home *** CD-ROM | disk | FTP | other *** search
/ HPAVC / HPAVC CD-ROM.iso / pc / CPI1.ZIP / CPI#1-3.DOC < prev    next >
Encoding:
Text File  |  1989-07-03  |  6.5 KB  |  99 lines
  1.      ----------------------------------------------------------------------
  2.      
  3.                        [1.3] Aspects Of Some Known Viruses
  4.      
  5.      
  6.           Many  viruses  have  been  written  before and probably after you 
  7.      read  this article. A few names include the Israeli, Lehigh, Pakistani 
  8.      Brain,  Alameda,  dBase,  and  Screen.  Keep in mind that most viruses 
  9.      ONLY  infect COM and EXE files, and use the Operating System to spread 
  10.      their  disease.  Also,  many viruses execute their own code before the 
  11.      host  file  begins  execution,  so  after  the virus completes passive 
  12.      execution  (without  "going  off")  the  program will load and execute 
  13.      normally. 
  14.      
  15.           Israeli  - This one is a TSR virus that, once executed, stayed in 
  16.      memory  and  infected  both COM and EXE files, affecting both HARD and 
  17.      FLOPPY  disks.  Once  executed, the virus finds a place to stay in the 
  18.      system's  memory  and upon each execution of a COM or EXE file, copies 
  19.      itself  onto the host phile. This one is very clever, before infecting 
  20.      the  file,  it  preserves  the  attributes  and date/time stamp on the 
  21.      file,  modifies  the  files attributes (removes READ only status so it 
  22.      can  write  on it), and then restores all previous values to the file. 
  23.      This  virus  takes very little space, and increases the host file size 
  24.      by  approximately  1800  bytes.  The trigger of this virus is the date 
  25.      Friday  the  13th.  This  trigger will cause the virus to either trash 
  26.      the  disk/s  or delete the files as you execute them, depending on the 
  27.      version. Whoever wrote this sure did a nice job....
  28.      
  29.           Lehigh  -  This one infects the COMMAND.COM file, which is always 
  30.      run  before bootup, so the system is ready for attack at EVERY bootup. 
  31.      It  hides  itself  via  TSR type and when any disk access is made, the 
  32.      TSR  checks  the  COMMAND.COM  to  see  if  it is infected. Then if it 
  33.      isn't,  it  infects  it,  and  adds  a  point to its counter. When the 
  34.      counter  reaches  4,  the  virus  causes  the disk to crash. This one, 
  35.      however,  can be stopped by making your COMMAND.COM Read-Only, and the 
  36.      date/time  stamp  is  not  preserved,  so  if  the  date/time stamp is 
  37.      recent,  one  could  be  infected  with  this  virus.  This  virus  is 
  38.      transferred  via  infected  floppy disks as well as a clean disk in an 
  39.      infected  system.  It can not infect other hosts via modem, unless the 
  40.      COMMAND.COM is the file being transferred.
  41.      
  42.           Pakistani  Brain  -  This one infects the boot sector of a floppy 
  43.      disk.  When  booting off of the disk, the virus becomes a TSR program, 
  44.      and  then  marks  an  unused portion of the disk as "bad sectors." The 
  45.      bad  sectors,  cannot be accessed by DOS. However, a disk directory of 
  46.      an  infected  disk  will show the volume label to be @ BRAIN. A CHKDSK 
  47.      will  find  a few bad sectors. When you do a directory of a clean disk 
  48.      on  an  infected  system, the disk will become infected. The virus has 
  49.      no  trigger  and  immediately  begins  to mark sectors bad even though 
  50.      they  are  good. Eventually, you will have nothing left except a bunch 
  51.      of  bad  sectors  and  no  disk  space. The virus itself has the ASCII 
  52.      written  into  it with the words "Welcome the the Dungeon" as well the 
  53.      names  of  the  supposed  authors of the virus, and address, telephone 
  54.      number,  and  a  few  other  lame  messages.  To inoculate your system 
  55.      against  this  virus,  just type 1234 at byte offset location 4 on the 
  56.      boot track (floppy disks).
  57.      
  58.           Alameda  -  This  virus  also infects the boot sector of the host 
  59.      system.  It  is  very  small  and  inhabits  ONE sector. This one only 
  60.      damages  floppy  disks.  If  you  boot from a diseased disk, the virus 
  61.      loads  itself  into  HIGH memory and during a warm boot, it remains in 
  62.      memory  and  infects  any  other  clean disks being booted from on the 
  63.      infected  system. It then replaces the boot track with the virus track 
  64.      and  replaces  the  boot  track  on the last track of the disk, so any 
  65.      data  located  on  the  last  track  is  corrupted.  All  floppy disks 
  66.      inserted  during  reboot can catch this virus. This virus only infects 
  67.      IBM PC's and XT's, however, it does not infect 286's or 386's. 
  68.      
  69.           dBase  -  This  one is a TSR virus that works in a manner similar 
  70.      to  the  Israeli  virus. It looks for files with a DBF extension, then 
  71.      it  replicates  itself in all DBF files, preserving file size, and all 
  72.      attributes.  After  the  first  90  days, the virus destroys your file 
  73.      allocation  table  and  corrupts all data in the DBF files. This virus 
  74.      creates  a  hidden  file,  BUG.DAT that indicates the bytes transposed 
  75.      (in  order to preserve file specifications). Run a CHKDSK to make sure 
  76.      you  don't  have  any  extra  hidden  files or a BUG.DAT in your dBase 
  77.      directory.  If  you  create a BUG.DAT file manually in your directory, 
  78.      making it read-only, you will be safe from this virus.
  79.      
  80.           Screen  -  This  one  is  another TSR virus that comes on and off 
  81.      periodically.  When  it is on, it examines the screen memory and looks 
  82.      for  any  4  digits  starting at a random place on the screen. Then it 
  83.      transposes  two  of  them,  this is not a good thing. It infects every 
  84.      COM  file  in  your  directory, HARD and FLOPPY disks can be infected. 
  85.      You  can  use  a  ASCII  searcher  to  check  if  you  are infected by 
  86.      searching  for  "InFeCt"  in your COM files. If you have this written, 
  87.      read  the  4  bytes immediately preceding it and overwrite the first 4 
  88.      bytes  of  the program with their value. Then, truncate the program at 
  89.      their  stored  address. You will rid yourself of this virus. Make sure 
  90.      you use a clean copy of you editor for this.
  91.      
  92.           Other  viruses  include  MAC, AMIGA, and many other environments. 
  93.      By  the way, other computer systems other than IBM/DOS may become part 
  94.      of CPI if you qualify.
  95.      
  96.           Anyway,  these  are  a few viruses I have read on and thus passed 
  97.      the  information  to  you, I hope you can learn from them and get some 
  98.      ideas for some.
  99.