🚀 go-pugleaf

Michael Ullmann schrieb:
 
> kennt einer diesen Virus, F-Prot hat mir diesen gemeldet, habe ihn dann
> mit F-Prot entfernen lassen aber einige .exe dateien waren danach
> corrupted bzw. besch�digt.
> F�r informationen w�re ich sehr dankbar, denn ich habe diesen Virus in
> keiner Datenbank gefunden.
> Mich interessiert halt was das f�r ein Virus ist, wie er Arbeitet und ob
> er doch nicht wieder auftaucht, trotz das ich in mit denn Scanner
> entfernt habe.

Er verseucht COM/EXE Dateien, ist verschl�sselt und speicherresident.
Das
hei�t, wenn Du ihn aufsp�rst, am besten im MS-Dos-Modus runterfahren
oder
Rechner mit sauberer Bootdiskette starten und Dateien durchsuchen
lassen. 
Denn wenn Du F-Prot von der Windows-Oberfl�che aufrufst, h�ngt der Virus 
sich an F-Prot.exe dran, da er speicherresident ist, und F-Prot
verseucht 
dann jede weitere Datei, die gecheckt wird. Deshalb waren nach Deinem
Check 
auch einige Dateien corrupted oder zerst�rt. Den Virus findest Du in der
Datenbank von Eliashim-Antivirus. Den habe ich bei mir installiert und
er
hat auch ein Hintergrund-Checkprogramm, so da� er sich sofort bemerkbar
macht, wenn sich Viren einnisten wollen, bzw. meldet er, da� sich ein
Virus
im Speicher befindet.
Solltest Du F-Prot f�r DOS nicht besitzen, kannst Du ihn unter
www.complex.is/cgi-bin/home_pager oder direkt von ftp.f-prot.com 
downloaden. Die letzte Virus-Defination ist von Februar99 und wird
regelm��ig upgedatet und kostenlos dazu ist er auch noch...
-- 
          Tschau

           Sabine

--------------------------------
E-Mail:   SM.Reimann@t-online.de
--------------------------------

Hi Michael,

> kennt einer diesen Virus, F-Prot hat mir diesen gemeldet, habe ihn 
> dann mit F-Prot entfernen lassen aber einige .exe dateien waren danach
> corrupted bzw. besch�digt.

Das ist eigentlich etwas erstaunlich. F-Prot sollte keine Probleme haben
Creed.4768 zu entfernen, ein kurzer Test mit 20 infizierten Dateien
verlief zumindest bei mir zufriedenstellend.
Neben F-Prot kann wohl nur noch NAV den Virus von infizierten Dateien
entfernen. Ueberlege Dir, ob Du nicht - schon im eigenen Interesse - ein
paar der beschaedigten Dateien gepackt und mit kurzer (englischer)
Erlaeuterung and F-Prot <support@complex.is> schicken kannst. Nur dann
koennen die F-Prot-Leute versuchen ein moegliches Problem zu
eliminieren.

> F�r informationen w�re ich sehr dankbar, denn ich habe diesen Virus in
> keiner Datenbank gefunden.
> Mich interessiert halt was das f�r ein Virus ist, wie er Arbeitet und 
> ob er doch nicht wieder auftaucht, trotz das ich in mit denn Scanner
> entfernt habe.

In Anlehnung an "Data Fellows'" Beschreibung des vom selben Autoren
stammenden Virus HLLP.Termite folgt die Beschreibung zu Creed.4768, auch
bekannt als HLLP.Krile.4768 ...

Ciao,
Axel Pettinger

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *

Name: HLLP.Krile.4768
Groesse: 4768
Typ: COM/EXE -Dateien

HLLP.Krile.4768 ist ein in High Level Language (HLL) geschriebener DOS
Virus. Er ist in der Lage sich unter DOS und in DOS-Fenstern unter
Windows 3.x, 95, 98 und NT zu verbreiten.
Der Virus ist 4768 Byte lang und verschluesselt. Er ist nicht
speicherresident und zaehlt zu den Prependern.

Wird er das erste Mal aufgerufen, dann versucht er die folgenden Dateien
zu finden und zu loeschen:

        anti-vir.dat 
        chklist.ms 
        chklist.cps 
        vs.vsn 
        ivb.ntz

Das soll mehrere Integrity-Checker daran hindern etwaige Veraenderungen
in infizierten Dateien zu entdecken.

Danach "desinfiziert" der Virus die gerade aufgerufene Datei, sucht dann
nach COM- und EXE-Dateien im aktuellen Verzeichnis, im Stammverzeichnis
und in den in der PATH-Variablen aufgefuehrten Verzeichnissen. Wird eine
Datei mit COM- oder EXE-Endung gefunden, dann liest der Virus seine 4768
Byte in den Speicher ein, und checkt ob die Datei schon infiziert ist
(infizierte Dateien enthalten zu Beginn 4768 Byte viralen Codes). In
diesem Fall wird die Datei geschlossen und die Suche geht weiter.
Wird eine noch nicht infizierte Datei gefunden, dann wird sie umbenannt
und infiziert indem 4768 Byte verschluesselten Codes an den Dateibeginn
geschrieben werden. Die urspruenglichen ersten 4768 Byte der Datei
werden verschluesselt und ans Dateiende geschrieben. Dann wird die Datei
zurueckbenannt. Der Virus infiziert nicht nur DOS- sondern auch Windows
EXE-Dateien.

Eine Datei wird nicht infiziert wenn ihr Name oder ihre Erweiterung
folgendermassen beginnt:

        WIN DLL SPA MAN DRV SCR KRNL 386 
        MSC COM EXP MOU GW GO STA USE GDI CON

Mit zunehmender Zahl an infizierten Dateien nimmt die Leistung vor allem
langsamer Computer beinahe dramatisch ab, je mehr Dateien infiziert
sind, desto laenger dauert es auch bis der Virus die Kontrolle an das
Original-Programm zurueckgibt. Eine gerade aufgerufene und dann vom
Virus "desinfizierte" Datei wird - nachdem das Programm beendet wurde -
erneut vom Virus (ueber den Weg des Aenderns der Dateiendung) infiziert.
Die Attribute und das Erstellungsdatum einer infizierten Datei
veraendern sich bei Infektion nicht. Infizierte Dateien wachsen um 4768
Bytes an. Der Virus enthaelt den folgenden Text, der in Abhaengigkeit
vom Zufall ausgegeben wird:

     Death on CREED wings..Unf!.The choir is singing as there leader
falls to the ground..Please mr prophet man, tell me which way to go. I
gave my last dollar,.Can I still come to your show? -
CREED v1.0 - RAiD [SLAM]

Ebenfalls in Abhaengigkeit vom Zufall kann es passieren, dass eine
infizierte Datei beim Aufruf vom Virus geloescht wird.
Der Virus wurde im April/Mai 1998 geschrieben.

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *

Axel Pettinger schrieb:

> > kennt einer diesen Virus, F-Prot hat mir diesen gemeldet, habe ihn
> > dann mit F-Prot entfernen lassen aber einige .exe dateien waren danach
> > corrupted bzw. besch�digt. 
> Das ist eigentlich etwas erstaunlich. F-Prot sollte keine Probleme haben
> Creed.4768 zu entfernen, ein kurzer Test mit 20 infizierten Dateien
> verlief zumindest bei mir zufriedenstellend.

Das ist das Problem. Wenn er F-Prot f�r DOS aufruft, h�ngt sich das
Virus an
die EXE Datei von F-Prot und beim checken der Platte werden alle COM/EXE
Dateien verseucht. Da bleibt nur eine M�glichkeit. Rechner neu starten
und von sauberer Diskette booten.

> Neben F-Prot kann wohl nur noch NAV den Virus von infizierten Dateien
> entfernen. 

Es gibt noch den Eliashim Antivirus. Der kann diesen Virus auch
entfernen.
  
> Name: HLLP.Krile.4768
> Groesse: 4768
> Typ: COM/EXE -Dateien 
> HLLP.Krile.4768 ist ein in High Level Language (HLL) geschriebener DOS
> Virus. Er ist in der Lage sich unter DOS und in DOS-Fenstern unter
> Windows 3.x, 95, 98 und NT zu verbreiten.
> Der Virus ist 4768 Byte lang und verschluesselt. Er ist nicht
> speicherresident und zaehlt zu den Prependern.

Der HLLP.Krile.4768 ist ein Abk�mmling des Creed.4768. Er ist nicht 
speicherresident, w�hrend es aber der Creed.4768 ist.

-- 
          Tschau

           Sabine

--------------------------------
E-Mail:   SM.Reimann@t-online.de
          SPOOKY@MBD.ping.de
--------------------------------

Hi Sabine.

> Das ist das Problem. Wenn er F-Prot f�r DOS aufruft, h�ngt sich das
> Virus an die EXE Datei von F-Prot und beim checken der Platte werden 
> alle COM/EXE Dateien verseucht. Da bleibt nur eine M�glichkeit. 
> Rechner neu starten und von sauberer Diskette booten.

Hier uebersiehst Du aber etwas. Folgende Meldung kommt nach dem Start
des F-Prot-Scanners, den ich zuvor mit Creed.4768 aka HLLP.Krile.4768
infiziert hatte:

Scanning for known viruses in memory.
Alert!



The Creed.4768 virus has been found in memory.



Please reboot the computer from a "clean" system diskette, as

scanning and disinfection may not be successful if a virus is

active in memory.



If you are certain the virus is not active in memory, you can

bypass the memory scan as described in the documentation.

Du siehst, F-Prot kann Creed (durch Scannen) gar nicht verbreiten, er
findet ihn auch nur im Speicher, weil der Virus zuvor das Programm
verlassen (=desinfiziert) hatte, um dann beim Beenden des Programms
selbiges erneut zu infizieren (und sich damit wieder aus dem Speicher zu
entfernen).

> > Neben F-Prot kann wohl nur noch NAV den Virus von infizierten 
> > Dateien entfernen.
> 
> Es gibt noch den Eliashim Antivirus. Der kann diesen Virus auch
> entfernen.

Schoen zu hoeren. Das letzte Mal als ich diesen Scanner testete (vor ca
2 Jahren) fand ich ihn nicht sonderlich gut ...

> > Name: HLLP.Krile.4768
> > Groesse: 4768
> > Typ: COM/EXE -Dateien
> > HLLP.Krile.4768 ist ein in High Level Language (HLL) geschriebener 
> > DOS Virus. Er ist in der Lage sich unter DOS und in DOS-Fenstern 
> > unter Windows 3.x, 95, 98 und NT zu verbreiten.
> > Der Virus ist 4768 Byte lang und verschluesselt. Er ist nicht
> > speicherresident und zaehlt zu den Prependern.
> 
> Der HLLP.Krile.4768 ist ein Abk�mmling des Creed.4768. Er ist nicht
> speicherresident, w�hrend es aber der Creed.4768 ist.

Wieder ein kleiner Irrtum. Zum einen habe ich den Text (nach bestem
Wissen) selbst geschrieben - wie gesagt mit der englischen Beschreibung
von HLLP.Termite.5000 von Data Fellows als Vorlage - und bezweifle, dass
auch nur einer von RAiD's HLL-Viren speicherresident ist, sie sind
eigentlich alle recht aehnlich, und zum anderen gibt es laut VGrep zwar
verschiedene Namen, aber nur eine Version dieses Virus:

Alwil AVAST! 7.70-25    02/02/99 : Creed-4768
Cybec VET 9.91          14/02/99 : NO_VIRUS
Dr Solomon's AVTK 7.92  11/12/98 : HLLT.Krile.4768
Eliashim ViruSafe 7.73  29/11/98 : Creed.4768
Frisk F-Prot 3.04a      04/02/99 : Creed.4768
Grisoft AVG 5.0 v1239   02/02/99 : HLLP.Krile.4768
IBM AntiVirus 3.0 30CW  18/02/99 : ~Creed.4768
Iris AntiVirus+ 22.18   11/02/99 : Kri4768
Kaspersky AVP 3.0/126   12/02/99 : HLLP.Krile.4768
McAfee Scan 4.0.1 V4014 18/02/99 : HLLT.Krile.4768
Norman ThunderBYTE 8.09 12/02/99 : HLLP.4768
Norman Virus Ctrl 4.62  11/12/98 : HLLP.Creed.4768
Sophos Sweep 3.19       08/02/99 : Hllp.Krile.4768
Symantec NAV 02/99      16/02/99 : HLLP.Krile.4768
Trend PCScan 6.20 v501  17/02/99 : CREED

Was ich in der Beschreibung von Creed noch vergessen habe - aber fuer
erwaehnenswert halte - ist, dass sich der Virus das Erstellungsdatum
einer infizierten Datei fuer's Verschluesseln "merkt" und daher eine
infizierte Datei, deren Erstellungsdatum nach der Infektion veraendert
wurde (z.B. durch Emailtransfer) verloren ist, und auch durch den Virus
selbst nicht mehr desinfiziert werden kann (geschweige denn durch
Virenscanner).

Ciao,
Axel Pettinger

P.S.: Speziell fuer Dich Sabine wollte ich in Sachen CIH noch eine Seite
erwaehnt haben, da es die beste Beschreibung enthaelt, die ich (in bezug
auf CIH) kenne:
http://www.virusbtn.com/VirusInformation/cih.html
Solltest sie lesen ...