archive had references to
  734.   copying the command interpreter.  Eric ran the install program, and wound
  735.   up with an overwritten command interpreter - the file MASTLAST.COM had
  736.   been copied to his root directory and had been renamed to the same name
  737.   as what was pointed to in his COMSPEC setting.
  738.  
  739.  
  740.   Another forwarding from Richard involves a report from Steve Bogacz of
  741.   the Rice Lake PCUG (via George Goza, ILink (Channel 1 BBS)).  Steve found
  742.   a file called FLIP-IT that contains a variant of the Wisconsin virus.  No
  743.   file description was given.  Here comes the sermon again - SCAN
  744.   EVERYTHING YOU DOWNLOAD.  Before you run it, preferably.
  745.  
  746.  
  747.   Malte Eppert (2:240/500.6) forwarded a message into the FidoNet
  748.   DIRTY_DOZEN echo from Dick Hazeleger about EARLYWA, an "AV warning
  749.   program."  He ran the main program, DAILY.COM, after scanning it with
  750.   McAfee's SCAN95 and getting a clean result.  The program crashed when it
  751.   tried to invoke the DOS DEBUG program, which Dick doesn't have on his
  752.   system.  After this, he checked the file using Fridrik Skulasson's F-Prot
  753.   virus scanner in "Heuristic" mode, and received the message, "...the
  754.   first 71 bytes of this program contain a primitive virus."  (See the
  755.   clarifications section for further information.)
  756.  
  757.  
  758.   Matthew Peddelsden (2:440/302) has received a report of a virus in a copy
  759.   of the GSZ ZModem protocol driver archive by Chuck Forsberg.  He says
  760.   that "running any file in the archive will infect the file COMMAND.COM,
  761.   and subsequent program (sic) that is run is infected so that it is
  762.   corrupted and when run simply displays rubbish on the screen and beeps
  763.   madly out of the speaker."  Matthew received an archive listing from the
  764.   person whose system was infected by this.  Here's the info:
  765.  
  766.    Length  Method   Size  Ratio   Date    Time   CRC-32  Attr  Name
  767.    ------  ------   ----- -----   ----    ----   ------  ----  ----
  768.        76  Shrunk      72   6%  13-12-91  13:32  0a33cf32 --w  DS.BAT
  769.       340  Implode    287  16%  13-12-91  13:35  631a91b6 --w  FIX.BAT
  770.       110  Shrunk      98  11%  13-12-91  13:27  6836df0d --w  RZ.BAT
  771.        36  Shrunk      31  14%  13-12-91  13:22  d8d5d2f9 --w  SZ.BAT
  772.       151  Shrunk     140   8%  13-12-91  13:27  b5400e97 --w  ZDOWN.BAT
  773.       123  Shrunk     115   7%  13-12-91  13:27  5cffa510 --w  ZMODEMAD.BAT
  774.       116  Shrunk     106   9%  13-12-91  13:28  c38f9bfe --w  ZMODEMD.BAT
  775.       134  Shrunk     123   9%  13-12-91  13:28  89aeacd7 --w  ZMODEMDR.BAT
  776.       140  Shrunk     123  13%  13-12-91  13:28  eeba3b6f --w  ZMODEMU.BAT
  777.        59  Stored      59   0%  13-12-91  13:28  3eedc27b --w  ZUP.BAT
  778.       898  Implode    683  24%  24-11-90  04:20  07d84f0d --w  DSZ.10
  779.     71424  Implode  42742  41%  27-04-92  15:00  ccda0966 --w  GSZ.EXE
  780.     33936  Implode  21315  38%  26-04-92  08:44  cd04b5ea --w  GCOLORS.EXE
  781.    130736  Implode  45830  65%  27-04-92  15:38  ead89b23 --w  GSZ.DOC
  782.      3067  Implode   1230  60%  27-04-92  15:03  da90ea8b --w  MAILER
  783.    ------          ------  ---                                 -------
  784.    241346          112954  54%                                      15
  785.  
  786.   His source says the virus is in both GSZ.EXE and GCOLORS.EXE.  McAfee's
  787.   SCAN95B doesn't detect it, but they have been informed.  The virus
  788.   contains the string, "APACHE WARRIER," along with a few others.
  789.  
  790.   It seems very unlikely that this infected copy originated from the
  791.   author:  it is almost certainly a situation where someone else down the
  792.   line unpacked the archive, infected the files, re-archived them, and
  793.   uploaded the bad archive to a BBS.  If you have _any_ qualms about the
  794.   copy of GSZ that you find, you can always go to the source and download a
  795.   copy from Chuck Forsberg's BBS.
  796.  
  797.  
  798.   Cal Gardner previously reported a file called 800II224, claiming to be
  799.   version 2.24 of the 800 II disk formatting program.  He did some testing,
  800.   disabling his hard drive from the CMOS and booting from a floppy.  When
  801.   he ran the program, it deleted all files on both drive A and drive B. His
  802.   information is that the latest version is v1.80.  The author, Alberto
  803.   Pasquale, is in Italy according to Isaac Salpeter (1:3612/210), so he is
  804.   a bit difficult for me to contact.  However, the behavior of the file Cal
  805.   found leads me to believe he has located a Trojan copy.
  806.  
  807.  
  808.   John Wagner (1:209/760), the author of IMPROCES, reports that his program
  809.   has been the victim of a Trojan version.  The Trojan is in a file called
  810.   IMPROC50.*, which is actually v3.1 of IMPROCES that has been "infected
  811.   with about 10 viruses" according to a report received by John.  John also
  812.   reports that his source said the file "waxed" a hard drive when it was
  813.   run.  For the record, the latest version of IMPROCES is 4.0, so avoid any
  814.   higher numbers.
  815.  
  816.  
  817.   Bryan Nylin (1:343/116) reports a Trojan version of SCAN95 that has the
  818.   SCAN.EXE file in the archive replaced with a SCAN.COM file.  Bryan says
  819.   this wipes out your boot sector and media descriptor byte, then
  820.   overwrites the FAT and data areas with a continuous stream of the string
  821.   "NOT!NOT!NOT!NOT!NOT!NOT!" (and so on).  Sounds like this was written by
  822.   a bored programmer who watched Wayne's World once too often.
  823.  
  824.   Note that this seems to be an isolated sighting:  McAfee did in fact
  825.   release a valid SCAN95.  They also released v94b, a beta test, but
  826.   skipped over that version number due to a report of a Trojan version
  827. | found in Mexico.  The latest official version is v99.
  828.  
  829.  
  830.   Bill Lambdin (1:343/35) forwards a message from Phil Helms of the
  831.   CircuitNET Virus Conference.  The file in question, ATTRUE.*, is listed
  832.   as "a DOS utility to change file attributes."  Instead, one of the
  833.   internal files (README.COM) deletes all .EXE and .COM files in your DOS
  834.   directory and tries to do the same to your .SYS and .BAT files in your
  835.   root directory.  Phil says it looks like another compiled .BAT file.
  836.  
  837.   Please note that Phil did _not_ run the actual program file in the
  838.   archive (i.e., ATTR.COM).  This program may be legitimate, and simply was
  839.   archived along with a Trojan README.COM file.  The safest way to avoid a
  840.   problem like this is to look inside any README.COM file with a file
  841.   viewer (such as PC Tools VIEW or Buerg's LIST) before you run it.  Most
  842.   of these will have readable text strings that look like documentation
  843.   inside them.  If yours doesn't, be careful with it.
  844.  
  845.  
  846.   Enoch Ceshkovsky (RIME Shareware Conference, address NSTTZ) found a file
  847.   called ENVIRED.* that claims to be a DOS Environment Editor.  However,
  848.   the copy that Enoch found was infected with a strain of the Family virus.
  849.   I'm not sure if the file is a legitimate program, since I'm not familiar
  850.   with it.  Either way, this is a single sighting:  the virus in it can be
  851.   detected by SCAN v93 or higher.
  852.  
  853.  
  854.   Michael Mac Nessa (1:2250/2) reported in the AMIGA_PDREVIEW echo on an
  855.   attack by a file called DW171.LHA.  This was described as "the best
  856.   directory utility" ever seen by the uploader.  The file claims to be a
  857.   program called DirWork, version 1.71.
  858.  
  859.   The program checked clean for viruses, so Michael ran it and got a grey
  860.   screen and nothing else.  After 30 seconds of this, he rebooted.  On
  861.   bootup, his dh0: drive started to access rapidly, and he was then asked
  862.   by his system for dh1:, a drive he didn't even have.
  863.  
  864.   Fortunately, his boot drive setup uses a different setup (not booting
  865.   from dh0), so his boot drive survived the attack.  However, his File:
  866.   hard drive was wiped out.
  867.  
  868.   I apologize if I have massacred Amiga terminology, so please correct me
  869.   via NetMail if I'm wrong on any of the drive names.  For the record,
  870.   however, this Trojan has been verified by the author of DirWork, Chris
  871.   Hames (via Robert Poole, 1:142/886).  The latest version is 1.62.
  872.  
  873.  
  874.   Michael Nelson (1:125/20) received a file called FAST!.*, an apparent
  875.   pirate of the commercial disk cache program FAST!.  However, upon further
  876.   inspection, this really looks like a Trojan.  The archive contains the
  877.   following files:
  878.  
  879.             NAME             SIZE     DATE  TIME
  880.             ------------------------------------
  881.             README   ANS      320 01/01/80 02:25
  882.             INSTALL  COM     1459 03/26/92 19:08
  883.             FAST     DAT    20927 03/26/92 19:14
  884.             FAST     TXT      588 03/26/92 19:00
  885.  
  886.   The text file says the installation is slow, since it has to check every
  887.   program on your hard drive.  A look inside the .COM file reveals the line
  888.   "REN fast.dat fast.com c: /q /u".  The FAST.DAT file contains lines that
  889.   lead one to believe that this is an MS-DOS FORMAT.COM file, with added
  890.   commands that will try and format all of your drives.  Both the
  891.   INSTALL.COM and the FAST.DAT file have gone through a batch file compiler
  892.   somehow, with the INSTALL.COM having a registration notice for the batch
  893.   file compiler.
  894.  
  895.   Although Michael didn't run the program (smart move), he does suspect a
  896.   serious Trojan here.  So do I.
  897.  
  898.  
  899.   Harold Stein (CompuServe address 72377,3075) forwards a report from a
  900.   SysOp in his area, Danny Swerdloff, about a file called JOKE.*.  The file
  901.   is described variously as either "the best fake FBI database joke
  902.   available," or "a very believeable hard disk crash simulator."  The
  903.   archive contains only two files:  JOKE.BAT and JOKE.DOC.  The doc file
  904.   reassures the user that the batch file is completely harmless.  However,
  905.   the batch file contains the following lines:
  906.  
  907.             c:
  908.             cd\dos
  909.             del keyboard.sys
  910.             format C:
  911.  
  912.   This is a rather amateurish Trojan, and can be easily thwarted by giving
  913.   your hard drive a volume label.  However, a better precaution is to
  914.   examine any strange batch file you are given before you run it, since
  915.   virus scanners do not look into batch files.  That way, if you see the
  916.   word FORMAT in one, you can delete it before it hits.
  917.  
  918.  
  919.   An update on #1BLAST, reported in the October issue of The Hack Report.
  920.   Rick Rosinski (1:239/1004) reports in the PDREVIEW echo that the SysOp
  921.   who was hit by it (Pete Kehrer) experienced some rather bad results from
  922.   it.  In short, it overwrites your COMMAND.COM file and replaces it with
  923.   the characters "///", and writes similar garbage over your config.sys and
  924.   autoexec.bat files.  It also creates several other files, all ASCII, with
  925.   characters like "////asdfasdf" in them.  (In case you're wondering, look
  926.   at the four keys on the left side of the home row of your keyboard - the
  927.   letters are "asdf" on a standard Qwerty keyboard.)
  928.  
  929.   This file at first looks like a real Apogee game - it even has Apogee's
  930.   catalogue in it.  It is easy to repair the damage, but it's a shame that
  931.   someone would want to do this to another person's system.
  932.  
  933.  
  934.   Bill Lambdin (1:343/45) forwards a message from Reidar Lilleboth (ILink
  935.   OS/2 Conference) about TEDP090.ZOO.  This appears to be an isolated
  936.   incident of a copy of the file being infected with the Maltese Amoeba
  937.   virus.  TEDP090 is a small OS/2 text editor.  If you see this file,
  938.   please scan it before running to make sure you have a clean copy.
  939.  
  940.  
  941.   HW Mikael Winterkvist (2:205/422) found a file named BREV.*, described as
  942.   "SysOps Sex Habits."  However, this is a "device bomb," which contains
  943.   the names of DOS devices in the archive.  Similar to a file reported in
  944.   the full report, this is aimed at your CLOCK$ device. When unarchived,
  945.   the CLOCK$ is opened, and about 50K worth of the letter A are written to
  946.   your system clock.
  947.  
  948. | Mikael now reports a new variant of this (filename not yet known) that
  949. | contains the files COM1.EXE and COM2.EXE.  One version of this wound up
  950. | connecting the target system to a board in Australia (an expensive call
  951. | from Sweden), and another version called up a board in the United States.
  952.  
  953.  
  954.   Paul Drapeau (1:322/594) reported in the FidoNet VIRUS_INFO echo a new
  955.   virus called Power Pump.  Normally, viruses by themselves are not
  956.   reported in The Hack Report/Update, but this is an unusual situation.
  957.   According to Paul's research, all droppers of this virus have a file in
  958.   their archives called POWER.EXE, with instructions to the user not to run
  959.   this file.  He does not understand the connection, but the virus will not
  960.   run without the POWER.EXE file.
  961.  
  962.   A few specifics on Power Pump:  it doesn't actually attach its code to
  963.   files, but uses the "corresponding file" technique.  It looks for .EXE
  964.   extension files, then creates a file with the same root name but with
  965.   a .COM extension.  Since DOS executes .COM files before .EXE files, the
  966.   viral file (1199 bytes long) is run first, where it executes the viral
  967.   code and passes execution on to the corresponding .EXE file.  The virus
  968.   also looks for empty directories:  if it finds one, it creates a hidden
  969.   file called COM (with no file extension) that contains the viral code.
  970.  
  971.   To date, Paul says the virus has been found in two archives (one of
  972.   SCAN89.ZIP and one of VSUMX204.ZIP).  These may have been localized
  973.   occurrences, but be on the lookout for any file with a POWER.EXE file in
  974.   the archive.
  975.  
  976.  
  977.   Dan Christman (1:520/519) reported that there is a version of TheDraw
  978.   that contains "several viruses." He says to watch for a file within the
  979.   archive called THEDRAW.PCK.  This file is only created after the program
  980.   is initially executed and is not part of the official archive.  Dan gave
  981.   no filename for this dropper, but be on the lookout for any archive that
  982.   already has a THEDRAW.PCK file in it.
  983.  
  984. | On this subject, Matt Weese (1:170/610) found an archive with the
  985. | THEDRAW.PCK file inside.  However, his copy (archive version 5.00) was
  986. | not infected - merely hacked.  Another sighting of the THEDRAW.PCK file
  987. | comes from Jesper Tragardh (2:200/109), who reported the TDRAW601 hack
  988. | listed in the Hacked Files section.
  989.  
  990.   Just for the record (once again), the latest official release of TheDraw
  991.   is v4.51.
  992.  
  993.  
  994.   Please be aware that the PKZip v2.0B hack reported in the hack section of
  995.   this report could be a Trojan.  According to the report filed in the
  996.   VIRUS_INFO echo by Fred Towner, the archive (an ARJ archive, no less(!))
  997.   had these files in it:
  998.  
  999.         PKZIP20B.EXE
  1000.         UNKNOWN.NFO
  1001.         MUSTREAD.COM (archived with PKLITE)
  1002.         WATCHME!.EXE (archived with PKLITE)
  1003.  
  1004.   Fred was wise enough not to try and run any of these programs, so Trojan
  1005.   activity has not been confirmed.
  1006.  
  1007.  
  1008.   Other previously reported Trojans/Droppers:
  1009.  
  1010.   Filename  Claimed use/Actual activity/Reporter(s)
  1011.   --------- -----------------------------------------------------------
  1012.   240TOMNP  Small file that trashes disks (no elaboration on symptoms).
  1013.             From Eric Pullen (USTGNET).
  1014.  
  1015.   ARJ240    Supposed "latest version" of the popular Archiver by Robert
  1016.             Jung (ARJ).  This is a dropper of the FISH virus, reportedly
  1017.             with a "secure envelope." Latest official version of ARJ is
  1018.             2.30, with an official wide beta release under filename
  1019.             ARJ239A.  Reported by Hazel Clarke (1:134/68) via Ken Miller
  1020.             (1:134/111).
  1021.  
  1022.   BACKFIND  Activity unknown, but has many obscene text strings in the
  1023.             executable that seem to indicate that it will trash your hard
  1024.             drive.  From Dan Stark (1:247/101).
  1025.  
  1026.   BILLNTED  No claim reported - begins its "bogus journey" with the message
  1027.             "Decompressing database, please wait......", then prints more
  1028.             messages and formats the first 50 tracks of your hard drive.
  1029.             From David Elkins (2:254/78).
  1030.  
  1031.   COMPILER  Claimed freeware version of Stacker - phone numbers in the text
  1032.             files are fake (one is a phone sex number).  Erases your
  1033.             COMMAND.COM file.  From several reporters.
  1034.  
  1035.   CORWP22   Isolated incident - Corewars game, with an executable
  1036.             (CORE.EXE) infected by the Dark Avenger virus.  From Gary
  1037.             Madison (2:259/22) and Howard Wood (address unknown).
  1038.  
  1039.   CSHOW900  Fake version of the CompuShow .GIF viewer - the .EXE file in
  1040.             the archive tries to truncate your COMMAND.COM file.  From Tim
  1041.             Spofford (1:105/99).
  1042.  
  1043.   CUBULOUS  No claim reported for this file - apparently contains a dropper
  1044.             of the REX virus (detected by SCAN v91 and higher).  Reported
  1045.             by Bill Arlofski in the CNET Spitfire Support Conference,
  1046.             forward by several through Mark Wurlitzer (1:294/9).
  1047.  
  1048.   CVIR      Advertised as a virus scanner - executable has the strings,
  1049.             "/Checking drive for VIRII/TROJANs.  Please wait.EHAHA  God
  1050.             your a ****ing moron.  YOU HAVE BEEN HIT BY A TROJAN!  HAHA".
  1051.             (String edited for family viewing.)  From Dan Stark
  1052.             (1:247/101).
  1053.  
  1054.   DOS501    Described as a beta of MS-DOS:  may contain a variant of the
  1055.             DISKILLER virus.  From Scott Scoville (1:282/3006).
  1056.  
  1057.   EPW27     Purported new version of EPW, a file that protects executables
  1058.             with an encrypted password.  Instead, this Trojan contains
  1059.             droppers of the ITTI-A, ITTI-B, and Rock Steady viruses.
  1060.             Latest official version is v1.2.  From Patrick Pfadenhauer
  1061.             (via Mark Evans, formerly 1:382/87).
  1062.  
  1063.   FONTS     Advertised as additional fonts for TheDraw - the FONTS.COM
  1064.             file in the archive is a compiled batch file that changes to
  1065.             your C: drive root directory and deletes all files within the
  1066.             root.  A legitimate FONTS archive exists as well.  From Glen
  1067.             Appleton (1:260/371) via Arthur Shipkowski (1:260/213.2).
  1068.  
  1069.   FREEHST   ANSI bomb - remaps your keyboard, making some keys invoke the
  1070.             FORMAT command.  Described as how to get a free HST modem
  1071.             (steal one, it advises).  Avoid by using an ANSI driver that
  1072.             disables keyboard remapping.  From Tom Ward, SysOp of the BCS
  1073.             TI99 BBS (617-331-4181), via Herb Oxley (1:101/435).
  1074.  
  1075.   GREYSCAL  Claims to be a monitor adjustment utility - actually a dropper
  1076.             - infects files on your hard drive with the FISH virus through
  1077.             the README.EXE file in the archive.  Not detectable by any
  1078.             scanner.  From Bill Logan (1:300/22).
  1079.  
  1080.   MOBYZ     Does "a number on your hard drive" - no further details given,
  1081.             but apparently confirmed by McAfee.  From Michael Masters,
  1082.             SysOp of the Conceptual CAD Design BBS (Tempe, AZ) via Mark
  1083.             Evans (formerly 1:382/87).
  1084.  
  1085.   MONOP3-0  Supposed to be Monopoly for Windows.  Contains FORMAT.COM from
  1086.             DOS 4.01 and STACKEY v2.1 (renamed as MONOP1.COM and
  1087.             MONOPOLY.COM and invoked by a batch file called README!!.BAT).
  1088.             Will try and format your hard drive - a volume label on your HD
  1089.             will thwart this one.  From Derek Vanmunster (1:229/418).
  1090.  
  1091.   NPV2      The "Non-Programmer's Virus" - a claimed aid to testing
  1092.             anti-viral programs.  Contains an infected copy of Vern Buerg's
  1093.             LIST.COM.  From Michael Kerr (1:309/7).
  1094.  
  1095.   Obnoxious "Tetris" clones for the Macintosh - actually droppers of the
  1096.     Tetris  MBDFA virus.  Via Paul Ferguson (1:109/229) in the VIRUS_INFO
  1097.   Tetris-   echo.
  1098.     cycle
  1099.   Ten Tile
  1100.     Puzzle
  1101.  
  1102.   OCEAN     From the BBS description: "Wonderful Game, Reward for the
  1103.   PLANTS    person who conquers it 1 time, Good luck, how does 30,000
  1104.   RAINBOW   bucks sound to you if you break the pattern, try this game, it
  1105.             is wonderful, waht a challenge, bet you can't break the
  1106.             pattern. $50, 000 if you do it twice."  Actually a compiled
  1107.             batch file that tries to erase all files on your C: drive.
  1108.             From Richard Dale (1:280/333).
  1109.  
  1110.   PROTOFIX  Possible isolated incident of a patch file for RBBS that claims
  1111.             to correct a "flaw" in RBBS - may destroy your hard drive's FAT
  1112.             and wipe out files.  From Richie Molinelli, via HW Ken Whiton.
  1113.  
  1114.   PSI3      Passing itself as the LHA Archiver, version 3.00.  It destroys
  1115.             your partition table, boot sector, and parts of FAT 1 and FAT
  1116.             2.  From Nemrod Kedem (2:403/138).
  1117.  
  1118.   QUICKEYS  Claims to increase keyboard speed - turns out to be the actual
  1119.             executable file of the BURGER virus.  The virus file is called
  1120.             QUICKEYS.COM and is 542 bytes long.  This is not to be confused
  1121.             with the PC Magazine Utility of the same name.  Reported by Jay
  1122.             Siegel (1:153/151).
  1123.  
  1124.   RAMBO     Contains files with the names of DOS devices that are affected
  1125.             when the archive is viewed or unpacked.  Reported by Michael
  1126.             Toth (1:115/220).
  1127.  
  1128.   RANEW_16  Isolated incident - 12k larger than real version, causes damage
  1129.             to RemoteAccess BBS systems.  From HW Nemrod Kedem.
  1130.  
  1131.   SCAN87    Suspected of Trojan activity, but not confirmed.  The latest
  1132.   SCAN88    official release is SCAN99.  Reported by several.
  1133.   SCAN94
  1134.   SCAN96
  1135.  
  1136.   SHIELD20  Claims to protect you from Trojans, but are possible Trojans
  1137.   SHIELD21  themselves.  From Jim Lambert (CircuitNet) via HW Ken
  1138.             Whiton and via Michael Toth (1:115/220).
  1139.  
  1140.   SPARKS    Possible isolated incident - contains the ICE-9 virus.  From
  1141.             Brian Sterrett (2:255/34).
  1142.  
  1143.   TG27FAST  Trojan "speed-up" for Telegard 2.7 - damages disks to the
  1144.             extent that they require reformatting.  From Eric Pullen
  1145.             (USTGNET) via Robert Hinshaw (1:291/16) and Eric Kimminau
  1146.             (1:120/335).
  1147.  
  1148.   TGCHAT21  Fake Telegard Chat utility - tries to format part of your
  1149.             hard drive.  From Rajeev Seth (1:250/328) and Todd Clayton
  1150.             (1:259/210)
  1151.  
  1152.   TGSEC16   Trojan version of Telegard Security Package - both executables
  1153.             in the archive will infect your system with the Dark Avenger
  1154.             virus, and the text files show you how to ease access to your
  1155.             system by hackers instead of prevent access.  By Scott Raymond,
  1156.             author of the real package (latest official version is
  1157.             TGSEC17.*).
  1158.  
  1159.   TIME      Several files reported under this name - one dropper, one
  1160.             Trojan.  Be wary of any file with this name.
  1161.  
  1162.   TMFIX     Claims to fix a problem with the dialing directory used by the
  1163.             communication program Telemate.  Formats your hard drive (or at
  1164.             least part of it) instead.  Reported by Brian Hess (WildNet),
  1165.             via HW Ken Whiton.
  1166.  
  1167.   VGA835    Claimed VGA game - wipes out your hard drive.  From Gary Meade,
  1168.             SysOp of the Tiger Run BBS in Sioux Falls, SD, via HW
  1169.             Ken Whiton.
  1170.  
  1171.   VIRTUAL   Supposed to be a virtual reality game.  One file in the archive
  1172.             has the string, "This bombing was   compliments of A.C.K. and
  1173.             its affiliates."  Trashes hard drives.  Possible isolated
  1174.             incident.  From Dan Stark (1:247/101).  See also ??Questionable
  1175.             Files?? section.
  1176.  
  1177.   VPIC47    One circulating version of this seems to contain the Dark
  1178.             Avenger virus, "split" so that no scanner can pick it up.
  1179.             Get the latest version of VPic, VPIC50, to avoid this.  From
  1180.             Tim Tim Sawchuck and Jeff Simmons in the WildNet VIRUSES_MN
  1181.             conference.
  1182.  
  1183.   WHALE     Not a VGA graphic of a whale as described, but the actual WHALE
  1184.             virus.  From Dan Stark (1:247/101).
  1185.  
  1186.   WLFCHEAT  Claims to be a "cheat" file for the Apogee/Id game
  1187.             Wolfenstein-3D.  Actually wipes out your hard drive's boot
  1188.             sector and trashes the File Allocation Tables.  Not to be
  1189.             confused with WLF1CHT, a legitimate "cheat" file written by
  1190.             Michael P. Hoffman.  Reported by R. Wallace Hale, SysOp of the
  1191.             Driftnet BBS (PC Virus Research Foundation), via Clayton Manson
  1192.             (1:3612/140).
  1193.  
  1194.   ZAPPER15  PSI3, mentioned above, recommends an "antivirus" program
  1195.             called ZAPPER15.* to remove a virus called "PSQR".  ZAPPER15
  1196.             is another Trojan which overwrites your hard disk's boot sector
  1197.             with random garbage data from memory.  It contains no viral
  1198.             code.  Also from Nemrod Kedem (2:403/138)
  1199.  
  1200.   =========================================================================
  1201.  
  1202.                         Pirated Commercial Software
  1203.  
  1204.   Program                 Archive Name(s)     Reported By
  1205.   -------                 ---------------     -----------
  1206.   4D Boxing (game)        4DBOX-1             Jason Sabshon (Internet,
  1207.                           4DBOX-2             jsabshon@mindvox.phantom.com)
  1208.  
  1209. | 4th and Inches          4TH                 Jason Sabshon (Internet,
  1210. |  (Accolade game)                            jsabshon@mindvox.phantom.com)
  1211.  
  1212.   4X4 off-road racing     4X4                 Jon Jasiunas (WildNet, via
  1213.    (Epyx)                                      HW Ken Whiton)
  1214.  
  1215.   Above Disk v3.00A       EXP-MEM             Dale Woloshin (1:163/211.3)
  1216.                                                and Wolfgang Fritz
  1217.  
  1218.   Alf and the Alley Cats  ALF                 Bill Dennison (1:273/216)
  1219.  
  1220. | AMI Diag v4.0           AMIDIAG4            Dan Westlake (Intelec
  1221. |                                              Shareware Conference, via
  1222. |                                              Bill Lambdin (1:343/45))
  1223.  
  1224.   Amiga ARexx Manual      AREXXMAN            HTom Trites (1:282/62),
  1225.    (Verified by William Hawes, author)         via Derek Oldfather
  1226.  
  1227.   Arkanoid II:            ARK                 Jack Cross (1:3805/13)
  1228.     Revenge of DoH
  1229.  
  1230.   ASQ v2.0 (Qualitas)     ASQ20               HW Nemrod Kedem
  1231.    (Note - unlike previous releases of ASQ,
  1232.     ASQ v2.0 is not shareware.)
  1233.  
  1234.   Backgammon Royale       BGROYALE            Shakib Otaqui (2:440/74)
  1235.                           BGROYDOX
  1236.  
  1237.   Bargames                BARGAMES            Scott Lewis (1:107/607)
  1238.    (game from Accolade)
  1239.  
  1240.   Battle Chess            BCHESS              Bill Roark (RIME, via
  1241.                                                HW Richard Steiner)
  1242.  
  1243.   Battle Chess for        BCWIN1              Harold Stein
  1244.    Windows                BCWIN2               (CompuServe, 72377,3057))
  1245.  
  1246.   BeetleJuice (game)      BJUICE              Alan Hess (1:261/1000)
  1247.                           BJ                  Bill Blakely
  1248.                                                (RIME Shareware echo)
  1249.                           BTLJWC              the Hack Squad
  1250.                                                (1:382/95)
  1251.  
  1252.   BitCom                  BITCOM              Jason Sabshon (Internet,
  1253.                                               jsabshon@mindvox.phantom.com)
  1254.  
  1255.   BitFax                  BITFAX              Jason Sabshon (Internet,
  1256.                                               jsabshon@mindvox.phantom.com)
  1257.  
  1258.   BitFax 1.22B            Unknown             Antonio Rezende (RIME)
  1259.  
  1260. | BLAST Comm Package      BLAST-1             Harold Stein, via
  1261. |  (US Robotics)          BLAST-2              HW Richard Steiner
  1262.  
  1263.   Blockout                BLOCKOUT            Bill Lambdin (1:343/45)
  1264.    (California Dreams)
  1265.  
  1266.   Catacomb 3-D            CAT3D               Jason Culler (1:261/1000)
  1267.  
  1268. | Check It v2.0           CHKIT20             Bill Lambdin (1:343/45)
  1269.  
  1270.   Chessmaster 2000        CHSMSTR             David Silver (2:2405/12)
  1271.  
  1272.   Commander Keen          #2KEEN              Steve Hodsdon (1:132/199)
  1273.    (parts 2 and 3)        #3KEEN              Harold Stein
  1274.                                                (via Ken Whiton, 1:132/152)
  1275.    (part 5)               #5KEEN              John Van Eekelen (2:500/228)
  1276.  
  1277.   Crystal Caves pt. 2     CRYSTL-2            John Van Eekelen
  1278.    (Apogee)
  1279.  
  1280.   Desert Storm (Windows)  DSTORM              Bill Roark (RIME, via
  1281.                                                HW Richard Steiner)
  1282.  
  1283.   Die Hard (game)         DIEHARD             Harold Stein
  1284.  
  1285.   DiskDupe Professional   DDPRO339            John Van Eekelen
  1286.  
  1287.   Disk Manager 5.0        DM50                Philip Perlman (1:278/709)
  1288.  
  1289.   Double Disk             DDISK214            Ronald McGill (1:167/149)
  1290.  
  1291.   DoubleDos v5.5          DDOS55              Ove Lorentzon (2:203/403.6)
  1292.  
  1293.   DSZ (registered)        DSZ0503R            HW Nemrod Kedem
  1294.  
  1295.   Duke Nukem parts 2 & 3  DUKEZIP2.EXE        Steve Hodsdon (1:132/199),
  1296.                           #2DUKE              Craig Demarsh (1:260/213),
  1297.                           DUKEZIP3.EXE        and Hal Thompson (1:353/220)
  1298.                           DUKETRIL            Harold Stein (WildNet)
  1299.    (also under various other names - only the first game in the trilogy
  1300.     is shareware:  #2 & #3 are for registered users only and are pirated.)
  1301.  
  1302.   Duke Nukem (registered) DNUKEM              Jason Sabshon (Internet,
  1303.                                               jsabshon@mindvox.phantom.com)
  1304.  
  1305.   Dune (game)             DUNEFLT1            Michael Toth (1:115/220)
  1306.                           DUNEFLT2
  1307.                           DUNEFLT3
  1308.  
  1309.   Eagle's Nest (game)     EAGLE               Mike Headley (1:362/112)
  1310.                                               Frank R Pizer (5:71/0)
  1311.  
  1312.   EMM386                  EMM386              Jeff Hancock (1:3600/7)
  1313.                                               George Staikos
  1314.                                                via Mark Evans (1:382/87)
  1315. |                                             Thomas Ryan (1:228/28)
  1316.                           EMM441              John Van Eekelen
  1317.                           EMM445              Dennis Moore (1:123/81)
  1318.  
  1319.   Fatal Challenge         FATAL               Mark Visser (1:221/76)
  1320.  
  1321.   Fastback Plus v2.0      FBPL200             Bogie Bugsalewicz (1:115/738)
  1322.  
  1323.   Flashlink MNP Emulator  FLASHLNK            Several
  1324.                           FLINK               Jason Sabshon (Internet,
  1325.                                               jsabshon@mindvox.phantom.com)
  1326.  
  1327.   Gauntlet (game)         GAUNTLET            Cimarron Mittlesteadt
  1328.                                                (via Ken Whiton, WildNet)
  1329.  
  1330.   GIFLite v1.40           GIFLT14R            Stephen Kawamoto
  1331.    (Registered Version)                        (1:153/7004)
  1332.  
  1333.   GSZ                     GSZ0410             Arthur Taber (1:125/28)
  1334.                                                (via Stuart Kremsky)
  1335.                           GSZ1214R            Harold Stein,
  1336.                                                via HW Ken Whiton
  1337. |                         GSZ611R             Scott Raymond (1:278/624)
  1338.    NOTE: GSZ is a shareware program,
  1339.    but these particular archives were
  1340.    the registered versions.
  1341.  
  1342.   Harmony (game)          EMOTION             John Van Eekelen
  1343.  
  1344.   HIMEM.SYS (from         HIMEM307            John Van Eekelen
  1345.    Microsoft)
  1346.  
  1347. | Home Lawyer             HOMELAWY            Kim Miller (1:103/700)
  1348.  
  1349. | Hunt for Red October    HUNTRED             Ted Sanft (1:282/1012)
  1350.  
  1351.   IronMan off-road racing IRONMAN             Jon Jasiunas (WildNet, via
  1352.                                                HW Ken Whiton)
  1353.  
  1354.   The Jetsons (game)      JETSONS             Harold Stein
  1355.  
  1356.   Jill of the Jungle      JILL2               Harold Stein
  1357.    (non-shareware files)  $JILL2              HW Bert Bredewoud
  1358.                           $JILL3
  1359.  
  1360.   Kiloblaster             $KILO2              HW Bert Bredewoud
  1361.     (Missions 2 and 3)    $KILO3
  1362.  
  1363.   LotusWorks v1.0         LWORKS              Brian Luker (1:167/149)
  1364.  
  1365.   Mac-in-Dos              CLINK               Arthur Taber (1:125/28)
  1366.                      (not the SEALink protocol)
  1367.                           MAC-DOS             Ron Bass (1:128/13.3)
  1368.                                               Leslie Meehan, original
  1369.                                                reporter (unknown)
  1370.                           MACON-5             Kimberly Avery (1:324/278)
  1371.  
  1372.   Microsoft Mouse Driver  MOUSE810            Bat Lang (1:382/91)
  1373.  
  1374. | Mah Jongg for Windows   MJWIN               Bill Lambdin (1:343/45)
  1375.    (registered)
  1376.  
  1377.   Monopoly                MONINC              Chris Nelson
  1378.                           MONOPOLY            Jason Sabshon (Internet,
  1379.                                               jsabshon@mindvox.phantom.com)
  1380.  
  1381.   MS-DOS 6.0 Beta         DOS6BETA            Chris Astorquiza (1:250/316)
  1382.                           DOS60B-1            Michael Toth (1:115/220)
  1383.                           DOS60B-2
  1384.                           DOS60B-3
  1385.                           DOS60B-4
  1386.  
  1387.   MTE MNP Emulator        4800BAUD            George Staikos,Trenton,ON,
  1388.                                                via Mark Evans (1:382/87)
  1389.                           MNPEMUL             Larry Dinkoff (1:115/622)
  1390.                           MTE215              Bat Lang (1:382/91)
  1391.                           MTE210E
  1392.                           MTE210F
  1393.                           MTE210G
  1394.                           MX5                 Wolfgang Fritz
  1395.                                               Verified by Steve Lieberman
  1396.                                                of MagicSoft, Inc.
  1397.                           MX6
  1398.  
  1399.   MTEZ (MagicSoft)        MTZ115B1            Kim Miller (1:103/700)
  1400.  
  1401.   Nederlandse Spoorwegen  NS9293              John Van Eekelen
  1402.    (Dutch Railroad        NS_92_93
  1403.     System Info Book)
  1404.  
  1405.   Nightmare on Elm        FREDDY              Chris Nelson (1:238/500)
  1406.     Street (game)
  1407.  
  1408.   Off-Line Express v2.2   OLX22               Jason Sabshon
  1409.     (registered)
  1410.  
  1411.   Optune                  OPTUNE              Bat Lang (1:382/91)
  1412.                           OPTUNE11
  1413.                           OPTUNE12            Jeff Dunlop (1:203/16)
  1414.                           OPTUNE13            Michael Toth (1:115/220)
  1415.  
  1416.   Paganitzu part 2        #2PAGA              Harold Stein
  1417.                                                (via Ken Whiton, 1:132/152)
  1418.  
  1419.   Paperboy (Game)         PAPERBOY            Carlos Bazan (1:102/753)
  1420.  
  1421.   PC-Hooker               PCHOOKER            Larry Dinkoff (1:115/869)
  1422.    (Brown Bag Software)
  1423.  
  1424.   Physician's Desk        PDR-1               Bret Dunning (1:123/85)
  1425.     Reference             PDR-2
  1426.                           PDR-3
  1427.                           PDR-4
  1428.  
  1429.   PKLite Professional     PKLT_PRO            Eric Vaneberck (2:291/712)
  1430.    Version 1.13
  1431.    Version 1.20           PKL120R             HW Bert Bredewoud
  1432.                           PKLT120R            Jason Sabshon (Internet,
  1433.                                               jsabshon@mindvox.phantom.com)
  1434.  
  1435.   PMCamera (IBM)          PMCAMERA            Jan Scoonenberg(2:512/4.1080)
  1436.                                                via HW Matt Kracht
  1437.  
  1438.   Print Shop              PRINTSHP            Harold Stein
  1439.  
  1440.   Print Shop Deluxe       PSDLX1              Harold Stein
  1441.                           PSDLX2
  1442.                           PSDLX3
  1443.  
  1444.   QEdit 2.15 (registered) QED215R             Jason Sabshon (Internet,
  1445.                                               jsabshon@mindvox.phantom.com)
  1446.  
  1447. | QEMM v6.02              QEMM602             Jason Sabshon
  1448.  
  1449.   QModem 5.0              QM50                Daniel Hagerty (1:208/216)
  1450.                           QMODEM50            Larry Owens (1:280/87)
  1451.                           QMODEM1             Jon Jasiunas (WildNet, via
  1452.                           QMODEM2              HW Ken Whiton)
  1453.                           QMODEM3
  1454.                           QMODEM4
  1455.  
  1456.   Quicken 4.0             QUICKEN4            Wes Meier, the WCBBS,
  1457.                                                via Joe Morlan
  1458.  
  1459.   Rambo (game)            RAMBO               Cimarron Mittlesteadt
  1460.                                                (via Ken Whiton, WildNet)
  1461.  
  1462.   Rampage (game)          RAMPAGE             HW Bill Dennison
  1463.  
  1464.   Red Baron game          unknown             Nolan Taylor (1:157/537)
  1465.     (by Dynamix)
  1466.  
  1467.   Reversi (Win3 file)     REVERSI             Wes Meier, the WCBBS,
  1468.                                                via Joe Morlan
  1469.  
  1470.   Robin Hood (game)       ROBNHOOD            HW Bill Dennison
  1471.  
  1472.   SimCGA                  SIMCGA40            Joe Morlan (1:125/28)
  1473.                           SIMCGA41
  1474.    NOTE: SimCGA went commercial with release 4.0, according to the
  1475.    publisher (via Joe Morlan).  Versions prior to this were copyrighted
  1476.    free programs.
  1477.  
  1478.   SimCity (by Maxis)      SIMCITY             Mark Visser
  1479.                           SHRCTY-1            Richard Steiner,
  1480.                           SHRCTY-2             HW
  1481.  
  1482.   Smartdrive Disk Cache   SMTDRV40            Michael Toth (1:115/220)
  1483.  
  1484.   Solitare (Win3 file)    SOLITARE            Wes Meier, the WCBBS,
  1485.                                                via Joe Morlan
  1486.  
  1487.   Solitare Royale         SOLITRYL            Dan Brady (1:282/108)
  1488.                           SOLIT               Bud Webster (1:264/165.7)
  1489.  
  1490.   Sourcer disassembler    SOURCER             Bill Lambdin (1:343/45)
  1491.  
  1492.   Space Quest (game by    SQUEST1             Chris Nelson
  1493.     Sierra On-Line)
  1494.  
  1495. | Spear of Destiny        SODINC1             Mario Degryse (2:291/1600)
  1496. |                         SODINC2              verified by Jay Wilbur,
  1497. |                         SODINC3              Id Software (1:124/6300)
  1498.  
  1499.   Spidey (game)           SPIDEY              Brian Henry (ILink,
  1500.                                                via Richard Steiner,
  1501.                                                 HW
  1502.  
  1503.   Spot (7-Up game)        SPOT                Steve Hodsdon (1:132/199)
  1504.                           COOLSPOT            Jason Arthurs (WildNet,
  1505.                                                via HW Ken Whiton)
  1506.  
  1507.   Squish 2.1              SQUISH21            Several
  1508.                                                (verified by Joe Morlan)
  1509.  
  1510.   Squish Plus 2.01        SQUISH21            Stephen Kawamoto
  1511.    (Sundog Software)                           (1:153/7004)
  1512.  
  1513.   StormLord               STRMLORD            Mark Visser (1:221/76)
  1514.    (game)
  1515.  
  1516.   Supaplex                Unknown             Kevin Donald (1:123/54)
  1517.                                               Rick Rosinski (1:239/1004)
  1518.                                               Dennis Matney (1:230/12)
  1519.  
  1520.   SuperStor               SSTOR204            John Van Eekelen (2:500/228)
  1521.  
  1522.   System Control          PCSSCC              Ken Whiton, HW
  1523.    Commander (from
  1524.    PC Sources Mag)
  1525.  
  1526.   Tetris (the original)   #1TETRIS            Harold Stein (WildNet)
  1527.  
  1528.   The Bard's Tale pt. 3   BARDS-1             Chris Nelson (1:238/500)
  1529.    (game)                 BARDS-2
  1530.  
  1531.   Tidbits                 TIDBITS             Art Taber
  1532.    (game? from Softdisk)                       via Stuart Kremsky
  1533.                                                 (1:125/28)
  1534.  
  1535.   Times of Lore (game)    LORE                Chris Nelson
  1536.  
  1537.   Toobin' (game)          TOOBIN              Joseph Lowe (1:387/1201)
  1538.  
  1539.   Top Gun                 TOPGUN              Cimarron Mittelsteadt
  1540.                                                (WildNet, via Ken Whiton)
  1541.  
  1542.   Tunnels of Armageddon   TUNNELS1            Wolfgang Fritz (1:249/140)
  1543.                           TUNNELS2
  1544.  
  1545.   UTscan                  UTSCAN              Bill Lambdin (1:343/45)
  1546.    (part of the Untouchable package by Fifth Generation Systems)
  1547.  
  1548.   VGA-Copy v4.6           VGACPY46            Bert Bredewoud (2:281/703)
  1549.    (Registered Copy)
  1550.  
  1551.   Virex-PC                VIREX               Wes Meier, via Joe Morlan
  1552.                           VIREX1              Glenn Jordan (1:3641/1.201)
  1553.                           VIREX2
  1554.  
  1555.   Virhunt 2.0             VIRHUNT2            Bill Lambdin (1:343/45)
  1556.                           VRHUNT20
  1557.  
  1558.   Virus_Safe              VSCHECK             Bill Lambdin (1:343/45)
  1559.  
  1560.   Wolfenstein-3D          WOLFSINC            Jeff Kaplow (1:120/364)
  1561.    (Non-Shareware modules)
  1562.  
  1563.   =========================================================================
  1564.  
  1565.                       ?????Questionable Programs?????
  1566.  
  1567. | Glenn Jordan verifies that a file called VIREX30 (reported by someone
  1568. | whose name I didn't catch - if you're reading this, please correct me!)
  1569. | is not a legitimate file.  He has not seen it, so he is not sure if it is
  1570. | a hack of the commercial Virex-PC, or a hoax of the shareware VIRx
  1571. | program.  (Glenn works for the company that produces both.)  In the
  1572. | latter case, the latest official release of VIRx is version 2.5.
  1573.  
  1574.  
  1575. | Jeff Hancock (1:3600/7) forwarded a thread from the C-GAMING echo (net
  1576. | unknown) about a "demo" version of the Lemmings! game.  This demo, in
  1577. | excess of 500k archived, is said to have more than the three levels that
  1578. | the real demo has.  The real demo is about 250k archived.  Warren
  1579. | Zatwarniski (1:140/44) confirms the "crack," presenting documentation
  1580. | from the file that mentions the alias of the group that cracked it.
  1581. |
  1582. | Do be aware that at least 2 legitimate demos of Lemmings! have been
  1583. | released, one using the same filename as the crack.  To tell the
  1584. | difference, look for text files in the archive that mention "trainers" or
  1585. | other such copy-protection bypass schemes.
  1586.  
  1587.  
  1588.   James FitzGibbon (1:250/428) forwarded a message from a local SysOp
  1589.   conference about a potential problem with a file that came down the
  1590.   Utilnet and SOFTDIST file distribution networks.  The file, Vern Buerg's
  1591.   LIST v7.7a, came through both nets, but the file sizes were different.
  1592.   Here is an excerpt of James' message:
  1593.  
  1594.     The 2 versions contain the same FILES, but not the same internal
  1595.     sizes. 4 files are different in the 2 versions.
  1596.  
  1597.       NAME             SIZE     DATE  TIME   LENGTH  METHOD
  1598.       =======================================================
  1599.       In the one from Softdist these 4 files are:
  1600.       ARCE     DOC     4048 04/12/92 04:10    12165  IMPLOD
  1601.       FV       DOC     2711 03/10/92 01:40     7323  IMPLOD
  1602.       LIST     DOC    28839 10/07/92 07:07    99429  IMPLOD
  1603.       LISTMOD  DOC     5829 10/07/92 07:07    19472  IMPLOD
  1604.  
  1605.       In the one from UtilNet these 4 files are:
  1606.       ARCE     DOC     3868 04/12/92 04:10    11829  COMP1
  1607.       FV       DOC     2571 03/10/92 01:40     7144  COMP1
  1608.       LIST     DOC    26814 10/07/92 07:07    96308  COMP1
  1609.       LISTMOD  DOC     5590 10/07/92 07:07    18802  COMP1
  1610.  
  1611.     Note the LENGTH Column is actual size, SIZE is the compressed size.
  1612.  
  1613.   I have contacted James for further information about the file that came
  1614.   through SOFTDIST.  It seems that it may have been altered in transit,
  1615.   possibly accidentally.  In the meanwhile, I have verified that the
  1616.   version that came through Utilnet matches the version posted on Vern
  1617.   Buerg's official BBS.
  1618.  
  1619. | HW Ken Whiton received a message from Phillip Mann over the WildNet about
  1620. | the differences in the documentation sizes.  Phillip contacted the folks
  1621. | at Mr. Buerg's headquarters, who were unaware of any size differences
  1622. | until they looked at their own copies:  apparently, the LIST.DOC file in
  1623. | the registered archive is 99429 bytes, the shareware version is 96308,
  1624. | and the version on their own BBS is 91203 bytes.  The Buerg
  1625. | representative couldn't explain the differences, Phillip says, but
  1626. | Phillip was assured that all three were "OK."
  1627.  
  1628.   In summary, LIST 7.7a is legitimate, but there may be an isolated
  1629.   incident of a truncated archive out there.  Please forward any
  1630.   information you may have on this.
  1631.  
  1632.  
  1633.   Michael Toth (1:115/220) reports that he has a copy of the VIRTUAL file
  1634.   listed in The Trojan Wars section of this report.  His copy is a Virtual
  1635.   Reality demo, and is not infected or dangerous.  He was unable to find
  1636.   the text strings (mentioned above) in his copy.  Sounds like the Trojan
  1637.   version might be an isolated incident.
  1638.  
  1639.  
  1640.   Cory Daehn (1:395/12) reports in the FidoNet PDREVIEW echo that there are
  1641.   three versions of our old friend XTRATANK.  A recent message circulating
  1642.   in FidoNet about XTRATANK placing a two-part virus (half when installed,
  1643.   half when uninstalled) on your HD is true for the third version of
  1644.   XTRATANK, according to Cory.  I have not seen this version, nor have I
  1645.   received any file sizes to compare to the version I sent to Bill Logan.
  1646.   However, I will report these when received.
  1647.  
  1648.  
  1649.   HW Matt Kracht forwarded a message from Stu Turk in the DR_DEBUG
  1650.   echo about possible Trojans going around as PKZIP 2.21 and/or 2.22.  Stu
  1651.   also says that there is a warning about these in circulation.  If you
  1652.   have a copy of this warning, please send a copy to Hack Central Station
  1653.   (1:382/95).
  1654.  
  1655.  
  1656.   On the game front, some official information about which Apogee releases
  1657.   are shareware.  According to Jay Wilbur (1:124/6300) of Id Software,
  1658.   episodes 1 and 4 of Commander Keen, along with the demo version of
  1659.   episode 6 are distributable, as is episode 1 of Wolfenstein 3-D.  Other
  1660.   versions of these games are not supposed to be posted for download.
  1661.  
  1662.  
  1663.   Jan Welch (1:382/87) has reported in the FidoNet VIRUS echo a file called
  1664.   W3DEDIT.ZIP, which she claims is a Trojan that will attack your hard
  1665.   drive's boot sector.  At first glance, this looks like a renamed
  1666.   WLFCHEAT, but I can't be sure.  I've sent NetMail for more information,
  1667.   so be on the lookout and report anything you know about it, if you would.
  1668.  
  1669.  
  1670.   Steve Klemetti (1:228/19) has found an archive of the Apogee game
  1671.   Paganitzu (#1PAGA.ZIP) that may either be a hack or a corrupted archive.
  1672.   The file size is 281K, and the .EXE file within is 8K (vs 11K for the
  1673.   official archive.  Steve says the opening screens go by "too fast," then
  1674.   the program puts your hard drive in "a constant seek mode." The file
  1675.   passed viral scanning.  Like I said, this could just be a corrupt
  1676.   archive, but you never know.  Just be on the lookout for an archive that
  1677.   meets these specs, and avoid it.  The real thing is a pretty decent game,
  1678.   though, according to my 6-year old son, so don't avoid _all_ #1PAGA.*
  1679.   files just because of a bad version.
  1680.  
  1681.  
  1682.   BiModem is the subject this time, but the situation doesn't quite fit
  1683.   into any of the other categories of this report.  A few users have seen a
  1684.   version called BIMOD125.* floating around, and wondered if it was a hack.
  1685.   Steve Baker (1:114/116.0) called the support BBS and verified your Hack
  1686.   Squad's information: v1.25 is a closed beta.  Version 1.24 is the latest
  1687.   public release.  This information was also verified by the Hack Squad (in
  1688.   lurk mode over in the BIMODEM echo) through a message posted by Michael
  1689.   Ingram (1:114/151).  In short, if you see BIMOD125, delete it - it's a
  1690.   beta that shouldn't be out yet.
  1691.  
  1692.  
  1693.   Yet another one that doesn't seem to fit anywhere is a Windows program
  1694.   called WinSpeed.  Bill Eastman (1:382/35) relayed a message from Alan
  1695.   Zisman (1:153/9) in the WINDOWS echo about this file, and Piyadaroon
  1696.   Kalayanamit (1:382/87) quickly cleared the confusion.  Apparently, there
  1697.   are _two_ different programs called WinSpeed: one is a commercial package
  1698.   of Windows video drivers, which should not be posted for download on any
  1699.   BBS.  The other is a small utility that will report your system speed
  1700.   from within Windows, and is a legitimate shareware file.
  1701.  
  1702.   James Brown (1:266/22.0) has reported in the WINDOWS echo that the
  1703.   shareware WinSpeed has been renamed to WINDSOCK.  According to James, the
  1704.   author(s) took the original off of CompuServe, renamed it, and
  1705.   resubmitted it.  Hopefully, this will ease the confusion, but there
  1706.   _will_ be copies floating around under the old name.  So, be careful with
  1707.   this one.  If you get a copy of the video driver file from someone,
  1708.   delete it: it is not shareware.
  1709.  
  1710.  
  1711.   Finally, several people have been wondering whether a shareware version
  1712.   of XTreeGold has been released.  According to XTree Support (in the XTREE
  1713.   forum on CompuServe), the last shareware release of XTree was version
  1714.   2.00E (XTREE20E).  This is _not_ XTreeGold: in fact, no shareware release
  1715.   of XTreeGold has ever been made.  It is unclear as to whether a copy of
  1716.   XTreeGold has spread beyond the "pirate boards," but this much is clear:
  1717.   if you receive a version later than 2.00E that is described as shareware,
  1718.   delete it.  It's pirated.
  1719.  
  1720.   =========================================================================
  1721.  
  1722.                             Information, Please
  1723.  
  1724.   This the section of The Hack Report, where your Hack Squad asks for
  1725.   _your_ help.  Several reports come in every week, and there aren't enough
  1726.   hours in the day (or fingers for the keyboards) to verify them all.  Only
  1727.   with help from all of you can The Hack Report stay on top of all of the
  1728.   weirdness going on out there in BBSLand.  So, if you have any leads on
  1729.   any of the files shown below, please send it in: operators are standing
  1730.   by.
  1731.  
  1732.  
  1733. | First, an update on a file reported in the second update to the November
  1734. | full report.  Bill Lambdin (1:343/45) reported a "working copy" of
  1735. | Microsoft's Visual Basic on a local BBS.  The two files were over 1meg
  1736. | each, so they seemed a bit suspicious.  However, Margaret Romao
  1737. | (1:3603/150) reports that the working demo is a file which does
  1738. | everything that the real program does except create executable files.
  1739. | She also says that the file has been around for some while now.  Mark
  1740. | Allan (1:259/431) verifies this, having seen it on Microsoft's BBS.
  1741. | Thanks for the clarifications, folks - that's what this report is all
  1742. | about!
  1743.  
  1744.  
  1745. | Now, for this month's "help wanted" notices.  The first one is again from
  1746. | Bill Lambdin, who forwarded a message from Mario Giordani in the ILink
  1747. | Virus Conference about two files.  The archives, called PHOTON and NUKE,
  1748. | are possibly droppers, containing a file called NUKE.COM which "will
  1749. | trash your HD."  Bill has asked Mario for further information, and I
  1750. | would like to echo his call for help.  If you know of this, please lend a
  1751. | hand.
  1752.  
  1753.  
  1754. | Another one forwarded by Bill comes from Michael Santos in the Intelec
  1755. | Net Chat conference, concerning a screen saver named IM.  This is only a
  1756. | "hearsay" report from one of Michael's friends, who says he downloaded it
  1757. | and wound up with a virus.  There is no way to tell if the infection came
  1758. | from the file itself or if it was already present on his friend's system.
  1759. | Once again, if anyone can clear this up, please do so.
  1760.  
  1761.  
  1762. | One more such warning comes from Mark Stansfield (1:115/404) concerning
  1763. | the files KILL and PROTECT.  He claims that these delete the user's hard
  1764. | drive when run.  I have received no confirmation of these, and would
  1765. | appreciate some if anyone has any.
  1766.  
  1767.  
  1768. | Ned Allison (1:203/1102) forwarded a report into the FidoNet DIRTY_DOZEN
  1769. | echo from a user of The Mailbox BBS in Cleveland (216/671-7534) named
  1770. | Rich Bongiovanni.  Rich reports that there is a file floating around
  1771. | called DEMON WARS (archive name DMNWAR52) that is "infected with a
  1772. | virus."  If true, this may be an isolated incident.  I would appreciate
  1773. | confirmation on this.
  1774.  
  1775.  
  1776. | Brian Keahl (1:133/524) stated in the VIRUS_INFO echo that a program
  1777. | called PC-Mix (no archive name given) is a commercial program that is
  1778. | being erroneously distributed as shareware.  I had not heard this before,
  1779. | and would appreciate confirmation.
  1780.  
  1781.  
  1782. | Greg Walters (1:270/612) reports a possible isolated incident of a
  1783. | problem with #1KEEN7.  When he ran the installation, he began seeing on
  1784. | his monitor "what looked like an X-rated GIF."  The file apparently
  1785. | scanned clean.  Any information on similar sightings would be
  1786. | appreciated.
  1787.  
  1788.  
  1789. | A report from Todd Clayton (1:259/210) concerns a program called
  1790. | ROBO.EXE, which he says claims to apparently "make RoboBoard run 300%
  1791. | faster."  He says he has heard that the program fools around with your
  1792. | File Allocation Table.  I have not heard any other reports of this, so I
  1793. | would appreciate some confirmation from someone else who has seen similar
  1794. | reports.
  1795.  
  1796.  
  1797. | Kelvin Lawson (2:258/71) posted a message in the SHAREWRE echo about a
  1798. | possible hack of FEBBS called F192HACK.  I have not seen this file, nor
  1799. | has the author of FEBBS, Patrik Sjoberg (2:205/208).  He forwards the
  1800. | file sizes in the archive, reported here:
  1801. |
  1802. |       Name          Length      Mod Date  Time     CRC
  1803. |       ============  ========    ========= ======== ========
  1804. |       FEBBS.EXE       220841    09 Mar 92 21:17:00 96D2E08D
  1805. |       014734.TXT        1403    26 Aug 92 01:59:18 3B9F717F
  1806. |       ============  ========    ========= ======== ========
  1807. |       *total     2    222244    26 Aug 92 01:59:24
  1808. |
  1809. | Kelvin says the .TXT file is just an advert for a BBS, so it is "not
  1810. | relevant!".  As I said, the author of FEBBS has never seen this file, so
  1811. | I've asked Kelvin to forward a copy of it to him.
  1812.  
  1813.  
  1814.   Mark Draconis (1:120/324) has found a file called TELE214R, claiming to
  1815.   be the latest version of Teledisk.  He asked for verification in the
  1816.   FidoNet SHAREWRE echo of its status.  On this same line, Kelvin Lawson
  1817.   reports TELE215R.  Steve Quarrella (1:311/405) believes that the program
  1818.   has gone commercial, perhaps after version 2.12 or 2.13.  Your Hack Squad
  1819.   has no idea, and has not yet had a chance to call Sydex by voice.  Please
  1820.   help.
  1821.  
  1822.  
  1823.   An update on the report from James Collins (1:102/1013) on Virus
  1824.   Simulator 2.0 (archive name unknown) - if you remember, he says the
  1825.   documentation looks authentic, but the program "looks like someone has
  1826.   hacked it so that it crashes purposefully."  The file performs a
  1827.   self-check at startup, then crashes.
  1828.  
  1829.   George C. Smith (CompuServe 70743,1711) says this sounds like a hack of
  1830.   the Rosenthal Engineering Virus Simulator.  George explains that this
  1831.   program performs an integrity check at startup and will abort if it has
  1832.   been modified.  He says his information comes from the file's
  1833.   documentation.
  1834.  
  1835.   I found a copy of this file on the IBMSYS forum of CompuServe under the
  1836.   filename VIRSIM.COM.  This program does perform an integrity check at
  1837.   startup and will abort if it has been modified.
  1838.  
  1839.   So, it would appear that James has found a copy of Virus Simulator that
  1840.   was tampered with.  Fortunately, the program is smart enough to know the
  1841.   difference.
  1842.  
  1843.  
  1844. | Your Hack Squad has seen several references to a release of Scorched
  1845. | Earth calling itself v2.0 (SCORCH20).  The latest official version I am
  1846. | aware of is v1.2.  If someone can verify the latest release number,
  1847. | please do so.
  1848.  
  1849.  
  1850.   Andrew Owens (3:690/333.11) forwarded a report of a "Maximus BBS
  1851.   Optimiser (sic)," going under the filenames MAX-XD and MAXXD20. Scott
  1852.   Dudley, the author of Maximus, says he did not write any programs that
  1853.   have these names, but he does not know whether they are or are not
  1854.   legitimate third party utilities.  I have requested further information
  1855.   from Andrew on this topic, and would appreciate anyone else's
  1856.   information, if they have any.
  1857.  
  1858.  
  1859.   Stephen Furness (1:163/273) left a short message in the FidoNet VIRUS
  1860.   echo about a file called RUNME.  He says it claims to be a VGA ad for a
  1861.   BBS, but actually trashes your hard drive's boot sector.  Now, a file
  1862.   with a name like RUNME makes me raise an eyebrow immediately, but this is
  1863.   still a single sighting.  Please forward details if you see this file.
  1864.  
  1865.  
  1866.   Yet another short warning comes from David Bell (1:280/315), posted in
  1867.   the FidoNet SHAREWRE echo, about a file called PCPLSTD2.  All he says is
  1868.   that it is a Trojan, and that he got his information from another
  1869.   "billboard" and is merely passing it on.  Again, please help if you know
  1870.   what is going on here.
  1871.  
  1872.  
  1873.   Bud Webster (1:264/165.7) reports an Apogee game being distributed under
  1874.   the filename BLOCK5.ZIP.  He says that the game displayed a message that
  1875.   said, "This game is not in the public domain or shareware."  There was
  1876.   only an .EXE file in the archive, and no documentation.  I need to know
  1877.   what the real name of this game is so that I can include it in the
  1878.   pirated files section (if necessary).
  1879.  
  1880.  
  1881.   Now, a sensitive subject.  Arthur Shipkowski (1:260/213.2) forwarded a
  1882.   message from Kenny Root (GT-Net Shareware Forum), about a file called
  1883.   SHAMpage (SHMPG310.*).  Kenny claims he downloaded this from a Door
  1884.   Distribution Network board, unzipped and ran it, and wound up with
  1885.   thousands of directories and the 1260 virus.  This is the only report I
  1886.   have of this, and it is unconfirmed.
  1887.  
  1888.   I posted a question about this in a local echo in Austin, and found no
  1889.   one who had experienced the same symptoms.  I also consulted George
  1890.   Vandervort (1:382/8), a beta tester for SHAMpage, and learned that the
  1891.   file that went out over the Door Distribution Network was perfectly
  1892.   legitimate and not harmful in any way.
  1893.  
  1894.   Rich Waugh, the author of SHAMpage, posted a message in the SHAREWRE echo
  1895.   about this:  according to him, he hatches the latest releases from his
  1896.   system into the DDSDOORS file distribution net.  All copies of SHAMpage
  1897.   hatched from his system contain a "DrawBridge" ZIP comment.  For
  1898.   reference, the latest version (as of September 8, 1992) is v3.24.
  1899.  
  1900.   Mr. Waugh further states (and I agree) that he has "a lot of faith in the
  1901.   various file distribution networks," and he finds it hard to believe that
  1902.   the file picked up any sort of infection in the net itself.
  1903.  
  1904.   In summary, SHAMpage 3.10 is a legitimate file, but a tampered archive of
  1905.   it may be floating around.  How it was tampered with is anyone's guess.
  1906.   If anyone sees an altered archive of this file, please forward the
  1907.   information so that I can post specifics on it.
  1908.  
  1909.  
  1910.   A message in the FidoNet ASIAN_LINK echo from Choon Hwee (1:3603/263)
  1911.   grabbed my attention the moment I saw it: in capital letters, it said,
  1912.   "DO NOT RUN this file called MODTEXT.EXE, cause it is a TROJAN!!!".  He
  1913.   goes on to say that two BBSs have been destroyed by the file.  However,
  1914.   that's about all that was reported.  I really need more to go on before I
  1915.   can classify this as a Trojan and not just a false alarm (i.e., archive
  1916.   name, what it does, etc.).  Please advise.
  1917.  
  1918.  
  1919.   Greg Mills (1:16/390) posted a question to Robert Jung in the ARJ Support
  1920.   Echo (FidoNet) about a version of ARJ called 2.33.  It was unclear as to
  1921.   whether or not Mr.  Mills had seen the file.  Mr.  Jung has repeated that
  1922.   the latest version of ARJ is v2.30 (however, there is a legitimate public
  1923.   beta version numbered 2.39b).  It is possible that the references Greg
  1924.   saw about 2.33 were typos, but you never know.  Please help your Hack
  1925.   Squad out on this one - if you see it, report it.
  1926.  
  1927.  
  1928.   I still have no further confirmation of MTG2400, reported by Zach Adam of
  1929.   1:2200/103.  The description says this program will run a 2400bps modem
  1930.   like a 4800bps modem, which sounds a bit like the MTE program listed in
  1931.   the Pirated Commercial Software section.  Any information would be
  1932.   appreciated.
  1933.  
  1934.  
  1935.   As the last item in this report, your Hack Squad could use some info on
  1936.   the TUNNEL screen saver.  Ove Lorentzon (2:203/403.6) reports that this
  1937.   is an internal IBM test program for VGA monitors.  HW Richard Steiner
  1938.   forwarded a message from Bill Roark (RIME address BOREALIS, Shareware
  1939.   Conference) that had some quoted text strings from the executable.  One
  1940.   says, "IBM INTERNAL USE ONLY."
  1941.  
  1942.   This file is extremely widespread, however, so I need to hear from
  1943.   someone who knows what IBM's position on this is.  Has IBM changed its
  1944.   mind and made it legal to distribute this via BBS?  If you know for
  1945.   certain, please advise.
  1946.  
  1947.   =========================================================================
  1948.  
  1949.                            The Meier/Morlan List
  1950.  
  1951. | A couple of updates:  first, Jeff Hancock (1:3600/7) states that KAEON is
  1952. | "freeware, a scrolling horizontal space shootemup, requires VGA and
  1953. | supports Adlib/SB.  Size 423k, about 301 arjed."  Jeff says that if there
  1954. | is another Kaeon out there, he hasn't heard of it.  HW Matt Kracht
  1955. | confirms this, saying that the game was written by a guy named "Tran,"
  1956. | and is freeware.  So, with this, Kaeon comes off the list.
  1957.  
  1958.  
  1959. | Also from the Meier/Morlan list, HW Nemrod Kedem reports that TDWIN31,
  1960. | TF386, and TLINK4 were made available by Borland International on their
  1961. | public download BBS.  Nemrod is a Borland support site in Israel, and he
  1962. | has all of these on his board with the "permission of the Israeli
  1963. | representative of Borland International."  With this, these files also
  1964. | come off the list.
  1965.  
  1966.  
  1967. | Kevan McWhorter (1:3637/1) and Jerry Murphy (1:157/2) report that the
  1968. | file SYSID602 is a legitimately distributable file.  It is a utility that
  1969. | generates several screens of information about the machine it is run on,
  1970. | similar to Norton's SI program.  Again, two confirmations, and the file
  1971. | comes off the list.  Thanks to Kevan and Jerry for their help!
  1972.  
  1973.  
  1974.   For those of you who missed it last time, here is the list of files that
  1975.   were forwarded by Joe Morlan (1:125/28), as compiled by Wes Meier, SysOp
  1976.   of the WCBBS (1-510-937-0156) and author of the AUNTIE BBS system.  Joe
  1977.   says Wes keeps a bulletin of all rejected files uploaded to him and the
  1978.   reasons they were rejected.  Joe also says he cannot confirm or deny the
  1979.   status of any of the files on the list.
  1980.  
  1981.   I have included some of the files I can verify from this list in the
  1982.   Pirated Commercial Files section of this report.  However, there are some
  1983.   that I am not familiar with or cannot confirm.  These are listed below,
  1984.   along with the description from Wes Meier's list.
  1985.  
  1986.   Due to the unconfirmed nature of the files below, the filenames are not
  1987.   included in the HACK1192.COL file.  I would appreciate any help that
  1988.   anyone can offer in verifying the status of these files.  Until I receive
  1989.   some verification on them, I will not count them as either hacks or
  1990.   pirated files.  Remember - innocent until proven guilty.
  1991.  
  1992.   My thanks go to Joe and Wes for their help.
  1993.  
  1994.         Filename  Reason for Rejection
  1995.         ========  =============================================
  1996.         BARKEEP   Too old, no docs and copyrighted with no copy
  1997.                   permission.
  1998.         HARRIER   Copyrighted.  No permission to copy granted.
  1999.         SLORGAME  Copyrighted.  No docs.  No permission to copy
  2000.                   granted.
  2001.         NOVELL    Copyrighted material with no permission to
  2002.                   BBS distribute
  2003.         DRUMS     I have no idea if these are legit or not.  No
  2004.                   docs.
  2005.         SPACEGOO  STARGOSE in disguise.  Copyrighted.
  2006.         GREMLINS  No documantation or permission to copy given.
  2007.         NAVM      Copyrighted.  No permission to copy granted.
  2008.         TESTCOM   Copyrighted.  No permission to copy granted.
  2009.         CLOUDKM   A hacked commercial program.
  2010.         ANTIX     Couldn't make this work.  No docs.
  2011.         MEGAMAN   Copyrighted.  No docs.  No permission to copy
  2012.                   granted.
  2013.         MENACE    Copyrighted.  No docs.  No permission to copy
  2014.                   granted.
  2015.         AIRBALL   A hacked commercial program.
  2016.         WIN_TREK  No documentation.  No permission to copy.
  2017.         SNOOPY    Copyrighted.  No docs.  No permission to
  2018.                   copy granted.
  2019.         SLORDAX   Copyrighted.  No docs.  No permission to
  2020.                   copy granted.
  2021.         ESCAPE    Copyrighted.  No docs.  No permission to
  2022.                   copy granted.
  2023.         AFOX      A cracked commercial program.
  2024.         BANNER    Copyrighted.  No docs.  No permission to
  2025.                   copy granted.
  2026.         FIXDOS50  Copyrighted.  No permission to copy granted.
  2027.         WINGIF14  The author's documentation specifically
  2028.                   requests this file to not be distributed.
  2029.         INTELCOM  Copyrighted.  No docs.  No permission to
  2030.                   copy granted.
  2031.         3DPOOL    Copyrighted.  No docs.  No permission to
  2032.                   copy granted.
  2033.         387DX     Copyrighted.  No docs or permission to
  2034.                   copy granted.
  2035.         WINDRV    Copyrighted.  No permission to copy granted.
  2036.  
  2037.   =========================================================================
  2038.  
  2039.                       Clarifications/Acknowledgements
  2040.  
  2041. | When I put the last full report together, I apparently missed a couple of
  2042. | "latest version" listings.  First, I neglected to update the latest
  2043. | version of Vern Buerg's LIST.COM, now at v7.7a.  (A later release,
  2044. | LIST77A2, may be in circulation, and is also legitimate.)
  2045. |
  2046. | Also, I missed an item concerning McAfee's ViruScan.  The latest version
  2047. | of this file is now 99.
  2048. |
  2049. | Thanks to those who wrote in and caught these - quite embarassing, but I
  2050. | needed it.
  2051.  
  2052.  
  2053. | Also, in the last report, I listed a crack of Id Software's Spear of
  2054. | Destiny under the filename !SOD!.  However, I have since been informed
  2055. | by Jay Wilbur of Id Software that there is a legitimate demo of Spear of
  2056. | Destiny going around under this filename.  Jay says that the legitimate
  2057. | file quite clearly identifies itself as a demo when run.  However, Jay
  2058. | does confirm that there is a crack of the full commercial game out there
  2059. | somewhere - I just used the wrong filename.  My apologies.
  2060.  
  2061.  
  2062. | In the second November update, there was some confusion about the latest
  2063. | version of Con>Format by Sydex.  Jeff White (1:300/23) has verified that
  2064. | the latest official release is v1.08a.  My thanks go out to him.
  2065.  
  2066.  
  2067. | Thanks also to Bill Logan of The Pueblo Group for his assistance in the
  2068. | research of the GSZ611R file (listed in the Pirated files section).  He
  2069. | has verified that this is simply a registered version of the GSZ
  2070. | protocol, and not a dropper or Trojan as had been feared.
  2071.  
  2072.  
  2073. | Finally, in the last issue, I managed to misspell the name of one of the
  2074. | reporters.  To Warren Zatwarniski, I also extend my apologies.
  2075.  
  2076.   =========================================================================
  2077.  
  2078.                                    Notes
  2079.  
  2080.   FidoNet Node 1:382/87, The ECS BBS, referenced several times in this
  2081.   report, is no longer an active node.  Reports from that node and its
  2082.   SysOp, Mark Evans, will not be removed from this report.  Mark may now be
  2083.   contacted at 1:382/91.1.
  2084.  
  2085.   Malte Eppert (2:240/500.6) wishes it to be known that the report he
  2086.   forwarded from Dick Hazeleger about EARLYWA was just that, a forwarding,
  2087.   and not an agreement with or confirmation of the forwarded report.  The
  2088.   report he forwarded does not express or include his opinions.
  2089.  
  2090.   *************************************************************************
  2091.  
  2092.                                 Conclusion
  2093.  
  2094.   If you see one of these on a board near you, it would be a very friendly
  2095.   gesture to let the SysOp know.  Remember, they can get in just as much
  2096.   trouble as the fiend who uploads pirated files, so help them out if you
  2097.   can.
  2098.  
  2099.                           ***HACK SQUAD POLICY***
  2100.  
  2101.   The intent of this report is to help SysOps and Users to identify
  2102.   fraudulent files.  To this extent, I give credit to the reporter of a
  2103.   confirmed hack.  On this same note, I do _not_ intend to "go after" any
  2104.   BBS SysOps who have these programs posted for d/l.  The Shareware World
  2105.   operates best when everyone works together, so it would be
  2106.   counter-productive to "rat" on anyone who has such a file on their board.
  2107.   Like I said, my intent is to help, not harm.  SysOps are strongly
  2108.   encouraged to read this report and remove all files listed within from
  2109.   their boards.  I can not and will not take any "enforcement action" on
  2110.   this, but you never know who else may be calling your board.  Pirated
  2111.   commercial software posted for d/l can get you into _deeply_ serious
  2112.   trouble with certain authorities.
  2113.  
  2114.   Updates of programs listed in this report need verification.  It is
  2115.   unfortunate that anyone who downloads a file must be paranoid about its
  2116.   legitimacy.  Call me a crusader, but I'd really like to see the day that
  2117.   this is no longer true.  Until then, if you _know_ of a new official
  2118.   version of a program listed here, please help me verify it.
  2119.  
  2120.   On the same token, hacks need to be verified, too.  I won't be held
  2121.   responsible for falsely accusing the real thing of being a fraud.  So,
  2122.   innocent until proven guilty, but unofficial until verified.
  2123.  
  2124.   Upcoming official releases will not be included or announced in this
  2125.   report.  It is this Co-Moderator's personal opinion that the hype
  2126.   surrounding a pending release leads to hacks and Trojans, which is
  2127.   exactly the opposite of what I'm trying to accomplish here.
  2128.  
  2129.   If you know of any other programs that are hacks, bogus, jokes, hoaxes,
  2130.   etc., please let me know.  Thanks for helping to keep shareware clean!
  2131.  
  2132. Lee Jackson, Co-Moderator, FidoNet International Echo SHAREWRE (1:382/95)