home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #27 / NN_1992_27.iso / spool / comp / sys / ibm / pc / misc / 14885 < prev    next >
Encoding:
Text File  |  1992-11-21  |  3.4 KB  |  79 lines
  1. Newsgroups: comp.sys.ibm.pc.misc
  2. Path: sparky!uunet!spool.mu.edu!umn.edu!csus.edu!netcom.com!mcafee
  3. From: mcafee@netcom.com (McAfee Associates)
  4. Subject: Re: "FORM" Virus
  5. Message-ID: <1992Nov22.072835.20368@netcom.com>
  6. Followup-To: poster
  7. Summary: Short description of FORM virus
  8. Sender: Aryeh Goretsky
  9. Organization: McAfee Associates
  10. References: <coiLuB1w165w@student.business.uwo.ca>
  11. Date: Sun, 22 Nov 1992 07:28:35 GMT
  12. Lines: 65
  13.  
  14. Hello Michael Tanglao,
  15.  
  16.  
  17. In article <coiLuB1w165w@student.business.uwo.ca> m4tangla@student.business.uwo.ca (Michael Tanglao) writes:
  18. >I am currently having problems getting rid of the "FORM" virus from our LAN 
  19. >sys.  Does anyone know anything about this virus?  Norton Anti-Virus does not 
  20. >seem to eliminate it, although F-prot does.  I am using F-prot on all the 
  21. >stations, so I thought I had taken care of it.  Unfortunately, some bizarre 
  22. >disk errors have occurred recently.
  23. >
  24. >Does anyone know anything about what this virus does?  Are there Norton virus 
  25. >definitions available for it?
  26.  
  27. The FORM virus is a floppy disk and hard disk boot sector infector, that is,
  28. it relocates the DOS Boot Sector to another location on the disk and copies
  29. itself into the original location so the next time that disk is booted from
  30. the virus is loaded into memory.  Once resident in memory, the virus monitors
  31. the system for other disks to infect.  When a disk is accessed, the virus
  32. checks to see if it is infected and if not, places a copy of itself onto the
  33. disk.
  34.  
  35. The virus activates on the 18th or the 24th of the month, depending on which
  36. variant you have.  At that time, the virus will make a click sound over the
  37. speaker whenever a key is pressed on the keyboard.
  38.  
  39. The FORM virus is too large to fit into one sector, so it stores the original
  40. boot sector along with the rest of its code at the end of infected disks (I
  41. don't recall the exact location) in several sectors marked as bad.
  42.  
  43. The fastest way to remove the virus is to boot infected PC's from an original
  44. DOS boot disk (the DOS Install disk that comes with most PC's is great).  
  45. After booting, using the DOS "SYS" command to transfer a new boot sector from
  46. the floppy diskette to the hard disk.  You can also use the SYS command to
  47. remove the virus from any bootable floppies, or copy the files off the 
  48. infected diskettes, reformat, and reload the programs to them.  After
  49. removal, run CHKDSK to recover the bad clusters created by the virus and
  50. delete them.
  51.  
  52. Alternatively, you may want to try using a different anti-viral program.
  53. Several public domain and shareware anti-viral programs are available by
  54. anonymous ftp from the WSMR-SIMTEL20.Army.Mil archives or any of its 
  55. mirror sites (North American mirrors include wuarchive.wustl.edu and
  56. oak.oakland.edu, if recall correctly).
  57.  
  58. Regards,
  59.  
  60. Aryeh Goretsky
  61. McAfee Associates Technical Support
  62.  
  63. >
  64. >Please send all replies to lawphf@ccs.cc1.uwo.ca.
  65. >Thanks.
  66. >
  67. >m4tangla@student.business.uwo.ca (Michael Tanglao)
  68. >Western Business School  --  London, Ontario
  69.  
  70.  
  71. -- 
  72. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
  73. McAfee Associates, Inc.  | Voice (408) 988-3832 | INTERNET:
  74. 3350 Scott Blvd, Bldg 14 | FAX   (408) 970-9727 | mcafee@netcom.COM
  75. Santa Clara, California  | BBS   (408) 988-4004 | CompuServe ID: 76702,1714
  76. 95054-3107  USA          | USR HST Courier DS   | or GO MCAFEE
  77. Support for SENTRY/SCAN/NETSCAN/VSHIELD/CLEAN/WSCAN/NETSHIELD/TARGET/CONFIG MGR
  78.  
  79.