home *** CD-ROM | disk | FTP | other *** search
/ DP Tool Club 17 / CD_ASCQ_17_101194.iso / dos / util / fp214 / virstop.doc < prev    next >
Text File  |  1994-09-12  |  5KB  |  125 lines
  1.                               VIRSTOP
  2.  
  3. The primary purpose of the VIRSTOP.EXE program is to prevent the execution
  4. of programs infected with known viruses.
  5.  
  6. VIRSTOP installs itself in RAM as a standard TSR and intercepts the
  7. so-called "Load-and-execute" function.  This means that whenever an attempt
  8. is made to run a program VIRSTOP gets a chance to examine it first.
  9.  
  10. VIRSTOP uses a simple but fast search to check for viruses, but it does
  11. not make an accurate identification - F-PROT.EXE is necessary for that
  12. purpose.
  13.  
  14. IMPORTANT! ...  VIRSTOP does not detect the same number of viruses as
  15. F-PROT.  In particular, VIRSTOP does not detect most polymorphic viruses. 
  16. It is therefore recommended that VIRSTOP only be used as one component of
  17. the virus protection - do not rely on it alone.
  18.  
  19. If VIRSTOP finds a virus, it will abort the execution of the program,
  20. display a message and return an error.  For example, if you attempt to run
  21. a program infected with the Cascade virus, with VIRSTOP active in memory,
  22. you might see something like this:
  23.  
  24.         This program is infected with the Cascade virus.
  25.         Cannot execute A:\INF-PROG.COM
  26.  
  27. VIRSTOP has a secondary function as well - it attempts to check for any
  28. active boot sector virus when it is run. 
  29.  
  30. The recommended way to load VIRSTOP is to load it from the CONFIG.SYS
  31. file, with a command such as:
  32.  
  33.                     DEVICE=C:\F-PROT\VIRSTOP.EXE
  34.  
  35. Or, if you are using DOS 5 (or 6), you can instead use
  36.  
  37.                     DEVICEHIGH=C:\F-PROT\VIRSTOP.EXE
  38.  
  39. IMPORTANT! - If any memory managers, such ar 386MAX, HIMEM or QEMM are
  40. used, they must be loaded before VIRSTOP.
  41.  
  42. In order to test if VIRSTOP is properly installed, the program F-TEST is
  43. provided.  It is NOT a virus, but it is detected by VIRSTOP the same way as
  44. a virus-infected program.
  45.  
  46. If VIRSTOP is not installed or not active, F-TEST will print out a message
  47. saying so when run and return a code of 1, which can be checked with the
  48. ERRORLEVEL command. If VIRSTOP is active and working, it will display a
  49. message to that effect.
  50.  
  51. If you are using software that takes over the "load-and-execute" function,
  52. in particular Novell Netware and PC-NFS, F-TEST may say that VIRSTOP is
  53. not active.  To make VIRSTOP work properly under those circumstances, you
  54. must either...
  55.  
  56.     Load VIRSTOP from AUTOEXEC.BAT (after the network software is loaded),
  57.     instead of CONFIG.SYS.
  58.  
  59. or
  60.  
  61.     Put a command like the following in AUTOEXEC.BAT, after you load
  62.     the network software:
  63.  
  64.         C:\F-PROT\VIRSTOP /REHOOK
  65.  
  66. VIRSTOP.EXE includes one additional feature - it is designed to be able to
  67. detect if it has been infected by a "stealth" virus.  It is also often (but
  68. not always) able to detect attempts to run "stealth"-virus infected
  69. programs, even though the virus is active in memory.
  70.  
  71. VIRSTOP supports the following command-line switches:
  72.  
  73.         /DISK:X - do not store search strings in memory, but read them
  74.         in from disk when necessary.  This reduces the memory requirements
  75.         down to around 3500 bytes.  The :X indicates which drive to use for
  76.         store the two "swap" files, _VIRSTOP.TMP (which stores the part
  77.         of memory overwritten by VIRSTOP) and _VIRSTOP.SWP, which is a
  78.         copy of VIRSTOP.EXE, allowing the original copy to be updated
  79.         while VIRSTOP is running.
  80.  
  81.         Notes:
  82.                 If the drive letter is not specified, it defaults to C:
  83.  
  84.                 The drive should be a fast, local drive - not a network
  85.                 drive.  RAMdisks are ideal.
  86.  
  87.                 /DISK can now be used if you run VIRSTOP from a diskette
  88.                 which is later removed, as the original file is not
  89.                 accessed, just the _VIRSTOP.SWP copy.
  90.  
  91.                 If this switch is used, and VIRSTOP is loaded from CONFIG.SYS,
  92.                 it is critical that the full path name is given.
  93.  
  94.                 DO NOT USE /DISK IF YOU USE DEVICEHIGH= TO LOAD VIRSTOP
  95.                 (LOADHI seems to work OK, though).
  96.  
  97.         /OLD - do not complain, even if the program has "expired".  Use of
  98.         this switch is not recommended.
  99.  
  100.         /REHOOK   Re-hook INT 21h, if VIRSTOP was loaded before Netware or
  101.           another similar program that takes over the "load-and-execute"        
  102.         function.
  103.  
  104.         /NOTRACE  Using this swith makes VIRSTOP work properly on machines
  105.         that are using old (and not 100% Intel-compatible) versions of the
  106.         Cyrix 486SLC processor.  It will also fix some compatibility
  107.         problems with the 386MAX and BlueMax memory managers. However,
  108.         this switch should not be used unless necessary, as it makes
  109.         VIRSTOP ineffective against stealth viruses that are run before
  110.         VIRSTOP is loaded.
  111.  
  112.         /NOMEM    Do not perform a memory scan when starting.
  113.  
  114.         /FREEZE   Stop the computer when a virus is found.
  115.  
  116.         /[NO]COPY [Do not] check files when they are accessed/copied.
  117.                   The default is /NOCOPY
  118.  
  119.         /[NO]BOOT [Do not] check boot sectors when a diskette is accessed.
  120.                   The default is /BOOT.
  121.  
  122.         /[NO]WARM [Do not] check the diskette in drive A: when the user
  123.                   presses Ctrl-Alt-Del.  The default is /NOWARM
  124.  
  125.