************************************************************************** * * B E R S E R K E R IVd * --------------------- * * © Copyright 1988, 1989, 1990 von Ralf Thanner * * * Der Code ist in Assembler für den Kuma Seka Assembler geschrieben * * Ausführbares Programm und Quellcode sind beide PUBLIC-DOMAIN! * * Eine geringe Kopiergebühr für den Berserker darf erhoben werden, * aber jegliche kommerzielle Weiterverteilung ist nicht gestattet. * ************************************************************************** * * REVISIONEN: * =========== * * R V1.0 - Nur ein primitiver SCA-Sucher und -Killer. * * R V1.c - Byte Bandit & Byte Warrior Killer hinzugefügt. * - Überarbeitung der SCA & SCA Mutanden Killer Routine. * * R V2.b - Findet jetzt auch den Exterminator (LAMER). * * R V2.d - Findet nun auch den ersten Link-Virus (IRQ TEAM 41). * * V2.e - Alert-Box auf Anregung von Olaf Barthel hinzugefügt. * - Einige Überarbeitungen und Bugs erledigt. * * R V2.e+ - Arbeitet jetzt auch mit Kick 1.3 zusammen. * - Standard Bootblock Schreibroutine hinzugefügt. * - Löschen der cold-cool Vectoren hinzugefügt; * Es gibt zu viele SCA Klones und es ist sicherer * diese Zeiger zu löschen. * * R V3.0 - Findet jetzt auch den BSG 9 Link Virus. * - Zum zweiten (und letzten?) Mal Code für die * Veröffentlichung bereinigt (YEAH!!!). * - Standard Bootblock Schreibroutine entfernt, da * viele Leute dachten, der Berserker wäre ein * verkappter Virus. * * R V3.0+ - Erweitert, um Gaddafi und Disk-Doctor Virus zu finden. * * R V3.1 - Erweitert um REVENGE BOOTLOADER Virus zu finden. * -> Das scheint ein neuer zu sein. * - Fehler in EXTERMINATOR routine beseitigt. * -> sollte nun alle Lamer Versionen finden. * - Code cleanup d.h. verbessert... * * V3.2 - Erweitert um REVENGE zu finden. * * V3.2b - Programm verbessert. (Fehler beseitigt) * * R V3.39c+ - JOKE.... * * V3.5 - Xeno 'killer' routine by STEVE TIBBET * hinzugefuegt. * * V4.0 - Berserker kann ab jetzt von der Workbench aus * gestartet werden. * * R V4.0a - Fehler in der Workbench startup rausgeworfen.. * Thanks to olaf fuer diesen tip.. * - Program verbessert und verkuerzt. * * V4.0b - die LED ausschalt routine wurde hinausgeworfen * - Neue Option: das loeschen der Cold- & Cool Vektoren * geschieht nur noch auf Wunsch. * * R V4.0c - AARGH!! Ein neuer File Virus -> Disaster Master V2 * * R V4.0d - CENTURION LINK VIRUS killer eingebaut. * - Berserker checkt jetzt auch die Libraries. * - Ab jetzt enthaelt der Source nur noch den Virus * killer Teil. (der rest aendert sich sowieso nicht) * * R = veroeffentlichte versionen * * Berserker ist jetzt: 6660 bytes lang. (nicht gepackt!) * ************************************************************************** * * Hier ist die Documentationsdatei für den BERSERKER IV * ************************************************************************** WAS MACHT DER BERSERKER IV ? ============================ Berserker ist ein Viruskiller, der als CLI-Kommando entworfen wurde. Er arbeitet mit Kick 1.2, Kick 1.3, 512K und RAM-Erweiterungen. Wegen der großen Anzahl von Link Viren auf dem Amiga, empfehle ich, den Berserker als drittes Kommando in Ihre Startup-Sequence einzubinden. Berserker kann ab Version 4.0 von der Workbench aus gestartet werden. WORKBENCH: ---------- '?' - kurze Erlaeuterung. 'C' - sucht den speicher nach den, ihm, bekannten Viren durch. 'Q' - verlassen von Berserker. CLI: ---- '?' - eine etwas laengere Erlaeuterung. 'C' - loescht die Cold- & Cool Vektoren Bei normalem Aufruf (ohne ´?´) sucht er nach den ihm bekannten Viren. Wenn Berserker einen Virus findet, erscheint eine Alertbox. Klicken Sie daraufhin eine Maustaste. (Dies wurde eingefügt, wegen der Möglichkeit, daß die Berserker-Meldung unterdrückt wird. Die Nachricht über einen Virus im System kann so nicht verloren gehen). LIBRARIES ========= Berserker ueberprueft die folgenden: - EXEC.LIBRARY - EXPANSION.LIBRARY - GRAPHICS.LIBRARY - LAYERS.LIBRARY - INTUITION.LIBRARY - MATHFFP.LIBRARY - DOS.LIBRARY Berserker ueberprueft die Libs um jede illegale Veraenderung festzustellen. Programme wie "Setpatch" benutzen die Betriebssytem Routine 'SETFUNCTION' aber kein Virus. (die schmieren sich immer direkt rein) Deshalb vergleicht BERSERKER die Checksumme der Library mit seiner selbst erstellten und BINGO -->> jede Veraenderung wird erkannt! Wenn Berserker eine Veraenderung in der EXEC- oder DOS Library anzeigt ist die Chance einen neuen Virus zu haben sehr gross. Berserker repariert keine Library, dieser Checker wurde nur eingebaut um neue Viren sehr frueh zu erkennen. WELCHE VIREN KENNT BERSERKER ? ============================== 1. SCA und alle seine Brüder und Schwestern ------------------------------------------------ Das heißt AEK, LSD, WARHAWK, OBELISK, PENTAGON, NORTHSTAR, BAMIGA SECTOR ONE.. 2. Byte Bandit ----------- Keine weiteren Ausführungen (oder was denken Sie?). 3. Byte Warrior (DASA0.2) ---------------------- War der erste Virus mit gecodetem Text, so daß man ihn nicht im Boot- block erkennen kann. 4. Der Exterminator (LAMER!) -> ab 3.1 alle LAMER Versionen -------------------------------------------------------- Dieser füllt die Tracks einer Diskette mit 'LAMER!LAMER!LAMER!'. Exterminator ist sehr trickreich. Wenn Sie den Bootblock untersuchen, sieht er immer wie ein Standard-Bootblock aus. 5. Der IRQ-Virus ------------- Dies ist ein Link Virus. Er sucht nach dem zweiten Programm in der Startup-Sequence und versucht, es zu infizieren. Wenn das nicht gelingt, versucht er, sich an das DIR Kommando zu hängen. WARNUNG!!! Manchmal infiziert er auch andere Programme. Wenn eine Diskette schreibgeschützt ist, erzeugt der IRQ-Virus immer folgenden Standard DOS Autorequester : +System Request ==================##|##+ | | | Volume | | - Disk Name - | | is write protected | | | | +-----+ +------+ | | |RETRY| |CANCEL| | | +-----+ +------+ | +--------------------------------------* Hinweis für Programmierer: der IRQ-Virus Vector ist OLDOPENLIBRARY(-408), daher verwenden Sie immer OPENLIBRARY(-552). 6. Der BSG 9-Virus --------------- Dies ist ein Link Virus. Er sucht nach dem ersten Programm in der Start- up-Sequence und versucht es zu infizieren. Er kopiert die modifizierte Datei in das DEVS Verzeichnis mit Leerzeichen anstelle eines Namens. Der Virus selber ist 2608 Bytes lang und wird nach vier oder fünf Resets sichtbar; der Bildschirm wird schwarz und es erscheint folgende Meldung: " A COMPUTER VIRUS IS A DISEASE " " TERRORISM IS A TRANSGRESSION " " SOFTWARE PIRACY IS A CRIME " " THIS IS THE CURE " " BSG 9 BUNDESGRENZSCHUTZ SEKTION 9 " " SONDERKOMMANDO 'EDV' " 7. Der Gadaffi-Virus ----------------- Dies ist eine abgewandelte Version des alten Byte Warrior. Er kopiert sich selbst auf jede Diskette und versucht nach 12 Resets mit dem Motor des Diskettenlaufwerks Geräusche zu erzeugen. Selbst wenn Sie die erzeug- te Musik lustig finden, Ihr Disketten-Laufwerk ist anderer Meinung (dies kann zu schwerwiegenden Hardware Fehlern führen!). 8. Der Disk-Doctor --------------- Dieser ist ganz neu. Er allociert nach jedem Reset 12 KBytes und ... um ehrlich zu sein, ich habe nicht ausprobiert, was er nach XX Resets macht. Es langt, dass ich ihn eliminieren kann. 9. REVENGE ------- Dieser gibt keine Meldung aus, kopiert sich aber auf jede disk. 10. REVENGE BOOTLOADER ------------------ Ich hatte keine Lust zu testen was er nach XX Resets macht, aber er ist im Bootblock durch folgenden ASCII Text erkennbar: "REVENGE BOOTLOADER" (daher auch sein Name.) 11. XENO ---- Dies ist ein ganz neuer Linkvirus, der auch Files auf der Harddisk befällt. Da ich selber noch keine Version bekommen habe, ängstliche Freunde von mir (die mit den dicken Geldbeuteln d.h. Harddisk-Besitzer) aber darauf gedraengt haben einen Schutz zu bekommen, habe ich die Routine von Steve Tibbet benutzt. Falls Berserker einen Xeno Virus anzeigt, checken sie ihre Files bitte mit 'KV' durch. (wird mit VirusX mitgeliefert) 12. Disaster-Master V2 ------------------ Das ist ein neuer File Virus. Er ist 1740 bytes lang und infiziert nur Disks mit einer startup-sequence. In der startup-sequence kann Disaster-Master immer in der ersten Zeile als 'CLS *' und im 'C' DIR als 'CLS' Commando gefunden werden. Wenn BERSERKER den DMV2 gefunden hat schauen sie am besten in der startup- seq. und im 'C' Dir nach und deleten ihn. Das wars dann auch schon um diesen kleinen Bastard zu zerstoeren. DMV2 loescht uebrigens wirklich den Screen. Sie koennen auch noch an einer anderen Tatsache erkennen das ihr System infiziert sein koennte -> wenn DMV2 im System ist werden die Farben des Cli-Windows nach jedem (???) Reset geaendert. 13. CENTURION LINK VIRUS -------------------- Dies ist ein neuer LINK Virus. Er ist resident und aendert Kicksum & -28 in trackdisk.device (doio?)/ Er liegt immer bei $7f000 und ist 3916 bytes lang. Nach XX Resets aendert er den mousepointer in einen smiley mit einem kleinem scroller. Angeblich kann meine seine programme in der startup-sequence vor dem CENT. schuetzen. Wenn man seine befehlszeile von 'BERSERKER' in 'C/BERSERKER' aendert. Dadurch soll er nicht mehr in der lage sein dieses file zu infizieren. WEITERE BEMERKUNGEN =================== Spezieller Dank an: Olaf B. wegen der Tests und Ideen Michael V. wegen einiger Utilities und Viren Henning L., weil er einer der BESTEN Assembler Freaks ist Thorsten H., als einen der BESTEN und als Freund Gunnar L., als Freund und Programmierer Martha, weil sie mich verlassen hat... P.a.V. (Programmers against Viruses) MEINE BESTEN WÜNSCHE AN STEVE TIBBET & FRED FISH! ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^ P.S. Da dieser Text nur so von Rechtschreibefehlern strotzt ist jeder herzlich aufgerufen diese zu eliminieren.