home *** CD-ROM | disk | FTP | other *** search
/ The Hacker's Encyclopedia 1998 / hackers_encyclopedia.iso / pc / virus / v06i155.txt < prev    next >
Encoding:
Internet Message Format  |  2003-06-11  |  42.3 KB
  1. To:       VIRUS-L@LEHIGH.EDU
  2. Subject:   VIRUS-L Digest V6 #155
  3. --------
  4. VIRUS-L Digest   Tuesday,  7 Dec 1993    Volume 6 : Issue 155
  5.  
  6. Today's Topics:
  7.  
  8. Virus/gun analogy doesn't work
  9. Re: Article available (General)
  10. Re: Liabilities
  11. Re: Freeware distribution of anti-virus software
  12. Re: Commercial Virus Scanners in the dark??? (PC)
  13. Another false positive with SCAN (PC)
  14. Re: Removing the Moctezuma virus (PC)
  15. Re: Strange Behavoiur of F-PROT, possible boot sector virus? (PC)
  16. HELP! Filler/Swedish Disaster Attack. (PC)
  17. Inconsistent virus reporting (PC)
  18. The _new_ stoned virus (PC)
  19. False positive : SCAN thought VET infected with Invisible Man (PC) (PC)
  20. New version of stoned virus & DOS 3.3 (PC)
  21. Any reviews of InVircible/V-Care ? (PC)
  22. Re: Monkey is not cute! (PC)
  23. Re: Re[2]: November 17th virus at Manchester England? (PC)
  24. Re: McAfee VSHIELD vs Frisk VIRSTOP ??? (PC)
  25. Re: S-Bug info?? (PC)
  26. Re: MS-DOS 6.2 is not a virus (it just acts that way) (PC)
  27. FreqList
  28. WildList 9312
  29.  
  30. VIRUS-L is a moderated, digested mail forum for discussing computer
  31. virus issues; comp.virus is a gatewayed and non-digested USENET
  32. counterpart.  Discussions are not limited to any one hardware/software
  33. platform - diversity is welcomed.  Contributions should be relevant,
  34. concise, polite, etc.  (The complete set of posting guidelines is
  35. available by FTP on CERT.org or upon request.)  Please sign submissions
  36. with your real name; anonymous postings will not be accepted.
  37. Information on accessing anti-virus, documentation, and back-issue
  38. archives is distributed periodically on the list.  A FAQ (Frequently
  39. Asked Questions) document and all of the back-issues are available by
  40. anonymous FTP on CERT.org (192.88.209.5).
  41.  
  42. Administrative mail (e.g., comments, suggestions, beer recipes)
  43. should be sent to me at: krvw@ASSIST.IMS.DISA.MIL.
  44.  
  45. All submissions should be sent to: VIRUS-L@Lehigh.edu.
  46.  
  47.    Ken van Wyk
  48.  
  49. ----------------------------------------------------------------------
  50.  
  51. Date:    Wed, 01 Dec 93 12:20:43 -0500
  52. From:    ksaj@pcscav.com (OS R & D)
  53. Subject: Virus/gun analogy doesn't work
  54.  
  55. Most virus writers I have met are fairly cunning people.  I think that
  56. if an argument is to be made to validate the writing of viruses, the
  57. 'gun' analogy must go.  A more 'cunning' argument is needed.
  58.  
  59. The problem is this: You must have a *license* to sell guns, and you
  60. must have a *license* to buy guns.  Taking that into consideration,
  61. the argument then becomes:
  62.  
  63. 'If I was a *certified* gunsalesperson [politically correct, I guess],
  64. and I *legally* sold a gun to someone who was *legally* entitled to
  65. use one, and they shot somebody with it, I cannot be charged for their
  66. wrongdoing.'
  67.  
  68. This is still true, but, put this into virus terms, and we have a
  69. problem.
  70.  
  71. 'If I was a *certified* virus-writer, and I *legally* sold a virus to 
  72. someone who was *legally* ... '   The finish isn't necessary.  It is 
  73. painfully obvious that this argument needs revision.
  74.  
  75. How about if I 'legally installed', ummm, 'legally spread'.  This just
  76. doesnt' work for me.
  77.  
  78. Please don't flame me for this message, as I am not stating any 'for'
  79. or 'against' views on virus writing.  I am simply stating my opinion
  80. on a heavily flawed, and overused analogy.
  81.  
  82.                                 karsten johansson
  83.  
  84. - ---
  85. ksaj@pcscav.com (OS R & D)
  86.   PC Scavenger -- Computer Virus Research, Toronto CANADA (416)463-8384
  87.   Free services: send EMAIL to info@pcscav.com or virus.list@pcscav.com
  88.  
  89. ------------------------------
  90.  
  91. Date:    Wed, 01 Dec 93 13:41:45 -0500
  92. From:    bontchev@fbihh.informatik.uni-hamburg.de (Vesselin Bontchev)
  93. Subject: Re: Article available (General)
  94.  
  95. Vesselin Bontchev (bontchev@fbihh.informatik.uni-hamburg.de) writes:
  96.  
  97. > ftp.informatik.uni-hamburg.de:/pub/virus/texts/revguide.zip
  98.  
  99. Ooopss! :-( As several people have noticed, it is actually
  100.  
  101. ftp.informatik.uni-hamburg.de:/pub/virus/texts/viruses/revguide.zip
  102.  
  103. Sorry for the confusion.
  104.  
  105. Regards,
  106. Vesselin
  107. - --
  108. Vesselin Vladimirov Bontchev          Virus Test Center, University of Hamburg
  109. Tel.:+49-40-54715-224, Fax: +49-40-54715-226      Fachbereich Informatik - AGN
  110. < PGP 2.3 public key available on request. > Vogt-Koelln-Strasse 30, rm. 107 C
  111. e-mail: bontchev@fbihh.informatik.uni-hamburg.de        22527 Hamburg, Germany
  112.  
  113. ------------------------------
  114.  
  115. Date:    Wed, 01 Dec 93 14:13:50 -0500
  116. From:    frisk@complex.is (Fridrik Skulason)
  117. Subject: Re: Liabilities
  118.  
  119. ktark@src4src.linet.org (Karl Tarhk) writes:
  120.  
  121. >I am a gun manufacturer and inventor.  Should I be held liable for the
  122. >uses and misuses of such weapon, if I am not able to control who gets
  123. >it and who does not?  Absolutely, positively NOT!
  124.  
  125. Well, that is your opinion - I know a few people that would disagree with you.
  126. However - this analogy is no good, as the sale and distribution of weapons
  127. is considered "acceptable" in most "civilized" societies.
  128.  
  129. Assume instead that you have invented a new type of poiseon, nerve gas or
  130. a biological virus - something that most people would agree that unauthorized
  131. persons should not be playing around with or creating..
  132.  
  133. Then, yes....I would say it was certainly your responsibility to make sure
  134. it did not fall into the wrong hands, and if it did, then some people would
  135. certainly like to hold you personally responsible.
  136.  
  137. >And we all know that there is a few CARO virus collections floating
  138.  
  139. We do ?   Unfortuantely, there is no such thing as a "CARO virus collection".
  140. There are several different collections in existense - some of which happen
  141. to be owned by a caro member.  If you have any evidence any of those
  142. collections are "floating around in the wrong places", please prove that - or
  143. consult a lawyer before you make claims like this again. (This does not mean
  144. that there have never been "leaks" from the research community to the
  145. "underground"...but they seem (fortunately) to be a thing of the past).
  146.  
  147. >You are assuming something that can NOT be proven: Computer viruses
  148. >are inherently destructive.  This is false;
  149.  
  150. It is ?  Please prove it.
  151.  
  152. By my definition, a computer virus has to modify something in order to spread.
  153. The modified object may no longer work properly - so even if the virus is
  154. intended to be harmless, that is unfortunately never the case.
  155.  
  156. - -frisk
  157.  
  158. ------------------------------
  159.  
  160. Date:    Wed, 01 Dec 93 14:21:21 -0500
  161. From:    frisk@complex.is (Fridrik Skulason)
  162. Subject: Re: Freeware distribution of anti-virus software
  163.  
  164. halew@jupiter.sun.csd.unb.ca (R. Wallace Hale) writes:
  165.  
  166. >It seems to be working quite well for Frisk et al... 
  167.  
  168. Well....I'm not complaining.  $1 per machine (and free for private use)
  169. may not seem likely to generate much income, but well...there are just so
  170. many computers out there ... :-)
  171.  
  172. However - I must admit that when this started I never expected to celebrate
  173. the registration of the millionth copy :-)
  174.  
  175. - -frisk
  176.  
  177. ------------------------------
  178.  
  179. Date:    Wed, 01 Dec 93 11:58:27 -0500
  180. From:    bontchev@fbihh.informatik.uni-hamburg.de (Vesselin Bontchev)
  181. Subject: Re: Commercial Virus Scanners in the dark??? (PC)
  182.  
  183. kevin marcus (datadec@ucrengr.ucr.edu) writes:
  184.  
  185. > >I am using my brains to figure it out. Don't you?
  186.  
  187. > >Maybe you shouldn't judge something that you don't know. But, of
  188.  
  189. > Did I miss somethig here? 
  190.  
  191. It seems to me that you did.
  192.  
  193. > Sometimes you are allowed to use your brain
  194. > to figure out something, and other times you're not allowed to?
  195.  
  196. First, I didn't use the word "allow". I just said "maybe". Second,
  197. using your brain to figure out or imagine something is one thing and
  198. judging something that you don't know just on the basis of your
  199. immagination is a completely different thing, especially when it
  200. concerns technical matters. Third, this discussion has run completely
  201. out of topic and I propose you to take it to private e-mail.
  202.  
  203. > If I use my brain here, I would say there is a contradiction.  
  204.  
  205. Try again, having in mind what I wrote above.
  206.  
  207. > BTW, do you have more than one brain?
  208.  
  209. No, but my computer has a German keyboard and my typing is horrible.
  210. :-)
  211.  
  212. Regards,
  213. Vesselin
  214. - --
  215. Vesselin Vladimirov Bontchev          Virus Test Center, University of Hamburg
  216. Tel.:+49-40-54715-224, Fax: +49-40-54715-226      Fachbereich Informatik - AGN
  217. < PGP 2.3 public key available on request. > Vogt-Koelln-Strasse 30, rm. 107 C
  218. e-mail: bontchev@fbihh.informatik.uni-hamburg.de        22527 Hamburg, Germany
  219.  
  220. ------------------------------
  221.  
  222. Date:    Wed, 01 Dec 93 12:05:49 -0500
  223. From:    bontchev@fbihh.informatik.uni-hamburg.de (Vesselin Bontchev)
  224. Subject: Another false positive with SCAN (PC)
  225.  
  226. Hello, everybody!
  227.  
  228. SCAN 9.20 V109, when used with the /A option, reports the program
  229. MODE.COM from the German version of MS-DOS 3.30 as containing the
  230. "1008-B Dropper [1008Drop] Virus". This is a false positive; the
  231. program is not infected.
  232.  
  233. I am not certain what exactly causes the false positive - the program
  234. looks pretty normal. You should avoid using the /A option, unless an
  235. infection is found in "normal" mode.
  236.  
  237. A copy of the file causing the false positive has been sent to McAfee
  238. Associates.
  239.  
  240. Regards,
  241. Vesselin
  242. - --
  243. Vesselin Vladimirov Bontchev          Virus Test Center, University of Hamburg
  244. Tel.:+49-40-54715-224, Fax: +49-40-54715-226      Fachbereich Informatik - AGN
  245. < PGP 2.3 public key available on request. > Vogt-Koelln-Strasse 30, rm. 107 C
  246. e-mail: bontchev@fbihh.informatik.uni-hamburg.de        22527 Hamburg, Germany
  247.  
  248. ------------------------------
  249.  
  250. Date:    Wed, 01 Dec 93 21:11:29 +0300
  251. From:    eugene <eugene@kamis.msk.su>
  252. Subject: Re: Removing the Moctezuma virus (PC)
  253.  
  254. >> I was trying to get rid of the Moctezuma virus. The virus infected just the
  255. >> three .exe files on the disk.
  256.  
  257. > Conclusion: Get AVP 1.07b from our ftp site (beware, it's more than a
  258. > meg). It will be able to repair the infected files.
  259.  
  260. Stop! Wait a moment! I found a bug in Moctezuma removing procedure. It
  261. can cause incorrect restoring CS and SS fields in EXE header in some
  262. cases.  Next update (next week, I hope) will disinfect all curable
  263. viruses (including polymorphic MtE, TPE, Tremor ....) without errors.
  264.  
  265. BTW, in some cases Moctezuma encrypts original EXE header fields
  266. (which are stored in virus body) incorrectly. These files are not
  267. curable :-(
  268.  
  269. Regards,
  270.  
  271. Eugene
  272. - --- 
  273. - -- Eugene Kaspersky, KAMI Group, Moscow, Russia
  274. - -- eugene@kamis.msk.su +7 (095)278-9949
  275.  
  276. ------------------------------
  277.  
  278. Date:    Wed, 01 Dec 93 14:44:00 -0500
  279. From:    frisk@complex.is (Fridrik Skulason)
  280. Subject: Re: Strange Behavoiur of F-PROT, possible boot sector virus? (PC)
  281.  
  282. eastwood@unbsj.ca (Eric Eastwood) writes:
  283.  
  284. >2)   09:30     Have the virus located on one machine in lab and get reports
  285. >               from F-PROT 2.09f saying that is the "TELECOM virus" is in
  286. >               memory. Only if you boot the machine using the hard drive and
  287. >               letting autoexec.bat be run. (loadhigh, mouse, doskey, msav
  288.  
  289. Please, please keep in mind that MSAV is incompatible with other anti-virus
  290. programs, in particular F-PROT (which is a bit paranoid about searching
  291. memory for viruses).   MSAV simply leaves a fragment of the virus in memory,
  292. which F-PROT later finds.  This is an old and well-known false alarm.
  293.  
  294. - -frisk
  295.  
  296. ------------------------------
  297.  
  298. Date:    Wed, 01 Dec 93 15:37:22 -0500
  299. From:    greve@wharton.upenn.edu
  300. Subject: HELP! Filler/Swedish Disaster Attack. (PC)
  301.  
  302.       I need some help.  Yesterday when I started up my office machine
  303.     VI-SPY detected two viruses FILLER and SWEDISH DISASTER.  I checked the
  304.     machine with SCAN109, it told me I had the FILLER virus but didn't say
  305.     anything about SWEDISH DISASTER.  Both programs told be to boot with
  306.     a clean disk and rescan.  I did this and rescaned but both programs
  307.     failed to detect ANY viruses.  When I start the machine from the 
  308.     hard disk I get the virus warnings again.  
  309.  
  310.       Can anybody tell me anything about these two viruses.  I printed out
  311.     the scan109 virus list text file and SWEDISH DISASTER isn't on the list.
  312.     VISPY may call it SWEDISH DISASTER but what does SCAN call it?  Why
  313.     aren't these viruses detected when I boot from a clean floppy and 
  314.     scan my hard drive.  How can I get rid of these viruses.   Windows
  315.     no longer runs on my machine and I don't know if it's related to these
  316.     viruses or not.   Any help will be appreciated.
  317.  
  318.                     Michael Greve
  319.                     University of Pa.
  320.                     The Wharton School
  321.                     greve@wharton.upenn.edu
  322.  
  323. ------------------------------
  324.  
  325. Date:    Wed, 01 Dec 93 16:20:59 -0500
  326. From:    johnboyd@ocdis01.tinker.af.mil (John Boyd)
  327. Subject: Inconsistent virus reporting (PC)
  328.  
  329. I recently purchased some pre-formatted 3.5 diskettes, I believe that they 
  330. were 3M brand, but can't be sure right this second, and I saved a
  331. spreadsheet file from my home machine to the diskette.  When I took the
  332. diskette to the office the next day, and tried to load the file at
  333. work, I got a warning from the virus software that the diskette was
  334. infected with the 'Form virus'.  The virus protection software that I use
  335. at home is F-prot, and I have always used the latest versions direct from
  336. the net since I found it roughly eighteen months ago. The virus 
  337. protection that we use on the office net is Norton. Why wasn't the virus 
  338. detected on my home machine when I initially saved the file , and is
  339. this a false alarm from Norton, even tho' it said it 'repaired' the disk
  340. when I answered yes to the prompt?  Anybody have a clue as to what's going
  341. on? Any assist would be appreciated!!
  342. - ----------------------------------------------------------------------------
  343. johnboyd@ocdis01.tinker.af.mil                   johnboyd@aol.com
  344. 'There are two things that a grown man should never see; sausage being 
  345.  made, and legislation being passed' - Benjamin Franklin
  346. Disclaimer: My opinion represents only me, and sometimes not even that.
  347.  
  348. ------------------------------
  349.  
  350. Date:    Wed, 01 Dec 93 16:21:07 -0500
  351. From:    Doc Cottle <DOCOTTLE@UKCC.uky.edu>
  352. Subject: The _new_ stoned virus (PC)
  353.  
  354. Hello all,
  355.  
  356. Quick question.  Will the newer version of FDISK (the one that includes
  357. the /MBR option) run under DOS 3.x??
  358.  
  359. We've gotten hit with the new stoned that can't be cleaned yet and are
  360. considering that as one of several options to get around the problem.
  361.  
  362.                                                        aTdHvAaNnKcSe
  363.                                                        Doc Cottle
  364. ps. This is posted for our programmer who is too
  365.     busy to do it herself.  (Yep, she's THAT good!)
  366.  
  367. ------------------------------
  368.  
  369. Date:    Wed, 01 Dec 93 17:07:29 -0500
  370. From:    "Roger Riordan" <riordan@tmxmelb.mhs.oz.au>
  371. Subject: False positive : SCAN thought VET infected with Invisible Man (PC) (PC)
  372.  
  373. A.APPLEYARD@fs1.mt.umist.ac.uk wrote
  374.  
  375. >   "S.Manifould" <STEVE@fs1.me.umist.ac.uk> wrote to pc-cluster-ops@umist.ac.uk
  376. > on 22 Nov 93 16:35:52 GMT (Subject: virus hoax), and it was forwarded to me:
  377. >   Everyone, Just a quick note to tell you all about a virus problem I thought
  378. > I had today (Mon 22 Nov) A student had left me a message that " All the 386
  379. > and 486's have been infected with the Invisible Man virus [IMF]". He had run
  380. > the lastest version of McAffee scan (9.19 V108) on the machines and it had
  381. > reported the infection. However Vet 7.4 did not report any infection. Upon
  382. > investigation it appears that VET_RES was causing the McAffee scan to report
  383. > an infection. ie once VET_RES was removed from memory the McAffee scan didnt
  384. > find anything. Cheers, Steve M.
  385.  
  386. This false alarm turned out to have been caused by Scan finding 
  387. our procedure to find Invisible Man, despite the fact that the 
  388. only connection between it and the virus was that the same two 
  389. constants appeared in each, in the same order.  
  390.  
  391. We have taken steps to further camouflage this section, and 
  392. this false alarm will no longer occur.  A copy of VET 7.52, 
  393. containing this change, was sent to Manchester on Nov 26th.
  394.  
  395. Cheers!
  396.  
  397. Roger Riordan                 Author of the VET Anti-Viral Software.
  398. riordan.cybec@tmxmelb.mhs.oz.au
  399.  
  400. CYBEC Pty Ltd.                                 Tel: +613 521 0655
  401. PO Box 205, Hampton Vic 3188   AUSTRALIA       Fax: +613 521 0727
  402.  
  403. ------------------------------
  404.  
  405. Date:    Wed, 01 Dec 93 19:14:23 -0500
  406. From:    Karen Pulliam <KLPULL00@UKCC.uky.edu>
  407. Subject: New version of stoned virus & DOS 3.3 (PC)
  408.  
  409. We have been hit with a new version of stoned (detected with f-prot 2.10).
  410. Unfortunatedly, f-prot is unable to disinfect it.  I tried using DOS 5.0
  411. fdisk /mbr, but received the expected wrong dos version error (the computer
  412. is a 286 running DOS 3.3).
  413.  
  414. Deleting the partitions leaves the virus in the MBR.  I used Norton's disk
  415. editor and entered the generic master boot record as suggested in the User's
  416. Guide, but the virus still remains.
  417.  
  418. Do you know how to get this virus out of the MBR?
  419. Thanks.
  420.  
  421. ------------------------------
  422.  
  423. Date:    Wed, 01 Dec 93 22:09:02 -0500
  424. From:    howard@ccu1.auckland.ac.nz (Howard Ross)
  425. Subject: Any reviews of InVircible/V-Care ? (PC)
  426.  
  427. We have recently been approached by someone selling InVircible by NetZ
  428. Computing Ltd. of Israel. I understand that this product was previously
  429. marketed as V-Care by CSA Interprint of Israel.
  430.  
  431. I am searching for a reputable review. The Virus Bulletin publication
  432. from Great Britain hasn't reviewed it and there is only a passing
  433. reference in an article about the virus/antivirus situation in Israel. I
  434. can't find any reviews in various ftp archives. I have one review from
  435. the Capital PC Monitor, the organ of the Capital PC User Group in
  436. Washington DC USA, but would like something a bit weightier.
  437.  
  438. InVircible looks very attractive because it employs generic defences
  439. against viral attack. Because it does not use scanning, it doesn't fall 
  440. into obsolescence. It boasts high speed, easy-of-use, inobtrusiveness,
  441. and a high rate of restoration/disinfection.
  442.  
  443. Can the labelling on the package be believed?
  444.  
  445. - - Howard
  446.  
  447. - -- 
  448. +  Howard Ross,                                                      +
  449. +  Computer Centre, University of Auckland,                          +
  450. +  Private Bag 92019, Auckland, New Zealand      FAX: +64 9 373-7425 +
  451. +  e-mail : H.Ross@auckland.ac.nz   Phone : +64 9 373-7999 ext. 5830 +
  452.  
  453. ------------------------------
  454.  
  455. Date:    Thu, 02 Dec 93 03:21:43 -0500
  456. From:    frisk@complex.is (Fridrik Skulason)
  457. Subject: Re: Monkey is not cute! (PC)
  458.  
  459. sullivan@cobra.uni.edu writes:
  460.  
  461. >Actually, 2.10 (which is now out) does detect and identify this properly now,
  462. >but Frisk said that VIRSTOP still doesn't intercept correctly.  They patched it
  463. >and e-mailed me a copy of VIRSTOP 2.10a and it works perfectly.  Thank you, a
  464. >million times.
  465.  
  466. This new version of F-PROT will be made publically available as soon as one
  467. small problem has been fixed - a false alarm in a program called EMSLOAD.
  468.  
  469. - -frisk
  470.  
  471. ------------------------------
  472.  
  473. Date:    Thu, 02 Dec 93 03:28:42 -0500
  474. From:    frisk@complex.is (Fridrik Skulason)
  475. Subject: Re: Re[2]: November 17th virus at Manchester England? (PC)
  476.  
  477. cjkuo@symantec.com (Jimmy Kuo) writes:
  478.  
  479. >The fact that your report indicates the "November 17th" but not quite would
  480. >lead me to point you in this direction.  The 855 strain is the most popular
  481. >and the repairs for this virus is most likely based on the virus having a
  482. >length of 855.  
  483.  
  484. Any virus cleaner that does not identify the variants sufficiently is IMHO
  485. more dangerous than most viruses...
  486.  
  487. - -frisk
  488.  
  489. ------------------------------
  490.  
  491. Date:    Thu, 02 Dec 93 03:32:12 -0500
  492. From:    frisk@complex.is (Fridrik Skulason)
  493. Subject: Re: McAfee VSHIELD vs Frisk VIRSTOP ??? (PC)
  494.  
  495. mramey@stein2.u.washington.edu (Mike Ramey) writes:
  496.  
  497. >(Unfortunately that was a year or so ago, and I don't remember the
  498. >details.)  It seemed less thorough.  One example: it did not check for a
  499. >boot-sector-infected diskette in the A: drive on CTL-ALT-DEL reboot.  
  500.  
  501. It now does - not by default, though ... you have to use the /WARM
  502. command-line switch.  
  503.  
  504. - -frisk
  505.  
  506. ------------------------------
  507.  
  508. Date:    Thu, 02 Dec 93 03:42:36 -0500
  509. From:    frisk@complex.is (Fridrik Skulason)
  510. Subject: Re: S-Bug info?? (PC)
  511.  
  512. gbock@yorick.umd.edu (Glenn Bock) writes:
  513.  
  514. >  I just spend the past few hours removing a virus that fp-209f
  515. >called S-Bug (?)   as it called it, a particularly ichy com,exe,ovl
  516. >infecting program virus.  I have no information on this virus
  517. >ans was wondering if anyone has any info on it. I've reptedly
  518. >tried re-infecting a 'protected' machine 'virstop.exe loaded as
  519. >a device driver' and found the machine became masively reinfected
  520.  
  521. As described in the documentation, VIRSTOP will not detect many polymorphic
  522. viruses at all....I could change it to do so, but that would add nearly 100K
  523. to the memory requirements, and slow it down considerably.
  524.  
  525. S-bug is quite polymorphic, so unfortunately VIRSTOP will not be of much help.
  526. The scanner finds the virus 100% (as far as I know), but disinfection has
  527. not yet been implemented.
  528.  
  529. - -frisk
  530.  
  531. Fridrik Skulason      Frisk Software International     phone: +354-1-617273
  532. Author of F-PROT      E-mail: frisk@complex.is         fax:   +354-1-617274
  533.  
  534. ------------------------------
  535.  
  536. Date:    Thu, 02 Dec 93 04:40:45 -0500
  537. From:    latim912@crow.csrv.uidaho.edu (Jerry E. Latimer)
  538. Subject: Re: MS-DOS 6.2 is not a virus (it just acts that way) (PC)
  539.  
  540. A. Padgett Peterson (padgett@tccslr.dnet.mmc.com) wrote:
  541. : Downloaded the upgrade for MS-DOS 6.2 from the MS bulletin board. 
  542. : Curiously enough the README states that the files are not to be 
  543. : posted on BBSs (right) and installed on my test machine. A few caveats:
  544.  
  545. : 1) Between the Del_Old_Dos.1 and the STEPUP directory (which must be on C if
  546. :    you use the defaults) and the new files, make sure you have at least
  547. :    6-7 Mb free before you start. I saw no check for this.
  548.  
  549. : 2) Machine seemed to hang for a very long time at about the 81% mark
  550. :    (5% note in lower right of screen). At this point the new IO.SYS and
  551. :    MS-DOS.SYS files have been copied but the new COMMAND.COM is not yet
  552. :    present. If you abort here, I suspect the PC will not boot properly.
  553. :    Eventually it does continue but that particular sequence is very slow.
  554.  
  555. : 3) The installation found *something* wrong with mode.com and memmaker.exe
  556. :    & refused to update them (told the setup to continue anyway & would 
  557. :    suggest this - see last two sentances in (2). (Both were originals dated 
  558. :    3-10-93)
  559.  
  560. : 4) If you have downloaded the "supplemental" files for DOS 6.0, these are not
  561. :    included and will probaby whine "incorrect version". Skilled use of 
  562. :    Ben Capstricum's UNP (UNP312.zip) plus DEBUG (look for the string 30 cd 21
  563. :    and change the CMP AX,0006 that follows closely to CMP AX,1406) "fixed" 
  564. :    this without using SETVER (no garentees at all 8*). Curiously while most 
  565. :    DOS programs use Packed files, CHKDSK used PKLITE. The very annoying 
  566. :    disclaimer about using SCANDISK instead can also be removed with DEBUG.
  567.  
  568. : 5) The NOVELL NETX332.EXE for MS-DOS 6.0 had the same problem - not liking 
  569. :    the 6.20 version number. I just do not like SETVER - Note: of the
  570. :    multi-screen default SETVER load, NONE of the entries were what I use.
  571.  
  572. : 6) HIMEM.SYS now has a lengthy (10+ seconds on 286 with 4 Mb extended) check
  573. :    of extended memory but at least it tells you what it is doing.
  574.  
  575. : 7) As previously mentioned, no update to MSAV appeared to be performed
  576. :    (files still dated 3-10-93)
  577.  
  578. : 8) Like on a full instalation, DELOLDOS will remove the "old" DOS directory
  579. :    but does not remove the STEPUP directory - you'll have to do that manually.
  580.  
  581. : 9) Do not use DBLSPACE on this machine so have not tried as yet. SCANDISK is
  582. :    nice but take a coffee break.
  583.  
  584. :                     Warmly,
  585. :                         Padgett
  586. Regarding (9):  I have been using MS-DOS 6.0 for several months now.  
  587. Recently, I upgraded to to MS-DOS 6.2 and have found no problems with
  588. DoubleSpace or anything else (I have also used Dblspace for several 
  589. months.
  590.  
  591. Forutnately, I have not experience any of the problems stated above or 
  592. any others. (But my fingers are crossed...)
  593.  
  594.     Jerry E. Latimer               ( latim912@crow.csrv.uidaho.edu )
  595.  
  596. ------------------------------
  597.  
  598. Date:    Thu, 02 Dec 93 00:26:16 -0500
  599. From:    Joe Wells <0004886415@mcimail.com>
  600. Subject: FreqList
  601.  
  602.  ===========================================================================
  603.                Frequency of PC Viruses Confirmed in the Wild
  604.                   Based on the December 1, 1993 WildList.
  605.  ===========================================================================
  606.    This list adds currency and frequency factors to the WildList. For the
  607.    currency factor a base date of September 1, 1992 has been chosen. How
  608.    often a virus has been reported (the frequency factor) is indicated by
  609.    a number from 1 to 4 that represents a "feel" for how often each virus
  610.    has been found in the wild. So far 6 of the WildList participants have 
  611.    provided their frequency information. Here are the frequency factors:
  612.  ===========================================================================
  613.    4=Very Frequent. 3=Fairly Frequent. 2=Barely Frequent. 1=Rarely found.
  614.  ===========================================================================
  615.    The 48 viruses listed below have a mean frequency of .5 or above. This
  616.    means each virus has been found by at least three participants if the
  617.    virus is rarely found, by two participants if one has found it on more
  618.    occasions, or by one participant who has found it fairly often. Other
  619.    viruses (50) on the WildList, found less frequently, are here omitted. 
  620.  ===========================================================================
  621.    The section below gives the names of participants, along with their
  622.    organization, antivirus product (if any), and geographic location.
  623.  
  624.    Key  Participant         Organization       Product       Location
  625.  ===========================================================================
  626.    AS   Alan Solomon        S&S Int'l          Toolkit       UK
  627.    DC   Dave Chess          IBM                IBM AntiVirus USA
  628.    FS   Fridrik Skulason    Frisk Int'l        F-Prot        Iceland
  629.    JW   Joe Wells           Symantec           NAV           USA
  630.    RF   Richard Ford        Virus Bulletin     None          UK
  631.    VB   Vesselin Bontchev   U of Hamburg       None          Germany
  632.  ===========================================================================
  633.   CARO Name of Virus             AS DC FS JW RF VB  Aliases
  634.  ===========================================================================
  635.   Form ........................| 4  4  4  4  4  4 |
  636.   Stoned.Standard.B ...........| 4  4  1  3  4  3 | New Zealand, Marijuana
  637.   Stoned.Michelangelo .........| 2  3  4  3  2  3 | March 6
  638.   Kampana.3700:Boot ...........| 2  2  4  3  3  . | Telecom, Drug, Telefonica
  639.   V-Sign ......................| 2  3  3  3  3  . | Cansu,Sigalit
  640.   Tequila .....................| 2  3  2  2  3  1 |
  641.   Yankee Doodle.TP-44.A .......| 2  3  2  1  2  2 | RCE-2885, TP-44, Doodle
  642.   Joshi.A .....................| 2  4  1  2  3  . |
  643.   Jerusalem.1808.Standard .....| 3  4  1  2  1  . | 1808, Israeli, Friday 13
  644.   Stoned.NoINT ................| 1  3  1  3  3  . | Stoned 3, Bloomington
  645.   Cascade.1701.A ..............| 2  3  1  .  3  1 | 1701, Falling Letters
  646.   Flip.2153.A .................| 2  3  2  1  2  . | Omicron
  647.   Green Caterpillar ...........| 2  3  1  2  2  . | Find, 1591, 1575
  648.   Parity_Boot.B ...............| 1  2  .  2  1  4 |
  649.   Stoned.Empire.Monkey ........| .  2  3  3  .  2 |
  650.   Dir-II.A ....................| 1  2  1  1  2  1 | CreepingDeath, FAT
  651.   Vacsina.TP-05 ...............| 2  2  1  1  2  . | RCE-1206, TP-05
  652.   Stoned.Azusa ................| 1  3  3  1  .  . | Hong Kong
  653.   Tremor ......................| .  .  3  .  1  4 |
  654.   Dark_Avenger.1800.A .........| 2  2  1  1  1  . | Eddie
  655.   Cascade.1704.A ..............| 1  1  4  1  .  . | 1704
  656.   Maltese Amoeba ..............| 2  1  1  1  1  . | Irish, Grain of Sand
  657.   Liberty .....................| .  3  1  1  1  . | Mystic, Magic
  658.   November_17th.855.A .........| 2  1  1  2  .  . | V855
  659.   EXE_Bug.A ...................| 2  .  .  3  1  . | CMOS 1
  660.   Quox ........................| .  2  1  3  .  . | DiskInfect, Stealth 2
  661.   Helloween.1376 ..............| 1  .  .  2  3  . | 1376
  662.   Ping_Pong.B .................| 2  2  .  .  2  . | Italian
  663.   Chinese Fish ................| 1  .  1  3  .  . | Fish Boot
  664.   Keypress.1232.A .............| 2  2  .  .  1  . | Turku, Twins
  665.   Screaming_Fist.696 ..........| 1  2  .  2  .  . | Screamer 2B, 696
  666.   Stoned.16 ...................| 1  3  .  1  .  . | Brunswick
  667.   Datalock.920 ................| 1  2  .  1  .  . | V920
  668.   Stoned.June_4th .............| 2  .  .  1  .  1 | Bloody!, Beijing
  669.   Fichv.2_1 ...................| 1  .  3  .  .  . | 905
  670.   Vacsina.TP-16 ...............| 2  .  2  .  .  . | RCE-1339, TP-16
  671.   Yankee Doodle.TP-39 .........| 2  .  2  .  .  . | RCE-2772, TP-39,Doodle
  672.   Barrotes.A ..................| 1  1  .  1  .  . | Barrotos
  673.   Disk_Killer.A ...............| 1  .  .  1  1  . | Ogre
  674.   Frodo.Frodo.A ...............| 1  .  1  1  .  . | 4k, 4096, 100 Years
  675.   Print_Screen ................| 1  1  .  1  .  . | PrnScn
  676.   AntiEXE .....................| .  .  .  1  .  2 |
  677.   Flip.2343 ...................| 1  .  2  .  .  . | Omicron
  678.   Jerusalem.Zerotime.Australia | 2  1  .  .  .  . | Slow
  679.   Stardot.789 .................| .  2  .  1  .  . | 805
  680.   Stoned.Manitoba .............| .  .  1  2  .  . | Monitoba
  681.   WXYC ........................| .  1  .  2  .  . |
  682.   Swiss_Boot ..................| .  .  3  .  .  . |
  683.  ===========================================================================
  684.   The collation of this material is done by Joe Wells, Virus Specialist at 
  685.   Symantec, Peter Norton Group, who is solely responsible for its contents.
  686.   The material presented is implicitly copyrighted under various laws, but
  687.   may be freely quoted or cited. However, its source and cooperative nature
  688.   should be duly referenced. Other antivirus product developers are invited 
  689.   to participate. If you wish to do so, please contact me.
  690.  ===========================================================================
  691.   The FreqList by Joe Wells -- jwells@symantec.com -- 70750,3457 -- Vol1.12a
  692.  ===========================================================================
  693.  
  694. ------------------------------
  695.  
  696. Date:    Thu, 02 Dec 93 00:19:21 -0500
  697. From:    Joe Wells <0004886415@mcimail.com>
  698. Subject: WildList 9312
  699.  
  700.  ============================================================================
  701.                   PC Viruses in the Wild - December 1, 1993
  702.  ============================================================================
  703.     This is a cooperative listing of viruses reported as being in the wild
  704.     by 14 virus information professionals. The basis for these reports are
  705.     virus incidents where a sample was received, and positively identified
  706.     by the participant.  Rumors and unverified reports have been excluded.
  707.     The list should not be considered a list of "currently common" viruses
  708.     however. No provision is made for currency or commonness. Therefore it
  709.     should be viewed only as a report of viruses verified as in-the-wild.
  710.  ============================================================================
  711.     This list adds information provided from EliaShim and Virus Bulletin.
  712.     A companion list includes frequency information from some participants.
  713.  ============================================================================
  714.     The section below gives the names of participants, along with their
  715.     organization, antivirus product (if any), and geographic location.
  716.   
  717.     Key  Participant         Organization       Product       Location
  718.  ============================================================================
  719.     As   Alan Solomon        S&S Int'l          Toolkit       UK
  720.     Dc   Dave Chess          IBM                IBM AntiVirus USA
  721.     Ek   Eugene Kaspersky    KAMI               AVP           Russia
  722.     Fs   Fridrik Skulason    Frisk Int'l        F-Prot        Iceland
  723.     Gj   Glenn Jordan        Datawatch          VirexPC       USA
  724.     Jw   Joe Wells           Symantec           NAV           USA
  725.     Pd   Paul Ducklin        CSIR Virus Lab     None          So Africa
  726.     Pp   Padgett Peterson    Hobbyist           DiskSecure    USA
  727.     Rf   Richard Ford        Virus Bulletin     None          UK
  728.     Rr   Roger Riordan       CYBEC              VET           Australia
  729.     Sg   Shimon Gruper       EliaShim           ViruSafe      Israel
  730.     Vb   Vesselin Bontchev   U of Hamburg       None          Germany
  731.     Ws   Wolfgang Stiller    Stiller Research   Integ Master  USA
  732.     Yr   Yuval Rakavi        BRM                Untouchable   Israel
  733.  ============================================================================
  734.    The first chart is based on two or more participants reporting a virus. 
  735.    Therefore, these viruses are probably more geographically scattered.   
  736.   
  737.    CARO Name of Virus            AsDcEkFsGjJwPdPpRfRrSgVbWsYr  Alias(s)
  738.  ============================================================================
  739.   AntiEXE .....................| . . . . . x . . . . . x . . |
  740.   Barrotes.A ..................| x . . . . x x . . . . . . . | Barrotos
  741.   Brasil ......................| . . . . . x . x . . . . . . |
  742.   Butterfly ...................| . . . . . x . . . . . x . . |
  743.   Cascade.1701.A ..............| x x . x . . . . x . x x . . | 1701
  744.   Cascade.1704.A ..............| x x x x . x . . . . x . . x | 1704
  745.   Changsha ....................| . . . . . x . . . x . . . . | Centry
  746.   Chinese Fish ................| x x . x x x x . . x . . . x | Fish Boot
  747.   Dark_Avenger.1800.A .........| x x . x x x . . x x . . x . | Eddie
  748.   Dark_Avenger.2100.SI.A ......| x . . . . x . . . . . . . . | V2100
  749.   Datalock.920 ................| x x . . . x . . . . x . . x | V920
  750.   Dir-II.A ....................| x x x x . x x . x x x x x . | CreepingDeath
  751.   Disk_Killer.A ...............| x . x . . x . x x . x . . . | Ogre
  752.   Even_Beeper .................| x x . . . . . . . . . . . . |
  753.   EXE_Bug.A ...................| x . . . . x x . x . x . x . | CMOS 1
  754.   EXE_Bug.C ...................| . . . . . . x . . . x . x . |
  755.   Fichv.2_1 ...................| x . . x . . . . . . x . . x | 905
  756.   Filler ......................| . . . . x x . . . . . . . . |
  757.   Flip.2153.A .................| x x . x . x . . x . x . . . | Omicron
  758.   Flip.2343 ...................| x . . x . . . . . . . . . . | Omicron
  759.   Form ........................| x x . x x x . x x . x x x x |
  760.   Frodo.Frodo.A ...............| x x . x . x . . . x x . . . | 4096,100 Year
  761.   Green Caterpillar ...........| x x . x x x . . x x x . x x | Find,1591,1575
  762.   Helloween.1376 ..............| x . . . . x . . x x . . x x | 1376
  763.   Jerusalem.1244 ..............| x x . . . . . . . . . . . . | 1244
  764.   Jerusalem.1808.Standard......| x x . x x x x x x . x . x . | 1808,Israeli
  765.   Jerusalem.Anticad.4096 ......| x . . x . . . . . . x . . . | Invader
  766.   Jerusalem.Fu_Manchu .........| x . . . . x . . . . x . . . |
  767.   Jerusalem.Mummy.2_1 .........| x . . x . . x . . . x . . . |
  768.   Jerusalem.Zerotime.Australia.| x x . . . . . . . x x . x . | Slow
  769.   Joshi.A .....................| x x . x x x . x x x x . x . |
  770.   Kampana.3700:Boot ...........| x x . x x x . . x . . . x . | Telecom,Drug
  771.   Keypress.1232.A .............| x x . . . . x . x x x . x x | Turku,Twins
  772.   Liberty .....................| . x . x . x . . x . . . x x | Mystic,Magic
  773.   Maltese Amoeba ..............| x x . x . x . x x . x . x x | Irish
  774.   Music_Bug ...................| . . . x x . . x . . . . x . |
  775.   Necros ......................| x . . . . x . . . . . . . . | Gnose,Irish3
  776.   No_Frills.Dudley ............| x . . . . . . . . x . . . . | Oi Dudley
  777.   No_Frills.No_Frills .........| . . . . . x . . . x . . . . |
  778.   Nomenklatura ................| x x . . . . . . . . . . . . | Nomen
  779.   November_17th.855.A .........| x x . x . x . . . . . . . . | V855
  780.   NPox.963.A ..................| . . . x . x . . . . . . . x | Evil Genius
  781.   Ontario.1024 ................| . x . . . . . . . x x . . . | SBC,1024
  782.   Parity_Boot.B ...............| x . . . . x x . x . . x . . |
  783.   Ping_Pong.B .................| x x . . . . . . x . x . x . | Italian
  784.   Print_Screen ................| x x . . . x . . . . . . . x | PrnScn
  785.   Quit.A ......................| x x . . . . . . . . . . . . | 555,Dutch
  786.   Quox ........................| . x . x . x . . . . . . . . | Stealth 2
  787.   Screaming_Fist.696 ..........| x x . . x x . . . . . . x . | 696
  788.   Stealth.B ...................| . x . . . x . x . . . . . . | STB
  789.   Stoned.16 ...................| x x . . . x . . . . . . . x | Brunswick
  790.   Stoned.Azusa ................| x x . x . x x x . x x . x . | Hong Kong
  791.   Stoned.Empire.Monkey ........| . . . x x x . x . x . x x . |
  792.   Stoned.Flame ................| . . . . . x . . . x . x . . | Stoned(3C)
  793.   Stoned.June_4th .............| x . . . x x . . . x . x x . | Bloody!
  794.   Stoned.Manitoba .............| . . . x . x . . . . . . . . | Monitoba
  795.   Stoned.Michelangelo .........| x x x x x x x x x x x x x . | March 6
  796.   Stoned.NoINT ................| x x . x x x x . x x . . x . | Stoned 3
  797.   Stoned.NOP ..................| . . . . . x . . . . . . x . |
  798.   Stoned.Standard.B ...........| x . x x x x x x x x x x x . | New Zealand
  799.   Stoned.Swedish_Disaster......| x . . . x . . . . . . . . . |
  800.   Stoned.W-Boot ...............| . . . . . x . . . x . . . . | W-Boot
  801.   Stardot.789 .................| . x . . . x . . . . . . . . | 805
  802.   SVC.3103 ....................| x . x . . x . . . . x . . . | SVC 5.0
  803.   Swiss_Phoenix ...............| . . . . . x . . . . . . . x |
  804.   Tequila .....................| x x . x . x x . x . x x x x |
  805.   Tremor ......................| . . . x . . . . x . . x x . |
  806.   V-Sign ......................| x x . x x x . . x x x . x . | Cansu,Sigalit
  807.   Vacsina.TP-05 ...............| x x . x x x . . x . . . x . | RCE-1206
  808.   Vacsina.TP-16 ...............| x x . x . . . . . . . . . . | RCE-1339
  809.   Vienna.648.Reboot ...........| x x x . . . . . . . . . . . | DOS-62
  810.   WXYC ........................| . x . . . x . . . . . . . . |
  811.   Yankee Doodle.TP-39 .........| x . . x . . . . . . . . . . | RCE-2772
  812.   Yankee Doodle.TP-44.A .......| x . x x . x . . x . . x . x | RCE-2885
  813.   Yankee Doodle.XPEH.4928......| . . . x . . . . . . . . . x | Micropox
  814.   Yeke.1076 ...................| . x . . . x . . . . . . . . |
  815.  ============================================================================
  816.    The second chart is based on a single participant noting more than one 
  817.    infection site and may signify limited regional virus outbreaks.
  818.   
  819.    CARO Name of Virus            AsDcEkFsGjJwPdPpRfRrSgVbWsYr      Aliases
  820.  ============================================================================
  821.   Athens ......................| . . . . . x . . . . . . . . | 
  822.   10_Past_3.748 ...............| . . . . . . x . . . . . . . |
  823.   BootEXE .....................| . . . . . . . . x . . . . . | BFD-451
  824.   Brain .......................| . . . . . . . x . . . . . . |
  825.   Cascade.1701.G ..............| . . . . . . . . . . . x . . | 1701
  826.   Chile .......................| . . . . . x . x . . . . . . | VIVA,Meirda
  827.   Coffeeshop:MtE_090 ..........| . . . . . . x . . . . . . . |
  828.   Darth_Vader.3.A .............| . . . . . . . . . . . . x . |
  829.   Datalock.828 ................| . . . . . . . . . . . . . x |
  830.   Den_Zuko.A ..................| x . . . . . . . . . . . . . | Den Zuk
  831.   DosHunter ...................| . x . . . . . . . . . . . . |
  832.   Emmie.3097 ..................| . . . . . . . . . . . . . x |
  833.   EXE_Engine ..................| . . . . . . . . . . . x . . |
  834.   Freddy ......................| . . . . . x . . . . . . . . | 
  835.   Ginger ......................| . . . . . . . . . x . . . . | Gingerbread
  836.   Grower ......................| . . . . . x . . . . . . . . | V270x,268+
  837.   Hafenstrasse ................| . . . . . . . . . . . x . . | Hafen
  838.   Involuntary.A ...............| . . . . . x . . . . . . . . | Invol
  839.   Jerusalem.1808.CT ...........| . x . . . . . . . . . . . . | Capt Trips
  840.   Jerusalem.1808.Null .... ....| . x . . . . . . . . . . . . |
  841.   Jerusalem.Carfield ..........| x . . . . . . . . . . . . . |
  842.   Jerusalem.Moctezuma .... ....| . x . . . . . . . . . . . . |
  843.   Jerusalem.Mummy.1_2 .... ....| . . . . . . x . . . . . . . |
  844.   Jerusalem.Sunday.A ..........| . . . . . . x . . . . . . . | Sunday
  845.   Jerusalem.Sunday.II .... ....| . x . . . . . . . . . . . . | Sunday 2
  846.   Joshi.B .....................| . x . . . . . . . . . . . . |
  847.   Kampana.Galicia:Boot ........| . . . . . x . . . . . . . . | Telecom,Drug
  848.   Little Brother.307 ..........| . . . x . . . . . . . . . . |
  849.   Lyceum.1788 .................| . . x . . . . . . . . . . . |
  850.   Murphy.Smack.1841 ...........| . . . . . x . . . . . . . . | Smack
  851.   NJH-LBC .....................| x . . . . . . . . . . . . . | Korea Boot
  852.   Parity_Boot.A ...............| . . . . . . . . . . . . x . |
  853.   Sat_Bug .....................| . . . . . x . . . . . . . . | Satan Bug
  854.   Screaming_Fist.NuWay ........| . . . . . x . . . . . . . . | Sticky
  855.   Sleepwalker .................| . . . . . . . . . x . . . . |
  856.   Stinkfoot ...................| . . . . . . x . . . . . . . |
  857.   Stoned.Bunny.A ..............| . . . . . . x . . . . . x . |
  858.   Stoned.Empire.In_Love .......| . . . . . x . . . . . . . . |
  859.   SVC.2936 ....................| . . . . . x . . . . . . . . | 
  860.   Stoned.Empire.Int_10.........| . . . . . . . x . . . . . . |
  861.   Swiss_Boot ..................| . . . x . . . . . . . . . . |
  862.   Syslock.Syslock.A ...........| x . . . . . . . . . . . . . |
  863.   Voronezh.1600 ...............| . . x . . . . . . . . . . . | RCE-1600
  864.   Yale ........................| . x . . . . . . . . . . . . | Alameda
  865.  ============================================================================
  866.    The collation of this material is done by Joe Wells, Virus Specialist at 
  867.    Symantec, Peter Norton Group, who is solely responsible for its contents.
  868.    The material presented is implicitly copyrighted under various laws, but
  869.    may be freely quoted or cited. However, its source and cooperative nature
  870.    should be duly referenced. Other antivirus product developers are invited 
  871.    to participate. If you wish to do so, please contact me.
  872.  ============================================================================
  873.   The WILDList by Joe Wells -- jwells@symantec.com -- 70750,3457 -- Vol1.12a
  874.  ============================================================================
  875.  
  876. ------------------------------
  877.  
  878. End of VIRUS-L Digest [Volume 6 Issue 155]
  879. ******************************************
  880.