home *** CD-ROM | disk | FTP | other *** search
/ Hackers Underworld 2: Forbidden Knowledge / Hackers Underworld 2: Forbidden Knowledge.iso / VIRUS / STEROID < prev    next >
Text File  |  1990-12-02  |  2KB  |  42 lines
  1.     There is a Trojan Horse called "Steroid".  It is an INIT that claims to speed up QuickDraw on Macintosh SE, Plus and earlier machines.  The INIT contains code that checks for the date being greater than July 1, 1990.  If it is, it will ERASE all mounted drives.
  2.     Having the Comm Toolbox installed seems to interfere with the INIT and keep the erasure from happening.  The SE then simply crashes.
  3.     Installing the INIT on a floppy disk and booting it on an SE with the system date set after July 1, 1990 causes the floppy and hard disk to be immediately erased.
  4.  
  5.     At this time it is known that the code does the following:
  6.  
  7. OPERATIONS AT RESTART:
  8. ----------------------
  9.     DATE & TIME CHECK (Loop)
  10.     SYSENVIRONS CHECK
  11.     GETS VOLUME INFORMATION (probably checking for HFS)
  12.     GETS SOME ADDRESSES (Toolbox traps)
  13.     DOES SOME HFS DISPATCH OPERATIONS
  14.     VOLUME IS REINITIALIZED to "Untitled"
  15.  
  16. INFORMATION:
  17. ------------
  18.     TYPE:      INIT
  19.     CREATOR:   qdac
  20.     CODE SIZE: 1080
  21.     DATA SIZE: 267
  22.     ID:        148
  23.     Name:      QuickDraw Accelerator
  24.     File Name: "  Steroid" (First 2 characters are ASCII 1)
  25.  
  26.     The 2 invisible characters are there to make it load before SAM (or
  27. other INITs).
  28.     If you have renamed the file so that it runs after SAM (in general, NO unknown INITs should ever be allowed to run before SAM), then in advanced or custom modes you will get SAM alerts saying "There is an attempt to bypass the file system" when this Trojan attacks your volumes. Denying these attempts prevents the Trojan from doing any damage.
  29.     You can enter the following virus definition in Virus Clinic to allow both SAM Intercept and Virus Clinic to detect this Trojan during scans.
  30.  
  31.    Virus Name:  Steroid Trojan
  32. Resource Type:  INIT
  33.   Resource ID:  148
  34. Resource Size:  1080
  35. Search String:  ADE9 343C 000A 4EFA FFF2 4A78    (hexadecimal)
  36. String Offset:  96
  37.  
  38.     If you have entered this definition and have renamed the Trojan to run after SAM, then SAM Intercept will also notify you when this INIT is run at startup time.
  39.     If your disk becomes erased, you can use SUM II Disk Clinic to recover the deleted files.
  40.  
  41. NOTE:
  42.     This information comes from a number of sources and has been edited by Geoff Hartley for CVIA for clarification.