Heiner Schneegold
   Am Steinert 8
   97246 Eibelstadt
   (Deutschland)

   Tel: 09303/99104
   (19.00 - 20.00 Uhr)
   EMail: Heiner.Schneegold@t-online.de


  letzte Aenderung: 16.06.96

  Aenderungen seit VT2.84     VT-Laenge: 312580 Bytes

   WICHTIG !!!!!
      Um Linkviren SICHER zu finden, die sich HINTER
      den 1.Hunk linken, MUESSEN Sie FileTest auf-
      rufen !!!
   Hinweis: Die Texte mussten mit Powerpacker-Data
      behandelt werden, da sonst der Platz auf der Disk
      nicht mehr gereicht haette. Im C-Verzeichnis sollte
      ein muchmore liegen, das PP-Data lesen kann.
   Hinweis: VT.xyz muss nach RAM oder Fastfilesystem-880k-
      Disk entpackt werden, sonst reicht der Platz nicht.

   - Hitch-Hiker-2-Virus               15/16.06.96
        (Link)


	Kopieren Sie bitte VT2.85 auf ihre Festplatte oder Disk (empfohlen).
	Vergessen Sie bitte nicht in der startup-sequence VT2.85 einzutragen,
    falls Sie auf eine Boot-Disk kopieren. Die Virus-Beschreibung
	schneiden Sie bitte aus und fuegen den Text in VTkennt_A-K ein.
    Danke

   - Hitch-Hiker-2-Virus     Link
         Bekannte Archive:
         DMS 2.40 Update
         DeluxeGalaga   VersionsNr. unbekannt
         Fileverlaengerung: 1848-1908 Bytes in Abhaengigkeit von $DFF007
         Ab KS 2.04
         Verbogene Vektoren LoadSeg, Write
         Geaendert: LastAlert $BADC0DED
         Nicht Resetfest
         Das Teil meldet sich nicht.
         Codierung in Abhaengigkeit von $DFF007
         Decodiert ist im Linkteil zu lesen:  
            54686520 48697463 682d4869 6b65720a The Hitch-Hiker.
            47656e65 72617469 6f6e3a20 30303030 Generation: 0000
            30313233 0a2d2056 65727369 6f6e2032 0123.- Version 2
            2e30310a 0a0a5468 616e6b73 20666f72 .01...Thanks for
            20746865 20526964 652c204d 69737465  the Ride, Miste
            7221210a 00000000                   r!!.....
         Einbau im Speicher:
         LastAlert (202(a6)) wird auf $ABBAFAB4 und $BADC0DED ueberprueft.
         Falls ja -> Ende .  LoadSeg und Write wird verbogen. in LastAlert
         wird BADC0DED geschrieben.
         Link an File hinter 1.Hunk:
         Speichermedium validated und mind. #10 Blocks frei
         File ausfuehrbar (3F3)
         CodeHunk (3E9) wird gefunden
         Bei Filenamen KEIN Test auf bestimmte Buchstaben
         Es wurde im Viruscode zwar eine Laengenbegrenzung gefunden, aber
         diese Grenze wurde auf 68040 MEHRFACH ueberlaufen bei Test-Ver-
         mehrungen.
         move.l 4,a6 (6 Bytes), move.l 4.w,a6 (4 Bytes) oder RTS wird im
         1.Hunks gefunden.
         Der Abstand von diesem Punkt zum Originalende des 1. Hunks
         ist nicht groesser als $7FFF (bei move) oder $7F (bei RTS).
         Falls diese Bedingungen zutreffen, wird der move.l 4-Befehl
         durch einen BSR-Befehl ($6100uvwx) ersetzt. Falls der Original-
         Befehl sechs Bytes lang war, wird noch ein NOP gesetzt, um die
         Laenge anzugleichen. Der RTS-Befehl wird durch einen BRA.s-Befehl
         ($60uv) ersetzt.
         Es koennen auch MEHRERE Spruenge erzeugt werden.
         VT schreibt IMMER move.l 4.w,a6 zurueck, d.h. es koennen
         im 1.Hunk NOPs verbleiben, welche im Originalfile nicht vorhan-
         den waren. Das macht NICHTS . Die Filelaengen des Originalfiles
         und des ausgebauten Files muessen aber uebereinstimmen !!!!
         VT kann am verseuchten File nicht feststellen, ob das NOP vom
         Programmierer gewollt war, oder vom Virusteil erzeugt wurde.
         Der BRA.s-Befehl sollte von VT durch ein RTS ersetzt werden
         (auch mehrfach).
         Mehrfach-Links an ein File konnten NICHT erzeugt werden.
         Hinweis: Falls Ihre Festplatte sehr verseucht ist, gehen Sie
         bitte in Sp->File->Sp, waehlen ein Unterverzeichnis (z.B. c)
         und klicken dann auf DirFTest. Gehen Sie danach weitere Unter-
         verz. (libs usw.) durch.


	Heiner

	Amiga ist ein eingetragenes Warenzeichen der ESCOM AG