home *** CD-ROM | disk | FTP | other *** search
/ Acorn User: China / Acorn User China CD-ROM (UK) (Disc A) / Acorn User China CD-ROM (UK) (Disc A).bin / DEMON / ANTIVIRUS / AVRD184T
Encoding:
Text File  |  1994-02-04  |  137.3 KB  |  3,995 lines
  1. This is the textual version of the AVRD. In order to minimise
  2. editing overhead this version is now derived directly from the
  3. source of the HyperText version. The derivation is performed
  4. by a program, so the formatting may not always be perfect -
  5. but we'd rather spend our time coding !Killer/!Scanner !
  6.  
  7. Ignore any references to clicking in specific places in the
  8. document - this facility is only available in the HyperText
  9. version.
  10.  
  11.  
  12. ###########################################################################
  13.  
  14. The Archimedes Virus Reference Document
  15. ---------------------------------------------------------------------------
  16.  
  17. Version 1.84h (6th January 1994)
  18.  
  19. Copyright © 1991-1994 Tor O. Houghton and Alan Glover
  20.  
  21. This document is copyright. Profit based distribution (whether PD 
  22. or Shareware) without prior consent from the authors, is strictly 
  23. illegal. If in doubt, contact one of the authors. Note that this 
  24. version of !ClearView also has certain conditions upon its distribution.
  25.  
  26. This is the hypertext form of this document, using the Binary Star 
  27. !ClearView package. Click here (on the underlined word) for a brief 
  28. guide to using this software and details about obtaining enhanced 
  29. versions.
  30.  
  31. A full list of the contents, and an index of the viruses covered 
  32. in this edition of this document can be seen by clicking the 'index' 
  33. icon (the rightmost one), or the underlined word in this sentence.
  34.  
  35.  
  36.  
  37. ###########################################################################
  38.  
  39. Abstract
  40. ---------------------------------------------------------------------------
  41.  
  42. As the number of people using the Acorn Archimedes range of computers 
  43. has increased over the years, so has the number of viruses.
  44.  
  45. This document contains the compiled information from various virus 
  46. researchers and their killers. In particular, it is (as the title 
  47. suggests) a compendium of the knowledge about viruses of Tor Houghton 
  48. and Alan Glover.
  49.  
  50. The purpose of this document is to give as many details as possible 
  51. on each virus known, and to assist those who think they might be 
  52. infected by a virus.
  53.  
  54. A dilemma occurred as this document took form. How much information 
  55. should be included? If we provided too much information, this document 
  56. could well become an effective "cookbook" for people wanting to write 
  57. a virus (and also be used by authors of anti-virus programs to claim 
  58. coverage of virus they've never seen based on the information here). 
  59. This is not our intention. The professionals and programmers who 
  60. read this will easily identify the missing or omitted information 
  61. because they already have this background knowledge - it is part 
  62. of the working tools of our profession.
  63.  
  64. The document is not intended to provide very detailed technical information 
  65. on a virus (although this may happen as a way of explaining it), 
  66. but to allow the reader to understand what the virus generally does, 
  67. what makes it activate and what it does upon activation. Most important, 
  68. however, it should help the user with the removal!
  69.  
  70. 1.0 Introduction
  71. ---------------------------------------------------------------------------
  72.  
  73. A virus is nothing magical. Anyone with a bit of programming skills 
  74. and some knowledge about the machine's operating system is capable 
  75. of creating a virus. Usually these programmers think it is fun, they've 
  76. read too many cyberpunk books, or they are generally pitiful creatures 
  77. who like to inflict damage.
  78.  
  79. Final note: In spite of many journalist's secret wishes, a computer 
  80. virus cannot spread from one type of computer to another. For example, 
  81. a virus written on a PC running MS-DOS or Windows cannot infect the 
  82. Archimedes - in native mode. If you are using the PC emulator, a 
  83. virus functions perfectly under this environment too (probably with 
  84. a few exceptions due to the fact that there are about 1000 viruses 
  85. running under this particular operating system). The only area in 
  86. which some crossover is possible is hardware - if you have a DOS 
  87. virus which thrashes the floppy disc out of alignment, it will obviously 
  88. affect it when it is used normally!
  89.  
  90. 1.1 Some Definitions
  91. ---------------------------------------------------------------------------
  92.  
  93. Connectivity: The level of ability a computer has to connect to other 
  94. computers. Nowadays it is very easy to, for example, phone a BBS 
  95. and download new software. The higher the level of connectivity, 
  96. the higher the level of possible exposure to computer viruses. The 
  97. same may also be considered true of other sources of software, such 
  98. as PD libraries.
  99.  
  100. Trojan Horse: This is a generic term (taken from Greek mythology) 
  101. for a penetration method that includes hidden code. An example of 
  102. this is the Link virus which, while being helpful in the ways of 
  103. converting backspace to delete, also launches a virus into your computer.
  104.  
  105. Virus: A computer virus can be defined as a malicious program capable 
  106. of replicating itself. See "A Computer Security Glossary for the 
  107. Advanced Practitioner" in the Computer Security Journal IV, No. 1, 
  108. 1987 for a similar description. Please note that most computer viruses 
  109. on the Archimedes do nothing but replicate, although there are a 
  110. few exceptions. My own definition is 'a program which attempts to 
  111. replicate without the user's knowledge or consent and may perform 
  112. unauthorised actions'.
  113.  
  114. Worm: A computer program which moves through your computer system, 
  115. altering data as it copies itself and deleting the old copy. If a 
  116. worm reproduces it could also be called a virus. There are no reports 
  117. of worms on the Archimedes, mainly because it is such a closed system, 
  118. and would be detected much too easily to become a hazard. Networks 
  119. are more exposed to such nasties.
  120.  
  121. 1.2 Entry Explanations
  122. ---------------------------------------------------------------------------
  123.  
  124. Name: The most common name of the virus. Often chosen because of 
  125. some text found in the virus, or like CeBIT, connected to some event 
  126. (the biggest computer show in Europe).
  127.  
  128. Aliases: Names which other anti-viral agent documents (usually brief 
  129. notes which are included with the program) use for the same virus. 
  130. This includes names that are commonly used by BBS users etc. Always 
  131. try to use the name used here for a given virus rather than any of 
  132. thealternative names.
  133.  
  134. Origin: The country where the virus seems to have originated from 
  135. (or at least, where it was isolated).
  136.  
  137. Isolation Date: The date (as detailed as possible) when the virus 
  138. was first found.
  139.  
  140. Effective Length: The length the virus occupies on the disc. The 
  141. actual length in memory may well be different.
  142.  
  143. Virus Type: Task refers to viruses written as a multitasking program 
  144. (i.e. appears on the Task Manager, with or without a task name). 
  145. Resident refers to viruses which, by reserving some memory, insert 
  146. themselves as a machine code program invisible to the task manager. 
  147. By monitoring certain interrupts the virus is able to spread. Also, 
  148. if the virus attaches itself to files, this is noted along with what 
  149. type of files it infects.
  150.  
  151. Symptoms: Odd behaviour which might occur if the virus is loaded. 
  152. This could be spurious crashes or files suddenly appearing (or disappearing!). 
  153. Take note that this has nothing to do with what the virus actually 
  154. does when it activates, as this will be detailed as extensively as 
  155. possible under the 'general comments' section.
  156.  
  157. Detection: Refers to anti-virus agents (complete with earliest version 
  158. number) which to our knowledge detects the virus. Please be so kind 
  159. as to update me on this, as I know there are several anti-virus programs 
  160. wandering around which I don't have! With the exception of Killer/VProtect 
  161. and Scanner/Interferon these comments are based solely on the documentation 
  162. provided with the programs - beware of claims to detect 'all known 
  163. viruses' when only a subset of those here are listed!
  164.  
  165. Removal: Refers either to programs which remove the virus from the 
  166. infected file (complete with earliest version number), or if possible, 
  167. which files to delete without destroying the program. Where it says 
  168. 'Remove named file(s)', take note that if there is a !Boot file present, 
  169. be sure to check this too (i.e. with !Edit).  In particular, never 
  170. assume that a Module may be RMKilled, or that an application task 
  171. may be Quit. It might disappear, but it may also set up a time bomb 
  172. with serious effects on the system.
  173.  
  174. As a rule, it is unwise to attempt to remove a virus from memory 
  175. yourself. However some anti-virus programs contain specific code 
  176. to detect and remove viruses which are present in memory. Where an 
  177. anti-virus program is known to be able to do this the program and 
  178. version is given. The criteria for this is that the anti-virus program 
  179. either neutralises or removes the virus from memory, leaving the 
  180. machine in a safe enough state for the anti-virus program to remove 
  181. the infection from your media. Even with this protection, you should 
  182. still do a CTRL-Reset as soon as possible after you have been infected.
  183.  
  184. General Comments: As detailed information about the virus as possible. 
  185. Also, if there are any mutated versions of the virus, these are detailed 
  186. here too, along with any relevant information. Please note that the 
  187. number after the virus name states how many bytes it occupies on 
  188. the disc.
  189.  
  190. Source: The person who provided the information about the virus concerned. 
  191. Where a name does not appear, it will probably have been written 
  192. by Tor Houghton or Alan Glover. In some cases, an acknowledgment 
  193. will be included to someone who has helped in the isolation or analysis 
  194. of the virus.
  195.  
  196. Sometimes square brackets ("[]") with a comment might appear. These 
  197. are our comments, and offer additional useful information which we 
  198. thought the original author left out. 
  199.  
  200. ###########################################################################
  201.  
  202. Virus index
  203. ---------------------------------------------------------------------------
  204.  
  205.  
  206. Click on the virus name to find out more about it
  207.                             
  208. Alien                               
  209. Aprilfool
  210. Archie          FF8
  211. Arcuebus
  212. AxisHack
  213. BBCEconet
  214. Bigfoot    
  215. BooHoo      
  216. Breakfast
  217. CeBIT
  218. Code            Sicarius   
  219. Diehard
  220. Ebenezer
  221. EMod
  222. Ex_port
  223. Extend
  224. ExtendV2          
  225. FCodex
  226. Funky          
  227. Garfield_I
  228. Garfield_W
  229. Handler
  230. Icon *          Icon-A, Filer, Poison, NewVirus, Wraith
  231. Image
  232. Image2
  233. Increment
  234. Irqfix
  235. Link
  236. Mode87
  237. Module          ModVir, Illegal
  238. MonitorDat
  239. MyMod           Silicon Herpes
  240. NetManager
  241. NetStatus       Boot
  242. NewDesk
  243. Parasite *
  244. Penicillin *
  245. Poltergeist
  246. Runopt
  247. Shy
  248. Sprite *        
  249. SpriteUtils           
  250. T2 *
  251. TaskManager
  252. Terminator *
  253. Thanatos *      RISCOSExt
  254. Traphandler
  255. Valid    
  256. VanDamme
  257. Vigay           DataDQM, Shakes
  258. Whoops
  259. Wimpman
  260.  
  261. Viruses marked with an asterisk (*) carry malicious code (in the 
  262. case of Icon in the 2158 byte strain only).  Any detection of one 
  263. of these viruses should be treated thus:
  264.  
  265. 1) Perform a CTRL-RESET as soon as possible.To be safe, press F12 
  266. and type FX 200,3 beforehand. This should get the virus out of memory, 
  267. just leaving the storage media to be cleaned. Remember that infection 
  268. can be as easy as opening a filer viewer!
  269.  
  270. 2) Load a virus killer, and check that the virus is not active. Some 
  271. virus killers (e.g. Pineapple's !Killer) are capable of removing 
  272. any resident virus, and withstanding infection attempts whilst doing 
  273. this. Bear in mind that not all anti-virus programs are intended 
  274. to start up in an environment where a virus is active.
  275.  
  276. 3) Run the virus killer through the system, opening the minimum possible 
  277. number of filer windows. Obviously, if you keep your copy of the 
  278. virus killer on a write-protected floppy this is quite easy! Remember 
  279. to check removable discs too!
  280.  
  281. Please note that spurious resets and/or errors which occur are usually 
  282. the results of poor programming, and is therefore not considered 
  283. malicious (it merely depicts the programmer's skills - he should 
  284. have stuck to LOGO).
  285.  
  286. Although not usually marked as malicious, some viruses will cause 
  287. the !Boot of an application to be overwritten. This can cause things 
  288. which usually happen automatically (eg: locating !System) to fail.
  289.  
  290.  
  291. ###########################################################################
  292.  
  293. Alien
  294. ===========================================================================
  295.  
  296. Last Updated:        21st November 1993
  297. Aliases:             
  298. Origin:              United Kingdom
  299. Isolation Date:      November 1993
  300. Effective Length:    7831 bytes
  301. Virus Type:          Resident application infector
  302. Symptoms:            Error messages from 'Alien'
  303.  
  304. ---------------------------------------------------------------------------
  305.  
  306. Detection Media:     Killer 1.511+    Memory:      Killer 1.511+
  307.                      VProtect 1.51+
  308.  
  309. Removal   Media:     Killer 1.511+    Memory:      Killer 1.511+
  310.  
  311. ---------------------------------------------------------------------------
  312.  
  313. General Comments:
  314. Whilst this is quite definitely an Icon variant, it does have a number 
  315. of changes which make it rather different.
  316.  
  317. For starters, it has a choice of 22 names and 21 filetypes between 
  318. it chooses at random.
  319.  
  320. The filenames are: ProgInfo, Image, DiscInfo, Data, Options, Temp, 
  321. Data, data, Mod, Shit, Wanker, Boot, Mode, System, Dump, Remote, 
  322. Symbol, Script, Desk, Screen, Monitor and Resiter.
  323.  
  324. The filetypes are: FFD, FFA, FF8, FF4, FF2, FED, FEC, FEC, FEA, FE4, 
  325. FE3, FE2, FE9, FF5, FE1, FF3, AFF, AE9, FF0, FF6, FF7.
  326.  
  327. Practically all the textual commands within the program are expressed 
  328. as sequences of CHR$(nnn). Inevitably choosing such a long-winded 
  329. method has led to a number of typos and syntax errors in the expressions.
  330.  
  331. Given the variety of possible filenames, VProtect detects it only 
  332. as a Generic Icon virus.
  333.  
  334. As it stands, it is almost harmless - there are so many errors in 
  335. the text that few of its actions will actually work. However, its 
  336. replication works fine....
  337.  
  338.  
  339. ###########################################################################
  340.  
  341. Aprilfool
  342. ===========================================================================
  343.  
  344. Last Updated:        18th December 1992
  345. Aliases:             
  346. Origin:              United Kingdom
  347. Isolation Date:      December 1992
  348. Effective Length:    1618 bytes
  349. Virus Type:          Resident application infector
  350. Symptoms:            RAM disc contains directory called 'Scrapheap'
  351.  
  352. ---------------------------------------------------------------------------
  353.  
  354. Detection Media:     Killer 1.383+    Memory:      Killer 1.383+
  355.  
  356. Removal   Media:     Killer 1.383+    Memory:      Killer 1.383+
  357.  
  358. ---------------------------------------------------------------------------
  359.  
  360. General Comments:
  361. This virus initialises as a desktop task called 'AprilFool'. It spreads 
  362. by saving a copy of the virus into the application being infected. 
  363. The file saved is BASIC., and called 'Virus'. It also renames the 
  364. current !Boot to BootBackup and saves a new !Boot file.
  365.  
  366. This may well cause great confusion, since any environmental variables 
  367. set up by the !Boot file normally won't be!
  368.  
  369. It holds copies of the virus and prototype !Boot file in the RAM 
  370. disc - so the virus will not even work if you have no RAM disc configured!
  371.  
  372. Aside from trying to infect applications, it will also delete !lemmings.LemBoot 
  373. whenever it is encountered.
  374.  
  375. On the 1st April it will bring up an error box from ADFS Filer saying 
  376. 'April Fool'.
  377.  
  378.  
  379.  
  380. ###########################################################################
  381.  
  382. Archie
  383. ===========================================================================
  384.  
  385. Last Updated:        24th November 1993
  386. Aliases:             FF8
  387. Origin:              United Kingdom
  388. Isolation Date:      1988 
  389. Effective Length:    920 bytes
  390. Virus Type:          Resident Absolute (FF8) file infector.
  391. Symptoms:            May cause "Address exception" or "Undefined 
  392.                      instruction" errors. Absolute files will grow 
  393.                      in length.
  394.  
  395. ---------------------------------------------------------------------------
  396.  
  397. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  398.                      Scanner 1.02+                 Killer 1.17+ 
  399.  
  400. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+
  401.  
  402. ---------------------------------------------------------------------------
  403.  
  404. General Comments:
  405.  
  406. This is a piece of ARM code that is appended to executables with 
  407. the Absolute (&FF8) filetype. It is 920 (&398) bytes long and has 
  408. a tell-tale 4-character string at the end of its code, "1210", which 
  409. is used as an "already-infected" flag. The first instruction of the 
  410. original executable is saved near the end of the virus code space 
  411. and is replaced by a branch to the first instruction of the Archie 
  412. virus code.
  413.  
  414. What Archievirus does when first run:
  415.  
  416. 1.Attempts to infect executables (Absolute filetype) with the filespecs 
  417. "@.*" and "%.*". In other words, all executables in the current and 
  418. library directory are attacked.
  419.  
  420. 2.Uses OS_File 36 as a "semaphore" to see if it is lodged in RMA. 
  421. If a call to OS_File 36  returns with an error, then it hasn't infected 
  422. the RMA yet, so it proceeds to claim 920  bytes of RMA, copy itself 
  423. into there and points a claim of the OS_File vector to its new  RMA 
  424. location.
  425.  
  426. 3.The time is checked to see if it is the 13th of the month. If so, 
  427. the code loops  indefinitely, displaying the 45-character message 
  428. (in the virus, this message is EORed  with &64, and is therefore 
  429. not easy to spot.):
  430.  
  431. Hehe...ArchieVirus strikes again...
  432.  
  433. 4.Assuming it wasn't the 13th of the month (and NO, it doesn't check 
  434. for a Friday!), then  the original first instruction of the executable 
  435. is replaced and the original normal code  continues from &8000 onwards.
  436.  
  437. The OS_File vector claim is quite important, because this serves 
  438. two purposes:
  439.  
  440. a.It allows OS_File 36 to return without an error, signalling that 
  441. the RMA is already  infected. 
  442.  
  443. b.It checks for OS_Files 0 and 10 (Save memory to file), 11 (create 
  444. empty file) and  12,14,16 and 255 (Load file). If any of these are 
  445. encountered then an infection attack is  activated (see step 1 above).
  446.                                                
  447. Update: Nov '93. A case was reported of Archie instead an untyped 
  448. file. It looks like it infected the file before its type was changed. 
  449. From version 1.512 Killer will check for this. The other difference 
  450. is that the routine responsible for displaying the message has been 
  451. replaced by calls to move the disc head back and forth until the 
  452. computer is reset.
  453.  
  454. (Source: Richard K. Lloyd)
  455.  
  456.  
  457. ###########################################################################
  458.  
  459. Arcuebus
  460. ===========================================================================
  461.  
  462. Last Updated:        25th October 1992
  463. Aliases:             
  464. Origin:              UK
  465. Isolation Date:      October 1992
  466. Effective Length:    9619 bytes
  467. Virus Type:          Resident application infector
  468. Symptoms:            Extra module files appear in applications
  469.  
  470. ---------------------------------------------------------------------------
  471.  
  472. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  473.                      VProtect 1.24+
  474.  
  475. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  476.  
  477. ---------------------------------------------------------------------------
  478.  
  479. General Comments:
  480.  
  481. This virus spreads as a module within applications. The module has 
  482. eight possible names: ProgUtil, Resource, InfoFile, SystemRS, ModularR, 
  483. PureMath, SoundMdl and GraphMdl. When loaded (from a !Boot file) 
  484. it installs itself as a NetStatus 3.07 (15 Sep 1988).
  485.  
  486. A quick check for this virus is to press <F12> and type 'Help Virus'. 
  487. The following text will be displayed:
  488.  
  489. Congratulations. Your system has the Arcuebus virus.
  490. The following data may interest you:-
  491. Virus generation number: Dnnn
  492. This copy was born: <date/time>
  493.  
  494. At the same time a sound sample (loaded as a voice called Percussion-Bass) 
  495. is played. This says 'I am a servant of the <???>'. If anyone who 
  496. hears this has a good idea what the last word is - do tell us!
  497.  
  498. (Source: Paul Frohock)
  499.  
  500.  
  501.  
  502. ###########################################################################
  503.  
  504. Axishack
  505. ===========================================================================
  506.  
  507. Last Updated:        13th September 1993
  508. Aliases:             
  509. Origin:              UK
  510. Isolation Date:      September 1993
  511. Effective Length:    2189 bytes
  512. Virus Type:          Resident application infector
  513. Symptoms:            File called 'hack' appears in applications
  514.  
  515. ---------------------------------------------------------------------------
  516.  
  517. Detection Media:     Killer 1.501+    Memory:      Killer 1.501+
  518.                      VProtect 1.43+
  519.  
  520. Removal   Media:     Killer 1.501+    Memory:      Killer 1.501+
  521.  
  522. ---------------------------------------------------------------------------
  523.  
  524. General Comments:
  525.  
  526. This is a variant of Vigay which runs as a desktop task called Axis_Hack, 
  527. and triggers on Saturdays rather than Thursday. See the entry for 
  528. Vigay for more information.
  529.  
  530.  
  531.  
  532. ###########################################################################
  533.  
  534. BBCEconet
  535. ===========================================================================
  536.  
  537. Last Updated:        29th June 1992
  538. Aliases:              
  539. Origin:              United Kingdom
  540. Isolation Date:      April 1992
  541. Effective Length:    5280 bytes
  542. Virus Type:          Resident Absolute (FF8) file infector.
  543. Symptoms:            Module "BBCEconet 0.09" resident in RMA (&018xxxxx) 
  544.                      (see also Mode87!).
  545.  
  546. ---------------------------------------------------------------------------
  547.  
  548. Detection Media:     Killer 1.33+     Memory:      Killer 1.33+
  549.                      Scanner 1.33+                 Interferon 2.12+
  550.                                                    Scanner 1.34+
  551.                                                    VProtect 1.15+
  552.  
  553. Removal   Media:     Killer 1.33+     Memory:      Killer 1.33+
  554.                                                    Scanner 1.34+
  555.  
  556. ---------------------------------------------------------------------------
  557.  
  558. General Comments:    
  559.  
  560. The action of this virus bears a marked similarity to Link, i.e. 
  561. it appends code to absolutes and uses a module to perform the infection 
  562. (in this case BBCEconet, which it installs).
  563.         
  564. As with Link, it attempts to infect %.Squeeze. However, both viruses 
  565. use the same check to see whether a file is infected so it is not 
  566. possible to have an absolute simultaneously infected by Link and 
  567. BBCEconet.
  568.         
  569. The majority of this virus is kept encrypted when it is not executing, 
  570. and it also encrypts a segment at the beginning of the absolute file. 
  571. The encryption key changes with each infection. In short, you need 
  572. dedicated software to remove it.
  573.         
  574. The datestamp will not change, and as with Link, it temporarily patches 
  575. Interferon to allow itself to infect without any alarms being given.
  576.  
  577. There are various date fired routines, outlined below.
  578.  
  579. Friday 13th:
  580.  
  581. It's Friday! Why are you working?
  582. I first infected a commercial program with good help from
  583. Dr. Blob.
  584. Now you're infected too - and probably most of your penpals.
  585. I've got more in store!
  586. And... I've created XXXX copies of myself.
  587. Good luck!
  588.  
  589. December 25th:
  590.  
  591. Merry Christmas!
  592.  
  593. April 1st:
  594.  
  595. E.T. phones home!
  596. (It sends ATD 0749 679794 to the serial port, so if you have a Hayes 
  597. compatible modem connected, it will dial this number - a well-known 
  598. bulletin board service in Somerset.)
  599.  
  600. June 25th:
  601.  
  602. Ph'nglui mglw'nafh Chtulhu R'lyeh fthagn.
  603. And... I've created XXXX copies of myself.
  604.  
  605. [The non-english part of this message was introduced by H.P. Lovecraft 
  606. in his short story The Call of Cthulhu, where it translates to "In 
  607. his house at R'lyeh, dead Cthulhu waits dreaming." Probably used 
  608. by the virus writer as proof that he has read this book.]
  609.  
  610. All of these messages will appear in an error box titled "Ouch! You've 
  611. been bitten!" It may also clear the screen and print the word "LOVE" 
  612. in mode 12.
  613.  
  614. (Source: Alan Glover)
  615.  
  616.  
  617.  
  618. ###########################################################################
  619.  
  620. Bigfoot
  621. ===========================================================================
  622.  
  623. Last Updated:        11th September 1992
  624. Aliases:             
  625. Origin:              United Kingdom
  626. Isolation Date:      August 1992
  627. Effective Length:    5535 or 5580 bytes
  628. Virus Type:          Task. Stores code as separate file.
  629. Symptoms:            Additional files with random names in capital 
  630.                      letters appear in applications
  631.  
  632. ---------------------------------------------------------------------------
  633.  
  634. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  635.                      Scanner 1.47+ (5580 byte strain only?)
  636.                 
  637. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+ 
  638.                                                    
  639.                      delete named file, remove line from !Boot.
  640.  
  641. ---------------------------------------------------------------------------
  642.  
  643. General Comments:
  644.                                 
  645. This is a fairly simple BASIC program, which installs as a desktop 
  646. task called Bigfoot.
  647.  
  648. It has messages for certain dates, namely:
  649.   
  650. 25 Dec:
  651.  
  652. Happy Christmas from BigFoot ... The VIRUS
  653.  
  654. 05 Nov:
  655.  
  656. "Wizz Bang! Its Guyfalks night  BigFoot Strikes again!
  657.    
  658. 04 Jul:
  659.   
  660. "Hay there its the 4th of July ,American Independence! Best wishes 
  661. from BigFoot
  662.  
  663. 15 Mar:
  664.  
  665. This is a HOLD UP! Give me all the PD software you can get,,, Or 
  666. you SYSTEM gets it!!!  By the way its the end of the fishing season.
  667.  
  668. It infects by creating or modifying the !Boot file, using a random 
  669. name of 1-10 upper case characters. The virus is saved as a BASIC 
  670. file of the same name. However the BASIC itself always has REM>Bigfoot 
  671. on the first line.
  672.  
  673. Apart from spreading, it has no malicious code. 
  674.  
  675. The 5535 byte version can not be Quitted from the Task Manager.
  676.  
  677. (Source: Alan Glover, with thanks to Paul Frohock and David Cox for 
  678. initial analysis)
  679.  
  680.  
  681. ###########################################################################
  682.  
  683. BooHoo
  684. ===========================================================================
  685.  
  686. Last Updated:        6th December 1992
  687. Aliases:             
  688. Origin:              UK
  689. Isolation Date:      December 1992
  690. Effective Length:    1104 bytes
  691. Virus Type:          Resident module infector
  692. Symptoms:            Modules grown by 1104 bytes and are datestamped
  693.  
  694. ---------------------------------------------------------------------------
  695.  
  696. Detection Media:     Killer 1.382+    Memory:      Killer 1.382+
  697.                      VProtect 1.25+
  698.  
  699. Removal   Media:     Killer 1.382+    Memory:      Killer 1.382+
  700.  
  701. ---------------------------------------------------------------------------
  702.  
  703. General Comments:
  704.  
  705. Like Module, this virus operates by merging with relocatable modules. 
  706. However its infection method is somewhat more efficient than Module 
  707. with the result that it will probably spread faster when left unchecked.
  708.  
  709. Infected modules can be identified quickly by looking for the text 
  710. 'VIRU' at the end of an infected module (this is the marker it uses 
  711. to avoid reinfection).
  712.  
  713. RMkilling an infected module will result in the message 'Wah, boo 
  714. hoo!", but the module (and the virus) will close down.
  715.  
  716. On the 23rd October initialising the virus will result in the message 
  717. 'Happy Birthday!' being displayed.
  718.  
  719. The module also returns to SWI &98000, returning R0 pointing to 'I'm 
  720. alive and well, thank you!'.
  721.  
  722. (Source: Alan Glover, with thanks to Craig Murphy)
  723.  
  724.  
  725.  
  726. ###########################################################################
  727.  
  728. Breakfast
  729. ===========================================================================
  730.  
  731. Last Updated:        21st January 1993
  732. Aliases:              
  733. Origin:              Belgium
  734. Isolation Date:      January 1993
  735. Effective Length:    6688 bytes
  736. Virus Type:          Resident Absolute (FF8) file infector.
  737. Symptoms:            Module "BBCEconet 0.09" resident in RMA (&018xxxxx) 
  738.                      (see also BBCEconet & Mode87!).
  739.  
  740. ---------------------------------------------------------------------------
  741.  
  742. Detection Media:     Killer 1.391+    Memory:      Killer 1.391+
  743.                                                    VProtect 1.29+
  744.  
  745. Removal   Media:     Killer 1.391+    Memory:      Killer 1.391+
  746.  
  747. ---------------------------------------------------------------------------
  748.  
  749. General Comments:    
  750.  
  751. The action of this virus bears a marked similarity to Link & BBCEconet, 
  752. i.e. it appends code to absolutes and uses a module to perform the 
  753. infection (in this case BBCEconet, which it installs).
  754.         
  755. As with Link, it attempts to infect %.Squeeze. However, both viruses 
  756. use the same check to see whether a file is infected so it is not 
  757. possible to have an absolute simultaneously infected by this virus 
  758. and Link/BBCEconet.
  759.         
  760. The majority of this virus is kept encrypted when it is not executing, 
  761. and it also encrypts a segment at the beginning of the absolute file. 
  762. The encryption key changes with each infection. In short, you need 
  763. dedicated software to remove it.
  764.         
  765. The datestamp will not change, and as with Link/BBCEconet, it temporarily 
  766. patches Interferon to allow itself to infect without any alarms being 
  767. given.
  768.  
  769. There are various date fired routines, outlined below.
  770.  
  771. Friday 13th:
  772.  
  773. Have a nice day. You have been infected by copy #
  774.  
  775.  
  776. July 21st
  777.  
  778. Cheer up, the worst is yet to come. I think. You have been infected 
  779. by copy #
  780.  
  781.  
  782. November 5th:
  783.   
  784. ...Remember, Remember, the 5th of November - Gunpowder, Treason and 
  785. Plot... You have been infected by copy #
  786.   
  787.  
  788. January 1st:
  789.   
  790. A contest of skill and cyberprank... Who can be the unspoken Maestro? 
  791. I know Dr. Blob is quite good, but can he dig this one? You have 
  792. been infected by copy #
  793.  
  794. April 1st:
  795.  
  796. <More details will be added when this routine has been analysed>
  797.  
  798. (Source: Alan Glover)
  799.  
  800.  
  801.  
  802. ###########################################################################
  803.  
  804. CeBIT
  805. ===========================================================================
  806.       
  807. Last Updated:        21st April 1992
  808. Aliases:             Lord of Darkness, TlodMod
  809. Origin:              Germany
  810. Isolation Date:      March 1991
  811. Effective Length:    1240 bytes
  812. Virus Type:          Resident !Boot file infector, stores code as 
  813.                      separate file.
  814. Symptoms:            File "TlodMod" in application directories.
  815.  
  816. ---------------------------------------------------------------------------
  817.  
  818. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  819.                      Scanner 1.23+                 Killer 1.17+ 
  820.                      VProtect 1.06+                Scanner 1.20+
  821.                 
  822. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  823.                      delete named file, remove last line from !Boot.
  824.  
  825. ---------------------------------------------------------------------------
  826.  
  827. General Comments:
  828.  
  829. This is a module called "TlodMod" with the following title string:
  830.  
  831. TlodMod 1.11 (11 Nov 1990) by Devil the LORD OF DARKNESS
  832.  
  833. It is 1240 (&4D8) bytes long and hooks itself into UpCallV. It then 
  834. activates once a minute and first checks for the existence of <Obey$Dir>.TlodMod. 
  835. If this already exists, then no further action is taken. If it doesn't, 
  836. however, it then attempts to append the following line to <Obey$Dir>.!Boot:
  837.  
  838. rme. TlodMod 0 rml. <Obey$Dir>.TlodMod
  839.  
  840. If it succeeds at this, a counter is incremented and the module is 
  841. replicated as <Obey$Dir>.TlodMod. Every 16th successful infection 
  842. will trip the virus into issuing a "*Wipe $.path.file*" (which will 
  843. inevitably fail!) and then displaying a message accompanied by a 
  844. simple graphic.
  845.  
  846. The message displayed is thus:
  847.  
  848. This is a warning to all Users,
  849. I am back on the Archimedes ...
  850.  
  851. Your Archie is infected now and
  852. with him most of your programms.
  853.  
  854. Don't worry, nothing is damaged,
  855. but keep in mind the protection!
  856.  
  857. And always think about the other
  858. side of THE LORD OF DARKNESS ...
  859.  
  860. Virus generation is <counter>
  861.  
  862. (Source: Richard K. Lloyd)
  863.  
  864.  
  865. ###########################################################################
  866.  
  867. Code
  868. ===========================================================================                     
  869.  
  870. Last Updated:        11th September 1992
  871. Aliases:              
  872. Origin:              UK
  873. Isolation Date:      June 1992
  874. Effective Length:    2251 bytes
  875. Virus Type:          Resident !Boot file infector, stores code as 
  876.                      separate file.
  877. Symptoms:            File "Code" in application directories.
  878.  
  879. ---------------------------------------------------------------------------
  880.  
  881. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  882.                      Scanner 1.42+                 VProtect 1.17+
  883.  
  884. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+
  885.                      Scanner 1.42+
  886.  
  887. ---------------------------------------------------------------------------
  888.  
  889. General Comments:
  890.  
  891. This virus installs itself as a desktop task called "Window Manager". 
  892. The 'Code' file is filetyped as &FF8, but is actually plain BASIC. 
  893.  
  894.  
  895. The virus can either extend a !Boot or create one - if one is created 
  896. it will be 44 bytes long. 
  897.  
  898. The only effects from this virus will be the the loss of sprites 
  899. for some applications, since the !Boot file it creates does not contain 
  900. an IconSprites statement to load the sprites. 
  901.  
  902. (Source: Alan Glover)
  903.  
  904.  
  905.  
  906. ###########################################################################
  907.  
  908. Diehard
  909. ===========================================================================                     
  910.  
  911. Last Updated:        21st November 1993
  912. Aliases:             Icon (2173 byte)
  913. Origin:              UK
  914. Isolation Date:      October 1993
  915. Effective Length:    2173 bytes
  916. Virus Type:          Resident !Boot file infector, stores code as 
  917.                      separate file.
  918. Symptoms:            File "Setup" in application directories
  919.  
  920. ---------------------------------------------------------------------------
  921.  
  922. Detection Media:     Killer 1.504+    Memory:      Killer 1.504+
  923.                                                    VProtect 1.49+
  924.  
  925. Removal   Media:     Killer 1.504+    Memory:      Killer 1.504+
  926.                      Scanner 1.42+
  927.  
  928. ---------------------------------------------------------------------------
  929.  
  930. General Comments:                                                
  931.                
  932. Strictly speaking, this is an Icon variant. Please see the entry 
  933. for it under the Icon section.
  934.  
  935.  
  936.  
  937. ###########################################################################
  938.  
  939. Ebenezer
  940. ===========================================================================
  941.       
  942. Last Updated:        19th February 1993
  943. Aliases:             
  944. Origin:              United Kingdom
  945. Isolation Date:      February 1993
  946. Effective Length:    2400 bytes
  947. Virus Type:          Resident task. Stores code as separate file.
  948. Symptoms:            File Run2 in application directory.
  949.  
  950. ---------------------------------------------------------------------------
  951.  
  952. Detection Media:     Killer 1.393+    Memory:      Killer 1.393+
  953.                      VProtect 1.31+
  954.                 
  955. Removal   Media:     Killer 1.393+    Memory:      Killer 1.393+
  956.  
  957. ---------------------------------------------------------------------------
  958.  
  959. General Comments:
  960.  
  961. This is basically the Vigay virus, with amendments to the original 
  962. program to make it slightly different.
  963.  
  964. The changes are:
  965.   
  966. Triggers on Friday rather than Thursday
  967. The virus is in a file called Run2
  968. The desktop task is called "Filer" (which will show up as an application 
  969. task, not a module task like the real Filer).
  970.  
  971.  
  972.  
  973. ###########################################################################
  974.  
  975. EMod
  976. ===========================================================================
  977.       
  978. Last Updated:        31st March 1993
  979. Aliases:             
  980. Origin:              United Kingdom
  981. Isolation Date:      March 1993
  982. Effective Length:    1686 bytes
  983. Virus Type:          Resident task. Stores code as separate file.
  984. Symptoms:            Spurious files inside application directories
  985.  
  986. ---------------------------------------------------------------------------
  987.  
  988. Detection Media:     Killer 1.400+    Memory:      Killer 1.400+
  989.                      VProtect 1.33+
  990.                 
  991. Removal   Media:     Killer 1.400+    Memory:      Killer 1.400+
  992.  
  993. ---------------------------------------------------------------------------
  994.  
  995. General Comments:
  996.                                                                  
  997.                       
  998. This virus is written in BASIC and uses an insertion in a !Boot file 
  999. to load itself, whereupon it initialises as an application task called 
  1000. " ", which cannot be quitted from the Task Manager.
  1001.  
  1002. The virus has no malicious code, however its coding is such that 
  1003. it may well generate errors whilst trying to infect something.
  1004.  
  1005. The virus code is stored in one of the following names, chosen at 
  1006. random. If a file already exists with that name in the application 
  1007. it will choose again.
  1008.  
  1009. !ReadMe (text),!Help (text),menus (text),Script (text),MemAlloc (module),!Run2 
  1010. (obey),!RunImage (basic),messages (text),FPE (module),!Sprites23 
  1011. (sprite),Windows (template),Templates (template),Scrap (data),KeyUtil 
  1012. (utility),Chars (bbcfont),Font (font),Subscripts (absolute),Palette 
  1013. (palette),Protect (module), WimpMan2 (module),Settings (data),Configure 
  1014. (utility),init (utility),!RunImage2 (basic),Choices (data)
  1015.  
  1016.  
  1017. ###########################################################################
  1018.  
  1019. Ex_port
  1020. ===========================================================================
  1021.  
  1022. Last Updated:        6th December 1992
  1023. Aliases:             
  1024. Origin:              UK
  1025. Isolation Date:      November 1992
  1026. Effective Length:    1282 bytes
  1027. Virus Type:          Resident application infector
  1028. Symptoms:            Modules grown by 1104 bytes and are datestamped
  1029.  
  1030. ---------------------------------------------------------------------------
  1031.  
  1032. Detection Media:     Killer 1.382+    Memory:      Killer 1.382+
  1033.                      VProtect 1.25+
  1034.  
  1035. Removal   Media:     Killer 1.382+    Memory:      Killer 1.382+
  1036.  
  1037. ---------------------------------------------------------------------------
  1038.  
  1039. General Comments:
  1040.  
  1041. This is written in BASIC, and always has the filename Ex_port, though 
  1042. the filetype maybe Sprite, Template, Text, Command, Data, Absolute, 
  1043. Module, Font or BBCFont.
  1044.  
  1045. It installs itself as a nameless desktop task, so earlier versions 
  1046. of !Killer may detect it as the Extend virus.
  1047.  
  1048. There are no messages or overtly malicious code, however its infection 
  1049. technique can cause problems.
  1050.  
  1051. (Source: Alan Glover, with thanks to Toby Smith)
  1052.  
  1053.  
  1054.  
  1055. ###########################################################################
  1056.  
  1057. Extend
  1058. ===========================================================================
  1059.       
  1060. Last Updated:        21st November 1993
  1061. Aliases:             
  1062. Origin:              United Kingdom
  1063. Isolation Date:      October 1990
  1064. Effective Length:    940 bytes
  1065. Virus Type:          Resident task. Stores code as separate file.
  1066. Symptoms:            File "MonitorRM", "CheckMod", "ExtendRM", "OSextend", 
  1067.                      "ColourRM",  "Fastmod", "CodeRM" or "MemRM" in 
  1068.                      application directory. Each time the code is 
  1069.                      executed it grabs 1k of RMA - this will eventually 
  1070.                      lead to a system crash.
  1071.  
  1072. ---------------------------------------------------------------------------
  1073.  
  1074. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  1075.                      VProtect 1.06+                Killer 1.17+
  1076.                      Hunter 1.00+                  Scanner 1.20+
  1077.                      Scanner 1.36+
  1078.                 
  1079. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+
  1080.                      delete named file, remove extra lines from !Boot.
  1081.  
  1082. ---------------------------------------------------------------------------
  1083.  
  1084. General Comments:
  1085.  
  1086. It's a module which can go under 8 different filenames (the name 
  1087. is picked at random using the current time as a seed):
  1088.  
  1089. MonitorRM, CheckMod, ExtendRM, OSextend, ColourRM, Fastmod, CodeRM 
  1090. or MemRM.
  1091.  
  1092. However, the module itself has the following title string:
  1093.  
  1094. Extend 1.56 (08 Jul 1989)
  1095.  
  1096. It is 940 (&3AC) bytes long and initialises itself as a nameless 
  1097. Wimp task which then looks for Wimp Message 5 (double-click). It 
  1098. attempts to either create an !Boot in the application directory or 
  1099. append to an already existing one with the following lines:
  1100.  
  1101. IconSprites <Obey$Dir>.!Sprites [0D]        
  1102. RMEnsure Extend 0 RMRun <Obey$Dir>.ModName [0D]
  1103. ||[FF]
  1104.  
  1105. The "IconSprites" line is omitted if it is appended to an existing 
  1106. !Boot. "ModName" is one of the 8 possible filenames. The Extend Virus 
  1107. uses the &FF (i.e. decimal 255) byte at the end as a self-check to 
  1108. see if has infected the !Boot file already. Of course, it copies 
  1109. itself to the new name inside the application directory as you would 
  1110. expect. Note the incorrect use of &0D (decimal 13) to terminate the 
  1111. lines, rather than the more correct &0A (decimal 10).            
  1112.           
  1113.  
  1114. A shift-double-click does NOT cause an infection, but it DOES claim 
  1115. yet another 1K of never-to-be-released RMA.
  1116.  
  1117. There is no damage apart from the claiming of RMA (which will eventually 
  1118. lead to a system crash).
  1119.                                                
  1120. Two variants have appeared during October/November 1993. Both are 
  1121. malformed, so that the filenames have an additional character at 
  1122. the beginning. Killer/VProtect are aware of both of these from version 
  1123. 1.511. One has the module name as HLCC12, the other as Ohshit.
  1124.  
  1125. (Source: Richard K. Lloyd)
  1126.  
  1127.  
  1128. ###########################################################################
  1129.  
  1130. ExtendV2
  1131. ===========================================================================
  1132.  
  1133. Last Updated:        16th January 1993
  1134. Aliases:             
  1135. Origin:              UK
  1136. Isolation Date:      December 1992
  1137. Effective Length:    1878 bytes
  1138. Virus Type:          Resident application infector
  1139. Symptoms:            Module file called 'ExtendV2'
  1140.  
  1141. ---------------------------------------------------------------------------
  1142.  
  1143. Detection Media:     Killer 1.391+    Memory:      Killer 1.391+
  1144.                      VProtect 1.27+
  1145.  
  1146. Removal   Media:     Killer 1.391+    Memory:      Killer 1.391+
  1147.  
  1148. ---------------------------------------------------------------------------
  1149.  
  1150. General Comments:
  1151.  
  1152. This is an Icon variant, but has its own entry because it inserts 
  1153. a line in !Boot files saying 'Yes Extend Strikes Again !!!!'. It 
  1154. is filetyped as a module, using the filename 'ExtendV2'.
  1155.  
  1156.  
  1157.  
  1158. ###########################################################################
  1159.  
  1160. FCodex
  1161. ===========================================================================
  1162.  
  1163. Last Updated:        16th May 1993
  1164. Aliases:             
  1165. Origin:              UK
  1166. Isolation Date:      May 1993
  1167. Effective Length:    1994 bytes
  1168. Virus Type:          Non-resident application infector
  1169. Symptoms:            Absolute file called FCodex
  1170.  
  1171. ---------------------------------------------------------------------------
  1172.  
  1173. Detection Media:     Killer 1.405+    Memory:      Killer 1.405+
  1174.                      VProtect 1.27+
  1175.  
  1176. Removal   Media:     Killer 1.405+    Memory:      Killer 1.405+
  1177.  
  1178. ---------------------------------------------------------------------------
  1179.  
  1180. General Comments:
  1181.                                                
  1182. This is a non-resident BASIC program which infects applications via 
  1183. their !Run file (which should help to limit its spread somewhat).
  1184.  
  1185. This virus is capable of wiping the contents of a disc, so handle 
  1186. with extreme care!
  1187.  
  1188. The message below is displayed when it completes wiping a disc:
  1189.   
  1190.  HI! You have been virus
  1191.  infected! Aren't you happy?
  1192.  No! Well I've got more good
  1193.  news, if you have a hard
  1194.  disc then that is blank and
  1195.  your floppy disc is blank
  1196.  aswell, if it is not then
  1197.  you had the disc read tab
  1198.  on, LUCKY!! Bye for now....
  1199.  
  1200.  
  1201.  
  1202. ###########################################################################
  1203.  
  1204. Funky
  1205. ===========================================================================
  1206.  
  1207. Last Updated:        25th October 1992
  1208. Aliases:             
  1209. Origin:              UK
  1210. Isolation Date:      October 1992
  1211. Effective Length:    1308 bytes
  1212. Virus Type:          Resident application infector
  1213. Symptoms:            Sprite file called 'Funky!', application task 
  1214.                      called 'Window Dude'
  1215.  
  1216. ---------------------------------------------------------------------------
  1217.  
  1218. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  1219.                      VProtect 1.24+
  1220.  
  1221. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  1222.  
  1223. ---------------------------------------------------------------------------
  1224.  
  1225. General Comments:
  1226.  
  1227. In common with the Icon family, this is a BASIC program hidden under 
  1228. a Sprite filetype. It initialises as a desktop task called 'Window 
  1229. Dude' and infects by saving copies of itself and amending !Boot files.
  1230.  
  1231. (Source: Paul Frohock)
  1232.  
  1233.  
  1234.  
  1235. ###########################################################################
  1236.  
  1237. Garfield_I
  1238. ===========================================================================
  1239.  
  1240. Last updated:        11th September 1992
  1241. Aliases:              
  1242. Origin:              United Kingdom
  1243. Isolation Date:      June 1992
  1244. Effective Length:    1640, not including the files "!Boot", "!Run" 
  1245.                      and "!Sprites".
  1246. Virus Type:          Resident application infector.
  1247. Symptoms:            Directory "!Pic" with files "!Boot", "!Run", 
  1248.                      "!Mod" (module) and "!Sprites". Recursive infections 
  1249.                      possible.
  1250.  
  1251. ---------------------------------------------------------------------------
  1252.  
  1253. Detection Media:     Killer 1.362+    Memory:      Killer 1.362+
  1254.                      Scanner 1.42+                 VProtect 1.20+
  1255.                                                    Scanner 1.47+
  1256.                      
  1257. Removal   Media:     Killer 1.362+    Memory:      Killer 1.362+
  1258.                      Scanner 1.42+                 Scanner 1.47+
  1259.  
  1260. ---------------------------------------------------------------------------
  1261.  
  1262. General Comments:
  1263.  
  1264. Garfield_I is a resident virus, lodging itself in the RMA as a module 
  1265. "IconManager". When active, it creates a directory inside an application 
  1266. called "!Pic" with the files "!Boot", "!Run", "!Mod" and "!Sprites". 
  1267. The virus code is contained in "!Mod". It then proceeds to add the 
  1268. following lines to the infected application's "!Boot" file: 
  1269.  
  1270. RMEnsure IconManager 1.27 <obey$dir>.!pic
  1271.         
  1272. Garfield_I uses the default Acorn sprite file sprite, so a casual 
  1273. glimpse in an application folder will not reveal it unless you a) 
  1274. use a different sprite for sprite files or you b) open the folder 
  1275. with "full info". 
  1276.  
  1277. It does not check for multiple infections. Infected applications 
  1278. will, more often than not, contain "!Pic" directories inside "!Pic" 
  1279. directories. 
  1280.  
  1281. Garfield_I activates on the first Monday of any month, displaying
  1282.  
  1283. "The Garfield Virus is here to stay"
  1284.  
  1285. then repeatedly
  1286.  
  1287. "Don't you just hate Mondays?"
  1288.  
  1289. until the machine is reset or switched off.
  1290.  
  1291. (Source: Alan Glover)
  1292.  
  1293.  
  1294.  
  1295. ###########################################################################
  1296.  
  1297. Garfield_W
  1298. ===========================================================================
  1299.  
  1300. Last Updated:        11th September 1992
  1301. Aliases:              
  1302. Origin:              United Kingdom
  1303. Isolation Date:      June 1992
  1304. Effective Length:    1480, not including the files "!Boot", "!Run" 
  1305.                      and "!Sprites".
  1306. Virus Type:          Resident application infector.
  1307. Symptoms:            Directory "!Obey" with files "!Boot", "!Run", 
  1308.                      "!Mod" (module) and "!Sprites". Recursive infections 
  1309.                      possible.
  1310.  
  1311. ---------------------------------------------------------------------------
  1312.  
  1313. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  1314.                      Scanner 1.41+                 Scanner 1.41+
  1315.                      VProtect 1.17+                Interferon 2.00+
  1316.                                            
  1317. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+ 
  1318.                                                    
  1319.                                                    Scanner 1.41+
  1320.  
  1321. ---------------------------------------------------------------------------
  1322.  
  1323. General Comments:
  1324.  
  1325. Garfield_W is a resident virus, lodging itself in the RMA as a module 
  1326. "WimpAIDS". When active, it creates a directory inside an application 
  1327. called "!Obey" with the files "!Boot", "!Run", "!Mod" and "!Sprites". 
  1328. The virus code is contained in "!Mod". It then proceeds to add the 
  1329. following lines to the infected application's "!Boot" file: 
  1330.  
  1331. <Obey$Dir>.!Obey
  1332. |Above line is inoculation for the wimp virus
  1333.         
  1334. Garfield_W uses the default Acorn Obey file sprite, so a casual glimpse 
  1335. in an application folder will not reveal it unless you a) use a different 
  1336. sprite for obey files or you b) open the folder with "full info". 
  1337.  
  1338.  
  1339. Garfield_W does not check for multiple infections. Infected applications 
  1340. will, more often than not, contain "!Obey" directories inside "!Obey" 
  1341. directories. 
  1342.  
  1343. Garfield_W activates on the first Monday of any month, displaying
  1344.  
  1345. "The Garfield Virus is here to stay"
  1346.  
  1347. then repeatedly
  1348.  
  1349. "Don't you just hate Mondays?"
  1350.  
  1351. until the machine is reset or switched off.
  1352.  
  1353. [ Note: Although both Garfield_I and Garfield_W call themselves Garfield, 
  1354. and give the same message, we have given them separate entries since 
  1355. certain items differ between them - notably application and module 
  1356. names. ]
  1357.  
  1358. (Source: Alan Glover)
  1359.  
  1360.  
  1361.  
  1362. ###########################################################################
  1363.  
  1364. Handler
  1365. ===========================================================================
  1366.  
  1367. Last Updated:        25th October 1992
  1368. Aliases:             
  1369. Origin:              UK
  1370. Isolation Date:      October 1992
  1371. Effective Length:    1532 bytes
  1372. Virus Type:          Resident application infector
  1373. Symptoms:            Desktop Task called 'Task Handler'.
  1374.  
  1375. ---------------------------------------------------------------------------
  1376.  
  1377. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  1378.                      VProtect 1.24+
  1379.  
  1380. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  1381.  
  1382. ---------------------------------------------------------------------------
  1383.  
  1384. General Comments:
  1385.  
  1386. This virus is loaded by a !run file, so is likely to spread slower 
  1387. than most. It renames the original !Run file to Obey. The virus itself 
  1388. is in an absolute called Handler.
  1389.  
  1390. It may display a message:
  1391.  
  1392. You have been infected with the Handler VIRUS
  1393. The Virus is just to see how good a program can infect
  1394. Sorry if it has up set you in any way, Thats about all i can
  1395. say!
  1396. Generation :
  1397. Press any key to change the channel.
  1398.  
  1399.  
  1400. (Source: Paul Frohock)
  1401.  
  1402.  
  1403.  
  1404. ###########################################################################
  1405.  
  1406. Icon
  1407. ===========================================================================
  1408.  
  1409. Last Updated:        6th January 1994
  1410. Aliases:             Icon-A, Filer, Poison, NewVirus
  1411. Origin:              United Kingdom
  1412. Isolation Date:      1990?
  1413. Effective Length:    5498 bytes in base version
  1414. Virus Type:          Task. Stores code as separate file.
  1415. Symptoms:            Nameless wimp task on the Task Manager (sometimes). 
  1416.                      Silly error messages may appear without reason 
  1417.                      (sometimes). See below for likely additional 
  1418.                      files appearing inside applications
  1419.  
  1420. ---------------------------------------------------------------------------
  1421.  
  1422. Detection Media:     Killer 1.17+     Memory:      Killer 1.17+
  1423.                      Scanner 1.32+                 Scanner 1.32+
  1424.                      IVSearch 2.05+ (note 1)
  1425.                      VProtect 1.06+ 
  1426.                      Hunter 1.00+ (note 1)
  1427.                 
  1428. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  1429.                      delete named file, remove last line from !Boot.
  1430.  
  1431. ---------------------------------------------------------------------------
  1432.  
  1433. General Comments:
  1434.  
  1435. The Icon virus family is a type of very contagious viruses. They 
  1436. are harmless to that extent that they do not destroy files. However, 
  1437. they are very annoying (although I must admit some of the messages 
  1438. were quite amusing!). Common for all the viruses in the Icon family 
  1439. is that the virus is an unnamed wimp task written in BASIC. It spreads 
  1440. by adding a few lines to the !Boot file of an application (without 
  1441. checking for multiple infections), and then saving the code as a 
  1442. file as with filetype sprite.
  1443.  
  1444. <set the wimpslot>
  1445. BASIC -quit <obey$dir>.<virusfile>
  1446.  
  1447. The original virus displayed a stupid error message on start-up, 
  1448. and then every so often after that. Commonly also called the Filer 
  1449. virus as the error message header claims that it's from the Filer. 
  1450. Here are a few examples of what type of error messages which might 
  1451. appear:
  1452.  
  1453. ".desreveR maertS tuptuO"
  1454. "This error should not occur."
  1455. "Previous error did not occur."
  1456. "Could not reach top of stack."
  1457.  
  1458. Known variant(s) of the Icon virus are:
  1459.  
  1460. Icon-1170
  1461.  
  1462. Filename: Sprites. This variant sets the system date to 1939.
  1463.  
  1464. Icon-1668
  1465.  
  1466. Filenames: !Runimage2, memaloc, mouserm, screen, prntdata, sys_pal, 
  1467. new_arc, drawfile, oldboot, oldrun, template, bbc_data and hd_cat.
  1468.  
  1469. Squeezed BASIC version using various filenames/filetypes. No silly 
  1470. messages.
  1471. (this strain added: 16th January 1993)
  1472.  
  1473. Icon-1687
  1474.  
  1475. Filename: Icon
  1476.  
  1477. No other effects.
  1478.  
  1479. Icon-1988
  1480.  
  1481. Filename: YUKOHNO!, no filetype.
  1482.  
  1483. Icon-1992
  1484.  
  1485. Filename: Wraith
  1486.  
  1487. Icon-2096
  1488.  
  1489. Filename: Poison
  1490.  
  1491. Random error code replaced with a *I am stuck - which might log the 
  1492. user on to a network if they're very unfortunate!
  1493.  
  1494. Icon-2120
  1495.  
  1496. Filename: OldCMOS                         
  1497.  
  1498. Icon-2158
  1499.  
  1500. Filename: Spr
  1501.  
  1502. This one is nasty! Aside from usual Icon tricks it *replaces* the 
  1503. !Run file of an application with a command to format drive 0, so 
  1504. running the application will format the disc (... that it is on, 
  1505. in the worst case).
  1506.    
  1507. Icon-2173
  1508.  
  1509. Filename: Setup (filetype Data)
  1510.  
  1511. Versions of VProtect before 1.46 will not detect this virus, allowing 
  1512. it to remove VProtect and delete <Killer$dir>. Aside from this anti-social 
  1513. behaviour it is unremarkable.
  1514.  
  1515. Icon-2285
  1516.  
  1517. Filename: !Spritey (untyped)
  1518.  
  1519. Unremarkable.
  1520.  
  1521. Icon-2616
  1522.  
  1523. Filename: Icon
  1524.  
  1525. No silly messages from this version - also has the name of the person 
  1526. who modified it  (yes, the UK Computer Crimes Unit have acted on 
  1527. this!).
  1528.          
  1529. Icon-2622
  1530.  
  1531. Filename: Wright
  1532.  
  1533. Icon-2631
  1534.  
  1535. Filename: Splodge
  1536.  
  1537. Identical to 2616, except the change of name.   
  1538.  
  1539. Icon-2651
  1540.  
  1541. Filename:Options, desktop task called Options. No malicious code.
  1542.  
  1543. Icon-2696
  1544.  
  1545. Filename:wallace, filetype module. Otherwise as 2616.
  1546.  
  1547. Icon-2948
  1548.  
  1549. Filenames: »pic, new file, «READER», LO¢K, INTER»ACT
  1550.  
  1551. Icon-2963
  1552.  
  1553. Can use one of the following names. Produces messages on Fri 13th 
  1554. & 5th November: AnimMod, FCoreFix, Modes, Overscan, Monitor, 3dIcons, 
  1555. ScrapMod, SysMod, Patch, Padfile, Compact, UtilMod, FreeMem, Graphics, 
  1556. Music, Support, WimpIcons, Taxan, Cambridge, VigayMod, SmiggyMod, 
  1557. ASCIIConv, StripLine, Redirect.
  1558.                              
  1559. Icon-2977
  1560.  
  1561. Dangerous variant sent anonymously to Pineapple Software. It is not 
  1562. yet known whether this strain is also in the wild. However, given 
  1563. it's date fired routines it has been added to VProtect & Killer's 
  1564. repertoire.
  1565.  
  1566. Fri 13th: configure spritesize 512K, ramdisc 0K, and the message 
  1567. "Palette Strikes Again!!!"
  1568.  
  1569. Apr 1st: configure idediscs 0, configure hardiscs 0, and the message 
  1570. "Palette has wiped your Hard Drive" (of course it hasn't).
  1571.  
  1572. 30 minutes past the hour: configure floppies 2, configure idediscs 
  1573. 2, and the message "Your Floppy Drive Has Got An Erection"
  1574.  
  1575. Jul 4th: configure tv 0,0 and the message "***SHAKES***"
  1576.  
  1577. Dec 25th: *drive 0, *wipe *.* f ~c and the message "The AVRD doesn't 
  1578. know about this one."
  1579.  
  1580. Feb 14th: *SET System$Dir <Obey$Dir>.^ and the message "Alan G 4 
  1581. Tor H"
  1582.  
  1583. Dec 26th: *unplug desktop, and the message "Sorry to wreck your new 
  1584. pressy but this *is* a virus."
  1585.  
  1586. Jan 1st before 10am: *configure noscroll, *configure mousestep 20, 
  1587. and the message "Got over your hangover already?"
  1588.  
  1589. Icon-3077
  1590.  
  1591. Filenames and filetype chosen at random from:
  1592.   
  1593. Filenames:
  1594.   
  1595. Anim,FCoreFix,Modes,OverDo,Monitor,3dIcons,Scrap,Sys,Patch,Padfile,Compact,Util,FreeMem,GraTask,Music,Support,WimpIcons,TaxMontr, 
  1596. Script,Preview,Reloc,Runtime,StripLine,ErrorGen,CLib,ABCLib,FPEmulator,Colours
  1597.                     
  1598. Icon-4508
  1599.  
  1600. Filename: Code 32, filetype Data. May cause unexpected colour changes 
  1601. in the desktop.
  1602.  
  1603. Icon-5498 
  1604.  
  1605. Filename: Icon, though the in-core name is 'Extra'. 
  1606.  
  1607. Does have silly messages.
  1608.  
  1609. Icon-5574      
  1610.  
  1611. Filename: Icon
  1612.  
  1613. As 5498 with missing Hourglass_On call added. Silly message less 
  1614. likely to appear when it is loaded.
  1615.  
  1616. Icon-5737
  1617.  
  1618. Filename: NewVirus
  1619.  
  1620. As 5574, but with a three-key sequence to exit the program. High 
  1621. likelihood of a silly error at startup. Insignificant changes to 
  1622. !Boot save routine.
  1623.  
  1624. Icon-5742
  1625.  
  1626. Filename: Icon
  1627.  
  1628. Bugfix of 5737. Less likely to give silly errors when loaded.
  1629.  
  1630. (Source: Alan Glover)
  1631.  
  1632.  
  1633. ###########################################################################
  1634.  
  1635. Image
  1636. ===========================================================================
  1637.  
  1638. Last Updated:        21st April 1992
  1639. Aliases:             
  1640. Origin:              Northern Ireland ?
  1641. Isolation Date:      Jan. 1992 by Svlad Cjelli
  1642. Effective Length:    512 bytes
  1643. Virus Type:          Resident, although not in RMA
  1644. Symptoms:            Files "Image" and "!Spr" in application directories. 
  1645.                      The file "image" has no filetype, but !Spr has 
  1646.                      the type Obey.
  1647.  
  1648. ---------------------------------------------------------------------------
  1649.  
  1650. Detection Media:     Killer 1.26+     Memory:      Killer 1.26+
  1651.                      Scanner 1.13+
  1652.                      VProtect 1.07+ 
  1653.                 
  1654. Removal   Media:     Killer 1.26+     Memory:      Killer 1.26+ 
  1655.                      Scanner 1.15+
  1656.                      delete "Image". If there is a "!Spr" file, delete 
  1657.                      !Run and rename !Spr as !Run, otherwise delete 
  1658.                      !Boot.
  1659.  
  1660. ---------------------------------------------------------------------------
  1661.  
  1662. General Comments:
  1663.  
  1664. This virus carries no payload, but spreads VERY fast, to the extent 
  1665. that you can delete the file, only to see it instantly re-appear 
  1666. again if it is in memory!
  1667.  
  1668. It loads its code into the OS workspace, at &5500, it is therefore 
  1669. liable to crash the machine should the OS use that area of workspace.
  1670.  
  1671. The !Run or !Boot file looks like this:
  1672.  
  1673. LOAD <OBEY$DIR>.IMAGE 5500[0d]GO 5500[0d]
  1674.  
  1675. Its action on infection is to save <Obey$Dir>.Image, and then either 
  1676. to create a !Boot file if one does not exist, or if it does, rename 
  1677. the !Run file to !Spr and then create a new !Run file.
  1678.  
  1679. (Sources: Alan Glover, Svlad Cjelli)
  1680.  
  1681.  
  1682. ###########################################################################
  1683.  
  1684. Image2
  1685. ===========================================================================
  1686.  
  1687. Last Updated:        29th October 1993
  1688. Aliases:             
  1689. Origin:              
  1690. Isolation Date:      October 1993
  1691. Effective Length:    320
  1692. Virus Type:          Resident in RMA
  1693. Symptoms:            Files "Image" and "!BootFAT" in application 
  1694.                      directories. The file "image" has filetype &FFC, 
  1695.                      but !Spr has the type Obey.
  1696.  
  1697. ---------------------------------------------------------------------------
  1698.  
  1699. Detection Media:     Killer 1.509+    Memory:      Killer 1.509+
  1700.                      VProtect 1.50+ 
  1701.                 
  1702. Removal   Media:     Killer 1.509+    Memory:      Killer 1.509+ 
  1703.                                                    
  1704.  
  1705. ---------------------------------------------------------------------------
  1706.  
  1707. General Comments:
  1708.  
  1709. This virus carries no payload, but spreads VERY fast, to the extent 
  1710. that you can delete the file, only to see it instantly re-appear 
  1711. again if it is in memory!
  1712.  
  1713. It loads its code into the RMA, but will not appear as a module of 
  1714. any sort.
  1715.  
  1716. Its action on infection is to save <Obey$Dir>.Image, and then either 
  1717. to create a !Boot file if one does not exist, or if it does, rename 
  1718. the !Run file to !BootFat.
  1719.  
  1720.  
  1721.  
  1722. ###########################################################################
  1723.  
  1724. Increment
  1725. ===========================================================================
  1726.  
  1727. Last Updated:        18th September 1992
  1728. Aliases:             
  1729. Origin:              UK, Cornwall ?
  1730. Isolation Date:      September 1992
  1731. Effective Length:    464 bytes
  1732. Virus Type:          Resident
  1733. Symptoms:            CMOS configuration settings seem to change randomly
  1734.  
  1735. ---------------------------------------------------------------------------
  1736.  
  1737. Detection Media:     Killer 1.375+    Memory:      Killer 1.375+
  1738.                      Scanner 1.49+                 Scanner 1.49+
  1739.                      VProtect 1.23+
  1740.  
  1741. Removal   Media:     Killer 1.375+    Memory:      Killer 1.375+
  1742.  
  1743. ---------------------------------------------------------------------------
  1744.  
  1745. General Comments:
  1746.  
  1747. The virus appends itself to existing !boot files. The virus may not 
  1748. be immediately obvious when an infected !boot file is viewed in !Edit 
  1749. because it inserts 28 or more line feeds between the legitimate file 
  1750. and the viral appendage. However CTRL-Down Arrow will move down to 
  1751. the bottom of the file and expose the telltale signs of a machine 
  1752. code appendage on the end of the file.
  1753.  
  1754. On each infection the virus will increment a CMOS RAM location - 
  1755. the location is incremented too on each infection with the effect 
  1756. of seemingly random problems appearing (including ROM modules becoming 
  1757. unplugged for example).
  1758.  
  1759. (Source: Alan Glover, with thanks to Lee Davies)
  1760.  
  1761.  
  1762. ###########################################################################
  1763.  
  1764. Irqfix
  1765. ===========================================================================
  1766.       
  1767. Last Updated:        14th September 1992
  1768. Aliases:             
  1769. Origin:              United Kingdom
  1770. Isolation Date:      September 1992
  1771. Effective Length:    940 bytes
  1772. Virus Type:          Resident task. Stores code as separate file.
  1773. Symptoms:            File "RiscExtRM", "WimpPoll", "OSSystem", "MiscUtil", 
  1774.                      "FastRom", "IRQFix" or "AppRM" in application 
  1775.                      directory. Each time the code is executed it 
  1776.                      grabs 1k of RMA - this will eventually lead to 
  1777.                      a system crash.
  1778.  
  1779. ---------------------------------------------------------------------------
  1780.  
  1781. Detection Media:     Killer 1.374+    Memory:      Killer 1.374+
  1782.                      Scanner 1.48+                 Scanner 1.48+
  1783.                      VProtect 1.22+
  1784.  
  1785. Removal   Media:     Killer 1.374+    Memory:      Killer 1.374+
  1786.                      Scanner 1.48+
  1787.                      delete named file, remove extra lines from !Boot.
  1788.  
  1789. ---------------------------------------------------------------------------
  1790.  
  1791. General Comments:
  1792.                                                                  
  1793.                          
  1794. This is a variant of Extend which uses IRQFix as the module name, 
  1795. and different filenames. In all other respects the code is identical 
  1796. to Extend.
  1797.  
  1798. (Source: Alan Glover, with thanks to Alex Belton)
  1799.  
  1800.  
  1801. ###########################################################################
  1802.  
  1803. Link
  1804. ===========================================================================
  1805.  
  1806. Last Updated:        21st April 1992
  1807. Aliases:             
  1808. Origin:              United Kingdom
  1809. Isolation Date:      January 10th, 1992
  1810. Effective Length:    1416 bytes
  1811. Virus Type:          Resident Absolute file infector. Also a Trojan 
  1812.                      Horse.
  1813. Symptoms:            Module 'BSToDel' in module list. Files are re-stamped.
  1814.  
  1815. ---------------------------------------------------------------------------
  1816.  
  1817. Detection Media:     Killer 1.27+     Memory:      Interferon 2.10+
  1818.                      Scanner 1.03+                 Killer 1.27+
  1819.                      Hunter 1.16+                  Hunter 1.16+
  1820.                                                    Scanner 1.20+
  1821.  
  1822. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  1823.                      Hunter 1.16+                  Inteferon 2.10+
  1824.                      Scanner 1.20+                 Hunter 1.16+
  1825.                                                    Scanner 1.20+
  1826.  
  1827. ---------------------------------------------------------------------------
  1828.  
  1829. General Comments:
  1830.  
  1831. The reason why I found the Link virus was because of the module 'BSToDel' 
  1832. appearing in the module list. Also, suddenly Killer 1.17 didn't work 
  1833. (It gave an "Integrity check failed" and refused to load)! As I already 
  1834. have made my own 'backspace to delete' utility as a module, I wondered 
  1835. where that module came from! (It certainly wasn't as a separate module 
  1836. on the disc.)
  1837.  
  1838. Before installing itself as a module, it infects %.Squeeze (if there 
  1839. is a library directory, and if Squeeze is indeed in it) - just in 
  1840. case there wasn't enough room in the RMA. Then it hooks onto the 
  1841. FSControlV and InsV vectors. The latter so that it can do what the 
  1842. module title expects it to do: convert backspace (&08) to delete 
  1843. (&7F) (the reason why I also typed it as a Trojan Horse).
  1844.  
  1845. The FSControl vector is used so that it can look for certain actions 
  1846. - namely *Run and *Copy. When it detects one of these, it does the 
  1847. following.
  1848.  
  1849. Replaces the first three instructions in the file with its own, making 
  1850. an absolute branch to the end of the file. The rest of the module 
  1851. is then stored here, with the original three instructions too. To 
  1852. make
  1853. detection a bit more difficult, it encrypts itself with an EOR variant 
  1854. (different key each time).
  1855.  
  1856. On any Friday the 13th, it will display the message
  1857.  
  1858. Message from LINK: Active since 30-Nov-91
  1859.  
  1860. every time it infects a program. [As Alan pointed out, this date 
  1861. is fixed, so meaning that it bears no relationship to the time which 
  1862. a system became infected.]
  1863.  
  1864. The virus does no damage apart from attaching itself to files. Files 
  1865. infected by the Link virus are re-stamped to the date they were infected. 
  1866. Also, at the end of the module (and effectively each infected file 
  1867. - although encrypted) the word  'LINK' appears. I first thought this 
  1868. was used as an 'already infected' flag, but this is not so. What 
  1869. it does is check the second instruction in the file, and if this 
  1870. is 'MOV PC,R0' (probably reckons that few programs have this as their 
  1871. second instruction) it recognizes it as infected. If not, the file 
  1872. is infected. This method of checking the file might add to the difficulty 
  1873. of making an inoculator.
  1874.  
  1875. Why didn't Interferon detect this virus?
  1876.  
  1877. At first, I thought that there might be a bug in Interferon, but 
  1878. as I found out, the Link virus checks to see if Interferon is in 
  1879. memory by using OS_Module 18 (look-up module name). By doing this, 
  1880. it also finds where the module code is. Then, it changes a CMP instruction 
  1881. within the code so that Interferon never detects OS_GBPB. After the 
  1882. infection is finished, the Link virus changes the code back to what 
  1883. it was.  [I'm working on a CRC routine for a future version of Interferon 
  1884. at the moment, so Interferon should be 100% operational 'real soon 
  1885. now'.]
  1886.  
  1887.  
  1888. ###########################################################################
  1889.  
  1890. Mode87
  1891. ===========================================================================
  1892.  
  1893. Last Updated:        11th September 1992
  1894. Aliases:              
  1895. Origin:              Unknown. UK?
  1896. Isolation Date:      Unknown - possibly autumn 1991
  1897. Effective Length:    848 bytes
  1898. Virus Type:          Resident !Boot file infector.
  1899. Symptoms:            Module 'Mode87' in application directories. 
  1900.                      
  1901.  
  1902. ---------------------------------------------------------------------------
  1903.  
  1904. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  1905.                      Scanner 1.41+                 Interferon 1.10+
  1906.                      VProtect 1.17+
  1907.  
  1908. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+
  1909.                      Scanner 1.41+
  1910.  
  1911. ---------------------------------------------------------------------------
  1912.  
  1913. General Comments:
  1914.  
  1915. Mode87 installs itself in the RMA as "BBCEconet". The way to tell 
  1916. the difference from this and the original Acorn network module, is 
  1917. that the address of where the module lies is at &01xxxxxx instead 
  1918. of a ROM address (&03xxxxxx) by typing *Modules. If Acorn's original 
  1919. module is not *Unplugged, it will install itself on top of this, 
  1920. and not easily seen in the module list. 
  1921.  
  1922. Mode87 is not malevolent. Although it destroys the original !Boot 
  1923. file of an application, it is not treated as a virus with serious 
  1924. damage potential. Mode87 simply overwrites any !Boot file already 
  1925. there (and if there isn't one, it creates a new one) with: 
  1926.  
  1927. | Boot file
  1928. IconSprites <Obey$Dir>.!Sprites
  1929. RMLoad <Obey$Dir>.Mode87
  1930.  
  1931.  
  1932. Then it proceeds to save itself as a module with the filename "Mode87". 
  1933. If it has reached an infection count of 256, an expanding circle 
  1934. (black, if you are using the standard desktop palette) will "eat" 
  1935. your screen. Control will then return to normal. 
  1936.  
  1937. Mode87 releases its vector claim on OS_FSControl, so it is quite 
  1938. safe to *RMKill it. 
  1939.  
  1940. (Source: Tor Houghton)
  1941.  
  1942.  
  1943. ###########################################################################
  1944.  
  1945. Module
  1946. ===========================================================================
  1947.  
  1948. Last Updated:        11th September 1992
  1949. Aliases:             Illegal, ModVir
  1950. Origin:              Unknown
  1951. Isolation Date:      October 1991
  1952. Effective Length:    956 bytes
  1953. Virus Type:          Resident module infector.
  1954. Symptoms:            Modules grow by approx. 1k, and are re-datestamped. 
  1955.                      May cause system crashes when accessing files 
  1956.                      (load, save, etc.
  1957.  
  1958. ---------------------------------------------------------------------------
  1959.  
  1960. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  1961.                      Hunter 1.00+                  Killer 1.17+ 
  1962.                      Scanner 1.14+                 Hunter 1.00+
  1963.                      VProtect 1.10+                 
  1964.                 
  1965. Removal   Media:     Killer 1.26+     Memory:      Killer 1.26+
  1966.                      Hunter 1.00+                  Hunter 1.00+
  1967.                      Scanner 1.46+
  1968.  
  1969. --------------------------------------------------------------------------- 
  1970.  
  1971. General Comments:
  1972.  
  1973. This is a very nicely written virus which appends itself to modules, 
  1974. redirecting three module entry points to pass through itself before 
  1975. being handed on to the module's original entry point. It spreads 
  1976. by infecting a module as it is loaded, and then the newly loaded 
  1977. module infects the next one loaded, and so on...
  1978.  
  1979. This virus is likely to be very widespread, since it was distributed 
  1980. on the Archimedes World February 1992 cover disc in the MicroDrive 
  1981. demo (in it, several modules were infected). It does nothing until 
  1982. 6th September 1992, when it will display the message:
  1983.  
  1984. Your computer has been virus infected. This is intended to be a friendly 
  1985. virus, and hasn't done any damage to your disc as is  possible now, 
  1986. but it isn't active anymore from now on. Be more careful with illegal 
  1987. software next time!
  1988.  
  1989. [Along with a generation counter. Another interesting observation 
  1990. is that it does not infect locked modules. Infects whenever it notices 
  1991. a RUN or LOAD action on a module. As a result, THIS VIRUS IS EXTREMELY 
  1992. CONTAGIOUS.]
  1993.  
  1994. The message that it isn't active anymore is not true! It ALWAYS (even 
  1995. after 06-Sep-1992) attaches itself to the OS_File (FileV) vector.
  1996.  
  1997. The virus first calls the previous owner of the OS_File vector (FileSwitch?). 
  1998. This means that the module will be loaded and initialised. If the 
  1999. length of the module minus the initialise word of the module is equal 
  2000. to 956 (i.e. the length of the virus), then the module is already 
  2001. infected and the virus deactivates itself (the newly loaded module 
  2002. has already attached itself to the OS_File vector). If the module 
  2003. isn't infected, the virus attaches itself at the end of the module, 
  2004. overwriting the init/final/service words in the module header, preserving 
  2005. the original 3 words.
  2006.  
  2007. (Source: Alan Glover, Michel Fasen)
  2008.  
  2009.  
  2010. ###########################################################################
  2011.  
  2012. MonitorDat
  2013. ===========================================================================
  2014.       
  2015. Last Updated:        24th November 1993
  2016. Aliases:             
  2017. Origin:              United Kingdom
  2018. Isolation Date:      November 1993
  2019. Effective Length:    2355 bytes
  2020. Virus Type:          Resident task. Stores code as separate file.
  2021. Symptoms:            File MonitorDat in application directory.
  2022.  
  2023. ---------------------------------------------------------------------------
  2024.  
  2025. Detection Media:     Killer 1.512+    Memory:      Killer 1.512+
  2026.                      VProtect 1.52+
  2027.                 
  2028. Removal   Media:     Killer 1.512+    Memory:      Killer 1.512+
  2029.  
  2030. ---------------------------------------------------------------------------
  2031.  
  2032. General Comments:
  2033.  
  2034. This is basically the Vigay virus, with amendments to the original 
  2035. program to make it slightly different.
  2036.  
  2037. The changes are:
  2038.   
  2039. Triggers on Monday rather than Thursday
  2040. The virus is in a file called MonitorDat
  2041.  
  2042.  
  2043.  
  2044. ###########################################################################
  2045.  
  2046. MyMod
  2047. ===========================================================================
  2048.  
  2049. Last Updated:        21st April 1992
  2050. Aliases:             Silicon Herpes
  2051. Origin:              United Kingdom
  2052. Isolation Date:      June-August 1991
  2053. Effective Length:    2948 bytes
  2054. Virus Type:          Resident
  2055. Symptoms:            Additional files "SSLM" (filetype Module) and 
  2056.                       "SSLF" in application directories. Message on 
  2057.                      every Friday the 13th. Module "MyMod" in module 
  2058.                      list.
  2059.  
  2060. ---------------------------------------------------------------------------
  2061.  
  2062. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  2063.                      Scanner 1.15+                 Killer 1.17+
  2064.                      VProtect 1.10+                Scanner 1.20+ 
  2065.                                                    
  2066.                      Hunter 1.16+                  Hunter 1.16+
  2067.                 
  2068. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  2069.                      Scanner 1.16+                 Hunter 1.16+
  2070.                                                    Interferon 2.10+
  2071.                                                    Scanner 1.20+
  2072.                      delete "SSLM", rename "SSLF" to !Boot.
  2073.  
  2074. ---------------------------------------------------------------------------
  2075.  
  2076. General Comments:
  2077.  
  2078. This works by redirecting the Alias$@RunType for Obey files, so spreads 
  2079. very fast.
  2080.  
  2081. Once on each Friday 13th you'll get this message: 
  2082.                                                                  
  2083.  
  2084.  
  2085. Hi there. It's me, with my latest addition to the ARCHIMEDIES range 
  2086. of computer programs. This one's called silicon herpes. It's  annoying 
  2087. but DOES NO REAL DAMAGE!!! 
  2088.  
  2089. Anyway, it's Friday the 13th, and what can you expect. Acorn state 
  2090. that RISC OS has high protection against programs of this nature. 
  2091. I can't call it a virus, as a virus does damage
  2092.  
  2093. With Acorn making these bold statements about RISC OS I decided to 
  2094.  write a demonstration to disprove their theories. I must admit  
  2095. though, it was quite difficult. 
  2096.  
  2097. Anyway, I don't want to keep you so I'd like to say, have a very 
  2098.  happy Christmas, Easter, Summer or what ever, and hang kickin
  2099.  
  2100.  
  2101. There's a likelihood of various spurious errors from one of the variants 
  2102. (both are the same length) since it addresses application memory 
  2103. directly!
  2104.  
  2105. (Source: Alan Glover)
  2106.  
  2107.  
  2108. ###########################################################################
  2109.  
  2110. NetManager
  2111. ===========================================================================
  2112.  
  2113. Last Updated:        11th September 1992
  2114. Aliases:             
  2115. Origin:              United Kingdom
  2116. Isolation Date:      June-August 1991
  2117. Effective Length:    900 bytes
  2118. Virus Type:          Resident !Boot file infector
  2119. Symptoms:            Module 'NetManager' in module list.
  2120.  
  2121. ---------------------------------------------------------------------------
  2122.  
  2123. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  2124.                      VProtect 1.10+                Killer 1.17+
  2125.                      Scanner 1.40+                 Scanner 1.20+
  2126.                 
  2127. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17
  2128.                      Scanner 1.40+                 Scanner 1.20+
  2129.                                                    Interferon 2.10+
  2130.                      delete !Boot.                 RMKill NetManager
  2131.  
  2132. ---------------------------------------------------------------------------
  2133.  
  2134. General Comments:
  2135.  
  2136. I believe this to be the prototype for, or maybe the inspiration 
  2137. for, the TrapHandler virus. Although the coding is quite different 
  2138. in places, there's quite a similarity in the design.
  2139.  
  2140. There are a number of coding errors in the virus, most notably around 
  2141. the time bomb area, making it harmless in this form. The intention 
  2142. of the code is to check for Friday 13th, and display a message, however 
  2143. it will never detonate (... unless there's a fixed version in circulation 
  2144. ... though that's what I believe TrapHandler is).  It's fortunate 
  2145. that it never displays the message, because there's another coding 
  2146. error and the message isn't actually there!
  2147.  
  2148. (Source: Alan Glover)
  2149.  
  2150.  
  2151. ###########################################################################
  2152.  
  2153. NetStatus
  2154. ===========================================================================
  2155.  
  2156. Last Updated:        21st April 1992
  2157. Aliases:             Boot
  2158. Origin:              Norway or Belgium
  2159. Isolation Date:      October 1991
  2160. Effective Length:    2048 or 2072 bytes
  2161. Virus Type:          Resident !Boot file infector
  2162. Symptoms:            !Boot filelength increase.
  2163.  
  2164. ---------------------------------------------------------------------------
  2165.  
  2166. Detection Media:     Killer 1.27+     Memory:      Interferon 1.10+
  2167.                      Scanner 1.02+                 Killer 1.27+
  2168.                      VProtect 1.10+                Scanner 1.20+
  2169.                      Hunter 1.16+                  Hunter 1.16+
  2170.                      VirusKill 1.00+ 
  2171.                 
  2172. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  2173.                      Scanner 1.17+                 Hunter 1.16+
  2174.                      Hunter 1.16+                  Interferon 1.10+
  2175.                                                    Scanner 1.20+
  2176.                                                    RMKill NetStatus
  2177.  
  2178. ---------------------------------------------------------------------------
  2179.  
  2180. General Comments:
  2181.  
  2182. NetStatus is written as a module, and in many ways it functions exactly 
  2183. the same way as the TrapHandler virus, as it saves all of its code 
  2184. in an application's !Boot file. It differs strongly from from this 
  2185. one, however, as NetStatus does not overwrite the !Boot file. The 
  2186. original !Boot instructions are executed after the virus has been 
  2187. loaded, making it more difficult to spot than TrapHandler.
  2188.  
  2189. Some times a message will appear (after a mode change):
  2190.  
  2191. Hello, there.
  2192. Just a little message.
  2193. The infection count is: <infection count>
  2194. This program is harmless
  2195. 10 Jun 1991
  2196.  
  2197. [This message is encrypted, and will neither show up in memory nor 
  2198. in the infected !Boot file.]
  2199.  
  2200. One might think that NetStatus should be placed as a 'variant' of 
  2201. TrapHandler, as the way the two viruses work are so similar (both 
  2202. viruses work by loading the !Boot file into memory below &8000 and 
  2203. then jumping to the code). However, seeing that the code itself was 
  2204. so different, I chose to let it have its own entry. Also, NetStatus 
  2205. infects the !Boot file instead of overwriting it! If you think you 
  2206. might have been infected by this virus, do *Help NetStatus to see 
  2207. if it is version 2.00, and if it is, do a *Modules to check where 
  2208. it resides. If the address is 018xxxxx then you are infected, if 
  2209. not, the address should be 038xxxxx. [This virus has the potential 
  2210. to cause chaos on Econet networks, where it will replace the real 
  2211. NetStatus module - causing anything that relies on it to fail.]
  2212.  
  2213. Known variant(s) of the NetStatus virus are:
  2214.  
  2215. NetStatus-2048
  2216.  
  2217. This appears to be an earlier version of NetStatus. Some code is 
  2218. missing in this version, but they appear identical in operation. 
  2219. Please note that not many virus killers are aware of both versions. 
  2220. If it understands only one strain, the !Boot file will become corrupt.
  2221.  
  2222.  
  2223. ###########################################################################
  2224.  
  2225. NewDesk
  2226. ===========================================================================
  2227.  
  2228. Last Updated:         3rd March 1993
  2229. Aliases:             
  2230. Origin:              UK
  2231. Isolation Date:      March 1993
  2232. Effective Length:    2439 bytes
  2233. Virus Type:          Resident !Boot file infector
  2234. Symptoms:            !Boot filelength increase.
  2235.  
  2236. ---------------------------------------------------------------------------
  2237.  
  2238. Detection Media:     Killer 1.375+    Memory:      Killer 1.375+
  2239.                      VProtect 1.32+
  2240.                 
  2241. Removal   Media:     Killer 1.375+    Memory:      Killer 1.375+ 
  2242.                                                    
  2243.  
  2244. ---------------------------------------------------------------------------
  2245.  
  2246. General Comments:
  2247. This is a BASIC program filetyped as a Sprite. It is loaded by !Boot 
  2248. and runs as a desktop task choosing one of the following names at 
  2249. random:
  2250.   
  2251. "HandyHint", "Desktop X-tras", "Help", "Clock", "VProtect", "adfs 
  2252. 2", "RamFiler", "FormEd" or "Editor"
  2253.                                                                  
  2254.                  
  2255. (note: VProtect as used by this virus will show up as an application 
  2256. task. The real VProtect from Pineapple Software  shows up as a module 
  2257. task)
  2258.  
  2259. On April 1st or any Friday 13th it will *unplug Desktop, ADFS, BASIC 
  2260. and TaskManager.
  2261.  
  2262.  
  2263. ###########################################################################
  2264.  
  2265. Parasite
  2266. ===========================================================================
  2267.  
  2268. Last Updated:        21st April 1992
  2269. Aliases:             
  2270. Origin:              UK, Cheshire?
  2271. Isolation Date:      January 1992 by S. Haeck
  2272. Effective Length:    6K & 7K
  2273. Virus Type:          Resident application infector, stores code as 
  2274.                      separate file.
  2275. Symptoms:            Additional modules appearing within applications
  2276.  
  2277. ---------------------------------------------------------------------------
  2278.  
  2279. Detection Media:     Killer 1.27+     Memory:      Killer 1.27+
  2280.                      Scanner 1.23+                 Scanner 1.20+
  2281.                      VProtect 1.12+ 
  2282.                 
  2283. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  2284.  
  2285. ---------------------------------------------------------------------------
  2286.  
  2287. General Comments:
  2288.  
  2289. This is a **very** nasty virus. Handle any infections with care!
  2290.  
  2291. The parasite virus was first discovered by S. Haeck in January 1992.
  2292.  
  2293. The two strains are identical, except that the first always uses 
  2294. the same name for its module, and the second has a random choice 
  2295. of 20 (twenty) filenames. It will only activate on machines whose 
  2296. network station number is <80 - which will include non-networked 
  2297. machines, which typically have 0 or 1 in the CMOS. Do NOT try to 
  2298. RMKill the module - a delayed action machine crash will result. It 
  2299. will *wipe any of the following file/directory names - !vkiller, 
  2300. vir, shield, prot and !guardian - this points at a UK origin since 
  2301. it is not aware of Scanner.
  2302.  
  2303. It has a whole repertoire of dirty tricks, which are time triggered:
  2304.  
  2305. - Corruption of the net printer name (it uses this as workspace)
  2306. - Midnight, and xx:13: crash the computer
  2307. - Before 07:00: crash the computer 300-900 seconds later
  2308. - 00:00 to 00:59 on 1st Jan: crash the computer
  2309. - 1st of any month: claim 16K of RMA (not used)
  2310. - 21st June: set MouseStep to 1
  2311. - 21st December: set MouseStep to 127 (fast!)
  2312. - 29th February: Set MouseStep to -5 (fast, and reversed)
  2313. - If there is a 0 in the time, and the virus loaded from SCSI:*unplug 
  2314. the Podule Manager (disabling the SCSI disc)  - At 0x and x0 seconds, 
  2315. if the module came from IDEFS: alias the IconSprites command so that 
  2316. no further sprites are cached
  2317.  
  2318. Furthermore, there are some which can be fired at any time:
  2319.  
  2320. 1 in 50: Change sound settings
  2321. 1 in 25: Redefine character set to all spaces after 60-240 seconds
  2322. 1 in 60: Corrupt the disc in drive 0
  2323.  
  2324. Lastly, there are a group of serious actions (which are limited so 
  2325. only a certain number occur within a given period):
  2326.  
  2327.  - Before 08:00 (14:00 Sundays): configure number of hard and floppy 
  2328. drives to zero.
  2329.  
  2330.  - Mondays: Configure Fontsize 0K, SpriteSize 512K, which will cripple 
  2331. a 1Mb machine!
  2332.  
  2333.  - 25th December: Configure MonitorType 3, Sync 0
  2334.  
  2335.  - A 7 in the time: Configure Country to Greece
  2336.  
  2337.  - 1 in 4: Configure ADFS, Harddiscs 2, Drive 5 (very tricky if you 
  2338. don't happen to have two ST506 drives)
  2339.  
  2340. The module names which it can use are:
  2341.  
  2342. FontLibrary, CodeLibrary, ScreenObjct, PromptsPick, HPIBIntMngr, 
  2343. PRomModules, BasicCryptr, ChrSelecter, WimpModMake, PaletteUtl2, 
  2344. ModeUtility, FontUtility, TempManager, ColourConvt, IndexReader, 
  2345. ArthurImage, SyncUtility, VIDCManager, FontPalette, HugoFiennes.
  2346.  
  2347. The first (6435 byte) strain always uses the name FontLibrary.
  2348.  
  2349. Note that Hugo Fiennes, whose name appears at several points in the 
  2350. code, as well as being one of the module filenames, has much better 
  2351. things to do than write viruses, and has no known connection with 
  2352. this virus!
  2353.  
  2354. (Source: Alan Glover, with thanks to Geoff Riley for much of the 
  2355. decoding)
  2356.  
  2357.  
  2358. ###########################################################################
  2359.  
  2360. Penicillin
  2361. ===========================================================================
  2362.  
  2363. Last Updated:        6th December 1992
  2364. Aliases:             
  2365. Origin:              UK
  2366. Isolation Date:      December 1992
  2367. Effective Length:    7306 bytes
  2368. Virus Type:          Resident application infector
  2369. Symptoms:            Data file called Penicillin in application directories
  2370.  
  2371. ---------------------------------------------------------------------------
  2372.  
  2373. Detection Media:     Killer 1.382+    Memory:      Killer 1.382+
  2374.                      VProtect 1.25+
  2375.  
  2376. Removal   Media:     Killer 1.382+    Memory:      Killer 1.382+
  2377.  
  2378. ---------------------------------------------------------------------------
  2379.  
  2380. General Comments:
  2381.                                                
  2382. This is basically speaking an Icon variant, and therefore bears common 
  2383. features with the base Icon strain. However, it is one of the more 
  2384. malicious variants, with tricks including:
  2385.   
  2386. - Configuring FontSize to 128K
  2387. - Altering the mouse step settings, and causing pseudo random movement
  2388. - Configure TV 0,0 which will turn interlace on (screen shakes)
  2389. - Makes a noise
  2390. - Reads &12000 bytes from ADFS::0 to address 0 - this will almost 
  2391. certainly crash the machine
  2392. - Configure the machine for no floppy drives
  2393. - Change the mouse rectangle settings
  2394.  
  2395. On the 13th of any month there is a random chance that it will:
  2396.   
  2397. - Create a random mouse rectangle and enter an endless loop
  2398. - Mark three sectors of the disc in ADFS drive 0 as defective  
  2399.  
  2400. (Source: Alan Glover, with thanks to Rick Sterry)
  2401.  
  2402.  
  2403.  
  2404. ###########################################################################
  2405.  
  2406. Poltergeist
  2407. ===========================================================================
  2408.  
  2409. Last Updated:         3rd March 1993
  2410. Aliases:             
  2411. Origin:              UK
  2412. Isolation Date:      March 1993
  2413. Effective Length:    2573 bytes
  2414. Virus Type:          Resident application infector
  2415. Symptoms:            Two files apparently with no name in application 
  2416.                      directories
  2417.  
  2418. ---------------------------------------------------------------------------
  2419.  
  2420. Detection Media:     Killer 1.395+    Memory:      Killer 1.395+
  2421.                      VProtect 1.32+
  2422.  
  2423. Removal   Media:     Killer 1.395+    Memory:      Killer 1.395+
  2424.  
  2425. ---------------------------------------------------------------------------
  2426.  
  2427. General Comments:
  2428. This file consists of two files of the same filetype. One is a BASIC 
  2429. program, the other is a sprite for the filetype. Once loaded the 
  2430. virus redefines the character used to name the files to a blank so 
  2431. there is a chance that the files would sit unnoticed inside an application. 
  2432. However 'Select All' will soon show their presence!
  2433.  
  2434. Although it runs as a desktop task it will not show up on the Task 
  2435. Manager display.
  2436.  
  2437. It has various actions which are fired at random (some with a degree 
  2438. of weighting to make them relatively infrequent):
  2439.  
  2440. * Set the screen border to a random colour.
  2441. * Change the screen border colour several times
  2442. * Redefine the character set as spaces                           
  2443.                    
  2444. * Redfine a randomly chosen lower case character as a space
  2445. * Set the mouse pointer to a random colour
  2446. * Move the mouse pointer to a random position
  2447. * Redefine the character set randomly
  2448. * Draw a line on the screen
  2449. * Redefine a colour at random
  2450. * Draw a triangle on the screen
  2451. * Change the text direction/orientation setting
  2452. * Unlink the mouse from the pointer
  2453. * Select Country Greece
  2454.  
  2455.  
  2456. ###########################################################################
  2457.  
  2458. Runopt
  2459. ===========================================================================
  2460.  
  2461. Last Updated:        25th October 1992
  2462. Aliases:             
  2463. Origin:              UK
  2464. Isolation Date:      October 1992
  2465. Effective Length:    1684 bytes
  2466. Virus Type:          Resident application infector
  2467. Symptoms:            Desktop APPLICATION Task called 'Task Manager'.
  2468.  
  2469. ---------------------------------------------------------------------------
  2470.  
  2471. Detection Media:     Killer 1.381+    Memory:      Killer 1.381+
  2472.                      VProtect 1.24+
  2473.  
  2474. Removal   Media:     Killer 1.381+    Memory:      Killer 1.381+
  2475.  
  2476. ---------------------------------------------------------------------------
  2477.  
  2478. General Comments:
  2479.  
  2480. In a similar manner to Icon, this virus uses a !Boot file to load 
  2481. a BASIC program. The program is called RunOpt!, and is filetyped 
  2482. as data. 
  2483.  
  2484. Note that the real 'Task Manager' shows up as a module task NOT an 
  2485. application task.
  2486.  
  2487. (Source: Paul Frohock)
  2488.  
  2489.  
  2490.  
  2491. ###########################################################################
  2492.  
  2493. Shy
  2494. ===========================================================================
  2495.  
  2496. Last Updated:        20th October 1993
  2497. Aliases:             
  2498. Origin:              UK
  2499. Isolation Date:      October 1993
  2500. Effective Length:    324 bytes
  2501. Virus Type:          Resident application infector
  2502. Symptoms:            A missing number in a *modules listing
  2503.  
  2504. ---------------------------------------------------------------------------
  2505.  
  2506. Detection Media:     Killer 1.508+    Memory:      Killer 1.508+
  2507.                      VProtect 1.49+
  2508.  
  2509. Removal   Media:     Killer 1.508+    Memory:      Killer 1.508+
  2510.  
  2511. ---------------------------------------------------------------------------
  2512.  
  2513. General Comments:
  2514.                    
  2515. This is a harmless virus which infects files of type &FF8 and resides 
  2516. in memory as a module. The title of the module is made up of a number 
  2517. of delete characters, with the effect that in a *modules display 
  2518. the line for the virus' module will not appear - which will cause 
  2519. the count of modules to seem to skip one.
  2520.  
  2521.  
  2522.  
  2523. ###########################################################################
  2524.  
  2525. Sprite
  2526. ===========================================================================
  2527.  
  2528. Last Updated:        21st April 1992
  2529. Aliases:             'Really Annoying Sprite Virus'
  2530. Origin:              Germany ? Ireland ?
  2531. Isolation Date:      February 1992 by Svlad Cjelli
  2532. Effective Length:    720 bytes
  2533. Virus Type:          Resident application infector, stores code as 
  2534.                      separate file.
  2535. Symptoms:            File "Sprite" and maybe !Str in applications
  2536.  
  2537. ---------------------------------------------------------------------------
  2538.  
  2539. Detection Media:     Killer 1.27+     Memory:      Killer 1.27+
  2540.                      Scanner 1.23+
  2541.                 
  2542. Removal   Media:     Killer 1.27+     Memory:      Killer 1.27+ 
  2543.                      delete Sprite, delete !Boot OR delete !Run and 
  2544.                      rename !Str to !Run (depending whether !Str is 
  2545.                      present or not).
  2546.  
  2547. ---------------------------------------------------------------------------                              
  2548.  
  2549. General Comments:
  2550.  
  2551. This has got some similarities with Image, but until I've (Alan) 
  2552. had a chance to do a code comparison, I'm not going to class them 
  2553. as members of the same virus family.
  2554.  
  2555. In months which begin with an F it will change the pointer settings. 
  2556. As far as I can tell, the parameter block is junk, and it's hard 
  2557. to tell whether the call will return! If it does, a delayed routine 
  2558. is programmed, which when entered will do FX200,3, zero all the CMOS 
  2559. RAM, and display a message.
  2560.  
  2561. The message is:
  2562.  
  2563. Piracy IS theft - Your SYSTEM is DOOMED - Deutschland Uber Alles!
  2564.  
  2565. For people like me who don't know any German, a liberal translation 
  2566. is 'Germany is best'. This is encrypted, so is not usually visible.
  2567.  
  2568. Important note: Initial reports about this virus suggested that it 
  2569. could cause disc corruption. Aside from possible errors during attempted 
  2570. infections, it does not have any maliciously targetted code for filing 
  2571. systems. 
  2572.  
  2573. Infection is by saving the virus code as 'Sprite' (filetyped as such), 
  2574. and either creating a !Boot, or renaming !Run to !Str and saving 
  2575. a new !Run which runs !Str.
  2576.  
  2577. (Source: Alan Glover, with thanks to Svlad Cjelli)
  2578.  
  2579.  
  2580. ###########################################################################
  2581.  
  2582. SpriteUtils
  2583. ===========================================================================
  2584.  
  2585. Last Updated:        11th September 1992
  2586. Aliases:              
  2587. Origin:              UK
  2588. Isolation Date:      June 1992
  2589. Effective Length:    3028 bytes
  2590. Virus Type:          Resident application infector, stores code as 
  2591.                      separate file.
  2592. Symptoms:            File "Sprutils" appears in applications
  2593.  
  2594. ---------------------------------------------------------------------------
  2595.  
  2596. Detection Media:     Killer 1.360+    Memory:      Killer 1.360+
  2597.                      VProtect 1.17+
  2598.                      Scanner 1.42+
  2599.  
  2600. Removal   Media:     Killer 1.360+    Memory:      Killer 1.360+
  2601.                      Scanner 1.42+
  2602.  
  2603. ---------------------------------------------------------------------------
  2604.  
  2605. General Comments:
  2606.  
  2607. This virus spreads by inserting a line in !run files, loading a trojan 
  2608. SpriteUtils module. 
  2609.  
  2610. It is my opinion that this virus is designed as an enabling tool 
  2611. for further unpleasant activities triggered remotely over a network. 
  2612.  
  2613.  
  2614. My reason for concluding this is that in addition to normal spreading 
  2615. and replication it goes to great pains to alter the Econet Protection 
  2616. setting to enable User Remote Procedure Calls.                   
  2617.      
  2618.  
  2619. It intercepts the SWI vectors to process Econet_SetProtection and 
  2620. Econet_ReadProtection to return, and allow modification of, the value 
  2621. which was present when the virus started. 
  2622.  
  2623. It then supports two RPCs, one to turn off all protection, and the 
  2624. other to restore the setting with just RPCs enabled. 
  2625.  
  2626. It also attempts to disable VProtect, and will succeed with earlier 
  2627. versions. However, a new version of VProtect will have no problem 
  2628. in preventing the virus from being loaded in to a clean machine. 
  2629.  
  2630.  
  2631. It has no timed or other malicious contents, however as usual there 
  2632. are some consequences of the way it is written. 
  2633.  
  2634. In particular, it will claim 2K of RMA workspace, and never release 
  2635. it, nor does it restore the Econet protection setting it first found. 
  2636.  
  2637.  
  2638. (Source: Alan Glover)
  2639.  
  2640.  
  2641.  
  2642. ###########################################################################
  2643.  
  2644. TaskManager
  2645. ===========================================================================
  2646.  
  2647. Last Updated:        8th February 1993
  2648. Aliases:              
  2649. Origin:              UK
  2650. Isolation Date:      Jan 1993
  2651. Effective Length:    around 11200-11700 bytes
  2652. Virus Type:          Resident application infector, stores code as 
  2653.                      separate file.
  2654. Symptoms:            File " Log" appears in applications
  2655.  
  2656. ---------------------------------------------------------------------------
  2657.  
  2658. Detection Media:     Killer 1.392+    Memory:      Killer 1.392+
  2659.                      VProtect 1.30+
  2660.  
  2661. Removal   Media:     Killer 1.392+    Memory:      Killer 1.392+
  2662.  
  2663. ---------------------------------------------------------------------------
  2664.  
  2665. This virus spreads by appending loading instructions to !Boot files, 
  2666. and saving a file called ' Log' (filetype &ff8 - absolue) inside 
  2667. an application (the leading space is character code 160 - the 'hard' 
  2668. space).
  2669.  
  2670. When active it runs as a desktop task called 'Task Manager' - note 
  2671. that like Vigay this will appear as an application task unlike the 
  2672. real Task Manager which is a module task.
  2673.  
  2674. Aside from spreading it has no malicious code.
  2675.  
  2676. (Source: Alan Glover)
  2677.  
  2678.  
  2679.  
  2680. ###########################################################################
  2681.  
  2682. T2
  2683. ===========================================================================
  2684.  
  2685. Last Updated:        22nd May 1993
  2686. Aliases:             
  2687. Origin:              United Kingdom
  2688. Isolation Date:      July 1992
  2689. Effective Length:    4304 bytes
  2690. Virus Type:          Merges with absolute !RunImage files.
  2691. Symptoms:            Messages from "T2" and spurious errors.
  2692.  
  2693. ---------------------------------------------------------------------------
  2694.  
  2695. Detection Media:     Killer 1.370+    Memory:      Killer 1.370+
  2696.                      VProtect 1.20+                Scanner 1.43+
  2697.                      Scanner 1.43+
  2698.                 
  2699. Removal   Media:     Killer 1.370+    Memory:      Killer 1.370+ 
  2700.                                                    
  2701.  
  2702. ---------------------------------------------------------------------------
  2703.  
  2704. General Comments:
  2705.  
  2706. This is a very dangerous virus, which can cause severe data loss 
  2707. if not treated rapidly. 
  2708.  
  2709. On 1st Jan, 14th Feb, 1st May, 4th July, 31st October, 25th December 
  2710. and Friday 13th a message from T2 will be displayed and it will write 
  2711. invalid data to the first 32K of ADFS drives 0-7. On D or E format 
  2712. floppies this will destroy the FS Map and Root Directory, on D format 
  2713. hard discs it will destroy the boot block, FS Map and Root Directory. 
  2714. On E format hard discs, it will destroy the boot block only, since 
  2715. the Free Space map and Root directory are elsewhere on the disc surface. 
  2716. It will also attempt to do the same to Nexus drives 4-7.
  2717.                                           
  2718. Additional information, 22nd May 1993: A variant has shown up using 
  2719. &DECAFF instead of &COFFEE, otherwise it is identical.
  2720.  
  2721. The messages are:
  2722.  
  2723. December 25th
  2724.  
  2725. Yuletide Jollities from T2
  2726. A special christmas present: New blank disks all round.
  2727.  
  2728. 1st January
  2729.  
  2730. New Year's Resolution from T2
  2731. New Year's Resolution: I will keep my disks write protected.
  2732.  
  2733. 14th February
  2734.  
  2735. St. Valentine's Day
  2736. Roses are red, Violets are blue, I've wiped your hard disk, Because 
  2737. I hate you.
  2738.                                                                  
  2739.                    
  2740. 1st May
  2741.  
  2742. Mayday from T2
  2743. Mayday, mayday, mayday: your data's sinking.
  2744.  
  2745. 31st October
  2746.  
  2747. Spookiness from T2
  2748. You've got a vicious virus AND blanked disks - spooky huh?
  2749.  
  2750. July 4th
  2751.  
  2752. Independence Day celebrations from T2
  2753. You are now fully independent of your saved data.
  2754.                                                       
  2755. Friday 13th
  2756.  
  2757. Comiserations from T2
  2758. Bad luck, me ol' China.  Your disks have kinda left you in the lurch, 
  2759. as it were.  Unfortunate, huh?
  2760.  
  2761. And the random choice ones:
  2762.  
  2763. Greetings from T2
  2764. I hate you.  F*ck off and die.  Painfully.
  2765.  
  2766. Comment from T2
  2767. You stink of sh*t.
  2768.  
  2769. Observation from T2
  2770. You're a f*cking c*nt.
  2771.  
  2772. Hi there, from your friendly virus
  2773. Hi there.  You may (or may not) know me.  I'm a virus.  User meet 
  2774. T2.  T2 meet user.  Good ... See ya around.
  2775.  
  2776.  
  2777. It also has a random chance routine, based on a 0.1 second timer, 
  2778. which has various possible effects, including:
  2779.   
  2780. - A rude message (see above)
  2781. - Scrambled CMOS memory
  2782. - Crashing the machine 
  2783. - Destroying disc data (as above)
  2784.  
  2785. There is not an easy quick check for this virus, since it will not 
  2786. show up as a module or desktop task. The easiest way I can come up 
  2787. with is to do the following two commands from BASIC (ensure that 
  2788. VProtect 1.20 or above is NOT loaded to avoid a false alarm).
  2789.  
  2790. SYS "XOS_ServiceCall",,&C0FFEE TO ,A%:PRINT A%
  2791. SYS "XOS_ServiceCall",,&DECAFF TO ,A%:PRINT A%
  2792.  
  2793. If either number printed is zero, and VProtect 1.20+ is not loaded 
  2794. (or any other anti-virus program aware of this virus) then it is 
  2795. loaded and active.
  2796.  
  2797. (Source: Alan Glover)
  2798.  
  2799.  
  2800. ###########################################################################
  2801.  
  2802. Terminator
  2803. ===========================================================================
  2804.  
  2805. Last Updated:        11th September 1992
  2806. Aliases:             
  2807. Origin:              United Kingdom
  2808. Isolation Date:      July 1992
  2809. Effective Length:    3648 bytes
  2810. Virus Type:          Task. Stores code as separate file.
  2811. Symptoms:            Additional files appear in applications (see 
  2812.                      below)
  2813.  
  2814. ---------------------------------------------------------------------------
  2815.  
  2816. Detection Media:     Killer 1.372+    Memory:      Killer 1.372+
  2817.                      Scanner 1.47+
  2818.                 
  2819. Removal   Media:     Killer 1.372+    Memory:      Killer 1.372+ 
  2820.                                                    
  2821.                      delete named file, remove last line from !Boot.
  2822.  
  2823. ---------------------------------------------------------------------------
  2824.  
  2825. General Comments:
  2826.  
  2827. Strictly speaking - this is an Icon variant. However it has been 
  2828. changed sufficiently that it merits its own entry.
  2829.  
  2830. It can choose one of eight task names, and one of eight different 
  2831. filenames/filetypes to save itself.
  2832.  
  2833. In other respects it acts and spreads like Icon, though there is 
  2834. 1 in 10 chance of drive zero being wiped on each infection.
  2835.  
  2836. The task names are : ADFS Filer, RMA Manager, Filer Extension, File 
  2837. Compactor, ADFS Filer (again), MemAlloc, " " and "F*ck off!" (except 
  2838. with no asterisk - you know what I mean...).
  2839.  
  2840. The filenames and filetypes are: Icon (Sprite), MemAlloc (Module), 
  2841. RunCode (Absolute), ABCLib (Module), CLib (Module), Colours (Modules), 
  2842. FPEmulator (Module) and !DeskBoot (Utility).
  2843.  
  2844. !Killer patches the virus before removing it to ensure that ADFSFiler 
  2845. is not rmkilled by the virus.
  2846.  
  2847. (Source: Alan Glover)
  2848.  
  2849.  
  2850. ###########################################################################
  2851.  
  2852. Thanatos
  2853. ===========================================================================
  2854.  
  2855. Last Updated:        21st April 1992
  2856. Aliases:             RISCOSext, RISCOS Extensions
  2857. Origin:              United Kingdom
  2858. Isolation Date:      May 1991
  2859. Effective Length:    11756 or 11764 bytes
  2860. Virus Type:          Task. Stores code as separate file.
  2861. Symptoms:            Files "RISCOSext" and "TaskAlloc" in application 
  2862.                      directories. Wimp task "Thanatos" visible in 
  2863.                      the Task Manager.
  2864.  
  2865. ---------------------------------------------------------------------------
  2866.  
  2867. Detection Media:     Killer 1.17+     Memory:      Killer 1.17+
  2868.                      Scanner 1.23+
  2869.                      VProtect 1.10+ 
  2870.                 
  2871. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  2872.                      delete named files
  2873.  
  2874. ---------------------------------------------------------------------------
  2875.  
  2876. General Comments:
  2877.  
  2878. This is an encrypted (simple EOR with &7A, lower-case "z") BASIC 
  2879. program (crypted = 11756 bytes long, TOP-PAGE of BASIC program = 
  2880. 7660 bytes) called "RISCOSext" with a filetype of Absolute (yes, 
  2881. a very poor piece of ARM code decrypts and runs it and wastes nearly 
  2882. 4K of space between &8100 and &9000 !). Associated with it is a Sprite 
  2883. file (actually of filetype Module) called "TaskAlloc", which is 344 
  2884. bytes long containing a rude sprite to replace the mouse pointer.
  2885.  
  2886. When run, it installs itself as a Wimp task named "Thanatos" and 
  2887. then looks for double-clicks to infect application directories (copies 
  2888. the RISCOSext and TaskAlloc files into there and then appends the 
  2889. 'usual' string to the !Boot file (to run RISCOSext).             
  2890.          
  2891.  
  2892. The nasty section of the Thanatos Virus REALLY IS nasty, so I urge 
  2893. you to study this carefully.
  2894.  
  2895. Roughly once every 100000 times around the Wimp_Poll loop, Thanatos 
  2896. can:
  2897.  
  2898. * 2 out of 13 chances Shut down icon bar application at random (whilst 
  2899. displaying its own icon bar icon during the shutdown).
  2900.  
  2901. * 1 out of 13 chances Cause a Desktop Quit.
  2902.  
  2903. * 3 out of 13 chances Reverse the mouse pointer step (sets it -2).
  2904.  
  2905. * 1 out of 13 chances Crash the machine by poking a duff instruction 
  2906. at the start of memory.
  2907.  
  2908. * 1 out of 13 chances Randomise the 240 bytes of CMOS. [If this happens, 
  2909. you may have to either short or remove the battery from your machine, 
  2910. as  it might refuse to boot.]
  2911.  
  2912. * 4 out of 13 chances Randomly display one of 8 very rude messages 
  2913. - one of which also changes the mouse pointer shape to a rude graphic 
  2914. and another will also shutdown an icon bar application (the same 
  2915. routine as above).
  2916.  
  2917. * 1 out of 13 chances Wipe the contents of <Obey$Dir>.
  2918.  
  2919. It also has a "special date" section as follows:
  2920.  
  2921. Any Friday 13th: Advertises its own "virus killer" (from Armen Software). 
  2922. April 1st 10 Address exception errors, followed by coloured rectangles 
  2923. and  a 'stuck' mouse pointer for 10 seconds. An "April Fool" message 
  2924.  
  2925. is then displayed.
  2926.  
  2927. December 25th: Destroys the disk map of ADFS drives 0, 4 and 5 followed 
  2928. by a  "Merry Crimble" message.
  2929.  
  2930. October 31st:Formats the floppy in drive 0, followed by a "Spooky" 
  2931. message. 
  2932.  
  2933. January 1st: As December 25th, but followed by a New Year's Resolution 
  2934.  message (to keep your disks write-protected...).               
  2935.  
  2936. [ The 11764 byte variant is functionally identical, but a slightly 
  2937. earlier version ]
  2938.  
  2939. (Source: Richard K. Lloyd)
  2940.  
  2941. [Attempting to kill Thanatos by clicking 'Quit' in the Task Manager 
  2942. will not work. However, Killer and VKiller will patch the missing 
  2943. closedown code into the virus before removing it from memory.]
  2944.  
  2945.  
  2946.  
  2947. ###########################################################################
  2948.  
  2949. TrapHandler
  2950. ===========================================================================
  2951.  
  2952. Last Updated:        21st April 1992
  2953. Aliases:             
  2954. Origin:              United Kingdom
  2955. Isolation Date:      September 1991
  2956. Effective Length:    924 bytes
  2957. Virus Type:          Resident !Boot file infector. Overwrites original 
  2958.                      !Boot file completely (or creates a new one if 
  2959.                      it doesn't find one) and stores own code here.
  2960. Symptoms:            Applications which depend on a !Boot file fail 
  2961.                      to run (i.e. if the !System !Boot file was overwritten, 
  2962.                      !Edit would fail to run due to the fact that 
  2963.                      the !System folder hasn't been seen. The same 
  2964.                      applies if the !Boot file in the Fonts directory 
  2965.                      is overwritten. The module 'TrapHandler'is present 
  2966.                      in the  module list.
  2967.  
  2968. ---------------------------------------------------------------------------
  2969.  
  2970. Detection Media:     Killer 1.17+     Memory:      Interferon 2.00+
  2971.                      Scanner 1.03+                 Killer 1.17+
  2972.                      VProtect 1.10+                Scanner 1.23+
  2973.                 
  2974. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+ 
  2975.                      Scanner 1.03+                 Interferon 2.10+
  2976.                      delete !boot file             Scanner 1.20+
  2977.                                                    RMKill TrapHandler
  2978.  
  2979. ---------------------------------------------------------------------------
  2980.  
  2981. General Comments:
  2982.  
  2983. The TrapHandler virus is written as a module which infects application 
  2984. directories by overwriting the !Boot file with its own code. By hooking 
  2985. onto the FSControl vector, it looks for a *Run action, and on finding 
  2986. one (eg. the user opens a directory with applications, and if any 
  2987. of these contain a !Boot file (which RISC OS automatically executes)), 
  2988. TrapHandler overwrites the application's !Boot file with its own 
  2989. code.
  2990.  
  2991. This code is loaded into memory by using a simple 
  2992.  
  2993. *LOAD <Obey$Dir>.!Boot <address>
  2994.  
  2995. and then executing the code at <address>.
  2996.  
  2997. On any Friday after the 20th of any month it will open a regular 
  2998. message box (i.e. using Wimp_ReportError) with the number of infections 
  2999. in the header, and an 'Ignorance will be your undoing.' This message 
  3000. is rather misleading, as the only destructive thing it does is overwrite 
  3001. your !Boot files (although it could - as all viruses can - be modified 
  3002. to do much nastier things). I might sound a bit trivial here - if 
  3003. your $.!Boot on the harddisc was overwritten, you might get a bit 
  3004. more than annoyed(!). However, as this !Boot file only gets run when 
  3005. you reset your machine, it is not very likely to get infected by 
  3006. this virus (unless you accidentally double-click on it or run it).
  3007.  
  3008.  
  3009.  
  3010. ###########################################################################
  3011.  
  3012. Valid
  3013. ===========================================================================
  3014.  
  3015. Last Updated:        21st April 1992
  3016. Aliases:             
  3017. Origin:              Unknown
  3018. Isolation Date:      March 4, 1992 by Atle M. Bårdholt
  3019. Effective Length:    1389 bytes
  3020. Virus Type:          Non-resident application infector, stores code 
  3021.                      as separate file.
  3022. Symptoms:            Files "Valid" and "Source" in application directories.
  3023.  
  3024. ---------------------------------------------------------------------------
  3025.  
  3026. Detection Media:     Killer 1.30+     Memory:      n/a
  3027.                      Scanner 1.23+
  3028.                      VProtect 1.13+ 
  3029.                 
  3030. Removal   Media:     Killer 1.30+     Memory:      n/a
  3031.                      Scanner 1.23+
  3032.                      delete !Run and "Source". Rename "Valid" to 
  3033.                      !Run.
  3034.  
  3035. ---------------------------------------------------------------------------
  3036.  
  3037. General Comments:
  3038.  
  3039. Valid is a non-resident virus written in BASIC which works by renaming 
  3040. the !Run file of the application to "Valid", then saving itself as 
  3041. a file called "Source" and creating a new !Run file which points 
  3042. to the virus code. Both have correct filetypes (e.g. Obey and BASIC).
  3043.  
  3044. In its current form it can hardly spread far. It surprises me that 
  3045. it was even released at all. Due to a major flaw in the code, Valid 
  3046. creates faulty !Run files every time it infects - effectively rendering 
  3047. the application non-executable - making it easy to detect that something 
  3048. is wrong. It is assumed, however, that this is fixed in other or 
  3049. newer versions (the incore filename of the BASIC file is "Source2"), 
  3050. as it is a very simple thing to do something about it. (This version 
  3051. keeps the first 21 chars of the orginal !Run file instead of making 
  3052. a new one.)                                            
  3053. On floppy based systems this virus causes a noticeable slowdown when 
  3054. it infects an application, as it uses the OSCLI command EnumDir to 
  3055. create a list of applications to infect. This list is saved as a 
  3056. file (as a result of EnumDir), and then loaded into some reserved 
  3057. memory. When the processing of this data is finished, the file is 
  3058. deleted.                                                   
  3059.  
  3060. Valid never infects an application twice, as it checks to see if 
  3061. there's an "our" in the first line (part of RUN <Obey$Dir>.Source) 
  3062. of the !Run file. Also, it is not certain it will infect a given 
  3063. application - there's Ŵonly a 30% chance (determined by RND(10)>7) 
  3064. of this happening. Valid does little besides replicate (if it had 
  3065. worked properly), but does create a 0 byte file called "Infected!"Ŵ 
  3066. in the application directory after any 22nd in any month.
  3067.  
  3068.  
  3069.  
  3070. ###########################################################################
  3071.  
  3072. VanDamme
  3073. ===========================================================================
  3074.  
  3075. Last Updated:         8th June 1993
  3076. Aliases:             
  3077. Origin:              Unknown
  3078. Isolation Date:      May 1993
  3079. Effective Length:    1517 bytes
  3080. Virus Type:          Non-resident application infector, stores code 
  3081.                      as separate file.
  3082. Symptoms:            Files with nonsensical names in applications
  3083.  
  3084. ---------------------------------------------------------------------------
  3085.  
  3086. Detection Media:     Killer 1.410+    Memory:      1.410+
  3087.                 
  3088. Removal   Media:     Killer 1.410+    Memory:      1.410+
  3089.  
  3090. ---------------------------------------------------------------------------
  3091.  
  3092. General Comments:
  3093.  
  3094. VanDamme is clearly an Icon derivative. However its major differences 
  3095. are that it has been run through a BASIC squasher, resulting in the 
  3096. small size. It chooses a name composed of random lower case letters 
  3097. for each infection, and a pseudo random filetype choice.
  3098.  
  3099. It has a (very unlikely) random chance of formatting a disc.
  3100.  
  3101.  
  3102.  
  3103. ###########################################################################
  3104.  
  3105. Vigay
  3106. ===========================================================================
  3107.  
  3108. Last Updated:        21st April 1992
  3109. Aliases:             DataDQM, Shakes
  3110. Origin:              United Kingdom
  3111. Isolation Date:      Probably April 1991
  3112. Effective Length:    2311 or 2432 bytes
  3113. Virus Type:          Task. Stores code as separate file.
  3114. Symptoms:            File "DataDQM" in application directories. The 
  3115.                      Task "TaskManager" in the Task Manager window.
  3116.  
  3117. ---------------------------------------------------------------------------
  3118.  
  3119. Detection Media:     Killer 1.17+     Memory:      Killer 1.17+
  3120.                      Scanner 1.23+
  3121.                      VProtect 1.10+ 
  3122.                 
  3123. Removal   Media:     Killer 1.17+     Memory:      Killer 1.17+
  3124.                      delete !Boot and file.
  3125.  
  3126. ---------------------------------------------------------------------------
  3127.  
  3128. General Comments:
  3129.  
  3130. This is a BASIC program called "datadqm" with an associated 97-byte 
  3131. !Boot file. The REMs at the start of the program are as follows:
  3132.  
  3133. REM (C)1989 PAUL VIGAY
  3134. REM
  3135. REM A nasty little Archie Virus !!
  3136. REM ... or is something up with your monitor ???
  3137. REM
  3138. REM version 1.1a (24th October 1989)
  3139.  
  3140. Hence you now know why it's called the "Vigay Virus" - the author's 
  3141. name appears as a comment at the start! When first run, it initialises 
  3142. as a Wimp task called "TaskManager" and then waits for either:
  3143.  
  3144. 1) a chance of (500 * hours left of a Thursday) to 1 to crop up to 
  3145. spark off a silly  "wobble" demo (wobbles the screen and mouse pointer). 
  3146. Yes, this demo only appears  on a Thursday and more frequently as 
  3147. the day wears on.
  3148.  
  3149. or,
  3150.  
  3151. 2) a file/directory double-click, in which case it attempts to replicate 
  3152. itself to the first application directory at that level that doesn't 
  3153. already have either an "!Boot" or a  DataDQM" file.
  3154.  
  3155. (Source: Richard K. Lloyd)
  3156.  
  3157. [Apparently there are several versions existing (but apparently not 
  3158. circlulating), some activating on Fridays, others on Friday the 13th. 
  3159. It is not known whether these Friday versions broke loose, and later 
  3160. variants were also compiled using the Archimedes BASIC Compiler by 
  3161. DABS Press. We are still speculating if any of these are available 
  3162. to the general public. Also, it is worth clarifying that the 'TaskManager' 
  3163. will appear as an application task, unlike the real Task Manager 
  3164. which is a module task.]
  3165.  
  3166.  
  3167. ###########################################################################
  3168.  
  3169. Whoops
  3170. ===========================================================================
  3171.       
  3172. Last Updated:        1st June 1993
  3173. Aliases:             
  3174. Origin:              United Kingdom
  3175. Isolation Date:      May 1993
  3176. Effective Length:    8091 bytes
  3177. Virus Type:          Resident task. Stores code as separate file.
  3178. Symptoms:            File "!memalloc" in application directory.
  3179.  
  3180. ---------------------------------------------------------------------------
  3181.  
  3182. Detection Media:     Killer 1.408+    Memory:      Killer 1.408+
  3183.                      VProtect 1.39+
  3184.                 
  3185. Removal   Media:     Killer 1.408+    Memory:      Killer 1.408+
  3186.  
  3187. ---------------------------------------------------------------------------
  3188.  
  3189. General Comments:
  3190.                    
  3191. The virus is a BASIC program called !Memalloc and filetyped as a 
  3192. module. It loads as a desktop task called 'Paint'. However when told 
  3193. to quit it will re-initialise as a nameless desktop task.
  3194.  
  3195. The virus is written to continue spreading until May 1995, after 
  3196. which it will start removing itself.
  3197.  
  3198. It has a number of possible tricks, chosen by a random number:
  3199.   
  3200. i) Give a spurious error and reboot the computer
  3201. ii) Move the mouse pointer around
  3202. iii) Give a spurious error
  3203. iv) Close a window
  3204. v) Stop the desktop for a random time (it turns on the hourglass) 
  3205.  
  3206.  
  3207.  
  3208.  
  3209. ###########################################################################
  3210.  
  3211. Wimpman
  3212. ===========================================================================
  3213.       
  3214. Last Updated:        19th February 1993
  3215. Aliases:             
  3216. Origin:              United Kingdom
  3217. Isolation Date:      February 1993
  3218. Effective Length:    1555 bytes
  3219. Virus Type:          Resident task. Stores code as separate file.
  3220. Symptoms:            File "Wimpman" in application directory.
  3221.  
  3222. ---------------------------------------------------------------------------
  3223.  
  3224. Detection Media:     Killer 1.393+    Memory:      Killer 1.393+
  3225.                      VProtect 1.31+
  3226.                 
  3227. Removal   Media:     Killer 1.393+    Memory:      Killer 1.393+
  3228.  
  3229. ---------------------------------------------------------------------------
  3230.  
  3231. General Comments:
  3232.  
  3233. This bears quite a similarity to the Icon family of viruses.
  3234.  
  3235. The virus is a BASIC program, but is filetyped as a module.
  3236.  
  3237. Aside from spreading (and hiding from the Task Manager display it 
  3238. has no other notable features).
  3239.  
  3240.  
  3241.  
  3242. ###########################################################################
  3243.  
  3244. Virus Detection Utilities
  3245. ---------------------------------------------------------------------------
  3246.  
  3247. Interferon: © Tor O. Houghton. Latest known version is 2.12 (13-Mar-1992). 
  3248.             Resident program which looks for transfer  of data to 
  3249.             disc from areas below &8000, and from the RMA (e.g. most 
  3250.             viruses which are written as modules, for example). Public 
  3251.             Domain.
  3252.  
  3253. Killer:     © Pineapple Software Ltd. Written by Alan Glover of Acorn 
  3254.             Computers Ltd. Latest version known is 1.600 (4-Dec-1993). 
  3255.             Multi-tasking scanner/disinfectant. Currently, this application 
  3256.             is the one which detects and removes all known viruses 
  3257.             on the Archimedes. Very user friendly interface, lots 
  3258.             of useful options,includes a nice window with look-up 
  3259.             virus information. Commercial product.
  3260.  
  3261. Scanner:    © Tor O. Houghton. Latest version known is 1.56 (Oct-1992). 
  3262.             A non-WIMP application which detects and removes the most 
  3263.             common viruses. Commercial software, available direct 
  3264.             from the author. Further updates are unlikely in the short 
  3265.             term.
  3266.  
  3267. VProtect:   © Pineapple Software Ltd. Written by Alan Glover of Acorn 
  3268.             Computers Ltd. Latest version known is 1.53 (4-Dec-93). 
  3269.             Resident program which, amongst other things, checks !Run 
  3270.             and !Boot and module files for infection before running 
  3271.             them. Supplied with !Killer.
  3272.  
  3273. This document exists in three parallel forms. Versions suffixed 'p' 
  3274. are the Impression version (primarily maintained by Tor Houghton), 
  3275. and those suffixed 'h' use the Binary Star !Clearview PD reader application 
  3276. to present a hypertext document. Updates to the document may be sent 
  3277. to either author, and both versions will get updated. The text version 
  3278. (suffixed 't') is derived from the Cleariew version. There is also 
  3279. an experimental vb version. The Impression version is currently substantially 
  3280. out of date - for recent information always refer to the h or t versions.
  3281.  
  3282. Also, could you please include a note on what the program/virus does? 
  3283. Some help files we have seen have been very vague. All this information 
  3284. is based on our own reactions, and may well be incorrect in some 
  3285. parts. If you don't like it, send us some information (not too verbose).
  3286.  
  3287.  
  3288. ###########################################################################
  3289.  
  3290. Acknowledgements & Credits
  3291. ---------------------------------------------------------------------------
  3292.  
  3293. This list contains some of the many people who have helped in the 
  3294. preparation and updating of this document. Despite their best efforts, 
  3295. there are undoubtably some errors - which are wholly our own work 
  3296. :-).
  3297.  
  3298. Simon Burrows: Additional virus documentation.
  3299. Svlad Cjelli: Additional virus documentation.              
  3300. Michel Fasen: Additional virus documentation.
  3301. Eivind Hagen: For letting me borrow Impression of him! 
  3302. Bjørn Hotvedt: For keeping up with the never-ending postings to and 
  3303. from Alan (and other people!). 
  3304. Richard K. Lloyd: For documentation on the older viruses. 
  3305. Terje Slettebø: For help with the disassembly of the NetStatus virus.
  3306. Paul Frohock: For help and information long before !Killer saw light 
  3307. of day (and still going strong :-) )!
  3308.  
  3309. The following pieces of software are amongst those I (Alan) use for 
  3310. virus analysis - my thanks to those in the list below who have added 
  3311. changes etc at my request or helped in other ways (you know who you 
  3312. are...).
  3313.                           
  3314. QDBug - Vertical Twist (Debugging tool)
  3315. !QZap - Kevin Quinn (PD Desktop Disassembler)
  3316. !Dissi - John Tytgat (Registered version - Desktop Disassembler/Source 
  3317. generator)
  3318. !DeskEdit - RISC Developments (!Edit, with many useful additions)
  3319. !Snoop - DT Software (Desktop examination tool)
  3320.  
  3321. Thanks also to Mark Smith and David Pilling for help with ARCFS and 
  3322. SparkFS.
  3323.  
  3324.  
  3325. ###########################################################################
  3326.  
  3327. Contacting the authors
  3328. ---------------------------------------------------------------------------
  3329.  
  3330. POST:
  3331.  
  3332.    Tor Houghton                   Alan Glover
  3333.    17K Park Village               PO Box 459
  3334.    University of Sussex           Cambridge
  3335.    Falmer                         CB1 4QB
  3336.    Brighton                       UK
  3337.    BN1 9RD
  3338.    UK
  3339.  
  3340. EMAIL:
  3341.  
  3342.    Tor O. Houghton:  torh@cogs.susx.ac.uk
  3343.    Alan Glover:      aglover@acorn.co.uk, or
  3344.                      alan@pinesoft.demon.co.uk
  3345.  
  3346. FAX:
  3347.  
  3348.    Alan Glover                    (+44) (0)223 415222
  3349.    Acorn Computers Ltd.           (+44) (0)223 254264
  3350.    Pineapple Software             (+44) (0)81 598 2343
  3351.  
  3352. TELEPHONE:
  3353.  
  3354.    Pineapple Software             (+44) (0)81 599 1476
  3355.    Acorn Computers Ltd.           (+44) (0)223 254254
  3356.  
  3357.  
  3358. ###########################################################################
  3359.  
  3360. Checklist
  3361. ---------------------------------------------------------------------------
  3362. (last change 30th October 1993)
  3363.  
  3364. Click on the name of the virus to read more about it.
  3365.  
  3366.                          Media    Memory
  3367. Virus       Utility      D   R    D  R
  3368.  
  3369. Alien       Killer       Y   Y    Y  Y
  3370.  
  3371. Aprilfool   Killer       Y   Y    Y  Y
  3372.  
  3373. Archie      Guardian     Y   N    ?  ?
  3374.             Killer       Y   Y    Y  Y
  3375.             Scanner      Y   N    N  N
  3376.  
  3377. Arcuebus    Killer       Y   Y    Y  Y
  3378.  
  3379. Axishack    Killer       Y   Y    Y  Y
  3380.                            
  3381. BBCEconet   Killer       Y   Y    Y  Y
  3382.             Scanner      Y   N    Y  Y
  3383.             Interferon   N   N    Y  N
  3384.  
  3385. Bigfoot     Killer       Y   Y    Y  Y
  3386.             Scanner      Y   N    N  N
  3387.  
  3388. Boohoo      Killer       Y   Y    Y  Y
  3389.                                                     
  3390. Breakfast   Killer       Y   Y    Y  Y
  3391.  
  3392. CeBIT       Hunter       Y   Y    Y  Y
  3393.             Interferon   N   N    Y  Y
  3394.             Killer       Y   Y    Y  Y
  3395.             Scanner      Y   N    Y  N
  3396.  
  3397. Code        Killer       Y   Y    Y  Y
  3398.             Scanner      Y   Y    N  N
  3399.                         
  3400. Diehard     Killer       Y   Y    Y  Y
  3401.  
  3402. Ebenezer    Killer       Y   Y    Y  Y
  3403.  
  3404. Ex_port     Killer       Y   Y    Y  Y
  3405.  
  3406. Extend      Guardian     Y   ?    Y  ?
  3407.             Hunter       Y   Y    N  N
  3408.             Interferon   N   N    Y  N
  3409.             Killer       Y   Y    Y  Y
  3410.             Scanner      Y   N    Y  N
  3411.  
  3412. ExtendV2    Killer       Y   Y    Y  Y
  3413.  
  3414. FCodex      Killer       Y   Y    Y  Y
  3415.  
  3416. Funky       Killer       Y   Y    Y  Y
  3417.  
  3418. Garfield_I  Killer       Y   Y    Y  Y
  3419.             Scanner      Y   Y    Y  Y
  3420.             Interferon   N   N    Y  N
  3421.  
  3422. Garfield_W  Killer       Y   Y    Y  Y
  3423.             Scanner      Y   Y    Y  Y
  3424.             Interferon   N   N    Y  N
  3425.                 
  3426. Handler     Killer       Y   Y    Y  Y
  3427.  
  3428. Icon        Hunter       !   !    N  N
  3429.             IVSearch     !   !    ?  ?
  3430.             Killer       Y   Y    Y  Y
  3431.             Scanner      Y   Y    N  N
  3432.  
  3433. Image       Killer       Y   Y    Y  Y
  3434.             Scanner      Y   N    Y  Y
  3435.  
  3436. Image2      Killer       Y   Y    Y  Y
  3437.  
  3438. Increment   Killer       Y   Y    Y  Y
  3439.             Scanner      Y   N    Y  N
  3440.  
  3441. IRQFix      Killer       Y   Y    Y  Y
  3442.             Scanner      Y   Y    N  N
  3443.  
  3444. Link        Hunter       Y   Y    Y  Y
  3445.             Interferon   N   N    Y  Y
  3446.             Killer       Y   Y    Y  Y
  3447.             Scanner      Y   Y    Y  Y
  3448.  
  3449. Mode87      Killer       Y   Y    Y  Y
  3450.             Scanner      Y   Y    N  N
  3451.             Interferon   N   N    Y  N
  3452.  
  3453. Module      Guardian     Y   Y    ?  ?
  3454.             Hunter       Y   Y    Y  Y
  3455.             Interferon   N   N    Y  N
  3456.             Killer       Y   Y    Y  Y
  3457.             Scanner      Y   Y    N  N
  3458.  
  3459. MonitorDat  Killer       Y   Y    Y  Y
  3460.  
  3461. MyMod       Hunter       Y   Y    Y  Y
  3462.             Interferon   N   N    Y  Y
  3463.             Killer       Y   Y    Y  Y
  3464.             Scanner      Y   Y    Y  Y
  3465.  
  3466. NetManager  Guardian     ?   ?    ?  ?
  3467.             Interferon   N   N    Y  Y
  3468.             Killer       Y   Y    Y  Y
  3469.             Scanner      Y   Y    Y  Y
  3470.  
  3471. NetStatus   Hunter       !   !    Y  Y
  3472.             Interferon   N   N    Y  Y
  3473.             Killer       Y   Y    Y  Y
  3474.             Scanner      Y   Y    Y  Y
  3475.             VirusKill    Y   Y    ?  ?
  3476.  
  3477. NewDesk     Killer       Y   Y    Y  Y
  3478.  
  3479. Parasite*   Killer       Y   Y    Y  Y
  3480.             Scanner      Y   N    Y  N
  3481.  
  3482. Penicillin* Killer       Y   Y    Y  Y
  3483.                     
  3484. Poltergeist Killer       Y   Y    Y  Y
  3485.  
  3486. Runopt      Killer       Y   Y    Y  Y
  3487.  
  3488. Shy         Killer       Y   Y    Y  Y
  3489.  
  3490. Sprite*     Killer       Y   Y    Y  Y
  3491.             Scanner      Y   N    N  N
  3492.  
  3493. SpriteUtils Killer       Y   Y    Y  Y
  3494.             Scanner      Y   Y    N  N
  3495.  
  3496. Taskmanager Killer       Y   Y    Y  Y
  3497.  
  3498. T2          Killer       Y   Y    Y  Y
  3499.             Scanner      Y   N    N  Y
  3500.  
  3501. Terminator* Killer       Y   Y    Y  Y
  3502.             Scanner      Y   N    N  N
  3503.  
  3504. Thanatos*   Hunter       Y   Y    N  N
  3505.             Killer       Y   Y    Y  Y
  3506.             Scanner      Y   N    N  N
  3507.  
  3508. Traphandler Hunter       Y   Y    Y  Y
  3509.             Interferon   N   N    Y  Y
  3510.             Killer       Y   Y    Y  Y
  3511.             Scanner      Y   Y    Y  Y
  3512.  
  3513. Valid       Killer       Y   Y    na na
  3514.             Scanner      Y   Y    na na
  3515.  
  3516. VanDamme    Killer       Y   Y    Y  Y
  3517.  
  3518. Vigay       Guardian     Y   Y    ?  ?
  3519.             Killer       Y   Y    Y  Y
  3520.             Scanner      Y   N    N  N
  3521.  
  3522. Whoops      Killer       Y   Y    Y  Y
  3523.  
  3524. Wimpman     Killer       Y   Y    Y  Y
  3525.  
  3526. ? Refers to cases where the documentation fails to explain exactly
  3527. what it does with the virus.
  3528.  
  3529. ! Special cases (e.g. some killers might not detect all variants 
  3530. of a
  3531. virus), refer to the separate virus entries in this document for
  3532. details.
  3533.  
  3534. na Not applicable, typically a virus which does not reside in memory.
  3535.  
  3536.  
  3537. ###########################################################################
  3538.  
  3539. Quick Checks
  3540. ---------------------------------------------------------------------------
  3541. (last change 24th November 1993)
  3542.  
  3543. Click on the virus name to read more about it.
  3544.                           
  3545. Alien - Icon variant - wide choice of specific names and filetypes.
  3546.  
  3547. Aprilfool - Creates directory called ScrapHeap on RAM disc. Desktop 
  3548. task called 'aprilfool'.
  3549.  
  3550. Archie - Attacks absolute (filetype &FF8) files.
  3551.  
  3552. Arcuebus - Installs a false NetStatus module (3.07).
  3553.  
  3554. Axishack - Desktop task called Axis_Hack.
  3555.  
  3556. BBCEconet - Attacks absolute files, encrypting part of them. Loads 
  3557. trojan BBCEconet module.
  3558.  
  3559. Bigfoot - Desktop task called 'bigfoot', file with randomly chosen 
  3560. name in capitals (BASIC file).
  3561.  
  3562. Boohoo - Attacks modules. Infected modules are re-stamped. Killing 
  3563. an infected module gives 'Yah, boo hoo', hence the name!
  3564.  
  3565. Breakfast - Attacks absolute files, encrypting part of them. Loads 
  3566. trojan BBCEconet module.
  3567.  
  3568. CeBIT - Attacks applications. File "TlodMod" in app. directory. Module 
  3569. "TlodMod" in module list.
  3570.  
  3571. Code - Desktop task called 'Window Manager'. Applications may 'lose' 
  3572. their sprites.    
  3573. Diehard - Icon-2173: data file called Setup.                     
  3574.          
  3575.  
  3576. Ebenezer - Desktop application task called "Filer". Screen judder 
  3577. on Fridays.
  3578.  
  3579. EMod - Nameless wimp task which never quits.
  3580.  
  3581. Ex_port - File called ex_port (various filetypes) inside applications.
  3582.  
  3583. Extend - Attacks applications. Files "MonitorRM", "CheckMod", "ExtendRM", 
  3584. "OSextend",  ColourRM", "Fastmod", "CodeRM" or  "MemRM"  in app. 
  3585. directory . Module "Extend" in module list.
  3586.                       
  3587. ExtendV2 - Icon variant which describes itself as Extend
  3588.  
  3589. FCodex - File called 'FCodex' inside applications.
  3590.  
  3591. Funky - Desktop task called 'Window Dude'.
  3592.  
  3593. Garfield_I - Creates application called !Pic, loads a module called 
  3594. IconManager.
  3595.  
  3596. Garfield_W - Creates application called !Obey, loads a module called 
  3597. WimpAIDS.
  3598.  
  3599. Handler - Creates an application task called 'Task Handler'.
  3600.  
  3601. Icon - Attacks applications. Files of various names in app. directories. 
  3602. Nameless WIMP task in the Task Manager, or missing memory in the 
  3603. Task Manager.
  3604.  
  3605. Image - Attacks applications. Files "Image" and "!Spr" in app. directory.
  3606.  
  3607. Image2 - Attacks applications. Files "Image" and "!BootFAT" in app. 
  3608. directory.
  3609.  
  3610. Increment - Attacks applications. Appends to !Boot - look for 'load 
  3611. <obey$dir>.!boot 8000' towards the end of the !Boot.
  3612.  
  3613. Irqfix - Attacks applications. Files "RiscExtRM", "WimpPoll", "OSSsystem", 
  3614. "MiscUtil", "FastRom", "IRQFix" or "AppRM in app. directory. Module 
  3615. "Irqfix" in module list.
  3616.  
  3617. Link - Attacks absolute (filetype &FF8) files. Module "BSToDel" in 
  3618. module list. Infected files are re-stamped.
  3619.  
  3620. Mode87 - Loads a module called BBCEconet (replacing the real one). 
  3621. Overwrites !Boot files.
  3622.  
  3623. Module - Attacks modules. Infected modules are re-stamped.
  3624.                
  3625. MonitorDat - Chance of screen wobble on Mondays. File called MonitorDat 
  3626. inside applications.
  3627.  
  3628. MyMod - Attacks applications. Files "SSLM"  and "SSLF" in app. directories. 
  3629. Module "MyMod" in module list.
  3630.  
  3631. NetManager - Attacks !Boot files. Module "NetManager" in module list.
  3632.  
  3633. NetStatus - Attacks !Boot files. Module "NetStatus" in module list 
  3634. (at offset &018xxxxx). Ensure the program you use understands both 
  3635. strains of this virus! Killer and Scanner do. See also Arcuebus.
  3636.  
  3637. NewDesk - Sprite file called NewDesk, various task names.
  3638.  
  3639. Parasite - Attacks applications. Random of 20 filename choices for 
  3640. the code carrier.
  3641.  
  3642. Penicillin - Malicious Icon variant - always a Data file called Penicillin.
  3643.  
  3644. Poltergeist - Creates files with an 'invisible' name and a grey sprite.
  3645.  
  3646. RunOpt - Starts an APPLICATION task called 'Task Manager'
  3647.                               
  3648. Shy - *Modules will show a module number missing (providing another 
  3649. module has been loaded since).
  3650.  
  3651. Sprite - Attacks applications. Files "Sprite" and "!Str" in app. 
  3652. directories.
  3653.  
  3654. SpriteUtils - Attacks applications. File SprUtils saved in applications. 
  3655. Loads from !run.
  3656.  
  3657. Taskmanager - Attack applications. File ' Log' inside applications. 
  3658. Produces a desktop application task called 'Task Manager'.
  3659.  
  3660. T2 - Attacks !RunImage files of type &FF8. Files grow by about 4K. 
  3661. See entry for details.
  3662.  
  3663. Terminator - An Icon variant which uses varied file/task names. Extra 
  3664. files appear in directories.
  3665.  
  3666. Thanatos - Attacks applications. Files "RISCOSext" and "TaskAlloc" 
  3667. in app. directory. "Thanatos" visible in the Task Manager.
  3668.  
  3669. TrapHandler - Attacks !Boot files. Module "TrapHandler" in module 
  3670. list.
  3671.  
  3672. Valid - Attacks applications. Files "Valid" and "Source" in app. 
  3673. directory.
  3674.  
  3675. VanDamme - Attack applications. Files with randomly chosen lower 
  3676. case names of a variety of filetypes.
  3677.  
  3678. Vigay - Attacks applications. File "DataDQM" in app. directories. 
  3679. WIMP task named "TaskManager" in  the Task Manager.
  3680.                   
  3681. Whoops - Attacks applications. File !Memalloc added to application.
  3682.  
  3683. Wimpman - File called 'WimpMan' in application directories. Filetyped 
  3684. as a module, but is BASIC.
  3685.  
  3686. ###########################################################################
  3687.  
  3688. Calendar
  3689. ---------------------------------------------------------------------------
  3690.  
  3691. A number of viruses have messages which are programmed to be displayed 
  3692. on a given day or dates. Some are specific dates (eg 4th July) others 
  3693. are less specific such as the first monday of the month, or Friday 
  3694. 13th.
  3695.  
  3696. This section is subdivided into months, for the viruses with specific 
  3697. dates and messages which could occur in any suitable month.
  3698.  
  3699. To read more about a particular virus mentioned in this section click 
  3700. on the virus name (which will be underlined).
  3701.  
  3702. January
  3703. February
  3704. March
  3705. April
  3706. May
  3707. June
  3708. July
  3709. August
  3710. September
  3711. October
  3712. November
  3713. December
  3714. Any
  3715.  
  3716.  
  3717. ###########################################################################
  3718.  
  3719. January
  3720. ---------------------------------------------------------------------------
  3721.  
  3722. Date        Virus        Message/Action
  3723.  
  3724. 1st         Parasite     Crashes computer before 01:00
  3725. 1st         T2           New Year's Resolution from T2...
  3726. 1st         Thanatos     Suggested new-year's resolution...
  3727. 1st         Breakfast    A contest of skill and cyberprank...
  3728. 1st         Icon         Got over your hangover already? (before 
  3729.                          10am)
  3730.  
  3731.  
  3732. ###########################################################################
  3733.  
  3734. February
  3735. ---------------------------------------------------------------------------
  3736.  
  3737. Date        Virus        Message/Action
  3738.  
  3739. 14th        T2           St. Valentine's Day Roses are red, Violets 
  3740.                          are blue...
  3741. 14th        Icon         Alan G 4 Tor H
  3742.  
  3743. 29th        Parasite     Set Mouse step rate to -5 (fast & reversed)
  3744.  
  3745.  
  3746. ###########################################################################
  3747.  
  3748. March
  3749. ---------------------------------------------------------------------------
  3750.  
  3751. Date        Virus        Message/Action
  3752.  
  3753. 15th        Bigfoot      This is a HOLD UP! Give me all the PD software...
  3754.  
  3755.  
  3756. ###########################################################################
  3757.  
  3758. April
  3759. ---------------------------------------------------------------------------
  3760.  
  3761. Date        Virus        Message/Action
  3762.  
  3763. 1st         BBCEconet    E.T. phones home!
  3764. 1st         Thanatos     Address Exception at &0863FB3C
  3765. 1st         Aprilfool    April fool
  3766. 1st         Breakfast    <details to be added>
  3767. 1st         NewDesk      Ha!, Ha!, Ha!. I had you fooled there
  3768. 1st         Icon         Palette has wiped your Hard Drive
  3769.  
  3770.  
  3771.  
  3772. ###########################################################################
  3773.  
  3774. May
  3775. ---------------------------------------------------------------------------
  3776.  
  3777. Date        Virus        Message/Action
  3778.  
  3779. 1st         T2           Mayday from T2...
  3780.  
  3781.  
  3782. ###########################################################################
  3783.  
  3784. June
  3785. ---------------------------------------------------------------------------
  3786.  
  3787. Date        Virus        Message/Action
  3788.  
  3789. 21st        Parasite     Set Mouse step rate to 1 (slow)
  3790.  
  3791. 25th        BBCEconet    Ph'nglui mglw'nafh Chtulhu...
  3792.  
  3793.  
  3794. ###########################################################################
  3795.  
  3796. July
  3797. ---------------------------------------------------------------------------
  3798.  
  3799. Date        Virus        Message/Action
  3800.  
  3801. 4th         T2           Independence Day celebrations from T2...
  3802. 4th         Icon         ***SHAKES***
  3803. 4th         Bigfoot      Hay there its the 4th of July...
  3804. 21st        Breakfast    Cheer up, the worst is yet to come. I think.
  3805.  
  3806.  
  3807. ###########################################################################
  3808.  
  3809. August
  3810. ---------------------------------------------------------------------------
  3811.  
  3812. Date        Virus        Message/Action
  3813.  
  3814. No viruses are known which display messages specifically during this 
  3815. month.
  3816.  
  3817.  
  3818. ###########################################################################
  3819.  
  3820. September
  3821. ---------------------------------------------------------------------------
  3822.  
  3823. Date        Virus        Message/Action
  3824.  
  3825. 6th (1992)  Module       Your computer has been virus infected...
  3826.  
  3827.  
  3828. ###########################################################################
  3829.  
  3830. October
  3831. ---------------------------------------------------------------------------
  3832.  
  3833. Date        Virus        Message/Action
  3834.  
  3835. 23rd        BooHoo       Happy Birthday!
  3836. 31st        T2           Spookiness from T2...
  3837. 31st        Thanatos     Your disk's been formatted without you asking...
  3838.  
  3839.  
  3840. ###########################################################################
  3841.  
  3842. November
  3843. ---------------------------------------------------------------------------
  3844.  
  3845. Date        Virus        Message/Action
  3846.  
  3847. 5th         Bigfoot      Wizz Bang! Its Guyfalks night...
  3848. 5th         Breakfast    Remember, Remember, the 5th of November 
  3849.                          - Gunpowder, Treason and Plot...
  3850. 5th         Icon         It's Bonfire Night
  3851.  
  3852.  
  3853. ###########################################################################
  3854.  
  3855. December
  3856. ---------------------------------------------------------------------------
  3857.  
  3858. Date        Virus        Message/Action
  3859.  
  3860. 21st        Parasite     Set Mouse step rate to 127 (very fast)
  3861. 21st        Parasite     Change MonitorType and Sync settings
  3862.  
  3863. 25th        BBCEconet    Merry Christmas!
  3864. 25th        Bigfoot      Happy Christmas from BigFoot ... The VIRUS
  3865. 25th        T2           Yuletide Jollities from T2...
  3866. 25th        Thanatos     Merry Chrimble! Hope you liked your pressy...
  3867. 25th        Icon         The AVRD doesn't know about this one.
  3868.  
  3869. 26th        Icon         Sorry to wreck your new pressy but this 
  3870.                          *is* a virus.
  3871.  
  3872.  
  3873. ###########################################################################
  3874.  
  3875. Any Month
  3876. ---------------------------------------------------------------------------
  3877.  
  3878. Date        Virus        Message/Action
  3879.  
  3880. 13th        Archie       Hehe ArchieVirus strikes again
  3881. 13th        Penicillin   Creates random mouse rectangle and endlessly 
  3882.                          loops
  3883. 13th        Penicillin   Marks three sectors on ADFS::0 as defective
  3884. 13th        Icon         Random graphics
  3885.  
  3886. Friday 13th Link         Message from LINK: Active since 30-Nov-91
  3887. Friday 13th BBCEconet    It's Friday! Why are you working....
  3888. Friday 13th MyMod        Hi there. It's me, with my latest addition...
  3889. Friday 13th T2           Comiserations from T2...
  3890. Friday 13th Breakfast    Have a nice day.
  3891. Friday 13th NewDesk      Ha!, Ha!, Ha!. Unlucky for some
  3892. Friday 13th Icon         Palette Strikes Again!!!
  3893.  
  3894. Friday >20thTraphandler  Ignorance will be your undoing
  3895.  
  3896. First MondayGarfield_I   The Garfield Virus is here to stay
  3897. First MondayGarfield_I   Don't you just hate Mondays?
  3898. First MondayGarfield_W   The Garfield Virus is here to stay
  3899. First MondayGarfield_W   Don't you just hate Mondays?
  3900.  
  3901. Any Monday  MonitorDat   Screen wobbles up/down
  3902. Any ThursdayVigay        Screen wobbles up/down
  3903. Any Friday  Ebenezer     Screen wobbles up/down
  3904. Any SaturdayAxishack     Screen wobbles up/down
  3905.  
  3906. xx:30       Icon         Your Floppy Drive Has Got An Erection
  3907.  
  3908.  
  3909.  
  3910. ###########################################################################
  3911.  
  3912. Index
  3913. ---------------------------------------------------------------------------
  3914.  
  3915. Introduction             Introduction
  3916. Abstract
  3917. Virus Index              Index to known viruses
  3918. Virus Detection Utilities
  3919. Acknowledgements & Credits
  3920. Contacting the authors
  3921. Checklist
  3922. Quick Checks
  3923. Calendar
  3924.  
  3925. Index of virus names and aliases:
  3926.             
  3927. Alien                                                       
  3928. Aprilfool
  3929. Archie
  3930. Arcuebus
  3931. Axishack
  3932. BBCEconet
  3933. Bigfoot
  3934. Boohoo
  3935. Boot
  3936. CeBIT        
  3937. Code
  3938. DataDQM
  3939. Diehard
  3940. Ebenezer
  3941. EMod
  3942. Ex_port
  3943. Extend
  3944. FCodex
  3945. Filer
  3946. FF8   
  3947. Funky    
  3948. Garfield_I
  3949. Garfield_W
  3950. Handler
  3951. HLCC12
  3952. Icon
  3953. Icon-A
  3954. Illegal
  3955. Image
  3956. Image2
  3957. Increment
  3958. IRQFix
  3959. Link
  3960. Mode87
  3961. Module
  3962. ModVir                 
  3963. MonitorDat
  3964. MyMod
  3965. NetManager
  3966. NetStatus
  3967. NewDesk
  3968. Newvirus
  3969. Ohsh*t
  3970. Parasite
  3971. Penicillin
  3972. Poison    
  3973. Poltergeist
  3974. RISCOSExt
  3975. Runopt
  3976. Shakes
  3977. Shy
  3978. Sicarius
  3979. Silicon Herpes
  3980. Sprite
  3981. SpriteUtils
  3982. Taskmanager
  3983. T2
  3984. Terminator
  3985. Thanatos
  3986. Traphandler
  3987. Valid   
  3988. VanDamme
  3989. Vigay      
  3990. Whoops
  3991. Wimpman
  3992. Wraith
  3993. Wright
  3994.  
  3995.