
[ CHEMNITZ Virus ]

Untersucht von: Virus Test Center, Universitt Hamburg, Germany
Beschreibung (englisch): Mark Broecker
bersetzung: Michael Wyraz @ 2:249/1160.3
Korrektur/Erweiterung: Ralph Roth (2:246/2101.2)

  NAME:           Chemnitz.765
  AKA:            Fm.765
  URSPRUNG:       Chemnitz, Ostdeutschland
  BEKANNT SEIT:   Dezember 1992
  VIRUSTYP:       Speicherresidenter EXE - Infektor
  GRSSE:         Programme................: 767 - 781 Bytes
                  Speicher.................: 848 Bytes
  BETRIEBSSYSTEM: MS-DOS ab 2.xx, DR-DOS
  ERKENNUNG:      Infizierte EXE-Dateien sind 767-781 Bytes grer.
                  Der konventionelle Speicher ist um 848 Bytes reduziert.
                  522 Bytes vor dem Dateiende steht die
                  Signatur "FMCIKLMOF".
  INFEKTION:      Chemnitz benutzt die Funktion 4B00h des Int 21h, um nicht-
                  infizierte EXE-Dateien beim Ausfhren zu infizieren. Der
                  Virus hngt sich an die entsprechende Datei an.
  SYMPTOME:       Das System kann beim Starten infizierter Dateien abstrzen.
                  Schadensfunktionen sind nicht bekannt.
  INTERRUPTS:     Int 21h, Funktion AH=4B (Laden & Ausfhren)
  REINIGUNG:      Von sauberer Diskette booten und die infizierten
                  Dateien lschen bzw. ersetzen.


Der Chemnitz-Virus wurde im Mrz 1993 verbreitet. Sein Ursprung ist Chemnitz
ehemalige DDR. Chemnitz ist ein speicherresidenter EXE-Infektor. Er infiziert
keine sehr kleinen EXE-Dateien. Chemnitz ist in Deutschland (Ost) ein Virus
der verbreitet ist.

Wenn ein infiziertes Programm ausgefhrt wird, installiert sich der Virus
am oberen Ende das konventionellen Speichers und belegt den Interrupt 21h.
Dadurch verringert sich der Speicher um 848 Bytes (wird durch CHKDSK
angezeigt).

Wenn der Virus resident ist, infiziert er alle EXE-Dateien ab einer
bestimmten Gre beim starten. Die infizierten Programme sind 767 bis 781
Bytes grer als vor der Infektion. Der Virus befindet sich am Ende der
entsprechenden Datei. Das Datum und die Zeit des Verzeichniseintrags einer
infizierten Datei wird nicht verndert.

Infizierte Dateien enthalten folgende Texte im Viruscode:

"MsDos    COMMAND"
"FMCIKLMOFR|"

Das Ausfhren infizierter Dateien kann zum Systemabsturz fhren.

