************************************************************************ >>>>> VIRUS CONTROL 4.0 <<<<< ************************************************************************ >>>>> Allgemeine und spezielle Informationen über Viren <<<<< ************************************************************************ von Pius Nippgen ************************************************************************ © 1992 by M&T Software-Partner International GmbH, 8013 Haar A. Allgemeine Einführung in die Viren-Problematik -------------------------------------------------- 1. Bootblock-Viren 2. File-Viren 3. Link-Viren 4. Trojanische Pferde 5. Zukunftsaussichten 6. Viren auch auf A 3000 7. Was tun bei Virenbefall Bootblock-Viren File/Link-Viren Packer-Problematik zukünftige Viren B. Konkrete Viren-Beschreibungen --------------------------------- 1. Bootblock-Viren ------------------- 16BitCrew 6ULDV8 AEK AIDS AIDS-HIV AlienNewBeat AmigaFreak Amiga-Master AustralianParasite BamigaSectorOne BlackFlash BladeRunners BLF BlowJob Butonic ByteBandit ByteBandit 1 ByteBandit 2 usw. ByteBanditImitation ByteBanditVIPHS ByteVoyager I ByteVoyager II CCCP Chaos-TaiPan (Chaos) ClaasAbraham CLIST-Lamer(UK-Lamerstyle) Coder Crackright(DiskDoktors) DAFGderFEHY DAG DASA(ByteWarrior) DATA CRIME DAT-89 DERK-MALLANDER Destructor DigitalEmotions DiskHerpes(Phantasmumble,Phantastograph) DIVINA EXTERMINATOR I Dotty DUMDUM ExterminatorII EXTREME FAST FAST 1 FastEddie FICA Forpib FrenchKiss Frity Future-Disaster Gadaffi GENESTEALER Glasnost Graffiti Gremlin GX.TEAM GYROS HCS HEIL Hilly HODEN V33.17 HULKSTERS ICE Incognito Inger.IQ.Virus JITR Joshua Joshua 1 JulieTick-PREDATOR Kauki L.A.D.S LameBlame-TaiPan (LameBlame,CHEATER-HIJACKER) Lamer-Bootblock-Viren (9) Little Sven Loverboy&Sexmachine LSD MAD MAD II MAD III MAD IV MEGAMASTER METAMORPHOSIS V1.0 MEXX MG's Virus V1.0 MicroMaster MICROSYSTEMS Morbid.Angel.Virus MOSH MOSH 2 Nasty No.Bandit.any.More Obelisk Obelisk II Opapa PARADOX I PARADOX II PARAMOUNT PARATAX I PARATAX II PARATAX III PentagonCircleVirusSlayer PERVERSE I PowerBomb Revenge Bootloader Revenge Ripper Riska Sachsen I Sachsen 3 SaddamHussein SCA SCA-2001 SCA-AIDS SCA-Kefrens Scarface Sendarian SHIT SS Starfire/Northstar (3) SuperBoy SystemZ (10) Target TELSTAR Termigator T.F.C. Revenge Virus TimeBomb TomatesGentechnicService Traveller1.0 TRIPLEX TRISECTOR 911 Turk TWINZ SANTA CLAUS UltraFox VERMIN VirusFighterV1.0 VirusV1 Vkill WAFT Warhawk Warsaw Avenger ZACCESS V1.0 ZACCESS V2.0 ZACCESS V3.0 Z.E.S.T Zombi I 2. File-Viren -------------- a. echte Viren mit Infektionsroutine, um neue Datenträger zu infizieren ----------------------------------------------------------------------- AMIGAKNIGHTS Anti-EuroMail-Virus BGS9 I BGS9 II BGS9 III BLUEBOX-icon.library BRET HAWNES BUTONIC-JEFF V1.31 BUTONIC-JEFF V3.00 BUTONIC-JEFF V3.10 DARTH VADER V1.1 DISASTER-MASTERV2 MemCheck v8.1(Liberatorv1.21) NaST NoVi RevengeOfTheLamerExterminator Terrorists b. Daten-Zerstörungsprogramme ------------------------------ ByteParasiteI ByteParasiteII ByteParasiteIII CHAOS-MASTER V0.5 CompuPhagozyte1 CompuPhagozyte2 D&A Disktroyer1.0 Excreminator V1.0 Freedom PowerPacker3.2-Bomb TimeBomb V0.9 TimeBomber(VIRUSTEST) VirusBlaster c. Programme, welche Viren installieren (Trojanische Pferde) ------------------------------------------------------------ Challenger-Fish622 ColorsVirusCarrier DriveInfo V0.91 Intro-Maker V1.00 by TCR JEFF-Viruskiller LAMER-bomb(Gotcha LAMER) LAMER-Trojan-Horse-loadwb LAMER-Trojan-Horse-virusx T.F.C.-loadwb THE SMILY CANCER II VIRUS TERMINATORV6.0 VIRUS-INSTALL v2.0 XCopyPro6.5 3. Disk-Validator-Viren ------------------------ ReturnOfTheLamer-Disk-Validator-Virus SADDAM-HUSSEIN-Disk-Validator-Virus und Abkoemmlinge wie LOOM, HARD, RISK, LAME, -][- usw. Orange-Disk-Validator-Virus 4. Link-Viren -------------- a. IRQ-Typ (hängt ein Hunk vor das File) ---------------------------------------- CCCP-Bootblock+Link-Virus Hochofen(=Trabbi) IRQ-Link-Virus I IRQ-Link-Virus II MENEM'S REVENGE METAMORPHOSISV1.0-Bootblock+Link-Virus THE SMILY CANCER I von CENTURIONS The Traveling Jack - Link-Virus I The Traveling Jack - Link-Virus II b. Xeno-Typ (hängt sich an Anfang des ersten Hunks) --------------------------------------------------- Xeno-Virus I Xeno-Virus II c. LZ-Typ (hängt sich an Ende des ersten Hunks) ----------------------------------------------- verändert Original-Code-Ende ---------------------------- LZ-Link-Virus Golden Rider Crime! Crime!++ verändert Original-Code-Anfang ------------------------------ Infiltrator d. Red-Typ (Virus-Code + Original-Programm -> 1 Hunk) ----------------------------------------------------- Red October V1.7 5. Uhr-Virus ------------- 6. Anmerkung ------------- A. Allgemeine Einführung in die Viren-Problematik ================================================== Das Hauptziel eines Virus liegt in der Verbreitung. Der Virus ist also bestrebt, neue Disketten zu infizieren, das heißt, sich auf neue Disketten zu kopieren. Um dieses Ziel zu erreichen, muß der Virus zunächst einmal aktiviert werden. Hierfür kommen entsprechend den verschiedenen Virenarten auch verschiedene Möglichkeiten in Betracht: 1. Bootblock-Viren ------------------ Hierbei handelt es sich um die ältesten Viren. Diese Viren befinden sich auf dem Bootblock der Diskette und werden beim Booten von der Diskette aktiviert, da das Betriebssystem beim Booten von Diskette ein auf dem Bootblock vorhandenes Programm automatisch ausführt. Sollte hiermit also ein Virus-Programm zur Ausführung gebracht werden, dann installiert sich dieser Virus im System, das heißt, er verbiegt gewisse Vektoren (z.B. DoIO, TD-BeginIO), um die Zugriffe auf den Bootblock kontrollieren zu können. Hierdurch kann dann eine Diskette oftmals bereits beim Einlegen infiziert werden. Manche Bootblock-Viren, insbesondere die älteren Bootblock-Viren, begnügen sich mit dem Infizieren der Boot-Diskette. In der Regel macht sich ein Virus auch resetfest, indem er Cold, Cool oder Kick-Vektoren verändert. Dadurch bleibt der Virus auch noch nach einem Reset und Booten von einer Nicht-Virus-Disk aktiv. Der Virus kann dann also nur durch Ausschalten des Computers entfernt werden. Der Virus muß nicht unbedingt resetfest sein, wenn er Disketten bereits beim Einlegen infizieren kann, aber durch die Resetfestigkeit wird die Verbreitungsgeschwindigkeit und Durchschlagskraft des Virus aber doch sehr gesteigert. Bootblock-Viren kann man relativ einfach bekämpfen, da man genau weiß, wo sie sich befinden. Durch Neu-Installieren des Bootblocks wird der Bootblock-Virus überschrieben und damit entfernt. Allerdings funktioniert dieses Neu-Installieren des Bootblocks meist nur dann, wenn kein Bootblock-Virus aktiv ist, denn ein aktiver Bootblock-Virus kontrolliert ja in der Regel alle Zugriffe auf den Bootblock. Dadurch stellt er sicher, daß die Diskette infiziert wird und infiziert bleibt. Wenn eine neue Diskette eingelegt wird, dann führt das Betriebssystem einen Lesezugriff auf den Bootblock aus, um festzustellen, ob es sich um eine Amiga-DOS-Diskette usw. handelt. Hierzu wird der DoIO und TD-BeginIO-Vektor durchlaufen. Da diese Vektoren aber von einem aktiven Bootblock-Virus manipuliert wurden, kann der Virus diesen Bootblock-Zugriff kontrollieren, und hierbei auch die Diskette infizieren, das heißt sich auf den Bootblock kopieren. 2. File-Viren ------------- Der Virus steht in einem eigenen Programm. In der Regel fügt der File-Virus in die Startup-Sequence eine Zeile ein, in der er sich selber aufrufen läßt. Damit diese zusätzliche Zeile weniger auffällt, besteht der Virus-Filename oftmals aus unsichtbaren Steuerzeichen. Der File-Virus wird nun also beim Booten und Abarbeiten der Startup-Sequence aktiviert. Ein File-Virus läßt sich also relativ leicht entfernen. Man muß die neue Zeile mit dem Aufruf des File-Virus löschen und sollte auch das File-Virus-Programm selber löschen. 3. Link-Viren ------------- Diese Viren sind die wohl gefährlichsten und auch am schwierigsten zu programmierenden Viren. Ein Link-Virus hängt sich vor ein Programm, wodurch dieses also etwas länger wird. Link-Viren sind somit relativ schwer auszumachen, da bis auf die größere Programmlänge keine Veränderungen zu erkennen sind. Auch ist es oftmals schwer, den Link-Virus wieder vom Programm abzutrennen. Ein Link-Virus hängt sich auch manchmal an das erste Programm der Startup-Sequence. Dadurch ist sichergestellt, daß der Link-Virus beim Booten aktiviert wird. Link-Viren infizieren manchmal auch libraries, devices und handler, also die Programme in den Verzeichnissen libs, devs, oder l, da diese letzendlich auch ausführbare Programme sind, welche bei Bedarf vom Betriebssystem gestartet werden. Gefährlich sind aber auch Link-Viren welche nur beim Aufruf von bereits infizierten Programmen weitere infizieren, sich also nicht resetfest machen und keine sonstigen Vektoren verbiegen, sich also nicht dauerhaft installieren und sich auch sonst nicht verraten. Solche Link-Viren könnten lange unentdeckt bleiben. Allerdings ist die Verbreitungsgeschwindigkeit solcher Viren auch geringer. VIRUS CONTROL kann mit seinen zwei universellen Schutzmechanismen (Link-Virusschutz und File-Zugriff-Kontrolle) auch solche vielleicht in Zukunft vermehrt auftretende Link-Viren erkennen (z.B. RedOctober1.7). 4. Trojanische Pferde --------------------- Alle Viren sind beim allerersten Mal darauf angewiesen, daß sie gestartet werden. Die 'Trojanischen Pferde' erreichen das nun dadurch, daß sie sich als harmlose oder interessante Programme tarnen. Wenn der Computer-User diese Programme nun startet, wird unbemerkt der eigentliche Bootblock-, File-, oder Link-Virus installiert. Der Name 'Trojanische Pferde' entstammt folgender griechischer Sage: Die Stadt Troja war uneinnehmbar. Die Griechen besannen sich daher auf eine List: Sie versteckten Ihre Soldaten in einem großen hölzernen Pferd. Die Trojaner hielten das Pferd für ein Geschenk der Götter und brachten es in Ihre "uneinnehmbare Stadt". Nachts kamen die Griechen aus dem Pferd und nahmen Troja ein. 5. Zukunftsaussichten --------------------- Programmtechnisch wurden bereits die bekannteren Virenarten auf den Amiga umgesetzt, das heißt, es gibt Bootblock-Viren, File-Viren und Link-Viren. Dennoch wird die Viren-Entwicklung leider weitergehen. Auf der einen Seite werden viele Abwandlungen von bereits bekannten Viren auftauchen. Auf der anderen Seite werden aber auch Viren erscheinen, welche neue Methoden für ihre Infektionen und sonstigen Taten benutzen werden. Es wäre z.B. denkbar, daß Viren gezielt Compiler-Libraries manipulieren. Jedes in Zukunft entwickelte Programm würde dann mit infiziertem Code gelinkt werden. Das Amiga-Betriebssystem (aber auch andere Betriebssysteme) sind mittlerweile dermaßen flexibel und leistungsfähig, daß sehr viele Möglichkeiten für ein Virus vorhanden sind, sich irgendwo einzuhängen und irgendwelche Manipulationen vorzunehmen. Je komplexer ein Betriebssystem, desto mehr Möglichkeiten tun sich leider auch für ein Virus-Programm auf. Die weitreichenden Möglichkeiten der neuen leistungsfähigen Betriebssysteme kann man also sinnvoll für sehr brauchbare Programme verwenden. Aber leider kann man in einem solchen komplexen Betriebssystem auch einen Virus einbinden. Doch dieser Sachverhalt ist ein Grundproblem unseres Lebens: Man kann viele Dinge sinnvoll einsetzen - oder aber auch mißbrauchen. Es hängt nun mal auch vom Menschen selbst ab, wie er mit seinen Möglichkeiten umgeht. Das Virenproblem ist also oftmals auf Probleme der Virenprogrammierer selbst zurückzuführen. Manchmal sind es junge Menschen, die hier erstmals die Möglichkeit sehen, etwas "Besonderes" zu leisten. Über die Konsequenzen Ihres Handelns sind sie sich in der Regel nicht bewußt, da sie auch gar nicht weiter darüber nachdenken. Ich möchte an dieser Stelle ganz ausdrücklich an alle "Viren-Programmierer" appellieren, das Programmieren von Viren einzustellen, da Viren niemandem nützen, sondern vielmehr unübersehbaren Schaden anrichten können. Steckt bitte Eure Programmier-Energien in das Erstellen von sinnvollen Programmen. Für diese Programme kann man dann auch öffentlich Lob ernten, was bei einem Virus natürlich nicht möglich ist. Das Erstellen und Verbreiten von Viren ist keineswegs ein lustiges Kavaliersdelikt, sondern wird vielmehr schwerwiegende Strafen, zumindest finanzieller Art, nach sich ziehen. Die Gesetzeslage ist hier mittlerweile eindeutig. Also setzt bitte nicht Eure Zukunft auf's Spiel, indem Ihr Euch mit dem völlig unnötigen Programmieren von Viren beschäftigt. 6. Lauffähigkeit von Viren auf verschiedenen Amiga-Modellen ----------------------------------------------------------- Viele Viren, insbesondere die Bootblock-Viren, sind oftmals sehr unsauber und wenig flexibel programmiert, so daß sie des öfteren nur auf den Standard-Amigas laufen. Das heißt: Fast alle Viren funktionieren auf den Amigas, die als Speicher nur 512 KB Chip-Mem und keine Festplatte besitzen. 6.1. Kickstart-Version ---------------------- Die erste Hürde für die Lauffähigkeit eines Virus stellt die verwendete Kickstart-Version dar. Insbesondere einige ältere Bootblock-Viren springen direkt in das Betriebssystem ein. Hierbei werden meist die Kickstart 1.2 Adressen benutzt. Unter Kickstart 1.3 bringt ein solcher Virus den Amiga unweigerlich zum Absturz. Auch der umgekehrte Fall kann neuerdings beobachtet werden. 6.2. Speicherausbau ------------------- Einige Viren nehmen z.B. feste Adressen für die execbase oder den Supervisorstack an. Je nach Speicherausbau liegen diese Betriebssystem- strukturen aber an anderen Adressen. Auch werden des öfteren die resetfesten Strukturen im gerade verfügbaren Speicher angelegt, was bei Vorhandensein von FastMem den Effekt hat, daß die im FastMem angelegten Strukturen bei einem Reset nicht gefunden werden. Das Programm ist dann also nicht resetfest. Ebenso sind fast alle Viren auf Amigas mit 1 MB ChipMem unter Kickstart 1.2/1.3 nicht resetfest. Mit z.B. "setpatch r" kann die Resetfestigkeit manchmal wiederhergestellt werden. Viele Viren machen sich über den Cool-Vektor resetfest. Diese Viren sind unter den frühen Kickstart2.0 - Versionen (36.xxx) nicht mehr resetfest, da hier nur die Kick-Vektoren ausgewertet werden. Auch kann es z.B. vorkommen, daß der Virus FastMem als Pufferspeicher für den trackdisk.device-Zugriff benutzt, was dann auch nicht funktionieren kann. Oftmals belegen Bootblock-Viren willkürlich Speicher ab z.B. $7f000. Dieses muß dann bei einem 256KB-Chip-Mem-Amiga fehlschlagen. Insbesondere bei 1 MB-Chip-Mem Amigas kann es bei Ausnutzung des Chip-Mem zum Überschreiben des Virus, und somit zum Absturz kommen. 6.3. Festplatte --------------- Manche Bootblock-Viren gehen immer von einem Disketten-Boot aus und stürzen bei einem Festplatten-Autoboot ab, oder noch schlimmer, sie versuchen die Festplatte irrtümlich zu infizieren und überschreiben wichtige Festplattensystemdaten auf Zylinder 0, wodurch nun viele Festplatten nicht mehr erkannt werden. 6.4. Höherer Prozessor ---------------------- Manche Viren benutzen selbstmodifizierenden Code. Aufgrund des Code-Cache kann diese unsaubere Methode aber fehlschlagen. Manche Viren bauen erst beim Betrieb z.B. gewisse Sprungbefehle auf. Meistens werden solche Codemodifizierungen nur an einigen Stellen des Viruscodes vorgenommen und in der Regel befinden sich diese Codebereiche noch nicht im Code-Cache oder werden noch nicht sofort benutzt, wodurch diese Codemodifizierungen dann meist mit Glück funktionieren. Aber eben nur meist. Manchmal ist dieser selbstmodifizierende Code der Grund für das Nichtfunktionieren von Viren auf höheren Prozessoren. Manche Viren verschlüsseln den gesamten Virus-Code mit einem Zufallswert, wodurch das Erkennen und Analysieren des Virus erschwert werden soll. Manchmal trifft man z.B. folgenden Fall an: Der Virus beginnt mit der kurzen Dekodierroutine, auf diese folgt direkt der zu dekodierende Virus-Bereich. Meist wurde auch das Ende der Dekodierroutine bereits mitkodiert. Solche Viren werden z.B. auf einem 68030 meist nicht laufen. Der Grund hierfür ist der größere Prefetch bei den höheren Prozessoren. Auf dem 68000 tritt der Prefetch noch nicht in Erscheinung. Auf dem 68030 jedoch beträgt der Prefetch bereits bis zu drei Worte, das heißt, daß bis zu drei Worte bereits in den Prozessor eingelesen werden, obwohl die Ausführung der vorhergehenden Befehle noch gar nicht abgeschlossen ist. Mit Hilfe dieser Pipeline-Struktur kann die Arbeitsgeschwindigkeit des Prozessors erhöht werden. Durch diesen größeren Prefetch wird nun das Ende der Dekodierroutine zwar im Speicher richtig dekodiert. Im Prozessor selber wird aber der fehlerhafte verschlüsselte Code benutzt, wodurch es zum Absturz kommen muß. Wenn die Dekodierroutine selbst nicht verschlüsselt ist, sondern nur die auf die Dekodierroutine folgenden Daten, dann wird das Kodieren bzw. Dekodieren auch auf den höheren Prozessoren funktionieren. Aber auch nur meist, da doch in einigen Fällen aufgrund des Code-Cache und Pefetch die Daten im Prozessor nicht den Daten im Speicher entsprechen, wodurch dann also ein Absturz resultieren kann. Auf dem 68000 konnte man noch wild drauflos programmieren, da noch keine Besonderheiten wie Code-Cache oder Prefetch zu berücksichtigen waren. Beim 68000 war also der aktuelle Code, welchen der Prozessor gerade eingelesen hat und nun ausführt, immer identisch mit dem wirklichen Code im Speicher, wodurch also selbstmodifizierender Code und das Kodieren ganzer Datenbereiche problemlos möglich war. Auf den höheren Prozessoren ist dieses Vorgehen verboten, da man aufgrund der nun im Prozessor eingebauten Caches und des größeren Prefetches keine exakten Vorhersagen mehr machen kann. 6.5. Schlußfolgerung -------------------- In Bezug auf den Amiga 3000 kann man also Folgendes festhalten: Da der Amiga 3000 alle vier eben genannten Punkte erfüllt, wird dieses Amiga-System relativ virenunfreundlich sein. Insbesondere die Bootblock-Viren tun sich durch unsaubere Programmierung hervor, und ich schätze daher, daß nur noch die Hälfte der Bootblock-Viren auf dem Amiga 3000 funktionieren werden. Die File- und Link-Viren hingegen sind meist viel flexibler und sauberer als die Bootblock-Viren programmiert. Ich schätze daher, daß circa 3/4 der File- und Link-Viren auf dem Amiga 3000 laufen werden. Man kann also für den Amiga 3000 leider keine Viren-Entwarnung geben. Es ist natürlich sehr erfreulich, daß auf den Turbo-Amigas weniger Viren funktionieren. Allerdings kann aber auch ein Virus, welcher beim Versuch sich zu installieren abstürzt, sehr störend sein und hierbei auch zu Datenverlust führen. 7. Was tun bei Virenbefall -------------------------- Bootblock-Viren --------------- Wenn es sich um einen Bootblock-Virus handelt, dann meldet VIRUS CONTROL den Virus mit Namen, oder es wird "unbekannter BB" oder "Bootblock-Virus?" angezeigt. Wenn "unbekannter BB" oder "Bootblock-Virus?" angezeigt wird, dann muß es sich nicht immer um einen Bootblock-Virus handeln, es könnte auch irgendein harmloser Nicht-Standard-Bootblock vorliegen. Sicherheitshalber können Sie von dem Bootblock mittels "BB -> Datei" eine Kopie anfertigen. Um herauszufinden, ob es sich bei einem verdächtigen Bootblock wirklich um einen Virus handelt, kann man folgendermaßen vorgehen: Man bootet mit installiertem VIRUS CONTROL von der verdächtigen Disk, aktiviert also bewußt einen eventuellen Virus. Alle eingelegten Disketten sollten schreibgeschützt sein, damit sich der eventuelle Virus nicht verbreiten kann. Auch müssen Sie vorher von Ihrer Festplatte ein Backup fertigen und wenn möglich die Platte abklemmen, da manche Viren die Festplattendaten unbrauchbar machen (z.B. DASA, Gadaffi). Handelte es sich um einen Virus, so wird dieser manche System-Vektoren verändern. Diese Veränderungen werden Ihnen nun mittels Requester angezeigt. Anschließend muß der Amiga ausgeschaltet werden, da dies die einzig wirklich sichere Methode ist, um einen aktiven Virus zu entfernen. Auch sollten Sie einen Bootblock-Virus mit "Installiere BB" unschädlich machen. Wenn nach dem Booten von der verdächtigen Diskette keine Warn-Requester erscheinen, dann handelt es sich vermutlich nicht um einen Bootblock-Virus. In Zweifelsfällen empfiehlt sich natürlich immer ein "Installiere BB". In einigen wenigen Fällen (insbesondere Spiele) darf der Bootblock jedoch nicht überschrieben werden, da hier z.B. eine Schnelladeroutine o.ä. aktiviert wird. Notfalls kann man nun den vorher geretteten Bootblock wieder auf die Diskette zurückschreiben. Sollte die Diskette aber kopiergeschützt sein (z.B. longtracks), dann kann die Diskette bzw. der Kopierschutz durch das Beschreiben zerstört werden. Das Spiel läßt sich dann u.U. nicht mehr starten. Also am besten erstellen Sie vor "Installiere BB" eine Sicherheitskopie. File/Link-Viren --------------- mit "Viren suchen+entf." wird eine Diskette oder Festplatte nach bekannten File/LinkViren durchsucht. Wenn ein solcher Virus gefunden wird, dann wird Ihnen mittels Requester die Möglichkeit zur Entfernung des Virus angeboten. Also grob gesagt, mit "Installiere BB" entfernt man Bootblock-Viren und mit "Viren suchen+entf." sucht und entfernt man File oder Link-Viren. Packer-Problematik ------------------ Es gibt da aber leider noch ein Problem. Angenommen Sie erhalten immer die Meldung, daß ein gewisser File-Virus oder Link-Virus aktiv sei. Mit "Viren suchen+entf." können Sie aber kein entsprechendes Virusfile ausmachen. Vermutlich liegt der Virus dann in einem gepackten File vor. Dieses ist der große Nachteil der Packer, denn nachdem ein Virusfile gepackt wurde, sieht es je nach Packer völlig andersartig aus und kann von keinem Anti-Virus- Programm mehr als Virus identifiziert werden. Es kann dann lediglich der verwendete Packer erkannt werden. Normalerweise aber liegen Viren-Files ungepackt vor, es sei denn, sie wurden absichtlich gepackt. Setzen Sie also Packer und gepackte Programme nicht unkontrolliert ein. Aber auch bei gepackten Programmen brauchen Sie natürlich nicht zu resignieren, denn Sie können z.B. gezielt immer nur ein Programm starten und auf eventuelle Warnmeldungen von VIRUS CONTROL warten. VIRUS CONTROL zeigt Ihnen an, ob ein ausführbares Programm mit dem PowerPacker, Imploder oder Mastercruncher gepackt wurde. Anstatt LoadFile: wird dann PPacker:, Imploder: oder Mastercr: angezeigt. Wenn Sie die Option "Entpackversuch wenn gepackt" einschalten, dann werden diese Dateien enpackt und dann einer Virenuntersuchung unterzogen. Zukünftige Viren ---------------- Das größte Problem in Bezug auf Viren ist, daß immer wieder neue Viren in Umlauf gebracht werden. Aber auch vor zukünftigen Viren braucht man nicht zu resignieren. Besonders in diesem Bereich ist VIRUS CONTROL sehr vorausschauend programmiert und gibt dem Anwender viele nützliche Analysehilfsmittel an die Hand, um auch zukünftige Viren zu erkennen. Ich möchte hier nur einige bisher meist einzigartige Möglichkeiten von VIRUS CONTROL aufzählen. Näheres können Sie in der Bedienungsanleitung zu VIRUS CONTROL nachlesen. - mit dem Fileschutzsystem kann man erkennen, ob Files verändert wurden - Warnmeldung bei unsichtbaren Zeichen in Startup-Sequence oder Filenamen - man kann das Beschreiben von Files und des Bootblocks kontrollieren - Bootblock-Archivierungs-System - automatische Bootblock-Analyse - ungefährliches Booten von unbekannten Disketten - Festplatten-Systemdaten-Verwaltung - sekündliche und umfassende System-Vektorenkontrolle - mit Unlink können auch zukünftige Link-Viren entfernt werden usw. B. VIREN - BESCHREIBUNG ======================== Leider ist es sehr schwer, eine gewisse Ordnung in den Virus-Dschungel zu bringen, denn oftmals werden Viren nur geringfügig abgeändert und als angeblich neue Viren verbreitet. Auch kursieren oftmals verschiedene Namen für nur einen Virus. Ich habe mit Absicht keine Beschreibungen über z.B. "ByteBanditError-Virus" oder "Diskguard.1.0-Virus" oder "ASS-Virus" aufgenommen, da es sich hierbei um Bootblöcke handelt, welche sich niemals unabsichtlich weiterverbreiten. Es handelt sich also nicht um Viren. Ich denke, es macht wenig Sinn, echte Viren mit Nicht-Viren zu vermischen, denn dadurch wird eine Viren-Systematik nur noch undurchsichtiger. Es wäre ein leichtes gewesen, hier noch circa 50 weitere Bootblöcke aufzuführen, um somit eine größere Anzahl an erkannten Viren vorzutäuschen. Ich denke aber, daß dies nicht Sinn der Sache ist. 1. Bootblock-Viren =================== 16Bit Crew ---------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $7ec00 im Speicher steht. Der 16BitCrew-Virus macht sich über den Cool-Vektor resetfest. Er infiziert nur die Boot-Diskette. Dieser Virus gleicht programmtechnisch sehr stark dem Graffiti-Virus. Der Hauptunterschied besteht in der fehlenden Grafikmeldung. Man kann am Ende des 16BitCrew-Bootblocks folgenden Text erkennen: The 16Bit Crew 1988 6ULDV8 ------ Es handelt sich um einen Byte-Bandit-Abkömmling, der sich neben einigen unwesentlichen Code-Optimierungen lediglich in der Vertikal-Blank-Routine unterscheidet. Beim Original-ByteBandit-Virus wird der Rechner nach 7 Minuten blockiert. Auf dem Bildschirm wird dann nur noch die Hintergrundfarbe angezeigt. Diese Blockade tritt aber nur dann auf, wenn der Rechner mindestens 2 * resettet wurde UND mindestens 6 Disketten infiziert wurden. Man kann die Blockade durch folgende Tastenkombination aufheben: L-ALT L-AMIGA SPACE R-AMIGA R-ALT Die Tasten müssen nacheinander gedrückt werden, wobei die vorherigen Tasten weiterhin gedrückt bleiben müssen. Beim 6ULDV8-BootBlock-Virus wird nun immer nach circa 18 Minuten der Bildschirm zum "Durchlaufen" gebracht. Das Bild sieht also so aus, als ob es nicht mehr synchronisiert werden könnte. Eine Weiterarbeit am Rechner ist nur durch Drücken von L-ALT + s + f6 möglich. AEK --- SCA-Abkömmling AIDS ---- Es handelt sich nicht um einen neuen Virus, sondern um einen Lamer-Bootblock-Virus. AIDS-HIV ------------ SCA-Abkömmling ALIEN NEW BEAT -------------- Es handelt sich um einen sehr unsauber programmierten Bootblock-Virus, welcher nur unter Kickstart 1.2 läuft. Der ALIEN NEW BEAT - Virus löscht den KickTag-Pointer und macht sich über Cold und Cool resetfest. Er ist nun also das einzige resetfeste Programm. Ferner wird der findresident-Vektor und DoIO-Vektor verbogen, um jede eingelegte Diskette zu infizieren. Man kann den folgenden Text im Bootblock erkennen: THIS IS THE ALIEN NEW BEAT BOOT! THE BOOT WHICH CREATES A NEW DIMENSION IN MEMORY. THIS IS A NEW STYLE OF VIRUS HUNTING!!! 179092 V1.0 Ir 04/01/1989 You won't believe it, but this thing kills the SCA, ByteBandit, Dasa(ByteWarrior), AIDS AND NorthStar virus!!!!! Es wird hier also behauptet, daß es sich um einen ganz tollen Anti-Virus-Bootblock handelt. Diese Aussagen dienen aber nur dazu, um den Virus zu tarnen. Es handelt sich um einen 100% Bootblock-Virus, welcher jede eingelegte Diskette infiziert. Darüber hinaus besteht auch Gefahr für Festplatten, da der Virus aufgrund nachlässiger Programmierung auch Zylinder 0 der Festplatte beschreiben kann. AmigaFreak ---------- Der AmigaFreak-Virus ist praktisch mit dem ByteBandit-Virus identisch. Lediglich der "ByteBandit"-Text wurde mit "AmigaFreak"-Text überschrieben. Amiga-Master ------------ SCA-Abkömmling Australian-Parasite ------------------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher sich an den Supervisor-Stack-Boden kopiert. Er macht sich über den Cool-Vektor resetfest und verbiegt den DoIO und TD-BeginIO-Vektor, um eingelegte Disketten zu infizieren. Manchmal wird der Bildschirminhalt auf den Kopf gestellt. Im Bootblock kann man folgenden Text lesen: The Australian Parasite! By Gremlin 18/5/88! Will NOT destroy game bootsectors or corrupt disks, and kills other viruses! Der Australian-Parasite-Virus versucht sich hiermit als Anti-Virus zu tarnen. Dies ist völlig falsch, denn der Australian-Parasite-Virus ist ein ganz normaler Bootblock-Virus, welcher generell jeden Bootblock überschreibt, es werden also auch Spiele-Bootblöcke überschrieben. Das mittlerweile etwas veralterte Virus-Schutz-Programm VirusX (letzte offizielle Version war VirusX 4.01) kennt noch nicht den Saddam-Hussein-Disk-Validator-Virus. Solte dieser Saddam-Hussein- Disk-Validator-Virus aktiv sein, dann meldet VirusX manchmal fälschlicherweise einen aktiven Australian-Parasite-Virus. BamigaSectorOne --------------- SCA-Abkömmling BlackFlash ---------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher im Speicher ab $7f000 steht. Er macht sich über den Cool-Vektor resetfest und verbiegt den DoIO-Vektor, um jede eingelegte Diskette zu infizieren. Festplatten können durch Überschreiben von Zylinder 0 unbrauchbar werden. Manchmal gibt sich der Virus durch folgende Meldung zu erkennen: Auf einem schwarzen Bildschirm werden folgende rote Texte ausgegeben: HELLO, I AM AMIGA ! PLEASE HELP ME ! I FEEL STICK ! I HAVE A VIRUS ! ¡ BY BLACKFLASH ! Diese Texte kann man auch am Ende des Bootblocks lesen. BladeRunners ------------ SCA-Abkömmling BLF --- Es handelt sich um einen typischen Bootblock-Virus, welcher sich über den Cool-Vektor resetfest macht. Der Cold und die Kick-Vektoren werden gelöscht. Es wird der DoIO und BeginIO-Vektor verbogen, um eingelegte Disketten zu infizieren. In dem Bootblock ist der folgende Text nicht lesbar verschlüsselt: you have found the routine !! This is the new virus by BLF Dieser Text wird aber niemals angezeigt. BlowJob ------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $7f000 im Speicher steht. Zu Beginn des Bootblocks kann man folgenden Text lesen: [0.5] [1] [1.8] MB Memory Allocator 3.01 Durch diesen Text will sich der Bootblock-Virus als angeblich nützlicher Bootblock tarnen. Es handelt sich aber um einen typischen Bootblock-Virus. Beim Booten von einer mit dem BlowJob-Bootblock-Virus infizierten Diskette macht sich der Virus direkt über die Kick-Vektoren resetfest. Andere Kick-resetfeste Programme wie z.B. RAD: oder turboprint werden hierbei entfernt. Beim nächsten Reset wird nun der DoIO()-Vektor verbogen, um die erste Diskette zu infizieren, welches meist die Boot-Diskette ist. In seltenen Fällen kann die Festplatte unbrauchbar werden. Ferner wird der Vertikal-Blank-Interrupt verbogen, um nach 10 Minuten einen Alert mit folgender Meldung auszugeben: ONCE AGAIN SOMETHING WONDERFUL HAPPENED (HE HE HE).. PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF Diesen Text kann man im Bootblock nicht lesen, da er kodiert vorliegt. Nach Beenden des Alerts stürtzt der Amiga ab. Es gibt keinen ersichtlichen Grund, warum dieser Virus BlowJob genannt wird. BUTONIC's VIRUS 1.1 ------------------- Der BUTONIC's VIRUS 1.1 ist ein etwas unsauber programmierter Bootblock-Virus, da er von der Speicheranordnung eines 512 KB-Amigas ausgeht. Deshalb kann es auf den anderen Amigas unter Umständen zu Problemen kommen. Nach jeweils 15 Resets wird folgende Bildschirmmeldung ausgegeben:  BUTONIC's VIRUS 1.1   GREETINGS TO HACKMACK  Wenn man beim Booten die rechte Maustaste und die s-Taste drückt, dann erscheint eine Meldung, wieviele Disketten bereits infiziert wurden. Diese Textmeldungen liegen verschlüsselt vor und sind daher z.B. mit einem Diskettenmonitor nicht zu erkennen. Manchmal wird der BUTONIC's VIRUS 1.1 auch als BAHAN-Virus bezeichnet, weil man diese Buchstabenfolge erkennen kann. Diese Buchstabenfolge hat aber keinen tieferen Sinn. Der BUTONIC's VIRUS 1.1 macht sich über den Cool-Vektor resetfest. Bei dem nächsten Reset wird der DoIO-Vektor verbogen, um beim gleichfolgenden Booten die Boot-Diskette zu infizieren. Danach wird der DoIO-Vektor wiederhergestellt, es wird also nur die Boot-Diskette infiziert. Wenn man beim Booten die linke Maustaste und die Enter-Taste drückt, dann wird zwar die aktuelle Boot-Diskette noch infiziert, danach aber wird der Virus entfernt. ByteBandit ---------- Es handelt sich um einen Bootblock-Virus. Der Name ByteBandit-Virus beruht darauf, daß man folgenden Text im Bootblock lesen kann: Virus by Byte Bandit in 9.87.Number of copys : Der ByteBandit-Virus infiziert nicht nur die Boot-Diskette, sondern auch jede eingelegte Diskette. Die Besonderheit des ByteBandit-Virus ist die Blockierung des Rechners nach 7 Minuten. Auf dem Bildschirm wird dann nur noch die Hintergrundfarbe angezeigt. Diese Blockade tritt aber nur dann auf, wenn der Rechner mindestens 2 * resettet wurde UND mindestens 6 Disketten infiziert wurden. Man kann die Blockade durch folgende Tastenkombination aufheben: L-ALT L-AMIGA SPACE R-AMIGA R-ALT Die Tasten müssen nacheinander gedrückt werden, wobei die vorherigen Tasten weiterhin gedrückt bleiben müssen. Der ByteBandit kopiert sich an den Supervisor-Stackboden und macht sich über Kick-Strukturen resetfest. Er infiziert Disketten bereits beim Einlegen. Hierzu verbiegt er den BeginIO- Vektor des trackdisk.devices. Ferner wird der exec.library-Vertikal-Blank- Vektor verbogen, um nach sieben Minuten den Rechner zu blockieren. Wohingegen der SCA-Bootblock-Virus nur die Boot-Diskette infizierte, stellt nun der ByteBandit-Virus eine neue Virus-Qualität dar, da er Disketten sofort beim Einlegen infiziert. Trotz Baujahr 87 ist der ByteBandit-Virus sehr interessant programmiert. Dennoch kann es zum Beispiel mit Speicher- erweiterungen zum Absturz kommen, da in diesem Fall der Supervisor-Stack nicht immer richtig ermittelt wird. ByteBandit 1 ------------ Es handelt sich um eine "Vergewaltigung" des Original-Byte-Bandit-Virus. Es bestehen folgende Unterschiede: Während der Original-Byte-Bandit-Virus auch mit Kickstart 1.3 arbeitet, funktioniert der Byte-Bandit1-Virus nur noch mit Kickstart 1.2. Der Grund ist folgender: Der Byte-Bandit-Virus verändert das trackdisk.device, damit Disketten bereits beim Einlegen infiziert werden. Der Original-Byte-Bandit-Virus ermittelt die Adresse des trackdisk.device mit Hilfe der FindName()-Funktion, welcher der Text "trackdisk.device" übergeben werden muß. Diesen Text "trackdisk.device" kann man auch am Ende des Original-Byte-Bandit-Virus lesen. Im Byte-Bandit1-Virus ist dieser Text nicht mehr vorhanden, anstatt dessen übergibt der Byte-Bandit1-Virus eine ROM-Adresse, an der der Text "trackdisk.device" steht. Allerdings ist diese Adresse nur für Kickstart 1.2 zutreffend. In Kickstart 1.3 steht dieser Text an einer anderen Adresse. Im Original-Byte-Bandit ist zu Beginn des Bootblocks folgender Text zu lesen: Virus by Byte Bandit in 9.87.Number of copys : Anstatt dieses Textes ist beim ByteBandit1 eine Routine vorhanden, welche nach dem nächsten Reset das komplette CHIP-Mem bis auf 86016 Bytes belegt. Weiterhin kann man eine mit dem ByteBandit1 infizierte Diskette daran er- kennen, daß sich der Bildschirm pink färbt, wenn man beim Booten F10 drückt. ByteBandit 2 ------------ Es handelt sich um einen Bootblock-Virus, welcher auf dem Byte-Bandit-Virus basiert. Es bestehen lediglich folgende zwei Unterschiede: Man kann keinen typischen Text im Bootblock mehr erkennen. Beim Byte-Bandit konnte man Virus by Byte Bandit in 9.87.Number of copys : am Anfang des Bootblocks lesen. Beim Original-ByteBandit wird der Rechner nach 7 Minuten blockiert. Auf dem Bildschirm wird dann nur noch die Hintergrundfarbe angezeigt. Diese Blockade tritt aber nur dann auf, wenn der Rechner mindestens 2 * resettet wurde UND mindestens 6 Disketten infiziert wurden. Man kann die Blockade durch folgende Tastenkombination aufheben: L-ALT L-AMIGA SPACE R-AMIGA R-ALT. Beim ByteBandit2 wird nach 70 Sekunden und 5 Resets und 5 Disketteninfektionen ebenfalls der Rechner angehalten. Nach Drücken der "["-Taste aus dem Zehnerblock kann weitergearbeitet werden. ByteBanditImitation ------------------- Es handelt sich auch hierbei um eine schlechte und fehlerhafte Nachprogrammierung des Original-ByteBandit-Virus. Der anfängliche ByteBandit-Text ist nicht mehr vorhanden und die Vertikal-Blank-Routine wurde entfernt. ByteBanditVIPHS --------------- ByteBandit-Abkömmling, aufgrund weniger Textes konnte der Virus-Code nach vorne verschoben werden. Anstatt Bitplane DMA aus erfolgt Anbsturz. Insbesondere der SCA- und ByteBandit-Virus dienten als Vorlage für eine Vielzahl weiterer Bootblock-Viren. Meistens wurde lediglich der Text abgeändert, manchmal aber wird auch versucht, den eigentlichen Virus-Code abzuändern, wodurch oftmals recht fehlerhafte Viren in Umlauf gelangen. ByteVoyager I ------------- Es handelt sich um eine Weiterentwicklung des BlowJob-Bootblock-Virus. Es liegt also auch ein unsauber programmierter Bootblock-Virus vor, welcher ab $7f000 im Speicher steht. Der ByteVoyager arbeitet nun aber ähnlich den Lamer-Viren mit zufälligen Kodierroutinen, wodurch jeder Bootblock ein anderes Aussehen erhält. Beim Booten von einer mit dem ByteVoyagerI- Bootblock-Virus infizierten Diskette macht sich der Virus direkt über die Kick-Vektoren resetfest. Andere Kick-resetfeste Programme wie z.B. RAD: oder turboprint werden hierbei entfernt. Beim nächsten Reset wird der DoIO-Vektor verbogen, um nun alle weiteren Disketten infizieren zu können. Weiterhin wird hierbei der Diskettenname in "Infected by BYTE VOYAGER !!!!!" umbenannt. In seltenen Fällen kann die Festplatte unbrauchbar werden. Ferner wird der Vertikal-Blank-Interrupt $6c verbogen, um nach 15 Minuten den Bildschirm für 1 Minute lang 25 mal in der Sekunde AUS und AN zu schalten. Nach 16 Minuten wird der Amiga dann zum Abstürzen gebracht. ByteVoyager II -------------- Siehe ByteVoyagerI. Es gibt nur einen wesentlichen Unterschied. Der Diskettenname wird in "Another Virus by Byte Voyager" umbenannt. Bei ByteVoyagerI wurde der Diskettenname in "Infected by BYTE VOYAGER !!!!!" umbenannt. CCCP ---- siehe unter CCCP-Bootblock+Link-Virus Chaos-TaiPan (Chaos) -------------------- Dieser Bootblock-Virus baut sehr stark auf dem LameBlame-TaiPan auf. Es handelt sich also um einen Bootblock-Virus, welcher sich über den COOL-Vektor resetfest macht. Weiterhin wird der DOIO-Vektor verbogen, um Disketten beim Einlegen zu infizieren. Die Bootblöcke sehen immer verschieden aus, da sie mit einem Zufallswert (Rasterstrahl) kodiert werden. Beim LameBlame-TaiPan wurde nach 8 Disketteninfektionen lediglich ein Alert ausgegeben. Der Chaos-TaiPan ist nun agressiver programmiert und überschreibt nach 8 Disketteninfektionen die komplette Disketten mit unsinnigen Daten. Danach wird ein Alert mit z.B. folgendem Text ausgegeben: Chaos! by Tai-Pan Number of Diskformats : 001 Danach wird ein Reset bzw. Absturz ausgelöst. Der Chaos-TaiPan-Bootblock-Virus wird auch durch das Programm Virusinstall V2.0 installiert. Claas Abraham ------------- Es wird der Auto-Interrupt 2 verbogen. Dieser wird z.B. beim Drücken oder Loslassen einer Taste ausgelöst. In diesem Interrupt wird dann immer der Virus über Cold, Cool und die Kick-Vektoren alleinig resetfest gemacht. Die Kickstruktur weist folgenden Identifizierungsstring auf: >>> Claas Abraham Virus !!! <<< Der Virus arbeitet mit selbstmodifizierendem Code, so daß die Virus- Bootblöcke immer verschieden aussehen, obwohl letztendlich immer der gleiche Virus vorliegt. Nach dem nächsten Reset wird beim Abarbeiten der Kick- Struktur der BeginIO-Vektor des trackdisk.devices verbogen, wodurch nun Disketten bereits beim Einlegen infiziert werden. Nach 15 Disketten- Infektionen wird die Diskette ab Block 880 (Root-Spur) formatiert. CLIST-Lamer (auch UK-Lamerstyle) -------------------------------- Dieser Bootblock-Virus ist programmtechnisch den Lamer-Viren zuzuordnen. Lesen Sie also die dort vorhandenen Informationen. CODER ----- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $7f600 im Speicher steht. Der CODER-Virus macht sich über die Kick-Vektoren resetfest, wobei andere Kick-resetfeste Programme rausgeworfen werden. Er verbiegt den DoIO-Vektor, um Disketten beim Einlegen zu infizieren. Unter Umständen wird aufgrund unsauberer Programmierung auch Zylinder 0 von Festplatten beschrieben. Der CODER-Virus verbiegt den AutoInterrupt 2 ($68), welcher beim Drücken oder Loslassen von Tasten ausgelöst wird. Nach einer gewissen Anzahl von Tastaturbetätigungen wird der Rechner zum Abstürzen gebracht. Am Anfang des CODER-Bootblocks kann man folgenden Text lesen: Bootblock installed with 'CODER' - The Ultimate Viruskiller!! Mit diesem Text will sich der Virus als Anti-Virus tarnen. Ab $7fa00 kann man einen Text lesen, welcher unmißverständlich auf den Virus hinweist: Something WONDERFUL has happened!! Your Amiga is alive, and it is infected with the 'Coders Nightmare Virus'. - The ultimate key-killer, masterminded by the megamighty Mr. N of The PowerBomb Systems!! Crackright(DiskDoktors) ----------------------- Der Crackright(DiskDoktors)-Virus ist ein sehr heimtückischer Virus. Er offenbart erst nach 2000 Disketten-Infektionen seine volle Bösartigkeit. Der Crackright(DiskDoktors)-Virus macht sich über den Cold- und Cool-Vektor resetfest. Er verbiegt den DoIO-Vektor, um Disks schon beim Einlegen zu infizieren. Der Crackright(DiskDoktors)-Virus installiert einen Task namens "clipboard.device", welcher permanent die Vektoren auf den Virus verbiegt. Weiterhin kopiert dieser Task seinen Code im Speicher umher, was aber ohne weitere Bedeutung ist. Es werden auch bei jedem DoIO-Zugriff die Vektoren verbogen. Ab dem fünften Reset wird bei jedem Reset 10240 Bytes * Resetanzahl ChipMem abgezogen. Nach dem zehnten Reset wird also 10*10240=102400 Bytes ChipMem belegt. Der Crackright(DiskDoktors)-Virus merkt sich die Anzahl aller bisherigen Disk-Infektionen. Wenn die Anzahl der Disk-Infektionen größer als 2000 wird, ändert der Crackright(DiskDoktors)- Virus sein bisheriges 'relativ friedliches' Verhalten. Er verbiegt den exec.library-Vertikal-Blank-Vektor, um nach 30 Minuten den Rechner zu resetten. Zuvor wird der Rechner ab circa der 26ten Minute zunehmend langsamer. Bei jedem fünften Disketten-Einlegen wird die obere Disketten- hälfte einschließlich der Root-Spur FORMATIERT!!!! Der Virus läuft nur mit Kickstart 1.2. Mit FastMem usw. arbeitet er problemlos zusammen. Der Crackright(DiskDoktors)-Virus ist recht interessant programmiert. Verwerflich ist jedoch seine primitive Bösartigkeit. DAFGderFEHY ----------- lediglich Textunterschiede zu MADII DAG --- SCA-Abkömmling DASA(ByteWarrior) ----------------- Von dem Überschreiben der Disk-Bootblöcke einmal abgesehen, könnte man den DASA-Virus, auch ByteWarrior-Virus genannt, als gutmütig bezeichnen. Leider weist der DASA-ByteWarrior-Virus einen sehr schwerwiegenden Programmier- fehler auf, wodurch er zu einem höchst gefährlichen Virus wird! Auf meinem Amiga-System macht der DASA-ByteWarrior-Virus meine Festplatte unbrauchbar!! Der DASA-ByteWarrior-Virus prüft nämlich nicht, ob sich der DoIO-Zugriff auf das trackdisk.device bezieht. Der Virus versucht sich bei jeden 512 oder 1024-Lese oder Schreib-DoIO-Zugriff mit Offset 0 auf das jeweilige Device zu kopieren(=infizieren). Fast alle Festplattentreiber legen wichtige Festplattenverwaltungsdaten wie z.B Errorliste, Partitionsdaten, Mountliste usw. auf Zylinder 0 ab. Diese können hierbei überschrieben werden. Die Festplatte wird dadurch meist unbenutzbar. Leider unterscheiden sich die verschiedenden Festplattentreiber in der Verwaltung der Festplatten. Das heißt, ein Beschreiben des Zylinders 0 könnte bei einer Auto-Boot-Festplatte die Mountlist usw. überschreiben, wodurch die Festplatte nicht mehr ansprechbar ist. Dies ist bei meiner Festplatte der Fall. Bei einer anderen Festplatte kommt es vielleicht 'lediglich' zu einem kleineren Datenverlust. Ich besitze eine Autoboot-Festplatte mit ALF-Treibersoftware. Der ALF-Treiber legt auf Zylinder 0 wichtige Systemdaten ab. Der DASA-ByteWarrior-Virus überschreibt diese Daten. Erfreulicherweise ist eine hundertprozentige Restauration der Festplatte möglich, denn zur ALF-Software gehört ein Hilfsprogramm namens "frame-backup", welches die Systemdaten auf Zylinder 0 zurückschreiben kann. Voraussetzung ist allerdings, daß man von der intakten Platte ebenfalls mit Hilfe des frame-backup-Programms die Systemdaten in ein File gesichert hat. Es ist also Aufgabe des Festplattentreiberanbieters, leistungsfähige Hilfsprogramme mit auszuliefern!! Aber auch mit VIRUS CONTROL können Sie dieses Problem lösen, denn VIRUS CONTROL kann nun Speichermedien aller Art (z.B. Festplatten) vor Schaden durch unsauber programmierte Bootblock-Viren bewahren, indem man Sektor 0+1 ansehen, auslesen und überschreiben kann. Näheres lesen Sie bitte in der Bedienungsanleitung nach. Stehen einem allerdings solche Hilfsprogramme nicht zur Verfügung, so führt meist der folgende, universell einsetzbare, aber auch beschwerliche Weg zum Erfolg. Festplatte mittels mount Befehl mounten und dann mittels disksalv Files retten, womöglich mit mask a, wenn ein backup verfügbar ist. Die Hauptfunktion eines Virus liegt in der Vermehrung, so gesehen ist es Unsinn, einen vermeintlichen Festplattenbootblock zu infizieren, da der Bootvorgang bei Festplatten den Bootblock der jeweiligen Festplatten- partitionen ignoriert. Auch wird jede Festplatte je nach Treiber anders verwaltet, es existiert kein verbindlicher Festplattenstandard. Weiterhin sind Festplatten in der Regel fest installiert und somit nicht dazu geeignet, den Virus auf andere Rechner zu übertragen. Es macht also keinen Sinn, eine Festplatte zu infizieren, es sei denn, der Sinn oder vielmehr Wahnsinn des Virus besteht im primitiven Zerstören von Daten. Leider sind Festplatten in der Regel nicht physikalisch schreibschützbar und somit sehr empfindlich. Ein regelmäßiges Backup ist die somit einzige sichere Schutzmethode!!!! Dadurch, daß sich der DASA-ByteWarrior-Virus unkontrolliert in jeden DoIO-Zugriff reinhängt, können also beliebige nicht reproduzierbare Datenverluste auftreten. Der Virus löscht den Cold- und Cool-Vektor und macht sich über die Kick-Vektoren resetfest. Er verbiegt den DoIO-Vektor, um Disks schon beim Einlegen zu infizieren. Der Virus nistet sich im vermeintlich sicheren Supervisorstack $7f800-$80000 ein, was jedoch nur für 512 KB-Amiga gilt. Ferner läuft er nur mit Kickstart 1.2, da er direkt ins ROM einspringt. Der größte Programmierfehler ist jedoch die bereits erwähnte fehlende Prüfung auf "trackdisk.device". Es wird gelegentlich die Meinung vertreten, der DASA-ByteWarrior-Virus sei als Anti-Virus geplant gewesen. Dies ist Unsinn! Der DASA-ByteWarrior ist geradezu der Prototyp eines Bootblock-Virus. DATA CRIME ---------- CCCP-Abkoemmling. Lediglich der Text CCCP VIRUS wurde in DATA CRIME abgeändert und die Bootblock-Checksumme neu berechnet. DAT-89 ------ Der DAT-89-Bootblock-Virus ist sehr stark mit dem DASA-ByteWarrior-Virus verwandt. So steht der Virus ebenfalls ab $7f800 im Speicher, macht sich über KickTag() und KickCheckSum() resetfest, und funktioniert nur unter Kickstart1.2. Es gibt lediglich folgende Unterschiede: Der DAT-89 ist bösartiger wie der DAS-ByteWarrior-Virus, da er bei jeder eingelegten Disk nicht nur den Bootblock, sondern auch den Rootblock überschreibt, wodurch die Diskette unlesbar wird. Mit z.B. disksalv können aber in der Regel die Daten wiederhergestellt werden. Weiterhin wird nach circa 15 Resets ein Alert ausgegeben. Der DAT-89-Virus versucht sich mit folgenden Texten als ein harmloses Anti-Virus-Programm zu tarnen. DAT ANTIVIRUS V1.25 DAT '89!!! THIS BOOT RESETS ALL VECTORS SO THAT NO VIRUS CAN TAKE CONTROL OVER THE COMPUTER! SIGNED: DAT '89! DERK-MALLANDER VIRUS V. 1.0 --------------------------- Es handelt sich um einen Bootblock-Virus, der ab $7F800 im Speicher steht. Der Virus läuft auf Rechnern, welche 1 oder 2 MB Chip-Mem besitzen oder auf Rechnern mit Fast-Mem und Kickstart2.0. Auf z.B. einem 512KB-ChipMem-Amiga unter Kickstart1.3 erfolgt immer sofort ein Reset, da der Supervisorstack in dem Fall mit dem Virus-Speicherbereich kollidieren würde. Der Virus macht sich über KickTag,KickCheckSum resetfest, wobei keine Identifikationsstrings verwendet werden. Andere Kick-resetfeste Programme wie z.B. RAD: werden gelöscht. Weiterhin wird auch der COLD,COOL und WARM-Vektor gelöscht. Nach dem nächsten Reset wird der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Achtung, es können auch die Systeminformationen von Auto-Boot-Festplatten beschädigt werden, wodurch die Festplatte nicht mehr erkannt wird. Der Virus belegt 4 Blöcke auf Diskette. In der ersten 2 Blöcken, dem eigentlichen Bootblock, steht der Virus-Code. Der Virus legt aber in den nächsten zwei Blöcken noch den normalen Bootblock ab, wodurch bei vollen Disketten Files oder Daten unwiderbringlich beschädigt werden können. Der Virus belegt nach und nach das ganze CHIP-Mem an, da er mehr oder weniger schnell immer 4 KB anfordert. Wenn kein CHIP-Mem mehr vorhanden ist, wird ein Alert mit folgendem Text ausgegeben. Danach erfolgt ein Reset: J.D. MALLANDER VIRUS V. 1.0 I need lots of money - buy my cool pd serie 'action power' Man kann diesen Text im Bootblock nicht lesen, da er kodiert vorliegt. Manchmal wird der MALLANDER-Virus auch DERK-Virus genannt, weil man 2 * DERK in dem Virus-Bootblock lesen kann. Destructor ---------- Es handelt sich um einen Bootblock-Virus, welcher sich über den Cold-Vektor resetfest macht. Nach einem Reset wird die eingelegte Boot-Diskette formatiert. Es handelt sich nicht direkt um einen Virus, da keine neuen Disketten infiziert werden. DigitalEmotions --------------- Es handelt sich um einen Bootblock-Virus, welcher sich über den Cool-Vektor resetfest macht. Er infiziert nur die Boot-Diskette und gibt sich manchmal beim Booten durch einen Alert mit folgendem Text zu erkennen: WJSVT *** DIGITALEMOTIONS *** Disk-Herpes (Phantasmumble,Phantastograph) ------------------------------------------ Der Disk-Herpes-Virus wird auch Phantasmumble genannt, obwohl es für diese Bezeichnung keinerlei Gründe gibt. Es handelt sich um einen sehr bösartigen Bootblock-Virus. Wenn man von einer mit dem Herpes-Virus infizierten Diskette bootet, so wird der Virus aktiviert und macht sich über den Cool-Vektor resetfest. Ab jetzt wird bei jedem Reset die Boot-Diskette infiziert, das heißt, es wird der Bootblock der Boot-Diskette mit dem Disk-Herpes-Bootblock überschrieben. Leider werden aber auch 40 Blöcke ab Block 880 überschrieben, hierdurch wird der Diskette unwiederbringlichen Schaden zugefügt. Da die Root-Spur überschrieben wurde, wird nun die Diskette nicht mehr als DOS-Diskette anerkannt. Mit disksalv kann man in der Regel die meisten Files retten. Nach 20 Resets gibt sich der Virus namentlich zu erkennen: --- Hello Computerfreak --- You've got now your first VIRUS ** D i s k - H e r p e s ** Many Disks are infected !! Written by >tshteopghraanptha< © 22.07.1987 in Berlin Dieser Text ist mit einem scharz-rot-gelbem Bildschirm unterlegt. Wenn man während des Resets die linke Maustaste und die Joystick-Feuertaste gedrückt hält, dann wird der Virus entfernt. Als Bestätigung färbt sich der Bildschirm kurzzeitig schwaz-rot-gelb. DIVINA EXTERMINATOR I --------------------- Der Virus fordert mit AllocMem() 1024 Bytes für seinen Virus-Code an. In diesen Speicherbereich wird dann der Virus-Code kopiert, wobei zuvor eine Dekodierung erfolgt. In dem Speicherbereich kann man dann folgenden Text lesen: VIRGO PRESENTS DIVINA EXTERMINATOR I COPIES: Im BootBlock selber kann man diesen Text wegen der Kodierung nicht erkennen. Da der Virus nicht gezielt Chip-Mem anfordert, wird er auf Amigas mit Fast-Mem meist nicht resetfest sein, da der Virus sich dann meist in das Fast-Mem kopiert, wo er dann bei einem Reset nicht gefunden wird, da das FastMem erst später konfiguriert wird. Wenn von einer mit dem DIVINA EXTERMINATOR I infizierten Diskette gebootet wird, dann wird für 1 Sekunde der Interrupt-Vektor $6c verbogen. Anschließend macht sich der Virus über den COOL-Vektor resetfest und verbiegt den Exec-Vertikal-Blank-Interrupt. Weiterhin wird der DOIO-Vektor verbogen, um jede eingelegte Diskette zu infizieren, wobei der Virus-BootBlock mit einem Strahlenpositions- zufallswert ($dff006) verschlüsselt wird. Außderdem wird noch der Interrupt-Vektor $64 verbogen, um andauernd den DOIO-Vektor auf den Virus zu verbiegen. Nach 3 Disk-Infektionen und 2 Minuten wird der Exec-Vertikal-Blank-Interrupt wiederhergestellt und dafür der Interrupt-$68 verbogen. Sobald nun 10 Mal die k-Taste gedrückt wurde, stürzt der Amiga ab. Der Virus versucht anstatt seines Virus-BootBlocks einen Standard-BootBlock vozutäuschen. Da der Virus nicht gezielt auf Disketten-Zugriffe prüft, kann es sein, daß eine Festplatte unbrauchbar wird. Dotty ----- Der Dotty-Bootblock-Virus steht ab $7f000 im Speicher. Er löscht den COOL-Vektor und macht sich über KickTag, KickCheckSum resetfest. Hierbei werden andere Kick-resetfeste Preogramm wie z.B. RAD: entfernt. Nach dem nächsten Reset wird dann der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen infizieren zu können. Nachdem eine Diskette infiziert wurde, wird der EXEC-IRQ-3 verbogen, um dadurch 7 Minuten zu warten. Danach erfolgt ein Rechnerabsturz. Angeblich soll der Mauspointer oder Screen manipuliert werden, aber die betreffende Routine ist völlig kaputt, so daß nach einem kurzen Herumstochern in der Intuituition-Base ein Absturz erfolgt. Folgender Text kann in dem Bootblock gelesen werden: Made by the mysterious RT for P.A.L (People Against Lameness) Watch for your mousepointer. It might go nuts or fuck up your screen. Greetz only to the BEST OF THE BEST: Vision. Skid Row. Kefrens. Flash. Scoopex. Fica. DUMDUM ------ Der DUMDUM ist ein typischer Bootblock-Virus, welcher sich über den COOL-Vektor resetfest macht. Nach dem nächsten Reset wird dann der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Der Virus steht ab $7FA00 im Speicher. In der neuen DOIO-Routine wird der Auto-Interrupt 1 ($64) verbogen, um die Resetfestigkeit sicherzustellen. ExterminatorII -------------- macht sich über COOL resetfest, nach nächstem Reset wird dann nach SCA-Manier kurzzeitig DOIO verbogen, um Boot-Diskette zu checken, wenn ein bekannter Virus gefunden wird, dann wird automatisch der Anti-Virus-BB geschrieben und danach erst der Alert, danach Softreset. EXTREME ------- Es handelt sich um einen BootBlock-Virus, welcher im Supervisorstack (Boden+$1000) steht. Der EXTREME-Virus macht sich über KickTagPtr und KickCheckSum resetfest. Diese Resetfestigkeit wird dadurch sichergestellt, daß bei jedem Vertikal-Blank-Interrupt diese Vektoren erneut auf den EXTREME-Virus gesetzt werden. Als "Kick-String" wird "THE EXTREME ANTI-VIRUS HA HA !!!" verwendet. Weiterhin verbiegt der Virus den DOIO-Vektor, wodurch Disketten bereits beim Einlegen infiziert werden können. Nach 3 Infektionen werden alle nicht schreibgeschuetzten Disketten schnellformatiert und danach ein Alert mit folgendem Text ausgegeben: THE EXTREME ANTI-VIRUS HA HA !!! BACK TO LIVE BACK TO REALITY SICO DE MOEL BERGERWEG 100 CALL 072-114816 Nach Betätigen einer Maustaste stürzt der Amiga ab. Den obigen Text kann man auch im BootBlock selber lesen. FAST ---- Der FAST-Virus macht sich über den Cool-Vektor resetfest. Weiterhin wird der DoIO- und FreeMem-Vektor verbogen. Die Disketteninfektion erfolgt bei einem Format oder Schreibzugriff auf den Bootblock. Beim Disketteneinlegen erfolgt also keine Infektion. Nach 16 Infektionen wir ein Alert ausgegeben. FAST1 ----- Der FAST1-Virus entspricht programmtechnisch dem FAST-Virus FastEddie --------- Es handelt sich um einen Bootblock-Virus, welcher ab $7F000 im Speicher steht. Er macht sich über KickTag, KickCheckSum resetfest, wobei andere Kick-resetfeste Programme wie z.B. RAD: verloren gehen. Es werden kein Kick-Identifikationsstrings verwandt. Nach dem nächsten Reset wird der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Hierbei wird auch der Diskname in "This disk is infected (HE-HE)" umbenannt. Weiterhin wird in einem zufälligen Diskettenblock ab Position 256 " Fast Eddie " geschrieben, wodurch Programme oder Daten unwiderbringlich beschädigt werden. Nach der ersten Disk-Infektion wird auch der Interrupt 3 verbogen, um nach 15 Minuten die Tastatur zu sperren und um nach 20 Minuten den Recher endgültig zum Absturz zu bringen. Da der Virus mit einem Zufallswert verschlüsselt ist, kann man keine verdächtigen Texte im Bootblock lesen. Im Speicher steht der entschlüsselte Virus. Hier kann man Call 43-444304 and ask for HENRIK HANSEN (FAST EDDIE) lesen. FICA ---- Der F.I.C.A - Virus kopiert sich an den Supervisorstack-Boden und macht sich Kick-kompatibel resetfest. Es wird der SumKickData- und TD-BeginIO-Vektor verbogen. Es wird jede eingelegte Diskette infiziert, wobei immer ein normaler Bootblock vorgetäuscht wird. Forpib ------ Es handelt sich um eine schlecht programmierte Byte-Bandit-Nachahmung. FrenchKiss ---------- Es handelt sich um einen Bootblock-Virus, welcher ab $7f0d0 im Speicher steht. Zu den 1024-Bytes Bootblock-Code lädt der Virus noch die nächsten drei 256-Byte-Blöcke nach, so daß der FrenchKiss-Virus insgesamt aus 5 * 256-Byte-Blöcken besteht. Der Virus macht sich über den COOL-Vektor resetfest und verbiegt den DOIO-Vektor, um Disketten direkt beim Einlegen zu infizieren. Weiterhin wird der Interrupt 3 und Exec-Interrupt 3 verändert. Der Virus kann auch die Root-Spur einer Diskette überschreiben. Frity ----- ByteBandit-Abkömmling Future-Disaster --------------- Es handelt sich um einen nur unter Kickstart 1.2 lauffähigen BootBlock-Virus. Für den Namen "Future-Disaster" gibt es keinen ersichtlichen Grund. Der Virus steht ab $7fb00 im Speicher und verbiegt vorübergehend den BeginIO-Vektor des trackdisk.devices. Der Virus macht sich über den COOL-Vektor resetfest und infiziert Boot-Disketten durch Verbiegen des DOIO-Vektors. Festplatten können unbrauchbar werden. Nachdem 7 Boot-Disketten infiziert wurden, wird die nächste Boot-Diskette unbrauchbar gemacht, indem 5 Spuren einschließlich der Root-Spur überschrieben werden. Weiterhin wird der BootBlock mit zufälligen unsinnigen Daten überschrieben, wodurch eine NON-DOS-Disk resultiert. Den Großteil der Daten kann man jedoch meist mit z.B. disksalv retten. Gadaffi ------- Der Gadaffi-Virus ist sehr stark dem DASA-ByteWarrior-Virus nachempfunden. Der Gadaffi-Virus unterscheidet sich hauptsächlich nur dadurch, daß er nach einigen Resets ein 'schwirrendes' StepperMotor-Geräusch erzeugt. Der schwerwiegende Programmierfehler des DASA-ByteWarrior-Virus ist also genauso im Gadaffi-Virus enthalten. Wie der DASA-ByteWarrior-Virus ist also auch der Gadaffi-Virus höchst gefährlich, da er z.B. Festplatten unbrauchbar machen kann. Lesen Sie bitte die entsprechenden Informationen beim DASA-ByteWarrior-Virus nach. Der Gadaffi-Virus löscht den Cold-Vektor und macht sich über Cool und Kick-Vektoren resetfest. Er verbiegt den DoIO-Vektor, um Disks schon beim Einlegen zu infizieren. Der Gadaffi-Virus nistet sich im vermeintlich sicheren Supervisorstack $7e800-$80000 ein, was jedoch nur für 512 KB-Amiga gilt. Ferner läuft er nur mit Kickstart 1.2, da er direkt ins ROM einspringt. Der größte Programmierfehler ist jedoch die fehlende Prüfung auf "trackdisk.device", wodurch Festplatten sehr gefährdet sind. Näheres siehe DASA-ByteWarrior-Virus. GENESTEALER ----------- Es handelt sich um einen Bootblock-Virus, welcher ab $7EC00 im Speicher steht und sich über den COOL-Vektor resetfest macht. Weiterhin wird der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Der aktive Virus versucht einen normalen Bootblock vorzutäuschen. Am Ende des Bootblocks kann man GENESTEALER VIRUS!!! by someone lesen. Wenn keine PAL-Auflösung vorliegt, wird die Root-Spur der Diskette beschädigt. Weiterhin können insbesondere die Systemdaten einer Festplatte beschädigt werden. Glasnost -------- Es handelt sich um einen BootBlock-Virus. Er unterscheidet sich von den üblichen BootBlock-Viren dadurch, daß der eigentliche VirusCode in Block 2+3 der Diskette steht. Der BootBlock (Block 0+1) beinhaltet lediglich die Nachladeroutine der Daten von Block 2+3. Der BootBlock (Block 0+1) sieht also relativ normal aus, wodurch sich der Virus also verstecken will. Bei vollen Disketten ist es durchaus möglich, daß auch Daten nach Block 2+3 geschrieben werden, lediglich auf Block 0+1 werden keine Datei-Daten geschrieben. Der Glasnost VIRUS kann also durch das Überschreiben von Block 2+3 Daten zerstören. Der Virus steht ab $7f000 im Speicher und macht sich über KickTag, KickCheckSum resetfest, wobei andere Kick-resetfeste Programme rausgeworfen werden. Nach einem Reset wird dann der DOIO-Vektor verbogen, um jede eingelegte Diskette zu infizieren, das heißt Block 0,1,2,3 zu überschreiben. Danach wird ein zufälliger Disketten-Block ab Position 256 mit folgenden 4 Langworten beschrieben: $11111111,$22222222,$44444444,$88888888. Weiterhin wird nun auch der $6c-Auto-Interrupt-Vektor verbogen, um nach 15 Minuten die Tastatur zu blockieren und um nach 20 Minuten den Rechner anzuhalten. Eine Festplatte kann, wenn auch eher selten, unbrauchbar werden. Im dritten Block einer infizierten Diskette kann man folgenden Text lesen: Glasnost VIRUS by Gorba!! First release Graffiti -------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $7ec00 im Speicher steht. Der Graffiti-Virus macht sich über den Cool-Vektor resetfest. Er infiziert nur die Boot-Diskette. Manchmal wird beim Booten der Bildschirm schwarz und es erscheint der folgende rote Text: VIRUS! written by Graffiti Diesen Text kann man auch am Ende des Bootblocks lesen. Über diesem Text dreht sich eine Vektorgrafik, welche aus drei großen roten Buchstaben besteht: AMA GREMLIN ------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $7f400 im Speicher steht. Der GREMLIN-Virus macht sich über den Cool-Vektor resetfest und verbiegt den DoIO-Vektor, um jede eingelegte Diskette zu infizieren. Nach 16 Disk-Infektionen gibt sich der GREMLIN-Virus zu erkennen. Es wird für kurze Zeit das Wort GREMLIN in weißer Schrift in der Mitte eines roten Bildschirms angezeigt. Eine Festplatte kann durch den GREMLIN-Virus unbrauchbar werden. Ferner wird auch der SumKickData-Vektor verbogen. Wenn man während des Resets die linke Maustaste drückt, wird der Virus entfernt. Nach spätestens circa 2 Stunden wird der Bildschirm schwarz geschaltet. Man kann nun zwar noch blind weiterarbeiten, ein Reset wird aber unausweichlich. GX.TEAM ------- Es handelt sich hierbei um einen sehr unsauber programmierten Bootblock-Virus. Er läuft nur mit Kickstart 1.2. Er macht sich über den Cool-Vektor resetfest. Außerdem verändert er die Kick-Vektoren, wodurch resetfeste Programme wie RAD: oder turboprint rausgeworfen werden. Weiterhin verbiegt der GX.TEAM-Virus den DoIO-Vektor, um Disketten bereits beim Einlegen zu infizieren. Allerdings prüft der GX.TEAM-Virus nicht, ob sich der DoIO-Zugriff auch wirklich auf das trackdisk.device bezieht, deshalb sind Festplatten sehr gefährdet. Näheres siehe DASA-ByteWarrior-Virus. Nach einem Reset wird auch der Interrupt 3 verbogen, wodurch dann circa 3 * in der Sekunde der Cool,Kick und DoIO-Vektor auf den GX.TEAM-Virus verbogen werden. Nach jeweils 5 Resets und 4432 DoIO-Aufrufen wird folgender Alert ausgegeben: (Die Wahrscheinlichkeit, daß der Alert erscheint, ist also recht gering) Mais qui voilà ??C'est le nouveau VIRUS de GX.TEAM !! WAAAHH! Les salauds! Les ...(Insultes diverses) He!He! SILENCE : GX.TEAM entre enfin dans la légende ... BYE!!! GYROS ----- Es handelt sich um einen BootBlock-Virus, welcher ab $7ec00 im Speicher steht. Er macht sich über den COOL-Vekor resetfest. Beim Reset wird dann der DOIO-Vektor verbogen, um die Boot-Diskette zu infizieren. Nach 10 Infektionen wird der Bildschirm schwarz, und der Rechner muß von Hand resettet werden, dabei wird dann eine GURU-Nummer angezeigt. Anscheinend ist der Virus noch nicht fertig programmiert, denn der Virus-Code läßt darauf schließen, daß anstatt des Rechnerabsturzes eine COPPER-Grafik geplant war. Im BootBlock kann man folgenden Text lesen: Dear Arnd! Your Amiga is fucked from a nice GYROS. Many greetings to you from Goeblodiel!! HCS --- Es handelt sich um einen Bootblock-Virus, welcher ab $7ec00 im Speicher steht. Der HCS4200-Virus macht sich über den Cool-Vektor resetfest und überprüft beim Booten die Boot-Diskette. Wenn ein Virus gefunden wird, dann wird dieser durch den HCS4220-Bootblock überschrieben. Da dieses automatisch erfolgt, muß man den HCS4220 als Virus betrachten. Sollte die Diskette schreibgeschützt sein, dann weist ein Alert auf den gefundenen Virus hin. HEIL ---- Siehe SS-Bootblock. Es handelt sich um einen geringfügig "weiterentwickelten" SS-Bootblock. So ist der Virus-Code stellenweise etwas optimiert, weiterin wird der Viruscode mit einem AllocAbs() gesichert. Anstatt SS.gretings wird SS.greets verwandt. Der Programmierfehler am Ende der Copper-grafik ist behoben, dies ist aber ohne Belang, da die nun verwandte Endlosschleife ebenfalls nur mit einem Reset beendet werden kann. Der Bootblock ist anstatt mit !SS! mit HEIL kodiert. HILLY ----- Der HILLY-VIRUS ist ein sehr bösartiger Bootblock-Virus!! Er ist sehr unsauber programmiert. Deswegen läuft er auch nur unter Kickstart 1.2. Der Virus gibt nie eine Meldung oder ähnliches aus. Auch ansonsten gibt es keinen Grund für einen bestimmten Namen. Woher also der Name HILLY-VIRUS stammt, ist nicht zu ergründen. Wenn man erstmals von einer Diskette bootet, welche mit dem HILLY-Virus infiziert ist, dann macht sich der Virus über die Kick-Vektoren resetfest. Hierbei werden andere Kick-resetfeste Programme wie RAD: oder turboprint rausgeworfen. Beim nächsten Reset wird der Virus dann voll aktiviert. Es wird der DoIO-Vektor verbogen und die Boot-Diskette infiziert. Weiterhin wird der Exec-Vertikal-Blank-Interrupt verbogen, allerdings wird in der neuen Vertikal-Blank-Routine sofort zu der Original-Routine weitergesprungen. Wenn man eine Diskette einlegt, dann wird sie infiziert, das heißt, der Bootblock der eingelegten Diskette wird mit dem Virus-Bootblock überschrieben. Die große Bösartigkeit des HILLY-Virus liegt nun darin, daß bei der nächsten eingelegten Diskette nicht der Bootblock überschrieben wird, sondern es wird ein zufällig ermittelter 512 Bytes großer Block auf der Diskette überschrieben. Die nächste eingelegte Diskette wird dann wieder infiziert usw. HODEN V33.17 ------------ Es handelt sich um einen BootBlock-Virus, welcher ab $7f000 im Speicher steht. Er macht sich über KickTag,KickChecksum resetfest. Hierbei gehen andere Kick-resetfeste Programme verloren. Nach dem nächstem Reset wird dann der DOIO-Vektor verbogen, um jede eingelegte Diskette zu infizieren, das heißt es wird der BootBlock mit dem Virus-BootBlock überschrieben. Nach 5 Infektionen huscht ein kleiner lachender gelber Kopf mit Brille von links nach rechts über den Bildschirm. Der Name des Virus rührt daher, daß man am Ende des Virus-BootBlocks HODEN V33.17 lesen kann. Der Virus funktioniert aufgrund direkter ROM-Einsprünge nur mit Kickstart 1.2. Der Virus kann zum Verlust von Festplatten-Daten führen, da er nicht gezielt auf das trackdisk.device zugreift. HULKSTERS --------- PentagonCircleVirusSlayer-Abkömmling ICE --- SCA-Abkömmling Incognito --------- Es handelt sich um einen neuartig programmierten Bootblock-Virus, welcher nur mit Kickstart 1.2 läuft. Der Name Incognito-Virus rührt daher, daß der Virus sich nicht durch irgendwelche auffälligen Erscheinungen zu erkennen gibt. Der Incognito-Virus macht sich über die Kick-Vektoren resetfest, hierbei werden andere Kick-resetfeste Programme wie z.B. RAD: entfernt. Als Name der Kick-Struktur wird ein zufälliges Zeichen benutzt. Weiterhin hängt der Incognito-Virus eine Routine in den Vertikal-Blank-Server. Dadurch werden 50 * in der Sekunde die Kick-Vektoren und der DoIO-Vektor auf den Incognito-Virus gesetzt. Außerdem wird 50 * in der Sekunde geprüft, ob ein Laufwerk angelaufen ist. Wenn ja, wird der Bootblock der eingelegten Diskette überschrieben. Inger.IQ.Virus -------------- ByteBandit-Abkömmling JITR ---- Es handelt sich um einen Bootblock-Virus, welcher sich über den Cool-Vektor resetfest macht und kurzfristig während des Resets den DoIO-Vektor verbiegt, um die Boot-Diskette zu infizieren. Erfreulicherweise infiziert der JITR-Virus nur Disketten mit einem normalen Bootblock. Dadurch gehen also keine wichtigen Bootblöcke verloren. Man kann im JITR-Virus-Bootblock den folgenden typischen Text erkennen: I'm a safe virus! Don't kill me! I want to travel! And now a joke : ATARI ST This virus is a product of JITR JOSHUA ------ Es handelt sich um einen Bootblock-Virus, welcher sich über den Cold-Vektor resetfest macht. Der JOSHUA verbiegt den BeginIO-Vektor des trackdisk.devices, um Disketten bereits beim Einlegen zu infizieren. Der JOSHUA spiegelt - wie die Lamer-Viren - immer einen normalen Bootblock vor. Im Gegensatz zu den Lamer-Viren begnügt sich der JOSHUA - Virus aber mit dem Überschreiben des Bootblocks. Es werden also keine sonstigen Daten auf der Diskette überschrieben, wie dies bei den Lamer-Viren der Fall ist. Der JOSHUA hängt eine Routine in den Vertikal-Blank-Interrupt-Server ein. Diese trägt den Namen "k.device" (kann man sich mit xoper oder artm mittels interrupts ansehen). Diese Routine setzt 50 * pro Sekunde den DoIO-Vektor auf den Original-ROM-Wert. Nach 6 Resets und 6 Disketteninfektionen wird mit Hilfe dieser Routine 10 Minuten gewartet und dann ein Sprite diagonal über den Bildschirm bewegt. In diesem Sprite kann man JOSHUA lesen. Der JOSHUA läuft nur mit Kickstart 1.2. Der JOSHUA-Virus ähnelt etwas den Lamer-Viren. JOSHUA 1 -------- Es bestehen lediglich folgende 2 Unterschiede zum Byte-Bandit-Virus: 1. Der JOSHUA1-Virus arbeitet ein wenig mit Kodierroutinen um z.B. den "trackdisk.device"-String zu verstecken. 2. beim ByteBandit-Virus erfolgt nach 7 min. eine Rechnerblockade, beim JOSHUA1 erscheint stattdessen nach 10 min für 50 sec. ein Sprite, in welchem man JOSHUA lesen kann. Der JOSHUA1-Virus ist sehr stark dem ByteBandit-Virus nachprogrammiert. JulieTick --------- Es handelt sich um einen Bootblock-Virus, das heißt, der Virus wird durch Booten von einer mit dem Julie-Tick-Virus infizierten Diskette aktiviert. Als erstes prüft der Julie-Tick-Virus, ob sich ein Programm über den KickTag-Vektor resetfest gemacht hat. Wenn ja, so wird der KickTag-Vektor gelöscht und ein Software-Reset ausgelöst. Manche Festplatten-Controller, wie z.B. ALF2, verändern allerdings immer völlig automatisch während eines Resets die Kick-Vektoren. Der Julie-Tick-Virus findet nun also immer wieder einen veränderten Kick-Vektor vor und löst daher wieder einen Software-Reset aus. Der Rechner ist also in einer Endlosschleife gefangen. Angenommen der KickTag-Vektor war nicht gesetzt bzw. konnte erfolgreich gelöscht werden, dann wird anschließend der DoIO-Vektor verbogen und auch die Privilegsverletzung-Exception ($20) wird verbogen. Diese Privilegsverletzung wird mindestens 50 mal in der Sekunde durch das Betriebssystem selber ausgelöst. Der Supervisor()-Befehl benutzt diese Exception, um in den Supervisor-State zu gelangen. Hier erfogt dann das Umschalten der Tasks. Es wird also mindestens 50 mal in der Sekunde in das Virus-Programm gesprungen. Hier wird dann immer der Cool- und DoIO-Vektor verbogen. Auch wird geprüft, ob die Bedingungen für das Abspielen einer kurzen Melodie erfüllt sind. Dies ist meist nach 6 Resets und 2 Disketten-Infektionen der Fall. Da der DoIO-Vektor verbogen wurde, wird nun jede eingelegte Diskette infiziert. Hierbei wird auch noch der BeginIO-Vektor des trackdisk.devices verbogen. Der Virus sollte eigentlich PREDATOR heißen, da am Ende des Virus folgender mit not.b verschlüsselter Text zu finden ist: VIRUS PREDATOR (4-88-SPAIN) ID: 027798336 Kauki ----- Es handelt sich um einen unsauber programmierten Bootblock-Virus, der nur unter Kickstart 1.2 läuft. Er macht sich über den Cool-Vektor resetfest. Während des Resets verbiegt er kurzzeitig den DoIO-Vektor, um die Boot-Diskette zu infizieren. Ansonsten werden keine Disketten infiziert. Wenn man von einer mit dem Kauki-Virus infizierten Diskette bootet, dann erscheint ein scrollendes rosafarbenes Gittermuster, über welchem sich der Schriftzug Kauki bewegt. Dieser Grafik-Effekt ist recht ansehnlich, ich rate aber insbesondere Festplattenbesitzern vom Experimentieren mit diesem Virus ab, da er aufgrund sehr nachlässiger Programmierung versehentlich auch Zylinder 0 der Festplatte überschreiben kann, wodurch dann die Festplatte meist unbrauchbar ist. L.A.D.S ------- Der Name rührt daher, daß im dritten Long-Word LADS steht. Dieser Bootblock-Virus tarnt sich als Anti-Virus, indem er bei jedem Booten von einer infizierten Diskette folgende Alert-Meldung ausgibt: L.A.D.S Virus Hunter No virus in memory Press any mouse button Der L.A.D.S Virus macht sich über die Kick-Vektoren resetfest, wobei allerdings alle anderen Kick-resetfesten Programme wie z.B. RAD:, ALF oder turboprint usw. verlorengehen. Der Virus steht ab $07f400 im Speicher. Beim Reset wird der DoIO-Vektor verbogen, um die Boot-Diskette und auch jede andere neu eingelegte Diskette zu infizieren. Festplatten sind nicht gefährdet, da sich der Virus nur in DoIO-Zugriffe auf das trackdisk.device reinhängt. Der L.A.D.S Virus weist eine Besonderheit auf. Nachdem fünf Disketten infiziert wurden, wird ein Inputhandler installiert, welcher die X/Y-Maus-Koordinaten invertiert. Die Maus verhält sich nun also gerade anders herum wie gewohnt. Nach acht Disketten-Infektionen gibt sich der Virus mit einem Alert zu erkennen: AMIGA COMPUTING Presents: The GREMLIN Virus All Code (c) 1989 By Simon Rockman Dieser Text liegt verschlüsselt im Bootblock vor und kann daher normalerweise nicht gelesen werden. Anstatt LADS-Virus sollte man den Virus also eher Gremlin-Virus nennen. Aber der Name Gremlin ist bei Viren-Programmierern recht beliebt, und ist gewissermaßen schon für andere Viren "vergeben". Dieser Bootblock-Virus ist "relativ" sauber programmiert und läuft daher auch unter Kickstart 2.0 auf dem Amiga 3000. Wie fast jeder Virus weist auch dieser Virus Programmierfehler auf. Angenommen der Maus-Koordinaten-Vertausch-Handler ist bereits aktiv. Wenn nun eine weitere Diskette infiziert wird, dann wird hierbei versehentlich nocheinmal der Handler installiert. Da hierzu nochmals die gleiche Interrupt-Struktur benutzt wird, ist ein sofortiger Absturz unausweichlich. LameBlame-TaiPan (LameBlame, CHEATER-HIJACKER) --------------------------------------------- Es handelt sich um einen Bootblock-Virus, welcher sich über den COOL-Vektor resetfest macht. Weiterhin wird der DOIO-Vektor verbogen, um Disketten beim Einlegen zu infizieren. Die Bootblöcke sehen immer verschieden aus, da sie mit einem Zufallswert (Rasterstrahl) kodiert werden. Nach 8 Disketteninfektionen erscheint ein Alert mit z.B. folgendem Text: -+= CHEATER HIJACKER =+- GENERATION 0004 oder es gibt auch Virus-Bootblöcke mit folgendem Text: LameBlame! by Tai-Pan - Number of Copys : 0002 Der LameBlame-TaiPan-Bootblock-Virus wird auch durch das Programm VIRUS TERMINATORV6.0 installiert. Lamer-Bootblock-Viren --------------------- Alle Lamer-Viren sind sehr bösartige Viren, da sie mit voller Absicht Daten unwiederbringlich zerstören. Neben dem Überschreiben des Bootblocks beim Einlegen einer Diskette werden unter gewissen Umständen auch zufällige Disketten-Datenblöcke mit dem Wort "LAMER!" oder "Lamer!" überschrieben, wodurch Programme zerstört werden. Die Lamer-Viren arbeiten mit zufälligen Kodierroutinen, wodurch jeder Bootblock ein anderes Aussehen erhält. Die Lamer-Viren machen sich über eine Kick-Struktur resetfest. Alle Lamer-Bootblock-Viren weisen den String "The LAMER Exterminator !!!" in der Kick-Struktur auf. Dieser String ist jedoch nicht immer mit 0 abgeschlossen. Die Lamer-Viren machen sich 100% nur über die Kick-Vektoren resetfest. In den Kick-Resident-Strukturen ist manchmal kein MatchWord enthalten. Dies ist auch nicht nötig, da das Betriebssystem diese Strukturen sofort übernehmen kann und nicht erst zusammensuchen muß. Verschiedentlich wird behauptet, Lamer-Viren würden sich auf neuartige Weise über SumKickData() resetfest machen. Dies ist unmöglich!!! Lamer-Viren verbiegen den SumKickData-Vektor nur deshalb, damit sie nicht bei der Installierung eines anderen resetfesten Programms abgehängt werden. Bis jetzt sind nur Disketten gefährdet, da sich alle bisherigen Lamer-Viren in den BeginIO-Vektor des trackdisk.devices einhängen. Hierdurch kann dann eine Diskette bereits beim Einlegen infiziert oder beschädigt werden. Für z.B. Festplatten besteht noch keine Gefahr. Lamer-Viren laufen auch mit Kickstart 1.3 und FastMem. Alle Lamer-Bootblock-Viren täuschen anstelle des Lamer-Bootblocks einen Standard-Bootblock vor. Bei einem aktiven Lamer-Virus versagen also alle herkömmlichen Anti-Virus-programme. (jedoch nicht VIRUS CONTROL). Lamer!I nicht Kick-kompatibel, Kennzeichen: dc.w $b118 ab Byte 72 Lamer!II.1 Kick-kompatibel, Kennzeichen: dc.w $d310 ab Byte 46 überschreibt Datenblöcke mit Lamer! nach 2 Resets + 3 Infects Kick-kompatibel, Kennzeichen: dc.w $d310 ab Byte 70 überschreibt Datenblöcke mit Lamer! nach 2 Resets + 3 Infects Kick-kompatibel, Kennzeichen: dc.w $b118 ab Byte 72 überschreibt Datenblöcke mit LAMER! nach 6 Resets + 3 Infects .2 Kick-kompatibel, Kennzeichen dc.l $b3beb2bb ab Byte 50 FORMATIERT!! Disks nach 6 Resets+4 Infects, LamerII.2 auch an Files gelinkt, z.B. an VirusX, loadwb Lamer!III Kick-kompatibel, Kennzeichen: ab Byte 1012 $abcd überschreibt Datenblöcke mit Zufallswerten nach 2 Resets+4 Infects, verschiebt Original-Bootblock von Block 0,1 nach Block 2,3 wodurch der Virus lange unerkannt bleibt, da weiterhin auch der Original-Bootblock ausgeführt wird. Lamer!IV Kick-kompatibel; neu ist, daß der BeginIO-Vektor des timer.device verbogen wird, wodurch der Virus immer wieder installiert wird. Überschreibt Datenblöcke mit Lamer! nach 2 Resets+3 Infects CLIST-LAMER Der CLIST-LAMER-Virus gleicht sehr stark dem Lamer!IV-Virus. Es werden allerdings keine zufälligen Datenblöcke überschrieben. Als Kick-Identifikationsstring wird anstelle des üblichen "The LAMER Exterminator !!!" "clist.library" verwenndet, so wie es auch beim Revenge of the Lamer Exterminator-File-Virus der Fall ist. Neben diesen Lamer-Bootblock-Viren gibt es auch noch zwei verschiedene Lamer-File-Viren. Siehe hierzu unter File-Viren "Revenge Of The Lamer Exterminator" und "Return Of The Lamer Exterminator" Little Sven ----------- Es handelt sich um einen Bootblock-Virus, welcher auch mit Hilfe eines Trojanischen Pferdes (XCopyPro6.5, Filelänge 28336) verbreitet wird. Der Virus macht sich über den COOL-Vektor resetfest. Weiterhin wird des DisplayAlert-Vektor, Supervisor-Vektor und TD-BeginIO-Vektor verändert, wodurch dann Disketten-Manipulationen möglich werden. Um eine neue Diskette zu infizieren verschiebt der Virus den Original- Bootblock (1024 Bytes) von Block 0,1 nach Block 2,3. Bei vollen Disketten kann dadurch ein File unwiederbringlich beschädigt werden, weil ab Block 2 Daten abgespeichert werden können. Der eigentliche Virus-Code wird dann auf den Bootblock (Block 0,1) geschrieben. Neben diesen Disk-Infektionen hängt sich der Virus auch in alle Disketten-Schreib- und Lese-Zugriffe und verschlüsselt hierbei die aktuellen Datenblöcke. Als Kennzeichen für einen verschlüsselten Datenblock ändert der Virus die Datenblockkennung $00000008 in $ABCD0008. Dadurch sind diese Daten nur noch bei aktivem Virus benutzbar. Der Name Little Sven rührt daher, daß man im Speicher, wo der Virus entschlüsselt vorliegt, "The Curse of Little Sven!" lesen kann. VIRUS CONTROL kann die verschlüsselten Daten wiederherstellen. Loverboy&Sexmachine ------------------- 16BitCrew-Abkömmling LSD --- SCA-Abkömmling MAD --- ByteBandit-Abkömmling MADII ----- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher aufgrund nachlässiger Programmierung auch Festplatten schädigen kann. Weiterhin funktioniert er nur unter Kickstart 1.2. Der MAD-Virus steht ab $07fb00 im Speicher und verbiegt den DoIO-Vektor, um jede eingelegte Diskette zu infizieren. Er löscht den Cold-Vektor und macht sich über Cool,Kick resetfest. Der MAD-Virus ist ein Abkömmling des Gadaffi-Virus, allerdings sind hier die NOPS in der Stepper-Motor-Geräusch-Routine wohl aus Versehen (???) von $4e71 auf $4d71 (gibts nicht) abgeändert, wodurch es zum Absturz kommt, wenn diese Routine aufgerufen wird. Er erscheint dann lediglich ein schwarzer Bildschirm. MADIII ------ fehlerhafter DASA(ByteWarrior)-Abkömmling, da DASA0.2 in MADIII geändert wurde. DASA0.2 ist aber sinnvoller Code, der nicht verändert werden darf. MADIV ----- es handelt sich in Wirklichkeit um einen Lamer-Bootblock-Virus MEGAMASTER ---------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $7e300 im Speicher steht. Der MEGAMASTER-Virus macht sich über den Cool-Vektor resetfest und verbiegt den DoIO-Vektor, um die Boot-Diskette zu infizieren. Weiterhin wird manchmal beim Reset folgende Meldung ausgegeben: Surprise!!! Your Amiga is controlled by MEGAMASTER METAMORPHOSIS V1.0 ------------------ siehe METAMORPHOSIS-Bootblock+Link-Virus MEXX ---- SCA-Abkömmling MG's Virus V1.0 --------------- Es handelt sich um einen Bootblock-Virus, welcher sich selbst verschlüsselt. Deshalb funktioniert der Virus auch nicht auf höheren Prozessoren, da die Virus-Dekodierroutine sich nicht mit einem größeren Prozessor-Prefetch verträgt. Der Virus macht sich alleinig über KickTag, KickChecksum resetfest. Als Identifikationsstring wird MG's Virus V1.0 verwendet. Der COOL-Vektor wird gelöscht. Weiterhin wird in den Exec-Vertikal-Blank- Interruptserver eine Routine eingehängt, welche permanent die Aktivität des Virus sicherstellt. Auch durch Verbiegen des SumKickData-Vektors und GetMsg-Vektors stellt der Virus sein Aktivität sicher. Die eingehängte Interruptservernode trägt keinen Namen und hat die Priorität -100. Durch Verbiegen des BeginIO-Vektors des trackdisk.devices können Disketten bereits beim Einlegen infiziert werden. Der Virus versucht anstelle des Virus-Bootblocks einen normalen Bootblock vorzutäuschen. MicroMaster ----------- SCA-Abkömmling MICROSYSTEMS ------------ Es handelt sich um einen BootBlock-Virus, welcher ab $7f400 im Speicher steht. Der Virus arbeitet nur mit Kickstart 1.2 und verbiegt COLD,COOL, AddTask,RemTask und DOIO. Im Bootblock kann man folgenden Text lesen: YOUR AMIGA IS INFECTED BY A NEW GENERATION OF VIRUS CREATED IN SWEDEN BY MICROSYSTEMS Morbid.Angel.Virus ------------------ ByteBandit-Abkömmling MOSH ---- Es handelt sich um einen Vorläufer des SS und HEIL - Bootblocks. Der MOSH-Bootblock ist mit dem Wert "MOSH" verschlüsselt, wodurch folgender Text im Bootblock nicht mehr lesbar ist: MAFIA dos.library graphics.library This is a new DR.MOSH (MBI) production Contact us at PLK 098107 A, 2380 Schleswig, Deutschland Ah, one question! Why can you read this? My decode routine is simple, isn`t it? spread the word and the program (hehe)! Der MOSH-Bootblock steht ab $7c000 im Speicher und macht sich über den COOL-Vektor resetfest. Nach dem nächsten Reset wird der Autointerrupt2 ($68) verbogen, um nach circa 200 Tastatur- betätigungen mit gleichzeitig gedrückter linker Maustaste eine Coppergrafik auszugeben, welche nur mit einem Reset beendet werden kann. Es erscheint ein gelber Text auf schwarzem Hinztergrund: MAFIA Contact us at PLK 098107 A, 2380 Schleswig, MOSH Da keine neuen Disketten infiziert werden, kann man nicht direkt von einem Virus sprechen, aber das Erzwingen eines Resets nach einer gewissen Zeit ist ärgerlich genug. MOSH 2 ------ Wie MOSH, nur daß auch OldOpenLibrary() verbogen wird. Bei jedem Aufruf von OldOpenLibrary() wird nun ein Alert mit folgendem Text ausgegeben: Hey you old lame! Are you sure, what you are doing? Nach Drücken der rechten oder linken Maustaste kann normal weitergearbeitet werden. Nasty ----- Es handelt sich um einen Bootblock-Virus, welcher wegen der Benutzung absoluter ROM-Adressen nur unter Kickstart1.2 läuft. Es steht ab $7F000 im Speicher und macht sich über den COOL-Vektor resetfest. Weiterhin wird der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Der Virus kann auch insbesondere die Verwaltungsdaten einer Festplatte überschreiben. Der Virus verbiegt auch den Alert, Superstate und Userstate-Vektor, um dadurch permanent die Vektoren zu verbiegen. Am Ende des Bootblocks kann man Nasty-Nasty! lesen. Nach 5 Disketteninfektionen wird die jeweilige Diskette formatiert. No.Bandit.any.More ------------------ ByteBandit-Abkömmling Obelisk ------- Kopiert sich an Supervisorstackboden. Macht sich über Cool-Vektor resetfest. Infiziert nur BootDisk. Es wird vor dem Booten eine Grafikmeldung angezeigt: deutsche Flagge mit dem Text: OBELISK CRACKING CREW Kickstart 1.3 + Fastmem kompatibel. Obelisk II ---------- Lediglich der im Virus-Code enthaltene move.l #"GURU",$0060 und der abgeänderte Text deuten auf den OBELISK CREW VIRUS. Aber ansonsten entspricht der Virus vollkommen dem OPAPA-Virus. Der Obelisk II ist also programmtechnisch gesehen ein OPAPA-Virus. OPAPA ----- Als Vorlage wurde der ByteBandit-Virus verwendet. Der OPAPA-Virus unterscheidet sich von seinem Vorbild hauptsächlich in folgenden Punkten: Der Byte-Bandit-Virus gibt sich durch folgenden Text zu Beginn des Bootblocks zu erkennen: Virus by Byte Bandit in 9.87.Number of copys : Der OPAPA-Virus gibt sich durch folgenden Text mehr am Ende des Bootblocks zu erkennen: I'M THE OPAPA-VIRUS!.d.READY...STEADYx..FORMAT! Beim ByteBandit-Virus wurde nach 7 Minuten der Rechner blockiert. Auf dem Bildschirm wurde dann nur noch die Hintergrundfarbe angezeigt. Diese Blockade tritt aber nur dann auf, wenn der Rechner mindestens 2 * resettet wurde UND mindestens 6 Disketten infiziert wurden. Man kann die Blockade durch folgende Tastenkombination aufheben: L-ALT L-AMIGA SPACE R-AMIGA R-ALT Beim OPAPA-Virus wird nach 8 Minuten der Bildschirm schwarz und es wird die folgende Meldung in gelber Schrift ausgegeben: I'M THE OPAPA-VIRUS! READY STEADY FORMAT! Weiterhin wird nun der Steppermotor des Diskettenlaufwerks bewegt. Dies hört sich dann so an, als ob die Disktte formatiert würde, zusammen mit der Bildschirmmeldung, welche ja auf das Formatieren hinweist, kann einem dieses einen ordentlichen Schrecken versetzen, aber erfreulicherweise wird nur der Steppermotor bewegt, es werden keine Daten geschrieben, die Diskette nimmt also keinen Schaden. Man kommt aus diesem schwarzen Bildschirm ohne Reset nicht mehr heraus. Diese OPAPA-VIRUS-Meldung tritt aber nur auf, wenn der OPAPA-Virus mindestens 9 * installiert wurde UND wenn mindestens 8 Disketten infiziert wurden. PARADOX I --------- Dieser Bootblock-Virus ist stark mit dem BlowJob-Bootblock-Virus verwandt. Lesen Sie also die Informationen unter dem BlowJob-Virus nach. Es bestehen folgende Unterschiede: Beim BlowJob-Virus kann man zu Beginn des Bootblocks folgenden Text lesen: [0.5] [1] [1.8] MB Memory Allocator 3.01 Beim PARADOX I steht statt dessen in der Mitte des Bootblocks: A new age of virus-production has begun This time PARADOX brings you the "LOGIC BOMB" Virus !!! Man erkennt also schon an dem Text, daß ein Virus vorliegt, es handelt sich aber um einen normalen Bootblock-Virus, die Bezeichnung "LOGIC BOMB" soll wohl nur den Anwender erschrecken. Der BlowJob-Virus gibt sich nach 10 Minuten mit folgender Alert-Meldung zu erkennen: ONCE AGAIN SOMETHING WONDERFUL HAPPENED (HE HE HE) PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF Der PARADOX I - Virus hingegen gibt keine Meldung aus, sondern hält den Rechner direkt nach 10 Minuten an. PARADOX II ---------- Dieser Bootblock-Virus steht programmtechnisch zwischen dem BlowJob-Bootblock und dem ByteVoyager-Bootblock. An den weiterentwickelten ByteVoyager erinnert die komplette Bootblock-Verschlüsselung. Es erfolgt aber noch keine Umbennenung des Diskettennamens. Im Gegensatz zum BlowJob erfolgt aber kein Alert, sondern der Rechner wird einfach nach 40 Minuten angehalten. Im dekodierten Bootblock kann man folgenden Text lesen: This is the second VIRUS by PARADOX - For swapping call: 42-455416 - ask for Henrik Hansen .. PARAMOUNT --------- Es handelt sich um einen "defekten" DASA-ByteWarrior-BootBlock-Virus. Es wurde lediglich zusätzlich der folgende Text an das Ende des BootBlocks geschrieben: PARAMOUNT SOFTWORKS CREW 1988 : Greetings to : Napoleon ,Obelisk, Idefix, Asterix Hamburg ... Weiterhin wurde willkürlich "PSCW !!",10,0 in den BootBlock-Code geschrieben. Dadurch ist der Virus nicht mehr lauffähig. Ein Booten von der Diskette ist nicht mehr möglich. Es erfogt immer eine GURU-Meldung. Der PARAMOUNT-Virus kam also nicht als eigenständiger Virus betrachtet werden, denn hier hat lediglich jemand ein wenig herumgepfuscht. PARATAX I --------- SCA-Abkömmling PARATAX II ---------- Dieser Bootblock-Virus ist praktisch mit dem Crackright(DiskDoktors) identisch. Es bestehen lediglich Text-Unterschiede. So wurde z.B. "clipboard.device" durch "dos.library" ersetzt. PARATAX III ----------- 16BitCrew-Abkömmling PentagonCircleVirusSlayer ------------------------- als Anti-Virus gedacht. schlecht programmiert, da feste Adressen benutzt. überschreibt nur Boot-Diskette und zwar nur dann, wenn ein Virus darauf identifiziert wurde. PERVERSE I ---------- Es handelt sich um einen neuartigen Bootblock-Virus, welcher aufgrund recht sauberer Programmierung auch z.B. unter Kickstart2.0 läuft. Der PERVERSE I - Virus macht sich kick-kompatibel resetfest. Als Identifikationsstring wird der folgende Text verwandt: BootX-Viruskiller by P.Stuer Damit soll der User getäuscht werden, denn es handelt sich keineswegs um einen Viruskiller, sondern um einen Virus. Es wird ein Inputhandler installiert. Dieser hat zwei Aufgaben. Erstens: wenn eine Diskette eingelegt wurde, dann schreibt sich der Virus immer auf den Bootblock von DF0: Zweitens: Nach 10 Minuten wird die Tastatureingabe zu einer Textausgabe umfunktioniert. Es erscheint der folgende Text: SOFTWARE_PIRATES RUINED MY EXCELLENT PROFESSIONAL DTP_PROGRAM NOW I REVENGE MYSELF ON THESE IDIOTS BY PROGRAMMING VIRUSES THIS IS PERVERSE I, BECAUSE I LIKE ASSHOLE_FUCKING I PROGRAM VIRUSES FOR MS_DOS TOO Der Virusprogrammierer scheint ein frustrierter kommerzieller Programmierer zu sein, der verärgert dasrüber ist, daß sich sein Programm aufgrund Raubkopiererei schlecht verkauft hat. Deshalb will er sich nun anscheinend mit der Programmierung von Viren rächen. PowerBomb --------- ByteBandit-Abkömmling Revenge Bootloader ------------------ Es handelt sich praktisch um den Byte-Bandit-Bootblock-Virus. Es wurde lediglich der typische Byte-Bandit-Text abgeändert. Im Original-Byte-Bandit ist zu Beginn des Bootblocks folgender Text zu lesen: Virus by Byte Bandit in 9.87.Number of copys : Anstatt dieses Textes ist beim Revenge Bootloader folgender Text zu lesen: Revenge Bootloader! Der Name Revenge Bootloader ist wohl mit Absicht irreführend gewählt, denn es handelt sich keineswegs um einen harmlosen Bootloader, sondern es liegt vielmehr ein gefährlicher Virus vor. Revenge ------- Der Revenge-Virus ist ein eigenständiger Virus und weist keine Ähnlichkeiten mit dem Byte-Bandit-Virus auf, wie manchmal behauptet wird. Der Revenge-Virus ist deutlich schlechter wie der Byte-Bandit-Virus programmiert, da er z.B. absolute Adressen benutzt. Der Revenge-Virus macht sich über den Cool-Vektor resetfest und infiziert Disketten durch Verbiegen des DoIO-Vektors. Ferner wird auch der Exec-IRQ-3-Interrupt verbogen, um nach einer gewissen Zeit den Mauszeiger in ein Phallus-Symbol zu verwandeln, vorausgesetzt der Virus wurde bereits 5 * installiert. Im unteren Teil des Bootblocks kann man Revenge V1.2 lesen. Es sind nun auch einige Revenge- Virus-Abkömmlinge im Umlauf, bei denen lediglich dieser Text abgeändert wurde. So z.B. beim Sendarian-Virus. Dieser ist also bis auf den Text identisch mit dem Revenge-Virus. Ripper ------ programmtechnisch wie Starfire/Northstar Riska ----- ByteBandit-Abkömmling SACHSEN VIRUS NO.1 ------------------ Es handelt sich um einen Bootblock-Virus, der nur unter Kickstart1.3 läuft, da eine feste ROM-Adresse für den CloseDevice()-Vektor gesetzt wird. In dem Bootblock ist der folgende Text kodiert, also nicht lesbar vorhanden: HI USER!!! I CONTROL YOUR SYSTEM!!! WHY ??? ** SACHSEN VIRUS NO.1 ** IS IN MEMORY -HAVE FUN... SHORT CODE BY: S. OF ALPHABIT (DATE: 14/07/91) Der Virus steht ab $78000 im Speicher und macht sich über den COOL-Vektor resetfest. Bei jedem Reset werden weitere 40960 Byte Chip-Mem belegt, jedoch nur wenn eine neue Diskette infiziert wurde. Wenn also die Boot- Diskette bereits infiziert war, dann wird nur 40960 Byte Chip-Mem vergeudet. Der Virus infiziert nur die Boot-Diskette und zwar unter Zuhilfenahme des CloseDevice-Vektors. Festplatten sind nicht gefährdet. SACHSEN VIRUS NO.3 ------------------ Es handelt sich um einen Bootblock-Virus, welcher ab $78000 in Speicher steht. Er macht sich über den COOL-Vektor resetfest und löscht den COLD, KickMem, KickTag und Kickchecksum-Vektor. Sollten diese Vektoren nicht Null gewesen sein, dann wird ein COLD-Reset ausgelöst, das heißt ein Reset, bei welchem alle resetfesten Programme verloren gehen. Dadurch wird z.B. die resetfeste Ram-Disk RAD: zerstört. Der Virus verbiegt weiterhin den Wait-Vektor, um permanent seine Aktivierung sicherzustellen. Außerdem wird der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Hierbei werden die ersten vier 512-Byte-Blöcke der Diskette überschrieben. Da sich der Virus also nicht auf das Überschreiben des Bootblocks (die ersten zwei 512-Byte-Blöcke) beschränkt, sondern auch noch die nächsten zwei 512-Byte-Blöcke überschreibt, können dadurch insbesondere bei recht vollen Disketten Files beschädigt werden. Noch größer ist aber der Schaden, den der Virus durch Überschreiben eines zufälligen 512-Byte-Blockes mit SACHSEN3 verursacht. Weiterhin benennt der Virus Disketten in SACHSEN NO.3 ON DISK !!! um. Außerdem wird nach einer gewissen Anzahl von Disketteninfektionen ein Alert mit anschließendem COLD-Reset ausgegeben, wobei folgender Text angezeigt wird: SACHSEN VIRUS NO.3 in Generation : xxxx is running In seltenen Fällen kann auch eine Festplatte durch teilweises Überschreiben des Rigid-Disk-Blocks unbrauchbar werden. Man kann in dem Bootblock keine verräterischen Text erkennen, da diese dekodiert vorliegen. SaddamHussein ------------- Dieser Bootblock-Virus ist programmtechnisch identisch mit dem BlowJob-Virus. Lesen Sie also die Informationen unter dem BlowJob-Virus nach. Es bestehen lediglich zwei Unterschiede: Beim BlowJob-Virus kann man zu Beginn des Bootblocks folgenden Text lesen: [0.5] [1] [1.8] MB Memory Allocator 3.01 Beim SaddamHussein-Virus steht zu Beginn des Bootblocks folgender Text: A2000 MB Memory Controller V2 Der BlowJob-Virus gibt sich nach 10 Minuten mit folgender Alert-Meldung zu erkennen: ONCE AGAIN SOMETHING WONDERFUL HAPPENED (HE HE HE) PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF Der SaddamHussein-Virus hingegen gibt hierbei folgenden Text aus: TOO BAD BROTHER SADDAM HUSSEIN STRIKES BACK !!! THE ONLY ESCAPE IS TO TURN THE POWER OFF !!! SCA --- Es wird beim Booten die Boot-Diskette mit dem SCA-Virus infiziert. Ansonsten werden keine Disketten infiziert. Es handelt sich um einen Bootblock-Virus, welcher sich über den Cool-Vektor resetfest macht. In dieser Cool-Routine wird der DoIO-Vektor verbogen, damit beim gleich folgenden Diskboot-Versuch die Boot-Diskette infiziert werden kann. Danach wird der DoIO-Vektor wieder rerstauriert. Wird während des Resets die linke Maustaste gedrückt, so wird der SCA-Virus entfernt. Die Besonderheit des SCA-Virus liegt darin, daß nach 15 Infektionsversuchen (entspricht meist 15 Resets) eine längere Virus-Meldung ausgegeben wird. Wenn man bedenkt, daß es sich bei dem SCA-Virus um den ersten funktionsfähigen Amiga-Virus handelt, so muß man die Programmierung durchaus als bemerkenswert, wenn auch keinesfalls als lobenswert betrachten. Die willkürliche Speicherbenutzung ab $7c8fc muß als Programmierfehler betrachtet werden. Es gibt mittlerweile sehr viele SCA-Virus-Kopien, welche sich lediglich durch einen abgeänderten Text von dem Original-SCA-Virus unterscheiden. Wenn VIRUS CONTROL einen Original-SCA-Virus auf Diskette identifiziert hat, dann wird SCA-SCA! als Virusname gemeldet. Sollte es sich um einen SCA- Abkömmling handeln, dann können die letzten 4 Buchstaben anders lauten. Es wird also in solchen Fällen z.B. SCA-INC! oder SCA-BS1! gemeldet. SCA-2001 -------- SCA-Abkömmling SCA-Kefrens ----------- SCA-Abkömmling SCARFACE -------- Der SCARFACE-Virus ist eine billige Kopie des ByteBandit-Virus. Lesen Sie daher bitte auch die Informationen zum ByteBandit-Virus durch. Der SCARFACE-Virus unterscheidet sich nun lediglich in folgenden Punkten vom Byte-Bandit-Virus: Die Besonderheit des ByteBandit-Virus ist die Blockierung des Rechners nach 7 Minuten. Auf dem Bildschirm wird dann nur noch die Hintergrundfarbe angezeigt. Diese Blockade tritt aber nur dann auf, wenn der Rechner mindestens 2 * resettet wurde UND mindestens 6 Disketten infiziert wurden. Man kann die Blockade durch folgende Tastenkombination aufheben: L-ALT L-AMIGA SPACE R-AMIGA R-ALT. Der SCARFACE-Virus geht hier viel primitiver zu Werke. Er bringt den Rechner nach knapp 3 1/2 Minuten zum Abstürzen, vorausgesetzt es wurden 10 Disketten infiziert und 2 Resets ausgelöst. Der Byte-Bandit-Virus gibt sich durch folgenden Text am Bootblock-Anfang zu erkennen: Virus by Byte Bandit in 9.87.Number of copys : Beim SCARFACE-Virus kann man am Bootblockende folgenden Text lesen: SCARFACE trackdisk.device dos.library Sendarian --------- siehe Revenge-Virus SHIT ---- Da man zu Beginn des sich selbst verschlüsselnden Boootblock-Virus immer Nuked007 lesen kann, wird der Virus manchmal Nuked007 genannt. Der Shit-Virus ist entfernt dem Byte-Bandit-Virus nachprogrammiert. War der ByteBandit ein meist funktionierender Bootblock-Virus, so stürzt der SHIT-Virus allerdings nach kurzer Zeit ab. Vorher werden jedoch die Files auf der Diskette mehr oder weniger beschädigt. Unter anderem werden auch $1400 Bytes ab Block 0 geschrieben. Der Virus macht sich über die Kick-Vektoren resetfest, wobei kein Identifikationstring verwandt wird. Es werden die Auto-Interrupts 1,2,3 und der Exec-Interrupt 3 (Vertikal Blank) verbogen. Die Disk-Infektionen werden durch einen verbogenen TD-BeginIO-Vektor ermöglicht. SS -- Es handelt sich strengenommen nicht um eine Virus, da keine neuen Disketten infiziert werden. Dennoch ist der SS störend, da er den Rechner nach insgesamt 25 Sekunden Drücken der linken Maustaste zum Absturz bringt. Da der SS-Bootblock mit eor.l #'!SS!' kodiert, kann man z.B. folgenden verräterischen Text nicht erkennen: Program by Adolf Hitler - Text by Göbbels Der SS kopiert sich nach $7c000 und macht sich über den COOL-Vektor resetfest. Nach dem nächsten Reset wird ein CIA-A Interupt eingehängt, wodurch bei jedem Tastendruck der COOL-Vektor auf den SS verbogen wird, Damit soll die Resetfestigkeit sichergestellt werden. Der Name der Interrupt-Node ist SS.install. Weiterhin wird ein Vertikal-Blank-Interrupt mit Namen SS.greetings eingehängt, wodurch 50 mal in der Sekunde geprüft wird, ob die linke Maustaste gedrückt ist. Wenn ja wird ein Zähler um 1 erhöht. Wenn der Zähler auf 1280 steht, wird eine Copper-Geafik ausgegeben: Auf einem schwarzen Hintergrund wird mit weißer Schrift ein Hakenkreuz, eine SS-Rune, ein Hakenkreuz und der Text your computer is infected by SS-Virus! ausgegeben. Aufgrund eines Programmierfehlers (jmp $219908) muß anschließend der Rechner resettet werden. Starfire/Northstar ------------------ Es gibt mehrere Versionen (z.B. OldNorthstar und NewNorthstar) und auch Nachahmer (wie z.B. Ripper-Virus). Es handelt sich hierbei um unsauber programmierte Bootblock-Viren, welche ab $7ec00 im Speicher stehen. Der STARFIRE/NORTHSTAR-Virus macht sich über den Cool-Vektor resetfest und überschreibt die Boot-Diskette mit dem STARFIRE/NORTHSTAR-Virus, falls sich ein älterer Virus, wie SCA oder ByteBandit auf der Diskette befindet. Der STARFIRE/NORTHSTAR soll also ein Anti-Virus sein. Er sollte dennoch gelöscht werden, da er resetfest ist und Bootblöcke überschreiben kann und somit also doch als VIRUS zu betrachten ist. SuperBoy -------- steht ab $7ec00 im Speicher, macht sich über Cool resetfest, infiziert nur Boot-Diskette, nach 7 Disk-Infektionen Alert SystemZ 3.0, 4.0, 5.0, 5.1, 5.3, 5.4 ------------------------------------ Es handelt sich um einen sogenannten Anti-Virus-Bootblock. Wenn die Boot-Diskette z.B. mit dem SCA oder ByteBandit-Virus infiziert ist, so wird mittels Alert ein Überschreiben des Bootblocks mit dem SystemZ-Virus angeboten. Wenn man die linke Maustaste beim Booten gedrückt hält, so wird ohne Rückfrage generell der Bootblock der Diskette mit dem SystemZ-Virus überschrieben. Hierin liegt die größte Gefahr des SystemZ-Virus. Es handelt sich um ein Bootblock-Virus, der etwas dem SCA-Virus gleicht. Er löscht den Cool-Vektor und macht sich über die Kick-Vektoren resetfest. Die residente Kick-Routine verbiegt den DoIO-Vektor auf SystemZ, um beim gleich folgenden Diskboot-Versuch die Boot-Diskette auf SCA und ByteBandit zu prüfen. Wenn positiv, kann mittels Alert ein Überschreiben des Bootblocks mit dem SystemZ-Virus angewählt werden (Left MouseButton: Kill the Virus). Nach der Prüfung der Boot-Diskette wird der DoIO-Vektor wieder rerstauriert. Es werden somit später beim Disketten-Einlegen keine Disketten geprüft bzw. infiziert. Der SYSTEMZ-Virus ersetzt nach Rückfrage einen z.B. SCA oder ByteBandit-Virus-Bootblock durch den SystemZ-Bootblock. Man kann daher den SystemZ-Virus als einen Anti-Virus betrachten. Wenn man jedoch beim Booten die linke Maustaste gedrückt hält, so wird generell jeder Bootblock überschrieben. Aufgrund dieser Eigenschaft muß man SystemZ als Virus betrachten. Ein weiterer Grund, den SystemZ-Virus zu entfernen liegt darin, daß er nur auf 512KB-Amigas 'korrekt arbeitet', da er sich im vermeintlichen Supervisorstack $7e800-$80000 einnistet. Drückt man während des Resets die rechte Maustaste, so wird der SystemZ-Virus entfernt. Eine kurze Tonfolge und Grafik zeigt den aktiven SystenZ-Virus an. Es gibt mittlerweile eine ganze Menge SystemZ-Viren, welche aber im Prinzip immer gleich arbeiten. SystemZ 3.0, 4.0, 5.0, 5.1, 5.3, 5.4 TELSTAR (SystemZ-V6.0) ---------------------- Die Texte, die man in diesem Bootblock lesen kann, lassen vermuten, daß ein SystemZ-V6.0-Bootblock vorliegt. Programmtechnisch besteht allerdings absolut keine Gemeinsamkeit mit den SystemZ-Bootblöcken. Der TELSTAR macht sich über den Cold und Cool-Vektor resetfest. Ein Teil der Daten sind kodiert. Aber auch nach der Dekodierung kann man die Daten nicht lesen, da sie der direkten Copper-Programmierung dienen. Der TELSTAR gibt nach 4 bzw. 2 Resets (Zähler in $c0) eine Copper-Grafik aus, in welcher man die holländische Flagge mit folgendem Text erkennen kann: TELSTAR Spreading is our business and business is good Ansonsten macht der TELSTAR nichts. Es handelt sich also nicht um einen Virus und auch nicht um einen Anti-Virus. Angenommen man versucht von einer mit dem Byte-Bandit infizierten Diskette zu booten. Die normalen SystemZ-Varianten weisen mittels Alert auf den Virus hin. Der TELSTAR hingegen überprüft den Bootblock nicht. Der Virus wird also installiert. SystemZ 6.1, 6.3, 6.4, 6.5 -------------------------- Bei SystemZ-6.1, 6.3, 6.4, 6.5 handelt es sich wieder um echte SystemZ-Bootblöcke. Diese neueren SystemZ-Varianten unterscheiden sich etwas von den früheren SystemZ-Varianten, denn wenn diese neueren SystemZ-Varianten einen Virus auf Diskette finden, dann wird nun folgende Meldung ausgegeben: Warning: Disk contains a Virus! Use install or an other program to remove the virus Diese neueren SystemZ-Varianten beschreiben also nie die Diskette, auch nicht automatisch, wenn man die linke Maustaste drückt. Diese neueren SystemZ-Varianten sind also ungefährlich. Die neuesten SystemZ-6.3, 6.4, 6.5 benutzen nun den Supervisorstack. Die früheren SystemZ benutzen willkürlich Speicher ab z.B. $7e800. Target ------ Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $70000 Speicher benutzt. Der Target-Virus löscht den Cold-Vektor und macht sich über den Cool-Vektor resetfest. Der Target-Virus prüft, ob von einer ganz bestimmten Diskette gebootet wird. Wenn ja, dann wird diese Boot-Diskette zum Großteil mit unsinnigen Daten überschrieben, also unbrauchbar gemacht. Normalerweise ist der Target-Virus also ungefährlich. Mit dem Target-Virus soll also gezielt jemandem Schaden zufügt werden. Termigator ---------- Es handelt sich um einen Bootblock-Virus, welcher nur mit Kickstart 1.2 läuft. Der Termigator-Virus macht sich über den Cool-Vektor resetfest und verbiegt den DoIO-Vektor, um jede eingelegte Diskette zu infizieren. Eine Festplatte kann unbrauchbar werden. Manchmal erscheint ein Alert mit folgendem Text: Only the TERMIGATOR'VIRUS makes it possible! Bye! Dieser Alert endet normalerweise in einem Reset. Wenn man aber R-ALT drückt und dann den Alert durch einen Mausklick beendet, und dann nacheinander die Tasten i l o v e g x v i r u s drückt, dann kann man normal weiterarbeiten. T.F.C. Revenge Virus -------------------- EXTREME-Abkömmling TIME-BOMB-V1.0 -------------- Da der TIME-BOMB-Virus nicht resetfest ist, und auch keine Disketten beim Einlegen infiziert, kann er sich also praktisch nicht unbewußt verbreiten. Der Name TIME-BOMB ist also unsinnig. Eine Gefahr droht nur dann, wenn der TIME-BOMB-Bootblock schon auf Disk drauf ist. Wenn man dann von dieser Disk bootet, wird nach dem zweitem Reset die Root-Spur der Boot-Diskette überschrieben, wodurch die Diskette unbrauchbar wird, (mit disksalv zum Großteil restaurierbar). Der TIME-BOMB-VIRUS ist mehr ein Bootblock-Virus-Versuch. Er ist insgesamt mäßig, unlogisch und wenig wirksam programmiert. Ferner benutzt er willkürlich Speicher ab $70000. Er kann zwar durch Überschreiben der Root-Spur der Boot-Diskette durchaus datenvernichtend wirken, aber dieser Fall wird eher selten auftreten, da sich der TIME-BOMB-VIRUS nicht selbständig auf andere Disketten verbreiten kann. TomatesGentechnicService ------------------------ programmtechnisch identisch TIME-BOMB. Lediglich der Text wurde abgeändert. The Traveller 1.0 ----------------- Es handelt sich um einen unsauber programmierten Bootblock-Virus, welcher ab $7f000 im Speicher steht. Am Ende des Bootblocks kann man den Virus-Namen lesen. Der Traveller 1.0 - Virus ist programmtechnisch nahezu identisch mit dem BlowJob-Virus. Näheres siehe also dort. Es besteht folgender Haupt-Unterschied: Der BlowJob-Virus gibt sich nach 10 Minuten mit folgender Alert-Meldung zu erkennen: ONCE AGAIN SOMETHING WONDERFUL HAPPENED (HE HE HE).. PLEASE POWER OFF - PLEASE POWER OFF - PLEASE POWER OFF Der Traveller-Virus gibt anstatt eines Alert eine Grafik aus, und zwar einen rot-grün-blauen Balken auf schwarzem Hintergrund, in welchem folgender Text zu lesen ist: NEVER HEARD OF VIRUSPROTECTION ???? - LAMER !!!! Dieser Text kann im Bootblock nicht gelesen werden, da im Bootblock lediglich die entsprechenden Copperlisten vorliegen. TRIPLEX ------- Es handelt sich um einen Bootblock-Virus, welcher sich über den COOL-Vektor resetfest macht. Weiterhin wird der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Man kann folgenden Text im Bootblock lesen: This nice little Virus was written in 1990 by Darth Vader of TRIPLEX!! TRISECTOR 911 ------------- Es handelt sich um einen Bootblock-Virus, welcher sich mit folgendem lesbarem Text im Bootblock als Anti-Virus-Programm tarnen will. This disk was installed with the TRISECTOR 911 virus-slayer! NO virus is safe for our killer... Signed: TRISECTOR 911 Virus problems??? Call 911 (Collect call) Der Virus steht ab $7F000 im Speicher und macht sich über KickTag, KickCheckSum resetfest, wobei andere Kick-resetfeste Programme wie z.B. RAD: verloren gehen. Es werden keine Kick-Identifikationsstrings verwandt. Nach dem nächsten Reset wird der DOIO-Vektor verbogen, um Disketten bereits beim Einlegen zu infizieren. Nach der ersten Disk-Infektion wird auch der Exec-Interrupt-3 verbogen, um nach 15 Minuten die Tastatur zu sperren. 07f00c:6000 bra.l $07f216 This disk was installed with the TRISECTOR 911 virus-slayer! NO virus is safe for our killer... Signed: TRISECTOR 911 Virus problems??? Call 911 (Collect call) TURK VIRUS 1.3 -------------- Es handelt sich um einen unsauber programmierten und sehr bösartigen Bootblock-Virus. Er verbiegt den Cool-Vektor, um sich resetfest zu machen. Weiterhin verbiegt er den DoIO-Vektor, um Disketten bereits beim Einlegen zu infizieren. Man kann den Virus entfernen, indem man während des Resets beide Maustasten und die F10-Taste drückt. Die erfolgreiche Virus-Entfernung wird durch einen Regenbogen-Effekt signalisiert. Nach dem Reset versucht der Virus 851968 Bytes zu belegen, diese Zahl erhöht sich bei jedem weiteren Reset um 425984. Nach 5 Resets oder 10 Disketten-Infektionen wird die Hälfte der Diskette formatiert. Nach dem Formatieren wird folgender Alert ausgegeben: Amiga Failure... Cause: TURK VIRUS Version 1.3! ACHTUNG: höchste Gefahr für Festplatten-Besitzer: Der TURK-Virus prüft nicht, ob sich der DoIO-Zugriff auch wirklich auf das trackdisk.device bezieht. Vielmehr versucht sich der Virus bei jedem 512 oder 1024-Lese oder Schreib-DoIO-Zugriff mit Offset 0 auf das jeweilige Device zu kopieren(=infizieren) oder gar eine Formatierung durchzuführen. Viele Festplattentreiber legen wichtige Festplattenverwaltungsdaten wie z.B Errorliste, Partitionsdaten, Mountliste usw. auf den unteren Zylindern ab. Diese werden hierbei überschrieben. Die Festplatte wird unbenutzbar!! TWINZ SANTA CLAUS ----------------- Coder-Abkömmling ULTRA-FOX --------- Der Virus macht sich über den Cool-Vektor resetfest. Es wird nur die Boot-Diskette infiziert. Nach 16 Resets gibt sich der Virus durch eine Copper-Grafik mit dem Text "UltaFox" zu erkennen VERMIN ------ Der VERMIN-Virus basiert auf dem SCA-Bootblock-Virus, Es bestehen lediglich folgende Unterschiede: Der Virus steht ab $7eb10 im Speicher, der SCA ab $7ec00. Beim SCA-Virus wird nach nach 15 infizierten Boot-Disketten eine Meldung ausgegeben. Diese fehlt beim VERMIN-Virus. Anstatt dessen besteht die zweite Hälfte des VERMIN-Virus-Bootblockes aus zufälligen Strahlenpositionswerten. Da diese immer verschieden sind, muß für jeden Bootblock eine neue Checksum berechnet werden. Man findet also ab Byteposition 12 des Bootblocks nicht mehr immer "CHW!", wie dies beim SCA fest der Fall war. VIRUS FIGHTER V1.0 ------------------ VKill1.0-Abkoemmling. Lediglich die Autorequest-Texte sind etwas anders, z.B. anstatt VKill 1.0 infection control nun VIRUS FIGHTER VERSION 1.0. Die Texte sind mit "1991" anstatt " Ken" verschlüsselt. VirusV1 ------- Es handelt sich um einen Bootblock-Virus, welcher ab $7EC00 im Speicher steht. Er macht sich über den COOL-Vektor resetfest und verbiegt den DOIO-Vektor, um Disketten bereits beim Einlegen zu infizieren. Alle 16 Disk-Infektionen erfolgt eine Copper-Grafik. Auf einem schwarzen Hintergrund erscheint folgender grüner Text: VIRUS Wir sind wieder daaahaaa.. Den Text "Wir sind wieder daaahaaa" kann man auch im Bootblock lesen. VKill 1.0 --------- VKill 1.0 versteht sich als ein Virus-Killer, der im Bootblock selber steht. VKill wird also aktiviert, indem man von einer Diskette bootet, auf deren Bootblock sich VKill befindet. Legt man nun eine mit dem SCA-Bootblock-Virus oder ByteBandit-Bootblock-Virus infizierte Diskette ein, so weist VKill 1.0 mittels Requester daraufhin, und bietet hierbei die Möglichkeit an, den Virus-Bootblock durch den VKill-Bootblock zu ersetzen. Legt man eine Diskette mit einem anderen nicht normalen Bootblock ein, dann weist VKill ebenfalls mittels Requester daraufhin. Folgende Texte können in den von VKill ausgegebenen Requestern erscheinen: VKill 1.0 infection control One less virus to kill Bootblock neutralized SCA virus detected! Byte Bandit virus detected! Bootblock code not normal Disk write protected Destroy Ignore Thanks Legt man eine Diskette mit einem normalen Bootblock ein, dann wird automatisch diese Diskette mit VKill infiziert. Es wird also ohne Rückfrage ein VKill-Bootblock geschrieben. Dies ist auch der Grund, warum man VKill als Virus betrachten muß. Erfreulicherweise infiziert VKill nur Disketten mit einem normalen Bootblock. Dadurch gehen also keine wichtigen Bootblöcke verloren. VKill macht sich über den Cool-Vektor resetfest. Der Virus-Code wird in den Supervisorstack kopiert. Es gibt bisher drei Möglichkeiten, wie sich Bootblock-Viren verbreiten: 1. Es wird der DoIO-Vektor in der exec.library verbogen oder 2. Es wird der BeginIO-Vektor im trackdisk.device verbogen. VKill benutzt nun eine neue bisher noch nicht verwendete Möglichkeit: 3. Es wird der PutMsg-Vektor in der exec.library verbogen. Alle drei Methoden führen zum "Erfolg", da das Betriebssystem beim Disketteneinlegen einen DoIO-Zugriff auf den Bootblock ausführt. Dieser DoIO-Zugriff geht dann im Betriebssystem in einen BeginIO-Zugriff weiter, dieser wiederum mündet letzendlich in einem PutMsg()-Aufruf. VKill ist also sehr interessant programmiert. Auch ist der Code recht sauber und optimiert programmiert, was ja bei Virus- oder Anti-Virus-Programmen oft nicht der Fall ist. Dennoch ist auch VKill nicht fehlerfrei, so wird z.B. in einer Schleife 1 LongWord über den reservierten 1024-Bytes-Speicherbereich hinaus geschrieben. Wenn VKill aktiv ist, dann spiegelt es anderen Programmen anstatt eines VKill-Bootblocks einen normalen Bootblock vor. Auch wegen dieser Verschleierungstaktik muß man VKill als Virus betrachten. WAFT ---- Es handelt sich um einen Bootblock-Virus, welcher sich über den COOL-Vektor restfest macht und den DOIO-Vektor verbiegt, um Disketten bereits beim Einlegen zu infizieren. Der aktive WAFT-Virus täucht anstelle seines Virus-Bootblocks einen normalen Bootblock vor. Nach einer gewissen Anzahl Disk-Infektionen stellt der Virus z.B. die Sprites ab oder läßt einen Alert mit folgendem Text erscheinen: ! ! W A F T ! ! Quality made in West-Germany Der Text ist nur im Speicher zu lesen, da er im Bootblock kodiert vorliegt. WARHAWK ------- Der WARHAWK-VIRUS ist ein unsauber programmierter Bootblock-Virus. Er macht sich über den Cool-Vektor resetfest. Bei dem nächsten Reset wird der DoIO-Vektor verbogen, um beim gleich folgenden Booten die Boot-Diskette zu infizieren. Danach wird der DoIO-Vektor wiederhergestellt, es wird also nur die Boot-Diskette infiziert. Nach jeweils 4 Resets meldet sich der Virus: Es erscheint eine nette Copper-Grafik-Spielerei, wobei folgender Scroll-Text ausgegeben wird: WARHAWK SAYS : KILLING YOUR DISKS WITH OUR VIRUS IS A WONDERFUL THING ! CONTACT : UCS, PLK 000257-A, 3457 STADTOLDENDORF ! HEY BAD ! FUCK OFF Warsaw Avenger -------------- Der Warsaw Avenger ähnelt sehr stark den Lamer-BootBlock-Viren. Der Hauptunterschied liegt in der fehlenden BootBlock-Verschlüsselung. Der Virus steht in einem zufälligen Speicherbereich im Supervisorstack. Er macht sich über KickTag, Kickchecksum komaptibel resetfest. Als Name der Kick-Struktur wird "Warsaw Avenger presents!!!" verwendet. Diesen Text kann man auch am Ende des BootBlocks lesen. Um die Kick-Resetfestigkeit zu erhöhen wird SumKickData() verbogen. Weiterhin wird der BeginIO-Vektor des trackdisk.devices verbogen, um Disketten bereits beim Einlegen infizieren zu können. Neben dem Überschreiben des BootBlockes werden auch zufällige Blöcke mit "Warsaw" überschrieben. ZACCESS V1.0 ------------ 16-Bit-Abkömmling ZACCESS V2.0 ------------ ByteBandit-Abkömmling ZACCESS V3.0 ------------ Extreme-Abkömmling Z.E.S.T ------- Es handelt sich um einen L.A.D.S - Abkömmling. Es bestehen lediglich folgende Unterschiede: Anstatt nach 5 Disketten-Infektionen die X/Y-Maus-Koordinaten zu invertieren, kann nun die Maus nur noch vertikal verschoben werden. In dem Bootblock kann folgender Text gelesen werden, mit welchem sich der Virus als Anti-Virus-Bootblock tarnen will: Z.E.S.T is the B.E.S.T Virus-Killer ever made!!! finds 211 Viruses including the dangerous Nasty-Virus !!! Zombi I ------- Es handelt sich um einen Bootblock-Virus welcher ab $7a000 im Speicher steht und sich über den COOL-Vektor resetfest macht. Es wird nur die Boot-Diskette infiziert. Hierzu wird kurzzeitig der DOIO-Vektor verbogen. Festplatten sind normalerweise nicht gefährdet. Nach 15 Boot-Disketten-Infektionen gibt sich der Zombi I - BootBlock-Virus zu erkennen. Es erscheint der folgende Alert: Hello AMIGA User !!!!! HERE IS ZOMBI I If you want to clean your Disks use Zombie I without risks ! Dieser Text ist im Bootblock nicht lesbar, da er kodiert vorliegt. Vor dem Erscheinen dieses Alerts wurde der Diskettenname in Zombi I umgeändert, indem ein neuer RootBlock und BitMapBlock geschrieben wurde. Hierbei wird allerdings recht grob zu Werke gegangen, so daß meist eine fehlerhafte Diskette resultiert. Mit z.B. disksalv sollten sich jedoch die Daten retten lassen. 2. File-Viren ============== a. echte Viren mit Infektionsroutine, um neue Datenträger zu infizieren ----------------------------------------------------------------------- AMIGAKNIGHTS ------------ Es handelt sich um ein 6048 Byte langes Programm. Es bestehen sehr starke Ähnlichkeiten mit dem Butonic-File-Virus. Der AMIGAKNIGHTS-File-Virus macht sich über die Kick-Vektoren resetfest, wobei aber der Virus auf Amigas mit Fast-Mem meist nicht resetfest ist. Als Kick-Identifikationsstring wird Daten-Müll benutzt. Der AMIGAKNIGHTS-File-Virus verbiegt weiterhin den DOIO-Vektor, um Disketten beim Einlegen zu infizieren. Hierbei wird das Virus-File unter dem Namen initial_cli in das Basisverzeichnis der ein- gelegten Diskette geschrieben. Weiterhin wird initial_cli an den Anfang der Startup-Sequence geschrieben, damit das Virus-File bei jedem Booten aufgerufen wird. Nach 5 Resets gibt sich der Virus zu erkennen. Es erscheint der folgende rosafarbene Text auf schwarzem Hintergrund: YEAH, THE INVASION HAS STARTED! YOUR TIME HAS RUN OUT, AND SOON WE WILL BE EVERYWHERE! THIS IS GENERATION 0039 OF THE EVIL AMIGAKNIGHTSVIRUS GREETINGS TO DUFTY, DWARF, ASID CUCUMBER ASTERIX, ANDY, AND ALL AMIGIANS I KNOW Zwischen diesen beiden Textblöcken wird eine mittelmäßige Vektor-Grafik angezeigt, wobei folgender Text erscheint: Toco of THE AMIGAKNIGHTS Sollte ein AMIGAKNIGHTS-Virus-File gefunden werden, dann können Sie dieses Virus-File löschen lassen. Sollte in der ersten Zeile der Startup-Sequence initial_cli stehen, dann werden diese Zeichen mit Leerzeichen überschrieben, wodurch das AMIGAKNIGHTS-Virus-File beim Booten nicht mehr aufgerufen wird. Anti-EuroMail-File-Virus ------------------------ Es handelt sich um einen File-Virus, das heißt, der Virus steht in einem File. Der Anti-EuroMail-File-Virus wurde unter dem Namen QuickInt in das Zerberus-Netz gesetzt. QuickInt kann man also auch als Trojanisches Pferd betrachten. Beim Aufrufen des Files wird der Virus aktiviert. Hierbei gibt der Virus folgende Meldung aus: Unable to load : object not of required type Damit soll der User in Sicherheit gewogen werden, da dieser nun glaubt, daß das Programm vom Amiga-Betriebssystem nicht ausgeführt werden konnte, und daß somit auch keinerlei Gefahr bezüglich einer eventuellen Virus-Aktivierung bestehen kann. Dennoch ist der Virus jetzt aktiv und erstellt einen Prozess namens "clipoard.device". Weiterhin schreibt der Virus nun an den Anfang der Startup-Sequence $a0$0a und erstellt im C-Verzeichis ein 3196 Byte langes Virus-File unter dem Namen $a0, allerdings nur wenn als Name EM, EUROMAIL oder EUROSYS vorliegt. Dadurch wird der Virus also trotz fehlender Resetfestigkeit bei jedem Booten wieder aktiviert. Zumindest war dies so geplant, denn der mir vorliegende Anti-EuroMail-File-Virus weist einen Fehler auf, denn er setzt bei seinem C:$a0-Virus-File mittels protect nur das w-Flag und d-Flag. Da das r-flag gelöscht ist, kann das Virus-File beim Booten nicht eingelesen und auch nicht ausgeführt werden. Die Abarbeitung der Startup-Sequence bricht mit einer Fehlermeldung ab. Dies gilt jedoch nur unter Kickstart 2.0 oder beim Booten von einer FFS-Festplatten-Partition. Wenn unter Kickstart 1.3 von einer Diskette gebootet wird, dann werden die protection-bits ignoriert und der Virus ist funktionsfähig. Der Anti-EuroMail-File-Virus liegt als ein im MasterMode des PowerPacker gepacktes loadfile vor. Hierdurch sollen verräterische Texte versteckt werden. Die Filelänge beträgt 3196 Bytes, entpackt 3888 Bytes. Der File-Inhalt von $a0 und QuickInt ist 100% identisch. Das wirklich Bösartige an dem Anti-EuroMail-File-Virus ist, daß er nach einigen Minuten alle Files in einem eventuellen EM: oder EUROMAIL: oder EUROSYS: - Verzeichnis mit unsinnigen Daten überschreibt. Der Virus schädigt also hauptsächlich EuroMail-Besitzer. Überprüfen Sie also die erste Zeile Ihrer Startup-Sequence auf das Vorhandensein einer eventuellen Leerzeile und löschen Sie diese Zeile. BGS9-File-Virus I+II+III ------------------------ Der BGS9-Virus ist ein relativ ungefährlicher und neuartig programmierter Virus. Es handelt sich um einen sogenannter File-Virus. Das heißt, der Virus verbreitet sich direkt als File. Dieses Virus-File ist 2608 Bytes lang und hat den Namen des ersten Files der Startup-Sequence. Das frühere Original-File steht nun unter einem unlesbaren Namen in devs: (devs:a0a0a0202020a0202020a0). Der BGS9-Virus wird also in der Regel automatisch beim Abarbeiten der Startup-Sequence aktiviert. Hierbei macht sich der Virus, wenn noch nicht geschehen, über Kick-Mem, Kick-Tag resetfest. Hierbei werden andere Kick-resetfeste Programmen, wie z.B. RAD: nicht gelöscht. Der BGS9-Virus ist auch in anderer Hinsicht flexibel programmiert, daß heißt, er arbeitet auch mit FastMem oder Kickstart 1.2 und 1.3. Nachdem sich der Virus also resetfest gemacht hat, wird nun, um unauffällig zu bleiben, das eventuelle früheres Original-File in devs: ausgeführt. Beim Ausführen des Virus-Files passiert also außer dem Resetfestmachen und der Ausführung einen eventuellen devs:Original-Files nichts!! Die Verbreitung des Virus erfolgt beim Bootvorgang. In der resetfesten Kick-Routine wird der OpenWindow-Vektor verbogen. Beim nächsten OpenWindow-Aufruf wird nun zuerst versucht, das File devs:a0a0a0202020a0202020a0 zu öffnen. Wenn dies fehlschlägt, ist die vorliegende Diskette noch nicht infiziert. In diesem Falle wird nun aus sys:s/Startup-Sequence der erste Filenamen geholt und dieses File, notfalls unter Hinzufügung von c/, in devs:a0a0a0202020a0202020a0 umbenannt. Anschließend wird unter dem Original-Filenamen das 2608-Byte lange Virus-File erstellt. Bei einer schreibgeschützten Diskette erscheinen keine verräterische System-Requester, da diese zuvor durch Setzen von WindowPrt auf -1 verboten wurden. Es wird nun wieder der OpenWindow-Vektor restauriert und bei jedem 4 Reset eine Bildschirmmeldung ausgegeben. Bis zum nächsten Reset passiert nun absolut nichts mehr!! Der BGS9-Virus ist also recht einfach entfernbar, indem man das erste File der Startup-Sequence, welches 2608 Bytes lang ist, löscht. Danach kopiert man das Original-File aus devs: mittels eines Disketten-Hilfsprogramms unter den Original-Namen zurück. Wenn eine Diskette kein devs-Verzeichnis besitzt, dann ordnet das Betriebssystem devs: dem Basisverzeichnis zu. In diesem Fall wird mit devs: also das Basisverzeichnis angesprochen, und das Originalfile wird auch hier abgelegt. Es gibt eine Abart des BGS9-File-Virus (BGS9-II), welcher anstelle devs:a0a0a0202020a0202020a0 devs:a0e0a0202020a0202020a0 verwendet. e0 ist als einziges Zeichen als à sichtbar. Ein weiterer BGS9-Abkoemmling (BGS9-III), verwendet anstelle devs:a0a0a0202020a0202020a0 devs:a0 Noch ein Wort zu VirusX4.01 usw.: VirusX4.01 geht nach folgendem Prinzip vor. Wenn in devs: ein vom BGS9-Virus verstecktes File gefunden wird, dann nimmt Virusx4.01 starr an, daß nun unter dem ersten Filenamen der Startup-Sequence das BGS9-Virus-File steht. Dies muß aber nicht so sein, denn oftmals wird ja die Startup-Sequence abgeändert usw. Wenn nun mittlerweile ein harmloses Programm als erstes File in der Startup-Sequence steht, dann kann VirusX4.01 natürlich den BGS9-Virus hier nicht finden, stattdessen behauptet VirusX, es läge ein BGS9-ähnlicher Virus vor. Dadurch werden völlig saubere Programme in Mißkredit gebracht. Bei einer frisch infizierten Diskette stimmen die Aussagen von VirusX, bei einer älteren und abgeänderten Diskette aber steht womöglich nur noch das unsichtbare Original-File im devs-Verzeichnis, die ganze Diskette aber ist sauber, dennoch weist VirusX auf einen Virus hin. Das Ganze ist durchaus gut gemeint von VirusX, führt aber oftmals zu Fehlschlüssen. BLUEBOX-icon.library -------------------- Wenn man das 5608 Byte lange, PowerPacker-artig gepackte, Bluebox-Programm startet, dann wird eine bestehende libs:icon.library durch eine 6680 Byte lange gleichnamige Virus-library ersetzt. Danach erscheint das eigentliche BLUEBOX-Programm-Fenster. Der eigentliche Virus befindet sich in der icon.library. Beim nächsten Booten wird beim Ausführen des loadwb-Befehls die icon.library vom Betriebssystem automatisch aufgerufen, wodurch dann auch der Virus aktiviert wird. Unter Kickstart2.0 befindet sich die icon.library im ROM, so daß eine etwaige icon.library auf Diskette ignoriert wird. Unter Kickstart2.0 wird der BLUEBOX-Virus also nie aktiv. Unter Kickstart1.3 wird der Virus allerdings aktiviert. Hierbei wird ein Prozess mit dem unauffälligen Namen "input.device " erstellt und es wird weiterhin der Interupt-5 (Eingabepuffer des seriellen Ports voll) verbogen. Der BLUEBOX-Virus scheint also nicht direkt schädlich zu sein. Allerdings kann es zu Problemen bei der Benutzung von DFÜ-Programmen kommen, da der BLUEBOX-Virus die serielle Datenübertragung stören kann, da er sich nicht an die üblichen Programmierrichtlinien für das serielle Device hält, sondern die Hardware direkt anspricht. Ein BLUEBOX-Programm soll ein kostenloses Telefonieren ermöglichen. Hierzu werden unter anderem gewisse Töne generiert. Nur wenige Leute werden sich dieser kriminellen und unzuverlässigen Methode bedienen, zumal sich die Details diese Methode ändern. Es werden also des öfteren neue BLUEBOX-Programme erforderlich, womit also das vorliegende BLUEBOX-Programm wohl eh veraltert ist. BRET-HAWNES-File-Virus ---------------------- Es handelt sich um einen File-Virus, das heißt, der Virus steht in einem eigenen File. Der Virusname BRET HAWNES rührt daher, daß man am Ende des 2608 Byte langen Files folgenden Text lesen kann: U LIKE MY FIRST LINKVIRUS ? DONE BY BRET HAWNES 210290 Entgegen dieser Meldung handelt es sich aber bei dem BRET-HAWNES-Virus nicht um einen Link-Virus, sondern um einen File-Virus. Wenn man das BRET-HAWNES-Virus-File aufruft, dann kopiert sich der Virus nach $7f000 und macht sich als alleiniges Programm über die Kick-Vektoren resetfest. Der Cool-Vektor wird gelöscht. Interessant wird es nach dem nächsten Reset. Hierbei wird der OldOpenLib()-Vektor verbogen, um auf einen OldOpenLib("intuition")-Zugriff zu prüfen. Wenn dies der Fall ist, wird der OpenWindow()-Vektor der intuition.library verbogen. Beim ersten Aufruf der OpenWindow()-Funktion wird nun eine Infektion versucht. Anschließend wird der OpenWindow-Vektor wieder restauriert. Der OldOpenLib()-Vektor bleibt verbogen, was nun aber keine Konsequenzen mehr hat, da nun auf eine unmögliche Library geprüft wird. Der langen Rede kurzer Sinn, nach jedem Reset wird ein Infektionsversuch unternommen. Dieser sieht folgendermaßen aus: Der Virus trägt den Aufruf seines Virus-Files in s/Startup-Sequence ein. Sollte die Startup-Sequence länger wie 1024 Bytes sein, dann werden die restlichen Bytes einfach abgeschnitten. Die Startup-Sequence beginnt nun mit $c0a0e0a0c00a. Das Virusfile mit Namen $c0a0e0a0c0 wird nun also nach jedem Reset durch diese 6 Bytes (5 Bytes Virusfilename + 1 Linefeed) zu Beginn der Startup-Sequence aufgerufen. Nachdem also die Startup-Sequence abgeändert wurde, wird nun noch das eigentliche 2608 Bytes lange Virusfile $c0a0e0a0c0 im Basisverzeichnis erstellt. Weiterhin verbiegt der Virus den Autointerrupt 3 ($6c), um nach 20 Minuten folgende Meldung in weißer Schrift auf blauem Hintergrund auszugeben: GUESS WHO'S BACK ??? YEP. BRET HAWNES BLOPS YOUR SCREEN I'VE TAKEN THE CONTROL OVER YOUR AMIGA !!! THERE'S ONLY ONE CURE: POWER OFF AND REBOOT ! ! ! ! ! Diesen Text kann man in dem Virus-File nicht lesen, da es sich um direkte BitMap-Daten handelt, welche mittels direkter Copper-Programmierung sichtbar werden. Ein Weiterarbeiten ist nun nicht mehr möglich. Ein Auschalten des Computers wird also nötig. Wenn die zehnte Diskette infiziert wurde, dann wird diese anschließend teilweise formatiert und es erscheint die eben erwähnte Meldung. Dieses Formatieren ist das eigentlich Bösartige des BRET-HAWNES-File-Virus. BUTONIC-JEFF-Virus V1.31 + V3.00 + V3.10 ----------------------------------------- Der BUTONIC-JEFF-Virus trägt diesen Namen, weil bei einem Reset manchmal folgende Alert-Meldung ausgegeben wird: HI. JEFF's speaking here ... (w) by the genious BUTONIC V 3.00/9.2.89-Gen.00025 Greetings to *Hackmack*,*Atlantic*, & Alex,Frank,Wolfram,Gerlach,Miguel,Klaus,Snoopy-Data! Das Erscheinen des Alert ist unregelmäßig, da das Erscheinen auch von einem Zufallswert (Strahlenposition) abhängig ist. Durch gleichzeitiges Drücken beider Maustasten und der y-Taste kann man jedoch das Erscheinen des Alerts erzwingen. Bei jedem zweiten Einlegen einer nicht schreibgeschützten Diskette wird der Titels des aktuellen Windows verändert. Diese Änderung wird allerdings erst nach einer Veränderung des Windows sichtbar (also z.B. wenn man das Sizing oder Window-Depth-Gadget betätigt). Folgende WindowTitel können erscheinen: Ich brauch jetzt Alk'! Bitte keinen Wodka! Stau auf Datenbus bei Speicherkilometer 128! Mehr Buszyklen für den Prozessor! Ein dreifach MITLEID für Atari ST! ©89 by BUTONIC PC/XT: Spendenkonto 004... Freiheit für den Tastaturprozessor! C für Looser Paula meint, Agnus sei zu dick. Die CPU braucht etwas Schmieröl C64 - jetzt mit Pampers im 3erPack JEFF=ungefährlich+schützt vor Viren Sowohl der Alert-Text wie auch die Window-Titel liegen kodiert vor und sind dadurch mit einem Filemonitor oder Diskettenmonitor nicht zu erkennen. Der BUTONIC-JEFF-Virus-V3.00 hat absolut nichst mit dem DASA-Bootblock-Virus gemein. Es ist vielmehr purer Zufall, daß DASA im Virusprogramm steht. Zufälligerweise erscheint eine gewisse Programmstruktur in ASCII-Darstellung als DASA. Der BUTONIC-JEFF-Virus-V3.00 ist nicht direkt bösartig. Es handelt sich um einen sogenannten File-Virus. Das heißt, der Virus steht konkret in einem File und wird durch den Aufruf dieses Programms aktiviert. Der Aufruf des Virus-Programms wird dadurch sichergestellt, indem dieser Aufruf an den Anfang der Startup-Sequence geschrieben wird. Der Filename des BUTONIC-JEFF-Virus-V3.00 lautet $a0a0a0, er besteht also aus unsichtbaren Leer-Zeichen. Hierdurch wird oftmals das Vorhandensein des zusätzlichen Virus-Files übersehen. Beim Aufruf des Virus-Files, welches 2916 Bytes lang ist, werden DoIO, KickTag und KickChecksum verändert. DoIO wird verbogen, um soeben einlegte Disketten infizieren zu können. KickTag und KickChecksum wird verändert, um sich resetfest zu machen. Leider werden hierbei andere Kick-resetfeste Programme wie RAD: oder turboprint herausgeworfen. Beim nächsten Disketten-Einlegen wird dann noch Cold und Cool gelöscht. Der BUTONIC-JEFF-Virus ist nun also das einzige resetfeste Programm. Man kann den Virus aus dem Speicher entfernen, indem man beim Disketteneinlegen beide Maustasten und L-ALT und L-AMIGA drückt. Der Virus infiziert nur Disketten!! Weiterhin werden nur Disketten mit einer Startup-Sequence infiziert, welche kürzer als 480 Bytes ist. Es wird immer versucht beim Booten die Boot-Diskette zu infizieren. Weiterhin wird bei jeder zweiten eingelegten Diskette ein Infektions-Versuch unternommen. Wird beim Disketten-Einlegen L-Amiga gedrückt, so wird jedes Mal ein Infektionsversuch unternommen. Wird beim Disketten-Einlegen L-Shift gedrückt, so wird nie ein Infektionsversuch unternommen. Der BUTONIC-JEFF-Virus greift direkt mittels des trackdisk.devices auf die Diskette zu. Es werden also keine Open, Write usw. Befehle der dos.library benutzt. Diese Methode ist recht schwierig zu programmieren, da man vollkommen von Hand die komplizierte Amiga-DOS- Disketten-Verwaltung nachbilden muß. Deswegen auch die doch recht lange Virus-Filelänge von 2916 Bytes. Man muß dem BUTONIC-JEFF-Virus-Programmierer also durchaus beachtliche Programmierkenntnisse bescheinigen. Bedauerlich, daß sie für Virenprogrammierung verschwendet werden. Allerdings kann es in seltenen Fällen auch zu Disketten-Fehlern kommen, wenn das Amiga-DOS gleichzeitig mit dem Virus die Diskette beschreibt. Es wäre denkbar, daß beide die gleichen Blöcke beschreiben, da beide ja nicht zusammenarbeiten. Trotz der recht sauberen Programmierung ist dennoch ein schwerwiegender Fehler vorhanden. Auf Rechnern mit echtem FastRam wird der Virus nämlich meist nicht resetfest sein, da die Kick-Struktur im am höchsten priorisierten Speicher angelegt wird. Bei einem Reset werden aber nur Kick-Strukturen im Chip- und Ranger-Memory gefunden. Die Kick-Struktur kann also nicht gefunden werden, und der Rechner bleibt hängen. Aber man darf diesen Fehler wohl eher als einen Vorteil betrachten, da dadurch der Virus nicht mehr resetfest ist. Ein Vorgänger des Butonic V3.00 war der Butonic V1.31. Im Prinzip arbeiten beide File-Viren gleich. Es existieren folgende Unterschiede: Der Butonic V1.31 verbiegt auch noch Auto-Interrupt 2 und speichert das Virus-File unter mehreren verschiedenen Namen ab: AddBuffers, Add21K, Fault, break, changetaskpri, wait, $a0, $a0$a0$a0, Arthus, Helmar, Aloisius. Der Butonic V3.00 ist besser programmiert und auch die Textmeldungen lauten geringfügig anders. Es wird nicht mehr der Auto-Interrupt 2 verbogen und es wird das Virus-File immer nur unter dem Namen $a0$a0$a0 erstellt. DARTH VADER ----------- Dieser 784 Byte lange File-Virus tritt unter dem unlesbaren Namen $A0 auf. Sollte man dieses File renamen, dann stürzt dieses renamte File beim Starten ab, da der DARTH VADER-Filevirus fest von einem Filenamen $A0 ausgeht. Den Inhalt dieses Virus-Files legt er in einem Puffer ab. Weiterhin macht sich der Virus über den COOL-Vektor resetfest, was aber in Gegenwart von Fast-Mem versagt. Nach dem Reset wird der OldOpenLibrary-Vektor verbogen. Wenn nun später ein Programm diesen OldOpenLibrary-Vektor aufruft, dann schreibt sich der Virus unter dem Filenamen $A0 auf die Diskette. Weiterhin wird in die erste Zeile der Startup-Sequence $A00A eingefügt, womit der Aufruf des Virus sichergestellt wird. Nach sechs Infektionen gibt sich der Virus zu erkennen, indem folgender Text ausgegeben wird. VIRUS(V1.1) BY DARTH VADER DISASTER-MASTER V2 - Virus -------------------------- Es handelt sich um einen FILE-VIRUS, das heißt, der Virus steht in einem Programm und wird durch das Starten dieses Programms aktiviert. Man erkennt den Virus durch das Vorhandensein eines 1740 Byte langen Files namens cls im c-Verzeichnis, welches automatisch durch den ersten Befehl der Startup-Sequence cls * aufgerufen wird. Erfreulicherweise ist dieser Virus nicht direkt bösartig. Wenn man das cls-Programm aufruft, macht sich der Virus durch Verändern von KickTagPtr und KickCheckSum resetfest. Hierbei werden allerdings andere Kick-resetfeste Programme wie z.B. RAD: oder turboprint entfernt. Solche Programme sind also nach dem nächsten Reset nicht mehr vorhanden. Beim Aufrufen des Programms wird gemäß des Basic-Befehls CLS der Bildschirm gelöscht. Durch dieses Verhalten tarnt sich also der Virus. Ruft man cls jedoch mit * auf, dann wird der Bildschirm nicht gelöscht. Hiervon macht der Virus selber Gebrauch, denn er ändert, wie weiter unten beschrieben, die Startup-Sequence dahingehend ab, daß er als ersten Programmaufruf cls * hineinschreibt. Würde er nur cls schreiben, dann würde sich der Virus doch sehr schnell durch das Löschen des Bildschirms verraten. Beim Aufrufen des Virus-Programms werden also lediglich die beiden Kick-Vektoren verändert. Sonst passiert nichts! Interessant wird es erst beim nächsten Reset. Beim Abarbeiten der rt_init-Routine der resetfesten Kick-struktur wird der DoIO-Vektor verbogen, damit der Virus beim gleichfolgenden Disketten-Bootversuch wieder angesprungen wird. Hier wird nun der Cold und Cool-Vektor gelöscht und der Virus macht sich sicherheitshalber noch einmal resetfest. Dann wird der DoIO-Vektor wieder restauriert, dafür wird nun aber der OpenWindow()-Vektor verbogen, damit der Virus vor dem gleich folgenden Öffnen des AmigaDOS-CLI-Windows noch einmal angesprungen wird. Hier nun findet die Disketten-Infektion bzw. die Weiterverbreitung des Virus statt. Ein früherer Zeitpunkt ist auch nicht möglich, da dann die dos.library noch nicht eingerichtet wäre. Es wird nun zuerst der OpenWindow-Vektor wieder restauriert und dann ein Infektionsversuch unternommen. Erfreulicherweise geht der Virus hierbei recht behutsam vor. So wird geprüft, ob die Diskette validiert und beschreibbar ist, und ob auch noch genügend Platz vorhanden ist, um das cls-Programm aufzunehmen. Diese Prüfungen werden natürlich auch aus dem Grunde unternommen, um dem Erscheinen von verräterischen System-Requestern vorzubeugen. Wenn keine :s/Startup-Sequence oder kein c-Verzeichnis vorhanden ist, erfolgt keine Infektion. Andernfalls wird das eigentliche Virus-Programm unter dem Namen cls im Verzeichins :c erstellt. Danach wird der Virus-File-Aufruf cls * als erste Zeile in die Startup-Sequence geschrieben. Die ursprüngliche Startup-Sequence wird dann angehängt. Es wird nun bei jedem Booten beim Abarbeiten der Startup-Sequence automatisch der Virus aktiviert. Der Virus kann sich deswegen verbreiten, weil er resetfest ist. Hierdurch kann er sich also auf noch nicht infizierte Boot-Disketten kopieren. Der Virus infiziert auch eine Festplatte. Man entfernt den Virus einfach durch Löschen des Virus-Files :c/cls und durch Löschen des Aufrufs in der Startup-Sequence cls * Wenn die Infektion erfolgreich verlief, wird ein Zähler um 1 erhöht. Nach 20 erfolgreichen Infektionen gibt sich der Virus dann offen zu erkennen. Es wird ein Alert ausgegeben. Software Failure. Press left mouse button to continue Guru Meditation #00000002.06001989 Nach Drücken der rechten oder linken Maustaste erscheint ein zweiter Alert Incoming special-message Your Amiga is infected by DISASTER-MASTER V2 !!! probably the best virus ever created by mankind Left = continue Right = self-destruction... Nach Drücken der linken Maustaste wird normal weiter gebootet. Nach Drücken der rechten Maustaste erscheint ein Farbmuster auf dem Schirm. Man kann die Anzeige dieses Farbmuster nur durch Reset verlassen. Man ist nun aber in einer Reset-Endlosschleife gefangen und kommt nicht umhin, den Amiga ganz auszuschalten. Die Alerts erscheinen also recht selten. Der Virus gibt sich nun aber auch noch durch folgendes Verhalten zu erkennen. Er manipuliert zufallsgesteuert (Rasterzeile) das gleich erscheinende AmigaDOS-CLI-Window, indem er die newWindow-Struktur verändert. So wird entweder die Titelzeile verändert oder die Windowgröße auf 320,32 gesetzt oder aber der BlockPen auf 3 gesetzt oder als letzte Möglichkeit ein rahmenloses Window definiert. Bis zum nächsten Reset passiert nun nichts mehr. Der DISASTER-MASTER V2 - Virus ist für ein Virus-Programm bemerkenswert sauber programmiert. Der Code ist allerdings nicht sonderlich optimiert, da z.B. short-branches und moveq-Befehle nicht konsequent genutzt werden. Wenn Ihr Amiga über echtes Fast-Mem (z.B.$200000-$400000) verfügt, dann ist der DISASTER-MASTER V2 - Virus meist nicht resetfest. Vielmehr bleibt Ihr Amiga dann meist in der Resetroutine hängen. Der Grund hierfür liegt in einem Programmierfehler. Das Betriebssystem sucht nach Resident-Strukturen nur in $0-$200000 und $c00000-$dc0000. Da der DISASTER-Master V2 bei seiner Installierung keinen speziellen Speicher anfordert, wird die Kick-Struktur meist im höher priorisierten Fast-Mem angelegt. Hier kann sie bei einem Reset aber nicht gefunden werden. Negativ anzumerken ist auch, daß alle sonstigen resetfesten Programme gelöscht werden. Aber dieses geschieht wohl eher absichtlich. Dieser Virus gibt sich durch Ansehen des Programms mit einem Filemonitor nicht zu erkennen, da die Texte kodiert vorliegen. Der DISASTER-MASTER V2 - Virus wurde auch über ein Trojanisches Pferd namen Intro-Maker V1.00 by TCR verbreitet. MemCheck v8.1(Liberatorv1.21) ----------------------------- Wenn man das 10936 Byte lange File startet, dann wird folgender Text ausgegeben: <<<<<<<< MemCheck v8.1 - August 1991 >>>>>>>> THIS PROGRAM IN THE STARTUP-SEQUENCE WILL KILL ALL VIRUSES <> ^^^^^ MEMORY CLEAR ------ NO VIRUS ------ MEMORY CLEAR. DISK-VALIDATORS CLEAN ------ NO VIRUS ------ DISK-VALIDATORS CLEAN Wenn man das Programm mit dem Parameter s startet, dann unterbleibt die Textausgabe. Der Virus schreibt MemCheck s an den Anfang von DF0:s/Startup-Sequence, damit er nach jedem Booten automatisch aufgerufen wird. Weiterhin wird in SYS:.FastDir ein Zähler angelegt, um nach 15 Infektionen einen Alert auszugeben. In dem Virus-File kann man folgenden Text lesen: Congratulations your hard disk has been liberated of virus protection!! Hello from the Liberator virus v1.21. The anti-anti-virus is born! Lets play trash the hard disk and ram the disk heads I`m outta here, kiss mine you lamer! Angeblich soll es sich also um ein Anti-Anti-Virus-Programm halten, welches Anti-Virus-Programme entfernt. Darauf deutet auch der folgende Text, welcher ebenfalls im dem Virus-File steht: ZeroVirus VIRUSEXPERT VirusKiller(PvL) ZeroVirusIII Virus_Checker Master_Virus_Killer_v2.1 BLVC Berserker BerserkerV5.0 Ich bin der Frage, wie und ob überhaupt MemCheck Anti-Virus-Programme entfernt nicht weiter nachgegangen, da MemCheck auch allgemeine Daten- verluste für die Festplatte androht (Lets play trash the hard disk). Ein allgemeiner Hinweis: Man sollte ein Programm, dessen Sinn und Herkunft unklar ist, nur mit besonderer Sorgfalt starten, also alle Disketten schreibschützen und eine eventuelle Festplatte auschalten. (leider ist letzteres nicht immer möglich). NaST ---- ein BGS9-Abkoemmling. Es wird allerdings auch FindTask(), OldOpenLibrary(), OpenLibrary() und Interrupt3 verbogen. Das Originalfile wird nach c/A020A020A020202020A0202020A0 verschoben. NoVi ---- Terrorist-Abkoemmling, statt TTV1 NoVi. Original-File wird nach c/.fastdir$a0 verschoben. RevengeOfTheLamerExterminator ----------------------------- Neben den bekannten Lamer-Bootblock-Viren gibt es neuerdings auch einen Lamer-File-Virus. Sein Name ist "RevengeOfTheLamerExterminator", gemäß dem 3-seitigen Alert, welcher nach 8 Minuten erscheint. Hierbei werden auch alle eingelegten und nicht schreibgeschützten Disketten formatiert. Der "RevengeOfTheLamerExterminator" ist kein Bootblock-Virus, denn er verbreitet sich nicht über den Bootblock, sondern er verbreitet sich mit Hilfe der Startup-Sequence. Hierzu schreibt er sich als normales Programm unter dem Namen $a0a0a0a0a0 auf Diskette und schreibt zusätzlich in die Startup-Sequence $a0a0a0a0a0. Der Virus wird nun also beim Abarbeiten der Startup-Sequence aktiviert. $a0a0a0a0a0 erscheint lediglich als Leerzeile und wird dadurch leicht übersehen. Der RevengeOfTheLamerExterminator tritt in mindestens zwei, allerdings nur unwesentlich verschiedenen, Versionen auf. Beide Versionen sind nicht fehlerfrei programmiert, so daß manchmal beim Infizieren der Diskette das Inhaltsverzeichnis zerstört wird. Hierbei wird oftmals ein Endlosverzeichnis erstellt. Als Folge davon kann es nun vorkommen, daß sich der Rechner in dieser Endlosschleife verfängt, bevor er auf das Virus-File stößt. Man kann in diesem Fall den Virus also nicht erkennen. Auch wird manchmal ein Virus-File erstellt, auf welches unter Kickstart 1.2/1.3 nicht mit der üblichen ExNext-DOS-Funktion zugegriffen werden kann. Das File wird also nicht erkannt. Dennoch ist es aber vorhanden und kann auch gestartet werden. Da aber VIRUS CONTROL bei jeder eingelegten Diskette die Startup-Sequence nach unsichtbaren Sonderzeichen überprüft, werden Sie auch in diesem Fall auf die Virus-Infektion hingewiesen. Terrorists-File-Virus --------------------- Der Terrorists-Virus ist fast identisch mit dem BGS9-Virus. Es gelten daher die beim BGS9-Virus gemachten Aussagen. Lediglich die folgenden Unterscheide sind vorhanden: Terrorists-Virus BGS9-Virus ---------------- ---------- 1. nach 12 Resets folgende Meldung: nach 4 Resets folgende Meldung: the names have been changed a computer virus is a desease to protect the innocent... terrorism is a transgression the terrorists have you under control software piracy is a crime everything is destroyed this is the cure your system is infected BSG 9 Bundesgrenzschutz Sektion9 there is no hope for better times Sonderkommando "EDV" the first terrorists Virus !!! 2. das Original-File wird versteckt das Original-File wird versteckt als sys:a0202020a02020a020a0a0 als devs:a0a0a0202020a0202020a0 od. devs:a0e0a0202020a0202020a0 3. es wird nichts kodiert liegt kodiert vor 4. File-Virus-Länge 1612 Bytes File-Virus-Länge 2608 Bytes b. Daten-Zerstörungsprogramme ----------------------------- ByteParasiteI ------------- Es handelt sich nicht um einen Virus. Das Programm ist nicht resetfest und infiziert auch keine neuen Disketten. Die einzige Funktion des ByteParasite-Programms ist das primitive Zerstören von Daten. Wenn man das 2108 Byte lange Programm aufruft, dann wird z.B. die Startup-Sequence und der dir-Befehl mit dem cd-Befehl überschrieben. Danach wird noch der Interrupt 3 ($6c) verbogen. In dieser Interruptroutine wird geprüft, ob soeben eine Diskette eingelegt wurde. Wenn ja, erfolgt ein Absturz. Aufgrund schlechter Programmierung erfolgt z.B. auch beim Versuch eine schreibgeschützte Diskette zu schädigen ein Absturz. Es macht wenig Sinn, die Startup-Sequence mit einem loadfile zu überschreiben, da dadurch beim nächsten Booten die Startup-Sequence nicht mehr abgearbeitet wird. Das ByteParasite-Programm ist also ein sehr plumpes und lediglich auf Zerstörung ausgelegtes Programm. Erfreulicherweise hält sich der Schaden in Grenzen, da meist nur die Startup-Sequence verlorengeht. Da sich das Programm nicht automatisch verbreiten kann, werden Sie wohl hoffentlich niemals diesem Programm begegnen. Am Ende des ByteParasite-Files kann man folgenden Text lesen: dos.library cd dir s/Startup-Sequence cd by ByteParasite in 9.90 from Hacker & Cracker GmbH GERMANY ByteParasiteII -------------- Es handelt sich um einen relativ harmlosen File-Virus. Wenn man das 908 Byte lange Programm startet, dann erscheint eine Fensterleiste mit folgendem Text: VirusX: Checking Device DF0: Damit will sich das Programm als das Anti-Virus-Programm VirusX tarnen. Nach Anklicken des Closegadgets wird versucht DF0:c/VirusX nach DF1:c/VirusX zu kopieren. Auf diese ziemlich uneffektive Weise versucht sich der Virus weiterzuverbreiten. Voraussetzung wäre also, daß das Virus-File als DF0:c/VirusX vorliegt und daß ein Schreibzugriff auf DF1:c möglich ist. Außer diesem relativ harmlosen Kopierversuch passiert nichts. Am Ende des ByteParasite-Files kann man folgenden Text lesen: Now you had have your fun with BYTEPARASITE II ! by Hacker & Cracker Gmbh GERMNANY in 9.91 ByteParasiteIII --------------- Wenn man dieses 2160 Byte lange Virus-File startet, dann werden eine ganze Menge Vektoren aufgrund fehlerhafter Programmierung auf zum Teil unsinnige Werte gesetzt, wodurch recht bald ein Absturz resultiert. z.B. beim nächsten Disk-Einlegen. Der Virus versucht sich als c/Virus-Checker weiterzukopieren. Aufgrund fehlerhafter Programmierung bleibt es aber meist beim Versuch. Es wird KickTag,KickMem,KickCheckSum,Cold,Cool und Interrupt3($6c) verändert. Das Programm versucht sich durch folgende Titelzeile als Anti-Virus-Programm zu tarnen: Virus-Checker V3.0 Checking DF0: For Viruses Am Ende des ByteParasite-Files kann man z.B. folgenden Text lesen: BYTEPARASITE III in 9.91 by Hacker & Cracker GmbH. GERMANY In ByteParasiteII+III wurde versucht, eine Infektionsroutine einzu- programmieren, dennoch führe ich diese beiden Viren unter Punkt b. auf, da die Infektionsroutine normalerweise nicht funktioniert, und in der Regel lediglich zum Zerstören von Daten führt. Auch müßte ein funktionsfähiger File-Virus z.B. die Startup-Sequence manipulieren, um möglichst bei jedem Booten aktiv zu werden. CHAOS-MASTER V0.5 ----------------- Der CHAOS-MASTER tarnt sich als normaler dir-Befehl. Darüber hinaus geschieht allerdings noch folgendes: Nach Start des 12972 Byte langen mit PowerPacker gepackten Programmes wird versucht das Virus-File unter dem aktuellen Namen nach SYS:c zu kopieren. Hierbei werden jedoch immer nur 12972 Bytes kopiert, wodurch ein nicht startbares Load-File resultiert, wenn das Virus-File zuvor entpackt wurde. Sollte jedoch ein Kopieren nach SYS:c nicht möglich sein, dann wird ein fehlerhaftes 370 Byte langes disk.info-File erstellt. Die Workbench wertet das disk.info-File für das Aussehen des Disketten-Icons aus. Dadurch kommt es bei loadwb und eingelegter Diskette mit fehlerhaftem disk.info-file oder beim späteren Einlegen einer Diskette mit einem fehlerhaften disk.info-File und aktiver Workbench zum Absturz. Sollte jedoch der loadwb-Befehl noch nicht ausgeführt worden sein, dann kann man die Diskette problemlos einlegen, da das disk.info-File nur bei aktiver WorkBench ausgewertet wird. Unter Kickstart2.0 führt ein fehlerhaftes disk.info-File nicht mehr zum Absturz. Am Ende des CHAOS-MASTER-Files und in dem disk.info-File kann man folgenden Text lesen: Sorry an alle User, die sich jetzt mit CHAOS-MASTER V0.5 beschäfigen dürfen!!!!! Diese Virus ist nicht für 'LAMER', sondern die Saftsäcke, die ins ZERBERUS Mails im Sinne von Wer sich mit Virenkillern nicht auskennt ist selbst Schuld schrieben!!! Der CHAOS-MASTER V0.5 führe ich auch bei Unterpunkt b. auf, da es sich hierbei nicht um einen wirklich funktionsfähiger File-Virus handelt, denn hierfür bedarf es mehr als dem blosen Kopieren eines Files. So müßte z.B. durch Manipulation der Startup-Sequence eine Aktivierung des Virus beim Booten sichergestellt werden. Oder aber der Virus sollte resetfest sein. CompuPhagozyte1 --------------- Wenn man das ungepackte 1452 Byte lange Programm startet, dann wird eine Virus-Checker-artige Titelleiste geöffnet. Wenn man eine Diskette einlegt, dann wird ein eventuelles :c/Virus-checker File auf 1452 Bytes gekürzt. CompuPhagozyte2 --------------- Wenn man das ungepackte 1148 Byte lange Programm startet, dann wird eine VirusX-artige Titelleiste geöffnet. Wenn man eine Diskette einlegt, dann wird ein eventuelles :c/VirusX File auf 1148 Bytes gekürzt. Die CompuPhagozyten-Files sind also keine eigentlichen Viren, da sie sich nicht verbreiten können. Ihr Ziel liegt lediglich im primitiven Zerstören von gewissen Anti-Virus-Programmen. D&A --- Dieses 1052 Byte lange File installiert einen SCA-artigen Virus, welcher sich über den COOL-Vektor resetfest macht und beim Booten die Boot-Diskette mit Hilfe des kurzzeitig verbogenen DOIO-Vektors zu infizieren versucht. Anstatt der DOS-Kennung wird jedoch $00000400 geschrieben, wodurch diese Diskette nicht mehr als DOS-Diskette erkannt wird. Ansonsten entspricht der Bootblock weitgehend dem SCA-Bootblock, lediglich einige Textveränderungen von SCA in D&A wurden vorgenommen. Die Ursache für diesen fehlerhaften D&A-Bootblock liegt in einer fehler- haften Konvertierung des Original-D&A-Bootblocks in ein startbares File. Disktroyer1.0 ------------- Es handelt sich um ein 804 Byte langes File, welches AllocMem() verbiegt. Beim Start des Programms wird das betreffende CLI-Fenster in Art eines cls-Befehls gelöscht. Der Virus tarnt sich also als cls-Befehl. Wenn 150 Mal allocmen aufgerufen wurde, was je nach Systemaktivität recht bald der Fall ist, werden nicht schreibgeschützte Disketten schnellformatiert. Danach wird ein Alert mit folgendem Text ausgegeben, welchen man auch am Ende des Disktroyer-Files lesen kann. Disktroyer V1.0 (w) and © 1991 by the powerful The Fanatic Crew Switch off and reboot (ha, ha, ha, ha ...) released 09.09.1991 Excreminator V1.0 ----------------- Es handelt sich um ein 2392 Byte langes schädliches Programm, welches allerdings zum Großteil aus Null-Bytes besteht. In dem File kann man verräterische Texte erkennen. Von einem Virus kann man nicht direkt sprechen, da sich das File nicht selbstständig verbreiten kann. Es werden auch keine Vektoren verbogen. Beim Start des Programmes wird lediglich versucht, ein File namens df0:libs/Exec.library zu öffnen. In diesem 4 Byte langen File wird lediglich ein Zähler abgelegt. Bei jedem Start des Programmes wird der Zähler um 1 erniedrigt. Sobald der Zähler von 5 auf 0 herabgezählt wurde, werden alle Disketten schnellformatiert. Anschließend wird der folgende Alert ausgegeben: FUCKED UP! LAME SUCKER !!! Use a better Viruskiller next time e.g. Excreminator II HAHAHA Das Programm tarnt sich durch folgende Textausgaben als ein Anti-Virus-Programm. Man kann also auch von einem Trojanischen Pferd sprechen. -*- Excreminator V1.0 -*- Written by 'The Lame Trio (TLT)' in 1991 Memory Check ... OK! No Virus found! Checking Bootblock for Virus ... OK! No Virus found! Der Virus ist nicht direkt mit timebomb oder virustest verwandt, aberes liegt das gleiche Funktionsprinzip vor. Freeedom -------- Es handelt sich nicht um einen Virus. Das Programm ist nicht resetfest und infiziert auch keine neuen Disketten. Die einzige Funktion des Freedom-Programms ist das primitive Zerstören von Disketten-Daten. Wenn man das 10876 Byte lange Programm aufruft, dann wird folgende Meldung ausgegeben: Freedom ! by Steve Tibbett Checking df0: for 126 viruses Sollte die Diskette schreibgeschützt sein, dann wird Diskette ist schreibgeschützt !! ausgegeben und Ende. Damit soll der Anschein eines nützlichen Anti-Virus-Programms erweckt werden. Man kann also von einem Trojanischen Pferd sprechen. Aber anstatt auf Viren zu prüfen wird sofort angefangen, willkürlich Diskettenblöcke zu überschreiben. VIRUS CONTROL meldet sofort einen 512-Byte-Zugriff auf den Bootblock. Hierbei sieht man, daß lediglich unsinnige Daten geschrieben werden. Die Diskette wird dadurch unlesbar. Nach einiger Zeit werden folgende Meldungen ausgegeben: Saddam-Virus removed und kurz darauf nochmal Saddam-Virus removed und SmilyCancer-Virus removed und kurz darauf nochmal SmilyCancer-Virus removed Je länger man das Freedom-Programm laufen läßt, umso mehr Daten gehen verloren, da sie mit unsinnigen Daten überschrieben werden. Das Freedom-Programm ist ein sehr plumpes und nur auf Disketten-Daten- Zerstörung ausgelegtes Programm. Wahrlich keine Programmiermeisterleistung. Da sich das Programm nicht automatisch verbreiten kann, werden Sie wohl erfreulicherweise niemals diesem Programm begegnen. Das Freedom-Programm ähnelt sehr stark dem VirusBlaster-Programm. PowerPacker3.2-Bomb ------------------- Es handelt sich um eine modifizierte PowerPacker3.0b-Version mit einer Filelänge von 71308 Bytes. Man kann also auch von einem Trojanischen Pferd sprechen. Diese "neue" Version soll anscheinend jemandem gezielt Schaden zufügen, da beim Start des Programms in DH0: und DH0:BBS/ (und auch in DH1: und DH1:BBS/ ??) nach einem 120120, 106140 oder 104044 Byte lange File gesucht wird. Wird ein solches gefunden (angeblich soll insbesondere AmiExpress betroffen sein), dann wird dieses File beschädigt. Ich habe testhalber ein 120120 langes File erstellt. In diesem File wurden dann 3 Bytes überschrieben, und zwar Byte 22145 mit $53, Byte 22163 mit $02 und Byte 48286 mit $2e. Weiterhin wird ein eventuelles C:why File mit 1 Byte, und zwar $0a überschrieben. Es handelt sich eigentlich nicht um einen Virus, da keine Vermehrung erfolgt. Es werden auch keine Vektoren verbogen. Bevor der PowerPacker3.2-Bomb obige File-Manipulationen vornimmt, prüft er zuerst auf die Anwesenheit von SnoopDos. Sollte SnoopDos aktiv sein, dann werden keine File-Manipulationen vorgenommen. Der PowerPacker3.2-Bomb will sich also nicht durch SnoopDos enttarnen lassen. Dennoch macht der PowerPacker3.2-Bomb einen sehr schlecht programmierten Eindruck, denn wenn z.B. kein DH0: vorhanden ist, dann erscheint ein System-Requester, welcher den User anweist, DH0: einzulegen. Dieses ist wohl sehr verdächtig. Auch die Abänderung des ausführbaren why-Befehls in eine nicht mehr ausführbare Datei erscheint mir eher unsinnig. Also man sollte über den PowerPacker3.2-Bomb nicht viel Worte verlieren, da er sich eh nicht von alleine verbreiten kann, und wenn Sie dennoch auf Ihn stoßen sollten, dann wird im Normalfall auch nicht viel passieren. Selbst wenn man unwissend den PowerPacker3.2-Bomb benutzt, so wird man dies nicht lange tun, da diese Version recht bald an den verschiedensten Stellen abstürzt, und außerdem gibt es ja auch bereits z.B. die neue, bessere und offizielle PowerPacker4.0-Version. Man sollte also dieses Schrott-Programm löschen und anstatt dessen eine aktuelle PowerPacker-Version benutzen. Der PowerPacker3.2-Bomb wurde über Mailboxen in dem Archiv qtx_pow.lzh mit der Filelänge von 139670 Bytes verbreitet. TimeBomb V0.9 ------------- Es handelt sich um einen File-Virus, welcher durch das Programm BMassacre erstellt wird. BMassacre erstellt in C: ein 7840 Byte langes File namens .info Weiterhin trägt BMassacre in die erste Zeile der Startup-Sequence .info ein, damit das Virus-File bei jedem Booten aufgerufen wird, denn das Virus-File ist nicht resetfest. Ferner wird ein 1 Byte langes File namens "df0:pic.xx" angelegt, in welchem die Zahl 6 steht. Das Virus-File kann sich nicht weiterverbreiten. Der Virus kann also nur von dem Viren-Generator-Programm BMassacre erstellt werden. Das Virus-File selber macht nun folgendes. Es wird bei jedem Booten von der Startup-Sequence aufgerufen. Der Virus öffnet nun das File namens "df0:pic.xx" und liest das eine Byte ein. Der Wert wird um 1 erniedrigt. Wenn der Wert 0 erreicht hat, dann wird versucht, die Diskette zu formatieren. Danach wird folgende Meldung ausgegeben und anschließend ein TaskHeld ausgelöst. Hey Looser ! I hate you ! Wenn der Wert noch nicht 0 erreicht hat, dann wird der neue Wert unter dem File "df0:pic.xx" wieder auf Diskette zurückgeschrieben. Sollte die Diskette aber schreibgeschützt sein, dann wird folgende Text-Meldung im CLI ausgegeben: User Request : Please remove write Protection and press left Mouse Button to continue Diese Meldung wird solange ausgegeben, bis man den Schreibschutz wirklich entfernt hat. Nach erfolgreichem Schreiben von "df0:pic.xx" wird zum Abschluß noch folgende Meldung im CLI ausgegeben: RAM CHECKED - NO VIRUS FOUND Diese Meldung dient also lediglich der Tarnung. TimeBomber(VIRUSTEST) --------------------- Es handelt sich um eine verbesserte Version des TimeBomb V0.9 Es bestehen lediglich folgende Unterschiede: TimeBomber(VIRUSTEST) TimeBomb V0.9 --------------------- ------------- Der TimeBomber-Virus wird von Der TimeBomb V0.9-Virus wird von dem Programm TimeBomber erstellt. dem Programm BMassacre erstellt. Das Virus-File heißt VIRUSTEST das Virus-File heißt .info und ist 936 Bytes lang und ist 7840 Bytes lang das 1 Byte lange Zähler-File das 1 Byte lange Zähler-File heißt df0:VIRUSTEST.DATA heißt df0:pic.xx Wenn df0:VIRUSTEST.DATA nicht gelesen Bei Nichtvorhandensein werden kann, erscheint folgende Meldung: von df0:pic.xx stürzt der Access Failure File may not exist. TimeBomb V0.9 ab Wenn der File-Zähler bei 0 angelangt ist, Bei Erreichen des Wertes 0 wird 100% der Diskette formatiert wird "nur" 95% formatiert Nach dem Formatieren erscheint Nach dem Formatieren erscheint Sorry Looser, that's all you're gonna get! Hey Looser ! I hate you ! VirusBlaster ------------ Es handelt sich nicht um einen Virus. Das Programm ist nicht resetfest und infiziert auch keine neuen Disketten. Die einzige Funktion des VirusBlaster-Programms ist das primitive Zerstören von Disketten-Daten. Wenn man das 9232 Byte lange Programm aufruft, dann wird folgende Meldung ausgegeben: VirusBlaster V2.3 © by M&T 7/91 Untersuche DF0: auf Boot- und LinkViren... Sollte die Diskette schreibgeschützt sein, dann wird Diskette ist schreibgeschützt !! ausgegeben und Ende. Damit soll der Anschein eines nützlichen Anti-Virus-Programms erweckt werden. Man kann also von einem Trojanischen Pferd sprechen. Aber anstatt auf Viren zu prüfen wird sofort angefangen, willkürlich Diskettenblöcke zu überschreiben. VIRUS CONTROL meldet nach einiger Zeit 2 * einen Schreibzugriff auf den Bootblock. Hierbei sieht man, daß lediglich unsinnige Daten geschrieben werden. Die Diskette wird dadurch unlesbar. Je länger man den VirusBlaster laufen läßt, umso mehr Daten gehen verloren, da sie mit unsinnigen Daten überschrieben werden. Das VirusBlaster ist ein sehr plumpes und nur auf Disketten-Daten- Zerstörung ausgelegtes Programm. Wahrlich keine Programmiermeisterleistung. Da sich das Programm nicht automatisch verbreiten kann, werden Sie wohl erfreulicherweise niemals diesem Programm begegnen. Das VirusBlaster-Programm ähnelt sehr stark dem Freedom-Programm. Hauptunterschied ist die deutsche anstatt der englischen Startmeldung. d. Programme, welche Viren installieren (Trojanische Pferde) ------------------------------------------------------------ Challenger-Virus ---------------- Auf der Fish-Diskette 622 fungiert die deutsche Version des Frage-Spieles Challenger als Trojanisches Pferd. Beim Start des Programmes wird in sys:devs/keymaps/a ein Original-Workbench-1.3-setclock-Befehl erstellt. Der Code des Original-Workbench-1.3-setclock-Befehls ist in dem Challenger- Programm selber enthalten. Deshalb versucht Virus-Control auch nicht devs/keymaps/a nach c:setclock umzubennen, weil nicht gewährleistet ist, ob der Virus-interne-setclock-Befehl immer der richtige ist, denn obwohl es sich hierbei um einen Original-Commodore-setclock-Befehl handelt, so gibt es doch verschiedene Commodore-setclock-Befehle. Kopieren Sie sich also Ihren normalen setclock-Befehl bei Bedarf nach c: zurück. Danach wird ein neuer Virus-setclock-Befehl in sys:c/setclock erstellt, welcher aus Tarngründen die gleiche Länge wie der Original-Workbench-1.3- setclock-Befehl aufweist (4884 Bytes). Weiterhin wird ein File namens sys:devs/keymaps/rca angelegt, in welchem unter anderem die Texte stehen, welche am 24-Juli angezeigt werden. Die Files sys:c/setclock und sys:devs/keymaps/rca sind mit dem Imploder gepackt und benötigen zum Entpacken die explode.library. Deshalb bleibt die Abarbeitung der Startup-Sequence auch hängen, wenn keine explode.library vorhanden ist. Das Challenger-Programm ist also ein Trojanisches Pferd, welches zum Installieren eines Virus dient. Anstelle des Original-setclock-Befehls tritt das Virus-setclock-File. Beim Abarbeiten der Startup-Sequence wird normalerweise immer der setclock-Befehl aufgerufen, um die Uhrzeit aus der Echtzeit-Uhr auszulesen. Unter Kickstart2.0 ist der setclock-Befehl überflüssig, da hier die Uhrzeit automatisch vom Betriebssystem (battclock.resource) ausgelesen wird. Der Virus macht sich nicht resetfest und verändert auch keine Vektoren. Die loadseg-Veränderung ist durch die explode.library bedingt, welche beim Entpacken des Virus-setclock-Befehls aktiviert wird. Der Virus-setclock-Befehl ruft als erstes den Original- setclock-Befehl in sys:devs/keymaps/a auf, um die Uhrzeit zu setzen. Sollte nun der 24. Juli erkannt werden, dann öffnet der Virus einen Screen mit folgendem Text: Guten Tag, hier ist der Guru Ihres Amiga-Computers Laut Arbeitsvertrag habe ich das Recht auf einen Medita- tionstag pro Jahr. In meinem Fall ist das der 24 Juli jeden Jahres. Da wir heute dieses Datum schreiben, stehe ich Ihnen erst morgen wieder zur Verfügung. Bitte haben Sie Verständnis dafür, denn auch wir Gurus müssen einmal ausruhen. Der Virus wird nur am 24. Juli aktiv. Man kann aber eigentlich nicht von einem Virus sprechen, da er sich nicht selber verbreiten kann. Leidiglich das Challenger-Programm kann den Virus installieren. ColorsVirusCarrier ------------------ Es handelt sich um ein anscheinend harmloses kleines Programm (2196), welches beim Starten nach einem kurzen Farb-Flackern ein CON-Window mit dem Titel Color Demo! öffnet. In dem Window kann man folgenden Text lesen: Hope you enjoy this proggie! It was put together in ten minutes .... Press Left Mouse Button for the demo ... ** Press Right Mouse Button to end ** Nach Drücken der linken Maustaste erscheint eine einfache Copper-Grafik, welche nach Drücken der rechten Maustaste wieder verschwindet. Leider ist dies nicht alles was das Programm macht, denn es verbiegt als allererstes den COOL-Vektor und den DOIO-Vektor. Der DOIO-Vektor wird immer auf $70000 verbogen. Weiterhin wird der TURK-BootBlock-Virus nach $7f000 kopiert. Jede eingelegte Diskette wird nun mit dem TURK-BootBlock-Virus überschrieben. Das ColorsVirusCarrier-File verbreitet sich nicht von alleine weiter, es dient also "nur" der Verbreitung des TURK-BootBlock-Virus. Es handelt sich also um ein Trojanisches Pferd. DriveInfo V0.91 --------------- Der Crime!++ - Link-Virus wurde mittels eines Trojanischen Pferdes namens DriveInfo (1704 Bytes) in Umlauf gebracht. Wenn man dieses File startet erscheint folgende unscheinbare Ausgabe: DriveInfo V0.91 by ESP Drive : DF0 Volume : aaa Free Bytes: 18944 Weiterhin wird aber auch unsichtbar ein Interrupthandler mit dem Namen "Install yeah!" installiert, mit dessen Hilfe nach circa einer Minute der eigentliche Crime!++ - Link-Virus installiert wird. Dieses Verhalten kann für viele Leute heimtückisch sein, denn wenn man es sich angewöhnt hat, während des Startens neuer Programme gleichzeitig mittels eines Anti-Virus-Programmes auf Systemveränderungen zu testen, dann schlägt dieses Vorgehen hhier fehl. Einmal mehr zeigt sich hier die Überlegenheit von VIRUS CONTROL, dessen permanenter und resetfester System-Check andauernde Sicherheit gibt und Sie deshalb auch auf die späteren Systemveränderungen hinweist. Intro-Maker V1.00 by TCR ------------------------ Tarnt sich als ein Hilfsprogramm zum Erstellen von Boot-Intros. Hierbei wird allerdings auch der DISASTER-MASTER V2 - Virus installiert. JEFF-Viruskiller ---------------- Das 9064 Byte lange Programm täuscht vor, den Butonic-Jeff-Virus zu suchen und zu beseitigen, aber stattdessen wird hierbei der JEFF-BUTONIC-3.1 installiert, ein Abkoemmling des JEFF-BUTONIC-3.0. Lediglich geringe Textunterschiede usw. LAMER-bomb(Gotcha LAMER) ------------------------ Wenn man das 776 Byte lange Programm minidemo.exe startet, dann versucht dieses Programm einen Virus-Hunk vor die Files DH0:c/dir, DH0:c/run, DH0:c/cd und DH0:c/execute zu linken. Dadurch werden diese Files um 372 Bytes länger. Dies ist alles, was minidemo.exe macht, es kann sich also z.B. nicht von alleine weiterverbreiten und ist auch nicht resetfest. Man kann minidemo.exe als ein Trojanisches Pferd betrachten. Die infizierten Programme DH0:c/dir, DH0:c/run, DH0:c/cd oder DH0:c/execute verbiegen beim Aufruf den DOIO-Vektor, um dann beim nächsten Disketten-Einlegen diese Diskette schnellzuformatieren. Hierbei gehen die meisten Disketten-Daten verloren. Danach wird folgender Alert ausgegeben: HAHAHE... Gotcha LAMER!!! Nach Betätigen einer Maustaste wird dann ein Software-Reset ausgelöst. Die Programme sind nicht resetfest. LAMER-Trojan-Horse(loadwb,virusx) --------------------------------- Es gibt ein verändertes loadwb-Programm (4172 Bytes) und virusx-Programm (13192 Bytes), welche sich beim Start wie loadwb bzw. virusx verhalten, gleichzeitig wird aber ein LAMER-Bootblock-Virus installiert. Die Verbreitung des Virus erfolgt 100% als LAMER-Bootblock-Virus über den Bootblock. Siehe LAMER-Bootblock-Viren. Diese veränderten loadwb und virusx-Programme sind also Trojanische Pferde. T.F.C.-loadwb ------------- Es handelt sich um ein 2804 Byte langes File, welches sich als loadwb-Befehl tarnt. Es liegt ein Trojanisches Pferd vor, da nach Ausführen der loadwb- Funktionen der T.F.C. Revenge Virus - Bootblock-Virus installiert wird. Der Virus verbreitet sich dann nur als T.F.C.-Bootblock-Virus, welcher ein Extreme-Bootblock-Virus-Abkömmling ist. THE SMILY CANCER II ------------------- Dieses 4676 Byte lange Programm dient lediglich zum Installieren des THE SMILY CANCER I von CENTURIONS - Link-Virus. Das THE SMILY CANCER II - Programm selber verbreitet sich nicht von alleine. Die Verbreitung erfolgt als THE SMILY CANCER I von CENTURIONS - Link-Virus. Näheres siehe dort. Das THE SMILY CANCER II - Programm versucht sich als loadwb-Befehl zu tarnen, man kann also von einem Trojanischen Pferd sprechen. VIRUS TERMINATORV6.0 -------------------- Wenn man dieses 1880 Byte lange File startet wird folgender Text ausgegeben: VIRUS TERMINATOR V6.0 by Rudolf Meiler --> This Killer kills about 240 viruses <-- Memory Check : No Virus found !!! File Check : No Virus found !!! Boot Check : No Virus found !!! Das Programm versucht sich also als ein tolles Anti-Virus-Programm zu tarnen, gleichzeitig wird allerdings ein Bootblock-Virus installiert. Es handelt sich also um ein trojanisches Pferd. Das 1880 Byte lange File kann sich nicht selber verbreiten. Von Interesse ist also der installierte Bootblock-Virus, welcher sich über den COOL-Vektor resetfest macht und den DOIO-Vektor verbiegt, um eingelegte Disketten zu infizieren. Nach acht Bootblock-Lese-Zugriffen offenbart sich der Virus mit einem Alert, wobei folgender Text angezeigt wird: -+= CHEATER HIJACKER GENERATION 0004 =+- Da der Bootblock mit einer zufälligen Strahlenposition verschlüsselt wird, kann man keine verräterischen Texte erkennen. Das Trojanische Pferd "VIRUS TERMINATORV6.0" installiert also einen Bootblock-Virus. Siehe unter LameBlame-TaiPan (LameBlame,CHEATER-HIJACKER) VIRUS-INSTALL v2.0 ------------------ Wenn man dieses Programm startet, dann wird eindeutig der Zweck des Programmes erläutert, nämlich das Schreiben eines Bootblock-Virus auf Diskette. Startet man das Programm mit dem Parameter 1, dann wird ein LameBlame-TaiPan (LameBlame, CHEATER-HIJACKER) - Bootblock geschrieben, startet man das Programm mit dem Parameter 2, dann wird ein Chaos-TaiPan (Chaos)-Bootblock geschrieben. Siehe LameBlame-TaiPan (LameBlame, CHEATER-HIJACKER) und Chaos-TaiPan (Chaos)-Bootblock-Virus. VIRUS TERMINATORV6.0 aktiviert also den CHEATER-HIJACKER-Bootblock im Speicher. VIRUS-INSTALL v2.0 schreibt den LameBlame-Bootblock auf Diskette. Zwischen den beiden Bootblöcken gibt es nur minimale Textunterschiede. VIRUS-INSTALL v2.0 schreibt noch auf Wunsch den Chaos-TaiPan (Chaos) auf Diskette. XCopyPro6.5 ----------- Diese inoffizielle 28336 Byte lange Version des XCopy-Diskettenkopier- Programmes installiert den Little-Sven-Bootblock-Virus im Speicher und schreibt auch den Little-Sven-Virus auf den Disketten-Bootblock. 3. Disk-Validator-Viren ======================== Es handelt sich hierbei um eine spezielle Art von File-Viren, welche sich anstelle des Original-Disk-Validators auf die Diskette schreiben, und somit automatisch beim Einlegen der Diskette gestartet werden, da sie weiterhin die Diskette als fehlerhaft kennzeichnen. ReturnOfTheLamerExterminator-Disk-Validator-Virus ------------------------------------------------- Dieser File-Virus ist 1848 Bytes lang und überschreibt den ebenfalls oftmals 1848 Bytes langen Original-Disk-Validator. Der Virus tarnt sich also als Disk-Validator. Wenn man eine fehlerhafte Diskette einlegt, dann versucht das Amiga-Betriebssystem den Fehler zu beheben. Hierzu wird das Disk-Validator-File benötigt. Dieses steht bei Kickstart 1.2/1.3 noch nicht im ROM, sondern muß nachgeladen werden. Zuerst wird versucht von der eben eingelegten fehlerhaften Diskette selber (:L/Disk-Validator) den Disk-Validator zu laden. Wenn dies fehlschlägt, wird versucht den Disk-Validator von dem logischen Gerät L: zu laden (L:Disk-Validator). Wenn auch dieses fehlschlägt, erscheint ein System-Requester mit diesem Text: "Unable to load disk validator". Der ReturnOfTheLamerExterminator verbreitet sich also über fehlerhafte Disketten, wobei sich der Virus als l/Disk-Validator auf der fehlerhaften Diskette befindet. Eine fehlerhafte Diskette erhält man z.B. wenn während eines Schreibzugriffes ein Absturz oder Reset erfolgt. Der ReturnOfTheLamerExterminator-Disk-Validator-Virus erzwingt das Nachladen des Disk-Validator-Virus-Files, indem er das BitMap-Flag löscht. Wenn nun eine solche Diskette eingelegt wird, dann wird der Virus durch das Betriebssystem durch Laden und Starten von :L/Disk-Validator aktiviert. Der ReturnOfTheLamerExterminator macht sich nun Kick-kompatibel über Kick-Tag und Kick-CheckSum resetfest. Weiterhin wird der erste Eintrag des Vertikal-Blank-Server verbogen, wodurch die Kick-Resetfestigkeit sichergestellt wird. Ferner wird auch der BeginIO-Vektor und Close-Vektor des trackdisk.device verbogen, und auch der BeginIO-Vektor des keyboard.devices wird verbogen. Beim Reset wird kurzzeitig der OpenWindow-Vektor verbogen. Der Virus verbreitet sich dadurch, daß er anstelle des Original-Disk-Validator-Files das Virus-Disk-Validator-File auf die Diskette schreibt und die Diskette durch Löschen des BitMap-Flags fehlerhaft macht. Leider zerstört der ReturnOfTheLamerExterminator auch unwiderbringlich Daten, indem zufallsgesteuert Daten-Blöcke auf der Diskette mit LAMER!!! überschrieben werden. Weiterhin kann der Virus auch alle Disketten schnell-formatieren. Der Virus ist allerdings noch recht fehlerhaft programmiert, so daß es in der Regel zu keiner Neu-Infektion von Disketten kommt, vielmehr erfolgt oftmals ein Absturz beim Einlegen von Disketten. SADDAM-HUSSEIN-Disk-Validator-Virus ----------------------------------- Dieser Virus ist mit dem ReturnOfTheLamerExterminator-Disk-Validator-Virus verwandt. Leider ist der SADDAM-HUSSEIN-Disk-Validator-Virus deutlich funktionsfähiger und aggressiver programmiert. Es bestehen insbesondere folgende Unterschiede: Der SADDAM-HUSSEIN-Virus macht sich anstatt über die Kick-Vektoren über den Cold-Vektor resetfest, wodurch er auch auf 1 MB-ChipMem-Amigas resetfest ist. Der SADDAM-HUSSEIN ist der erste Virus, der diese Möglichkeit nutzt. Der ReturnOfTheLamerExterminator-Disk-Validator- Virus überschreibt manchmal zufallsgesteuert Daten-Blöcke auf der Diskette mit "LAMER!!!". Der SADDAM-HUSSEIN-Disk-Validator-Virus überschreibt nur die Daten-Block-Kennung mit "IRAK" und kodiert den restlichen DatenBlock-Inhalt. Es gibt SADDAM-HUSSEIN-Disk-Validator-Virus-Abkoemmlinge, die anstatt "IRAK" "LOOM" oder "RISC" oder "LAME" usw. verwenden. Bei nicht aktivem SADDAM-HUSSEIN-Virus kann man also die betroffenen Files nicht mehr lesen. Bei aktivem Virus sind die Files wieder lesbar, da der Virus die notwendigen Änderungen automatisch beim Lesezugriff vornimmt. Manchmal versucht der Virus, Disketten schnellzuformatieren. Orange-Disk-Validator-Virus --------------------------- Der Virus ist sehr bösartig, da er bei praktisch jedem Disk-Zugriff Daten unwiderbringlich überschreibt. In zufälligen Datenblöcken wird ab Position 90 1*$1234 und ab Position 100 bis 232 $4e71 geschrieben. Dadurch werden Files kaputt gemacht und es kommt andauernd zum Absturz. Bei einem solchen Absturz kann sich der Bildschirm fleischfarben färben, daher der Name. Der Original-Saddam-Hussein verschlüsselte die Daten, man konnte die Daten also meist wieder retten, dieser Disk-Validator-Virus aber überschreibt die Daten unwiderbringlich. Der Virus basiert auf dem Sadddam-Hussein, ist aber nicht kodiert. -------------------------------------------------------------------- Das große Problem an den Disk-Validator-Viren ist, daß sie sofort beim Einlegen der infizierten Diskette aktiviert werden, denn diese Disketten weisen einen absichtlichen Fehler auf, wodurch dann beim Disketten-Einlegen automatisch vom Betriebssystem das l/disk-validator-File gestartet wird. Dieses File ist aber das Virus-File. Im Falle des ReturnOfTheLamer-Disk-Validator-Virus kann dieses File meistens wegen einem "202 Object in use error" nicht gelöscht werden, und bei dem SADDAM-HUSSEIN-Disk-Validator-Virus werden oftmals viele Datenblöcke auf der Diskette kodiert, welche nur bei aktivem Virus wieder fehlerfrei gelesen werden können. Es ist also sehr schwer, diese äußerst hartnäckigen Viren wieder zu entfernen. Es empfiehlt sich daher folgende Vorgehensweise: Man kopiert alle Files von der Diskette auf Festplatte oder vd0:. Hierbei korrigiert der SADDAM-HUSSEIN-Virus bei Bedarf die Files selber. Sie brauchen auch keine Angst um Ihre Festplatte zu haben, da die bisherigen Disk-Validator-Viren nur Disketten schädigen. Nachdem Sie die Files auf die Festplatte kopiert haben, schalten Sie den Rechner aus, und booten danach von Festplatte oder von einer garantiert sauberen Diskette. Wenn Sie keine Festplatte besitzen können Sie auch die resetfeste Ram-Disk vd0: von z.B. Fish Disk 58 benutzen. Nachdem Sie die Files nach vd0: kopiert haben, müssen Sie einen "Kill-Virus-Versuch mit Reset" oder einen "Full-Reset" auslösen. Booten Sie anschließend von einer garantiert virenfreien Diskette. RAD: kann hierzu nicht benutzt werden, da sie den Kill-Reset nicht überlebt. Die infizierten Disketten sollten Sie baldmöglichst formatieren oder eine andere Diskette daraufkopieren, allerdings nicht mit den normalen DOS-Befehlen, da hierbei beim Disketten-Einlegen der Virus wieder aktiviert würde. Unter Kickstart 2.0 stellen die Disk-Validator-Viren keine Gefahr mehr dar. Angenommen man legt unter Kickstart 2.0 eine mit einem Disk-Validator-Virus infizierte Diskette ein, dann wird nicht mehr das Disk-Validator-Virus-File von der Diskette geladen, sondern es wird der nun bereits im ROM vorhandene Disk-Validator aufgerufen. Dieser korrigiert dann die Diskette, so daß diese Diskette nun auch unter Kickstart 1.3 ohne Aufruf des auf der Diskette vorhandenen Disk-Validator-Virus-Files eingelegt werden kann. Eventuell vom SADDAM-HUSSEIN-Virus verschlüsselte Daten können so aber leider nicht wiederhergestellt werden. Das Disk-Validator-Virus-File sollte man sicherheitshalber sofort löschen. Aber auch wenn Sie unter Kickstart 1.3 arbeiten, brauchen Sie sich keine Sorgen mehr bezüglich der Disk-Validator-Viren zu machen, vorausgesetzt, Sie benutzen VIRUS CONTROL, denn VIRUS CONTROL verhindert erstens das automatische Aktivieren der Disk-Validator-Viren und zweitens rekonstruiert VIRUS CONTROL alle Daten auf Disketten, welche mit dem SADDAM-HUSSEIN-Virus infiziert waren. Als drittes wird natürlich auch noch das Disk-Validator-Virus-File selber gelöscht. 4. Link-Viren ============== a. IRQ-Typ (hängt ein Hunk vor das File) ---------------------------------------- CCCP-Bootblock+LinkVirus ------------------------ Es handelt sich um den ersten Virus, welcher sowohl ein Bootblock-Virus als auch ein Link-Virus ist. Der Name CCCP VIRUS rührt daher, daß man diesen Text am Anfang des Virus lesen kann. Der Virus verbiegt den Autointerrupt 3 ($6c). Dadurch wird nun 50 * pro Sekunde der KickTag-Pointer und der Cold-Vektor gelöscht und der Cool-Vektor auf den CCCP-Virus gesetzt. Dadurch ist nun der CCCP-Virus das einzige resetfeste Programm. Bei einem Reset wird der DoIO-Vektor verbogen, wodurch nun die Diskinfektionen möglich werden. Als erstes schreibt sich der CCCP-Virus auf den Bootblock. Als zweites versucht sich der Virus dann an ein File zu linken. Pro Booten wird maximal ein File infiziert. In der Regel sind nur Disketten gefährdet. Hochofen -------- Es handelt sich um einen Link-Virus, welcher nur beim Start eines bereits infizierten Programmes weitere Programme infizieren kann. Der Virus selber installiert nur einen Task namens "Greetings to Hochofen" im Speicher, welcher nach einiger Zeit durch direkte Copper-Programmierung eine Deutschland-Flagge ausgibt. Wiederum nach einiger Zeit erscheint ein Auto- Requester mit dem Text "Fasten seat-belts". Dannach beendet sich der Task. Der Virus hängt beim Infizieren einen Virus-Code-Hunk vor die Original- Files, wodurch die Files um 3000 Bytes verlängert werden. Da der Virus nicht alle Hunk-Typen korrekt verarbeitet, stürzt der Virus beim Infektionsversuch mancher Files ab (z.B. cmon) oder aber die infizierten Files sind aufgrund von Beschädigungen erst gar nicht ladbar (tnt) oder stürzen nach dem Start ab. Meist funktioniert aber die Infektion und die infizierten Files arbeiten korrekt. Aus beschädigten Files kann natürlich nicht mehr das Original-File rekonstruiert werden. IRQ-Link-Virus I+II ------------------- Der IRQ-Link-Virus macht sich über die Kick-Vektoren resetfest. Er verbiegt den OldOpenLibrary-Vektor. Wenn nun ein Programm diese Funktion aufruft, so wird zufallsbedingt entweder :c/dir oder das erste File aus :s/Startup-Sequence, evetuell mit vorangestelltem c: infiziert. Hierbei wird das Programm um 1096 Bytes verlängert. Weiterhin wird zufallsbedingt die aktive Windowtitelleiste in AmigaDOS presents:a new virus by the IRQ-TeamV41.0 geändert. Der IRQ-Virus ist äußerst interessant, da er der erste Amiga-Link-Virus ist. Trotz sehr guter Programmierung, bin ich auf folgende Programmierfehler gestoßen: - nach Resident-Strukturen wird nur in $0-$200000 und $c00000-$dc0000 gesucht. Sollte jemand echtes FastMem(z.B.$200000-$400000) besitzen, so könnte die Resident-Struktur hier angelegt werden, da IRQ keinen speziellen Speicher anfordert, dies ist der Grund, warum IRQ nicht auf jedem Amiga resetfest ist. - Programme, die sich über KickTagPointer resetfest gemacht haben, werden abgehängt, da sich der Virus allein in KickTagPointer einbindet, ein eventueller RAD:-Inhalt geht somit verloren. - Der IRQ-Virus läuft nur aufgrund eines Denkfehlers nicht mit Kickstart 1.3. Der IRQ-Virus kopiert den Viruscode in einen angeforderten Speicher- bereich, da ja nach dem Programmende der Speicher automatisch wieder freigegeben wird. Nach dem Kopieren verbiegt der IRQ-Virus den OldOpenLibrary-Vektor korrekt auf den neuen Speicherbereich, der Original-Vektor wird aber im aktuellen Speicherbereich abgelegt, welcher aber ja gleich freigegeben wird. Im aktuellen Speicher steht somit auch bei Kickstart 1.3 der Kickstart 1.2-Wert, da dieser nicht mit dem 1.3-Wert überschrieben wird. Der IRQ-Virus ist nicht direkt bösartig, da er sich meist korrekt an die Programme anbindet. Allerdings ist die Hunk-auswertung nicht 100% korrekt, so daß durchaus Probleme denkbar sind. Sie sollten den IRQ-Virus eliminieren, da er zumindest lästig ist. Es gibt eine Abart des IRQ-LinkVirus, welche mit Absicht nicht prüft, ob das File schon infiziert ist. Dadurch kann es passieren, daß Sie ein z.B. dir-File haben, an welches sich z.B. schon 7 * der IRQ-Virus gelinkt hat. Diese Files sind dennoch meist voll funktionsfähig. Wenn Sie nun mit "Viren suchen+entf." dieses z.B. dir-File als IRQ-infiziert finden, dann wird nun von diesem IRQ-Virus-File eine Link-Virus-Infektion abgetrennt. Sie haben nun also in dir.IRQ das 7-fach infizierte File und in dir steht nun das nur noch 6-fach infizierte File. Wenn Sie nun nochmals "Viren suchen+entf." starten, dann meldet Ihnen nun VIRUS CONTROL dir.IRQ und auch dir als IRQ-infiziert. Löschen Sie nun dir.IRQ, damit VIRUS CONTROL die aktuelle dir-Datei wieder nach dir.IRQ umbenennen kann und unter dir wird nun das nur noch 5-fach infizierte File abgespeichert. Rufen Sie also so lange "Viren suchen+entf." auf, bis keine Viren mehr gemeldet werden. MENEM'S REVENGE --------------- Es handelt um einen Link-Virus, welcher die infizierten Files um 3076 Bytes verlängert. Hierbei wird ein Code-Hunk und Daten-Hunk vor das Original-File gehängt. Der Virus verbiegt den loadseg-Vektor. Über diesen Vektor werden z.B. die Programme geladen, wenn man sie über die Workbench startet. Der Virus infiziert immer das vorhergehende Programm. Das gerade aktuell gestartete Programm wird also erst dann infiziert, wenn ein neues Programm gestartet wird. Das es nicht einfach ist, einen Link-Virus zu programmieren, beweist der MENEM-Virus. Nur wenige der infizierten Files sind lauffähig. Meistens endet der Start von infizierten Programmen in einem Guru. Der Grund warum die meisten infizierten Files abstürzen, liegt darin, daß der MENEM-Virus die Files beim Infizieren meist unwiderbringlich beschädigt. Es ist dann also auch nicht mehr möglich das Original-File zu restaurieren. Insbesondere, wenn in einem File viele Hunks auftreten, muß der MENEM-Virus passen und kreiert kaputtene Files, welche natürlich auch nicht mehr wiederhergestellt werden können. Der Virus kann sich mit folgendem Alert melden: MENEM'S REVENGE HAS ARRIVED !!! ARGENTINA STILL ALIVE METAMORPHOSIS V1.0 ------------------ Es handelt sich wie bei dem CCCP-Virus um einen kombinierten Boootblock- und Link-Virus. Wenn der Virus-Bootblock durch Booten oder ein infiziertes File gestartet wird, dann installiert sich Virus im Speicher, indem der OldOpenLibrary-Vektor verändert wird, und wenn nun irgendein Programm diesen Vektor aufruft, dann versucht der Virus ein File in c: zu infizieren, indem der Virus-Code nach IRQ-Virus-Art als eigener Hunk vor das File gehängt wird. Die Files werden hierbei um 1060 Bytes verlängert. Bereits infizierte Files werden nicht noch einmal infiziert. Der Virus macht sich über den COLD-Vektor resetfest. In der Resetphase wird auch kurzzeitig der COOL-Vektor benutzt, der aber letzendlich dann gelöscht wird. Der Virus steht immer ab $7FA72 im Speicher. Beim Versuch einen Disketten-Bootblock zu infizieren kann auch der Rigid-Disk-Block von Auto-Boot-Festplatten beschädigt werden. Zu Beginn des Virus-Bootblocks oder eines infizierten Files kann man folgenden Text lesen: -METAMORPHOSIS V1.0- the next Generation from LAMER-EXTERMINATOR ! Normalerweise wird beim Disketten-Einlegen diese mit dem Virus-Bootblock infiziert. Manchmal aber werden auch alle im Moment eingelegten Disketten schnellformatiert. THE SMILY CANCER I von CENTURIONS --------------------------------- Es handelt sich um einen richtigen Link-Virus, welcher sich als Code-Hunk vor das eigentliche Programm hängt. Dadurch wird das File 3916 Bytes länger. Es wird das erste File der Startup-Sequence infiziert. Man kann den Virus also dadurch entfernen, indem man das erste File der Startup-Sequence durch ein sauberes Originalfile ersetzt. Beim Aufruf eines solchen infizierten Files wird der BeginIO-Vektor des trackdisk.devices auf $7f128 verbogen. Hierdurch kann der Virus eine soeben eingelegte Diskette infizieren. Festplatten sind nicht gefährdet! Weiterhin verbiegt der Virus die Kick-Vektoren um sich resetfest zu machen. (KickTag auf $7FE00). Hierbei werden andere resetfeste Programme wie RAD:, ALF oder turboprint nicht herausgeworfen. Weiterhin verbiegt der SMILY CANCER den SumKickData-Vektor, um damit eher seine Reset-Festigkeit sicherzustellen. Der SMILY CANCER belegt völlig willkürlich den Speicherbereich von $7f000 bis $7ff30. Auf 512 KB-Amigas liegt hier der geschützte Supervisorstack-bereich. Auf 1 MB-Amigas aber liegt hier freies Chip-Mem, wodurch es zu Konflikten mit anderen Programmen kommen kann. Der SMILY CANCER-Virus greift direkt mittels des trackdisk.devices auf die Diskette zu. Es werden also keine Open, Write usw. Befehle der dos.library benutzt. Diese Methode ist recht schwierig zu programmieren, da man vollkommen von Hand die komplizierte Amiga-DOS- Disketten-Verwaltung nachbilden muß. Weiterhin ist die Programmierung eines funktionsfähigen Link-Virus immer recht aufwendig. Deswegen auch die doch recht lange Virus-Filelaenge von 3916 Bytes. Man muß den SMILY CANCER-Virus- Programmierern also durchaus beachtliche Programmierkenntnisse bescheinigen. Bedauerlich, daß sie für Virenprogrammierung verschwendet werden. Dennoch ist auch der SMILY CANCER-Virus wie fast alle Virus-Programme nicht sauber programmiert. So ist z.B. die willkürliche Speicherbenutzung ab $7f000 nicht korrekt. Ferner wird die Disketteninfektion mit einer FFS-Diskette zu Diskettenfehlern führen, da die Infektionsroutine starr auf NormalDOS- Disketten ausgelegt ist. Nach jeweils 10 Disketten-Infektionen gibt sich der Virus zu erkennen. Es wird dann der Auto-Interrupt-Vektor 3 ($6c) auf eine Routine verbogen, in welcher der Mauszeiger in einen Smily mit Hut verwandelt wird. Direkt darunter wird eine schmale Laufschrift ausgegeben. Der folgende Text wird durchgescrollt: ????????>>>>>>>>>> HI THERE;;; A NEW AGE IN VIRUS MAKING HAS BEGUN;;; THANX TO US>>> THANX TO: === CENTURIONS === AND WE HAVE THE PLEASURE TO INFORM YOU THAT SOME OF YOUR DISKS ARE INFECTED BY OUR FIRST MASTERPIECE CALLED: < THE SMILY CANCER < HAVE FUN LOOKING FOR IT>>> AND STAY TUNED FOR OUR NEXT PRODUCTIONS> CENTURIONS: THE FUTURE IS NEAR; frei Übersetzt: Heh Ihr da; ein neues Zeitalter in der Herstellung von Viren hat begonnen; Dank uns, Dank === CENTURIONS === und wir haben das Vergnügen, Dir mitzuteilen, daß einige Deiner Disketten von unserem ersten Meisterstück infiziert wurden, sein Name: DER LÄCHELNDE KREBS Viel Spaß beim Aufspüren dieses Virus und Du kannst Dich auch schon auf unsere nächsten VIREN freuen CENTURIONS: Die Zukunft ist nah; Weiterhin ist auch noch der folgende Text im Viruscode zu finden. Dieser Text wird aber nicht ausgegeben. HELLO HACKERS OUT THERE!! A NEW FORCE HAS BORN IN ITALY:--- CENTURIONS --- OUR TEAM IS COMPOSED OF 2 GUYZ: ME & HIM.(AHAHHA!) THE AIM OF --CENTURIONS-- IS JUST VIRUSMAKING.. WE HAVE LOTTA FUN DOING THIS AND WE ALSO HOPE TO GIVE FUN TO THE KILLERS MAKERS (HI STEVE TIBBETT!) HAW! HAW! HAW! SIGNED: ME & HIM / CENTURIONS frei Übersetzt: Hallo Ihr Hacker da draußen!! Eine neue Macht wurde in Italien geboren: --- CENTURIONS --- Unser Team besteht aus 2 Kerlen: Ich und Er (HaHaHa!) Das Ziel von -- CENTURIONS -- ist einzig das Herstellen von Viren. Wir haben daran sehr viel Spaß und wir hoffen, daß wir damit auch den Programmierern von Viren-Killern Spaß bereiten (Hi Steve Tibbett!) Ha! Ha! Ha! Unterzeichnet: ICH & ER / CENTURIONS Die Texte des SMILY CANCER - Virus kann man mit einem Disk oder Filemonitor nicht erkennen, da sie kodiert vorliegen. The Traveling Jack - Link-Virus I+II ------------------------------------ Es handelt sich um einen völlig neuartig programmierten Link-Virus, denn der Traveling-Jack-Virus ist der erste Virus, welcher sich an die BCPL-Spezialitäten des Amiga-DOS heranwagt. Genauer gesagt, der Traveling-Jack-Virus verbiegt die StartRoutine der Global-Vector-Funktionen. Bisher gibt es noch kein Anti-Virus-Programm, welches an dieser Stelle auf eine Virus-Infektion prüft, denn dieser Bereich des Amiga-DOS ist recht schwer verständlich. Der Traveling-Jack-Virus ist also für alle bisherigen Anti-Virus-Programme unsichtbar. Der Traveling-Jack-Virus ist recht aufwendig programmiert. Man erkennt sofort, daß hier keine Anfänger am Werk waren. Der Virus läuft jedoch z.B. nicht auf dem 68030, da der Virus beim Dekodieren seiner eigenen Dekodierroutine seinen Code modifiziert. Selbst ein Ausschalten der Caches kann das Abstürzen nicht verhindern. Wenn ein Open(), Lock(), DeleteFile(), oder Rename() Aufruf erfolgt, dann wird durch Zufall (strahlenpositionsabhängig) eine der 3 folgenden Aktionen ausgeführt: Aktion 1. es passiert nichts Aktion 2. es wird ein Text-File namens VIRUS.XX geschrieben Aktion 3. es wird eine loadfile infiziert Da zumindest die Lock()-Routine sehr häufig aufgerufen wird, kommt es auch sehr schnell zu Punkt 2 und Punkt 3. Aktion 2 -------- Es wird ein 198 Byte langes Text-File namens VIRUS.XX geschrieben. XX steht für eine zweistellige Hexadezimalzahl. XX wird durch Zufall aus dem Netzfrequenz-Counter gewonnen. Der Inhalt dieser 198 Byte langen Text-Files ist immer gleich: The Traveling Jack.... I'm traveling from town to town looking for respect, and all the girls I could lay down make me go erect. -Jack, 21st of September 1990 Aktion 3 -------- Der "The Traveling Jack" - Virus hängt sich an ausführbare Programme. Hierzu zählen z.B. auch die Handler und Devices im libs und devs - Verzeichis. Es können alle ausführbaren Programme in allen Verzeichnissen infiziert werden. Da der Virus hierbei aber zufallsgesteuert vorgeht, kann man nicht voraus- sagen, welche Files am ehesten infiziert werden. Sicher ist nur, daß Files kleiner 2000 Bytes nicht infiziert werden. Der Traveling-Jack-Virus macht sich nicht resetfest. Dadurch fällt er auch weniger auf. Der Virus hat es auch gar nicht nötig, sich resetfest zu machen, denn dadurch, daß er sehr viele Files infiziert, erwischt er sicherlich auch mal ein File, welches immer durch die Startup-Sequence aufgerufen wird. Dadurch wird dann auch der Virus bei jedem Booten aktiviert. Durch die Infektion mit dem "The Traveling Jack" - Virus verlängern sich die Files um 2400 oder 2404 Bytes. Der Virus verwendet zufallsgesteuert vier verschiedene Code-Anfänge, wodurch die Identifizierung des Virus erschwert wird. Mit einem File- oder Diskmonitor kann man keine verräterischen Texte erkennen, da der Virus seinen Code immer zufallsgesteuert verschlüsselt. Es existiert eine weitere Variante des "The Traveling Jack" - Virus. Dieser Virus verlängert die Files um 2460 oder 2464 Bytes. Diese Variante arbeitet verstärkt mit Kodierroutinen, im Endeffekt sind aber beide Viren praktisch identisch. Wie meist bei Link-Viren der Fall, infiziert der "The Traveling Jack" - Virus auch Files auf der Festplatte. Die Programmierung von Link-Viren ist recht anspruchsvoll. Der "The Traveling Jack" - Virus ist der bisher raffinierteste Link-Virus, da er für die üblichen Anti-Virus-Programme praktisch unsichtbar ist. Erfreulicherweise wird man durch die Text-Files gewarnt. b. Xeno-Typ (hängt sich an Anfang des ersten Hunks) --------------------------------------------------- Xeno-Virus I ------------ Der Xeno-Virus ist ein echter Link-Virus. Er ist nicht direkt bösartig, dennoch laufen manche infizierte Programme nicht mehr. Er funktioniert auf allen Amigas, da er mit Kickstart 1.2, 1.3, Fastmem usw. zusammenarbeitet. Der Xeno-Virus ist der erste Virus, welcher die dos.library manipuliert. Es werden der Open(), loadseg() und lock()-Vektor verbogen. Wenn nun diese Vektoren aufgerufen werden, dann werden die entsprechenden Programme infiziert. Da diese Vektoren sehr häufig benutzt werden, kommt es auch sehr schnell zur Infektion sehr vieler Programme. Die Programme vergrößern sich hierbei um 1124 Bytes, da der erste Code-hunk durch den Viruscode um 1124 Bytes verlängert wird. Programme, welcher kleiner als 384 Bytes sind, werden nicht infiziert. Leider sind circa ein Drittel der Programme nach der Infektion nicht mehr lauffähig. Insbesondere längere Programme stürzen beim Start sofort ab. Auch bei den anderen Link-Viren kommt es vor, daß Programme nach der Infektion nicht mehr laufen. Die Rate der nicht mehr lauffähigen Programme liegt aber in der Regel unter 10%, der Xeno-Virus steht hier mit über 30% sehr schlecht da. Der Xeno-Virus infiziert nur Files, welche nicht mit einer Zahl zwischen 0 bis 9 beginnen, und welche im Filenamen selber nur 0-9 und a-z A-Z aufweisen. Ferner werden die Programme im l und devs-Verzeichnis sowie das FastFileSystem-Programm nicht infiziert. Hierdurch soll erreicht werden, daß devices und libraries und fonts nicht infiziert werden, da diese ebenfalls wie loadfiles aufgebaut sind. Der Xeno-Virus macht sich nicht resetfest. Er muß also nach einem Reset zuerst wieder durch den Aufruf eines bereits infizierten Programms aktiviert werden. Hierbei werden dann die drei obengenannten Vektoren verbogen, wodurch nun wieder Files infiziert werden können. Dadurch, daß der Xeno-Virus keine Reset-Vektoren verändert und auch ansonsten nur die dos.library manipuliert, erkennen ihn viele Anti-Virus-Programme nicht. Dann und wann gibt sich der Virus zufallsgesteuert zu erkennen, indem folgende Meldung ausgegeben wird: Greetings Amiga user from the Xeno virus! Xeno-Virus II ------------- unterscheidet sich von Xeno-I lediglich durch einige Textänderungen, um dadurch von manchen Anti-Virus-Programmen nicht mehr erkannt zu werden. c. LZ-Typ (hängt sich an Ende des ersten Hunks) ----------------------------------------------- Grob gesagt gibt es bisher 3 Virenarten auf dem Amiga: Bootblock-Viren, File-Viren (mit Sonderfall disk-validator-Viren) und Link-Viren. Programmtechnisch kann man die Link-Viren in 3 Arten unterscheiden: Erstens IRQ-Typ: Hier wird ein kompletter Hunk an den File-Anfang gehängt. Zweitens Xeno-Typ: Hier wird der erste Hunk verlängert, wobei die Virus-Daten an den Anfang des ersten Hunks geschrieben werden. Diese zwei Link-Viren-Arten sind relativ schwierig zu programmieren, da hierbei z.B. die reloc-hunks usw. neu berechnet werden müssen. Etwas leicher zu programmieren ist nun der dritte und neueste Link-Virus-Typ, welcher nun mit dem LZ-Link-Virus und GoldenRider-Link-Virus funktionsfähig vorliegt. Bei den ersten zwei Link-Virus-Typen wurde immer zwangsläufig als erstes beim Programmaufruf der Virus-Code durchlaufen. Das heißt, es wurde immer der Link-Virus aktiviert und im Speicher installiert, auf daß nun neue Files infiziert werden konnten. Bei dem neuen dritten Link-Virus-Typ hingegen wird der Virus-Code nur in circa 50% der Fälle durchlaufen, da der Virus sich in eine Unterroutine am Ende des ersten Code-Hunks einhängt. Es kann aber durchaus sein, daß diese Unterroutine nie aufgerufen wird, da diese Unterroutine vielleicht nur für eine Fehlermeldung oder einen sonstigen Sonderfall gebraucht wird. Dem "Nachteil", daß der Virus nicht immer aktiviert wird, steht der "Vorteil" der relativ leichten Programmier- barkeit gegenüber. Es wird am Ende des ersten Code-Hunks nach einem "rts"- Befehl (=Ende einer Unterroutine) gesucht. Wenn ein solcher Befehl gefunden wird, dann wird der "rts"-Befehl in einen Sprung in den Virus-Code umgeändert. Erst am Ende des Virus-Codes erfolgt dann der "rts"-Befehl. Der Virus hängt sich also in eine eventuelle Unterroutine ein. Da der Virus-Code an das Ende des Code-Hunks angehängt wird, brauchen auch keine Reloc-Hunks usw. neu berechnet zu werden. Der Virus muß lediglich die zwei Code-Hunk-Längen-Angaben um die Virus-Code-Verlängerung erhöhen. Dadurch, daß dieser neue Link-Virus-Typ ein $4e75(rts) einfach als Ende einer Unterroutine betrachtet und sich nun willkürlich hier reinhängt, können manchmal nicht mehr funktionsfähige Files entstehen. Bemerkenswert ist aber an diesem neuen Link-Virus-Typ die relativ einfache Programmierbarkeit, wodurch in Zukunft leider verstärkt mit Link-Viren dieses Typus gerechnet werden muß. LZ-Link-Virus ------------- Es handelt sich um einen recht sauber programmierten Link-Virus, welcher nur unter Kickstart 1.2/1.3 arbeitet. Der LZ-Link-Virus verändert die interne Adresse der AmigaDOS-Write-Funktion in der Global-Vector-Table. Da letzendlich alle Write()-Aufrufe über diese Tabelle laufen, kann sich der Virus in jeden Schreibzugriff einklinken. Die Neuinfektion von Files geschieht also in der Regel beim Kopieren von Loadfiles. Das Original-File bleibt unverändert und die Kopie wird infiziert. Es werden jedoch nur circa 50% aller ausführbaren Programme infiziert, da für eine Infektion gewisse Bedingungen vorhanden sein müssen. Es muß am Ende des ersten Code-Hunks eine Unterroutine vorhanden sein, an die der Virus sich dann dranhängen kann. Das heißt der Virus sucht nach $4e75=rts oder $4eee=jmp offset(a6) und ersetzt diesen "Beende Unterroutine"-Befehl durch einen Sprung in den Virus-Code. Erst am Ende des Virus-Codes erfolgt dann mit einem "rts"-Befehl das Ende der Unterroutine. Der Virus versucht sich also in eine eventuelle Unterroutine einzuhängen. Es werden nun also circa 50% aller Files infiziert. Aber wenn man diese infizierten Files startet, dann wird nur wiederum in circa 50% der Fälle der Virus auch gestartet, denn es wird nicht immer die Unterroutine mit dem darangehängten Virus durchlaufen. Es kommt darauf an, wofür oder in welchem Fall diese Unterroutine gebraucht wird. Das kann immer sein, dann wird der Virus immer aktiviert, oder nur in einem Sonderfall, dann wird der Virus meist nicht aktiviert. Trotz recht sauberer Programmierung weist der LZ-Link-Virus einen schwerwiegenden Fehler auf, denn er infiziert Files mehrfach, da er sich an seinen eigenen Virus-Code anhängt. Solche mehrfach infizierten Files stürzen jedoch kurz nach dem Start ab. Der LZ-Link-Virus verlängert bei einer Infektion die Files um 400 Bytes. Diese erstaunlich kurze Virus-Code-Länge wird durch den Verzicht auf jegliche Text-Meldungen erreicht. Der Virus besteht "lediglich" aus der Infizierungsroutine. Sollte der erste Code-Hunk des Files kleiner 1000 Bytes sein, dann erfolgt keine Infektion. Der Virus hat es nicht nötig, sich auf auffällige Art restfest zu machen, da er ja über kurz oder lang durch ein bereits infiziertes File aufgerufen wird. Wenn man "run" oder "newcli" aufruft, dann wird der Virus entfernt, da unter Kickstart1.2/1.3 hierbei die Global-Vector-Table mit den Original-ROM-Werten refresht wird. GoldenRider-LinkVirus --------------------- Er arbeitet nicht mit Kickstart2.0 und ist immer ab $7c000 im Speicher zu finden. Er macht sich über den COOL-Vektor resetfest. Weiterhin wird der DOIO-Vektor verbogen, um dadurch zu erkennen ob eine soeben eingelegte Diskette beschreibbar ist. Diese "Methode" ist relativ fehlerträchtig, da der DOIO-Vektor nicht nur für das trackdisk.device benutzt wird. Auch ansonsten ist der GoldenRider-Link-Virus etwas schwächer wie z.B. der programmtechnisch verwandte LZ-Link-Virus programmiert. So werden manchmal Files beim Infizieren aufgrund eines Programmfehlers unwiderbringlich zerstört. Files größer 100000 Bytes werden generell nicht infiziert, ebenso werden Files nicht infiziert, wenn in ihrem Filenamen ASCII-Zeichen kleiner 64 auftreten. Ausgenommen sind "/",":","0" und "1". Normalerweise bestehen Filenamen aber aus Buchstaben, wodurch diese Files dann auch infizierbar sind. Der GoldenRider-Link-Virus verbiegt dann auch noch den Open()-Vektor der dos.library. Das Infizieren erfolgt dann also z.B. beim Anschauen oder beim Kopieren von ausführbaren Programmen. Der GoldenRider-Link-Virus unternimmt aber nur in circa 50% der Fälle einen Link-Versuch, da dies zufallsgesteurt wird (Rasterstrahlposition). Bei der Infektion werden die Files um 868 Bytes länger. In dem infizierten File kann man >>> Golden Rider <<< by ABT lesen. Wie der LZ-Link-Virus infiziert auch der GoldenRider-Link-Virus die Files mehrfach. Im Gegensatz zum LZ-Link-Virus sind jedoch beim GoldenRider auch die mehrfach infizierten Files lauffähig. Der GoldenRider-Link-Virus benutzt dieselbe Link-Logik wie der LZ-Link-Virus. Lesen Sie hierzu bei dem LZ-Link-Virus nach. Crime! ------ Siehe auch GolderRider oder LZ. Wie bei diesen beiden Link-Viren handelt es sich auch bei dem Crime! um einen nur unter Kickstart1.3 laufenden Linkvirus, welcher sich an das Ende des ersten Code-Hunks hängt. Hierbei wird das File um 1000 Bytes verlängert. Mehrfach-Infektionen sind möglich. Der Virus macht sich über den COOL-Vektor resetfest und kann Files infizieren, indem er AllocMem, Open, LoadSeg und die interne Adresse der AmigaDOS-Write-Funktion in der Global-Vector-Table verbiegt. Die Kick-Vektoren und der COLD-Vektor werden gelöscht, wodurch der Virus das einzige resetfeste Programm ist. Bei aktivem Virus kann man im Sopeicher Crime! lesen, daher der Name. Crime!++ -------- Starke Ähnlichkeiten mit Crime!, jedoch fehlerhafter programmiert. Files weden um 872 Bytes verlängert. Statt AllocMem wird Wait verbogen. Ansonsten praktisch gleich. Im Speicher kann man Crime!++ lesen. Näheres siehe bei Crime! Der Crime!++ - Link-Virus wurde mittels eines Trojanischen Pferdes namens DriveInfo (1704 Bytes) in Umlauf gebracht. Siehe auch dort. Infiltrator ----------- Dieser Link-Virus macht sich nicht resetfest und arbeitet erst ab Kick2.0. Die ersten 4 Bytes eines startbaren Files werden mit einem bsr-Befehl überschrieben. Mit diesem bsr-Befehl wird in den Virus-Code gesprungen, der an das Ende des ersten Code-hunks angehängt wird. In diesem Virus-Code wird der loadseg-Vektor verbogen, wodurch nun Files beim Starten infiziert werden können. Es sind nicht alle infizierten Files lauffähig, denn wenn der erste Original-Befehl ein absoluter Befehl war, dann wird beim Starten des infizierten Programmes der bsr Virus-Code-Befehl durch die Adressanpassung zerstört und es erfolgt ein Absturz. Der Infiltrator-Virus versucht solche Fälle zu verhindern, indem er Files mit einem absoluten jmp oder jsr-Befehl nicht infiziert. Durch diesen Test werden aber nur die häufigsten absoluten Befehle erkannt. Die infizierten Files werden um 1052 Bytes verlängert. Der Name des Virus rührt von folgendem Text her, welcher nach Entschlüsselung wie folgt lautet: Howdy hacker! This is The Infiltrator! Smart people with knowledge about this code can do ALOT of damage, belive me! Der Infiltrator prüft weiterhin auf das Vorhandensein einer Datei namens user.data, welche dann u.U. verändert wird. Der Infiltrator-Link-Virus hängt also seinen Viruscode wie die LZ-, Goldenrider- und crime-Linkviren an das Ende des ersten Code-Hunks. Während die LZ-, Goldenrider- und crime-Linkviren aber den Einsprung in den Virus-Code durch Veränderungen des Original-Codes vom Ende her zu bewerkstelligen versuchen, verändert der infiltrator-Virus die ersten 4 Bytes des Original-Codes, wodurch im Gegensatz zu den LZ-, Goldenrider- und crime-Linkviren immer der Virus-Code-Aufruf sichergestellt ist. Nach Infiltrator-Art infizierte Files haben aber den Nachteil, daß sie abstürzen können, und zwar dann wenn eine Adressanpassung aufgrund eines ursprünglich hier stehenden absoluten Befehls vorgenommen wird. d. Red-Typ (Virus-Code + Original-Programm -> 1 Hunk) ----------------------------------------------------- Red October V1.7 ---------------- Es gibt keine Begründung für diese Bezeichnung, denn der Virus macht niemals eine entsprechende Meldung. Das einzige Kriterium, das man zur Namensfindung heranziehen könnte, wäre der folgende Text, den man ab Position 1178 in infizierten Files lesen kann. timer.device dos.library ram: ram:1 Dieser Virus nahm seinen Ursprung mit einem 1296 Bytes langem File, in welchem der reine Virus-Code enthalten war. Eben diese Viruscode-Informationen verlängern dann ein infiziertes File um ebenfalls 1296 Bytes. Wenn man das Urspungs-Virus-File oder ein neues infiziertes File startet, dann wird zufallsgesteuert in circa 6% der Fälle ein Reset ausgelöst. In circa 33% der Fälle wird versucht eine Link-Virus-Infektion vorzunehmen. Hierbei wird mittels der üblichen DOS-Funktionen die Diskette nach noch nicht infizierten Files durchsucht. Wenn man also ein infiziertes File startet, dann wird maximal ein weiteres File infiziert. Der Virus verbiegt keine Vektoren und ist auch nicht resetfest. Es handelt sich um einen neuen Link-Virus-Typ, denn der Virus arbeitet nach folgendem neuartigen Prinzip. Der Virus hängt seinen Code, welcher dem Org-Virus-File entspricht direkt vor das zu infizierende File. Es bleiben alle Hunkstrukturen des Original-Files erhalten. Es wird also das File direkt von Diskette mittels Read eingelesen und keinerlei Umrechnungen vorgenommen. Der Viruscode und das Original-File werden nun als ein kompletter Code-Hunk ohne Relok-Hunk abgespeichert. Wenn man nun dieses infizierte File startet, dann wird der Virus-Code zuerst ausgeführt. Hierbei erfolgt wie bereits erwähnt in 6% der Fälle ein Reset, in 33% ein Neuinfektions- versuch und in 60% der Fälle wird einfach nur das Original-File zur Ausführung gebracht. Dieses funktioniert aber nicht immer. Es wird folgendermaßen vorgegeangen. Der Virus-Code speichert das Original-File nach RAM:1 ab und lädt dann das Original-File mittels loadseg zwecks korrekter Relozierung ein. Dann wird in diesen Original-Code direkt eingesprungen. Als Prozeß-Strukturen usw. werden die beim Starten des infizierten Files angelegten weiterverwendet. 5. Uhr-Virus ------------ Jeder Amiga-User, der eine Echtzeit-Uhr besitzt, kann irgendwann Probleme mit seiner Uhr bekommen. Es liegt folgender Sachverhalt vor: Durch das Setzen gewisser Register kann man die Echtzeituhr anhalten. Manche preferences- und setclock-Versionen nehmen nun fälschlicherweise an, daß gar keine Uhr vorhanden sei. Man erhält z.B. folgende Meldung: "Battery Backed up Clock not found" Zum Setzen dieser Uhr-Register kann es rein zufällig bei einem bösen Amiga-Absturz kommen. Natürlich kann auch ein Virusprogramm mit Absicht diese Register beschreiben. Das war es dann aber auch schon, was ein Virus mit der Uhr anstellen kann. Ein Virus, der in der batteriegepufferten Uhr überlebt, kann es niemals geben, denn die Uhr besteht lediglich aus 16 HalfByte-Registern. Der Uhren-Virus ist also ebenso ein Gerücht, wie die Behauptung, Viren könnten sich auf schreibgeschützte Disketten schreiben. Auch dieses ist zumindest bei einen nicht defekten Amiga-Laufwerk niemals möglich. Arbeiten Sie also möglichst immer mit Schreibschutz! Einige ältere setclock-Versionen (WorkBench 1.2) lassen sich nicht durch eine angehaltene Uhr täuschen. Einige neuere setclock-Versionen (WorkBench 1.3) behaupten leider hartnäckig, daß keine Uhr vorhanden sei. Wenn Sie jedoch VIRUS CONTROL benutzen, dann können Sie durch Anklicken von "akt. UHR" eine eventuell angehaltene Uhr wieder aktivieren. 6. Anmerkung ------------ Ich bin sehr an jeder Art von Viren interessiert. Über eine Zusendung würde ich mich sehr freuen! Ich versichere Ihnen, daß ich jede Zuschrift innerhalb von 3 Tagen beantworten werde. Ich danke für Ihre Mithilfe, denn nur mit Ihrer Unterstützung kann ich auch in Zukunft wirksam gegen Viren vorgehen. Pius Nippgen, Bergstr.12, 6657 Gersheim 8