Newsgroup: it.comp.os.dos
Titolo: VIRUS O NON VIRUS!!

Mi hai incuriosito. Che comandi conteneva.
Nulla di speciale. Crea un file batch copiando se stesso nella root e
poi lo esegue passandogli un parametro. Il batch, vedendo quel
parametro inizia a cercare nella c:\dos e nella c:\windows\command (se
esistono entrambe sceglie la \windows\command) un file qualsiasi che
abbia l'estensione .com o .exe e, una volta trovato, crea un file .bat
con lo stesso nome del .com/.exe. Questo nuovo batch e' composto dal
batch che infetta seguito dal file originale (.com/.exe) e in questo
modo ogni volta che chiamerai un programma infetto andrai ad
infettarne un altro.
Poi, con una serie di TYPE, crea un .exe e un .txt nella root. Il .txt
viene passato in input al .exe e dovrebbe cosi' creare un .com che poi
viene usato (credo) per eseguire il comando vero e proprio.
Il virus non e' che funzioni molto (ad esempio non crea il .com) pero'
probabilmente e' una base per creare qualcosa di funzionante.
Capisco che forse non mi sono spiegato molto bene. In parte e' una
cosa voluta (cosi' non istigo la creazione di nuovi virus) e in parte
e' anche perche' alcune cose non le ho capite.
All'interno del .bat c'e' una scritta che sembrerebbe il nome
(bat.penfold) pero' in rete non c'e' nulla con tale nome. Il McAfee lo
identifica come una variante di Bv/Bq ma anche su questi virus non ho
trovato nulla.
Leggendo il file .bat ho pero' visto alcune cose che mi sembrano
interessanti :
- usa un parametro non documentato di 
command.com
 (/f). Leggendo il
command.com
 ho visto che ci sono altri tre parametri non documentati
che pero' probabilmente sono gia' elencati nelle "undocumented
feature" : /d /z /t
- ho visto che il copy non visualizza un messaggio d'errore /
avvertimento quando viene usato per unire piu' file. Se vai in una
directory vuota e scrivi "copy pippo pluto" giustamente ti dice che
pippo non lo trova. Se invece fai "copy pippo+pippo pluto" non dice
nulla (esce solo il messaggio con quanti file ha copiato)
- non e' vero che una riga di un file .bat non viene eseguita se
inizia con REM. Se nella riga metti il carattere | (filtro) tutto
quello che c'e' dopo il | viene eseguito. Ad esempio la seguente riga
esegue la DIR anche se c'e' la REM :
  REM commento | dir
ciao
p.s. considerato l'argomento il messaggio e' stato crosspostato anche
su it.comp.os.dos

esegue la DIR anche se c'e' la REM :
A proposito di REM, una curiosità :
Questo file BAT visto così è ben chiaro e mostra la dir:
@echo off
echo dir > remÿtest.bat
remÿtest
 
eseguendolo in modalità MS-DOS pura mi appare
@echo off
echo dir > rem test.bat
rem test
E sembra che sia un normale REM, ma esegue il file.
Forse perchè non carico le code pge e mi limito ad usare il KEYBIT di
P.Navato
Non succede in prompt di MSdos, dove appare una a al posto di ÿ.
Il carattere" ÿ" è ASCII 255 e in DOS puro sembra uno spazio ma viene
interpretato correttamente come parte del nome del file.

interpretato correttamente come parte del nome del file.
Esatto, esteticamente l'ascii 255 e' uno spazio pero' il DOS lo
interpreta come carattere valido e cosi' tu non fai altro che creare
un file .bat chiamato rem(ascii255)test.bat
Sempre a proposito di REM lo sai che si puo' definire un commento come
si usa in C ? (con le due barre // ) Per farlo bisogne aggiungere una
riga in CONFIG.SYS con il comando :
  COMMENT //
Volendo si possono anche usare altre combinazioni di caratteri basta
che non abbiano un significato valido per il DOS (ad esempio .. non si
puo' usare)
ciao
ciao

  COMMENT //
Certo che col DOS non si finisce mai di scoprirne di nuove.
Tornando al ASCII 255, in pratica si potrebbero creare dei file
invisibili al DOS. Ho provato a digitare da Dos puro:
Echo gas > (ALT-255)
questo è il risultato di DIR:
REM TEST BAT             6  02/04/00  15.48 REM TEST.BAT
                         6  02/04/00  15.53  
I file sono individuabili dal "buco nero" nella directory. Anche con
windows il file sarebbe invisibile se non per l'icona di documento
generico. Comunque da me persiste il carattere "a" in promt di MS-DOS
al posto del buco nero. Lo strano è che se lancio NC in ambiente Win
visualizza anche lui "a", mentre se lancio DN (DosNavigator) in Win,
abbastanza simile a NC, visualizza lo spazio vuoto. Penso sia dovuto
al non caricamento dei soliti comandi di MS.
Comunque il "buco nero" è una piccola rivincita di Win, dove è sempre
possibile,  creare dei file e anche delle cartelle, invisibili in
ambiente grafico, ma stanabili riavviando in DOS.