Herbst (Blätter) Virus
Alias: Blackjack, 1704, Herbst (Laub), Cascade A-Virus
Strain: Cascade-= = Herbst-Herbst-Virus
erkannt, wenn: September 1988
wo: Universität Konstanz, BRD
Klassifizierung: Programm-Virus (Erweiterung COM), RAM Wohnsitz
Länge: KOM Dateilänge erhöht sich um 1704 Byte

Voraussetzungen
Operating System (n): MS-DOS
Version / Release: 2xx nach oben
Computer-Modell (n): IBM-PC, XT, AT und kompatible
Caroname: Cascade1704A

Attribute
Einfache Identifizierung: ---
Art der Infektion:
System: infiziert ist, wenn der Aufruf von Interrupt 21h mit der Funktion "4BH und Unterfunktion FFh ist möglich und ohne Fehler und 55AAh wird in DI-Register COM-Datei: Programm-Virus, erhöht die COM-Dateien von 1704 Byte Ein COM-Datei infiziert ist, wenn die erste Anweisung ist ein drei Byte-Sprung mit DISP16 = (Dateilänge minus viruslength) EXE-Datei: keine Infektion

Infektion Technik:
Infektion Trigger: infiziert alle Dateien, die geladen werden über die Funktion 4BH und Unterfunktion 00h von den Interrupt 21h (MS-DOS verwendet diese Funktion, um einem beliebigen Programm)
Speichermedien betroffen:
Interrupts Haken: Int21h, Int28h (nur wenn Clockdevice Jahr = 1980), Int1Ch (nur, wenn der Schaden wird ausgelöst)
Stealth:
Tunneling / Selfprot:
Oligo / Polymorphismus:
Encoding Methode:
Schaden: Transient Schaden: Ändert Bildschirm, indem sie die Zeichen auf dem Bildschirm "herunterfallen" auf dem Bildschirm im Zusammenhang mit einem Klick Geräusche
Schäden Trigger: IF-Funktion GetDate liefert mit 1 (year = 1988 und Monat> = 10) oder 2 (year = 1980 UND 21 Uhr wird vom Benutzer geändert zu Jahr Monat 1988 => = 10 oder 22 Uhr ist vom Benutzer geändert zu Jahr> 1988) und ein Zufallsgenerator aktiviert Schaden
Besonderheiten: 1 Ist das System _nicht_ infiziert, der Aufruf von einem infizierten Programm produziert Fehler (Systemabsturz ist möglich) 2 COM-Dateien bis zu einer Länge von 63.800 Bytes werden infiziert, aber Dateien mit einer Länge von mehr als 63.576 Bytes sind nicht belastbaren nach der Infektion 3 Die Virus-Programm ist kodiert, abhängig von der COM-Dateilänge 4 Die Unterscheidung zwischen EXE-und COM-Dateien erfolgt durch die Prüfung der "magischen Zahl (MZ)" in der EXE-Header
Ähnlichkeiten:

Bevollmächtigte
Gegenmaßnahmen: ANTIHBSTEXE ist ein Antivirenprogramm, dass nur sieht für die Herbst-und Virus, wenn Sie dazu aufgefordert werden, wird die Datei wiederherstellen
Standard bedeutet: ---

Danksagung
Lage: Virus Test Center, Universität Hamburg, BRD
Klassifikation von: Michael Reinschmiedt
Dokumentation von: Michael Reinschmiedt Morton Swimmer
Datum: 15. Juli 1989