🚀 go-pugleaf

Wie wirst Du das Ding jetzt los?

Nun,probiere es mal mit Dr. Solomons "Thunderbyte AV".
Der hat bei mir auch gen�tzt.

Falls keiner einen bessere Idee hat, bleibt Dir wohl nichts anderes
�brig als "format c".

McAfee kansst Du getrost l�schen, da er zwar viele Viren findet,
aber nur sehr wenige entfernen kann.

Ich hoffe ich habe geholfen.
Sascha

Hallo Werner,

[... Parity B ...]

> also dann Startdisk von Win 95 rein, rechner reset, dann start von disk
> und fdisk/mbr,   dann start von HD ,virus immer noch da.

Ein großer Fehler, den man machen kann (aus eigener Erfahrung), ist der
Reset mittels Ctrl-Alt-Del (Strg-Alt-Entf)! Dieser wird nämlich -
zumindest beim "Parity Boot B" - abgefangen. Also am besten
nach dem FDISK /MBR ausschalten, und zwar bei neuen Rechnern
vorsichtshalber direkt hinten am Netzteil!

Und ... der "Parity B" infiziert _keine_ COM-Dateien, sondern lediglich
den ausführbaren Code der Partitiontable.

Genaue Beschreibung des "Parity B" z.B. bei
http://vil.mcafee.com/vil/vb2214.asp

... ansonsten natürlich absolut virenfreie Bootdisk (wie schon ein
Vorreder feststellte ... ;-)

Falls Du allerdings die Platte als FAT32 laufen hast, kann es Dir
passieren, daß du die Platte durch den Virus gar nicht mehr ansprechen
kannst ... (leidvolle Erfahrung mit "Parity Boot B"). Ich habe nämlich
gerade eine Total-Restauration hinter mir. Erfahrungsbericht hierzu wollte
ich ohnehin demnächst noch mal posten ...

Viel Erfolg,
bis neulich,
    Thomas
--
HUPPERTZ Info-Systeme, D-82291 Mammendorf, Thererstr. 10, Germany
Tel. (+49) 08145-1569,  Fax. (+49) 08145-8286

Mein Dateisystem ist 32 Bit.( Win 95 C)
Habe aber noch keine probleme gehabt.

Wahrscheinlich kann mcAfee deswegen nicht entfernen.
Bootdiskette ist aber laut mcafee sauber.
Rechner wurde vor Booten von disk komplett ausgeschaltet.
Bevor ich weiter probiere, warte ich lieber ab, bis mein
Streamer da ist um ein Gesamtbackaup zu mache, da ich den Rechner 
auch beruflich nutze.

Ich werde es dann einmal mit AVP versuchen.

Werner

>




>Win 95 wurde vor 4 Wochen installiert, davor platte formatiert.
>Vorher war win 3.11 drauf und mcafee hat damlas keinen virus gefunden.


>wie werde ich das ding jetzt los ??

>danke!

On Mon, 22 Feb 1999 06:54:10 GMT, WernerBusch@t-online.de (Werner
Busch) wrote:

>Ich werde es dann einmal mit AVP versuchen.
Ich habe den Virus mit Norton Anti Virus entfernt.
Mit fdsik /mbr ist vorsicht geboten. Verschl�sselt der Virus die
Partitionstabelle sind die Daten weg.
Gru�
	Martin

Hallo Ralf,


> > Bevor ich weiter probiere, warte ich lieber ab, bis mein
> > Streamer da ist um ein Gesamtbackaup zu mache, da ich den Rechner
> > auch beruflich nutze.
>
> Sichere blos nur Deine Daten. Sonst hast Du nachher den Virus noch
> auf Band.

Hm, wie sichere ich (ungewollt) einen Bootsektorvirus auf ein Streamer?

MfG Ralf

Ralf Hagelstein wrote:

> Wenn Du einen Virenscanner hast, wirst Du feststellen, da� PARITY B 
> sich in ebensolchen schreibt, und von da *.com Dateien verseucht.
> Es ist immer wieder eine Freude, wenn Kunden in den Laden kommen, 
> wenn Ihr PC nicht mehr l�uft, weil sie sich PB eingefangen haben. 
> Nat�rlich haben Sie keinen Virenschutz auf dem Rechner, wozu auch?

Aeh ..., Moment? In was schreibt sich Parity_Boot.B?
In den Virenscanner, in den von Ralf Borgmann zuvor genannten Streamer,
oder in COM-Dateien???

Ich muss gestehen, ich habe von Streamern nicht viel Ahnung, kann mir
aber nicht vorstellen, dass Streamer auch zur Aufnahme der Bootsektoren
verwendet werden ... Liege ich falsch?

Ueber eines aber bin ich mir sehr sicher, Parity_Boot.B schreibt sich
weder in Virenscanner, noch "verseucht" er COM-Dateien!
Er ist *nur* ein _alter_ Bootsektorvirus, genauer, er infiziert den MBR.

Information der "Virus Help Munich" zu Parity_Boot.B folgt ...

Ciao,
Axel Pettinger

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *
  Parity_Boot.B _
  _______________

Dokumentation des PARITY_BOOT.B-Virus                         29.01.95
Fragen, Kommentare, Korrekturen, Anregungen an:
Uli Schaefer@2:2449/600.12 oder 2:2480/149.6

_ Typ:            Bootsektor, Resident (TOM), Stealth
_ Groesse:        512 Byte (1 Disk-Sektor)
_ Merkmale:       Konventioneller Speicher wird um 1 KB kleiner; ohne
_                 geladenem Tastaturtreiber: Meldung "PARITY CHECK" zu
_                 einer vollen Stunde (Systemzeit); <CTRL-ALT-DEL>
_                 fuehrt einen Pseudo-Warmstart aus; Debugger u.ae. 
_                 verursachen Abstuerze.
_ Schaeden:       Computer haengt zu einer vollen Stunde mit der 
_                 Meldung "PARITY CHECK" im 40*25-Anzeigemodus; 
_                 Bootsektoren von Disketten und Festplatten werden 
_                 verschoben; auf Floppy Disks wird der dadurch letzte 
_                 Sektor des Haupt-verzeichnisses ueberschrieben.
_ Interrupts:     09h (Keyboard) zeigt auf Offset 7D62h
_                 13h (Disk) zeigt auf Offset 7C82h
_                 Segmente von 01h (Single Step) und 03h (Breakpoint)
_                 ungueltig
_ Desinfektion:   Kopie des Bootsektors in Original-Bereich schreiben.
_ Signatur:       26 80 BF BC 01 C9 74 7A E8 8B 00 E8 31 00 8B F3 80 FA
_                 ?? 77

  Der <Parity_Boot.B>-Virus (PBB) ist ein residenter Bootsektor-
Virus mit Stealth-Eigenschaften.  Er gelangt durch  infizierte
Disketten  oder  Festplatten  in das System,  indem von diesen
Medien gebootet wird. Bei der Infektion einer Platte oder Dis-
kette kopiert er den sauberen Original-Bootsektor in einen un-
benutzten Bereich des Mediums und lenkt alle  Lesezugriffe vom
Bootsektor auf diese Kopie um.  Er installiert sich  im hoech-
sten  konventionellen  Speicherbereich  und reduziert den ver-
fuegbaren konv. Speicher um 1 KByte.

  Die Installationsroutine des PBB  kopiert zuerst die Adresse
des Interrupts 13h in einen eigenen JMP-Befehl.  Die momentane
Stunde der Systemzeit wird gespeichert.  Dann wird die Groesse
des konventionellen Speichers (bis 640k) um 1 KB dekrementiert
und anhand  dieses Wertes  das oberste Segment im Speicher be-
rechnet (TOM - Top Of Memory),  in das sich der Virus  hinein-
kopiert.  Die beiden Interrupt-Vektoren  werden  mit den neuen
Adressen der beiden Handler im obersten Segment belegt.  Damit
ist die Installation abgeschlossen, und der Interrupt 19h wird
erneut ausgefuehrt.
  Dieser Boot Strap Loader ruft den Int 13h auf, der nun durch
den PBB abgefangen wird,  liest die saubere Kopie des BootSek-
tors und fuehrt den originalen Boot-Code aus  (der die System-
dateien laedt).  Da dem Betriebssystem  der Speicher des Virus
nicht mehr zur Verfuegung steht, ist der Virus vor dem Zugriff
und dem Ueberschreiben durch andere Programme geschuetzt.
  Die Kopie des Bootsektors befindet sich bei 360K-  und 720K-
Disketten auf  Seite 1,  Spur 0, Sektor 3,  bei 1.2M-Disketten
auf Seite 1, Spur 0, Sektor 5,  bei 1.44M-Disketten  auf Seite
1,  Spur 0, Sektor 14 und bei Festplatten auf Seite 0, Spur 0,
Sektor  14  -  auf Disketten ist das der letzte bzw. vorletzte
Sektor des  Hauptverzeichnisses,  in dem sich jedoch nur recht
selten Eintraege befinden, da sich meist nicht so viele Datei-
en auf einer Diskette befinden. Aus diesem Grund ist ein durch
die Infektion verursachter Datenverlust selten.

  Der  Interrupt 13h-Handler des Virus  kehrt bei der Funktion
AH=AAh sofort zur  Anwendung zurueck.  Ein Lesezugriff auf den
Bootsektor wird  ausgefuehrt und der  Virus prueft,  ob dieser
bereits infiziert ist.  Wenn dieses nicht  der Fall ist,  wird
der  gelesene Sektor in einen  unbenutzten Sektor geschrieben.
Falls die Diskette schreibgeschuetzt ist, wird der auftretende
Fehler vor der  Anwendung versteckt,  andernfalls wird der Be-
reich der  Disketten-Parameter  in den  Viruscode  kopiert und
dieser  schliesslich in den Bootsektor geschrieben.  Bei jeder
Infektion wird die gespeicherte Stunde des Systemstarts inkre-
mentiert.  Vor der  Rueckkehr zur  Anwendung werden stets alle
Register  so  geaendert,  als  sei der  saubere  Bootsektor an
seiner urspruenglichen Position gelesen worden.

  Durch die Belegung des Keyboard-Interrupts faengt  der Virus
die  Tastenkombination  fuer den  Warmstart  Ctrl-Alt-Del  ab.
Statt eines  Warmstarts  ruft der Virus einfach nur  den  Boot
Strap  Loader auf - dieser  laedt  zwar  von neuem die System-
dateien, doch das  Zuruecksetzen  der Interrupt-Vektoren waeh-
rend  eines Warmstarts  findet nicht statt,  wodurch der Virus
aktiv im Speicher bleibt.  Bei jedem anderen  Tastendruck ver-
gleicht der Virus  die momentane Stunde  der Systemuhr mit der
Zahl,  die sich aus  der Summe der Stunde des Systemstarts und
der Zahl der jeweils infizierten  Bootsektoren  zusammensetzt.
Erst wenn die System-Stunde diesen Wert erreicht hat, gibt der
Virus seine Meldung "PARITY CHECK" aus und haelt den Prozessor
an.
  Bei einem Warmstart ist die Infektion  eines  Systems leicht
daran zu erkennen,  dass die uebliche Ausgabe  des BIOS zu Be-
ginn fehlt.  Der PBB loescht einfach den Bildschirm  und laedt
anschliessend die Systemdateien.
  Bei  Verwendung  eines Tastatur-Treibers  wird der Interrupt
09h-Handler des Virus deaktiviert.  Der PBB kann dann zwar das
System nicht mehr anhalten, dennoch weiterhin Datentraeger in-
fizieren. Auch werden die Interrupts 01h (Single Step) und 03h
(Breakpoint) nicht zerstoert, weshalb z.B. Debugger dann lauf-
faehig bleiben und ein Warmstart korrekt ablaeuft.

(c) 95 by uli schaefer
~~~~~~~~~~~~~~~~~~~~~~
* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *

Hallo Ralf,


> > Hm, wie sichere ich (ungewollt) einen Bootsektorvirus auf ein Streamer?
>
> Wenn Du einen Virenscanner hast, wirst Du feststellen, da� PARITY B sich
> in ebensolchen schreibt, und von da *.com Dateien verseucht.

Ich dachte PB ist ein reiner Bootsektor Virus und kein Multipart. Virus?

MfG Ralf

Ween och emmer den RALF ass ??

Ech giff iesch bieden mier wanneschgliwt deen Virus em deen et geet iwert
Internet un qbasic@pt.lu ze schecken !

Esch sammelen se neemlesch !

Merci

WernerBusch@t-online.de (Werner Busch) wrote:

So, endlich geschafft. Der Parity B ist dank avp weg.
Fprot und McAffee habens nicht geschaft.
fdisk/mbr auch nicht.
Blo� neues problem, jetzt wird bei fdisk angezeigt,
dass eine 16bit-FAT vorhanden ist, eingerichtet wurde 
aber 32 bit und Win95 System zeigt auch 32 bit Dateisystem an.
kann ich das �ndern, oder einfach so lassen oder was ?

Werner

����hhhhm, kannste auch mal so posten, dass es jeder versteht.
Soviel ich Verstanden hab' willste den Virus.
Ich hab' ihn zwar auf einer Floppy, aber wie willst'e den Bootsektor einer
Floppy per E-Mail Senden ?!?
--
Regards,
            Freddy
___

Hiermit widerspreche ich der Nutzung oder Uebermittlung meiner
Daten fuer Werbezwecke oder fuer die Markt- oder Meinungsforschung
gemaess Par. 28 Abs. 3 Bundesdatenschutzgesetz.

qbasic wrote in message <7aunvg$63q$1@calais.pt.lu>...
>Ween och emmer den RALF ass ??
>
>Ech giff iesch bieden mier wanneschgliwt deen Virus em deen et geet iwert
>Internet un qbasic@pt.lu ze schecken !
>
>Esch sammelen se neemlesch !
>
>Merci
>
>
>


begin 666 Frederik Meerwaldt.vcf
M0D5'24XZ5D-!4D0-"E9%4E-)3TXZ,BXQ#0I..DUE97)W86QD=#M&<F5D97)I
M:SM&+B!!+@T*1DXZ1G)E9&5R:6L@365E<G=A;&1T#0I.3U1%.E=R:71E(&UE
M(&9O<B!F=7)T:&5R(&EN9F]S#0I%34%)3#M04D5&.TE.5$523D54.DUE97)W
M86QD=$!4+4]N;&EN92Y$90T*4D56.C$Y.3DP-# T5#$U,S0U.%H-"D5.1#I6
&0T%21 T*
`
end