home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #27 / NN_1992_27.iso / spool / comp / virus / 4317 < prev    next >
Encoding:
Internet Message Format  |  1992-11-17  |  3.9 KB
  1. Path: sparky!uunet!charon.amdahl.com!pacbell.com!ames!sun-barr!rutgers!netnews.upenn.edu!netnews.cc.lehigh.edu!news
  2. From: martin@cs.ualberta.ca (Tim Martin; FSO; Soil Sciences)
  3. Newsgroups: comp.virus
  4. Subject: Re: SCAN Ver 97 & Monkey Virus (PC).
  5. Message-ID: <0012.9211161950.AA15221@barnabas.cert.org>
  6. Date: 14 Nov 92 22:36:16 GMT
  7. Sender: virus-l@lehigh.edu
  8. Lines: 73
  9. Approved: news@netnews.cc.lehigh.edu
  10.  
  11. webbew@aron01.gs.com (William Webber) writes:
  12.  
  13. >I have recently found one of my many DOS PC's and an OS/2 PC plus
  14. >diskettes infected with the Monkey virus. The virus was identified
  15. >using SCAN ver 97 and displayed the virus code as being of type [Mon].
  16. >It could not be removed with CLEAN because CLEAN found the virus code
  17. >active in memory and suggested the PC should be booted from a clean
  18. >copy of DOS and run SCAN to check the extent of the infection. When I
  19. >did this, SCAN could not access the hard disk because DOS had not
  20. >loaded the block disk device driver as the partition table had been
  21. >seriously modified.
  22.  
  23. Oh, no, not another one.  Please, where is aron01.gs.com?  
  24. If it's not in Edmonton, then I'm afraid Monkey is getting
  25. around.
  26.  
  27. SCAN can't access the hard disk file system, but CLEAN should
  28. be able to access the virus and the hidden, proper MBR.  I 
  29. don't know if CLEAN v97 can remove Monkey, though.
  30.  
  31. Monkey complicates the removal process in three ways:
  32. 1. the partition table isn't saved in the virus body, so 
  33.    FDISK /MBR won't work.  Nor will Norton's NDD.  And
  34.    booting from a floppy means you can't read/use the hard disk
  35.    file systems.
  36. 2. The clean MBR is encoded before it is stashed away in sector 3.
  37.    This trips up software like Padgett's FixMBR (or whatever it's
  38.    called - sorry Padgett!)  because FixMBR can't find a proper
  39.    partition table when it scans the "hidden" sectors.
  40.    Any scanner/cleaner software that grabs the MBR from the
  41.    hiding place (sector 3) must decode it before writing it
  42.    to sector 1.
  43. 3. The virus uses stealth against reads and writes of sector 1,
  44.    which is why it can't (easily) be removed while resident.
  45.  
  46. Because Monkey has been assumed to be a rare virus, found only in
  47. the Edmonton area, and we have ways to deal with it here (KILLMONK),
  48. and cleaning a Monkey infection isn't as trivial as cleaning a
  49. Stoned or Michelangelo infection, I think some of the anti-virus
  50. software writers haven't made it a priority to add routines to
  51. remove Monkey.  
  52.  
  53. Technical: how to clean Monkey:
  54. The proper partition table is still in the proper MBR, which is
  55. encoded, in sector 3 of side 0, track 0.  The encoding (assuming
  56. what you have is one of the two known variants of Monkey) is a
  57. simple XOR 2Eh on every byte of the sector.  To recover the disk,
  58. then, you must read side 0 track 0 sector 3, (using Int 13h, from 
  59. a clean boot) decode every byte with an XOR 2Eh, and if the result
  60. looks like a proper MBR, write the result to side 0 track 0 sector 1.
  61. It can all be done with debug, assuming you have debug on a floppy,
  62. and you know what you are doing.
  63.  
  64. But it isn't trivial, so instead you might want to get a copy of
  65. my KILLMONK program, which does that and more for you.  It uses
  66. some careful identification strings, checks that the recovered MBR
  67. is correct, etc.  Also makes scanning and cleaning of floppies 
  68. easy.  And strictly speaking, it doesn't require a clean boot, as
  69. long as the only virus messing things up at the time is Monkey.
  70.  
  71. I think KILLMONK may have been posted at some of the ftp sites.
  72. If you can't find it, or want me to send it (uuencoded) via
  73. e-mail, drop me a note.  (It's free of course, and worth every
  74. virtual cent!)
  75.  
  76. Tim.
  77.  
  78.  -------------------------------------------------------------
  79.   Tim Martin                   *
  80.   Spatial Information Systems  *   These opinions are my own:
  81.   University of Alberta        *      My employer has none!
  82.   martin@cs.ualberta.ca        *
  83.  -------------------------------------------------------------
  84.