V I R U S C O P E Der endgültige Virenschutz Version 1.11 P.S. WICHTIG! Damit das Programm laufen kann - bzw. seine Daten finden kann - MUß vor dem Start mit `ASSIGN` der Name `Viruscope_V1.1:` auf das Viruscopedir gelegt werden ! Oder einfach den Disknamen so abändern (falls es auf `ne Disk soll !!) ******************************************************************************* Folgende Ergänzungen wurden gemacht: LADEPROGRAMM Es ist nun möglich, Viruscope ohne den Vorspann zu laden, wodurch die Ladezeit erheblich verkürzt wird. Halten Sie dazu beim Booten bzw. Anklicken des Icons die F1-Taste gedrückt, bis der Bildschirm schwarz wird. LINK-KILLER Viruscope V1.1 erkennt und vernichtet die folgenden Link-Viren: - IRQ-Virus - BGS9-Virus - Disaster Master - Revenge of the Lamer Exterminator - Xeno Virus (nur im Speicher) - CCCP-Linkvirus - JEFF-Virus I & II (auch als BUTONIC-Virus bekannt) - Return of the Lamer Exterminator (Virus im Disk-Validator) Hinweise zu einzelnen Viren: REVENGE OF THE LAMER EXTERMINATOR (LAMER REVENGE) Dieses besonders gefährliche Linkvirus schreibt sich unter einem unsichtbaren Namen an die erste Stelle der Startup-Sequence. Es ist sehr aggressiv und zerstört nach einiger Zeit alle eingelegten Disketten. Beachten Sie bitte, daß es für den Linkkiller nicht zu finden ist, solange es im Speicher steht. Sie sollten daher zuerst mit CLEAR den Speicher säubern und dann den QUICK- oder SAFETY-Test anwenden. CCCP-Linkvirus Das CCCP-Virus ist sowohl Bootblock- als auch Linkvirus zugleich. Dies ist möglich, da der Programmcode extrem kurz gehalten wurde. Es wird daher sowohl als Linkvirus, als auch als Bootblock-Virus erkannt. Als Linkvirus hängt es an beliebigen Programmfiles, als Boot-Virus besetzt es den Bootblock. Ob Ihr System vom CCCP-Virus befallen ist, können Sie relativ einfach feststellen, da dieses den Bootvorgang ungewöhnlich stark verzögert. JEFF-VIRUS Vom JEFF-Virus existieren zwei verbreitete Versionen. Beide sind grundsätzlich harmlos und melden sich mit diversen lustigen Meldungen in den Window-Titeln. Während sich die alte Version nur beim Booten schreibt, ist die neue so weit entwickelt, daß sie sich bereits beim Einlegen einer Diskette schreibt. Dieser Vorgang geht so schnell, daß er kaum auffällt. Beide Versionen tragen sich an erster Stelle der Startup-Sequence ein. Die alte verwendet dazu verschiedenen harmlos erscheinenden Namen von CLI-Befehlen oder eine Leerzeile. Das neue JEFF-Virus ist dagegen in der Startup-Sequence überhaupt nicht sichtbar, da sein Name Steuerzeichen beinhaltet. Beide Versionen werden von VIRUSCOPE erkannt und vollständig entfernt. RETURN OF THE LAMER EXTERMINATOR (LAMER RETURN) Dieses Virus arbeitet nach einem völlig neuen Prinzip, das bisher nicht bekannt war. Es nutzt die Tatsache aus, daß beim Einlegen einer Diskette deren Disk-Validator (ein Programm zum korrekten Anmelden einer Diskette) eingeladen und gestartet wird. Es schreibt sich anstelle des originalen Disk-Validators und gelangt somit schon beim Diskettenwechsel in den Speicher. Aus technischen Gründen kann es sich allerdings erst beim Booten auf Diskette zurückschreiben. Wie schon seine Vorgänger ist auch dieses Virus der Lamer Exterminator-Reihe zerstörerisch angelegt und überschreibt willkürlich einzelne Blocks von Disketten. Dieses Virus ist nicht in der Lage Festplatten zu befallen! Im Zusammenhang mit dem LAMER RETURN-Virus ist noch zu ergänzen, daß in der vorliegenden Version von Viruscope jeder Disk-Validator beim Quick- bzw. Safety-Check auf Normalität überprüft wird. Sollte es sich nicht um einen Standard-Validator handeln, haben Sie die Möglichkeit, ihn von Viruscope ersetzen zu lassen. --------------------- Der Linkprotector, der mit dem PROTECT-Gadget des Link-Killers installiert wird, wurde komplett überarbeitet und liegt nun in der Version 2.0 vor, die alle oben genannten Viren erkennt. Um Festplattenbesitzern die Arbeit mit dem Link-Killer zu erleichtern, wurden zwei Laufwerk-Gadgets von DF2: bzw. DF3: in DH0: bzw. DH1: umgeändert. Sollte Ihre Festplatte bzw. Partition anders heißen, können Sie in Ihre Startup-Sequence diese Befehle einbauen: ASSIGN DH0: NAME1: ASSIGN DH1: NAME2: NAME1 und NAME2 stehen selbstverständlich für die Namen Ihrer Partitionen. Sie können so auch jedes andere Device (z.B. RAM:) als DH0: bzw. DH1: ansprechen. BOOT-KILLER Das Bootblock-Viren-Archiv wurde stark erweitert, so daß nun mehr als 60 Bootblock-Viren zuverlässig erkannt und vernichtet werden. Eine Liste der Namen aller "Viruscope V1.1" bekannten Viren kann im Boot- und Link-Killer durch Drücken der HELP-Taste ausgegeben werden. Dazu erscheint im linken Fenster der bekannte File-Selektor, in dem die Liste mit den Pfeilgadgets durchgescrollt werden kann. Je nachdem, in welchem Programmteil (Boot- oder Link-Killer) Sie sich befinden, werden dabei jeweils nur Boot- oder Linkviren angezeigt. BOOTBLOCK-UTILITIES Das mitgelieferte Bootblock-Archiv der Bootblock-Utilities wurde um zwei neue Tools erweitert: 1. BOOTBLANKER Der Bootblanker hat die Aufgabe, Ihren Monitor abzuschalten, wenn der Computer längere Zeit nicht benutzt wird, um ein Einbrennen des Bildes in die Leuchtschicht der Röhre zu verhindern. Nach der voreingestellten Zeit von 5 Minuten wird der Bildschirm daher abgeschaltet. Wenn Sie dann wieder eine Eingabe machen(z.B. Tastendruck oder Bewegen der Maus), wird der Bildschirm wieder eingeschaltet. 2. NOBOOT Hinter dem unscheinbaren Namen verbirgt sich ein sehr leistungsfähiges Utility, das viele nützliche Funktionen beinhaltet. Es wurde uns freundlicherweise von Hans Brandner zur Verfügung gestellt. NOBOOT von Hans Brandner Anleitung: 1. Allgemeines 2. Das Menue 3. Funktionen 4. Beschreibung der Programmiertechniken 5. Vorteile -1- Allgemeines: Das Programm NOBOOT ist ein Bootblock Programm das 7 Menu Funktionen beinhaltet. Es läuft auf allen Amigas mit Kickstart v1.2 oder v1.3. -2- Das Menu: Nach dem Booten befindet sich das Programm NOBOOT resetfest im Speicher. Das Menu erscheint entweder wenn nach einem Reset keine Disk im Bootlaufwerk ist, oder man mitten im Resetvorgang die Taste gedrueckt hält bis es erscheint. Es hat folgenden Aufbau: NOBOOT cHB F1 SWAP OFF F2 BOOT OFF F3 DFX: ON F4 FMEM ON F5 LED ON F6 PAL ON F7 HARD OFF ESC Durch Drücken der Tasten F1-F7 schaltet man die Funktionen ein bzw. aus. Mit der ESC Taste verläßt man das Menu und der AMIGA bootet 'normal' weiter. -3- Funktionen: - das Programm patched den Rom Fehler den Amigas mit mehr als 512kB Chip Ram haben. Die orginal Resetroutine im Rom (v1.2/1.3) testet ab $fc019a, ob mehr als 512kB Chip Ram vorhanden ist. Wenn dies der Fall ist wird ein Hard Reset ausgelöst. Deshalb bleiben keine resetfesten Programme und Strukturen bei diesen Amigas im Speicher, und der Resetvorgang dauert doppelt so lange. - Mit F1 SWAP vertauscht man die Laufwerke DF0: und DF1: so daß es möglich ist von DF1: zu booten. - Nach dem Starten von NOBOOT führt der Amiga keinen Bootblock mehr aus. Dies verhindert das Infizieren mit Bootblock-Viren. Mit F2 BOOT kann man dies einmalig rückgängig machen um z.b. Spiele zu laden. Da der Bootblock angezeigt wird, kann man sehr leicht erkennen, ob sich ein Virus auf einer Disk befindet. - F3 DFX: schaltet alle externen Laufwerke aus. Dadurch hat man für speicheraufwendige Programme pro Laufwerk ca. 20kB mehr freien Speicher. - jede Speichererweiterung läßt sich mit F4 FMEM auschalten. Dies ist nützlich, da es leider immer noch Programme gibt die mit einer Erweiterung nicht funktionieren. - Mit F5 LED läßt sich der Low-Pass-Filter ausschalten. Dadurch hat man eine bessere Soundqualität. - AMIGAs, die mehr als 512kB CHIP RAM besitzen, kann man mit F6 PAL auf NTSC (60hz) umschalten. - Wenn man F7 HARD auf ON stellt wird jeder Resetschutz umgangen, da dann der nächste Reset ein "Hard Reset" ist, wodurch der gesamte Speicher gelöscht wird und somit auch 100% alle Viren getötet werden. Will man danach NOBOOT wieder benutzen, muß man es erneut starten. Alle Funktionen bis auf SWAP sind nach einem Reset wieder in der Grundeinstellung. -4- Programmiertechnik: NOBOOT benutzt COLD- und COOL-Capture. Im COLD-Capture wird der ROM-Fehler gepatched. Der COOL-Capture Programmteil ist für den Bootpatch und SWAP zuständig; dazu werden die DOIO- und OPENDEVICE- Routinen der EXECLIB verbogen. Das Menü und die Funktionen sind im Bootblock, der dem Amiga vorgetäuscht wird. -5- Vorteile: Es gibt ein paar Programme die ähnliches bewirken, aber keines hat all diese Funktionen und ist nur 1024 Bytes lang. Es verlängert auch nicht die Startup-Sequence, da es sich im Bootblock befindet. Durch die NOBOOT-Option verkürzt sich auch die Bootdauer. Hans Brandner 16-Jul-90 19:13:01 Back-Check Das Viruscope-Paket wurde um ein weiteres Programm erweitert, den BACK-CHECK, der unabhängig vom Hauptprogramm im Hintergrund installiert werden kann. Zum Starten klicken Sie bitte einfach das entsprechende Icon an. Es erscheint ein einzeiliges Window, in dem sich der Name des Programms befindet. Um den BACK-CHECK vom CLI zu Starten geben Sie bitte folgendes ein: "RUN NIL: BACK-CHECK" Der BACK-CHECK bietet einen ständigen Schutz gegen Bootblock-Viren, da er das komplette Virenarchiv des Hauptprogramms in sich hat. Wird auf einer Diskette ein bekanntes Virus gefunden, erscheint die Meldung: Bootblock-VIRUS found on disk!!! Use VIRUSCOPE-Bootkiller to check it! Um das Virus namentlich zu identifizieren und zu löschen, benutzen Sie bitte den Boot-Killer des Hauptprogramms. Bei harmlosen Bootblöcken, die dem Programm bekannt sind, sowie bei normalen Bootblöcken wird keine Meldung ausgegeben. Beim Start werden außerdem die Resetvektoren überprüft. Sollten diese verändert sein, wird folgende Warnung ausgegeben: Your System is patched!!! Use VIRUSCOPE to check it! Um zu prüfen, ob die Veränderungen gefährlich sind, benutzen Sie bitte den Speichercheck von VIRUSCOPE. Zusätzlich werden beim Start die für den Diskzugriff zuständigen Vektoren der Exec-Base und des Trackdisk-Devices geprüft. Bei einer Veränderung erscheint die Meldung: Diskaccess is patched!!! Use VIRUSCOPE to check it! In diesem Fall haben Sie ziemlich sicher einen Virus im Speicher. Bevor Sie jedoch VIRUSCOPE einladen, sollten Sie den BACK-CHECK beenden, damit das Virus sich nicht hinter diesem "versteckt". Beim Start vom CLI aus haben Sie zusätzlich die Möglichkeit, zwei Optioen zu aktivieren: den Vektor-Check und die Anzeige von unbekannten Bootblöcken. Setzen Sie dazu hinter den Aufruf entweder ein "U" oder ein "V" oder beides. Der eingestellte Modus wird dann in der Titelleiste angezeigt. Die Eingabe von "RUN NIL: BACK-CHECK U V" würde also beide Optionen einschalten. Der Resetvektor-Check wird, um eine dauernde Kontrollierung ohne Verbrauch von Rechenzeit zu erreichen, bei jedem Einlegen einer Diskette wiederholt. Wenn Sie jedoch ein resetfestes Programm im Speicher haben, von dem Sie wissen, daß es harmlos ist, können Sie den Dauercheck sperren. Um den Resetvektor-Check an- bzw. auszuschalten, drücken Sie bitte folgende Tastenkombination: + + Der Status (An/Aus) wird durch das "V" in der Titelleiste angezeigt. Mit der Tastenkombination + + läßt sich wählen, ob dem BACK-CHECK unbekannte Bootblöcke vom Programm angezeigt werden sollen. Der Status wird durch das "U" in der Titelleiste gekennzeichnet. Sollte ein dem Programm unbekannter Bootblock gefunden, erscheint die Meldung: This is an unknown bootblock!!! Use the VIRUSCOPE-Bootkiller to check it Wenn Sie nicht wissen, ob es sich bei diesem Bootblock um ein Virus oder nur einen harmlosen Loader handelt, sollten Sie die DECODE-Funktion des Boot-Killers benutzen. Bitte beachten Sie, daß die Windowleiste des BACK-CHECK zum Umschalten der Optionen aktiviert sein muß. Um den BACK-CHECK abzuschalten, klicken Sie das CLOSE-Gadget an der linken Seite der Windowleiste an. NEU im BACK-CHECK V1.11: Der Back-Check bietet nun einen hervorragenden Schutz gegen das neue Virus "Return of the Lamer Exterminator", indem es beim Einlegen einer Diskette prüft, ob sich das Virus in den Speicher geschrieben hat. In diesem Fall erhalten Sie diese Meldung: Lamer Return tried to get into memory! Check the Disk with the Viruscope Linkkiller Das Virus wurde schon vor Erscheinen der Meldung wieder gelöscht. Sie sollten jedoch sofort die entsprechende Diskette mit dem Linkkiller überprüfen!