Quelle: --------------------------------------------------------------------- Pius Nippgen, Bergstr.12, D-6657 Gersheim 8, Tel.06843/1522 ab 18.30 --------------------------------------------------------------------- A. VIREN - BESCHREIBUNG: ------------------------ 1. BootBlock-Viren 1.1 ASS 1.2 BamigaSectorOne 1.3 ByteBandit 1.4 DASA(ByteWarrior) 1.5 DiskDoctors 1.6 Gadaffi 1.7 Lamer 1.8 LSD 1.9 MicroMaster 1.10 Obelisk 1.11 PentagonCircleVirusSlayer 1.12 Revenge 1.13 SCA 1.14 Starfire/Northstar 1.15 SystemZ 1.16 TimeBomb 1.17 Joshua 2. File-Viren 2.1 RevengeOfTheLamerExterminator 2.2 BGS9 2.3 Terrorists 3. Link-Viren 3.1 IRQ A. VIREN - BESCHREIBUNG: ======================== 1. BootBlock-Viren =================== 1.1 ASS-VIRUS: -------------- Der ASS-Virus ist als Viren-Protector gedacht und meldet verbogene Cool, Kick-Vektoren mittels Alert. Er macht sich ueber die Kick-Vektoren resetfest. Hierbei werden jedoch andere Kick-resetfeste Programme wie z.B. RAD: geloescht. Der ASS-Virus laeuft nur mit V1.2 und 512 KB. Der ASS-Virus ueberschreibt keinerlei Daten !! 1.2 BamigaSectorOne-VIRUS: -------------------------- Der BS1!-Virus ist praktisch mit dem SCA-Virus identisch. Lediglich die Resetmeldung wurde abgeaendert. Lesen Sie bitte die entsprechenden Informationen beim SCA-Virus nach. 1.3 ByteBandit-VIRUS: --------------------- Der ByteBandit-Virus infiziert nicht nur die Boot-Diskette, sondern auch jede eingelegte Diskette. Die Besonderheit des ByteBandit-Virus ist die Blockierung des Rechners nach 7 Minuten. Auf dem Bildschirm wird dann nur noch die Hintergrundfarbe angezeigt. Diese Blockade tritt aber nur dann auf, wenn der Rechner mindestens 2 * resettet wurde UND mindestens 6 Disketten infiziert wurden. Man kann die Blockade durch folgende Tastenkombination aufheben: L-ALT L-AMIGA SPACE R-AMIGA R-ALT Die Tasten muessen nacheinander gedrueckt werden, wobei die vorherigen Tasten weiterhin gedr[eckt bleiben muessen. Der ByteBandit kopiert sich an den Supervisor-Stackboden und macht sich ueber Kick-Strukturen resetfest. Er infiziert Disketten bereits beim Einlegen. Hierzu verbiegt er den BeginIO-Vektor des trackdisk.devices. Ferner wird der exec.library-Vertikal-Blank-Vektor verbogen, um nach sieben Minuten den Rechner zu blockieren. Wohingegen der SCA-BootBlock-Virus nur die Boot-Diskette infizierte, stellt nun der ByteBandit-Virus eine neue Virus-Qulitaet dar, da er Disketten sofort beim Einlegen infiziert. Auch ansonsten ist der ByteBandit-Virus ist vielerlei Hinsicht sehr interessant und neuartig programmiert. Er ist einer der wenigen Viren die auch mit FastMem und KickstartV1.3 'korrekt' zusammenarbeiten, und dies trotz Baujahr 9.87. Die in den BeginIO-Vektor eingeschleifte Infektionsroutine ist allerdings etwas unsauber programmiert. Leider weist der ByteBandit-Virus neben dem schaedigenden ueberschreiben der Bootbloecke eine weitere schaedigende Eigenschaft auf, naemlich die unter gewissen Umstaenden erfolgende Rechnerblockade. 1.4 DASA(ByteWarrior)-VIRUS: ---------------------------- Von dem Ueberschreiben der Disk-BootBloecke einmal abgesehen, koennte man den DASA-Virus, auch ByteWarrior-Virus genannt, als gutmuetig bezeichen. Leider weist der DASA-ByteWarrior-Virus einen sehr schwerwiegenden Programmierfehler auf, wodurch er zu einem hoechst gefaehrlichen Virus wird ! Auf meinem Amiga-System macht der DASA-ByteWarrior-Virus meine Festplatte unbrauchbar !! Der DASA-ByteWarrior-Virus prueft naemlich nicht ob sich der DOIO-Zugriff auf das trackdisk.device bezieht. Der Virus versucht sich bei jeden 512 oder 1024-Lese oder Schreib-DOIO-Zugriff mit Offset 0 auf das jeweilige Device zu kopieren(=infizieren). Viele Festplattentreiber legen wichtige Festplattenverwaltungsdaten wie z.B Errorliste, Partitionsdaten, Mountliste usw. auf Zylinder 0 ab. Diese koennen hierbei ueberschrieben werden. Die Festplatte wird dadurch meist unbenutzbar. Leider unterscheiden sich die verschiedenden Festplattentreiber in der Verwaltung der Festplatten. Das heisst, ein Beschreiben des Zylinders 0 koennte bei einer z.B. Auto-Boot-Festplatte die Mountlist usw. ueberschreiben, wodurch die Festplatte nicht mehr ansprechbar ist. Dies ist bei meiner Festplatte der Fall. Bei einer anderen Festplatte kommt es vielleicht 'lediglich' zu einem kleineren Datenverlust. Ich besitze eine Auto-Boot-Festplatte mit ALF-2 TreiberSoftware, Der ALF-2-Treiber legt auf Zylinder 0 wichtige Systemdaten ab. Der DASA-ByteWarrior-Virus ueberschreibt diese Daten. Erfreulicherweise ist eine hundertprozentige Restauration der Festplatte moeglich, denn zur ALF2-Software gehoert ein Hilfsprogramm namens "frame-backup", welches die Systemdaten auf Zylinder 0 zurueckschreiben kann. Vorraussetzung ist allerdings, da- man von der intakten Platte ebenfalls mit Hilfe des frame-backup-Programms die Systemdaten in ein File gesichert hat. Es ist also Aufgabe des Festplattentreiberanbieters leistungsfaehige Hilfsprogramme mitauszuliefern!! Stehen einem allerdings solche Hilfsprogramm nicht zur Verfuegung, so fuehrt meist der folgende, universell einsetzbare, aber auch beschwerliche Weg zum Erfolg. Festplatte mittels mount Befehl mounten und dann mittels disksalv Files retten, womoeglich mit mask a, wenn ein backup verfuegbar ist. Die Hauptfunktion eines Virus liegt in der Vermehrung, so gesehen ist es Unsinn, einen vermeinlichen Festplattenbootblock zu infizieren, da der Bootvorgang bei Festplatten in der Regel nicht ueber den Bootblock laeuft. Auch wird jede Festplatte je nach Treiber anders verwaltet, es existiert kein verbindlicher Festplattenstandard. Weiterhin sind Festplatten in der Regel fest installiert ist, und somit nicht dazu geeignet den Virus auf andere Rechner zu uebertragen. Es macht also keinen Sinn, eine Festplatte zu infizieren, es sei denn der Sinn oder vielmehr Wahnsinn des Virus besteht in dem primitiven Zerstoeren von Daten. Leider sind Festplatten in der Regel nicht physikalisch schreibschuetzbar, und somit sehr empfindlich. Ein regelmaessiges Backup ist die somit einzige sichere Schutzmethode !!!! Dadurch, da- sich der DASA-ByteWarrior-Virus unkontrolliert in jeden DOIO-Zugriff reinhaengt, koennen also beliebige nicht reproduzierbare Datenverluste auftreten. Der DASA-ByteWarrior-Virus loescht den COLD,COOL-Vektor und macht sich ueber KICK-Strukturen resetfest. Er verbiegt den DOIO-Vektor, um Disks schon beim Einlegen zu infizieren. Der DASA-ByteWarrior-Virus nistet sich im vermeintlich sicheren Supervisorstack $7f800-$80000 ein, was jedoch nur fuer 512 KB-Amiga gilt. Ferner laeuft er nur mit KickstartV1.2, da er direkt ins ROM einspringt. Der groesste Programmierfehler (oder gar Absicht ??), ist jedoch die bereits erwaehnte fehlende Pruefung auf "trackdisk.device" Es wird gelegentlich die Meinung vertreten, der DASA-ByteWarrior-Virus sei als Anti-Virus geplant gewesen. Dies ist Unsinn ! Der DASA-ByteWarrior ist geradezu der Prototyp eines BootBlock-Virus. 1.5 DiskDoctors-VIRUS: ---------------------- Der DiskDoktor ist ein sehr heimtueckischer Virus. Er offenbart erst nach 2000 Disketten-Infektionen seine volle Boesartigkeit. Der DiskDoktor-Virus macht sich ueber den COLD- und COOL-Vektor resetfest. Er verbiegt den DOIO-Vektor, um Disks schon beim Einlegen zu infizieren. Der DiskDoctor-Virus installiert einen Task namens "clipboard.device", welcher permanent die Vektoren auf den Virus verbiegt. Ab dem fuenften Reset wird bei jedem Reset 10240 Bytes * Resetanzahl ChipMem abgezogen. Nach dem zehnten Reset wird also 10*10240=102400 Bytes ChipMem belegt. Der DiskDoktor-Virus merkt sich die Anzahl aller bisherigen Disk-Infektionen. Wenn die Anzahl der Disk-Infektionen groesser 2000 wird, aendert der DiskDocto r- Virus sein bisheriges 'relativ friedliches' Verhalten. Er verbiegt den exec.library-Vertikal-Blank-Vektor, um nach 30 Minuten den Rechner zu resetten. Zuvor wird der Rechner ab circa der 26 Minute zunehmend langsamer. Bei jedem fuenften Disketten-Einlegen wird die obere Diskettenhaelfte einschliesslich der Root-Spur FORMATIERT !!!! Der DiskDoctor-Virus laeuft nur mit KickstartV1.2 Mit FastMem usw. arbeitet er problemlos zusammen. Der DiskDoctor-Virus ist recht interessant programmiert. Verwerflich ist jedoch seine primitive Boesartigkeit. 1.6 Gadaffi-VIRUS: ------------------ Der Gadaffi-Virus ist sehr stark dem DASA-ByteWarrior-Virus nachempfunden. Der Gadaffi-Virus unterscheidet sich hauptsaechlich nur dadurch, dass er nach einigen Resets ein 'schwirrendes' StepperMotor-Geraeusch erzeugt. Der schwerwiegende Programmierfehler des DASA-ByteWarrior-Virus ist als genauso im Gadaffi-Virus enthalten. Wie der DASA-ByteWarrior-Virus ist also auch der Gadaffi-Virus hoechst gefaehrlich, da er z.B. Festplatten unbrauchbar machen kann. Lesen Sie bitte die entsprechenden Informationen beim DASA-ByteWarrior-Virus nach. Der Gadaffi-Virus loescht den COLD-Vektor und macht sich ueber COOL und KICK-Vektoren resetfest. Er verbiegt den DOIO-Vektor, um Disks schon beim Einlegen zu infizieren. Der Gadaffi-Virus nistet sich im vermeintlich sicheren Supervisorstack $7e800-$80000 ein, was jedoch nur fuer 512 KB-Amiga gilt. Ferner laeuft er nur mit KickstartV1.2, da direkt er direkt ins ROM einspringt. Der groesste Programmierfehler (oder gar Absicht ??), ist jedoch die bereits erwaehnte fehlende Pruefung auf "trackdisk.device" 1.7 Lamer-Virus: ---------------- Alle Lamer-Viren sind sehr boesartige Viren, da sie mit voller Absicht Daten unwiederbringlich zerstoeren. Sie machen sich ueber eine Kick-Struktur resetfest und infizieren Disketten beim Einlegen. Bis jetzt sind nur Disketten gefaehrdet, da sich alle bisherigen Lamer-Viren in den BeginIO-Vektor des trackdisk.devices einhaengen. Fuer z.B. Festplatten besteht keine Gefahr. Allerdings soll ein Lamer-Virus namens "ReturnOfTheLamerExterminator" geplant sein, welcher auch gezielt Festplattendaten loeschen soll. Lamer-Viren laufen auch mit KickstartV1.3 und FastMem. Alle Lamer-BootBlock-Viren taeuschen anstelle des Lamer-BootBlocks einen Standard-BootBlock vor. Bei einem aktiven Lamer-Virus versagen also alle herkoemmlichen Anti-Virus-programme. (jedoch nicht VIRUS-CONTROL V2.0). Alle Lamer-BootBlock-Viren weisen den String "The LAMER Exterminator !!!" in der Kick-Struktur auf. Dieser String ist jedoch nicht immer mit 0 abgeschlossen. Die Lamer-Viren machen sich 100% nur ueber die Kick-Vektoren resetfest. In den Kick-Resident-Strukturen ist manchmal kein MatchWord enthalten. Dies ist auch nicht noetig, da das Betriebsystem diese Strukturen sofort uebernehemen kann und nicht erst zusammensuchen muss. Verschiedentlich wird behauptet, Lamer-Viren wuerden sich auf neuartige Weise ueber KickCheckSum() resetfest machen. Dies ist unmoeglich !!! Lamer-Viren verbiegen den KickCheckSum-Vektor nur deshalb, damit sie nicht bei der Installierung eines anderen resetfesten Programmes abgehaengt werden. Lamer!II.1 Kennzeichen: dc.w $d310 ab Byte 46 ueberschreibt DatenBloecke mit Lamer! nach 2Resets+3Infects Kennzeichen: dc.w $d310 ab Byte 70 ueberschreibt DatenBloecke mit Lamer! nach 2Resets+3Infects Kennzeichen: dc.w $b118 ab Byte 72 ueberschreibt DatenBloecke mit LAMER! nach 6Resets+3Infects Lamer!II.2 Kennzeichen dc.l $b3beb2bb ab Byte 50 FORMATIERT!! Disks nach 6Resets+4Infects, kommt auch an Files gelinkt vor, z.B. an VirusX Lamer!III Kennzeichen: ab Byte 1012 $abcd uberschreibt DatenBloecke mit Zufallswerten nach 2Resets+4Infects verschiebt Original-BootBlock von Block0,1 nach Block2,3, wodurch der Virus lange unerkannt bleibt, da weiterhin auch der Original-BB ausgefuehrt wird. Neben diesen Lamer-BootBlock-Viren gibt es neuerdings auch einen Lamer-File-Virus. Siehe hierzu unter File-Viren "RevengeOfTheLamerExterminator". 1.8 LSD-VIRUS: -------------- Der LSD-Virus ist praktisch mit dem SCA-Virus identisch. Lediglich die Resetmeldung wurde abgeandert. Lesen Sie bitte die entsprechenden Informationen beim SCA-Virus nach. 1.9 MicroMaster-VIRUS: ---------------------- Der Micro-Master-Virus ist praktisch mit dem SCA-Virus identisch. Lediglich die Resetmeldung wurde abgeaendert. Lesen Sie bitte die entsprechenden Informationen beim SCA-Virus nach. 1.10 Obelisk-VIRUS: ------------------ Kopiert sich an Supervisorstackboden. Macht sich ueber COOL-Vektor resetfest. Infiziert nur BootDisk. Es wird vor dem Booten eine Grafikmeldung ausgegeben. V1.3 + Fastmem kompatibel. 1.11 PentagonCircleVirusSlayer: ------------------------------ als Anti-Virus gedacht. schlecht programmiert, da feste Adressen benutzt. ueberschreibt nur BootDiskette und zwar nur dann, wenn ein Virus darauf identifiziert wurde. 1.12 Revenge-VIRUS: ------------------ Der Revenge-Virus ist ein eigenstaendiger Virus und weist keine "aehnlichkeite n mit dem Byte-Bandit-Virus auf, wie manchmal behauptet wird. Der Revenge-Virus ist deutlich schlechter wie der Byte-Bandit-Virus programmiert, da er z.B. absolute Adressen benutzt. Der Revenge-Virus macht sich ueber den COOL-Vektor resetfest und infiziert Disketten durch Verbiegen des DOIO-Vektors. Ferner wird auch der Exec-IRQ-3-Interrupt verbogen, um nach einer gewissen Zeit den Mauszeiger in ein Phallus-Symbol zu verwandeln. 1.13 SCA-VIRUS: -------------- Es wird beim Booten die Boot-Diskette mit dem SCA-Virus infiziert. Ansonten werden keine Disketten infiziert. Es handelt sich um ein BootBlock-Virus, welcher sich ueber den COOL-Vektor resetfest macht. In dieser COOL-Routine wird der DOIO-Vektor verbogen, damit beim gleich folgenden DiskBoot-Versuch die BootDiskette infiziert werden kann. Danach wird der DOIO-Vektor wieder rerstauriert. Wird waehrend des Resets die linke Maustaste gedrueckt, so wird der SCA-Virus entfernt. Die Besonderheit des SCA-Virus liegt darin, da- nach 15 Infektionsversuchen (entspricht meist 15 Resets) eine laengere Virus-Meldung ausgegeben wird. Wenn man bedenkt, dass es sich bei dem SCA-Virus um den ersten funktionsfaehigen Amiga-Virus handelt, so muss man die Programmierung durchaus als bemerkenswert, wenn auch keinesfalls als lobenswert betrachten. Die willkuerliche Speicherbenutzung ab $7c8fc muss als Programmierfehler betrachtet werden. 1.14 Starfire/NorthStar-VIRUS: ----------------------------- ist als Anti-Virus gedacht. infiziert nur die Boot-Diskette. macht sich ueber COOL-Vektor resetfest. 1.15 SystemZ-V3.0: ----------------- ist als Anti-Virus gedacht. Wenn SCA oder ByteBandit auf BootDiskette, so wird mittels Alert ein Ueberschreiben des BootBlocks mit dem SystemZ-Virus angeboten. Wenn man die linke Maustaste beim Booten gedrueckt haelt, so wird ohne Rueckfrage generell der BootBlock der Diskette mit dem SystemZ-Virus ueberschrieben. Hierin liegt die groesste Gefahr des SystemZ-Virus. Es handelt sich um ein Bootblock-Virus, der etwas dem SCA-Virus gleicht. Er loescht den COOL-Vektor, macht sich ueber KICK-Vektoren resetfest. die residente Kick-Routine verbiegt den DOIO-Vektor auf SystemZ, um beim gleich folgenden DiskBoot-Versuch BootDiskette auf SCA und ByteBandit zu pruefen. Wenn positiv, kann mittels Alert ein ueberschreiben des BootBlocks mit dem SystemZ-Virus angewaehlt werden (Left MouseButton: Kill the Virus). Nach der Pr[efung der BootDiskette wird der DOIO-Vektor wieder rerstauriert. Es werden somit spaeter beim Disketten-Einlegen keine Disketten gepr[eft bzw. infiziert. Der SYSTEMZ-Virus ersetzt nach Rueckfrage einen SCA oder ByteBandit-Virus-BootBlock durch den SystemZ-BootBlock. Man kann daher den SystemZ-Virus als einen Anti-Virus betrachten. Wenn man jedoch beim Booten die linke Maustaste gedrueckt haelt, so wird generell jeder BootBlock ueberschrieben. Aufgrund dieser Eigenschaft muss man SystemZ als Virus betrachten. Ein weiterer Grund, den SystemZ-Virus zu entfernen liegt darin, dass er nur auf 512KB-Amigas 'korrekt arbeitet', da er sich im vermeintlichen Supervisorstack $7e800-$80000 einnistet. Drueckt man waehrend des Resets die rechte Maustaste, so wird der SystemZ-Virus entfernt. Eine kurze Tonfolge zeigt den aktiven SystenZ-Virus an. SystemZ-V4.0,5.0 weisen nur geringfuegige Unterschiede zu V3.0 auf. 1.16 TIME-BOMB-V1.0-VIRUS: ------------------------- Da der TIME-BOMB-Virus nicht resetfest ist, und auch keine Disketten beim Einlegen infiziert, kann er sich also praktisch nicht unbewusst verbreiten. Der Name TIME-BOMB ist also unsinnig. Eine Gefahr droht nur dann, wenn der TIME-BOMB-BootBlock schon auf Disk drauf ist. Wenn man dann von dieser Disk bootet, wird nach dem zweitem Reset die Root-Spur der Boot-Diskette ueberschrieben, wodurch die Diskette unbrauchbar wird, (mit disksalv zum Grossteil restaurierbar) Der TIME-BOMB-VIRUS ist mehr ein Bootblock-Virus-Versuch. Er ist insgesamt maessig, unlogisch und wenig wirksam programmiert. Ferner benutzt er willkuerlich Speicher ab $70000. Er kann zwar durch Ueberschreiben der Root-Spur der Boot-Diskette durchaus datenvernichtend wirken, aber dieser Fall wird eher selten auftreten, da sich der TIME-BOMB-VIRUS nicht selbststaendig auf andere Disketten verbreiten kann. 1.17 Joshua: ----------- Der Joshua-Virus ist wie der Byte-Bandit-Virus programmiert. Er laeuft also mit FastMem und Kickstart V1.3. Es bestehen lediglich 2 Unterschiede: 1. Der Joshua-Virus arbeitet ein wenig mit Kodierroutinen um z.B. den "trackdisk.device"-String zu verstecken. 2. beim ByteBandit-Virus wird der Rechner nach 7 min blockiert, beim Joshua-Virus wird anstatt dessen nach 10 min fuer 50 sec. der Joshua-Sprite angezeigt (nach 2 Reset + 6 DiskInfektionen) Die schaedliche Wirkung des Joshua-Virus liegt also im ueberschreiben des BootBlocks. Festplatten sind nicht gefaehrdet. 2. File-Viren ============== 2.1 RevengeOfTheLamerExterminator ---------------------------------- Neben den bekannten Lamer-BootBlock-Viren gibt es neuerdings auch einen Lamer-File-Virus. Sein Name ist "RevengeOfTheLamerExterminator", gemaess dem 3-seitigen Alert, welcher nach 8 Minuten erscheint. Hierbei werden auch alle eingelegten und nicht schreibgeschuetzten Disketten formatiert. Der "RevengeOfTheLamerExterminator" ist kein bootBlock-Virus, denn er verbreitet sich nicht ueber den BootBlock, sondern er verbreitet sich mit Hilfe der startup-sequence. Hierzu schreibt er sich als normales Programm unter dem Namen $a0a0a0a0a0 auf Diskette und schreibt zusaetzlich in die startup-sequence $a0a0a0a0a0. Der Virus wird nun also beim Abarbeiten der startup-sequence aktiviert. $a0a0a0a0a0 erscheint lediglich als Leerzeile und wird dadurch leicht uebersehen. 2.1 BGS9-File-Virus -------------------- Der BGS9-Virus ist ein relativ ungefaehrlicher und neuartig programmierter Virus. Es handelt sich um einen sogenannter File-Virus. Das heisst, der Virus verbreitet sich direkt als File. Dieses Virus-File ist 2608 Bytes lang und hat den Namen des ersten Files der startup-sequence. Das fr[ehere Original-File steht nun unter einem unlesbaren Namen in devs: (devs:a0a0a0202020a0202020a000). Der BGS9-Virus wird also in der Regel automatisch beim Abarbeiten der startup-sequence aktiviert. Hierbei macht sich der Virus, wenn noch nicht geschehen, ueber Kick-Mem, Kick-Tag resetfest. Hierbei werden andere Kick-resetfeste Programmen, wie z.B. RAD: nicht geloescht. Der BGS9-Virus ist auch in anderer Hinsicht flexibel programmiert, dass heisst er arbeitet auch mit FastMem oder Kickstart V1.2, V1.3. Nachdem sich der Virus also resetfest gemacht hat, wird nun, um unauffaellig zu bleiben, das eventuelle frueheres Original-File in devs: ausgefuehrt. Beim Ausfuehren des Virus-Files passiert also ausser dem Resetfestmachen und der Ausfuehrung einen eventuellen devs:Original-Files nichts !! Die Verbreitung des Virus erfolgt beim Bootvorgang. In der resetfesten Kick-routine wird der OpenWindow-Vektor verbogen. Beim naechsten OpenWindow-Aufruf wird nun zuerst versucht das File devs:a0a0a0202020a0202020a000 zu oeffnen. Wenn dies fehlschlaegt, ist die vorliegende Diskette noch nicht infiziert. In diesem Falle wird nun aus sys:s/startup-sequence der erste Filenamen geholt, und dieses File, notfalls unter Hinzufuegung von c/ in devs:a0a0a0202020a0202020a000 umbenannt. Anschliessend wird unter dem Original-Filenamen das 2608-Byte lange Virus-File erstellt. Bei einer schreibgesch[etzten Diskette erscheinen keine verraeterische System-Requester, da diese zuvor durch Setzen von WindowPrt auf -1 verboten wurden. Es wird nun wieder der OpenWindow-Vektor restauriert und bei jedem 4 Reset eine Bildschirmmeldung ausgegeben ...........