home *** CD-ROM | disk | FTP | other *** search
/ High Voltage Shareware / high1.zip / high1 / DIR9 / TBNL610.ZIP / TBAV.DOC < prev    next >
Text File  |  1994-01-08  |  343KB  |  8,228 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.                                  ThunderBYTE
  9.  
  10.                             Anti-Virus utilities
  11.  
  12.  
  13.  
  14.                                  versie 6.xx
  15.  
  16.  
  17.  
  18.  
  19.                             gebruikershandleiding
  20. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.             Inhoudsopgave
  21.  
  22.  
  23.  
  24.      DEEL 0. INLEIDING
  25.           1. De TBAV handleiding . . . . . . . . . . . . . . . . . .     0 - 1
  26.           2. Overzicht van de TBAV utilities . . . . . . . . . . . .     0 - 1
  27.  
  28.      DEEL I. INSTALLATIE VAN TBAV
  29.           1. Hoe installeert u TBAV? . . . . . . . . . . . . . . . .     I - 1
  30.                1.1. Standaard installatie  . . . . . . . . . . . . .     I - 1
  31.                1.2. Windows  . . . . . . . . . . . . . . . . . . . .     I - 5
  32.           2. Configuratie  . . . . . . . . . . . . . . . . . . . . .     I - 7
  33.           3. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .     I - 9
  34.                3.1. Doel van TbSetup . . . . . . . . . . . . . . . .     I - 9
  35.                3.2. Hoe gebruikt u TbSetup?  . . . . . . . . . . . .     I - 9
  36.                3.3. Commandoregel opties . . . . . . . . . . . . . .    I - 14
  37.                3.4. TbSetup in bedrijf . . . . . . . . . . . . . . .    I - 17
  38.           4. TbDriver  . . . . . . . . . . . . . . . . . . . . . . .    I - 20
  39.                4.1. Doel van TbDriver  . . . . . . . . . . . . . . .    I - 20
  40.                4.2. Commandoregel opties . . . . . . . . . . . . . .    I - 20
  41.                4.3. Taal ondersteuning . . . . . . . . . . . . . . .    I - 22
  42.           5. Systeem onderhoud . . . . . . . . . . . . . . . . . . .    I - 24
  43.      6. Netwerk onderhoud  . . . . . . . . . . . . . . . . . . . . .    I - 26
  44.                6.1. Het gebruik van DOS REPLACE  . . . . . . . . . .    I - 26
  45.                6.2. Gebruik van PkUnZip  . . . . . . . . . . . . . .    I - 26
  46.  
  47.      DEEL II. Anti-Virus Strategie 
  48.           1. Beveiliging tegen virussen  . . . . . . . . . . . . . .    II - 1
  49.                1.1. Inleiding  . . . . . . . . . . . . . . . . . . .    II - 1
  50.                1.2. Minimale voorzorg  . . . . . . . . . . . . . . .    II - 1
  51.           2. Wat te doen als een virus toeslaat  . . . . . . . . . .    II - 6
  52.                2.1. Het opsporen van virussen  . . . . . . . . . . .    II - 6
  53.                2.2. Herstellen van een besmetting  . . . . . . . . .    II - 7
  54.  
  55.      DEEL III. Het gebruik van TBAV
  56.           1. TbScan  . . . . . . . . . . . . . . . . . . . . . . .     III - 1
  57.                1.1. De functie van TbScan  . . . . . . . . . . . .     III - 1
  58.                1.2. Hoe gebruikt u Tbscan? . . . . . . . . . . . .     III - 2
  59.                1.3. Commandoregel opties . . . . . . . . . . . . .    III - 11
  60.                1.4. Het scanproces . . . . . . . . . . . . . . . .    III - 17
  61.           2. TbScanX . . . . . . . . . . . . . . . . . . . . . . .    III - 22
  62.                2.1. De functie van TbScanX . . . . . . . . . . . .    III - 22
  63.                2.2. Hoe gebruikt u TbScanX?  . . . . . . . . . . .    III - 22
  64.                2.3. Commandoregel opties . . . . . . . . . . . . .    III - 23
  65.                2.4. Tijdens het scannen  . . . . . . . . . . . . .    III - 26
  66.           3. TbCheck . . . . . . . . . . . . . . . . . . . . . . .    III - 27
  67.                3.1. De functie van TbCheck . . . . . . . . . . . .    III - 27
  68.                3.2. Hoe gebruikt u TbCheck?  . . . . . . . . . . .    III - 27
  69.                3.3. Commandoregel opties . . . . . . . . . . . . .    III - 28
  70.                3.4. Tijdens het checken  . . . . . . . . . . . . .    III - 30
  71.                3.5. TbCheck testen . . . . . . . . . . . . . . . .    III - 31
  72.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .    III - 32
  73.                4.1. De functie van TbClean . . . . . . . . . . . .    III - 32
  74.                4.2. Hoe gebruikt u TbClean?  . . . . . . . . . . .    III - 33
  75.                4.3. Commandoregel opties . . . . . . . . . . . . .    III - 35
  76.                4.4. Het ontsmettingsproces . . . . . . . . . . . .    III - 36
  77. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.             Inhoudsopgave
  78.  
  79.  
  80.           5. Voortdurende viruspreventie: TbMon  . . . . . . . . .    III - 40
  81.                5.1. TbMem  . . . . . . . . . . . . . . . . . . . .    III - 42
  82.                5.2. TbFile . . . . . . . . . . . . . . . . . . . .    III - 46
  83.                5.3. TbDisk . . . . . . . . . . . . . . . . . . . .    III - 48
  84.           6. TBAV Tools  . . . . . . . . . . . . . . . . . . . . .    III - 54
  85.                6.1. TbUtil . . . . . . . . . . . . . . . . . . . .    III - 54
  86.                6.2. TbLog  . . . . . . . . . . . . . . . . . . . .    III - 63
  87.  
  88.      DEEL IV. Informatie voor gevorderde gebruikers. 
  89.           1. Geheugen vereisten  . . . . . . . . . . . . . . . . . .    IV - 1
  90.           2. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .    IV - 3
  91.                2.1. Anti-Vir.Dat ontwerp overwegingen  . . . . . . .    IV - 3
  92.                2.2. Lay-out van het TbSetup.Dat bestand  . . . . . .    IV - 3
  93.                2.3. TBAV werkplek installatie  . . . . . . . . . . .    IV - 5
  94.           3. TbScan  . . . . . . . . . . . . . . . . . . . . . . . .    IV - 7
  95.                3.1. Heuristisch scannen  . . . . . . . . . . . . . .    IV - 7
  96.                3.2. Integriteitscontrole . . . . . . . . . . . . . .    IV - 8
  97.                3.3. Programma validatie  . . . . . . . . . . . . . .    IV - 9
  98.                3.4. De algoritmen  . . . . . . . . . . . . . . . .     IV - 10
  99.                3.5. Het TbScan.Lng bestand . . . . . . . . . . . .     IV - 11
  100.                3.6. Het TBAV.MSG bestand . . . . . . . . . . . . .     IV - 12
  101.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .     IV - 13
  102.           5. TbGensig  . . . . . . . . . . . . . . . . . . . . . .     IV - 16
  103.  
  104.      Appendix A. TBAV boodschappen
  105.  
  106.      Appendix B. TbScan - Toelichting heuristische vlaggen 
  107.  
  108.      Appendix C. Oplossingen t.a.v. incompatibiliteit
  109.  
  110.      Appendix D. Batch-bestand
  111.  
  112.      Appendix E. Virusbenamingen
  113. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel 0
  114.  
  115.  
  116. DEEL 0. INLEIDING
  117.  
  118.  
  119. 1. De TBAV handleiding
  120.  
  121.      Een felicitatie is op zijn plaats. Door de ThunderBYTE Anti-Virus
  122.      utilities aan te schaffen heeft u een fundamentele stap gezet in de bouw
  123.      van een massieve anti-virus beveiliging, rondom uw kostbare computer
  124.      systeem.
  125.      Het opzetten van een doeltreffend afweersysteem, met gebruikmaking van
  126.      de TBAV utilities, is een 'persoonlijke' aangelegenheid. Daarom raden
  127.      wij u van harte aan om deze handleiding grondig door te lezen, zodat u
  128.      goed op de hoogte bent van alle verschillende beveiligingsmaatregelen
  129.      die u kunt nemen.
  130.  
  131.  
  132.      De TBAV handleiding bestaat uit vier hoofddelen. 
  133.  
  134.      Deel I vertelt u hoe u de TBAV utilities kunt installeren op uw harde
  135.      schijf of schijven. Naast de standaard pakket installatie vindt u er
  136.      belangrijke informatie met betrekking tot een op maat gemaakte initiali-
  137.      satie.
  138.  
  139.      In deel II wordt uitgelegd hoe u kunt voorkomen dat virussen uw compu-
  140.      tersysteem besmetten. Tevens wordt aangegeven welke handelingen u moet
  141.      verrichten wanneer u daadwerkelijk door een virusbesmetting bent getrof-
  142.      fen. 
  143.  
  144.      In deel III, vindt u een uitgebreide toelichting op doel, functie en
  145.      werkwijze van alle TBAV utilities.
  146.  
  147.      Voor diegenen die meer over het onderwerp willen weten, is er in deel IV
  148.      'informatie voor gevorderde gebruikers' opgenomen over de ThunderBYTE
  149.      Anti-Virus utilities.
  150.  
  151.      Door middel van een uitgebreide index en appendices, die verwijzen naar
  152.      de TBAV (fout) boodschappen, kunt u de TBAV handleiding zeer goed als
  153.      naslagwerk gebruiken. 
  154.  
  155. =>   Om echter goed bekend te raken met de vele mogelijkheden van ThunderBYTE
  156.      Anti-Virus is het lezen van de gehele handleiding van essentieel belang.
  157.      Alleen dan weet u welke maatregelen u kan -en moet- treffen om een
  158.      volledige beveiliging te waarborgen en om geheel voorbereid te zijn op
  159.      een totaal herstel, wanneer een virus toeslaat. 
  160.  
  161.  
  162. 2. Overzicht van de TBAV utilities
  163.  
  164.      Wat is ThunderBYTE Anti-Virus? 
  165.  
  166.      ThunderBYTE Anti-Virus (TBAV) is een uitgebreide toolkit, ontworpen om
  167.      computers tegen virussen te beschermen en de gevolgen ervan te herstel-
  168.  
  169.                                        0 - 1
  170. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel 0
  171.  
  172.  
  173.      len. Hoewel in TBAV veel aandacht wordt geschonken aan de talloze
  174.      mogelijkheden om een virusinfectie te voorkomen, zou het pakket niet
  175.      compleet zijn zonder verschillende cleaner functies, om ervoor te zorgen
  176.      dat u het systeem kunt 'ontsmetten' in het onzalige geval uw computer
  177.      toch door een virus besmet raakt. Derhalve bestaat het pakket uit een
  178.      aantal programma's die u op verschillende manieren tegen (de gevolgen
  179.      van) computervirussen beschermen. Hierna volgt een kort overzicht. 
  180.  
  181.  
  182.      Het verzamelen van software informatie: TbSetup
  183.  
  184.      TbSetup is een programma dat gegevens verzamelt over alle software die
  185.      het programma op uw systeem aantreft. Deze gegevens wordt door TbSetup
  186.      opgeslagen in bestanden met de naam Anti-Vir.Dat. Alle informatie die in
  187.      deze bestanden wordt bewaard, wordt door TBAV gebruikt voor integri-
  188.      teits-controles, voor programmavalidatie en om besmette bestanden te
  189.      'ontsmetten'.
  190.  
  191.  
  192.      Ondersteuning van geheugen residente TBAV utilities: TbDriver
  193.  
  194. ~    TbDriver zelf geeft weinig beveiliging tegen virussen. Het programma
  195.      moet echter wel vooraf gestart worden, om geheugenresidente TBAV utili-
  196.      ties, zoals TbScanX, TbCheck, TbMem, TbFile and TbDisk hun werk te
  197.      kunnen laten doen. Het bevat tevens de basis beveiliging tegen 'stealth'
  198.      virussen en ANSI bommen.
  199.  
  200.  
  201.      Scannen, op zoek naar virussen: TbScan
  202.  
  203.      TbScan is niet alleen een supersnelle virusscanner, maar kan door middel
  204.      van opties op verschillende manieren geconfigureerd worden. Het program-
  205.      ma kan mutanten opsporen, virussen van het stealth type ontwijken en
  206.      programmabestanden disassembleren, waarmee het programma in staat is om
  207.      verdachte instructies en tot op heden onbekende virussen op te sporen.
  208.      Deze generieke detectiemethode, ofwel heuristische analyse, is een
  209.      techniek die het mogelijk maakt om ongeveer 90% van alle virussen op te
  210.      sporen. Hetgeen primair gebeurt door het zoeken naar verdachte instruc-
  211.      ties en niet zozeer door het gebruik van zogenaamde 'handtekeningen'.
  212.      Daarom ook beschikt TbScan over een echte disassembler en over een code
  213.      analyzer. 
  214.  
  215.      Een ander kenmerk van TbScan is de integriteitscontrole die het program-
  216.      ma verricht zodra het de Anti-Vir.Dat bestanden vindt, die door TbSetup
  217.      zijn gegenereerd.
  218.  
  219.      Het handtekeningenbestand dat door TbScan wordt gebruikt is een geco-
  220.      deerd bestand met de naam 'TbScan.Sig'. In geval van nood kunt u dit
  221.      bestand zelf aanvullen met nieuwe gegevens. TbScan voert automatisch een
  222.      integriteitscontrole uit zonder dat het de 'vals alarm score' heeft die
  223.      u bij andere integriteits checkers wel tegenkomt. Doel is het opsporen
  224.  
  225.  
  226.                                        0 - 2
  227. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel 0
  228.  
  229.  
  230.      van virussen en niet het opsporen van wijzigingen in de configuratie van
  231.      uw computersysteem! 
  232.  
  233.  
  234.  
  235.      Automatisch scannen: TbScanX
  236.  
  237.      TbScanX is de geheugenresidente versie van TbScan. Deze handtekening
  238.      scanner blijft resident in het geheugen en tast automatisch de bestanden
  239.      af die worden uitgevoerd, gekopieerd, gedearchiveerd, gedownload, enz.
  240.      TbScanX gebruikt slechts weinig geheugenruimte. Het programma kan
  241.      geswapped worden in expanded, XMS, of high memory, waarbij het slechts
  242.      1Kb conventioneel geheugen gebruikt. 
  243.  
  244.  
  245.      Controle tijdens programmastart: TbCheck
  246.  
  247.      TbCheck is een geheugenresidente integriteits checker. Dit programma
  248.      blijft resident in het geheugen en controleert elk (programma-)bestand
  249.      automatisch voordat het wordt uitgevoerd. De snelle controlemethode
  250.      gebruikt slechts 400 bytes van het geheugen. Het programma kan zo
  251.      geconfigureerd worden, dat het bestanden met incorrecte checksums en/of
  252.      bestanden, die geen overeenkomstig Anti-Vir.Dat record bezitten, wei-
  253.      gert.
  254.  
  255.  
  256.      Herstel van een geinfecteerde boot-sector, CMOS en partitie tabellen:
  257.      TbUtil
  258.  
  259.      Sommige virussen kopieren zichzelf in de partitietabel van de harde
  260.      schijf, waardoor zij veel moeilijker te verwijderen zijn dan bootsector
  261.      virussen. Het op laag niveau formatteren van de harde schijf is dan
  262.      weliswaar een effectieve, maar ook zeer drastische maatregel. TbUtil
  263.      biedt een geschikt alternatief door al vooraf een back-up te maken van
  264.      de niet geinfecteerde partitietabel en van de bootsector. Doet zich een
  265.      infectie voor, dan kan de TbUtil back-up worden gebruikt als verifica-
  266.      tie-middel en om de originele (ongeinfecteerde) partitietabel en boots-
  267.      ector terug te zetten, zonder dat een destructieve schijfformat noodza-
  268.      kelijk is. Het programma kan tevens de CMOS configuratie terugzetten.
  269.      Als er geen back-up van uw partitietabel beschikbaar is, zal TbUtil
  270.      trachten om een nieuwe partitietabel te genereren, opnieuw om het
  271.      formatteren van de schijf te voorkomen.
  272.  
  273.      Een ander belangrijk aspect van TbUtil is de mogelijkheid om de parti-
  274.      tietabelcode te vervangen door nieuwe code, die virussen beter weerstand
  275.      biedt. De TbUtil partitiecode wordt uitgevoerd voordat de bootsector de
  276.      controle overneemt, zodat deze sector in een schone omgeving gecontro-
  277.      leerd kan worden. De TbUtil partitiecode voert een CRC berekening uit op
  278.      de master bootsector vlak voordat de bootsectorcode wordt geactiveerd.
  279.      Het programma geeft een waarschuwing als de bootsector is gewijzigd. De
  280.      TbUtil partitiecode controleert en meldt eventuele wijzigingen in de RAM
  281.  
  282.  
  283.                                        0 - 3
  284. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel 0
  285.  
  286.  
  287.      lay-out. Deze controles worden uitgevoerd zodra de computer vanaf de
  288.      harde schijf wordt opgestart.
  289.  
  290. =>   Hierbij dient te worden opgemerkt dat verificatie van de bootsector
  291.      noodzakelijkerwijs dient plaats te vinden voordat de bootsector code mag
  292.      worden uitgevoerd. Een virus zou zeer gemakkelijk geheugenresident
  293.      kunnen worden gedurende het opstarten en zijn aanwezigheid kunnen
  294.      maskeren. TbUtil biedt op dit punt totale beveiliging door al actief te
  295.      zijn voordat de bootsector wordt uitgevoerd.
  296.  
  297.      Gebruik van TbUtil biedt een werkbaarder procedure om een ongestoorde
  298.      inspectie van de bootsector mogelijk te maken dan de traditionele
  299.      strategie van het opstarten van een schone DOS diskette. 
  300.  
  301.  
  302.      Het reconstrueren van besmette bestanden: TbClean
  303.  
  304.      TbClean is een generieke file cleaning utility. Het programma gebruikt
  305.      de Anti-Vir.Dat bestanden -gegenereerd door TbSetup- voor een zo goed
  306.      mogelijke zuivering en/of om de resultaten van het zuiveren te verifi-
  307.      eren. TbClean kan echter ook zonder deze bestanden werken. Het ontrafelt
  308.      en emuleert het besmette bestand en gebruikt deze analyse om het oor-
  309.      spronkelijke bestand te reconstrueren. 
  310.  
  311.  
  312.      Residente bescherming: TbMon
  313.  
  314.      TbMon bestaat uit een reeks van geheugenresidente anti-virus utilities.
  315.      De meeste andere residente anti-virus produkten bieden u de keuze om
  316.      geladen te worden voordat het netwerk is geladen en de bescherming te
  317.      verliezen na de login procedure, of om geladen te worden NA het inloggen
  318.      op het netwerk, hetgeen resulteert in een gedeeltelijk onbeschermd
  319.      systeem. De TBAV utilities herkennen de netwerk software en nemen
  320.      passende maatregelen om hun eigen functionaliteit te verzekeren.
  321.  
  322.  
  323. ~    Controle van het geheugen: TbMem
  324.  
  325.      TbMem detecteert pogingen van programma's om resident in het geheugen te
  326.      blijven, en zorgt ervoor dat geen enkel programma zonder toestemming
  327.      resident kan worden. Omdat de meeste virussen juist trachten om resident
  328.      in het geheugen te blijven, is dit een zeer krachtig wapen tegen deze -
  329.      bekende en onbekende- virussen. Permissie-informatie wordt bewaard in de
  330.      Anti-Vir.Dat bestanden. TbMem beschermt tevens uw CMOS geheugen tegen
  331.      ongewenste veranderingen.
  332.  
  333.  
  334.      Het voorkomen van virusbesmetting: TbFile
  335.  
  336.      TbFile signaleert en voorkomt pogingen van programma's om andere pro-
  337.      gramma's te besmetten. Voorts beschermt het read-only attributen, spoort
  338.      het illegale timestamps op, etc. 
  339.  
  340.                                        0 - 4
  341. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel 0
  342.  
  343.  
  344.  
  345.      Bescherming van de harde schijf: TbDisk
  346.  
  347.      TbDisk is een schijfbeschermings-programma dat pogingen signaleert om
  348.      direct naar de harde schijf te schrijven (zonder DOS te gebruiken),
  349.      pogingen tot formatteren, enz. TbDisk voorkomt dat kwaadaardige program-
  350.      ma's uw gegevensbestanden vernietigen.
  351.  
  352.  
  353.      Ook signaleert TbDisk directe schrijfpogingen, 'tunneling' en directe
  354.      calls in de BIOS code. Permissieinformatie over die zeldzame programma's
  355.      die wel direct naar de schijf schrijven en/of formatteren wordt bijge-
  356.      houden in de Anti-Vir.Dat bestanden.
  357.  
  358.  
  359.      Specificeer uw eigen handtekeningen (in noodgevallen): TbGensig
  360.  
  361.      Omdat TBAV wordt geleverd met een up-to-date handtekeningenbestand hoeft
  362.      u handtekeningen van virussen niet zelf bij te houden. Wanneer u echter
  363.      toch uw 'eigen' virussen wilt vastleggen binnen TBAV, heeft u de TbGen-
  364.      sig utility nodig. U kunt daarmee gepubliceerde of zelf gespecificeerde
  365.      handtekeningen vastleggen, indien u bekend bent met de structuur van
  366.      software.
  367.  
  368.  
  369.      Het verwijderen van besmette bestanden: TbDel
  370.  
  371.      Het DOS commando 'DEL' verwijdert bestanden niet daadwerkelijk. Het
  372.      verandert slechts de eerste letter van het bestand en maakt ruimte door
  373.      de interne locatietabellen van de schijf te wijzigen. TbDel is een klein
  374.      programma met slechts een functie: het vervangt elk byte in een bestand
  375.      door nulwaarden voor het te verwijderen. De gehele bestandsinhoud is
  376.      daardoor verdwenen en niet meer terug te halen.
  377.  
  378.  
  379.  
  380.      Een effectieve stack manager: StackMan
  381.  
  382.      Om problemen met geheugenresidente software ('TSR' programma's) te
  383.      vermijden, houdt DOS een zogenaamde 'stack pool' bij, en kan het over-
  384.      schakelen naar een aangewezen stack wanneer zich een hardware interrupt
  385.      voordoet. Het "Stacks" statement in de Config.Sys kan worden gebruikt om
  386.      deze stack pool te besturen. De DOS stack schakeling heeft echter enige
  387.      bezwaren. TBAV StackMan biedt belangrijke aanvullende functionaliteit op
  388.      het DOS "Stacks" commando.
  389.  
  390.  
  391.  
  392.  
  393.  
  394.  
  395.  
  396.  
  397.                                        0 - 5
  398. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  399.  
  400.  
  401. DEEL I. INSTALLATIE VAN TBAV
  402.  
  403.  
  404. 1. Hoe installeert u TBAV?
  405.  
  406.  
  407.      Systeem vereisten
  408.  
  409.      De ThunderBYTE Anti-Virus utilities kunnen worden uitgevoerd op elke IBM
  410.      of IBM compatibel PC met ten minste 1 Mb schijfruimte. De TBAV utilities
  411.      vereisen 256 Kb vrij intern geheugen en tenminste DOS versie 3. Het
  412.      verdient echter aanbeveling DOS 5 of een latere versie te gebruiken. De
  413.      TBAV utilities zijn compatibel met netwerken, Windows, DR-DOS, etc. 
  414.  
  415.  
  416. 1.1. Standaard installatie
  417.  
  418.      U kunt de TBAV utilities installeren door gebruik te maken van de snelle
  419.      installatieprocedure (met behulp van "INSTALL.EXE") of door bedrijfsspe-
  420.      cifieke waarden in te stellen in de AUTOEXEC.BAT of de CONFIG.SYS.
  421.      Indien u de TBAV utilities op de 'standaard' manier wilt installeren,
  422.      volgt u de instructies zoals deze in dit hoofdstuk worden gepresenteerd.
  423.      Voor een volledig op maat gesneden installatie verdient het aanbeveling
  424.      de delen I - 3 en II zorgvuldig door te lezen.
  425.  
  426.  
  427.      Plaats de TBAV installatie diskette in het diskette station. 
  428.  
  429.      Toets in:
  430.           A: of B:
  431.  
  432.      Toets in:
  433.           install C:\TBAV <Enter>
  434.  
  435.  
  436.      +-----------------------------+
  437.      | F1  First time installation |
  438.      | F2  Update installation     |
  439.      | F3  About....               |
  440.      | F4  Exit....                |
  441.      +-----------------------------+
  442.  
  443.  
  444.      Aangezien dit de eerste keer is dat u TBAV installeert, kiest u de
  445.      eerste optie door middel van <Enter> of <F1>.
  446.  
  447.  
  448.  
  449.  
  450.  
  451.  
  452.  
  453.  
  454.                                        0 - 1
  455. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  456.  
  457.  
  458.      ------[ Please select Drive to install TBAV to: ] ------       
  459.                                                                       
  460.       You need at least 1024 KB of available space to install TBAV !
  461.  
  462.  
  463.                               C:     3581952
  464.                               D:    21291008
  465.  
  466.  
  467.  
  468.      Beweeg de selectiebalk naar de schijf waarop de TBAV utilities geinstal-
  469.      leerd moeten worden. TBAV Install toont de aanwezige vrije schijfruimte
  470.      van elke beschikbare schijf.
  471.  
  472.      Vervolgens zal TBAV Install u vragen de TBAV directory op te geven. De
  473.      default directory is \TBAV:
  474.  
  475.  
  476.           [ Please select Directory to install TBAV to: ]
  477.                C:\TBAV
  478.  
  479.      Indien de opgegeven directory niet bestaat, zal het installatie-program-
  480.      ma de directory aanmaken. Vervolgens worden de TBAV bestanden in de
  481.      opgegeven directory gekopieerd.
  482.  
  483.  
  484.      +---------------------------------------------------------+
  485.      |  The documentation for TBAV is compressed into a file.  |
  486.      |    The documentation-file will now be self-extracted.   |
  487.      |         Press any key when ready....                    | 
  488.      |                                                         |
  489.      |                                                         |
  490.      |                                                         |
  491.      |  Inflating: c:/tbav/TBSCAN.DOC    -AV                   |
  492.      |  Inflating: c:/tbav/TBSCANX.DOC   -AV                   |
  493.      |  Inflating: c:/tbav/TBCLEAN.DOC   -AV                   |
  494.      +---------------------------------------------------------+
  495.  
  496.  
  497.      De tekstbestanden worden in gecomprimeerde vorm op de harde schijf
  498.      gekopieerd en vervolgens 'uitgepakt'. Nadat alle bestanden zijn geko-
  499.      pieerd wordt het programma TbSetup geladen, zodat het Anti-Vir.Dat
  500.      bestand van de TBAV directory gegenereerd kan worden.
  501.  
  502.  
  503.      +---------------------------------------------------------+
  504.      |    TbSetup will now generate or update the Anti-Vir.Dat |
  505.      |    file of the directory C:\TBAV                        |
  506.      |         Press any key when ready....                    |
  507.      +---------------------------------------------------------+
  508.  
  509.  
  510.  
  511.                                        I - 2
  512. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  513.  
  514.  
  515.      De ThunderBYTE Anti-Virus utilities zijn nu in de aangegeven directory
  516.      gekopieerd. Het installatieprogramma helpt u vervolgens om het pakket
  517.      met standaard waarden in te stellen. Na grondige bestudering van de
  518.      handleiding kunt u de instellingen desgewenst aanpassen aan uw eigen
  519.      persoonlijke eisen en voorkeuren.
  520.  
  521.  
  522.      +-----------------------------------------------------------+
  523.      | This installation program helps you to setup the utilitie |
  524.      |     in their most standard and non-customized way.        |
  525.      |    Do you want to continue ? (Y/N)                        |
  526.      +-----------------------------------------------------------+
  527.  
  528.  
  529.      Indien u bovenstaande vraag met 'No' beantwoordt, zal TBAV Install u
  530.      niet vragen de geheugenresidente TBAV utilities in de Autoexec.Bat te
  531.      plaatsen, noch om de Anti-Vir.Dat bestanden aan te maken. Indien u Yes
  532.      ingeeft, maakt TBAV Install een back-up van uw originele Autoexec.Bat en
  533.      voegt er de call naar het batch bestand TbStart.Bat aan toe. Om direct
  534.      te kunnen opstarten wordt aangeraden de TBAV directory in uw PATH
  535.      omgevingsvariabele op te nemen. Uw nieuwe Autoexec.Bat bestand ziet er
  536.      nu als volgt uit:
  537.  
  538.  
  539.           @ECHO OFF
  540.           PATH C:\TBAV
  541.  
  542.           call C:\TBAV\tbstart.bat
  543.  
  544.  
  545.      Vervolgens zal TbSetup de Anti-Vir.Dat bestanden genereren in elke
  546.      directory van de opgegeven schijf, waar zich programmabestanden bevin-
  547.      den. U dient deze actie te herhalen wanneer u over meerdere schijven
  548.      beschikt. Meer informatie vindt u in de TbSetup paragraaf van dit deel.
  549.  
  550.      Het TBAV pakket bevat enige utilities die in het geheugen van de PC
  551.      kunnen worden geplaatst. Voor elke utility kunt u aangeven of het
  552.      installatieprogramma deze in het TbStart.Bat bestand moet opnemen:
  553.  
  554.  
  555.      +---------------------------------------------------------+
  556.      | TBSCANX is a memory resident virus scanner.             | 
  557.      |    Do you want to install it ? (Y/N)                    |
  558.      +---------------------------------------------------------+
  559.  
  560.  
  561.      +---------------------------------------------------------+
  562.      | TBCHECK is a memory resident integrity checker.         |
  563.      |    Do you want to install it ? (Y/N)                    |
  564.      +---------------------------------------------------------+
  565.  
  566.  
  567.  
  568.                                        I - 3
  569. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  570.  
  571.  
  572.      +---------------------------------------------------------+
  573.      |  TBMEM is a resident memory guard.                      |
  574.      |    Do you want to install it? (Y/N)                     |
  575.      +---------------------------------------------------------+
  576.  
  577.  
  578.      +---------------------------------------------------------+
  579.      |  TBFILE is a resident file guard.                       |
  580.      |    Do you want to install it ? (Y/N)                    |
  581.      +---------------------------------------------------------+
  582.  
  583.  
  584.      Indien u de volgende vraag met Yes beantwoordt, zal TBAV uw systeem
  585.      eenmaal per dag scannen op de aanwezigheid van virussen:
  586.  
  587.      +---------------------------------------------------------+
  588.      |Do you want the system to be scanned automatically       |
  589.      |    for viruses every day ? (Y/N)                        |
  590.      +---------------------------------------------------------+
  591.  
  592.  
  593.      Het installatieprogramma zal de aangegeven configuratiewaarden opnemen
  594.      in het bestand 'TbStart.Bat', dat in de door u opgegeven ThunderBYTE
  595.      directory te vinden is, bijv.:
  596.  
  597.      C:\TBAV\tbdriver
  598.      C:\TBAV\tbscanx
  599.      C:\TBAV\tbcheck
  600.      C:\TBAV\tbmem
  601.      C:\TBAV\tbfile
  602. ~    C:\TBAV\tbscan /once /alldrives
  603.  
  604.  
  605.      Tenslotte kunt u de TBAV utilities uw schijf direct laten scannen.
  606.  
  607.      Het is niet onwaarschijnlijk dat enkele TBAV utilities boodschappen
  608.      zullen tonen wanneer u het systeem herstart en uw normale activiteiten
  609.      uitvoert. Sommige programma's verrichten handelingen die door de TBAV
  610.      utilities worden gesignaleerd. TBAV moet derhalve eerst 'leren' welke
  611.      programma's permissie dienen te hebben voor welke activiteiten. 
  612.      Start de programma's die u regelmatig gebruikt en beantwoordt elke vraag
  613.      met 'Y' indien u de handeling toestaat, of 'N' om permissie te weigeren.
  614.      TBAV onthoudt deze instellingen en zal u met deze vragen niet meer
  615.      lastig vallen. Herstart de computer aan het einde van deze testronde.
  616.  
  617.      De TBAV utilities zijn nu klaar om het systeem af te zoeken en zullen u
  618.      waarschuwen zodra zich verdachte verschijnselen dreigen voor te doen. 
  619.      Zij zullen u ook waarschuwen indien een nieuw bestand een mogelijk virus
  620.      bevat, ruim voordat het eventueel schade zou kunnen aanrichten. 
  621.  
  622.  
  623.  
  624.  
  625.                                        I - 4
  626. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  627.  
  628.  
  629. 1.2. Windows
  630.  
  631.      Bij gebruik onder Windows blijven de utilities actief in elke DOS-box,
  632.      zonder bemoeienis met het besturingssysteem of met aangrenzende windows.
  633.      Alle TBAV utilities kunnen in een grafische DOS-box binnen Windows
  634.      geladen worden, waar zij ondersteuning zonder enige zorg bieden, met een
  635.      no-nonsense interface.
  636.  
  637.      Er is een aantal goede redenen voor deze TBAV strategie, met het risico
  638.      om Windows fans af te schrikken, die gelikte GUI applicaties verwachten.
  639.      Een op Windows gebaseerde scanner mag er mooier uitzien, het biedt geen
  640.      aanvullende functionaliteit. Integendeel, een grafische interface
  641.      vereist meer systeem resources, vergroot de omvang van programma's,
  642.      presteert trager en is minder betrouwbaar. Voorts dient u te bedenken
  643.      wat er gebeurt als een van de Windows programma's besmet wordt. Vanaf
  644.      dat moment zou Windows wel eens elke dienst kunnen weigeren en eenvou-
  645.      digweg uw computer doen hangen. En dan heeft u niet veel aan uw op
  646.      Windows gebaseerde scanner. Juist wanneer u het meest om het programma
  647.      verlegen zit, kunt u het programma niet starten om na te gaan wat er
  648.      fout is gegaan.
  649.  
  650.      En dan een tweede dilemma. Om met stealth virussen om te kunnen gaan
  651.      dient u de PC uit te zetten en te herstarten vanaf een schone DOS
  652.      diskette, alvorens te 'checken' of te scannen. Maar heeft u al eens
  653.      geprobeerd Windows 3.1 te starten vanaf diskette? 
  654.  
  655.  
  656.      TBAV menu en commando syntaxis
  657.  
  658.      U kunt de meeste TBAV utilities activeren vanuit het TBAV menu, door
  659.      vanaf het besturingssysteem in te toetsen: 
  660.  
  661.           cd \tbav
  662.           tbav
  663.  
  664.      Alle TBAV drivers en utilities kunnen vanaf de DOS commandoregel worden
  665.      gestart. In een gestructureerde setup, dienen de drivers echter te
  666.      worden geinstalleerd en geactiveerd in uw Config.Sys, met de device= or
  667.      install= aanwijzing, of in het TbStart.Bat bestand als een TSR. De
  668.      meeste utilities kunnen namelijk tevens automatisch worden gestart -in
  669.      het geval van TbScan beperkt tot een keer per dag- in het TbStart.Bat
  670.      bestand. De twee uitzonderingen zijn TbClean en TbDel, die alleen kunnen
  671.      worden gestart vanaf de DOS prompt en (TbClean) vanuit het TBAV menu. 
  672.  
  673.      U kunt alle commando's van ThunderBYTE Anti-Virus voorzien van command
  674.      line switches of opties, om specifieke functies aan te sturen. Deze
  675.      opties kunnen volledig worden uitgeschreven of middels een korte (een-
  676.      of tweeletterige) aanduiding worden gespecificeerd. In deze handleiding
  677.      vindt u beide schrijfwijzen terug. Opties dienen van elkaar te worden
  678.      gescheiden door spaties. Zij hoeven niet vooraf te worden gegaan door
  679.      enig switch teken, maar u kunt indien u dat wenst gebruik maken van de
  680.      bekende slash of het verbindingsstreepje. 
  681.  
  682.                                        I - 5
  683. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  684.  
  685.  
  686.      De standaard command line syntaxis voor alle ThunderBYTE Anti-Virus
  687.      commando's is:
  688.  
  689.           commando [<pad>] [<bestand>] [<optie>] ... [<suboptie>] ... 
  690.  
  691.  
  692.      U kunt de correcte syntaxis op het scherm oproepen, met een complete
  693.      optielijst, door na het betreffende commando de optie 'help' of een
  694.      vraagteken in te geven:
  695.  
  696.           tbcheck ?
  697.  
  698.      De zelfde on-line help wordt getoond indien u een niet geldige optie
  699.      achter het commando intoetst.
  700.  
  701.      De voorbeelden, die in deze handleiding worden gepresenteerd, gaan ervan
  702.      uit dat alle utilities zijn geinstalleerd in de default \TBAV directory.
  703.  
  704.  
  705.      Maak een recovery diskette aan!
  706.  
  707.      Het is zeer raadzaam om direct na installatie een zogenaamde recovery
  708.      diskette aan te maken. De voorbeeld instellingen in de handleidingen
  709.      gaan ervan uit dat u een dergelijke diskette heeft vervaardigd. Voor een
  710.      toelichting, zie deel II van de TBAV handleiding. 
  711.  
  712.  
  713.  
  714.  
  715.  
  716.  
  717.  
  718.  
  719.  
  720.  
  721.  
  722.  
  723.  
  724.  
  725.  
  726.  
  727.  
  728.  
  729.  
  730.  
  731.  
  732.  
  733.  
  734.  
  735.  
  736.  
  737.  
  738.  
  739.                                        I - 6
  740. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  741.  
  742.  
  743. 2. Configuratie
  744.  
  745.      De keuzes die u heeft gemaakt bij het installeren van de TBAV utilities
  746.      dienen wellicht hier en daar fijner afgesteld te worden, bijvoorbeeld
  747.      door opties toe te voegen aan het opstartcommando. Dit fijnstellen kunt
  748.      u doen door het editen van het TBSTART.BAT bestand, dat automatisch de
  749.      geheugenresidente utilities laadt. 
  750.  
  751. =>   Indien gewenst kunt u de desbetreffende commando's in plaats daarvan in
  752.      de Config.Sys opnemen. Vergeet daarbij niet de extensie .exe te specifi-
  753.      ceren!
  754.  
  755.      Hierna worden enkele tips gegeven om de werking van TBAV aan te passen
  756.      aan uw persoonlijke eisen en omstandigheden. Na het initialiseren en
  757.      herstarten van uw systeem, heeft TBAV een aantal antwoorden van u nodig
  758.      in de bovengenoemde 'leerfase'. 
  759.  
  760.  
  761.      TBAV menu configuratie
  762.  
  763.      Ook door middel van het TBAV menu kunt u het pakket configureren. De
  764.      meeste command line opties zijn ook in de menu's terug te vinden. Er
  765.      blijven echter verschillende opties die uitsluitend vanaf het bestu-
  766.      ringssysteem kunnen worden gebruikt.
  767.  
  768.  
  769. ~    +----Main menu-----+
  770.      |  Confi+----------TBAV configuration----------+
  771.      |  TbSet|v Use colors                          |
  772.      |  TbSca|  Save configuration to TBAV.INI      |
  773.      |  TbUti|  File view utility                   |
  774.      |  TbCLe|v Wait after program execution        |
  775.      |  TBAV |  Show command line before executing  |
  776.      |  Docum|v Edit path string before scanning    |
  777.      |  Regis+--------------------------------------+
  778.      |  Quit and save   |
  779.      |  eXit (no save)  |
  780.      +------------------+
  781.  
  782.  
  783.      U kunt de gewenste menu-opties activeren door de selectiebalk m.b.v. de
  784.      cursortoetsen naar de betreffende keuze te bewegen en vervolgens <Enter>
  785.      in te toetsen. Door het teken v kunt u zien of een optie actief is.
  786.  
  787.  
  788.      Use colors
  789.  
  790.      Staat deze optie uit, dan wordt TBAV monochroom weergegeven. Deze
  791.      instelling kan met name van belang zijn voor een goede weergave op
  792.      laptop computers. 
  793.  
  794.  
  795.  
  796.                                        I - 7
  797. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  798.  
  799.  
  800.      Save configuration to TBAV.INI
  801.  
  802.      Alle configuratiewaarden, die u binnen het TBAV menu instelt, worden
  803.      weggeschreven in het 'TBAV.INI' bestand, zodra u deze optie geselecteerd
  804.      heeft. Start u TBAV een volgende keer, dan zullen de waarden actief
  805.      zijn, zoals ze in de huidige TBAV.INI zijn opgenomen. Deze waarden
  806.      hebben betrekking op het TBAV menu zelf en op de utilities TbSetup,
  807.      TbScan and TbClean. Alhoewel u het TBAV.INI bestand handmatig kunt
  808.      aanpassen, verdient het aanbeveling om het bestand telkens door de TBAV
  809.      menu shell te laten genereren. In de default situatie is de inhoud van
  810.      TBAV.INI alleen geldig wanneer de utilities via het TBAV menu worden
  811.      aangestuurd. U kunt echter de opties "Use TBAV.INI file" activeren (of
  812.      de 'UseIni' switches specificeren in TBAV.INI zelf) voor elk van de
  813.      bovengenoemde utilities. Daarmee is de configuratie volgens TBAV.INI ook
  814.      geldig bij het starten van TbSetup, TbScan of TbClean vanaf het bestu-
  815.      rings-systeem. Hierbij is enige voorzichtigheid op zijn plaats, omdat de
  816.      opties in TBAV.INI niet op de commandoregel ongedaan kunnen worden
  817.      gemaakt. 
  818.      TBAV genereert een TBAV.INI bestand wanneer bovengenoemde optie voor het
  819.      eerst na installatie van TBAV wordt geactiveerd. In het bestand staan
  820.      alle geldige configuratie switches. De niet-geactiveerde switches worden
  821.      voorafgegaan door een puntkomma. 
  822.  
  823.  
  824.      File view utility
  825.  
  826.      TbSetup en TbScan maken resp. een databestand en een LOG-bestand aan.
  827.      Als default kunt u deze bestanden vanuit het TBAV menu bekijken met een
  828.      intern file view utility. Met behulp van deze optie kunt u een 'eigen'
  829.      extern file view utility aan het menu koppelen. Vul na selectie het
  830.      volledige pad en de volledige bestandsnaam in, compleet met extensie.
  831.  
  832.  
  833.      Wait after program execution
  834.  
  835.      Door deze optie te activeren zal TBAV de boodschap: 
  836.      "Press any key to return to the TBAV utilities" tonen, na het uitvoeren
  837.      van een externe utility.
  838.  
  839.  
  840. ~    Show command line before executing
  841.  
  842.      Is deze optie geactiveerd, dan zal TBAV het DOS commando tonen, dat de
  843.      externe utility zal laden. Doordat het betreffende commando pas wordt
  844.      uitgevoerd na <Enter>, bent u in de gelegenheid om het gespecificeerde
  845.      commando te bekijken.
  846.  
  847.  
  848. ~    Edit path string before executing
  849.  
  850.      Indien geactiveerd, kunt u na het kiezen van "Start scanning" het te
  851.      scannen path wijzigen of bevestigen.
  852.  
  853.                                        I - 8
  854. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  855.  
  856.  
  857. 3. TbSetup
  858.  
  859.  
  860. 3.1. Doel van TbSetup
  861.  
  862.      TbSetup is een onmisbaar hulpmiddel, dat ondersteuning biedt aan de
  863.      andere ThunderBYTE Anti-Virus utilities, hoewel het zelf geen actieve
  864.      rol speelt in het opsporen en verwijderen van virussen. 
  865.      TbSetup beheert de recovery informatie, en geeft daarmee extra kracht
  866.      aan de andere utilities. De informatie -voornamelijk betrekking hebbend
  867.      op programmabestanden- wordt verzameld in een referentiebestand per
  868.      directory, met de naam "Anti-Vir.Dat". De aard en structuur van deze
  869.      bestanden wordt aan het einde van dit hoofdstuk toegelicht.
  870.  
  871.      Hoewel de ThunderBYTE utilities goed kunnen werken zonder de Anti-
  872.      Vir.Dat bestanden, is het zeer aan te bevelen om deze bestanden door
  873.      TbSetup te laten genereren. De Anti-Vir.Dat bestanden worden voor
  874.      verschillende doeleinden gebruikt:
  875.  
  876.      -    Integriteitscontrole. TbScan -en het residente programma TbCheck-
  877.           voeren tijdens het scannen een integriteitscontrole uit als het
  878.           programma een Anti-Vir.Dat bestand aantreft. Raakt een bestand
  879.           besmet met een virus, dan zal de informatie in het Anti-Vir.Dat
  880.           bestand niet overeenstemmen met de oorspronkelijke bestandsinhoud.
  881.           TbScan en TbCheck zullen u vervolgens waarschuwen, dat het betref-
  882.           fende bestand gewijzigd is.
  883.  
  884.      -    TbSetup herkent een aantal bestanden die een speciale behandeling
  885.           vereisen. Voorbeeld van zo'n bestand is een disk image file van een
  886.           network remote boot disk. Een dergelijk bestand - dat in feite een
  887.           complete schijf vertegenwoordigt - dient eigenlijk in zijn geheel
  888.           gescand te worden, en op alle virussen. TbSetup zal een kenmerk
  889.           aanbrengen in het Anti-Vir.Dat bestand om ervoor te zorgen dat
  890.           TbScan inderdaad het complete bestand op alle virussen aftast. 
  891.  
  892.      -    Is een bestand besmet, dan zal TbClean het originele bestand recon-
  893.           strueren. De informatie in het Anti-Vir.Dat bestand is daarbij van
  894.           grote waarde. Sommige besmette programma's kunnen slechts genezen
  895.           worden, wanneer er informatie over het programma aanwezig is. 
  896.  
  897.      -    TbCheck (een kleine residente integrity checker) heeft geen functie
  898.           wanneer er geen Anti-Vir.Dat bestanden op uw systeem aanwezig zijn.
  899.  
  900.      -    De residente TBAV utilities behoeven de Anti-Vir.Dat bestanden voor
  901.           de permissie informatie. Zonder de Anti-Vir.Dat bestanden kunt u
  902.           alleen van valse alarmmeldingen afkomen door een complete facili-
  903.           teit te deactiveren. 
  904.  
  905.  
  906.  
  907.  
  908.  
  909.  
  910.                                        I - 9
  911. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  912.  
  913.  
  914. 3.2. Hoe gebruikt u TbSetup?
  915.  
  916.      Dit is het enige programma waarop de regel van toepassing is: hoe minder
  917.      u het programma gebruikt, hoe beter uw bescherming tegen virussen!
  918.      Waarom? Een Anti-Vir.Dat bestand bevat alle vitale informatie die
  919.      benodigd is om een virus op te sporen, samen met gegevens voor het
  920.      daaropvolgende herstel en het zuiveren van een bestand. Wat zou er
  921.      gebeuren als u TbSetup zou draaien nadat een virus op uw PC terecht was
  922.      gekomen: de informatie in het Anti-Vir.Dat bestand zou 'ge-updated'
  923.      worden naar de status van het besmette bestand; alle sporen van gegevens
  924.      over de oorspronkelijke staat, benodigd voor reconstructie, zouden
  925.      worden verwijderd.
  926.  
  927.      Gebruik TbSetup nooit wanneer u maar het geringste vermoeden heeft van
  928.      een virusbesmetting op uw systeem.
  929.  
  930.      Zodra de Anti-Vir.Dat bestanden gegenereerd zijn als onderdeel van de
  931.      initiele setup, dient elk volgend gebruik slechts gericht te zijn op
  932.      nieuwe directory's of op directory's met nieuwe programmabestanden. 
  933.  
  934. =>   Als default worden de Anti-Vir.Dat bestanden met het attribuut 'hidden'
  935.      aangemaakt en zijn dan ook niet zichtbaar wanneer de standaard DOS
  936.      commando's worden gebruikt. U ziet de bestanden uitsluitend wanneer u
  937.      gebruik maakt van speciale utilities.
  938.  
  939. ~    U kunt TbSetup starten vanaf de DOS commandoregel of vanuit het TBAV
  940.      menu. Drive aanduiding en pad vertellen TbSetup op welke locatie de
  941.      setup operatie moet worden verricht. Voor de eerste installatie kunt u
  942.      de optie 'alldrives' gebruiken:
  943.  
  944.           TbSetup AllDrives
  945.  
  946. ~    U kunt ook opgeven welke paden u wilt verwerken. Om schijf C: en D: te
  947.      behandelen geeft u in:
  948.  
  949.           TbSetup C:\ D:\
  950.  
  951.      U kunt TbSetup uitvoeren op een enkel bestand, een (sub)directory of op
  952.      een hele schijf. Geeft u een padnaam in, dan zullen ook alle onderlig-
  953.      gende directory's in de setup worden meegenomen. Geeft u een bestands-
  954.      naam in (waarbij u de DOS wildcards, zoals *.* kunt gebruiken), dan
  955.      wordt de operatie alleen op de gespecificeerde directory uitgevoerd.
  956.  
  957.      Gebruikt u TbSetup vanaf de DOS commandoregel, dan kunt u er d.m.v. de
  958.      'newonly' optie voor zorgen dat bestaande informatie door het programma
  959.      wordt overschreven.
  960.  
  961.      Om u eraan te herinneren dat TbSetup opnieuw gedraaid moet worden, zal
  962.      TbScan door middel van een kleine letter 'c' aangeven dat er een nieuw
  963.      programma op de schijf staat, of een hoofdletter 'C' als een programma-
  964.      bestand is gewijzigd. 
  965.  
  966.  
  967.                                       I - 10
  968. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  969.  
  970.  
  971.      Voorbeeld:
  972.      U voegt een nieuw bestand TEST.EXE toe aan de directory C:\FOO.
  973.  
  974.           TbSetup C:\FOO\TEST.EXE
  975.  
  976.      Voorbeeld:
  977.      U installeert een nieuw produkt in een nieuwe directory C:\NEW.
  978.  
  979.           TbSetup C:\NEW
  980.  
  981.  
  982.      Indien u gebruik maakt van het DOS commando kunt u een aantal opties of
  983.      parameters toevoegen. Deze opties worden in het volgende aangeduid, bij
  984.      de overeenkomstige menu optie. Aanvullend is in paragraaf 3.3 een
  985.      volledige lijst van TbSetup DOS opties opgenomen.
  986.  
  987.  
  988.  
  989.      Het 'TbSetup' menu
  990.  
  991.  
  992. ~    +----Main menu-----+
  993.      |  Confi+------TbSetup menu------+
  994.      |  TbSet|  Start TbSetup         |
  995.      |  TbSca|  Options menu         >|
  996.      |  TbUti|  Flags menu           >|
  997.      |  TbCLe|  Data file path/name   |
  998.      |  TBAV |  View data file        |
  999.      |  Docum+------------------------+
  1000.      |  Register TBAV   |
  1001.      |  Quit and save   |
  1002.      |  eXit (no save)  |
  1003.      +------------------+
  1004.  
  1005.  
  1006.      Data file path/name 
  1007.  
  1008.      TbSetup zoekt naar 'speciale' bestanden in het TbSetup.Dat bestand. Na
  1009.      selectie van deze optie kunt u een ander pad specificeren of de naam van
  1010.      een ander bestand, dat een lijst van 'speciale' bestanden bevat. 
  1011.  
  1012.      Voorbeeld:
  1013.           TbSetup Datfile = c:\tbav\tbsetup.dat
  1014.  
  1015.  
  1016.  
  1017.  
  1018.  
  1019.  
  1020.  
  1021.  
  1022.  
  1023.  
  1024.                                       I - 11
  1025. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1026.  
  1027.  
  1028. ~    +----Main menu-----+
  1029.      |  Confi+------TbSetup menu------+
  1030.      |  TbSet|  Start+-----------TbSetup options-----------+
  1031.      |  TbSca|  Optio|  Use TBAV.INI file                  |
  1032.      |  TbUti|  Flags|  Prompt for pause                   |
  1033.      |  TbCLe|  Data |  Only new files                     |
  1034.      |  TBAV |  View |  Remove Anti-Vir.Dat files          |
  1035.      |  Docum+-------|  Test mode (don't change anything)  |
  1036.      |  Register TBAV|v Hide Anti-Vir.Dat files            |
  1037.      |  Quit and save|  Make executables readonly          |
  1038.      |  eXit (no save|  Clear readonly attributes          |
  1039.      +---------------|v Sub-Directory scan                 |
  1040.                      +-------------------------------------+
  1041.  
  1042.      Use TBAV.INI file
  1043.  
  1044.      Door het activeren van deze optie zullen de TbSetup configuratiewaarden
  1045.      in het TBAV.INI bestand ook worden gebruikt wanneer TbSetup vanaf de DOS
  1046.      commandoregel wordt gestart. Speciale aandacht is gewenst, omdat de in
  1047.      TBAV.INI gespecificeerde opties niet op de commandoregel gedaan kunnen
  1048.      worden gemaakt. Zie hoofdstuk I-2.
  1049.  
  1050.  
  1051.      Prompt for pause 
  1052.  
  1053.      Activeert u de optie 'pause', dan zal TbSetup pauzeren zodra een window
  1054.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  1055.      ten te beoordelen. 
  1056.  
  1057.  
  1058.      Only new files 
  1059.  
  1060.      Wilt u nieuwe bestanden toevoegen aan de Anti-Vir.Dat database, maar
  1061.      niet dat gegevens van gewijzigde bestanden worden bijgewerkt, dan kunt u
  1062.      van deze optie gebruik maken. Het bijwerken van gegevens van gewijzigde
  1063.      programmabestanden is gevaarlijk, omdat -indien een bestand besmet is-
  1064.      de informatie om het virus op te sporen en te verwijderen is overschre-
  1065.      ven. 
  1066.  
  1067.  
  1068.      Remove Anti-Vir.Dat files 
  1069.  
  1070.      Wilt u de ThunderBYTE utilities niet meer gebruiken, dan hoeft u niet
  1071.      handmatig alle Anti-Vir.Dat bestanden te verwijderen. Met deze optie zal
  1072.      TbSetup alle Anti-Vir.Dat bestanden van uw PC verwijderen.
  1073.  
  1074.  
  1075. ~    Test mode (Don't change anything)
  1076.  
  1077.      Wilt u het resultaat van een optie bestuderen, zonder dat iets wordt
  1078.      geactiveerd dat u niet wilt, kunt u de 'test' optie gebruiken. Het
  1079.  
  1080.  
  1081.                                       I - 12
  1082. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1083.  
  1084.  
  1085.      programma zal zich dan 'normaal' gedragen, maar zal het geen wijzigingen
  1086.      of updates aanbrengen op uw harde schijf. 
  1087.  
  1088.  
  1089.      Hide Anti-Vir.Dat files 
  1090.  
  1091.      De Anti-Vir.Dat bestanden zijn normaal niet zichtbaar in de directory
  1092.      lijst. Wilt u liever normale -zichtbare- bestanden dan kunt u deze optie
  1093.      activeren. 
  1094.  
  1095. =>   Deze optie heeft alleen betrekking op nieuw te genereren Anti-Vir.Dat
  1096.      bestanden.
  1097.  
  1098.  
  1099.      Make executables read-only 
  1100.  
  1101.      Omdat TbFile het read-only attribuut constant bewaakt, is het zeer
  1102.      wenselijk alle programmabestanden read-only te maken om elke verandering
  1103.      te voorkomen. TbSetup doet dit voor u als u de optie 'read-only' acti-
  1104.      veert. Bestanden die niet read-only mogen worden gemaakt worden door
  1105.      TbSetup herkend.
  1106.  
  1107.  
  1108.      Clear read-only attributes 
  1109.  
  1110.      Deze optie kan worden gebruikt om de effecten van de 'read-only' opera-
  1111.      tie terug te draaien. Activeert u deze optie, dan worden alle read-only
  1112.      attributen van alle programmabestanden opgeheven.
  1113.  
  1114.  
  1115.      Sub-Directory scan 
  1116.  
  1117.      Als default zoekt TbSetup ook in de sub-directories naar programmabe-
  1118.      standen, tenzij een bestandsnaam (wildcards toegestaan!) is opgegeven.
  1119.      Door middel van deze optie zal TbSetup ook sub-directories behandelen.
  1120.  
  1121.  
  1122. ~    +----Main menu-----+
  1123.      |  Confi+------TbSetup menu------+
  1124.      |  TbSet|  Start+-----TbSetup flags------+
  1125.      |  TbSca|  Optio|v Use normal flags      |
  1126.      |  TbUti|  Flags|  Set flags manually    |
  1127.      |  TbCLe|  Data |  Reset flags manually  |
  1128.      |  TBAV |  View |  Define flags         >|
  1129.      |  Docum+-------+------------------------+
  1130.      |  Register TBAV   |
  1131.      |  Quit and save   |
  1132.      |  eXit (no save)  |
  1133.      +------------------+
  1134.  
  1135.  
  1136.  
  1137.  
  1138.                                       I - 13
  1139. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1140.  
  1141.  
  1142.      Set flags manually 
  1143.  
  1144.      Deze optie is alleen geschikt voor ervaren gebruikers. Met deze optie
  1145.      kunt u handmatig permissievlaggen zetten in het Anti-Vir.Dat record.
  1146.      Deze optie vereist een hexadecimale bitmask om de vlaggen in te stellen.
  1147.      Voor meer informatie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1148.      Optieformaat: Set =<flags>
  1149.  
  1150.      Voorbeeld: 
  1151.           Set = 0001
  1152.  
  1153.  
  1154.      Reset flags manually 
  1155.  
  1156.      Ook deze optie is uitsluitend geschikt voor ervaren gebruikers. Met deze
  1157.      optie kunt u permissievlaggen handmatig terugzetten of voorkomen dat
  1158.      vlaggen worden ingesteld in het Anti-Vir.Dat record. Deze optie vereist
  1159.      een hexadecimale bitmask om de vlaggen in te stellen. Voor meer informa-
  1160.      tie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1161.      Optieformaat: Reset =<flags>
  1162.  
  1163.      Voorbeeld:
  1164.           Reset = 0001
  1165.  
  1166.  
  1167.  
  1168. ~    +----Main menu-----+
  1169.      |  Confi+-----TbSetup menu------+
  1170.      |  TbSet|  Start+-----TbSetup flags------+
  1171.      |  TbSca|  Optio|v Use n+--Define flags to be changed--+
  1172.      |  TbUti|  Flags|  Set f|  0001: Heuristic analysis    |
  1173.      |  TbCLe|  Data |  Reset|  0002: Checksum changes      |
  1174.      |  TBAV |  View |  Defin|  0004: Disk image File       |
  1175.      |  Docum+-------+-------|  0008: Readonly sensitive    |
  1176.      |  Register TBAV   |    |  0010: TSR program           |
  1177.      |  Quit and save   |    |  0020: Direct disk access    |
  1178.      |  eXit (no save)  |    |  0040: Attribute modifier    |
  1179.      +------------------+    |  8000: Interrupt rehook      |
  1180.                              +------------------------------+
  1181.  
  1182.  
  1183. 3.3. Commandoregel opties
  1184.  
  1185.      TbSetup staat toe dat opties op de DOS commandoregel worden gespecifi-
  1186.      ceerd. TbSetup herkent zowel de korte als de lange notatie van opties.
  1187.      De woorden zijn gemakkelijker te herinneren, en zullen voor het gemak
  1188.      ook in deze handleiding worden gebruikt. De syntaxis luidt als volgt:
  1189.  
  1190.           TbSetup [<pad][<bestand>]... [<opties>]...
  1191.  
  1192.  
  1193.  
  1194.  
  1195.                                       I - 14
  1196. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1197.  
  1198.  
  1199.      optie  parameter     short   verklaring
  1200.      ------ ------------- ------- --------------------------------
  1201.      help                  he      help
  1202.      pause                 pa      activeer 'Pause' prompt
  1203.      mono                  mo      forceer monochroom
  1204.  
  1205.      nosub                 ns      sub-directories overslaan
  1206.      newonly               no      gewijzigde records niet bijwerken 
  1207. ~    alldrives             ad      doe alle hard disks
  1208. ~    allnet                an      doe alle netwerk schijven
  1209.      remove                rm      Anti-Vir.Dat bestanden verwijderen 
  1210.      test                  te      niets aanmaken of wijzigen
  1211.      nohidden              nh      Anti-Vir.Dat bestanden niet 'hidden' maken
  1212.      readonly              ro      geef programmabestanden attribuut read- 
  1213.                                    only 
  1214.      nordonly              nr      verwijderen of niet plaatsen van read-only
  1215.                                    attribute
  1216.      set    =<flags>       se      plaats vlaggen
  1217.      reset  =<flags>       re      zet vlaggen terug/ geen vlaggen plaatsen
  1218.      datfile[=<filename>]  df      te gebruiken databestand 
  1219.  
  1220.  
  1221.  
  1222.      help (he)
  1223.      Als u deze optie specificeert zal TbSetup de inhoud van het TBSETUP.HLP
  1224.      bestand tonen (indien aanwezig in de TbSetup directory). Specificeert u
  1225.      een vraagteken, dan ziet u de optielijst zoals deze hierboven staat
  1226.      afgebeeld. 
  1227.  
  1228.      pause (pa)
  1229.      Activeert u de optie 'pause', dan zal TbSetup pauzeren zodra een window
  1230.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  1231.      ten te beoordelen. 
  1232.  
  1233.      mono (mo)
  1234.      Door het toevoegen van deze optie wordt TBAV monochroom weergegeven.
  1235.      Deze instelling is met name van belang voor een goede weergave op laptop
  1236.      computers (LCD schermen) en kleur emulerende monochroom systemen.
  1237.  
  1238.      nosub (ns)
  1239.      Als default zoekt TbSetup ook in de sub-directories naar programmabe-
  1240.      standen, tenzij een bestandsnaam (wildcards toegestaan!) is opgegeven.
  1241.      Door het specificeren van deze optie zal TbSetup geen sub-directories
  1242.      behandelen.
  1243.  
  1244.      newonly (no)
  1245.      Wilt u nieuwe bestanden toevoegen aan de Anti-Vir.Dat database, maar
  1246.      niet dat gegevens van gewijzigde bestanden worden bijgewerkt, dan kunt u
  1247.      van deze optie gebruik maken. Het bijwerken van gegevens van gewijzigde
  1248.      programmabestanden is gevaarlijk, omdat -indien een bestand besmet is-
  1249.      de informatie om het virus op te sporen en te verwijderen is overschre-
  1250.      ven. 
  1251.  
  1252.                                       I - 15
  1253. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1254.  
  1255.  
  1256. ~    alldrives (ad)
  1257.      Indien u alle harde schijven wilt verwerken kunt u deze optie gebruiken.
  1258.      Behalve voor de allereerste keer dat u TbSetup gebruikt wordt deze optie
  1259.      niet aanbevolen.
  1260.  
  1261. ~    allnet (an)
  1262.      Indien u alle harde netwerk schijven wilt verwerken kunt u deze optie
  1263.      gebruiken. Behalve voor de allereerste keer dat u TbSetup gebruikt wordt
  1264.      deze optie niet aanbevolen.
  1265.  
  1266.      remove (rm)
  1267.      Wilt u de ThunderBYTE utilities niet meer gebruiken, dan hoeft u niet
  1268.      handmatig alle Anti-Vir.Dat bestanden te verwijderen. Met deze optie zal
  1269.      TbSetup alle Anti-Vir.Dat bestanden van uw PC verwijderen.
  1270.  
  1271.      test (te)
  1272.      Wilt u het resultaat van een optie bestuderen, zonder dat iets wordt
  1273.      geactiveerd dat u niet wilt, kunt u de 'test' optie gebruiken. Het
  1274.      programma zal zich dan 'normaal' gedragen, maar zal het geen wijzigingen
  1275.      of updates aanbrengen op uw harde schijf. 
  1276.  
  1277.      nohidden (nh)
  1278.      De Anti-Vir.Dat bestanden zijn normaal niet zichtbaar in de directory
  1279.      lijst. Wilt u liever normale -zichtbare- bestanden dan kunt u deze optie
  1280.      specificeren.
  1281. =>   Deze optie heeft alleen betrekking op nieuw te genereren Anti-Vir.Dat
  1282.      bestanden.
  1283.  
  1284.      readonly (ro)
  1285.      Omdat TbFile het read-only attribuut constant bewaakt, is het zeer
  1286.      wenselijk alle programmabestanden read-only te maken om elke verandering
  1287.      te voorkomen. TbSetup doet dit voor u als u de optie 'readonly' specifi-
  1288.      ceert. Bestanden die niet read-only mogen worden gemaakt worden door
  1289.      TbSetup herkend.
  1290.  
  1291.      nordonly (nr)
  1292.      Deze optie kan worden gebruikt om de effecten van de 'read-only' opera-
  1293.      tie terug te draaien. Activeert u deze optie, dan worden alle read-only
  1294.      attributen van alle programmabestanden opgeheven.
  1295.  
  1296.      set =<vlaggen> (se)
  1297.      Deze optie is alleen geschikt voor ervaren gebruikers. Met deze optie
  1298.      kunt u handmatig permissievlaggen zetten in het Anti-Vir.Dat record.
  1299.      Deze optie vereist een hexadecimale bitmask om de vlaggen in te stellen.
  1300.      Voor meer informatie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1301.  
  1302.      reset =<vlaggen> (re)
  1303.      Ook deze optie is uitsluitend geschikt voor ervaren gebruikers. Met deze
  1304.      optie kunt u permissievlaggen handmatig terugzetten of voorkomen dat
  1305.      vlaggen worden ingesteld in het Anti-Vir.Dat record. Deze optie vereist
  1306.      een hexadecimale bitmask om de vlaggen in te stellen. Voor meer informa-
  1307.      tie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1308.  
  1309.                                       I - 16
  1310. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1311.  
  1312.  
  1313.      Voorbeeld:
  1314.           Reset = 0001
  1315.  
  1316.  
  1317.      datfile =<bestandsnaam> (df)
  1318.      Vanaf de commandoregel: Datfile =<filename>
  1319.      Voorbeeld:
  1320.           Datfile = c:\tbav\tbsetup.dat
  1321.  
  1322.  
  1323. 3.4. TbSetup in bedrijf
  1324.  
  1325.      TbSetup verdeelt het scherm in drie windows: een informatiewindow, dat
  1326.      commentaar uit het data bestand bovenin het scherm toont, een bestands-
  1327.      window links en een statuswindow rechts.
  1328.  
  1329.      Het lagere linker gedeelte toont een lijst met de namen van de bestanden
  1330.      die worden behandeld, samen met enige bestandsspecifieke informatie:
  1331.  
  1332.  
  1333.      TEST.EXE 01234  12AB23CD   Added    * 0001
  1334.      |        |      |          |        | |
  1335.      |        |      |          |        | |
  1336.      |        |      |          |        | 'vlag' instelling voor dit
  1337.      |        |      |          |        |  bestand
  1338.      |        |      |          |        verwijst naar 'speciaal' bestand
  1339.      |        |      |          gepleegde actie
  1340.      |        |      32-bit CRC (checksum)
  1341.      |        bestandsgrootte in hexadecimale waarden
  1342.      naam van het onderhavige bestand
  1343.  
  1344.  
  1345.      U hoeft niet al te veel aandacht te besteden aan de snelheid waarmee de
  1346.      informatie voorbijkomt, of aan de ingewikkeldheid van die informatie.
  1347.      Naar alle waarschijnlijkheid heeft u deze detailinformatie nooit nodig.
  1348.  
  1349.      Het scanning window heeft een 'gepleegde actie' veld, dat aangeeft of
  1350.      een item in het Anti-Vir.Dat is toegevoegd, veranderd of ge-updated:
  1351.  
  1352.      Added
  1353.      Er bestond voorheen geen informatie over dit bestand in het Anti-Vir.Dat
  1354.      record. Deze informatie is toegevoegd.
  1355.  
  1356.      Changed
  1357.      Er was reeds bestandsinformatie, maar het bestand is veranderd. De Anti-
  1358.      Vir.Dat informatie is bijgewerkt.
  1359.  
  1360.      Updated
  1361.      Er was reeds bestandsinformatie, en het bestand is onveranderd. Deson-
  1362.      danks heeft TbSetup enkele permissievlaggen gewijzigd -overeenkomstig de
  1363.      instelling in het TbSetup.Dat bestand of overeenkomstig een 'Set' of
  1364.      'Reset' optie. 
  1365.  
  1366.                                       I - 17
  1367. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1368.  
  1369.  
  1370.  
  1371.      Doel van het TbSetup.Dat bestand
  1372.  
  1373.      Alhoewel de ThunderBYTE utilities zonder extra hulp hun werk uitstekend
  1374.      doen op vrijwel elk bestand, bestaan er desondanks enkele bestanden die
  1375.      om speciale aandacht vragen. TbSetup gebruikt informatie die is verza-
  1376.      meld in een gegevensbestand, TbSetup.Dat, om zulke bestanden in het
  1377.      Anti-Vir.Dat bestand te kunnen kenmerken. De andere ThunderBYTE utili-
  1378.      ties kunnen deze informatie vervolgens gebruiken om te bepalen hoe een
  1379.      dergelijk bijzonder bestand behandeld moet worden.
  1380.  
  1381.      Voorbeelden van bijzondere bestanden:
  1382.  
  1383.      -    Sommige programma's houden configuratiegegevens bij in het executa-
  1384.           ble bestand (EXE, COM) zelf. Wanneer u de configuratie van deze
  1385.           programma's wijzigt, zal het programmabestand dus ook veranderen,
  1386.           evenals de checksum. De nieuwe checksum zal dus niet overeenkomen
  1387.           met de informatie in het TbSetup.Dat bestand. Omdat sommige Thun-
  1388.           derBYTE utilities deze checksum informatie gebruiken om de integri-
  1389.           teit of het resultaat van cleaning te verifieren, moeten zij
  1390.           'weten' of de checksum van een bestand al of niet een vast gegeven
  1391.           is en dus al of niet gewijzigd mag worden. 
  1392.  
  1393.      -    TbScan kan generieke detectiemethoden, zoals de 'heuristische'
  1394.           analyse gebruiken om onbekende virussen op te sporen. Omdat heuris-
  1395.           tische analyse onvermijdelijk het optreden van valse waarschuwingen
  1396.           impliceert -als een bestand er als een virus uitziet-, kan TbScan
  1397.           besluiten om geen heuristische analyse op een dergelijk programma
  1398.           te doen.
  1399.  
  1400.      -    Sommige ThunderBYTE utilities bewaken het read-only attribuut en
  1401.           zorgen ervoor dat dit attribuut alleen verwijderd kan worden na
  1402.           uitdrukkelijke toestemming van de gebruiker. Enkele programma's
  1403.           kunnen echter niet goed werken wanneer zij het attribuut 'read-
  1404.           only' dragen.
  1405.  
  1406.      -    TbScan's default scanning methode werkt uitstekend op nagenoeg elk
  1407.           bestand. Toch zijn er enkele bestanden die speciale analyse verei-
  1408.           sen. Een dergelijk bestand is het Novell NET$DOS.SYS bestand. Geen
  1409.           device driver -zoals de extensie doet vermoeden- maar een disk
  1410.           image van de bootable disk. Dit bestand dient volledig te worden
  1411.           afgetast, en voor alle handtekeningen, inclusief COM en BOOT.
  1412.  
  1413.      -    De residente detectie utilities van het TBAV pakket signaleren elke
  1414.           vorm van virus-specifiek gedrag. Sommige volstrekt 'normale'
  1415.           programma's kunnen zich echter als virus gedragen, en moeten dus
  1416.           zonder bemoeienis van TBAV gewoon kunnen werken. 
  1417.  
  1418.      U hoeft zich geen zorgen te maken vanwege het feit dat een aantal
  1419.      bestanden van heuristische analyse uitgesloten zijn. Deze bestanden
  1420.      zullen op de conventionele manier onder meer op basis van de handteke-
  1421.      ningenlijst worden gecontroleerd. Bovendien wordt geen enkel bestand van
  1422.  
  1423.                                       I - 18
  1424. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1425.  
  1426.  
  1427.      heuristische analyse uitgesloten, tenzij het bestand volledig overeen-
  1428.      stemt met de informatie in het TbSetup.Dat bestand - inclusief de naam,
  1429.      grootte en de 32-bit CRC checksum. Op deze wijze is elk gat in de
  1430.      beveiliging gedicht. Als een geregistreerd bestand al besmet is, zal de
  1431.      checksum niet overeenstemmen met de 32-bit CRC in het TbSetup.Dat
  1432.      bestand, en zal het bestand niet worden uitgesloten.
  1433.  
  1434.      Als een programma op een later moment wordt besmet, zal dat een wijzi-
  1435.      ging in op zijn minst een van de karakteristieken tot gevolg hebben. Het
  1436.      record in het Anti-Vir.Dat bestand zal niet meer overeenstemmen met de
  1437.      overeenkomstige waarden van het bestand, zodat het bestand onderworpen
  1438.      zal worden aan een volledige heuristische analyse zoals elk ander
  1439.      bestand.
  1440.  
  1441.  
  1442.  
  1443.  
  1444.  
  1445.  
  1446.  
  1447.  
  1448.  
  1449.  
  1450.  
  1451.  
  1452.  
  1453.  
  1454.  
  1455.  
  1456.  
  1457.  
  1458.  
  1459.  
  1460.  
  1461.  
  1462.  
  1463.  
  1464.  
  1465.  
  1466.  
  1467.  
  1468.  
  1469.  
  1470.  
  1471.  
  1472.  
  1473.  
  1474.  
  1475.  
  1476.  
  1477.  
  1478.  
  1479.  
  1480.                                       I - 19
  1481. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1482.  
  1483.  
  1484. 4. TbDriver
  1485.  
  1486.  
  1487. 4.1. Doel van TbDriver
  1488.  
  1489. ~    TbDriver zelf biedt weinig bescherming tegen computervirussen, maar moet
  1490.      vooraf geladen worden om de geheugenresidente TBAV utilities (TbScanX,
  1491.      TbCheck, TbMem, TbFile en TbDisk) in staat te stellen hun werk te doen.
  1492.      Het programma vormt de bron voor sommige routines die deze utilities
  1493.      gemeenschappelijk gebruiken, waaronder de faciliteiten voor de pop-up
  1494.      windows, het gebruik van de taalmodules en netwerksupport.
  1495.  
  1496. ~    Hiernaast biedt TbDriver bescherming tegen 'stealth' virussen en ANSI
  1497.      bommen.
  1498.  
  1499.  
  1500.      Hoe gebruikt u TbDriver?
  1501.  
  1502.      TbDriver moet geladen worden voor (een van) de andere geheugenresidente
  1503.      TBAV utilities. De startinstructies vindt u op de volgende pagina's.
  1504.  
  1505.      In normale situaties is het gebruik van de 'net' optie niet noodzake-
  1506.      lijk. Wanneer u TbDriver installeert op een PC die wordt gestart vanaf
  1507.      een boot ROM, dient u te specificeren waar het boodschappenbestand
  1508.      inclusief schijfaanduiding en pad kan worden gevonden nadat de PC is
  1509.      opgestart. Het default boodschappenbestand is namelijk niet langer
  1510.      benaderbaar nadat de PC is opgestart.
  1511.  
  1512.  
  1513. 4.2. Commandoregel opties
  1514.  
  1515.      TbDriver staat toe dat opties op de DOS commandoregel worden gespecifi-
  1516.      ceerd. Geeft u een bestandsnaam in, dan zal deze worden beschouwd als
  1517.      boodschappenbestand. De eerste drie opties kunnen te allen tijde worden
  1518.      gebruikt, de overige zijn alleen beschikbaar zolang TbDriver nog niet
  1519.      resident in het geheugen is. 
  1520.  
  1521.  
  1522.      optie   parameter   kort  toelichting
  1523.      ------- ----------- ----- ------------------------
  1524.  
  1525.      help                ?     toon dit helpscherm
  1526.      net                 n     force LAN support
  1527.      remove              r     verwijder TbDisk uit het geheugen
  1528.      mode    =<m|c>      m     video mode
  1529.  
  1530.      noavok  =<drives>   o     verleen permissie indien AV record ontbreekt
  1531.      quiet               q     actie niet tonen
  1532.      secure              s     updates niet toestaan
  1533.      notunnel            t     tunneling niet signaleren
  1534. ~    nofilter            f     filter geen gevaarlijke ANSI codes
  1535. ~    nostack             ns    zet geen eigen stack op
  1536.  
  1537.                                       I - 20
  1538. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1539.  
  1540.  
  1541.  
  1542.      help (?)
  1543.      Specificeert u deze optie, dan ziet u de optielijst zoals deze hierboven
  1544.      staat afgebeeld. 
  1545.  
  1546.      net (n)
  1547.      TbDriver werkt goed samen met de meeste netwerken; in normale situaties
  1548.      zal de 'net' optie dan ook niet nodig zijn. U dient deze optie te
  1549.      specificeren indien alle volgende verschijnselen zich voordoen:
  1550.  
  1551.      Er is verbinding gemaakt naar Novell netwerken en TbDriver is geladen
  1552.      voor ingave van het login commando. En er is geen geldig Anti-Vir.Dat
  1553.      record in de directory waar het NET?.COM programma is opgeslagen of
  1554.      nadat het NET?.COM bestand hernoemd is.
  1555.  
  1556.      remove (r)
  1557.      Deze optie schakelt TbDriver uit en zal proberen het residente deel van
  1558.      de code uit het geheugen te verwijderen om zodoende de geheugenruimte
  1559.      aan het systeem terug te geven. Helaas werkt deze optie alleen als
  1560.      TbDriver als laatste geladen is. Een poging om een TSR te verwijderen
  1561.      nadat een andere TSR is gestart zou een waardeloos gat achterlaten in
  1562.      het geheugen, dat de interrupt chain zou kunnen verstoren. TbDriver
  1563.      controleert of de residente code zonder problemen kan worden verwijderd.
  1564.      Is dat niet het geval, dan zal het programma zichzelf alleen maar
  1565.      uitschakelen.
  1566.  
  1567.      mode (m)
  1568.      Op dual video systemen zal TbDriver het huidige actieve scherm gebrui-
  1569.      ken. Door middel van de optie 'mode=m' kan het programma gedwongen
  1570.      worden het alternatieve scherm voor monochroom weergave te gebruiken, of
  1571.      'mode=c' voor kleurensystemen.
  1572.  
  1573. ~    noavok (o)
  1574.      Deze optie wordt afgeraden in geval van normaal gebruik van TbDriver. U
  1575.      kunt de optie wellicht nodig hebben om automatisch toestemming te
  1576.      verlenen aan programma's zonder Anti-Vir.Dat record. De optie 'noavok'
  1577.      vereist een parameter die de drives specificeert waarop de default
  1578.      permissie betrekking heeft. Als u bijvoorbeeld geen boodschap van TbMem
  1579.      wilt als een TSR zonder Anti-Vir.Dat record vanaf schijf G: en H: wordt
  1580.      uitgevoerd, specificeert u 'noavok=gh' op de TbDriver commandoregel.
  1581.      Indien u netwerk schijven wilt uitzonderen dient u het sterretje (*) te
  1582.      gebruiken. Dus indien u bij voorbaat toestemming wilt verlenen voor alle
  1583.      activiteiten van programma's die op station A:, RAMdisk F: en op alle
  1584.      netwerk schijven staan specificeert u 'noavok=af*'.
  1585.  
  1586.      quiet (q)
  1587.      Sommige residente TBAV utilities tonen een activiteit status. TbScanX,
  1588.      bijvoorbeeld, toont een rechthoek met "*Scanning*" in de linkerbovenhoek
  1589.      van uw scherm gedurende het scannen van een bestand. U kunt dit uitscha-
  1590.      kelen met de 'quiet' optie als TbDriver is geladen. 
  1591.  
  1592.  
  1593.  
  1594.                                       I - 21
  1595. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1596.  
  1597.  
  1598.      secure (s)
  1599.      Sommige ThunderBYTE utilities kunnen permissievlaggen opslaan in de
  1600.      Anti-Vir.Dat bestanden. Als u niet wilt dat deze vlaggen worden gewij-
  1601.      zigd, kunt u deze optie gebruiken. 'Secure' heeft geen effect op vlaggen
  1602.      die reeds zijn ingesteld; u kunt de optie dus gebruiken na het installe-
  1603.      ren van nieuwe programma's of pakketten. 
  1604.  
  1605.      notunnel (t)
  1606.      'Tunneling' is een techniek die door virussen wordt gebruikt om de
  1607.      locatie van de DOS systeemcode in het geheugen te bepalen, om dat adres
  1608.      vervolgens te gebruiken om direct met DOS te communiceren. Hierdoor
  1609.      worden alle TSR programma's uitgeschakeld, inclusief residente anti-
  1610.      virus software. TbDriver signaleert zogenaamde tunneling pogingen door
  1611.      virussen en waarschuwt wanneer een poging plaatsvindt. Enkele andere
  1612.      anti-virus produkten maken eveneens van deze techniek gebruik om resi-
  1613.      dente virussen te kunnen omzeilen en veroorzaken daardoor valse alarme-
  1614.      ringen. Maakt u momenteel ook gebruik van andere anti-virus software,
  1615.      dan kunt u de optie 'notunnel' gebruiken om de signalering van tunneling
  1616.      uit te schakelen.
  1617.  
  1618. ~    nofilter (f)
  1619.      Het originele ANSI stuurbestand biedt de mogelijkheid om aan een bepaal-
  1620.      de toets een tekenreeks toe te kennen. Jaren geleden gebruikte men deze
  1621.      mogelijkheid om bijvoorbeeld de tekst 'DIR /W' toe te kennen aan de F10
  1622.      toets. Dit programmeren van toetsen kan eenvoudig plaatsvinden door
  1623.      zogenaamde ANSI commando's in een tekst te plaatsen en deze tekst
  1624.      vervolgens te 'typen'. Tegenwoordig gebruikt niemand meer deze mogelijk-
  1625.      heid, maar de mogelijkheid bestaat nog immer. Sommige zieke geesten
  1626.      gebruiken deze mogelijkheid om een tekstbestand te maken die bijvoor-
  1627.      beeld de 'Enter' toets herprogrammeert naar 'Del *.*' of erger... Een
  1628.      dergelijke tekst wordt een ANSI bom genoemd. TbDriver beschermt u
  1629.      hiertegen door de specifieke toetsprogrammeringscodes uit te filteren.
  1630.      Alle andere ANSI commando's worden ongemoeid gelaten. Indien u op deze
  1631.      bescherming geen prijs stelt of deze verouderde ANSI mogelijkheid wilt
  1632.      benutten kunt u optie 'nofilter' gebruiken.
  1633.  
  1634. ~    nostack (ns)
  1635.      TbDriver zet normaal gesproken een 'stack' op voor de residente TBAV
  1636.      utilities. Voor de meeste systemen is dit echter niet nodig. Indien u
  1637.      optie 'nostack' gebruikt wordt de normale applicatie stack gebruikt,
  1638.      hetgeen enkele honderden bytes aan geheugenruimte oplevert. Indien uw
  1639.      system echter instabiel wordt of vastloopt kunt u deze optie beter weer
  1640.      weghalen.
  1641.  
  1642.  
  1643. 4.3. Taal ondersteuning
  1644.  
  1645.      De specificatie van een -optionele- bestandsnaam wordt door TbDriver
  1646.      gebruikt om te bepalen waar een TBAV boodschappenbestand gevonden kan
  1647.      worden. TbDriver haalt de teksten t.b.v. de pop-up window boodschappen
  1648.      uit een bestand "TBDRIVER.LNG", dat gezocht wordt in de eigen directory.
  1649.      U kunt het default Engelstalige boodschappenbestand TBDRIVER.LNG desge-
  1650.  
  1651.                                       I - 22
  1652. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1653.  
  1654.  
  1655.      wenst vervangen door bestanden met teksten in uw eigen taal. U kunt deze
  1656.      afzonderlijke tekstbestanden bestellen via uw ThunderBYTE dealer. Ook is
  1657.      het mogelijk om het bestand te downloaden van een ThunderBYTE support
  1658.      Bulletin Board Systeem. Meer informatie over deze tekstbestanden vindt u
  1659.      in paragraaf I-4.3. U kunt een ander tekstbestand laden door deze te
  1660.      hernoemen naar de default bestandsnaam (TBDRIVER.LNG) of door het
  1661.      volledige pad en de bestandsnaam achter het TbDriver commando in te
  1662.      geven.
  1663.  
  1664.      U kunt ook naar een ander boodschappenbestand overschakelen door TbDri-
  1665.      ver opnieuw te laden, maar nu met een ander boodschappenbestand. Dit
  1666.      kost u geen extra geheugenruimte. 
  1667.  
  1668.  
  1669.  
  1670.  
  1671.  
  1672.  
  1673.  
  1674.  
  1675.  
  1676.  
  1677.  
  1678.  
  1679.  
  1680.  
  1681.  
  1682.  
  1683.  
  1684.  
  1685.  
  1686.  
  1687.  
  1688.  
  1689.  
  1690.  
  1691.  
  1692.  
  1693.  
  1694.  
  1695.  
  1696.  
  1697.  
  1698.  
  1699.  
  1700.  
  1701.  
  1702.  
  1703.  
  1704.  
  1705.  
  1706.  
  1707.  
  1708.                                       I - 23
  1709. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1710.  
  1711.  
  1712. 5. Systeem onderhoud
  1713.  
  1714.  
  1715.      Elk systeem vereist een zekere mate van onderhoud, en dat geldt ook voor
  1716.      de TBAV utilities. Omdat steeds nieuwe virussen opduiken, moet TbScan's
  1717.      handtekeningenbestand regelmatig bijgewerkt worden om nieuwe gevaren uit
  1718.      te sluiten. U kunt de nieuwste handtekeningenlijst verkrijgen via uw
  1719.      ThunderBYTE dealer of het bestand downloaden van een van de Bulletin
  1720.      Board Systemen.
  1721.  
  1722.      Zodra u programma's toevoegt, bijwerkt of vervangt dient u TbSetup te
  1723.      draaien om de 'vingerafdrukken' van de betreffende programma's te laten
  1724.      opnemen in de Anti-Vir.Dat bestanden. Wanneer u een nieuwe DOS versie
  1725.      installeert, verandert de bootsector. Het wijzigen van de configuratie
  1726.      van uw harde schijf kan van invloed zijn op de partitietabel en de CMOS
  1727.      setup. U dient een nieuwe recovery diskette aan te maken na elke veran-
  1728.      dering van het systeem.
  1729.  
  1730.  
  1731.      Updates
  1732.  
  1733.      Op regelmatige basis komt er een update uit van de ThunderBYTE Anti-
  1734.      Virus utilities. Een abonnement op de ThunderBYTE update service (via uw
  1735.      ThunderBYTE dealer) garandeert u tijdige levering van elke nieuwe versie
  1736.      van het pakket. U kunt nieuwe versies tevens op elk moment downloaden
  1737.      van elk ThunderBYTE support BBS. Of informeer regelmatig op een lokaal
  1738.      bulletin board. Velen bieden de laatste updates van onze software aan.
  1739.      De meest betrouwbare methode is vanzelfsprekend een TBAV abonnement. U
  1740.      bent te allen tijde verzekert van actuele software!
  1741.  
  1742.      De volledige programmatuur wordt op Bulletin Boards uitgegeven in een
  1743.      archief bestand met als naam: TBAVxxx.ZIP, waarbij 'xxx' wordt vervangen
  1744.      door het versienummer. De extensie van het bestand is afhankelijk van de
  1745.      gebruikte archiveermethode van het betreffende Bulletin Board. Om de
  1746.      download kosten zo laag mogelijk te houden verspreidt ThunderBYTE ook
  1747.      kleinere upgrade archief bestanden. Hierin vindt u uitsluitend die
  1748.      bestanden, die sinds de voorafgaande versie zijn gewijzigd. Upgrade
  1749.      archief bestanden hebben een 'U' in de bestandsnaam, zoals bijvoorbeeld
  1750.      TBAVUxxx.ZIP.
  1751.  
  1752.      Om de hoogste betrouwbaarheid te garanderen geeft ThunderBYTE regelmatig
  1753.      beta versies uit, die eveneens uitsluitend gewijzigde bestanden bevat-
  1754.      ten. U kunt de beta versies herkennen aan de letter 'B' in de bestands-
  1755.      naam, bijvoorbeeld TBAVBxxx.ZIP.
  1756.  
  1757.      De residente TBAV utilities zijn ook verkrijgbaar in processor geoptima-
  1758.      liseerde formaten. Deze versies, met de naam TBAVXxxx.ZIP, worden
  1759.      uitsluitend aan geregistreerde gebruikers geleverd. U kunt deze software
  1760.      aanschaffen via uw ThunderBYTE dealer.
  1761.  
  1762.  
  1763.  
  1764.  
  1765.                                       I - 24
  1766. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1767.  
  1768.  
  1769.      Distributie van het handtekeningenbestand
  1770.  
  1771.      Zeer regelmatig wordt er een bijgewerkte versie van het handtekeningen-
  1772.      bestand (TBSCAN.SIG) uitgegeven. Dit bestand wordt verspreid via de
  1773.      ThunderBYTE dealers en via verscheidene Bulletin Board Systemen. Het BBS
  1774.      bestand is beschikbaar in een archief formaat, met de naam TBSG###%.ZIP
  1775.      (### = versienummer, % = subversienummer, bijv. TBSG604c.ZIP). De meeste
  1776.      Bulletin Board Systemen worden binnen 48 uur na update van de master
  1777.      copy van een nieuwe versie voorzien. De meest recente handtekeningenbe-
  1778.      standen via elk Thunderbyte support BBS.
  1779.  
  1780.  
  1781.      Taal support
  1782.  
  1783.      De ThunderBYTE Anti-Virus utilities zijn verkrijgbaar in meerdere
  1784.      taalversies, door middel van afzonderlijke boodschappenbestanden.
  1785.      Informeer bij uw ThunderBYTE dealer naar de verkrijgbare talen. 
  1786.  
  1787.  
  1788.  
  1789.  
  1790.  
  1791.  
  1792.  
  1793.  
  1794.  
  1795.  
  1796.  
  1797.  
  1798.  
  1799.  
  1800.  
  1801.  
  1802.  
  1803.  
  1804.  
  1805.  
  1806.  
  1807.  
  1808.  
  1809.  
  1810.  
  1811.  
  1812.  
  1813.  
  1814.  
  1815.  
  1816.  
  1817.  
  1818.  
  1819.  
  1820.  
  1821.  
  1822.                                       I - 25
  1823. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1824.  
  1825.  
  1826. 6. Netwerk onderhoud
  1827.  
  1828.  
  1829.      Het handtekeningenbestand TbScan.Sig dient regelmatig door een update te
  1830.      worden vervangen. Dat zou nogal wat werk betekenen wanneer u alle
  1831.      werkstations van een netwerk handmatig zou moeten updaten. Er zijn
  1832.      echter verschillende methodes om deze procedure automatisch te laten
  1833.      verlopen. 
  1834.  
  1835.  
  1836. 6.1. Het gebruik van DOS REPLACE
  1837.  
  1838.      U dient een directory \TBAV_UPD\ te onderhouden op een public server
  1839.      drive. Elke nieuwe versie van de TBAV utilities of elk nieuw handteke-
  1840.      ningenbestand TbScan.Sig moet in deze directory geplaatst worden.
  1841.  
  1842.      Vervolgens dient op elk werkstation automatisch een batch bestand te
  1843.      worden geladen zodra gebruikers inloggen op het netwerk. Dit batch
  1844.      bestand dient de volgende regels te bevatten: 
  1845.  
  1846.           rem Vervang het anti-virus produkt zodra
  1847.           rem een nieuwe versie beschikbaar is 
  1848.           replace x:\tbav_upd\*.* c:\tbav /u /r
  1849.  
  1850.      'Replace' is een standaard DOS utility. Het kopieert de bestanden die in
  1851.      de vorm van de eerste parameter worden gespecificeerd UITSLUITEND
  1852.      wanneer zij nieuwer zijn dan de bestanden die in de tweede parameter
  1853.      worden aangegeven. De letter 'x' in het voorbeeld staat voor de schijf-
  1854.      aanduiding.
  1855. =>   Zorg ervoor dat het 'replace' commando in het huidige pad staat, en dat
  1856.      de opgegeven paden geldig zijn voor de betreffende configuratie. 
  1857.  
  1858.      Op deze wijze hoeft u dus slechts een schijf van een update te voorzien.
  1859.      Alle werkstations zullen zichzelf updaten zodra zij inloggen op het
  1860.      netwerk!
  1861.  
  1862.      U kunt ook de /S optie gebruiken, indien u REPLACE alle directory's wil
  1863.      laten aftasten van de schijven van het betreffende werkstation, op zoek
  1864.      naar overeenkomstige bestanden. Raadpleeg uw DOS handleiding voor meer
  1865.      informatie.
  1866.  
  1867. =>   NB: Vergeet niet TbSetup uit te voeren op de nieuwe utilities in de
  1868.      x:\tbav_upd directory, om ervoor te zorgen dat het REPLACE commando ook
  1869.      het nieuwe Anti-Vir.Dat bestand kopieert.
  1870.  
  1871.  
  1872. 6.2. Gebruik van PkUnZip
  1873.  
  1874.      U dient een directory \TBAV_UPD\ te onderhouden op een public server
  1875.      drive. Elke nieuwe versie van het archief bestand moet in deze directory
  1876.      vervangen worden. Vervolgens dient op elk werkstation automatisch een
  1877.  
  1878.  
  1879.                                       I - 26
  1880. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                    Deel I
  1881.  
  1882.  
  1883.      batch bestand te worden geladen zodra gebruikers inloggen op het net-
  1884.      werk. Dit batch bestand dient de volgende regels te bevatten:
  1885.  
  1886.           rem Vervang het anti-virus produkt zodra 
  1887.           rem een nieuwe versie beschikbaar is 
  1888.           PkUnZip -n -o x:\tbav_upd\TBAV???.ZIP c:\tbav
  1889.  
  1890. =>   Zorg ervoor dat PkUnZip.Exe in het huidige pad staat, en dat de opgege-
  1891.      ven paden geldig zijn voor de betreffende configuratie.
  1892.  
  1893.      Als u deze procedure volgt, komt PkUnzip alleen in actie als u zojuist
  1894.      de ZIP bestanden heeft vervangen in de x:\tbav_upd directory. 
  1895.      Nu hoeft u dus slechts een schijf van de nieuwe anti-virus te voorzien.
  1896.      Alle werkstations zullen zichzelf updaten zodra zij inloggen op het
  1897.      netwerk!
  1898.  
  1899.  
  1900.  
  1901.  
  1902.  
  1903.  
  1904.  
  1905.  
  1906.  
  1907.  
  1908.  
  1909.  
  1910.  
  1911.  
  1912.  
  1913.  
  1914.  
  1915.  
  1916.  
  1917.  
  1918.  
  1919.  
  1920.  
  1921.  
  1922.  
  1923.  
  1924.  
  1925.  
  1926.  
  1927.  
  1928.  
  1929.  
  1930.  
  1931.  
  1932.  
  1933.  
  1934.  
  1935.  
  1936.                                       I - 27
  1937. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  1938.  
  1939.  
  1940. DEEL II. Anti-Virus Strategie 
  1941.  
  1942. 1. Beveiliging tegen virussen
  1943.  
  1944. 1.1. Inleiding
  1945.  
  1946.      Het onderhouden van een betrouwbaar beveiligingssysteem betekent dat u
  1947.      actief moet zijn in het nemen van maatregelen die uw systeem vrijwaren
  1948.      van een virusinfectie. Een keer per week dient u uw PC op te starten en
  1949.      te scannen vanaf een schone en schrijf-beschermde diskette. Op deze
  1950.      wijze biedt u ook virussen het hoofd die zichzelf goed weten te verber-
  1951.      gen zodra zij resident in het geheugen zijn gekomen. De bedrijfszeker-
  1952.      heid van uw beveiligingssysteem hangt in grote mate af van de hoeveel-
  1953.      heid tijd die u bereid bent te investeren om de veiligheidsmaatregelen
  1954.      zo goed mogelijk uit te voeren en hangt af van de vitaliteit van het
  1955.      desbetreffende computersysteem. 
  1956.  
  1957.      Voor het gebruik van een stand alone computer met niet-vitale gegevens,
  1958.      in een omgeving waar weinig uitwisseling van software plaatsvindt, is
  1959.      bijvoorbeeld een dagelijkse controle van de harde schijf op virussen
  1960.      voldoende. In bedrijfssituaties echter, in een netwerkomgeving waar
  1961.      diskettes veelvuldig worden uitgewisseld, waar schijven zeer waardevolle
  1962.      informatie bevatten, waar het 'down' gaan van een netwerk een belangrij-
  1963.      ke inkomstenderving betekent, dient de beveiliging zo strak te zijn als
  1964.      de organisatie praktisch kan dragen.
  1965.  
  1966.      Gegeven het bovenstaande is een eenvoudige toelichting op het gebruik
  1967.      van de zeer flexibele TBAV utilities een onmogelijke zaak. Alles hangt
  1968.      af van uw eisen en mogelijkheden. Daarom adviseren wij u om de handlei-
  1969.      ding zorgvuldig door te nemen, opdat u goed in staat bent uw eigen
  1970.      beveiligingsmaatregelen te treffen. Om te voorkomen dat computervirussen
  1971.      u enige schade berokkenen dient u in ieder geval onderstaande handelin-
  1972.      gen uit te voeren. 
  1973.  
  1974.  
  1975. 1.2. Minimale voorzorg
  1976.  
  1977.      1. Installeer TBAV op uw harde schijf
  1978.  
  1979.      U kunt de standaard TBAV installatie aan uw eigen eisen en wensen
  1980.      aanpassen. Zorg ervoor dat u op de geeigende momenten TbSetup gebruikt,
  1981.      zodat u constant over actuele herstel informatie beschikt van alle
  1982.      programmabestanden op uw systeem! Zie voor de installatieprocedure deel
  1983.      I van de TBAV handleiding.
  1984.  
  1985.      De volgende voorbeelden gaan ervan uit dat alle utilities in de default
  1986.      directory TBAV zijn gekopieerd. Voor alle voorbeeld setups geldt dat
  1987.      TbSetup moet zijn uitgevoerd. Beschikt uw systeem over meerdere harde
  1988.      schijven of schijf partities, dan dient u TbSetup uit te voeren op elke
  1989.      schijf of partitie. 
  1990.  
  1991.  
  1992.  
  1993.                                        I - 1
  1994. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  1995.  
  1996.  
  1997.      De voorbeeld setups gaan er tevens van uit dat u een recovery diskette
  1998.      heeft aangemaakt. De onderstaande voorbeelden hebben uitsluitend de
  1999.      bedoeling om u enkele ideeen te geven over het gebruik van de TBAV
  2000.      utilities; zij beschrijven niet de maximaal haalbare beveiliging. 
  2001.  
  2002.  
  2003.      2. Maak een recovery diskette aan
  2004.  
  2005.      U dient in ieder geval onder alle omstandigheden te kunnen beschikken
  2006.      over een schone recovery diskette om uberhaupt in staat te zijn een
  2007.      virus op enig moment te verwijderen. Neem nu even de tijd om deze dis-
  2008.      kette aan te maken - ruim voordat u geconfronteerd wordt met een moge-
  2009.      lijke besmetting en elke redding te laat komt.
  2010.  
  2011.      Neem een nieuwe, lege diskette, en plaats deze in het diskette-station.
  2012.      Ga naar de DOS directory prompt (\TBAV) en toets de volgende commando's
  2013.      in:
  2014.  
  2015.           Format A: /S 
  2016.           Copy SYS.COM A:
  2017.  
  2018.      Keer nu terug naar de TBAV directory:
  2019.       
  2020.           CD \TBAV
  2021.  
  2022.      Voer het MakeResc batch bestand uit:
  2023.  
  2024.           makeresc A:
  2025.  
  2026.      Het MakeResc batch bestand genereert een betrouwbare recovery diskette
  2027.      door de volgende programma's en bestanden op de diskette te kopieren.
  2028.  
  2029.      -    Een back-up van de bootsector, de partitie sector en CMOS configu-
  2030.           ratie.
  2031.  
  2032.      -    Een Config.Sys bestand, met als inhoud:
  2033.  
  2034.           Files=20
  2035.           Buffers=20
  2036.           Device=TbDriver.Exe
  2037.           Device=TbCheck.Exe FullCRC
  2038.       
  2039.  
  2040.  
  2041.  
  2042.  
  2043.  
  2044.  
  2045.  
  2046.  
  2047.  
  2048.  
  2049.  
  2050.                                       II - 2
  2051. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  2052.  
  2053.  
  2054.      -    Een Autoexec.Bat bestand, met als inhoud:
  2055.  
  2056.           @echo off
  2057.           echo off
  2058.           PATH=A:\
  2059.           TBAV
  2060.           Cls
  2061.           Echo Warning!!!
  2062.           Echo If you suspect a virus, do NOT execute anything from
  2063.           Echo the hard disk!
  2064.  
  2065.      -    De volgende bestanden:
  2066.  
  2067.           TBAV.EXE
  2068.           TBAV.LNG
  2069.           TBSCAN.EXE
  2070.           TBSCAN.LNG
  2071.           TBSCAN.SIG
  2072.           TBDRIVER.EXE
  2073.           TBDRIVER.LNG
  2074.           TBCHECK.EXE
  2075.           TBCLEAN.EXE
  2076.           TBUTIL.EXE
  2077.           TBUTIL.LNG
  2078.  
  2079.  
  2080.      Kopieer ook andere utilities naar de diskette die van pas zouden komen
  2081.      in een noodsituatie, zoals bijvoorbeeld een eenvoudige text editor om de
  2082.      Config.Sys en AutoExec.Bat aan te passen. Indien uw harde schijf specia-
  2083.      le device drivers behoeft om toegevoegde features te ontgrendelen, zoals
  2084.      DoubleSpace of Stacker, kopieer de betreffende drivers dan naar de
  2085.      recovery diskette en installeer ze in het Config.Sys bestand op station
  2086.      A:. Vermijd daarbij statements die de harde schijf benaderen. Verifieer
  2087.      de instructies in de handleiding van de device drivers, zodat u zeker de
  2088.      correcte procedures hanteert.
  2089.  
  2090.      Maak de diskette write protected. Geef de diskette op het etiket de
  2091.      omschrijving 'Recovery' mee en een korte aanduiding van de PC waarbij de
  2092.      diskette hoort. Berg de diskette op een veilige plaats op. Gebruik de
  2093.      diskette uitsluitend in noodsituaties, dus maak een kopiediskette als u
  2094.      er een voor algemene doeleinden wilt gebruiken. 
  2095.  
  2096.  
  2097.      3. Houd verdachte software buiten de deur!
  2098.  
  2099.      Veel bedrijven staan medewerkers niet toe om niet geautoriseerde softwa-
  2100.      re te installeren of uit te voeren. Of wellicht wilt u voorkomen dat uw
  2101.      familieleden uw computer bezetten met onbetrouwbare spelletjes of vage
  2102.      software. TBAV verschaft u de waakhondfunctie die een dergelijke chaos
  2103.  
  2104.  
  2105.  
  2106.  
  2107.                                       II - 3
  2108. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  2109.  
  2110.  
  2111.      voorkomt. Daartoe voegt u allereerst de volgende regel toe aan de
  2112.      Config.Sys:
  2113.  
  2114.  
  2115.           Device=C:\TBAV\TbDriver.Exe
  2116.           Device=C:\TBAV\TbCheck.Exe secure
  2117.  
  2118.      Als u de TBAV utilities met behulp van het TBAV installatie programma
  2119.      heeft geinstalleerd, kunt u ook -in plaats van het bijwerken van CON-
  2120.      FIG.SYS- een wijziging aanbrengen in het TBSTART.BAT bestand, door de
  2121.      'secure' optie aan het TbCheck commando toe te voegen:
  2122.  
  2123.           C:\TBAV\TbDriver
  2124.           C:\TBAV\TbCheck secure
  2125.  
  2126.      Voer TbSetup uit op het systeem:
  2127.  
  2128.           TbSetup C:\
  2129.  
  2130.      Herstart het systeem door het intoetsen van <Ctrl>-<Alt>-<Del>. Van nu
  2131.      af aan zal TbCheck een effectieve barriere opwerpen tegen die gebrui-
  2132.      kers, die trachten software te draaien die niet eerst door TbSetup is
  2133.      geautoriseerd. Zodra iemand een ongeautoriseerd programma probeert te
  2134.      laden, toont TBAV de volgende boodschap:
  2135.  
  2136.  
  2137.      +---------- TBAV interception ---------+
  2138.      |            WAARSCHUWING!             |
  2139.      | Het gevraagde programma (GAME.EXE)   |
  2140.      | is niet geauthoriseerd               |
  2141.      | en kan niet worden opgestart.        |
  2142.      | Druk op een willekeurige toets...    |
  2143.      +--------------------------------------+
  2144.  
  2145.  
  2146.      4. Beperk toegang van gebruikers
  2147.  
  2148. ~    De meeste TBAV utilities zijn interactief. Zij vereisen de communicatie
  2149.      met een ter zake kundige gebruiker, zodat in elke willekeurige situatie
  2150.      de juiste actie wordt ondernomen. Veel organisaties wensen echter dat de
  2151.      systeembeheerder de enige functionaris is die met TBAV mag communiceren,
  2152.      om zodoende mogelijk verkeerde beslissingen uit te sluiten. Daarom be-
  2153.      schikken de meeste TBAV utilities over de optie 'secure'. Is deze optie
  2154.      gespecificeerd, dan is elke interactie met gebruikers uitgesloten. Met
  2155.      andere woorden, aan gebruikers zal in dat geval nooit om toestemming
  2156.      gevraagd worden om discutabele operaties uit te voeren. Tevens is het
  2157.      dan niet meer mogelijk om de TBAV utilties uit te zetten dan wel uit het
  2158.      geheugen te verwijderen.
  2159.  
  2160.  
  2161.  
  2162.  
  2163.  
  2164.                                       II - 4
  2165. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  2166.  
  2167.  
  2168.      5. Gebruik nooit 'vreemde' diskettes om te starten
  2169.  
  2170.      Start alleen van uw harde schijf of van uw originele DOS diskette.
  2171.      Gebruik NOOIT de diskette van een ander om op te starten. Heeft uw PC
  2172.      een harde schijf, zorg dan dat u het diskettestation heeft geopend
  2173.      voordat u het systeem opstart of reset. 
  2174.  
  2175.  
  2176.      6. Gebruik ChkDsk regelmatig
  2177.  
  2178.      Gebruik het DOS programma ChkDsk regelmatig (zonder /F switch). ChkDsk
  2179.      kan virussen opsporen die de disk structuur op incorrecte wijze verande-
  2180.      ren, en zodoende disk fouten veroorzaken.
  2181.      Let op veranderingen in het gedrag van de software op uw PC. Elke
  2182.      gedragswijziging is verdacht, tenzij u de oorzaak kent. Enige zeer
  2183.      verdachte symptomen zijn:
  2184.  
  2185.      -    De hoeveelheid beschikbaar geheugen is verminderd.
  2186.  
  2187.      -    Het uitvoeren van programma's kost meer tijd.
  2188.  
  2189.      -    Programma's werken niet zoals zij behoren te werken, of laten het
  2190.           systeem hangen of rebooten de PC na enige tijd.
  2191.  
  2192.      -    Gegevens verdwijnen of raken beschadigd. 
  2193.  
  2194.      -    De grootte van een of meer programma's is toegenomen.
  2195.  
  2196.      -    Het scherm gedraagt zich vreemd, of vreemde informatie wordt op het
  2197.           scherm getoond. 
  2198.  
  2199.      -    ChkDsk signaleert veel fouten. 
  2200.  
  2201.  
  2202.  
  2203.  
  2204.  
  2205.  
  2206.  
  2207.  
  2208.  
  2209.  
  2210.  
  2211.  
  2212.  
  2213.  
  2214.  
  2215.  
  2216.  
  2217.  
  2218.  
  2219.  
  2220.  
  2221.                                       II - 5
  2222. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  2223.  
  2224.  
  2225. 2. Wat te doen als een virus toeslaat
  2226.  
  2227.  
  2228. 2.1. Het opsporen van virussen
  2229.  
  2230.      Het eerste wat u moet doen als u vermoedt dat uw systeem is besmet, is
  2231.      onmiddellijk een back-up maken van alle belangrijke bestanden. Gebruik
  2232.      nieuwe back-up media en overschrijf geen bestaande back-up set. U heeft
  2233.      de laatste set wellicht nodig om verloren of beschadigde bestanden te
  2234.      vervangen. Geef de nieuwe back-up op het etiket het kenmerk "ONBETROUW-
  2235.      BAAR" mee. Sommige bestanden kunnen immers besmet zijn! 
  2236.  
  2237.      Zodra u een virus of een besmetting vermoedt is het een absolute nood-
  2238.      zaak dat u uitsluitend opstart vanaf een betrouwbare tegen schrijven
  2239.      beveiligde recovery systeem diskette.
  2240.  
  2241.  
  2242.      Herken de symptomen
  2243.  
  2244.      Start vervolgens TbScan om een indicatie te krijgen van de problemen, of
  2245.      start op vanaf de recovery diskette en vergelijk de systeembestanden met
  2246.      die van de harde schijf om mogelijke veranderingen te kunnen signaleren.
  2247.      Denk eraan dat u tijdens deze test alleen programma's opstart die staan
  2248.      op de systeemdiskette. 
  2249.  
  2250.      Als TbScan een virus herkent, zal de naam worden getoond. Gaat het om
  2251.      een onbekend virus, dan wordt er een overzicht gegeven van bestandswij-
  2252.      zigingen die zich hebben voorgedaan:
  2253.  
  2254. ~         TbScan alldrives logname=lpt1 log
  2255.  
  2256.      Maak ook gebruik van TbUtil om de bootsector, de partitie code en de
  2257.      CMOS configuratie te controleren:
  2258.  
  2259.           TbUtil compare
  2260.  
  2261.      Voer geen enkel programma uit vanaf de harde schijf om te voorkomen dat
  2262.      een virus het geheugen in bezit neemt en zodoende in staat is testresul-
  2263.      taten te maskeren. TbCheck geeft u een waarschuwing wanneer u per
  2264.      ongeluk probeert een besmet of ongeautoriseerd programma vanaf de harde
  2265.      schijf probeert te laden. 
  2266.  
  2267.      Houd in gedachte dat het in de aard van een virus ligt om zoveel moge-
  2268.      lijk programma's in een zo kort mogelijke tijd te besmetten. Indien uw
  2269.      schijf -vrijwel- constant in gebruik is, dan is het niet waarschijnlijk
  2270.      dat u slechts een paar besmette programma's zult aantreffen. Als TbScan
  2271.      een alarmering geeft op niet meer dan een procent van de bestanden op
  2272.      een veelgebruikt systeem, dan gaat het waarschijnlijk om een vals alarm
  2273.      dat niets met een echte virusbesmetting te maken heeft.
  2274.  
  2275.  
  2276.  
  2277.  
  2278.                                       II - 6
  2279. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  2280.  
  2281.  
  2282.      Als de resultaten van de vergelijkingstest aangeven dat alle bestanden
  2283.      onveranderd zijn, dan weet u in ieder geval zeker dat het niet om een
  2284.      bestandsvirus gaat. 
  2285.  
  2286.      Gebruik de kopie waarmee u een besmet systeem heeft gescand niet meer op
  2287.      een ander systeem nadat u een virus heeft ontdekt. TbScan voert een
  2288.      zogenaamde 'sanity check' wanneer het programma wordt gestart. Helaas
  2289.      kan software nooit 100 procent virus-resistent worden gemaakt. Een
  2290.      sanity check werkt niet, wanneer het een virus van het 'stealth' type
  2291.      betreft. Een stealth virus kan zichzelf volledig verbergen wanneer een
  2292.      zelfcontrole wordt uitgevoerd. Het betreft hier dus geen tekortkoming
  2293.      van TbScan. De onmogelijkheid om stealth virussen te traceren geldt voor
  2294.      alle software die een sanity check uitvoert. Daarom adviseren wij om een
  2295.      schone versie van TbScan op een schrijf-beschermde diskette te bewaren.
  2296.      Gebruik deze diskette om andere machines te controleren als u op uw
  2297.      eigen systeem een virus heeft ontdekt.
  2298.  
  2299.  
  2300.      Identificeer de kenmerken
  2301.  
  2302.      Virussen treden in veel verschillende vermommingen op. Ieder van hen
  2303.      heeft zijn eigen bijzonderheden. Het is buitengewoon belangrijk om zo
  2304.      snel mogelijk te weten met welke virussoort u te maken heeft. Dat geeft
  2305.      u tenminste enige aanwijzing van de aard en de omvang van de schade die
  2306.      mogelijk al is toegebracht. 
  2307.  
  2308.      Sommige virussen besmetten alleen programmabestanden, die snel en
  2309.      gemakkelijk opnieuw geinstalleerd of vervangen kunnen worden vanaf een
  2310.      schone bron. Andere virussen strooien hier en daar met losse bytes op
  2311.      willekeurige plaatsen op de schijf, waarbij zij ook databestanden kunnen
  2312.      beschadigen. De gevolgen blijven vaak gedurende enige tijd onopgemerkt.
  2313.      Dan zijn er de virussen die de partitietabel of de file allocation tabel
  2314.      beschadigen, terwijl de nog schadelijker virussen, de multipartite
  2315.      virussen, op verschillende gebieden actief zijn. 
  2316.  
  2317.      Wat u ook doet, raak niet in paniek! Een onervaren gebruiker die in
  2318.      verwarring reageert, richt vaak nog meer schade aan dan het virus zelf,
  2319.      zoals het in no-time verwijderen van belangwekkende gegevens. Alhoewel
  2320.      een direct disk format u direct en voorgoed van een virus afhelpt, bent
  2321.      u ook al uw recente gegevens in een klap kwijt!
  2322.  
  2323.      Heeft u een virus geisoleerd, neem dan contact op met uw support Bulle-
  2324.      tin Board, raadpleeg literatuur over computervirussen, of neem contact
  2325.      op met een virusexpert. 
  2326.  
  2327.  
  2328. 2.2. Herstellen van een besmetting 
  2329.  
  2330.      Wanneer u probeert de gevolgen van een virusbesmetting te herstellen, is
  2331.      het uitermate belangrijk dat u uitsluitend van een schone tegen schrij-
  2332.      ven beveiligde systeem diskette opstart. Dit is de enige manier om een
  2333.  
  2334.  
  2335.                                       II - 7
  2336. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel II
  2337.  
  2338.  
  2339.      virus weg te houden uit het geheugen van een PC. Run NOOIT een programma
  2340.      vanaf de harde schijf. 
  2341.  
  2342.      Herstel de master bootsector en de DOS systeembestanden op de harde
  2343.      schijf, door vanaf de systeemdiskette het SYS commando te gebruiken. Als
  2344.      de bootsector of de partitie code een virus bevatten, kunt u ook TbUtil
  2345.      gebruiken om de virussen te verwijderen door schone sectoren terug te
  2346.      zetten:
  2347.  
  2348.           TbUtil restore
  2349.  
  2350.      Veel nieuwere harde schijven, m.n. IDE of AT drives die geavanceerde
  2351.      preformatting methodes gebruiken, zijn low-level geformatteerd door de
  2352.      leverancier, klaar voor partitionering en een DOS format. Probeer nooit
  2353.      om zelf een low-level format uit te voeren op deze schijven. Het is
  2354.      altijd beter om met een utility als TbUtil een back-up van de partitie-
  2355.      tabel te maken, die voor u de partitietabel kan terugzetten zonder
  2356.      opnieuw te formatteren. 
  2357.  
  2358.      Is een virus geidentificeerd als een bestandsvirus, dan is de veiligste
  2359.      werkwijze om de besmette bestanden te verwijderen met TbDel en vervol-
  2360.      gens de programmabestanden opnieuw te installeren vanaf een schone bron.
  2361.      Een virus cleaning utility, zoals TbClean, kan niet altijd een oorspron-
  2362.      kelijk programmacode volledig reconstrueren en dient alleen als laatste
  2363.      redmiddel te worden gebruikt, wanneer u niet kunt terugvallen op een
  2364.      betrouwbare back-up. Het kan noodzakelijk zijn om ook de gegevensbestan-
  2365.      den terug te zetten, als het betreffende virus ook als gegevensvernieti-
  2366.      ger bekend staat. 
  2367.  
  2368.      Nadat u zich ervan heeft overtuigd dat het systeem absoluut schoon is,
  2369.      controleert u alle diskettes en back-ups om elk spoor van een virus te
  2370.      verwijderen. Besef dat slechts een geinfecteerde diskette voldoende is
  2371.      om dezelfde ellende nogmaals te veroorzaken.
  2372.  
  2373.  
  2374.  
  2375.  
  2376.  
  2377.  
  2378.  
  2379.  
  2380.  
  2381.  
  2382.  
  2383.  
  2384.  
  2385.  
  2386.  
  2387.  
  2388.  
  2389.  
  2390.  
  2391.  
  2392.                                       II - 8
  2393. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2394.  
  2395.  
  2396. DEEL III. Het gebruik van TBAV
  2397.  
  2398.  
  2399. 1. TbScan
  2400.  
  2401. 1.1. De functie van TbScan
  2402.  
  2403.      TbScan is een virusscanner, ontwikkeld om virussen, Trojan Horses en
  2404.      andere soortgelijke bedreigingen van uw waardevolle data op te sporen.
  2405.      De meeste virussen bestaan uit een unieke reeks instructies, die de
  2406.      handtekening van het virus wordt genoemd. Door nu op het voorkomen van
  2407.      dergelijke handtekeningen in een bestand te controleren, kunnen we
  2408.      vaststellen of een programma al dan niet besmet is. Het aftasten van
  2409.      alle programmabestanden op de handtekeningen van alle bekende virussen
  2410.      helpt u snel te ontdekken of uw systeem besmet is en, indien dat zo is,
  2411.      met welk virus. 
  2412.  
  2413.  
  2414.      Snel Scannen
  2415.  
  2416.      TbScan is de snelste scanner op de markt en kan door gebruikers gemakke-
  2417.      lijk elke ochtend vanuit de AUTOEXEC.BAT worden gestart. Door zijn
  2418.      ontwerp zal TbScan niet trager gaan werken als het aantal handtekeningen
  2419.      toeneemt. Het maakt niet uit of u een bestand op 10 of op 1000 handteke-
  2420.      ningen scant.
  2421.  
  2422.      TbScan controleert zichzelf tijdens het starten. Als het programma
  2423.      signaleert dat het zelf is besmet, zal het de verwerking staken en
  2424.      verlaat u het programma met een foutmelding. Dit minimaliseert het
  2425.      risico dat TbScan een virus overbrengt en uw systeem besmet. 
  2426.  
  2427.  
  2428.      Heuristisch scannen
  2429.  
  2430.      TbScan kan onbekende virussen opsporen. De ingebouwde disassembler is in
  2431.      staat om verdachte instructies en abnormale programma lay-outs te
  2432.      ontdekken. Deze faciliteit wordt 'heuristisch scannen' genoemd, een
  2433.      functie die default steeds geactiveerd is in het programma. Heuristische
  2434.      scanning wordt verricht op bestanden en op bootsectors. 
  2435.  
  2436. =>   Hierbij dient te worden opgemerkt dat virusscanners u alleen kunnen
  2437.      vertellen of uw systeem al dan niet besmet is en er dus al schade is
  2438.      aangericht. In dat kan alleen nog een niet-besmette back-up of een her-
  2439.      stelprogramma als TbClean een virus te lijf gaan. 
  2440.  
  2441.  
  2442.      Structurele aanpak
  2443.  
  2444.      Elke PC eigenaar zou met grote regelmaat een virusscanner moeten gebrui-
  2445.      ken. Het is de minimale voorzorg die men kan nemen om schade door
  2446.      virusbesmetting te vermijden. Het is derhalve aan te bevelen om zelf een
  2447.      schema op te stellen voor een regelmatige scan van uw gehele computer-
  2448.  
  2449.                                       II - 1
  2450. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2451.  
  2452.  
  2453.      systeem. In dat verband is ook het aanmaken van een speciale TbScan boot
  2454.      diskette raadzaam. 
  2455.  
  2456.      De volgende scan sessies (in volgorde van prioriteit) worden aangeraden:
  2457.  
  2458.      -    Voer TbScan een keer per week uit vanaf een write-protected boot-
  2459.           able diskette. Start op vanaf de diskette voordat u de scanner
  2460.           start. Het opstarten vanaf diskette is de enige manier om met
  2461.           zekerheid te voorkomen dat stealth virussen resident in het geheu-
  2462.           gen komen.
  2463.      -    Voer een dagelijkse scan uit. U kunt TbScan in de autoexec.bat
  2464.           opnemen met de 'once' optie, waardoor het programma automatisch
  2465.           elke dag een keer wordt uitgevoerd. Deze dagelijkse scan hoeft niet
  2466.           vanaf de bootable TbScan diskette plaats te vinden.
  2467.      -    Scan nieuwe diskettes.
  2468.  
  2469.  
  2470.  
  2471. 1.2. Hoe gebruikt u Tbscan?
  2472.  
  2473.      Voor het dagelijks gebruik kunt u TbScan activeren door het programma
  2474.      vanaf de commandoregel te starten (bijv. in de autoexec.bat of in het
  2475.      TbStart.Bat bestand), of via het TBAV menu. Voor wekelijks gebruik,
  2476.      wanneer u TbScan vanaf diskette draait, kunt u het DOS commando gebrui-
  2477.      ken. De opties die u aan het DOS start-commando kunt toevoegen worden
  2478.      toegelicht in paragraaf 1.3 van dit hoofdstuk. 
  2479.  
  2480.  
  2481.  
  2482.      Het 'TbScan' menu
  2483.  
  2484. ~    +----Main menu-----+
  2485.      |  Confi+----TbScan menu-----+
  2486.      |  TbSet|  Start scanning   >|
  2487.      |  TbSca|  Options menu     >|
  2488.      |  TbUti|  Advanced options >|
  2489.      |  TbCLe|  If virus found   >|
  2490.      |  TBAV |  Log file menu    >|
  2491.      |  Docum|  View log file     |
  2492.      |  Regis+--------------------+
  2493.      |  Quit and save   |
  2494.      |  eXit (no save)  |
  2495.      +------------------+
  2496.  
  2497.  
  2498.  
  2499.      View log file
  2500.  
  2501.      Als een van de log-bestand opties is geactiveerd (zie hierna), kunt u
  2502.      dat log-bestand bekijken na selectie van deze optie.
  2503.  
  2504.  
  2505.  
  2506.                                       III - 2
  2507. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2508.  
  2509.  
  2510.      The 'Path' menu
  2511.  
  2512. ~    +----Main menu-----+
  2513.      |  Confi+----TbScan menu-----+
  2514.      |  TbSet|  Start+---------Path menu----------+
  2515.      |  TbSca|  Optio|  Specified files/paths     |
  2516.      |  TbUti|  Advan|  Current directory         |
  2517.      |  TbCle|  If vi|  Diskette in drive A:      |
  2518.      |  TBAV |  Log f|  Diskette in drive B:      |
  2519.      |  Docum|  View |  All fixed Drives          |
  2520.      |  Regis+-------|  All fixed Local drives    |
  2521.      |  Quit and save|  All fixed Network drives  |
  2522.      |  eXit (no save+----------------------------+
  2523.      +------------------+
  2524.  
  2525.  
  2526. ~    Specified files/paths
  2527.  
  2528.      Deze optie biedt u altijd een invoerveld waarin u de schijven, paden of
  2529.      zelfs bestanden kunt opgeven die u wilt scannen. U kunt meerdere items
  2530.      opgeven door ze met spaties te scheiden. Dit veld wordt geinitialiseerd
  2531.      met het laatst gescande path voor u de configuratie opsloeg.
  2532.  
  2533.  
  2534. ~    Current directory
  2535.  
  2536.      Selecteer deze optie indien u de directory wilt scannen van waaruit u de
  2537.      TBAV menuschil opstartte.
  2538.  
  2539.  
  2540. ~    Diskette in drive A: (or B:)
  2541.  
  2542.      Indien u meerdere diskettes wilt scannen kunt u in het 'TbScan options'
  2543.      menu de optie 'repeat' aanzetten.
  2544.  
  2545.  
  2546. ~    All fixed drives
  2547.  
  2548.      Deze optie zorgt ervoor dat alle vaste schijven volledig worden gescan-
  2549.      ned. Afhankelijk van de instelling in het TBAV configuratiemenu wordt u
  2550.      gevraagd de geselcteerde schijven te bevestigen.
  2551.  
  2552.  
  2553. ~    All fixed Local drives
  2554.  
  2555.      Indien u bent verbonden met een netwerk wilt u waarschijnlijk niet
  2556.      altijd het gehele netwerk scannen. Met deze optie scant u slechts de
  2557.      schijven die zich in uw machine bevinden. Afhankelijk van de instelling
  2558.      in het TBAV configuratiemenu wordt u gevraagd de geselcteerde schijven
  2559.      te bevestigen.
  2560.  
  2561.  
  2562.  
  2563.                                       III - 3
  2564. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2565.  
  2566.  
  2567. ~    All fixed Network drives
  2568.  
  2569.      Met deze optie scant u alle netwerk schijven. Afhankelijk van de instel-
  2570.      ling in het TBAV configuratiemenu wordt u gevraagd de geselcteerde
  2571.      schijven te bevestigen.
  2572.  
  2573.  
  2574.      Het 'TbScan opties' menu
  2575.  
  2576. ~    +----Main menu-----+
  2577.      |  Confi+------TbScan menu------+
  2578.      |  TbSet|  Start+-----TbScan options------+
  2579.      |  TbSca|  Optio|  Use TBAV.INI file      |
  2580.      |  TbUti|  Advan|  Prompt for pause       |
  2581.      |  TbCLe|  If vi|  Quick scan             |
  2582.      |  TBAV |  Log f|  Non-executable scan    |
  2583.      |  Docum|  View |  Maximum Compatibility  |
  2584.      |  Regis+-------|v Bootsector scan        |
  2585.      |  Quit and save|v Memory scan            |
  2586.      |  eXit (no save|  HMA scan forced        |
  2587.      +---------------|v Upper memory scan      |
  2588.                      |v Sub-Directory scan     |
  2589.                      |  Repeat scanning        |
  2590.                      |v Abort on Ctrl-Break    |
  2591.                      |v Fast scrolling         |
  2592.                      +-------------------------+
  2593.  
  2594.      Use TBAV.INI file
  2595.  
  2596.      Door het activeren van deze optie zullen de TbScan configuratiewaarden
  2597.      in het TBAV.INI bestand ook worden gebruikt wanneer TbSetup vanaf de DOS
  2598.      commandoregel wordt gestart. Speciale aandacht is gewenst, omdat de in
  2599.      TBAV.INI gespecificeerde opties niet op de commandoregel ongedaan kunnen
  2600.      worden gemaakt. Zie hoofdstuk I-2. TbScan zoekt het configuratiebestand
  2601.      in de TbScan directory.
  2602.  
  2603.  
  2604.      Prompt for pause 
  2605.  
  2606.      Activeert u de optie 'pause', dan zal TbScan pauzeren zodra een window
  2607.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  2608.      ten te beoordelen zonder achteraf het logbestand te hoeven raadplegen. 
  2609.  
  2610.  
  2611.      Quick scan 
  2612.  
  2613.      TbScan gebruikt de Anti-Vir.Dat bestanden om bestandswijzigingen ten
  2614.      opzichte van de laatste scan te kunnen opmerken. Uitsluitend gewijzigde
  2615.      bestanden (CRC wijziging) of bestanden die nog niet in het Anti-Vir.Dat
  2616.      bestand zijn opgenomen, worden gescand. Normaal gesproken zal TbScan
  2617.      altijd de bestanden scannen.
  2618.  
  2619.  
  2620.                                       III - 4
  2621. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2622.  
  2623.  
  2624.      Non-executable scan 
  2625.  
  2626.      Met deze optie zal TbScan ook niet-programmabestanden (bestanden met het
  2627.      achtervoegsel COM, EXE, SYS of BIN) scannen. Als TbScan ontdekt dat een
  2628.      dergelijk bestand niets bevat dat als programma door de processor kan
  2629.      worden uitgevoerd, wordt het programma overgeslagen. Is dat wel het
  2630.      geval, dan zal TbScan het bestand doorzoeken op de aanwezigheid van COM,
  2631.      EXE en SYS handtekeningen. TbScan zal echter geen heuristische analyse
  2632.      op deze niet-programmabestanden uitvoeren. 
  2633.  
  2634.      Daar virussen normaal gesproken geen niet-programmabestanden infecteren,
  2635.      is het niet nodig om ook deze bestanden te scannen. Wij raden u derhalve
  2636.      aan deze optie niet te gebruiken, tenzij u daarvoor een goede reden
  2637.      heeft. 
  2638.      Nogmaals: een virus moet als programma uitgevoerd worden om te doen
  2639.      waarvoor het is geprogrammeerd. Omdat niet-programmabestanden niet
  2640.      kunnen worden uitgevoerd, kan een virus in zo'n bestand niets doen. Om
  2641.      die reden proberen virussen niet eens in deze bestanden door te dringen.
  2642.  
  2643.      Sommige virussen zullen echter toch in niet-programmabestanden schrij-
  2644.      ven, als gevolg van 'incorrect' programmeren. Deze bestanden zullen
  2645.      weliswaar nooit andere bestanden kunnen besmetten, de inhoud is echter
  2646.      wel onbetrouwbaar geworden. 
  2647.  
  2648.  
  2649.      Maximum compatibility 
  2650.  
  2651.      Als u deze optie selecteert zal TbScan proberen meer compatibel met uw
  2652.      systeem te zijn. Gebruik deze optie als TbScan zich niet gedraagt zoals
  2653.      u zou verwachten, of uw systeem zelfs 'ophangt'. Deze optie zal de
  2654.      scanning procedure wel vertragen. U dient de optie derhalve alleen te
  2655.      selecteren indien strikt noodzakelijk. Deze optie zal de resultaten van
  2656.      het scannen niet beinvloeden. 
  2657.  
  2658.  
  2659.      Bootsector scan 
  2660.  
  2661.      Door deze optie te activeren laat u TbScan ook de bootsector scannen. 
  2662.  
  2663.  
  2664.      Memory scan 
  2665.  
  2666.      Activeert u deze optie, dan zal TbScan het geheugen van de PC aftasten. 
  2667.  
  2668.  
  2669.      HMA scan forced 
  2670.  
  2671.      TbScan signaleert de aanwezigheid van een XMS-driver, en tast automa-
  2672.      tisch het HMA af. Als u over een HMA-driver beschikt, die niet compati-
  2673.      bel is met de XMS standaard, kunt u de 'HMA' optie gebruiken om TbScan
  2674.      toch te dwingen HMA te scannen.
  2675.  
  2676.  
  2677.                                       III - 5
  2678. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2679.  
  2680.  
  2681.      Upper memory scan 
  2682.  
  2683.      Als default signaleert TbScan RAM boven de DOS limiet en scant deze ook.
  2684.      Dit betekent dat video geheugen en de huidige EMS pagina's als default
  2685.      wel worden meegenomen in de scan. Door de selectie van deze optie
  2686.      deactiveert u deze functie.
  2687.  
  2688.  
  2689.      Subdirectory scan 
  2690.  
  2691.      Als default zoekt TbScan ook in sub-directory's naar programmabestanden,
  2692.      tenzij u een bestandsnaam (evt. met wildcards) opgeeft. Selecteert u
  2693.      deze optie, dan zal TbScan ook sub-directories scannen.
  2694.  
  2695.  
  2696.      Repeat scanning 
  2697.  
  2698.      Deze optie is erg handig indien u een grote hoeveelheid diskettes wilt
  2699.      scannen. TbScan zal niet terugkeren naar het menu of naar DOS na het
  2700.      scannen van een diskette, maar zal u vragen om een volgende diskette in
  2701.      het station te plaatsen.
  2702.  
  2703.  
  2704. ~    Abort on Ctrl-Break
  2705.  
  2706.      U kunt deze optie afzetten indien u TbScan niet wilt kunnen afbeken.
  2707.  
  2708.  
  2709. ~    Fast scrolling
  2710.  
  2711.      TbScan laat de gescande bestanden zien in een scrollend venster. Er zijn
  2712.      twee manieren om te scrollen: snel scrollen waarbij de bestanden iedere
  2713.      keer weer opnieuw van boven naar beneden worden afgedrukt, of langzaam
  2714.      scrollen waarbij de nieuwe bestanden onderaan het venster de oude
  2715.      'omhoog drukken'. Standaard gebruikt TbScan de snellere maar minder
  2716.      fraaie manier van scrollen.
  2717.  
  2718.  
  2719.  
  2720.  
  2721.  
  2722.  
  2723.  
  2724.  
  2725.  
  2726.  
  2727.  
  2728.  
  2729.  
  2730.  
  2731.  
  2732.  
  2733.  
  2734.                                       III - 6
  2735. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2736.  
  2737.  
  2738.      Het 'TbScan advanced options' menu
  2739.  
  2740.  
  2741. ~    +----Main menu-----+
  2742.      |  Confi+------TbScan menu------+
  2743.      |  TbSet|  Start+------TbScan advanced options-----+
  2744.      |  TbSca|  Optio|  High heuristic sensitivity      |
  2745.      |  TbUti|  Advan|v Auto heuristic sensitivity      |
  2746.      |  TbCLe|  If vi|  Low heuristic sensitivity       |
  2747.      |  TBAV |  Log f|  Extract signatures              |
  2748.      |  Docum|  View |  Configure executable extensions |
  2749.      |  Regis+-------+----------------------------------+
  2750.      |  Quit and save   |                      
  2751.      |  eXit (no save)  |
  2752.      +------------------+
  2753.  
  2754.  
  2755. ~    High heuristic sensitivity
  2756.  
  2757.      TbScan voert altijd een heuristische scan uit op de opgegeven bestanden.
  2758.      Een bestand wordt echter pas als 'besmet' aangemeld, wanneer het naar
  2759.      alle waarschijnlijkheid met een virus is besmet. Indien u de optie
  2760.      'heuristic' gebruikt, is TbScan wat gevoeliger. In deze stand worden 90%
  2761.      van de nieuwe, onbekende virussen opgespoord zonder gebruikmaking van de
  2762.      handtekening. Deze stand kan wel enige valse alarmeringen veroorzaken.
  2763.      Raadpleeg ook de paragraaf 'Heuristisch scannen' in dit hoofdstuk
  2764.      (paragraaf 3.1).
  2765.  
  2766.  
  2767. ~    Auto heuristic sensitivity
  2768.  
  2769.      TbScan past automatisch het heuristische detectie niveau aan nadat een
  2770.      virus is gevonden. Dat verzekert u van maximale detectie capaciteit op
  2771.      het moment dat u het nodig heeft, terwijl de hoeveelheid valse meldingen
  2772.      in normale situaties klein blijft. M.a.w.: zodra een virus is aangetrof-
  2773.      fen zal TbScan daarop anticiperen en verdergaan alsof de optie 'heu-
  2774.      ristic' gespecificeerd is. 
  2775.  
  2776.  
  2777. ~    Low heuristic sensitivity
  2778.  
  2779.      In deze modus geeft TbScan nooit vals alarm, maar detecteert toch nog
  2780.      50% van de nieuwe en dus onbekende virussen.
  2781.  
  2782.  
  2783.      Extract signatures 
  2784.  
  2785.      Deze optie is alleen beschikbaar voor geregistreerde gebruikers. In
  2786.      hoofdstuk IV - 5 ('TbGensig') kunt u lezen hoe u deze optie dient te
  2787.      gebruiken. 
  2788.  
  2789.  
  2790.  
  2791.                                       III - 7
  2792. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2793.  
  2794.  
  2795. ~    Configure executable extensions
  2796.  
  2797.      Normaal gesproken scant TbScan alleen bestanden die een uitgang hebben
  2798.      waaruit kan worden afgeleid dat het om een programma gaat. Virussen die
  2799.      geen uitvoerbare bestanden besmetten bestaan niet. Bestanden met de
  2800.      uitgangen EXE, COM, BIN, SYS, OV? worden als uitvoerbaar beschouwd.
  2801.  
  2802.      Er zijn echter enkele ander bestanden die ook een interne structuur
  2803.      hebben gelijk aan een uitvoerbaar bestand. Hoewel het onwaarschijnlijk
  2804.      is dat u deze bestanden ooit uitvoert kan het zijn dat u ze toch wilt
  2805.      scannen.
  2806.  
  2807.      Sommige uitgangen die kunnen duiden op een uitvoerbaar formaat zijn:
  2808.      .DLL.SCR.MOD.CPL.00?.APP
  2809.      De eerste vier uitgangen worden gebruikt voor Windows bestanden. Deze
  2810.      tonen normaal gesproken de melding "This program requires Microsoft
  2811.      Windows" wanneer u ze tracht uit te voeren, dus u zult ze waarschijnlijk
  2812.      niet onder DOS aanroepen. Daarom scant TbScan deze bestanden normaal ook
  2813.      niet. Wilt u dit toch, selecteer dan bovengenoemde optie en vul de
  2814.      uitgangen in die u wenst te scannen. De vraagteken-joker is toegestaan.
  2815.  
  2816.      Waarschuwing! Wees voorzichtig met de uitgangen die u opgeeft: een
  2817.      onuitvoerbaar bestand scannen geeft onvoorspelbare resultaten en kan
  2818.      resulteren in valse alarmeringen.
  2819.  
  2820.  
  2821.      Het 'If virus found' menu
  2822.  
  2823.      In dit menu kunt u instellen welke acties TbScan moet ondernemen indien
  2824.      een virus wordt aangetroffen. 
  2825.  
  2826. ~    +----Main menu-----+
  2827.      |  Confi+------TbScan menu------+
  2828.      |  TbSet|  Start+--What if a virus is found?--+
  2829.      |  TbSca|  Optio|v Present action menu        |
  2830.      |  TbUti|  Advan|  Just continue (log only)   |
  2831.      |  TbCLe|  If vi|  Delete infected file       |
  2832.      |  TBAV |  Log f|  Kill infected file         |
  2833.      |  Docum|  View |  Rename infected file       |
  2834.      |  Regis+-------+-----------------------------+
  2835.      |  Quit and save   |
  2836.      |  eXit (no save)  |
  2837.      +------------------+
  2838.  
  2839.  
  2840.      Present action menu
  2841.  
  2842.      Als TbScan een virus waarneemt zal TbScan een scherm met de mogelijke
  2843.      acties tonen: doorgaan, verwijderen of hernoemen.
  2844.  
  2845.  
  2846.  
  2847.  
  2848.                                       III - 8
  2849. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2850.  
  2851.  
  2852.      Just continue (log only) 
  2853.  
  2854.      Ziet TbScan een besmet bestand, dan zal het de gebruiker vragen het
  2855.      betreffende bestand te verwijderen of te hernoemen, of door te gaan
  2856.      zonder enige actie te ondernemen. Indien u deze optie selecteert, gaat
  2857.      TbScan altijd verder zonder enige vraagstelling. Wij adviseren u om,
  2858.      indien u deze optie gebruikt, te allen tijde een log-bestand te gebrui-
  2859.      ken. Een scanning operatie heeft niet veel zin wanneer de resultaten
  2860.      niet worden bekeken. 
  2861.  
  2862.  
  2863.      Delete infected file 
  2864.  
  2865.      Als u de 'delete' optie activeert zal TbScan automatisch aangetroffen
  2866.      besmette bestanden verwijderen, zonder vraagstelling vooraf. Gebruik
  2867.      deze optie alleen als u een besmetting op uw systeem heeft waargenomen.
  2868.      Zorg vooraf voor een schone back-up, en overtuig u er vooraf van dat u
  2869.      de besmette bestanden inderdaad wilt verwijderen.
  2870.  
  2871.  
  2872. ~    Kill infected file
  2873.  
  2874.      Deze optie is nagenoeg hetzelfde als de 'delete' optie. Het enige
  2875.      verschil is dat u met de optie 'Kill' gewiste bestanden niet meer kunt
  2876.      terughalen met programma's zoals 'Undelete'.
  2877.  
  2878.  
  2879.      Rename infected file 
  2880.  
  2881.      Als de 'rename' optie is geselecteerd zal TbScan automatisch de naam van
  2882.      het besmette bestand veranderen, zonder vraagstelling vooraf. Als
  2883.      default zal het programma de eerste letter van het achtervoegsel vervan-
  2884.      gen door de letter 'V'. Een .EXE bestand wordt dus '.VXE', een .COM
  2885.      bestand '.VOM'. Dit voorkomt dat besmette programma's nog kunnen worden
  2886.      uitgevoerd en de besmetting verder verspreiden. Tevens bewaart u ze om
  2887.      de virussen later te kunnen bestuderen en (eventueel) te herstellen.
  2888.  
  2889.  
  2890.      Het 'TbScan LOG' menu
  2891.  
  2892. ~    +----Main menu-----+
  2893.      |  Confi+------TbScan menu------+
  2894.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2895.      |  TbSca|  Optio|  Log file path/name         |
  2896.      |  TbUti|  Advan|  Output to log file         |
  2897.      |  TbCLe|  If vi|  Specify log-level         >|
  2898.      |  TBAV |  Log f|  Append to existing log     |
  2899.      |  Docum|  View |  No heuristic descriptions  |
  2900.      |  Regis+-------+-----------------------------+
  2901.      |  Quit and save   |
  2902.      |  eXit (no save)  |
  2903.      +------------------+
  2904.  
  2905.                                       III - 9
  2906. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2907.  
  2908.  
  2909.      Output to log file 
  2910.  
  2911.      Door middel van deze optie zal TbScan tijdens het scannen een logbestand
  2912.      aanmaken. In het logbestand worden alle besmette bestanden vastgelegd,
  2913.      gevolgd door de heuristische vlaggen (zie appendix B) en volledige
  2914.      padnamen.
  2915.  
  2916.  
  2917.      Log file path/name 
  2918.  
  2919.      Met de optie logname kunt u plaats en naam van het logbestand opgeven.
  2920.      TbScan maakt het bestand aan in de huidige directory, tenzij u hier een
  2921.      andere locatie opgeeft. Wilt u de resultaten afdrukken, dan kunt u in
  2922.      plaats van een bestandsnaam een printer specificeren (logname=lpt1). 
  2923. =>   NB: u moet deze optie combineren met de 'log' optie. 
  2924.  
  2925.  
  2926.      Append to existing log 
  2927.  
  2928.      Door het activeren van deze optie zal TbScan een bestaand bestand niet
  2929.      overschrijven maar de nieuwe informatie aan het bestaande bestand
  2930.      toevoegen. Indien u deze optie vaak gebruikt, raden wij u aan om het
  2931.      logbestand regelmatig te verwijderen of op te schonen, om excessieve
  2932.      groei te voorkomen. 
  2933. =>   NB: u moet deze optie combineren met de optie 'log'.
  2934.  
  2935.  
  2936.      No heuristic descriptions 
  2937.  
  2938.      Als u deze optie activeert zal TbScan de omschrijving van de heuristi-
  2939.      sche vlaggen niet in het logbestand vermelden. Een toelichting op de
  2940.      heuristische vlaggen vindt u in appendix B. 
  2941.  
  2942.  
  2943.  
  2944.      Het 'LOG level' menu
  2945.  
  2946.  
  2947. ~    +----Main menu-----+
  2948.      |  Confi+------TbScan menu------+
  2949.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2950.      |  TbSca|  Optio|  Log f+--------Log-level menu--------+
  2951.      |  TbUti|  Advan|  Outpu|  0: Log only infected files  |
  2952.      |  TbCLe|  If vi|  Speci|v 1: Log summary too          |
  2953.      |  TBAV |  Log f|  Appen|  2: Log suspected too        |
  2954.      |  Docum|  View |  No he|  3: Log all warnings too     |
  2955.      |  Regis+-------+-------|  4: Log clean files too      |
  2956.      |  Quit and save   |    +------------------------------+
  2957.      |  eXit (no save)  |
  2958.      +------------------+
  2959.  
  2960.  
  2961.  
  2962.                                      III - 10
  2963. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  2964.  
  2965.  
  2966.      Loglevel 
  2967.      Deze niveaus bepalen welke soort informatie in het logbestand wordt
  2968.      opgeslagen. Het default niveau is 1. U kunt hier kiezen uit vijf ni-
  2969.      veaus: 
  2970.      0    Log only infected files. Als er geen besmette bestanden worden
  2971.           aangetroffen, wordt het logbestand niet aangemaakt of gewijzigd. 
  2972.  
  2973.      1    Log summary too. Voeg een samenvatting en een 'timestamp' toe aan
  2974.           het logbestand. Plaats alleen besmette bestanden in het bestand. 
  2975.  
  2976.      2    Log suspected too. Idem als loglevel=1, maar nu worden ook 'ver-
  2977.           dachte' bestanden geregistreerd. Dit zijn bestanden die worden
  2978.           opgemerkt als de optie 'heuristisch' is geactiveerd.
  2979.  
  2980.      3    Log all warnings too. Idem als loglevel=2, maar alle bestanden die
  2981.           een waarschuwingsteken achter de naam hebben worden ook geregis-
  2982.           treerd.
  2983.  
  2984.      4    Log clean files too. Alle files die door TbScan worden onderzocht,
  2985.           worden in het logbestand geregistreerd.
  2986.  
  2987.  
  2988.  
  2989. 1.3. Commandoregel opties
  2990.  
  2991.      TbScan staat toe dat opties op de DOS commandoregel worden gespecifi-
  2992.      ceerd. Het programma herkent zowel de korte als de lange notatie van
  2993.      opties. TbScan zoekt naar een bestand TBAV.INI in de TbScan directory.
  2994.      Als het keyword 'UseIni' in het [TbScan] gedeelte van dit bestand is
  2995.      geactiveerd, zullen de daarin gespecificeerde opties ook geldig zijn als
  2996.      TbScan vanaf de commandoregel wordt gestart. Hierbij is enige voor-
  2997.      zichtigheid op zijn plaats, omdat de opties in TBAV.INI niet op de
  2998.      commandoregel ongedaan kunnen worden gemaakt. 
  2999.  
  3000.  
  3001.  
  3002.  
  3003.  
  3004.  
  3005.  
  3006.  
  3007.  
  3008.  
  3009.  
  3010.  
  3011.  
  3012.  
  3013.  
  3014.  
  3015.  
  3016.  
  3017.  
  3018.  
  3019.                                      III - 11
  3020. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3021.  
  3022.  
  3023.      optie  parameter        short  verklaring
  3024.      ------ ---------------- ------ -----------------------------
  3025.      help                     he    help 
  3026.      pause                    pa    activeer 'Pause' prompt
  3027.      mono                     mo    forceer monochroom
  3028.      quick                    qs    snelle scan
  3029.      allfiles                 af    ook niet-prog.bestanden scannen
  3030. ~    alldrives                ad    scan alle lokale vaste schijven
  3031. ~    allnet                   an    scan alle netwerk vaste schijven
  3032.      heuristic                hr    activeer heuristische alarmering  
  3033.      extract                  ex    onttrek handtekening
  3034.      once                     oo    een scan per dag
  3035. ~    slowscrol                ss    gebruik conventioneel scrollen
  3036.      secure                   se    geen gebruikersinterventie
  3037.      compat                   co    maximum-compatibiliteit modus
  3038.      ignofile                 in    negeer geen-bestandfout
  3039. ~    old                      ol    geen waarschuwing als TbScan oud is
  3040.      noboot                   nb    geen bootsector controle
  3041.      nomem                    nm    geen geheugen controle
  3042.      hma                      hm    scan ook HMA 
  3043.      nohmem                   nh    geen UMB/HMA scan
  3044.      nosub                    ns    geen sub-directories scannen
  3045.      noautohr                 na    pas heuristisch niveau aan
  3046.      repeat                   rp    scan meerdere diskettes
  3047.      batch                    ba    batch modus. Geen interactie
  3048.      delete                   de    verwijder besmette bestanden
  3049. ~    kill                     ki    overschrijf en wis besmette bestanden
  3050.      log                      lo    output naar logbestand
  3051.      append                   ap    nieuwe informatie toevoegen
  3052.      expertlog                el    geen heuristische omschrijvingen in log
  3053.  
  3054.      logname =<bestandsnaam>  ln    geef pad/naam in van logbestand
  3055.      loglevel =<0..4>         ll    geef log niveau aan
  3056. ~    wait =<0...255>          wa    aantal kloktikken vertraging
  3057.      rename [=<tekst-masker>] rn    hernoem besmette bestanden
  3058. ~    exec =.<ext-mask>        ee    specificeer uitvoerbare uitgangen
  3059.  
  3060.  
  3061.      help (he)
  3062.      Met deze optie roept u het bovenstaande optie-overzicht op.
  3063.  
  3064.      pause (pa)
  3065.      Activeert u de optie 'pause', dan zal TbScan pauzeren zodra een window
  3066.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  3067.      ten te beoordelen zonder achteraf het logbestand te hoeven raadplegen.
  3068.  
  3069.      mono (mo)
  3070.      Door het toevoegen van deze optie wordt TBAV monochroom weergegeven.
  3071.      Deze instelling is met name van belang voor een goede weergave op laptop
  3072.      computers (LCD schermen) en kleur emulerende monochroom systemen.
  3073.  
  3074.  
  3075.  
  3076.                                      III - 12
  3077. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3078.  
  3079.  
  3080.      quick (qs)
  3081.      TbScan gebruikt de Anti-Vir.Dat bestanden om bestandswijzigingen ten
  3082.      opzichte van de laatste scan te kunnen opmerken. Uitsluitend gewijzigde
  3083.      bestanden (CRC wijziging) of bestanden die nog niet in het Anti-Vir.Dat
  3084.      bestand zijn opgenomen, worden gescand. Normaal gesproken zal TbScan
  3085.      altijd de bestanden scannen.
  3086.  
  3087.      allfiles (af)
  3088.      Met deze optie zal TbScan ook niet-programmabestanden (bestanden met het
  3089.      achtervoegsel COM, EXE, SYS of BIN) scannen. Als TbScan ontdekt dat een
  3090.      dergelijk bestand niets bevat dat als programma door de processor kan
  3091.      worden uitgevoerd, wordt het programma overgeslagen. Is dat wel het
  3092.      geval, dan zal TbScan het bestand doorzoeken op de aanwezigheid van COM,
  3093.      EXE en SYS handtekeningen. TbScan zal echter geen heuristische analyse
  3094.      op deze niet-programmabestanden uitvoeren. Daar virussen normaal gespro-
  3095.      ken niet-programmabestanden niet infecteren, is het niet nodig om ook
  3096.      deze bestanden te scannen. Wij raden u derhalve aan deze optie niet te
  3097.      gebruiken, tenzij u daarvoor een goede reden heeft. 
  3098.  
  3099.      Nogmaals: een virus moet als programma uitgevoerd worden om te doen
  3100.      waarvoor het is geprogrammeerd. Omdat niet-programmabestanden niet
  3101.      kunnen worden uitgevoerd, kan een virus in zo'n bestand niets doen. Om
  3102.      die reden proberen virussen niet eens in deze bestanden door te dringen.
  3103.      Sommige virussen zullen echter toch in niet-programmabestanden schrij-
  3104.      ven, als gevolg van 'incorrect' programmeren. Deze bestanden zullen
  3105.      weliswaar nooit andere bestanden kunnen besmetten, de inhoud is echter
  3106.      wel onbetrouwbaar geworden. 
  3107.  
  3108. ~    alldrives (ad)
  3109.      Deze optie laat TbScan alle vaste schijven scannen.
  3110.  
  3111. ~    allnet (an)
  3112.      Deze optie laat TbScan alle netwerk schijven scannen.
  3113.  
  3114.      heuristic (hr)
  3115.      TbScan voert altijd een heuristische scan uit op de opgegeven bestanden.
  3116.      Een bestand wordt echter pas als 'besmet' aangemeld, wanneer het naar
  3117.      alle waarschijnlijkheid met een virus is besmet. Indien u de optie
  3118.      'heuristisch' gebruikt, is TbScan wat gevoeliger. In deze stand worden
  3119.      90% van de nieuwe, onbekende virussen opgespoord zonder gebruikmaking
  3120.      van de handtekening. Deze stand kan wel enige valse alarmeringen veroor-
  3121.      zaken. Raadpleeg ook de paragraaf 'Heuristisch scannen' in dit hoofdstuk
  3122.      (paragraaf 3.1).
  3123.  
  3124.      extract (ex)
  3125.      Deze optie is alleen beschikbaar voor geregistreerde gebruikers. In
  3126.      hoofdstuk IV - 5 ('TbGensig') kunt u lezen hoe u deze optie dient te
  3127.      gebruiken. 
  3128.  
  3129.      once (oo)
  3130.      Als u de optie 'once' opgeeft onthoudt TbScan na het scannen dat het
  3131.      programma die dag is uitgevoerd en niet nogmaals gedraaid hoeft te
  3132.  
  3133.                                      III - 13
  3134. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3135.  
  3136.  
  3137.      worden. Deze optie is vooral handig als u TbScan start vanuit het
  3138.      AUTOEXEC.BAT bestand in combinatie met een 'list' bestand: 
  3139.  
  3140.           TbScan @Everyday.Lst once rename
  3141.  
  3142.      TbScan zal nu de opgegeven bestandenlijst (everyday.Lst) elke dag
  3143.      scannen direct na het (voor het eerst) opstarten van het systeem. Deze
  3144.      optie verstoort het normale gebruik van TbScan niet. Als u TbScan later
  3145.      die dag start zonder de 'once' optie, zal het programma gewoon werken.
  3146.      Indien TbScan als 'read-only' is gemarkeerd zal deze optie niet werken. 
  3147.  
  3148. ~    slowscroll (ss)
  3149.      Wanneer u deze optie opgeeft laat TbScan de bestanden op het scherm op
  3150.      de conventionele manier scannen. Dit is trager maar ziet er fraaier uit.
  3151.  
  3152.      secure (se)
  3153.      Deze optie is alleen beschikbaar voor geregistreerde gebruikers. Als de
  3154.      optie geactiveerd is, kan TbScan niet langer d.m.v. Ctrl-Break worden
  3155.      afgebroken en kan de gebruiker niet langer reageren op virus alarm
  3156.      window.
  3157.  
  3158.      compat (co)
  3159.      Als u deze optie selecteert zal TbScan proberen meer compatibel met uw
  3160.      systeem te zijn. Gebruik deze optie als TbScan zich niet gedraagt zoals
  3161.      u zou verwachten, of uw systeem zelfs 'ophangt'. Deze optie zal de
  3162.      scanning procedure wel vertragen. U dient de optie derhalve alleen te
  3163.      selecteren indien strikt noodzakelijk. Deze optie zal de resultaten van
  3164.      het scannen niet beinvloeden. 
  3165.  
  3166.      ignofile (in)
  3167.      Is deze optie gespecificeerd en TbScan treft geen bestanden aan, zal het
  3168.      programma niet de 'geen bestanden gevonden' boodschap tonen noch zal het
  3169.      programma met een errorlevel 1 afgebroken worden. Deze optie kan handig
  3170.      zijn voor het automatisch scannen van diskettes of archieven. Worden er
  3171.      geen uitvoerbare bestanden aangetroffen, dan stopt TBScan zonder fout-
  3172.      melding.
  3173.  
  3174. ~    old (ol)
  3175.      Deze optie onderdrukt de melding die wordt gegeven wanneer TbScan is
  3176.      verouderd.
  3177.  
  3178.      noboot (nb)
  3179.      Specificeert u deze optie, dan zal TbScan de bootsector niet scannen.
  3180.  
  3181.      nomem (nm)
  3182.      Specificeert u deze optie, dan zal TbScan het geheugen van de PC niet
  3183.      scannen.
  3184.  
  3185.      hma (hm)
  3186.      TbScan signaleert de aanwezigheid van een XMS-driver, en tast automa-
  3187.      tisch het HMA af. Als u over een HMA-driver beschikt, die niet compati-
  3188.  
  3189.  
  3190.                                      III - 14
  3191. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3192.  
  3193.  
  3194.      bel is met de XMS standaard, kunt u de 'HMA' optie gebruiken om TbScan
  3195.      toch te dwingen HMA te scannen.
  3196.  
  3197.      nohmem (nh)
  3198.      Als default signaleert TbScan RAM boven de DOS limiet en scant deze ook.
  3199.      Dit betekent dat het video geheugen en de huidige EMS pagina's als
  3200.      default wel worden meegenomen in de scan. Door specificatie van deze
  3201.      optie de-activeert u deze functie.
  3202.  
  3203.      nosub (ns)
  3204.      Als default zoekt TbScan ook in sub-directory's naar programmabestanden,
  3205.      tenzij u een bestandsnaam (evt. met wildcards) opgeeft. Specificeert u
  3206.      deze optie, dan zal TbScan geen sub-directories scannen.
  3207.  
  3208.      noautohr (na)
  3209.      TbScan past automatisch het heuristische detectieniveau aan nadat een
  3210.      virus is gevonden. Dat verzekert u van maximale detectieapaciteit op het
  3211.      moment dat u het nodig heeft, terwijl de hoeveelheid valse meldingen in
  3212.      normale situaties klein blijft. M.a.w.: zodra een virus is aangetroffen
  3213.      zal TbScan daarop anticiperen en verdergaan alsof de optie 'heuristisch'
  3214.      gespecificeerd is. Als u dit niet wilt, geeft u dat aan door middel van
  3215.      deze optie. 
  3216.  
  3217.      repeat (rp)
  3218.      Deze optie is erg handig indien u een grote hoeveelheid diskettes wilt
  3219.      scannen. TbScan zal niet terugkeren naar het menu of naar DOS na het
  3220.      scannen van een diskette, maar zal u vragen om een volgende diskette in
  3221.      het station te plaatsen.
  3222.  
  3223.      batch (ba)
  3224.      Door middel van deze optie wordt uitgevoerd zonder dat er meldingen op
  3225.      het scherm zullen worden getoond. Derhalve is het gebruik van een log-
  3226.      bestand essentieel. 
  3227.  
  3228.      delete (de)
  3229.      Als u de 'delete' optie activeert zal TbScan automatisch aangetroffen
  3230.      besmette bestanden verwijderen, zonder vraagstelling vooraf. Gebruik
  3231.      deze optie alleen als u een besmetting op uw systeem heeft waargenomen.
  3232.      Zorg vooraf voor een schone back-up, en overtuig u er vooraf van dat u
  3233.      de besmette bestanden inderdaad wilt verwijderen. 
  3234.  
  3235. ~    kill (ki)
  3236.      Deze optie is nagenoeg hetzelfde als de 'delete' optie. Het enige
  3237.      verschil is dat u met de optie 'Kill' gewiste bestanden niet meer kunt
  3238.      terughalen met programma's zoals 'Undelete'.
  3239.  
  3240.      log (lo)
  3241.      Door middel van deze optie zal TbScan tijdens het scannen een logbestand
  3242.      aanmaken. In het logbestand worden alle besmette bestanden vastgelegd,
  3243.      gevolgd door de heuristische vlaggen (de hoofdletters; zie appendix B)
  3244.      en volledige padnamen.
  3245.  
  3246.  
  3247.                                      III - 15
  3248. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3249.  
  3250.  
  3251.      append (ap)
  3252.      Door het activeren van deze optie zal TbScan een bestaand bestand niet
  3253.      overschrijven maar de nieuwe informatie aan het bestaande bestand
  3254.      toevoegen. Indien u deze optie vaak gebruikt, raden wij u aan om het
  3255.      logbestand regelmatig te verwijderen of op te schonen, om excessieve
  3256.      groei te voorkomen. 
  3257. =>   NB: u moet deze optie combineren met de optie 'log'.
  3258.  
  3259.      expertlog (el)
  3260.      Als u deze optie activeert zal TbScan de omschrijving van de heuristi-
  3261.      sche vlaggen niet in het logbestand vermelden. Een toelichting op de
  3262.      heuristische vlaggen vindt u in appendix B. 
  3263.  
  3264.      logname =<filename> (ln)
  3265.      Met de optie logname kunt u plaats en naam van het logbestand opgeven.
  3266.      TbScan maakt het bestand aan in de huidige directory, tenzij u hier een
  3267.      andere locatie opgeeft. Wilt u de resultaten afdrukken, dan kunt u in
  3268.      plaats van een bestandsnaam een printer specificeren (logname=lpt1).
  3269. =>   NB: u moet deze optie combineren met de 'log' optie. 
  3270.  
  3271.      loglevel =<0..4> (ll)
  3272.      Deze niveaus bepalen welke soort informatie in het logbestand wordt
  3273.      opgeslagen. Het default niveau is 1. U kunt hier kiezen uit vijf ni-
  3274.      veaus: 
  3275.  
  3276.      0    Log only infected files. Als er geen besmette bestanden worden
  3277.           aangetroffen, wordt het logbestand niet aangemaakt of gewijzigd. 
  3278.  
  3279.      1    Log summary too. Voeg een samenvatting en een 'timestamp' toe aan
  3280.           het logbestand. Plaats alleen besmette bestanden in het bestand. 
  3281.  
  3282.      2    Log suspected too. Idem als loglevel=1, maar nu worden ook 'ver-
  3283.           dachte' bestanden geregistreerd. Dit zijn bestanden die worden
  3284.           opgemerkt als de optie 'heuristisch' geactiveerd is.
  3285.  
  3286.      3    Log all warnings too. Idem als loglevel=2, maar alle bestanden die
  3287.           een waarschuwingsteken achter de naam hebben worden ook geregis-
  3288.           treerd.
  3289.  
  3290.      4    Log clean files too. Alle files die door TbScan worden onderzocht,
  3291.           worden in het logbestand geregistreerd. 
  3292. =>   NB: u moet deze optie combineren met de log optie.
  3293.  
  3294. ~    wait =<0..255> (wa)
  3295.      Deze optie kan worden gebruikt om TbScan te vertragen, hetgeen handig
  3296.      kan blijken wanneer u een druk bezet netwerk wilt scannen maar niet te
  3297.      veel beslag wilt leggen op het netwerk. U dient het aantal kloktikken
  3298.      vertraging op te geven die u tussen iedere twee gescande bestanden wenst
  3299.      te hebben.
  3300.  
  3301.  
  3302.  
  3303.  
  3304.                                      III - 16
  3305. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3306.  
  3307.  
  3308.      rename [=<text-mask>]
  3309.      Als de 'rename' optie is geselecteerd zal TbScan automatisch de naam van
  3310.      het besmette bestand veranderen, zonder vraagstelling vooraf. Als
  3311.      default zal het programma de eerste letter van het achtervoegsel vervan-
  3312.      gen door de letter 'V'. Een .EXE bestand wordt dus '.VXE', een .COM
  3313.      bestand '.VOM'. Dit voorkomt dat besmette programma's nog kunnen worden
  3314.      uitgevoerd en de besmetting verder verspreiden. Tevens bewaart u ze om
  3315.      de virussen later te kunnen bestuderen en (eventueel) te herstellen. U
  3316.      kunt een parameter aan de optie toevoegen, waarmee u een ander achter-
  3317.      voegsel aangeeft. Deze parameter dient altijd drie karakters te bevat-
  3318.      ten, waarbij vraagtekens (wildcards) zijn toegestaan. 
  3319.  
  3320. ~    exec =.<ext-mask> (ee)
  3321.      Met deze optie kunt u bestandsnaam uitgangen opgeven die duiden op een
  3322.      uitvoerbaar bestand. Indien u deze optie wenst te gebruiken wilt u deze
  3323.      waarschijnlijk opnemen in het configuratiebestand. Raadpleeg de uitleg
  3324.      bij de bijbehorende menu optie voor meer informatie.
  3325.  
  3326.  
  3327.      Voorbeelden
  3328.  
  3329.           TbScan c:\ noboot 
  3330.  
  3331.      Scan alle programmabestanden in de root directory en alle sub-directo-
  3332.      ry's. Sla de bootsector scan over.
  3333.  
  3334.  
  3335.           TbScan \*.* 
  3336.  
  3337.      Scan alle bestanden in de root directory. Scan geen sub-directory's.
  3338.  
  3339.  
  3340.           TbScan c:\ log logname=c:\test.log loglevel=2
  3341.  
  3342.      Alle programmabestanden op schijf C: worden gecontroleerd. Een logbe-
  3343.      stand met de naam c:\test.log zal aangemaakt worden. Dit logbestand
  3344.      bevat alle besmette en verdachte bestanden.
  3345.  
  3346.  
  3347.           TbScan \ log logname=lpt1
  3348.  
  3349.      TbScan zal de root directory en alle sub-directory's scannen. De resul-
  3350.      taten worden naar de printer gestuurd en niet naar een logbestand.
  3351.  
  3352.  
  3353. 1.4. Het scanproces
  3354.  
  3355.      Kies de 'Start scanning' optie in het TbScan menu of start het TbScan
  3356.      programma vanaf de DOS commandoregel. TbScan zal direct met de verwer-
  3357.      king starten.
  3358.  
  3359.  
  3360.  
  3361.                                      III - 17
  3362. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3363.  
  3364.  
  3365.      +-------------------------------------------------------------------+
  3366.      | Thunderbyte virus detector v6.03 - (C) 1989-1993, Thunderbyte B.V.|
  3367.      |                                                                   |
  3368.      | TBAV wordt tenminste iedere twee iedere maanden bijgewerkt.       |
  3369.      | Ondersteuning is beschikbaar voor alle geregistreerde gebruikers  |
  3370.      | via telefoon, fax en/of electronisch bulletin board.              |
  3371.      |                                                                   |
  3372.      | C:\DOS\                                                           |
  3373.      | ** Unregistered evaluation version. Do not forget to register! ** |
  3374.      |                                                                   |
  3375.      | DOSSWAP.EXE    looking...>  c   OK        handtekeningen:    986  |
  3376.      | DOSSHELL.HLP   skipping..>      OK                                |
  3377.      | DOSSHELL.INI   checking..>      OK        bestandssysteem:   OWN  |
  3378.      | DOSHELP.HLP    skipping..>      OK                                |
  3379.      | EDLIN.EXE      looking...>  c   OK        directories:        01  |
  3380.      | CHKLIST.CPS    skipping..>      OK        bestanden:          77  |
  3381.      | ANSI.SYS       scanning..>      OK        programma's:        68  |
  3382.      | CHKDSK.EXE     looking...>  c   OK        CRC gecontroleerd   00  |
  3383.      | DEBUG.EXE      looking...>  c   OK        veranderd:          00  |
  3384.      | EGA.SYS        scanning..>  c   OK        besmette items:     00  |
  3385.      |                                           verstreken tijd: 00:05  |
  3386.      |                                           Kb / seconde:       57  |
  3387.      +-------------------------------------------------------------------+
  3388.  
  3389.  
  3390.      Het scherm is opgebouwd uit drie delen: een informatie-window, een
  3391.      scanning window en een status window. Het information window toont
  3392.      initieel informatie over de producent. 
  3393.  
  3394.  
  3395.      Tijdens het scannen
  3396.  
  3397.      Wanneer TbScan een besmet bestand aantreft, worden de namen van het
  3398.      betreffende bestand en van het virus in het bovenste window getoond. Het
  3399.      window linksonder toont de namen van de bestanden die worden gescand,
  3400.      het gebruikte algoritme, en de heuristische vlaggen, en ten slotte een
  3401.      'OK' aanduiding, of de naam van het opgespoorde virus.
  3402.  
  3403.  
  3404.      Voorbeeld   NLSFUNC.EXE     checking..> FU          OK
  3405.                  |                |          |           |
  3406.                  |                |          |           resultaat
  3407.                  |                |          heuristische vlaggen
  3408.                  |                gebruikte algoritme
  3409.                  naam van het onderhavige bestand 
  3410.  
  3411.  
  3412.      Op uw scherm ziet u achter elk bestand commentaar als: 'looking',
  3413.      'checking', 'tracing', 'scanning' or 'skipping'. Deze aanduidingen
  3414.      verwijzen naar de verschillende algoritmen die gebruikt worden om een
  3415.      bepaald bestand te scannen.
  3416.  
  3417.  
  3418.                                      III - 18
  3419. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3420.  
  3421.  
  3422.      Ander commentaar dat TbScan hier kan tonen betreft de heuristische
  3423.      vlaggen. Raadpleeg hoofdstuk 1.3 ('Heuristische vlaggen') en appendix B
  3424.      voor meer informatie over deze waardschuwingstekens.
  3425.  
  3426.      Het window rechtsonder (3) is het status window. Het toont het aantal
  3427.      bestanden en directories dat is afgehandeld, en het aantal gevonden
  3428.      virussen. Het toont tevens welk bestandssysteem wordt gebruikt: "DOS" of
  3429.      "OWN". Deze laatste houdt in dat TbScan in staat is om DOS te passeren.
  3430.      Is dit het geval, dan leest TbScan alle bestanden rechtstreeks van
  3431.      schijf, teneinde een hogere mate van veiligheid en een hogere snelheid
  3432.      te bereiken.
  3433.  
  3434.      Het scan proces kan worden afgebroken door het indrukken van Ctrl-Break.
  3435.  
  3436.  
  3437.      Virussen opsporen 
  3438.  
  3439.      Zodra een besmet programma wordt aangetroffen, toont TbScan de naam van
  3440.      dit virus. Indien u niet een van de opties 'log only', 'rename' of
  3441.      'delete' heeft opgegeven, zal TbScan u vragen welke actie moet worden
  3442.      ondernomen. Als u kiest het bestand te hernoemen, wordt het eerste
  3443.      karakter van het achtervoegsel vervangen door de letter 'V'. Het pro-
  3444.      gramma kan nu niet meer worden uitgevoerd en kan dus geen (verdere)
  3445.      schade aanrichten.
  3446.  
  3447.  
  3448.      Wordt er een besmet bestand aangetroffen, dan toont TbScan een bood-
  3449.      schap:
  3450.  
  3451.      Besmet door [naam van virus]  Het bestand is besmet door het genoemde
  3452.                                    virus.
  3453.  
  3454.  
  3455.      Is grap genaamd 
  3456.      [naam van grap]               Er bestaan enige programma's die een vi-
  3457.                                    rusbesmetting simuleren. Een zogenaamde
  3458.                                    'joke' is volstrekt ongevaarlijk.
  3459.  
  3460.      Is trojan genaamd 
  3461.      [naam van trojan]             Het bestand is een Trojaans Paard. Voer
  3462.                                    het programma niet uit, maar verwijder het
  3463.                                    van de schijf.
  3464.  
  3465.      Damaged by [naam van virus]   Sommige virussen beschadigen bestanden.
  3466.                                    Zo'n beschadigd bestand bevat -in tegen-
  3467.                                    stelling tot een besmet bestand- geen vi-
  3468.                                    rus, maar is door het virus aangetast.
  3469.  
  3470.      Dropper of [naam van virus]   Een 'dropper' is een programma dat zelf
  3471.                                    niet is besmet. Het programma bevat daar-
  3472.                                    entegen een bootsector virus en is in
  3473.  
  3474.  
  3475.                                      III - 19
  3476. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3477.  
  3478.  
  3479.                                    staat deze in uw bootsector te installe-
  3480.                                    ren.
  3481.  
  3482.      Overwritten by 
  3483.      [name of virus]               Sommige virussen overschrijven bestanden.
  3484.                                    Een overschreven bestand bevat -in tegen-
  3485.                                    stelling tot een besmet bestand- niet het
  3486.                                    virus zelf, maar is overschreven met rom-
  3487.                                    mel.
  3488.  
  3489.  
  3490.      Het is ook mogelijk dat TbScan een bestand tegenkomt dat besmet lijkt,
  3491.      hoewel er geen handtekening werd gevonden. In dit geval toont TbScan het
  3492.      voorvoegsel 'Probably' (waarschijnlijk) voor de boodschap.
  3493.  
  3494.  
  3495.      Programma validatie
  3496.  
  3497.      Als TbScan een bestand verdacht vindt, en het virus alert window toont,
  3498.      kunt u toekomstige meldingen vermijden door de letter 'V' (Valideer
  3499.      programma) in te toetsen. Deze functie werkt alleen indien er een Anti-
  3500.      Vir.Dat record van het betreffende bestand aanwezig is. Als een program-
  3501.      ma gevalideerd is zal het niet langer aan heuristische analyse worden
  3502.      onderworpen, tenzij het programma verandert en niet meer overeenkomt met
  3503.      het Anti-Vir.Dat record. Dit zal het geval zijn als een dergelijk
  3504.      programma naderhand besmet raakt. Derhalve zal TbScan te allen tijde in
  3505.      staat zijn om besmettingen van deze bestanden te melden.
  3506. =>   NB: een gevalideerd programma wordt nog wel onderworpen aan de conventi-
  3507.      onele scanprocedure op basis van de handtekeningenlijst. 
  3508.  
  3509.  
  3510.      Heuristisch scannen
  3511.  
  3512.      Heeft u de optie 'heuristisch' geactiveerd, dan zal TbScan naar alle
  3513.      waarschijnlijkheid een aantal bestanden aantreffen die er als een virus
  3514.      uitzien. In dit geval zal TbScan het voorvoegsel 'Might be' (mogelijk)
  3515.      gebruiken, om u op de hoogte te stellen. Dus wanneer TbScan toont: 
  3516.  
  3517.           Waarschijnlijk besmet door onbekend virus (level 1) * 
  3518.      of:
  3519.           Zou besmet kunnen zijn door onbekend virus (level 2) *
  3520.  
  3521.      betekent dit niet noodzakelijk dat het bestand besmet is. Er zijn nogal
  3522.      wat bestanden die er uitzien als een virus, maar het niet zijn. 
  3523.  
  3524.      * De heuristische niveaus worden uitgelegd in paragraaf IV-3.
  3525.  
  3526.  
  3527.      Vals alarm
  3528.  
  3529. =>   Belangrijk!
  3530.  
  3531.  
  3532.                                      III - 20
  3533. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3534.  
  3535.  
  3536.      Valse meldingen zijn een logisch gevolg van het heuristisch scannen. In
  3537.      de default stand is het zeer onwaarschijnlijk dat TbScan een vals alarm
  3538.      geeft. Heeft u echter de optie 'heuristisch' geactiveerd, dan kan een
  3539.      aantal valse meldingen voorkomen. Hoe gaat u daarmee om? Als TbScan een
  3540.      virus denkt te hebben aangetroffen, zal het u de reden van dit vermoeden
  3541.      geven. In de meeste gevallen zult u in staat zijn om deze argumenten op
  3542.      hun waarde te beoordelen, als u de functie van het betreffende bestand
  3543.      in ogenschouw neemt. 
  3544.  
  3545. =>   Virussen besmetten andere programma's. Het is zeer onwaarschijnlijk dat
  3546.      u slechts een beperkt aantal op een veelgebruikte harde schijf tegen-
  3547.      komt. U kunt het resultaat van een heuristische scan negeren als slechts
  3548.      een paar bestanden als verdacht worden aangemerkt. Gedraagt uw systeem
  3549.      zich echter op een vreemde wijze en veroorzaken veel programma's een
  3550.      alarm met dezelfde ernstige heuristische vlaggen, dan is de kans groot
  3551.      dat uw systeem is aangetast door een tot nu toe onbekend virus.
  3552.  
  3553.  
  3554.      Heuristische vlaggen
  3555.  
  3556.      Heuristische vlaggen bestaan uit enkele karaktertekens die achter de
  3557.      betreffende bestandsnaam worden getoond. Er zijn twee soorten vlaggen:
  3558.      de informatieve vlagen, die worden weergegeven in kleine letters; de
  3559.      vlaggen met een ernstiger duiding, die met een hoofdletter worden
  3560.      weergegeven.
  3561.  
  3562.      De kleine letter vlaggen geven een indicatie van bijzondere eigenschap-
  3563.      pen van het gescande bestand. De hoofdletter waarschuwingen kunnen een
  3564.      aanduiding voor de aanwezigheid van een virus zijn. Als het 'logniveau'
  3565.      3 of hoger is, verschijnen de belangrijke waarschuwingen niet alleen als
  3566.      een waarschuwingsteken, maar wordt er in het logbestand ook een om-
  3567.      schrijving achter het betreffende teken getoond. 
  3568.  
  3569.      Hoe gaat u met de vlaggen om? De minder belangrijke kleine letter
  3570.      vlaggen kunt u beschouwen als zuiver informatief. Zij verschaffen u
  3571.      bestandsinformatie die wellicht van belang voor u is. De meer ernstige
  3572.      waarschuwingsvlaggen, wijzen MOGELIJK op een virus. Het is vrij gewoon
  3573.      dat een beperkt aantal bestanden op uw systeem een hoofdletter vlag
  3574.      veroorzaken. 
  3575.  
  3576.  
  3577.      Een toelichting op de heuristische vlaggen vindt u in appendix B.
  3578.  
  3579.  
  3580.  
  3581.  
  3582.  
  3583.  
  3584.  
  3585.  
  3586.  
  3587.  
  3588.  
  3589.                                      III - 21
  3590. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3591.  
  3592.  
  3593. 2. TbScanX
  3594.  
  3595.  
  3596. 2.1. De functie van TbScanX
  3597.  
  3598.      TbScanX is de residente versie van het TbScan programma, dat bestanden
  3599.      controleert op basis van een virus handtekeningenlijst. Veronderstel dat
  3600.      u een virusscanner automatisch laat scannen vanaf uw autoexec.bat.
  3601.      Wanneer er geen virussen gevonden worden, wordt uw systeem geacht
  3602.      onbesmet te zijn. Maar om er zeker van te zijn dat geen virus uw systeem
  3603.      zal besmetten, moet u de scanner activeren elke keer nadat er naar
  3604.      schijf gekopieerd, gedownload of ge(de-)archiveerd is. Denkt u dat u het
  3605.      zult volhouden om elke keer handmatig de scanner te starten nadat een
  3606.      nieuw bestand op de schijf is terechtgekomen? Als u dat namelijk niet
  3607.      consequent volhoudt neemt u het risico dat al uw bestanden binnen een
  3608.      paar uur met een virus zijn besmet....
  3609.  
  3610.      Is TbScanX eenmaal geladen, dan blijft het programma resident in het
  3611.      geheugen en zal automatisch alle programma-bestanden scannen die u
  3612.      uitvoert of die u kopieert, genereert, download, wijzigt of de-archi-
  3613.      veert.
  3614.  
  3615.      Dezelfde benadering wordt gebruikt om uw systeem te beschermen tegen
  3616.      bootsector virussen: elke keer dat u een diskette in het diskettestation
  3617.      plaatst wordt de bootsector gescand. Is de schijf door een bootsector
  3618.      virus besmet, dan zal TbScanX u bijtijds waarschuwen!
  3619.  
  3620.      TbScanX is volledig netwerk compatibel. U hoeft de scanner niet opnieuw
  3621.      te laden nadat u op het netwerk bent ingelogd. 
  3622.  
  3623.  
  3624. 2.2. Hoe gebruikt u TbScanX?
  3625.  
  3626.      Omdat TbScanX geheugenresident is, kan het programma vanaf de DOS
  3627.      commandoregel of vanuit een batch bestand gestart en geconfigureerd
  3628.      worden. Het is belangrijk om TbScanX zo vroeg mogelijk na het opstarten
  3629.      te laden. Derhalve wordt u aangeraden om TbScanX te laden vanuit het
  3630.      Config.Sys bestand.
  3631.  
  3632. =>   NB: TbScanX vereist dat TbDriver vooraf geladen is! 
  3633.  
  3634.      TbScanX laden
  3635.      Er zijn drie mogelijkheden om TbScanX te laden:
  3636.  
  3637.      1. Vanaf de DOS prompt of vanuit de Autoexec.Bat:
  3638.  
  3639.           <pad>TbScanX
  3640.  
  3641.      2. Vanuit de Config.Sys als een TSR (Dos 4+):
  3642.  
  3643.           Install=<pad>TbScanX.Exe
  3644.  
  3645.  
  3646.                                      III - 22
  3647. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3648.  
  3649.  
  3650.      Het "Install=" Config.Sys commando is NIET beschikbaar in DOS 3.xx.
  3651.  
  3652.      3. Vanuit de Config.Sys als een device driver:
  3653.  
  3654.           Device=<pad>TbScanX.Exe
  3655.  
  3656.      Het uitvoeren van TbScanX als een device driver werkt niet in alle OEM
  3657.      versies van DOS. Als het niet werkt kunt u het "Install=" commando
  3658.      gebruiken, of kunt u TbScanX vanuit de Autoexec.Bat laden. TbScanX werkt
  3659.      in principe altijd goed indien gestart vanuit de Autoexec.Bat. 
  3660.  
  3661.      In tegenstelling tot andere anti-virus produkten kunnen de ThunderBYTE
  3662.      anti-virus utilities geladen worden voordat het netwerk is opgestart,
  3663.      zonder dat de beveiliging naderhand verloren gaat. 
  3664.  
  3665.  
  3666.      Highload
  3667.  
  3668.      In aanvulling op de drie opstartmogelijkheden kunnen TbScanX gebruikers
  3669.      van DOS 5 (en hoger) TbScanX "highloaden" in een UMB (upper memory
  3670.      block), indien beschikbaar: 
  3671.  
  3672.           LoadHigh <path>TbScanX.Exe
  3673.  
  3674.  
  3675.      Ook in de Config.Sys kan TbScanX 'gehighload' worden:
  3676.  
  3677.           DeviceHigh=<path>TbScanX.Exe
  3678.  
  3679.  
  3680.      TbScanX en MS-Windows
  3681.  
  3682.      Windows gebruikers moeten TbScanX laden VOOR het starten van Windows.
  3683.      Als u dat doet is er slechts een kopie van TbScanX in het geheugen. Elk
  3684.      DOS-window heeft desalniettemin een volledig functionele TbScanX in
  3685.      zich. TbScanX signaleert het opstarten van Windows en zal zichzelf
  3686.      indien noodzakelijk omschakelen naar multitasking mode. U kunt TbScanX
  3687.      zelfs in het ene window uitschakelen zonder de functionaliteit in een
  3688.      ander window te beinvloeden.
  3689.  
  3690.  
  3691. 2.3. Commandoregel opties
  3692.  
  3693.      TbScanx kan vanaf de DOS commandoregel geconfigureerd worden. De boven-
  3694.      ste vier opties zijn altijd beschikbaar, de andere alleen voorzover
  3695.      TbScanX nog niet resident in het geheugen is. 
  3696.  
  3697.  
  3698.  
  3699.  
  3700.  
  3701.  
  3702.  
  3703.                                      III - 23
  3704. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3705.  
  3706.  
  3707.      optie  short verklaring
  3708.      ------ ----- --------------------------------------
  3709.  
  3710.      help     ?   toon dit helpscherm
  3711.      off      d   schakel scanning uit
  3712.      on       e   schakel scanning in
  3713.      remove   r   verwijder TbScanX uit het geheugen
  3714.  
  3715.      noexec   n   nooit scannen bij starten programma's
  3716.      allexec  a   altijd scannen bij starten programma's
  3717.      noboot   b   bootsectors niet scannen
  3718.      ems      me  gebruik expanded memory (EMS)
  3719.      xms      mx  gebruik extended memory (XMS)
  3720.      secure   s   toegang zonder interactie weigeren
  3721.      lock     l   PC afsluiten als virus wordt opgespoord
  3722.      api      i   laadt de Application Program Interface
  3723.      compat   c   verhoogde compatibiliteit
  3724.  
  3725.  
  3726.      help (?)
  3727.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbScanX
  3728.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  3729.  
  3730.      off (d)
  3731.      Na opgave van deze optie zal TbScanX uitgeschakeld worden, maar wel in
  3732.      het geheugen blijven.
  3733.  
  3734.      on (e)
  3735.      Met 'on' activeert u TbScanX opnieuw, nadat u eerder de optie 'off'
  3736.      heeft gebruikt. 
  3737.  
  3738.      remove (r)
  3739.      Deze optie schakelt TbScanX uit en zal proberen het residente deel van
  3740.      de code uit het geheugen te verwijderen om zodoende de geheugenruimte
  3741.      aan het systeem terug te geven. Helaas werkt deze optie alleen als
  3742.      TbScanX als laatste geladen is. TbScanX controleert of de residente code
  3743.      zonder problemen kan worden verwijderd. Is dat niet het geval, dan zal
  3744.      het programma zichzelf alleen maar uitschakelen.
  3745.  
  3746.  
  3747.      compat (c)
  3748.      In de meeste systemen wekt TbScanX zonder problemen. Een ander TSR
  3749.      programma kan echter mogelijk problemen veroorzaken. Het is mogelijk dat
  3750.      TbScanX problemen heeft met andere residente programma's die EMS of XMS
  3751.      gebruiken. In dat geval zal het systeem 'hangen'. De optie 'compat' zal
  3752.      dit probleem oplossen, hoewel de snelheid enigszins zal afnemen.
  3753.  
  3754.      noexec (n)
  3755.      TbScanX scant programma's op diskettes vlak voordat zij worden uitge-
  3756.      voerd. U kunt deze optie gebruiken om deze functie geheel uit te schake-
  3757.      len.
  3758.  
  3759.  
  3760.                                      III - 24
  3761. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3762.  
  3763.  
  3764.      allexec (a)
  3765.      TbScanX scant uit te voeren programma's alleen indien zij op uitwissel-
  3766.      bare media staan. Bestanden op de harde schijf zijn 'veilig' omdat deze
  3767.      bestanden eerst al gekopieerd of gedownload moeten zijn. Op dat moment
  3768.      heeft TbScanX die bestanden dus al automatisch gecontroleerd. Wilt u
  3769.      echter dat ELK programma voor uitvoering gescand wordt, op harde of
  3770.      uitwisselbare schijven, dan gebruikt u deze optie.
  3771.  
  3772.      noboot (b)
  3773.      TbScanX onderzoekt het schijfsysteem: elke keer dat de bootsector wordt
  3774.      gelezen, scant TbScanX deze automatisch, op zoek naar bootsector virus-
  3775.      sen. Zodra u van schijf wisselt is het eerste wat DOS doet het lezen van
  3776.      de schijf, omdat het anders niet weet om welke soort van schijf het
  3777.      gaat. En zodra DOS de bootsector leest, controleert TbScanX deze op
  3778.      virussen. Als u deze functie liever uitschakelt, of als deze problemen
  3779.      veroorzaakt, kunt u deze uitzetten met behulp van de 'noboot' optie.
  3780.      Door deze optie op te geven zal TbScanX minder geheugen gebruiken, omdat
  3781.      de bootsector handtekeningen niet geladen hoeven te worden. 
  3782.  
  3783. ~    secure (s)
  3784.      In de normale stand vraagt TbScanX de gebruiker of het programma moet
  3785.      stoppen of moet doorgaan, als het een virus heeft gesignaleerd. Sommige
  3786.      organisaties willen deze keuze niet door de gebruiker laten maken. Door
  3787.      middel van de optie 'secure' worden verdachte activiteiten niet langer
  3788.      toegestaan. Tevens is gebruik van de opties 'off' en 'remove' niet meer
  3789.      mogelijk.
  3790.  
  3791.      lock (l)
  3792.      Systeembeheerder kunnen deze optie gebruiken om TbScanX op te dragen het
  3793.      systeem te "hangen" zodra een virus is ontdekt.
  3794.  
  3795. ~    api (i)
  3796.      Deze optie is voor gevorderde gebruikers. U dient deze optie te gebrui-
  3797.      ken indien u in uw programmatuur TbScanX wilt aanroepen. Raadpleeg het
  3798.      bestand Addendum.Doc voor meer informatie.
  3799.  
  3800.      ems (me)
  3801.      Wanneer u deze optie meegeeft zal TbScanX expanded geheugen gebruiken
  3802.      (zoals geboden door LIM/EMS expansion boards of 80386 geheugen managers)
  3803.      om de handtekeningen en een deel van de programmacode op te slaan. Daar
  3804.      conventioneel geheugen van meer waarde is voor uw programma's dan
  3805.      expanded geheugen, wordt het gebruik van EMS geheugen aanbevolen.
  3806.      TbScanX kan maximaal 64Kb EMS geheugen gebruiken. 
  3807.  
  3808.      xms (mx)
  3809.      Door deze optie zal TbScanX extended geheugen gebruiken om de handteke-
  3810.      ningen en deel van de programmacode op te slaan. Er moet een XMS driver
  3811.      (zoals HIMEM.SYS) geinstalleerd zijn om deze optie te kunnen gebruiken.
  3812.      XMS geheugen is niet direct toegankelijk vanuit DOS, dus elke keer dat
  3813.      TbScanX bestanden moet scannen, moet het de handtekeningen naar het
  3814.      conventionele geheugen kopieren.
  3815.  
  3816.  
  3817.                                      III - 25
  3818. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3819.  
  3820.  
  3821.      Om de inhoud van het oorspronkelijk geheugen weg te schrijven heeft
  3822.      TbScanX een dubbele hoeveelheid XMS geheugen nodig. Het 'swappen' naar
  3823.      XMS is trager dan het 'swappen' naar EMS geheugen, dus als u over EMS
  3824.      geheugen beschikt kunt u het beste naar EMS swappen. Het is mogelijk dat
  3825.      het swappen naar XMS problemen geeft met andere software. Mocht u
  3826.      problemen tegenkomen, probeer TbScanX dan zonder de XMS optie te gebrui-
  3827.      ken.
  3828.  
  3829.      Voorbeeld:
  3830.           Device=C:\utils\TbScanX.Exe xms noboot
  3831.  
  3832.  
  3833.  
  3834. 2.4. Tijdens het scannen
  3835.  
  3836.      Zodra een programma naar een programmabestand probeert te schrijven
  3837.      (bestanden met de extensies '.COM' en '.EXE'), ziet u de tekst "*Scan-
  3838.      ning*" linksboven op uw beeldscherm. Zolang TbScanX bezig is met scannen
  3839.      blijft die boodschap in beeld. Omdat TbScanX met hoge snelheid werkt
  3840.      ziet u de boodschap maar heel kort. De tekst "*Scanning*" verschijnt
  3841.      eveneens wanneer u een programma direct vanaf een diskette uitvoert, en
  3842.      wanneer DOS de bootsector benadert of een diskettestation.
  3843.  
  3844.  
  3845.      Virussen opsporen
  3846.  
  3847.      Als TbScanX een verdachte handtekening signaleert dat op het punt staat
  3848.      in een bestand te worden weggeschreven, verschijnt er een pop-up window
  3849.      met de boodschap:
  3850.  
  3851.           WAARSCHUWING, <bestandsnaam> bevat <virusnaam>!
  3852.           Afbreken? (J/N)
  3853.  
  3854.      Als TbScanX een verdachte handtekening in de bootsector tegenkomt, toont
  3855.      het de boodschap:
  3856.  
  3857.           WAARSCUWING, Schijf in <drive> bevat <virus name>!
  3858.           Druk een toets...
  3859.  
  3860.      Alhoewel er een virus in de bootsector van de opgegeven schijf schijnt
  3861.      te zijn, kan dat virus niets uitrichten, omdat het nog niet is uitge-
  3862.      voerd. Start u de PC echter op met de geinfecteerde diskette in het
  3863.      station, dan zal het virus zichzelf op de harde schijf kopieren. 
  3864.      Om de naam van het virus te kunnen tonen heeft TbScanX het handtekenin-
  3865.      genbestand nogmaals nodig. Het zal automatisch het bestand gebruiken dat
  3866.      ook gebruikt is bij het laden van TbScanX. Wanneer het handtekeningenbe-
  3867.      stand niet wordt aangetroffen (omdat u het bestand of de betreffende
  3868.      diskette heeft verwijderd) of wanneer er geen file handles over zijn,
  3869.      zal TbScanX nog steeds virussen opsporen, maar is het niet langer in
  3870.      staat om de naam van het virus te tonen. Het programma zal dan [Naam
  3871.      onbekend] melden.
  3872.  
  3873.  
  3874.                                      III - 26
  3875. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3876.  
  3877.  
  3878. 3. TbCheck
  3879.  
  3880.  
  3881. 3.1. De functie van TbCheck
  3882.  
  3883.      TbCheck is een geheugenresidente integrity checker, die in actie komt
  3884.      zodra een programma op het punt staat te worden uitgevoerd. TbCheck
  3885.      gebruikt de Anti-Vir.Dat records die door TbSetup zijn gegenereerd om
  3886.      bestandswijzigingen te signaleren, vaak het eerste teken van een virus
  3887.      besmetting. Deze records bevatten gegevens als bestandsgrootte en
  3888.      checksums van elk programmabestand in een directory. Door deze informa-
  3889.      tie te vergelijken met het feitelijke programma status kan TbCheck
  3890.      automatisch elke verandering opmerken, inclusief infecties veroorzaakt
  3891.      door virussen.
  3892.  
  3893.      Stel, u heeft een conventionele integrity checker die automatisch vanuit
  3894.      de autoexec.bat wordt gestart. Als er geen bestanden zijn veranderd,
  3895.      wordt uw systeem geacht schoon te zijn. Om er echter zeker van te zijn
  3896.      dat geen enkel virus uw systeem kan besmetten dient u de checker met
  3897.      grote regelmaat te gebruiken. 
  3898.  
  3899.      Eenmaal in het geheugen geladen zal TbCheck resident in het geheugen
  3900.      blijven, en zal het automatisch alle programma's controleren die u
  3901.      probeert uit te voeren.
  3902.  
  3903.      TbCheck is volledig netwerk compatibel. U hoeft het programma niet
  3904.      opnieuw te laden zodra u op het netwerk bent ingelogd. 
  3905.  
  3906.  
  3907. 3.2. Hoe gebruikt u TbCheck?
  3908.  
  3909.      Omdat TbCheck geheugenresident is, kan het programma vanaf de DOS
  3910.      commandoregel of vanuit een batch bestand gestart en geconfigureerd
  3911.      worden. Het is belangrijk om TbCheck zo vroeg mogelijk na het opstarten
  3912.      te laden, liefst vanuit de Autoexec.Bat of de Config.Sys.
  3913.  
  3914.  
  3915. =>   NB: TbCheck vereist dat TbDriver vooraf geladen is! 
  3916.  
  3917.  
  3918.      TbCheck laden
  3919.      Er zijn drie mogelijkheden om TbCheck te laden:
  3920.  
  3921.      1. Vanaf de DOS prompt of vanuit de Autoexec.Bat:
  3922.  
  3923.           <path>TbCheck
  3924.  
  3925.      2. Vanuit de Config.Sys als een TSR (Dos 4+):
  3926.  
  3927.           Install=<path>TbCheck.Exe
  3928.  
  3929.      Het "Install=" Config.Sys commando is NIET beschikbaar in DOS 3.xx.
  3930.  
  3931.                                      III - 27
  3932. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3933.  
  3934.  
  3935.  
  3936.      3. Vanuit de Config.Sys als een device driver:
  3937.  
  3938.           Device=<path>TbCheck.Exe
  3939.  
  3940.      Het uitvoeren van TbCheck als een device driver werkt niet in alle OEM
  3941.      versies van DOS. Als het niet werkt kunt u het "Install=" commando
  3942.      gebruiken, of kunt u TbCheck vanuit de Autoexec.Bat laden. TbCheck werkt
  3943.      in principe altijd goed indien gestart vanuit de Autoexec.Bat. In
  3944.      tegenstelling tot andere anti-virus produkten kunnen de ThunderBYTE
  3945.      anti-virus utilities geladen worden voordat het netwerk is opgestart,
  3946.      zonder dat de beveiliging naderhand verloren gaat. 
  3947.  
  3948.  
  3949.      Highload TBCheck
  3950.  
  3951.      In aanvulling op de drie opstartmogelijkheden kunnen gebruikers van DOS
  3952.      5 (en hoger) TbCheck "highloaden" in een UMB (upper memory block),
  3953.      indien beschikbaar: 
  3954.  
  3955.           LoadHigh <path>TbCheck.Exe
  3956.  
  3957.      Ook in de Config.Sys kan TbCheck 'gehighload' worden:
  3958.  
  3959.           DeviceHigh=<path>TbCheck.Exe
  3960.  
  3961.  
  3962.      TbCheck en MS-Windows
  3963.  
  3964.      Windows gebruikers moeten TbCheck laden VOOR het starten van Windows.
  3965.      Als u dat doet is er slechts een kopie van TbCheck in het geheugen. Elk
  3966.      DOS-window heeft desalniettemin een volledig functionele TbCheck in
  3967.      zich. TbCheck signaleert het opstarten van Windows en zal zichzelf
  3968.      indien noodzakelijk omschakelen naar multitasking mode. U kunt TbCheck
  3969.      zelfs in het ene window uitschakelen zonder de functionaliteit in een
  3970.      ander window te beinvloeden.
  3971.  
  3972.  
  3973. 3.3. Commandoregel opties
  3974.  
  3975.      TbCheck kan vanaf de DOS commandoregel geconfigureerd worden. De boven-
  3976.      ste vier opties zijn altijd beschikbaar, de andere alleen voorzover
  3977.      TbCheck nog niet resident in het geheugen is. 
  3978.  
  3979.  
  3980.  
  3981.  
  3982.  
  3983.  
  3984.  
  3985.  
  3986.  
  3987.  
  3988.                                      III - 28
  3989. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  3990.  
  3991.  
  3992.      optie  parameter short verklaring
  3993.      ------ --------- ----- ------------------
  3994.  
  3995.      help               ?   toon dit helpscherm
  3996.      off                d   ontkoppel checking
  3997.      on                 e   activeer checking
  3998.      remove             r   verwijder TbCheck uit geheugen
  3999.  
  4000.      noavok [=<drives>] o   alleen op verschillen controleren
  4001.      fullcrc            f   bereken volledige CRC (traag!)
  4002.      secure             s   geen ongeautoriseerde bestanden uitvoeren
  4003.  
  4004.  
  4005.      help (?)
  4006.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbCheck
  4007.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  4008.  
  4009.      off (d)
  4010.      Na opgave van deze optie zal TbCheck uitgeschakeld worden, maar wel in
  4011.      het geheugen blijven.
  4012.  
  4013.      on (e)
  4014.      Met 'on' activeert u TbCheck opnieuw, nadat u eerder de optie 'off'
  4015.      heeft gebruikt. 
  4016.  
  4017.      remove (r)
  4018.      Deze optie schakelt TbCheck uit en zal proberen het residente deel van
  4019.      de code uit het geheugen te verwijderen om zodoende de geheugenruimte
  4020.      aan het systeem terug te geven. Helaas werkt deze optie alleen als
  4021.      TbCheck als laatste geladen is. TbCheck controleert of de residente code
  4022.      zonder problemen kan worden verwijderd. Is dat niet het geval, dan zal
  4023.      het programma zichzelf alleen maar uitschakelen.
  4024.  
  4025.      noavok (o)
  4026.      TbCheck zoekt in het Anti-Vir.Dat bestand naar informatie over het te
  4027.      controleren programma. TbCheck toont een boodschap als het geen checksum
  4028.      informatie kan vinden of wanneer de betreffende checksum incorrect is.
  4029.      Zodoende bent u gewaarborgd dat u altijd een melding krijgt wanneer een
  4030.      kwaadaardig programma het Anti-Vir.Dat bestand probeert te verwijderen.
  4031.      Alhoewel het raadzaam is om op alle schijven Anti-Vir.Dat bestanden te
  4032.      onderhouden, is dit niet in alle gevallen praktisch met floppy disks,
  4033.      RAM disks of CD-ROM disks. De optie 'noavok' zegt TbCheck niet te zoeken
  4034.      naar een Anti-Vir.Dat op aangegeven schijven. Wanneer u bijvoorbeeld
  4035.      niet gewaarschuwd wilt worden over de afwezigheid van een Anti-Vir.Dat
  4036.      record op de floppy disks (A: en B:) of op uw RAM disk (E:), dan geeft u
  4037.      op: 
  4038.  
  4039.           "NoAvOk=ABE"
  4040.  
  4041. ~    Indien u geen melding wenst wanneer een Anti-Vir.Dat record ontbreekt op
  4042.      een netwerk schijf dient u een sterretje te gebruiken in plaats van een
  4043.      schijfletter.
  4044.  
  4045.                                      III - 29
  4046. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4047.  
  4048.  
  4049.      Specificeert u geen schijfletter achter de optie, dan zal TbCheck nooit
  4050.      een melding geven wanneer een Anti-Vir record wordt gemist op welke
  4051.      schijf dan ook. 
  4052.  
  4053. =>   Dit betekent echter wel een gat in de beveiliging tegen virussen: door
  4054.      het verwijderen van het Anti-Vir.Dat bestand bent u niet meer in staat
  4055.      om bestandswijzigingen veroorzaakt door virussen op te sporen. 
  4056.  
  4057. =>   De 'noavok' optie doet niets om de ontdekking van virusbesmettingen te
  4058.      voorkomen, indien er een Anti-Vir.Dat record aanwezig is. Is een pro-
  4059.      gramma gewijzigd, en het Anti-Vir record is aanwezig, krijgt u sowieso
  4060.      een alarmmelding, ongeacht de optie 'noavok'.
  4061.  
  4062.      fullcrc (f)
  4063.      Als default, verifieert TbCheck alleen dat deel van een bestand bij het
  4064.      'entry point'. Als een virus een bestand besmet, dan wordt dit gebied
  4065.      gegarandeerd aangetast, dus is dit de aangewezen plaats om alle besmet-
  4066.      tingen op te sporen. Andere bestandswijzigingen, met name wijzigingen
  4067.      van de configuratie, zullen het alarm niet doen afgaan. Indien u echter
  4068.      op enig moment een volledige controle nodig heeft die elke wijziging
  4069.      signaleert, dan kunt u deze optie gebruiken. Gevolg is wel dat de
  4070.      verwerking van het systeem aanzienlijk wordt vertraagd: deze optie wordt
  4071.      dan ook niet aangeraden bij normaal (anti-virus) gebruik! 
  4072.  
  4073. ~    secure (s)
  4074.      In de normale stand vraagt TbCheck de gebruiker of het programma moet
  4075.      stoppen of moet doorgaan, als een bestand gewijzigd is of wanneer er
  4076.      geen checksum informatie aanwezig is. Sommige organisaties willen deze
  4077.      keuze niet door de gebruiker laten maken. Door middel van de optie
  4078.      'secure' wordt het gebruikers onmogelijk gemaakt om nieuwe, onbekende of
  4079.      gewijzigde programma's uit te voeren. Tevens is het niet meer mogelijk
  4080.      de opties 'off' en 'remove' te gebruiken.
  4081.  
  4082.  
  4083. 3.4. Tijdens het checken
  4084.  
  4085.      Zodra een programma wordt uitgevoerd, controleert TbCheck of het pro-
  4086.      gramma voor die activiteit geautoriseerd is. Gedurende die tijd ziet u
  4087.      de tekst "*Checking*" linksboven op uw beeldscherm. Zolang TbCheck bezig
  4088.      is met de controle, blijft die boodschap in beeld. Omdat TbCheck met
  4089.      hoge snelheid werkt ziet u de boodschap maar heel kort. 
  4090.  
  4091.      Opsporing van bestandswijzigingen
  4092.      TbCheck controleert elk programma op het moment dat het wordt geladen.
  4093.      Als TbCheck een wijziging signaleert, verschijnt er een pop-up window
  4094.      met de betreffende melding. U kunt kiezen om door te gaan of om het
  4095.      programma niet te laden.
  4096.  
  4097.      Is er geen informatie (Anti-Vir.Dat) over het programma voorhanden, dan
  4098.      zal TbCheck u dat ook melden. Ook nu kunt u weer kiezen om door te gaan
  4099.      of om het laden af te breken. 
  4100.  
  4101.  
  4102.                                      III - 30
  4103. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4104.  
  4105.  
  4106. =>   NB: U kunt voorkomen dat gebruikers niet geautoriseerde software uitvoe-
  4107.      ren, door het TbCheck commando te combineren met de 'secure' optie.
  4108.  
  4109.  
  4110. 3.5. TbCheck testen
  4111.  
  4112.      Veel mensen willen -begrijpelijk- de produkten testen die zij gebruiken.
  4113.      In tegenstelling tot bijvoorbeeld een tekstverwerker, is het erg moei-
  4114.      lijk om een 'slimme' integrity checker als TbCheck te testen. U kunt
  4115.      niet zomaar een willekeurige 25 bytes van een programmabestand verande-
  4116.      ren om uit te vinden of TbCheck de verandering zal opmerken.
  4117.      Integendeel, het is waarschijnlijker dat TbCheck deze NIET zal signale-
  4118.      ren omdat het programma alleen het entry-gebied controleert, terwijl de
  4119.      gewijzigde bytes op een andere plek binnen het bestand kunnen staat. 
  4120.  
  4121.  
  4122.  
  4123.  
  4124.  
  4125.  
  4126.  
  4127.  
  4128.  
  4129.  
  4130.  
  4131.  
  4132.  
  4133.  
  4134.  
  4135.  
  4136.  
  4137.  
  4138.  
  4139.  
  4140.  
  4141.  
  4142.  
  4143.  
  4144.  
  4145.  
  4146.  
  4147.  
  4148.  
  4149.  
  4150.  
  4151.  
  4152.  
  4153.  
  4154.  
  4155.  
  4156.  
  4157.  
  4158.  
  4159.                                      III - 31
  4160. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4161.  
  4162.  
  4163. 4. TbClean
  4164.  
  4165.  
  4166. 4.1. De functie van TbClean
  4167.  
  4168.      TbClean isoleert viruscode in een besmet programma en verwijdert de
  4169.      code. Vanaf dat moment kan het programma weer veilig gebruikt worden,
  4170.      omdat het risico van besmetting of beschadiging van andere bestanden
  4171.      zorgvuldig geelimineerd is. 
  4172.  
  4173.  
  4174.      Generieke cleaner
  4175.  
  4176.      TbClean werkt volstrekt anders in vergelijking met 'conventionele' virus
  4177.      cleaners. In de eerste plaats herkent TbClean geen enkel virus. Het
  4178.      desinfectieschema is totaal anders, waardoor het programma op bijna elk
  4179.      virus kan worden toegepast. Feitelijk bevat TbClean twee cleaners: een
  4180.      'reparatieve' cleaner, en een 'heuristische' cleaner. De reparatieve
  4181.      cleaner behoeft een Anti-Vir.Dat bestand, dat voor de infectie door het
  4182.      TbSetup programma gegenereerd is. In dit Anti-Vir.Dat bestand is essen-
  4183.      tiele informatie opgeslagen, zoals de oorspronkelijke bestandsgrootte,
  4184.      de bytes aan het begin van het programma, een cryptografische checksum
  4185.      om de resultaten te verifieren, etc. Deze informatie stelt TbClean in
  4186.      staat om bijna elk bestand te desinfecteren, ongeacht het virus waarmee
  4187.      het programma is besmet, bekend of onbekend.
  4188.  
  4189.  
  4190.      Geen informatie beschikbaar?
  4191.  
  4192.      In de heuristische cleaning stand heeft TbClean ook geen virus-informa-
  4193.      tie nodig. Het voordeel van deze modus is, dat het programma zelfs geen
  4194.      gegevens nodig heeft over het de oorspronkelijke, niet geinfecteerde
  4195.      staat van het programma. Deze cleaning methode is zeer effectief wanneer
  4196.      uw systeem besmet is met een onbekend virus en u heeft nagelaten om
  4197.      TbSetup op tijd de Anti-Vir.Dat bestanden te laten genereren. TbClean
  4198.      laadt het besmette bestand en begint met het emuleren van de programma
  4199.      code om na te gaan welk deel van het bestand tot het oorspronkelijke
  4200.      programma behoort en welk deel tot het virus. 
  4201.  
  4202.  
  4203.      Het resultaat
  4204.  
  4205.      Het resultaat is geslaagd als de functionaliteit van het oorspronkelijke
  4206.      programma is hersteld, en die van het virus tot nul is teruggebracht. 
  4207. =>   Dit wil echter niet zeggen dat het gezuiverde bestand 100% gelijk is aan
  4208.      het origineel.
  4209.  
  4210.      Wanneer TbClean de heuristische methode gebruikt om het programma te
  4211.      ontsmetten, zal het bestand hoogstwaarschijnlijk niet gelijk zijn aan
  4212.      het origineel. Dat is geen zwakte van TbClean, noch betekent het dat het
  4213.      bestand nog in enige mate besmet is. In de eerste plaats is het een
  4214.      normaal verschijnsel dat het heuristisch gezuiverde bestand groter
  4215.  
  4216.                                      III - 32
  4217. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4218.  
  4219.  
  4220.      blijft dan het origineel. TbClean gaat namelijk voorzichtig te werk en
  4221.      zal trachten niet te veel te verwijderen. De bytes die aan het einde van
  4222.      het bestand worden achtergelaten zijn 'dode' code; de instructies kunnen
  4223.      nooit meer uitgevoerd kunnen worden omdat de 'jump' aan het begin van
  4224.      het programma is verwijderd. Als het gezuiverde bestand een programma
  4225.      van het type EXE is, zullen sommige bytes aan het begin van het program-
  4226.      ma - de exeheader - anders zijn. Dit heeft te maken met het feit dat er
  4227.      verscheidene geschikte methodes zijn om de exeheader te reconstrueren,
  4228.      en TbClean kan natuurlijk niet weten hoe het programma er oorspronkelijk
  4229.      uitzag. De functionaliteit van het gezuiverde bestand is desalniettemin
  4230.      gelijk aan die van het oorspronkelijke programma!
  4231.  
  4232. =>   Vanzelfsprekend heeft bovenstaande alleen betrekking op heuristische
  4233.      cleaning: is er een geschikt Anti-Vir.Dat record, dan zal het gezuiverde
  4234.      bestand over het algemeen gelijk zijn aan het origineel.
  4235.  
  4236.      Het besmette bestand kan met meerdere virussen besmet zijn. Daarnaast
  4237.      zijn er virussen die bestanden blijven besmetten, waardoor de besmette
  4238.      bestanden zullen blijven groeien. Als TbClean de heuristische methode
  4239.      zou gebruiken, wordt er waarschijnlijk slechts een verschijning van het
  4240.      virus verwijderd. In dit geval dient u de procedure te herhalen, totdat
  4241.      er niets meer verwijderd kan worden.
  4242.  
  4243.  
  4244. 4.2. Hoe gebruikt u TbClean?
  4245.  
  4246.      Nadat er een of meerdere virussen zijn opgespoord is het enige dat u
  4247.      moet doen het selecteren van de 'Start cleaning' optie in het TbClean
  4248.      menu. Nadat u de betreffende bestandsnaam heeft ingegeven gaat TbClean
  4249.      tot actie over. U kunt daarbij tevoren enige parameters instellen. Deze
  4250.      parameters worden in het onderstaande toegelicht.
  4251.  
  4252.  
  4253.      Het TbClean menu
  4254.  
  4255.      De TbClean parameters worden gepresenteerd in het TbClean menu. U
  4256.      activeert een optie door de selectiebalk naar deze optie te bewegen en
  4257.      vervolgens op <ENTER> te drukken. Een afvinkteken (v) geeft aan dat de
  4258.      betreffende parameter 'aan' staat. 
  4259.  
  4260. ~    +----Main menu-----+
  4261.      |  Confi+-----TbClean menu-----+
  4262.      |  TbSet|  Start cleaning      |
  4263.      |  TbSca|  List-file name      |
  4264.      |  TbUti|  Use TBAV.INI file   |
  4265.      |  TbCLe|  Prompt for pause    |
  4266.      |  TBAV |v Use Anti-Vir.Dat    |
  4267.      |  Docum|v Use Heuristics      |
  4268.      |  Regis|v Expanded memory     |
  4269.      |  Quit |  Show program loops  |
  4270.      |  eXit |  Make list file      |
  4271.      +-------+----------------------+
  4272.  
  4273.                                      III - 33
  4274. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4275.  
  4276.  
  4277.      List-file name 
  4278.  
  4279.      Na selectie van deze optie kunt u een bestandsnaam opgeven dat als
  4280.      lijst- bestand zal worden gebruikt (zie de 'Make list-file' optie).
  4281.  
  4282.  
  4283.      Use TBAV.INI file
  4284.  
  4285.      Door het activeren van deze optie zullen de TbClean configuratiewaarden
  4286.      in het TBAV.INI bestand ook worden gebruikt wanneer TbSetup vanaf de DOS
  4287.      commandoregel wordt gestart. Speciale aandacht is gewenst, omdat de in
  4288.      TBAV.INI gespecificeerde opties niet op de commandoregel ongedaan kunnen
  4289.      worden gemaakt. Zie hoofdstuk I-2.
  4290.  
  4291.  
  4292.      Prompt for pause 
  4293.  
  4294.      TbClean stopt na elk vol scherm met het disassembleren van een bestand,
  4295.      zodat u de resultaten kunt bestuderen.
  4296.  
  4297.  
  4298.      Use Anti-Vir.Dat 
  4299.  
  4300.      Als u deze optie niet geactiveerd hebt, zal TbClean te werk gaan alsof
  4301.      er geen Anti-Vir.Dat records beschikbaar zijn (dus volgens de heuristi-
  4302.      sche methode).
  4303.  
  4304.  
  4305. ~    Use Heuristics
  4306.  
  4307.      Indien u deze optie hebt uitgezet zal TbClean nooit de heuristieke
  4308.      methode gebruiken, zelfs niet wanneer de Anti-Vir.Dat bestanden ontbre-
  4309.      ken.
  4310.  
  4311.  
  4312.      Show program loops 
  4313.  
  4314.      Als default zal TbClean 'looping' omstandigheden signaleren. Zodoende
  4315.      zal een instructie die bij voortduring wordt herhaald op uw scherm
  4316.      worden getoond. 
  4317. =>   Als deze optie geactiveerd is zal TbClean veel langzamer opereren.
  4318.  
  4319.      Combineer deze optie niet met de 'list' optie, daar het lijstbestand te
  4320.      groot zou kunnen worden. 
  4321.  
  4322.  
  4323.      Expanded memory 
  4324.  
  4325.      Indien geactiveerd zal TbClean de aanwezigheid van expanded geheugen
  4326.      signaleren en zal het deze in de heuristische stand gebruiken. U kunt
  4327.      EMS gebruik ontkoppelen wanneer het programma te traag gaat werken, of
  4328.      wanneer uw expanded geheugen manager niet erg stabiel is.
  4329.  
  4330.                                      III - 34
  4331. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4332.  
  4333.  
  4334.  
  4335.      Make list file 
  4336.  
  4337.      TbClean genereert een output bestand met een chronologische disassembly
  4338.      van het te verwijderen virus.
  4339.  
  4340.  
  4341. 4.3. Commandoregel opties
  4342.  
  4343.      TbClean staat toe dat opties op de DOS commandoregel worden gespecifi-
  4344.      ceerd. Het programma herkent zowel de korte als de lange notatie van
  4345.      opties.
  4346.  
  4347.      optie      parameter        short verklaring
  4348.      --------   ---------------- ----- ---------------------
  4349.      help                         he   help
  4350.      pause                        pa   activeer 'Pause' prompt 
  4351.      mono                         mo   forceer monochroom
  4352.      noav                         na   gebruik geen Anti-Vir.Dat record 
  4353.      noheur                       nh   gebruik geen heuristiek cleanen
  4354.      noems                        ne   gebruik geen expanded geheugen
  4355.      showloop                     sl   toon elke loop 
  4356.      list       [=<filename>]     li   genereer lijstbestand
  4357.  
  4358.  
  4359.      help (he)
  4360.      Na ingave van TbClean met de 'he' optie toont TbClean de inhoud van het
  4361.      TBCLEAN.HLP bestand (indien aanwezig in de TbClean directory). Met de
  4362.      '?' optie roept u het bovenstaande optie-overzicht op. 
  4363.  
  4364.      pause (pa)
  4365.      TbClean stopt na elk vol scherm met het disassembleren van een bestand,
  4366.      zodat u de resultaten kunt bestuderen.
  4367.  
  4368.      mono (mo)
  4369.      Door het toevoegen van deze optie wordt TBAV monochroom weergegeven.
  4370.      Deze instelling is met name van belang voor een goede weergave op laptop
  4371.      computers (LCD schermen) en kleur emulerende monochroom systemen.
  4372.  
  4373.      noav (na)
  4374.      Als u deze optie specificeert, zal TbClean te werk gaan alsof er geen
  4375.      Anti-Vir.Dat records beschikbaar zijn (dus volgens de heuristische
  4376.      methode).
  4377.  
  4378. ~    noheur (nh)
  4379.      Indien u deze optie gebruikt zal TbClean nooit de heuristieke methode
  4380.      gebruiken, zelfs niet wanneer de Anti-Vir.Dat bestanden ontbreken.
  4381.  
  4382.      noems (ne)
  4383.      Indien u deze optie opgeeft zal TbClean de aanwezigheid van expanded
  4384.      geheugen niet signaleren en zal het deze in de heuristische stand niet
  4385.      gebruiken. U kunt EMS gebruik ontkoppelen wanneer het programma te traag
  4386.  
  4387.                                      III - 35
  4388. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4389.  
  4390.  
  4391.      gaat werken, of wanneer uw expanded geheugen manager niet erg stabiel
  4392.      is.
  4393.  
  4394.      showloop (sl)
  4395.      Als default zal TbClean 'looping' omstandigheden slechts eenmaal signa-
  4396.      leren. Bij het aanklikken van deze optie zal een instructiereeks die bij
  4397.      voortduring wordt herhaald op uw scherm worden getoond. 
  4398. =>   Als deze optie geactiveerd is zal TbClean veel langzamer opereren.
  4399.  
  4400.      Combineer deze optie niet met de 'list' optie, daar het lijstbestand te
  4401.      groot zou kunnen worden. 
  4402.  
  4403.      list [<bestandsnaam>] (li)
  4404.      TbClean genereert een output bestand met een chronologische disassembly
  4405.      van het te verwijderen virus.
  4406.  
  4407.  
  4408.      Voorbeelden
  4409.           TbClean VIRUS.EXE
  4410.  
  4411.      TbClean zal een back-up met de naam VIRUS.VIR maken, en vervolgens
  4412.      VIRUS.EXE ontsmetten.
  4413.  
  4414.           TbClean VIRUS.EXE TEST.EXE
  4415.  
  4416.      TbClean kopieert VIRUS.EXE naar TEST.EXE en ontsmet TEST.EXE.
  4417.  
  4418.  
  4419. 4.4. Het ontsmettingsproces
  4420.  
  4421.      Begin ontsmetten
  4422.  
  4423.      Kies 'Start cleaning' in het TBAV menu. vervolgens geeft u de naam in
  4424.      van het te ontsmetten bestand. Stel dat u een bestand 'virus.exe' wilt
  4425.      ontsmetten:
  4426.  
  4427.           Specificeer naam van te cleanen programma. Backup wordt eerst
  4428.           aangemaakt.
  4429.           C:\VIRUS\VIRUS.EXE
  4430.  
  4431.  
  4432.      De ThunderBYTE utilitie gaat bestand-voor-bestand te werk: ontsmet een
  4433.      bestand, verifieert het resultaat, en vervolgt met het volgende bestand.
  4434.      Op deze wijze kunt u goed bijhouden in welke fase van ontsmetting een
  4435.      bestand zich bevindt. 
  4436.  
  4437.  
  4438.           Naam van het gecleande bestand. Indien leeg wordt origineel over-
  4439.           schreven.
  4440.           C:\VIRUS\TEST.EXE
  4441.       
  4442.  
  4443.  
  4444.                                      III - 36
  4445. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4446.  
  4447.  
  4448.      Door een afwijkende naam op te geven, bijvoorbeeld 'test.exe', geeft u
  4449.      aan dat het te ontsmetten bestand het origineel niet mag overschrijven.
  4450.      In dit voorbeeld zal TbClean VIRUS.EXE kopieren naar TEST.EXE, en
  4451.      TEST.EXE ontsmetten. 
  4452.      Indien u geen backup bestand opgeeft, zal TbClean een backup bestand
  4453.      genereren met de '.vir' extensie (bijv. VIRUS.VIR) en het .exe bestand
  4454.      ontsmetten.
  4455.  
  4456.      +-----------------------------------------------------------------+
  4457.      | Thunderbyte clean utility v6.03 (C) 1992-93 Thunderbyte B.V.    |
  4458.      +---------Infected state----------++---------Original state-------+
  4459.      | Entry point (CS:IP)   34BF:0012 || Entry point (CS:IP) 34BF:0012|
  4460.      | File length                     || File length         UNKNOWN! |
  4461.      | Cryptographic CRC     9F90F52A  || Cryptographic CRC   UNKNOWN! |
  4462.      +---------------------------------++------------------------------+
  4463.      |                                                                 |
  4464.      | Starting clean attempt. Analyzing infected file...              |
  4465.      | Anti-Vir not found: original state unknown. Trying emulation... |
  4466.      | Emulation terminated:                                           |
  4467.      |                                                                 |
  4468.      | C:\VIRUS\TEST.EXE                                               |
  4469.      | CS:IP    Instruction     AX  BX  CX  DX  DS  SI  ES  DI  SS  SP |
  4470.      | 9330:0101  mov ah,40    FFFE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4471.      | 9330:0103  mov bx,0002  40FE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4472.      | 9330:0106  mov cx,0016  40FE0002FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4473.      | 9330:0109  mov dx,cs    40FE00020016EFFFD382FFEDEFFEFFFF9520007E|
  4474.      | 9330:010B  mov ds,dx    40FE000200169330D382FFEDEFFEFFFF9520007E|
  4475.      | 9330:010D  mov dx,0117  40FE0002001693309330FFEDEFFEFFFF9520007E|
  4476.      | 9330:0110  int 21       40FE0002001601179330FFEDEFFEFFFF9520007E|
  4477.      | 9330:0112  mov ax,4CFF  40FE0002001601179330FFEDEFFEFFFF9520007E|
  4478.      | 9330:0115  int 21       4CFF0002001601179330FFEDEFFEFFFF9520007E|
  4479.      | 9330:0115  <End of emulation>                                   |
  4480.      +-----------------------------------------------------------------+ 
  4481.  
  4482.  
  4483.  
  4484.      Gedurende ontsmetting
  4485.  
  4486.      TbClean toont zoveel mogelijk informatie over de huidige operatie, zoals
  4487.      hierboven wordt getoond. Alle belangrijke acties worden gepresenteerd in
  4488.      het emulatie venster, met name een disassembly en de registerinhoud van
  4489.      het onderhavige programma (1), een voortgangsrapport (2) en de status
  4490.      vensters (3) die enige bruikbare details tonen over het besmette bestand
  4491.      en -als TbClean een bruikbaar Anti-Vir.Dat record vindt-, de oorspronke-
  4492.      lijke status. U kunt het ontsmettingsproces afbreken met <Ctrl-Break>.
  4493.  
  4494.  
  4495.      Het werk is nog niet gedaan!
  4496.  
  4497.      Een succesvolle desinfectie is niet het einde van het verhaal! Sommige
  4498.      virussen beschadigen gegevensbestanden. Zij kunnen willekeurig bytes op
  4499.      uw schijf veranderen, sectoren verwisselen, of andere schadelijke acties
  4500.  
  4501.                                      III - 37
  4502. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4503.  
  4504.  
  4505.      uitvoeren. Een cleaning utility is nooit in staat om uw gegevens te
  4506.      herstellen! Controleer uw databestanden zorgvuldig en raadpleeg een
  4507.      virusdeskundige om te achterhalen waartoe het betreffende virus in staat
  4508.      is. Bij de geringste twijfel is het terugzetten van een back-up de meest
  4509.      betrouwbare optie.
  4510.  
  4511. =>   Onder geen enkele omstandigheid mag u met ontsmette software verder
  4512.      werken!
  4513.  
  4514.      Cleaning is een tijdelijke oplossing, die ertoe dient de langdurige
  4515.      restore operatie te laten plaatsvinden op een passend, dus rustig,
  4516.      moment. U kunt niet onbeperkt uitgaan van de betrouwbaarheid van een
  4517.      gedesinfecteerd programma.
  4518.  
  4519.      Beschouw dit niet als een devaluatie van antivirus cleaning produkten.
  4520.      Als uw bestanden waardevol zijn, dient u er zo zorgvuldig mogelijk mee
  4521.      om te springen. Het gebruik maken van originele software is daarbij een
  4522.      fundamentele voorzorgsmaatregel. Met andere woorden, installeer de
  4523.      originele programma's zo snel mogelijk! 
  4524.  
  4525.  
  4526.      Ontsmettingsbeperkingen
  4527.  
  4528.      Alhoewel TbClean een grote kans van slagen biedt en besmettingen kan
  4529.      verwijderen waarop andere cleaners geen kans hebben, kunnen niet alle
  4530.      virussen worden verwijderd, en kunnen niet alle bestanden worden ont-
  4531.      smet.
  4532.  
  4533.      Virussen die niet uit een besmet bestand verwijderd kunnen worden:
  4534.  
  4535. -    Overschrijvende virussen. 
  4536.      Dit type virussen voegt zichzelf niet toe aan het einde van het origine-
  4537.      le programma; zij kopieren zichzelf over het oorspronkelijke bestand.
  4538.      Zij proberen niet het oorspronkelijke programma te starten, maar zullen
  4539.      eenvoudigweg terugkeren naar DOS nadat zij zijn geactiveerd, of zij
  4540.      'hangen' uw systeem. Omdat het oorspronkelijke programma overschreven en
  4541.      dus vernietigd is, kan geen enkele cleaner zo'n virus verwijderen.
  4542.  
  4543. -    Sommige gecodeerde virussen. 
  4544.      TbClean is normaal gesproken in staat om een virus te decoderen. Sommige
  4545.      virussen gebruiken echter anti-debugger features, die TbClean (nog) niet
  4546.      weet te bestrijden.
  4547.  
  4548.      De manier waarop sommige programmabestanden zijn gebouwd maakt het
  4549.      onmogelijk deze te ontsmetten. Herinstallatie van de originelen is de
  4550.      enige oplossing. Tot deze categorie behoren: 
  4551.  
  4552. -    EXE-programma's met interne overlays. 
  4553.      TbScan markeert deze bestanden met een 'i' vlag. Elke besmetting kan dit
  4554.      soort bestanden ernstig beschadigen. Sommige virussen herkennen zulke
  4555.      programma's en besmetten ze niet. De meeste virussen doen dat echter
  4556.  
  4557.  
  4558.                                      III - 38
  4559. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4560.  
  4561.  
  4562.      wel, en verminken daarmee het programma. Geen enkele cleaner kan derge-
  4563.      lijke schade herstellen.
  4564.  
  4565. -    Programma's met 'sanity check' routines. 
  4566.      Sommige programma's - meestal anti-virus software of copy-beveiligde
  4567.      programma's - voeren een bepaald soort sanity check uit. Heuristische
  4568.      ontsmetting van een besmet programma resulteert meestal in een programma
  4569.      dat niet voor 100 procent fysiek gelijk is aan het origineel. Hoewel het
  4570.      virus uit het programma is verwijderd, en het programma functioneel
  4571.      gelijk is aan het origineel, zal de sanity check de (kleine) verschillen
  4572.      signaleren en het programma afbreken.
  4573.  
  4574.  
  4575.      Meerdere bestanden ontsmetten
  4576.  
  4577.      TbClean heeft geen faciliteiten om meerdere programma's in een keer te
  4578.      ontsmetten. Deze omissie kent twee redenen:
  4579.  
  4580.      -    TbClean kan niet automatisch naar virussen zoeken omdat het geen
  4581.           virussen kent. 
  4582.  
  4583.      -    Het is ten zeerste aan te raden om bestanden bestand-voor-bestand
  4584.           te ontsmetten. Ontsmet een bestand, verifieer het resultaat en ga
  4585.           verder met het volgende. Met deze werkwijze bent u altijd op de
  4586.           hoogte van de status van geinfecteerde bestanden.
  4587.  
  4588.  
  4589.  
  4590.  
  4591.  
  4592.  
  4593.  
  4594.  
  4595.  
  4596.  
  4597.  
  4598.  
  4599.  
  4600.  
  4601.  
  4602.  
  4603.  
  4604.  
  4605.  
  4606.  
  4607.  
  4608.  
  4609.  
  4610.  
  4611.  
  4612.  
  4613.  
  4614.  
  4615.                                      III - 39
  4616. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4617.  
  4618.  
  4619. 5. Voortdurende viruspreventie: TbMon
  4620.  
  4621.  
  4622.      Het doel van de TbMon utilities
  4623.  
  4624.      TbMon is een set van drie geheugenresidente anti-virus utilities:
  4625.  
  4626.      TbMem     :    signaleert pogingen van programma's om resident in het
  4627.                     geheugen te blijven; het programma draagt zorg dat geen
  4628.                     programma zonder permissie resident in het geheugen kan
  4629.                     komen.
  4630.  
  4631.      TbFile    :    signaleert pogingen van programma's om andere programma's
  4632.                     te besmetten.
  4633.  
  4634.      TbDisk    :    signaleert pogingen van programma's om direct naar de
  4635.                     schijf te schrijven (zonder gebruik te maken van DOS),
  4636.                     formatteerpogingen, enz.
  4637.  
  4638.      Hierna vindt u een toelichting op functie en gebruik van deze program-
  4639.      ma's. 
  4640.  
  4641.  
  4642.      Hoe gebruikt u TbMon programma's?
  4643.  
  4644.      Het laden van TBMon
  4645.      De TbMon programma's worden allen op dezelfde wijze gestart. Programma-
  4646.      specifieke informatie, zoals de commandoregel opties, vindt u bij de
  4647.      hierna bij de respectievelijke programmabeschrijvingen. 
  4648.  
  4649.      Er zijn drie mogelijkheden om TbMon programma's te starten:
  4650.  
  4651.      1. Vanaf de DOS prompt of vanuit de Autoexec.Bat (of TbStart.Bat):
  4652.  
  4653.           <path>Tbxxx
  4654.  
  4655.  
  4656.      2. Vanuit de Config.Sys als een TSR (Dos 4+):
  4657.  
  4658.           Install=<path>Tbxxx.Exe
  4659.  
  4660.      Het "Install=" Config.Sys commando is NIET beschikbaar in DOS 3.xx.
  4661.  
  4662.  
  4663.      3. Als een device driver vanuit de Config.Sys:
  4664.  
  4665.           Device=<path>Tbxxx.Exe
  4666.  
  4667.      Het uitvoeren van een TbMon programma als een device driver werkt niet
  4668.      in alle OEM versies van DOS. Lukt dit niet, gebruik dan het "Install="
  4669.      commando, of laadt het programma vanuit de Autoexec.Bat (of
  4670.      TbStart.Bat).
  4671.  
  4672.                                      III - 40
  4673. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4674.  
  4675.  
  4676.      Een TbMon programma zou altijd moeten werken indien gestart vanuit de
  4677.      Autoexec.Bat. 
  4678.  
  4679.      In tegenstelling tot andere anti-virus produkten kunnen de ThunderBYTE
  4680.      anti-virus utilities geladen worden voordat het netwerk is gestart,
  4681.      zonder verlies van de bescherming na het starten van het netwerk.
  4682.  
  4683.  
  4684.      Highload
  4685.  
  4686.      In aanvulling op de drie startmogelijkheden,kunnen gebruikers van DOS 5
  4687.      TbMon programma's 'highloaden' in een upper memory block (UMB), indien
  4688.      beschikbaar: 
  4689.  
  4690.           LoadHigh <path>Tbxxx.Exe
  4691.  
  4692.  
  4693.      Ook vanuit de Config.Sys kan een TbMon programma gehighload worden:
  4694.  
  4695.           DeviceHigh=<path>Tbxxx.Exe
  4696.  
  4697.  
  4698.      TbMon en MS-Windows
  4699.  
  4700.      Windows gebruikers moeten een TbMon programma laden VOOR het starten van
  4701.      Windows. Als u dat doet is in Windows slechts een kopie van het TbMon
  4702.      programma in het geheugen. Elk DOS-window heeft desalniettemin een
  4703.      volledig functionele TbMon programma in zich. Het TbMon programma
  4704.      signaleert het opstarten van Windows en zal zichzelf indien noodzakelijk
  4705.      omschakelen naar multitasking mode. U kunt het TbMon programma zelfs in
  4706.      het ene window uitschakelen zonder de functionaliteit in een ander
  4707.      window te beinvloeden.
  4708.  
  4709.  
  4710.      Commandoregel opties
  4711.  
  4712.      De TbMon programma's kunnen vanaf de DOS commandoregel geconfigureerd
  4713.      worden. De onderstaande opties kunnen in combinatie met alle drie
  4714.      utilities worden gebruikt. Specifieke opties worden bij het betreffende
  4715.      programma toegelicht.
  4716.  
  4717.  
  4718.      help (?)
  4719.      Met deze optie roept u het desbetreffende optie-overzicht op. Is het
  4720.      TbMon programma eenmaal geladen, dan zullen niet langer alle opties
  4721.      getoond worden. 
  4722.  
  4723.      off (d)
  4724.      Na opgave van deze optie zal het TbMon programma uitgeschakeld worden,
  4725.      maar wel in het geheugen blijven.
  4726.  
  4727.  
  4728.  
  4729.                                      III - 41
  4730. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4731.  
  4732.  
  4733.      on (e)
  4734.      Met 'on' activeert u het TbMon programma opnieuw, nadat u eerder de
  4735.      optie 'off' heeft gebruikt. 
  4736.  
  4737.      remove (r)
  4738.      Deze optie schakelt het TbMon programma uit en zal proberen het residen-
  4739.      te deel van de code uit het geheugen te verwijderen om zodoende de
  4740.      geheugenruimte aan het systeem terug te geven. Helaas werkt deze optie
  4741.      alleen als het TbMon programma als laatste geladen is. Het TbMon pro-
  4742.      gramma controleert of de residente code zonder problemen kan worden
  4743.      verwijderd. Is dat niet het geval, dan zal het programma zichzelf alleen
  4744.      maar uitschakelen.
  4745.  
  4746. ~    secure (s)
  4747.      Indien u deze optie opgeeft is de gebruiker nooit gerechtigd om toestem-
  4748.      ming te verlenen voor verdachte operaties. Het is dan ook niet meer
  4749.      mogelijk om de opties 'off' en 'remove' te gebruiken.
  4750.  
  4751.  
  4752. 5.1. TbMem
  4753.  
  4754.      De functie van TbMem
  4755.  
  4756.      De meeste virussen blijven resident in het geheugen wanneer zij geacti-
  4757.      veerd zijn. Tijdens die residente aanwezigheid hebben zij alle kans om
  4758.      andere bestanden op de achtergrond te besmetten, de werking van het
  4759.      systeem te verstoren, zichzelf te verbergen voor virusscanners of
  4760.      'checksummers', en/of andere schadelijke activiteiten te verrichten.
  4761.  
  4762.      Omdat echter zo veel virussen geheugenresident trachten te worden, wordt
  4763.      het gemakkelijk deze op te sporen wanneer het de actie van resident
  4764.      raken wordt gesignaleerd.
  4765.  
  4766.      TbMem controleert het systeem en draagt zorg dat geen enkel programma
  4767.      zonder toestemming geheugenresident wordt. Op deze wijze kan geen enkel
  4768.      virus onopgemerkt resident in het geheugen komen. 
  4769.  
  4770.      TbMem beschermt tevens CMOS.
  4771.  
  4772.  
  4773.      Wat is een geheugen-resident programma?
  4774.  
  4775.      De meeste programma's worden door een commando vanaf de DOS-commandore-
  4776.      gel gestart, voeren hun taak uit, en sluiten af, waarna u terugkeert op
  4777.      de plaats waar u begonnen bent. Sommige programma's echter gaan door met
  4778.      hun activiteiten nadat zij zijn afgesloten. Deze programma's laden
  4779.      zichzelf in het geheugen van uw PC, blijven resident in het geheugen en
  4780.      voeren een bepaalde taak op de achtergrond uit. Programma's in deze
  4781.      categorie zijn disk caches, print spoolers, netwerk software, etc. Deze
  4782.      programma's worden meestal 'TSR-software' genoemd, ofwel 'Terminate-and-
  4783.      Stay-Resident'.
  4784.  
  4785.  
  4786.                                      III - 42
  4787. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4788.  
  4789.  
  4790.      Ook de meeste virussen blijven geheugenresident hetgeen een goede
  4791.      controle van het resident worden noodzakelijk maakt. 
  4792.  
  4793.      TbMem biedt u de mogelijkheid om het programma te beeindigen voordat het
  4794.      resident kan worden. TbMem bewaakt de DOS TSR functie calls, terwijl
  4795.      tevens belangrijke interrupts en geheugen structuren worden gecontro-
  4796.      leerd. TbMem gebruikt de Anti-Vir.Dat records om vast te stellen of een
  4797.      bepaald programma geautoriseerd is om geheugenresident te zijn. 
  4798.  
  4799.      Veel gebruikelijke TSRs zullen door TbSetup herkend worden. Als TbSetup
  4800.      een TSR echter niet herkend, zal TbMem u toestemming vragen om de
  4801.      betreffende TSR te laden. Permissiegegevens worden in de Anti-Vir.Dat
  4802.      bestanden bijgehouden, om te voorkomen dat TbMem u met onnodige vragen
  4803.      blijft lastigvallen. 
  4804.  
  4805.      TbMem controleert ook de inhoud van het CMOS configuratie geheugen na
  4806.      het beeindigen van elk programma, om ervoor te zorgen dat programma's
  4807.      deze ongemerkt kunnen wijzigen. TbMem biedt de mogelijkheid om de CMOS
  4808.      configuratie terug te zetten wanneer deze is gewijzigd.
  4809.  
  4810.      Zodra u aan TbMem de TSR's van een PC heeft 'geleerd', kunt u TbSetup
  4811.      gebruiken om de permissievlaggen op andere PC's in te stellen. 
  4812.  
  4813.      TbMem installeert een 'hot key' die u kunt gebruiken om vrijwel elk
  4814.      programma af te breken.
  4815.  
  4816.      TbMem is volledig netwerk compatibel. U hoeft het programma niet opnieuw
  4817.      te starten nadat u op het netwerk bent ingelogd. 
  4818.  
  4819.  
  4820.      Hoe gebruikt u TbMem?
  4821.  
  4822.      Omdat TbMem geheugenresident is, kan het programma vanaf de DOS comman-
  4823.      doregel of vanuit een batch bestand gestart en geconfigureerd worden.
  4824.      Het is belangrijk om TbMem zo vroeg mogelijk na het opstarten te laden,
  4825.      liefst vanuit de Autoexec.Bat of de Config.Sys.
  4826.  
  4827. =>   NB: TbMem vereist dat TbDriver vooraf geladen is! 
  4828.  
  4829.  
  4830.      Commandoregel opties
  4831.  
  4832.      TbMem kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  4833.      vier opties zijn altijd beschikbaar, de andere alleen voorzover TbMem
  4834.      nog niet resident in het geheugen is. 
  4835.  
  4836.  
  4837.  
  4838.  
  4839.  
  4840.  
  4841.  
  4842.  
  4843.                                      III - 43
  4844. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4845.  
  4846.  
  4847.      optie   parameter      short verklaring
  4848.      ------- -------------- ----- ---------------------------------
  4849.      help                    ?    toon dit helpscherm
  4850.      off                     d    checking uitschakelen
  4851.      on                      e    checking inschakelen
  4852.      remove                  r    verwijder TbMem uit geheugen
  4853.  
  4854.      secure                  s    niet geautoriseerde TSRs niet uitvoeren 
  4855.      hotkey =<keycode>       k    keyboard scancode voor de hotkey
  4856.      nocancel                n    cancel hot key niet installeren
  4857.      nocmos                  m    CMOS niet beveiligen 
  4858.  
  4859.  
  4860.      help (?)
  4861.      Met deze optie roept u het TbMem optie-overzicht op. Is TbMem eenmaal
  4862.      geladen, dan zullen niet langer alle opties getoond worden. 
  4863.  
  4864.      off (d)
  4865.      Na opgave van deze optie zal TbMem uitgeschakeld worden, maar wel in het
  4866.      geheugen blijven.
  4867.  
  4868.      on (e)
  4869.      Met 'on' activeert u TbMem opnieuw, nadat u eerder de optie 'off' heeft
  4870.      gebruikt. 
  4871.  
  4872.      remove (r)
  4873.      Deze optie schakelt TbMem uit en zal proberen het residente deel van de
  4874.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  4875.      het systeem terug te geven. Helaas werkt deze optie alleen als TbMem als
  4876.      laatste geladen is. TbMem controleert of de residente code zonder
  4877.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  4878.      programma zichzelf alleen maar uitschakelen.
  4879.  
  4880. ~    secure (s)
  4881.      In de normale stand vraagt TbMem de gebruiker of het programma moet
  4882.      stoppen of moet doorgaan, als een programma resident probeert te worden.
  4883.      Sommige organisaties willen deze keuze niet door de gebruiker laten
  4884.      maken. Door middel van de optie 'secure' wordt het onmogelijk gemaakt om
  4885.      nieuwe of onbekende residente programma's uit te voeren. Tevens is het
  4886.      dan niet meer mogelijk om de opties 'off' en 'remove' te gebruiken.
  4887.  
  4888.      hotkey (k)
  4889.      TbMem biedt u een betrouwbare mogelijkheid om aan elk programma te
  4890.      ontsnappen door een bepaalde toetscombinatie in te drukken. Deze facili-
  4891.      teit kan bijvoorbeeld gebruikt worden bij programma's die 'hangen', maar
  4892.      natuurlijk ook om aan verdachte software te ontsnappen (alhoewel het
  4893.      uitzetten van het systeem en het opstarten vanaf een write-protected
  4894.      systeem diskette aan te raden is). 
  4895.  
  4896.      De 'cancel hot key' van TbMem is default Ctrl-Alt-Insert. Desgewenst
  4897.      kunt u een andere toetscombinatie opgeven m.b.v. 'hotkey =<keycode>'. De
  4898.      'keycode' dient in een hexadecimale waarde van 4 posities te worden
  4899.  
  4900.                                      III - 44
  4901. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4902.  
  4903.  
  4904.      gespecificeerd. De linker bytes geven het shift-key masker aan, de
  4905.      rechter bytes de scancode van het toetsenbord. Raadpleeg de handleiding
  4906.      bij uw PC voor een scancode lijst. De default scancode is 0C52h (Ctrl-
  4907.      Alt-Insert). De scancode voor Ctrl-Alt-Escape is 0C01h.
  4908.  
  4909.      nocancel (n)
  4910.      In default stand zal TbMem een 'cancel hot key' (Ctrl-Alt-Insert)
  4911.      installeren. Wilt u dit niet, dan geeft u deze optie op, hetgeen boven-
  4912.      dien enkele bytes geheugen bespaart. 
  4913.  
  4914.      nocmos (m)
  4915.      TbMem beschermt default het CMOS geheugen, indien dit beschikbaar is.
  4916.      Door middel van deze optie kunt u de CMOS bescherming uitschakelen.
  4917.  
  4918.      Voorbeelden:
  4919.           C:\utils\TbMem
  4920.      of:
  4921.           Device=C:\utils\TbMem.Exe
  4922.  
  4923.  
  4924.  
  4925.      TbMem in werking
  4926.  
  4927.      Als TbMem signaleert dat een programma resident in het geheugen probeert
  4928.      te komen, verschijnt er een pop-up window met een melding. U kunt kiezen
  4929.      om ofwel verder te gaan, of om het laden van het programma af te breken.
  4930.      Indien u de vraag 'Remove program from memory?' met N(o) beantwoordt,
  4931.      zal het programma ongehinderd worden geladen. TbMem markeert het Anti-
  4932.      Vir.Dat record. De volgende keer dat u het zelfde residente programma
  4933.      laadt, zal TbMem u niet meer storen.
  4934.  
  4935.      Er zijn vrij veel 'gewone' programma's die volgens hun werking resident
  4936.      in het geheugen komen, zoals disk caches, print spoolers, etc. Hoe
  4937.      onderscheidt TbMem deze programma's van virussen?
  4938.  
  4939.      TbMem gebruikt het Anti-Vir.Dat record, gegenereerd door TbSetup om te
  4940.      bekijken wat normale TSRs zijn en wat niet. De meeste gewone residente
  4941.      software zal als zodanig al door TbSetup gemarkeerd zijn, zodat u zich
  4942.      over deze bestanden geen zorgen behoeft te maken. 
  4943.  
  4944.      Als TbMem verschijnt met een melding dat een programma resident in het
  4945.      geheugen probeert te komen, dient u goed de functie van het betreffende
  4946.      programma te overwegen. Is het programma bedoeld om op de achtergrond te
  4947.      opereren? Het antwoord is hoogstwaarschijnlijk 'ja' als het bewuste
  4948.      programma een disk cache, een print spooler, een pop-up utility of
  4949.      systeem extensie software is.
  4950.  
  4951.      Als de melding echter verschijnt nadat u bijvoorbeeld een tekstverwer-
  4952.      kingstaak beeindigd heeft, of zojuist een database- of spreadsheet
  4953.      applicatie heeft afgesloten, dan is er vrijwel zeker iets mis! U moet
  4954.      het programma direct beeindigen en een virusscanner gebruiken om het
  4955.      systeem te controleren. Hetzelfde geldt voor software die normaal
  4956.  
  4957.                                      III - 45
  4958. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  4959.  
  4960.  
  4961.      gesproken niet resident te werk gaat en plotseling van gedrag verandert
  4962.      door te proberen wel resident in het geheugen te komen.
  4963.  
  4964.  
  4965. 5.2. TbFile
  4966.  
  4967.      De functie van TbFile
  4968.  
  4969.      De twee meest gevaarlijke categorieen van computervirussen zijn de
  4970.      bootsector- en de bestandsvariant. Bestandsvirussen hebben allen een
  4971.      gemeenschappelijk doel: zij besmetten programma's. Het besmetten van een
  4972.      programma betreft zeer ongewoonlijke bestandsmanipulaties, die sterk
  4973.      afwijken van normale file handling procedures. Om virus-activiteiten te
  4974.      kunnen signaleren is het derhalve essentieel om te letten op wijzigingen
  4975.      in programmabestanden met name die met specifieke acties. 
  4976.  
  4977.      TbFile controleert het systeem en signaleert pogingen van programma's om
  4978.      andere programma's te besmetten. In tegenstelling tot andere file guards
  4979.      controleert TbFile het systeem alleen op virus-specifieke bestandswijzi-
  4980.      gingen. TbFile zal geen alarmmelding geven als een programma zich door
  4981.      een configuratiewijziging verandert. Ook zal het programma u niet
  4982.      lastigvallen wanneer u een programma update of zelf een nieuw programma
  4983.      aanmaakt. Configuraties op een gewoon systeem zouden nooit valse alarm-
  4984.      meldingen tot gevolg mogen hebben!
  4985.  
  4986.      TbFile signaleert niet alleen besmettingspogingen, het biedt u daarnaast
  4987.      de mogelijkheid om het besmettingsproces af te breken en om het program-
  4988.      ma voort te zetten. 
  4989.  
  4990.      TbFile bemerkt ook andere verdachte activiteiten, inclusief het instel-
  4991.      len van illegale waarden van time stamps.
  4992.  
  4993.      TbFile maakt gebruik van een hoogwaardige infectie detector waardoor u
  4994.      niet wordt geconfronteerd met valse meldingen wanneer u standaard
  4995.      bestandsoperaties uitvoert. 
  4996.  
  4997.      Bestanden kunnen tegen ongewenste wijzigingen worden beschermd door
  4998.      middel van het read-only attribuut. Zonder TbFile kan deze standaard DOS
  4999.      beveiliging gemakkelijk omzeild worden. TbFile verzekert u ervan dat
  5000.      elke poging om het read-only attribuut te saboteren zal worden opge-
  5001.      merkt.
  5002.  
  5003.      TbFile is volledig netwerk compatibel. U hoeft de checker niet opnieuw
  5004.      te laden nadat u op het netwerk bent ingelogd. Andere residente anti-
  5005.      virus utilities dwingen u te kiezen tussen bescherming voor het laden
  5006.      van het netwerk of erna, maar nooit beiden. 
  5007.  
  5008.  
  5009.  
  5010.  
  5011.  
  5012.  
  5013.  
  5014.                                      III - 46
  5015. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5016.  
  5017.  
  5018.      Commandoregel opties
  5019.  
  5020.      TbFile kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  5021.      vier opties zijn altijd beschikbaar, de andere alleen voorzover TbFile
  5022.      nog niet resident in het geheugen is. 
  5023.  
  5024.  
  5025.      optie      short verklaring
  5026.      ---------- ----- -----------------------
  5027.  
  5028.      help       ?     toon dit helpscherm
  5029.      off        d     schakel checking in
  5030.      on         e     schakel checking uit
  5031.      remove     r     verwijder TbFile uit geheugen
  5032.  
  5033.      secure     s     elke permissie afgewezen
  5034.      allattrib  a     readonly controle op alle bestanden
  5035. ~    compat     c     laat CPM aanroepen toe
  5036.  
  5037.  
  5038.      help (?)
  5039.      Met deze optie roept u het TbFile optie-overzicht op. Is TbFile eenmaal
  5040.      geladen, dan zullen niet langer alle opties getoond worden. 
  5041.  
  5042.      off (d)
  5043.      Na opgave van deze optie zal TbFile uitgeschakeld worden, maar wel in
  5044.      het geheugen blijven.
  5045.  
  5046.      on (e)
  5047.      Met 'on' activeert u TbFile opnieuw, nadat u eerder de optie 'off' heeft
  5048.      gebruikt. 
  5049.  
  5050.      remove (r)
  5051.      Deze optie schakelt TbFile uit en zal proberen het residente deel van de
  5052.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  5053.      het systeem terug te geven. Helaas werkt deze optie alleen als TbFile
  5054.      als laatste geladen is. TbFile controleert of de residente code zonder
  5055.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  5056.      programma zichzelf alleen maar uitschakelen.
  5057.  
  5058. ~    secure (s)
  5059.      In de normale stand vraagt TbFile de gebruiker of het programma moet
  5060.      stoppen of moet doorgaan, wanneer een verdachte operatie wordt uitge-
  5061.      voerd. Sommige organisaties willen deze keuze niet door de gebruiker
  5062.      laten maken. Door middel van de optie 'secure' wordt het onmogelijk
  5063.      gemaakt om verdachte operaties uit te voeren. Tevens is het dan niet
  5064.      meer mogelijk om de opties 'off' en 'remove' te gebruiken.
  5065.  
  5066.      allattrib (a)
  5067.      TbFile beschermt als default alleen het read-only attribuut van executa-
  5068.      bles (programmabestanden met het achtervoegsel .COM en .EXE). Als u de
  5069.      read-only controle op alle bestanden wilt laten uitvoeren, dient u de
  5070.  
  5071.                                      III - 47
  5072. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5073.  
  5074.  
  5075.      'allattrib' optie toe te voegen. In dit geval zult u altijd een alarm-
  5076.      melding krijgen wanneer een poging wordt gedaan om het read-only attri-
  5077.      buut van elk willekeurig bestand te verwijderen. 
  5078.  
  5079. ~~    compat (c)
  5080.      DOS bevat enkele CPM -  een oud besturingssysteem - functies. Geen enkel
  5081.      DOS programma gebruikt deze functies nog, maar sommige virussen gebrui-
  5082.      ken deze functies als een achterdeurtje om anti-virus software te
  5083.      omzeilen. TbFile sluit deze achterdeurtjes tenzij u optie 'compat'
  5084.      gebruikt.
  5085.  
  5086.  
  5087.      Voorbeelden
  5088.           C:\utils\TbFile allattrib
  5089.      of:
  5090.           Device=C:\utils\TbFile.Exe allattrib
  5091.  
  5092.  
  5093. 5.3. TbDisk
  5094.  
  5095.      De functie van TbDisk
  5096.  
  5097.      Veel virussen proberen de gegevens op de schijf te beschadigen. Zij doen
  5098.      dit door de schijf te formatteren, de FAT te overschrijven, disk secto-
  5099.      ren te verwisselen, etc. Bijna alles is mogelijk.
  5100.  
  5101.      Een andere categorie van schadelijke software, bekend als 'bootsector
  5102.      virus droppers', installeert een bootsector virus op de schijf. Het
  5103.      programma is zelf geen virus, dus detectie met virusscanners en andere
  5104.      anti-virus software is erg moeilijk. De enige manier om zulke program-
  5105.      ma's op te sporen is door het gedrag te controleren.
  5106.  
  5107.      Het belangrijkste probleem ligt in de manier waarop deze programma's de
  5108.      normale DOS procedures weten te omzeilen - zij gaan rechtstreeks naar de
  5109.      BIOS, het Basic Input/Output System. Daarom heeft u TbDisk nodig - om
  5110.      het systeem te controleren en te verzekeren dat geen enkel programma
  5111.      zonder toestemming naar de harde schijf kan schrijven! TbDisk signaleert
  5112.      elk programma dat naar de schijf probeert te schrijven, waardoor geen
  5113.      virus onopgemerkt zal blijven. TbDisk voorkomt dat virussen gegevens op
  5114.      uw schijf beschadigen en stopt bootsector virus droppers.
  5115.  
  5116.      TbDisk is ook handig om een harde schijf schrijfbescherming te geven,
  5117.      met name tijdens het testen van nieuwe software. 
  5118.  
  5119.      TbDisk informeert u niet alleen wanneer een programma direct naar de
  5120.      schijf probeert te schrijven, het programma biedt u ook de mogelijkheid
  5121.      om het programma af te breken teneinde enige schade te voorkomen. 
  5122.  
  5123.      Signalering van 'stealth' technieken. TbDisk is in staat om pogingen op
  5124.      te sporen die de BIOS handler raken en kan zelfs het gebruik van ongedo-
  5125.      cumenteerde calls waarnemen die schade aan de schijf zouden kunnen
  5126.      veroorzaken.
  5127.  
  5128.                                      III - 48
  5129. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5130.  
  5131.  
  5132.      TbDisk kan onderscheid maken tussen directe schrijfpogingen doen via Int
  5133.      13h van DOS of van een applicatie. Directe schrijfpogingen zijn legaal
  5134.      voor DOS, maar ongebruikelijk voor applicatie-software.
  5135.  
  5136.      TbDisk vraagt niet veel onderhoud. Het programma gebruikt de Anti-
  5137.      Vir.Dat records om te bepalen of een programma gerechtigd is om recht-
  5138.      streeks naar de schijf te schrijven, inclusief populaire disk utilities,
  5139.      die door TbSetup herkend zullen zijn. Bij afwezigheid van een Anti-
  5140.      vir.Dat record zal TbDisk vooraf om uw toestemming vragen, en indien
  5141.      verkregen, het record dienovereenkomstig bijwerken, teneinde herhaalde
  5142.      waarschuwingen met betrekking tot hetzelfde programma te voorkomen. 
  5143.  
  5144.      TbDisk is volledig netwerk compatibel. U hoeft het programma niet te
  5145.      herladen nadat u op het netwerk bent ingelogd. Andere residente anti-
  5146.      virus utilities dwingen u te kiezen tussen ofwel bescherming voor, ofwel
  5147.      bescherming na het starten van het netwerk.
  5148.  
  5149.  
  5150.      Hoe gebruikt u TbDisk?
  5151.  
  5152.      TbDisk laden
  5153.  
  5154.      Foutieve installatie kan een grote hoeveelheid valse alarmmeldingen
  5155.      opleveren. Indien u TbDisk in uw Config.Sys of AutoExec.Bat wilt instal-
  5156.      leren, wordt ten zeerste aangeraden om de 'install' optie van TbDisk als
  5157.      eerste te gebruiken. Als het systeem zich normaal blijft gedragen en
  5158.      TbDisk geen valse alarmmeldingen geeft wanneer u bestanden op de harde
  5159.      schijf kopieert, is TbDisk correct geinstalleerd en kunt u de optie
  5160.      'install' verwijderen.
  5161.  
  5162.  
  5163.      TbDisk 'install' 
  5164.  
  5165.      Indien de optie 'install' niet is opgegeven (wanneer TbDisk is geinstal-
  5166.      leerd in uw Config.Sys of AutoExec.Bat), kan dat verlies van gegevens
  5167.      veroorzaken! De optie 'install' zorgt ervoor dat TbDisk elke schijfbena-
  5168.      dering toestaat, hoewel het programma wel een melding geeft, zoals het
  5169.      ook in de normale stand doet. Als er geen valse alarmmeldingen komen
  5170.      wanneer u bestanden op uw harde schijf kopieert, is TbDisk correct
  5171.      geinstalleerd en kan de optie 'install' verwijderd worden. Als TbDisk
  5172.      foutieve alarmmeldingen veroorzaakt dient u TbDisk verderop in de
  5173.      Config.Sys te laden, of op te nemen in de AutoExec.Bat.
  5174. =>   In tegenstelling tot de andere TBAV utilities wordt aangeraden om TbDisk
  5175.      NA andere residente software te laden! 
  5176.  
  5177.      Wordt deze regel niet nagevolgd, dan kan dat een grote hoeveelheid valse
  5178.      meldingen tot gevolg hebben. 
  5179.  
  5180.  
  5181.      TbDisk en MS-Windows
  5182.  
  5183.  
  5184.  
  5185.                                      III - 49
  5186. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5187.  
  5188.  
  5189.      TbDisk signaleert het starten van Windows en zal zichzelf indien noodza-
  5190.      kelijk omschakelen naar multi tasking mode. U kunt TbDisk zelfs in het
  5191.      ene window uitschakelen zonder de functionaliteit in een ander window te
  5192.      beinvloeden. Als u Windows fast 32-bit disk access laat gebruiken heeft
  5193.      u, in geval van een foutmelding, wellicht de TbDisk optie 'win32' nodig.
  5194.  
  5195.  
  5196.      Commandoregel opties
  5197.  
  5198.      TbDisk kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  5199.      vier opties zijn altijd beschikbaar, de andere alleen voorzover TbDisk
  5200.      nog niet resident in het geheugen is. 
  5201.  
  5202.  
  5203.      optie      kort  verklaring
  5204.      ------     ----  ------------------
  5205.  
  5206.      help       ?     toon dit helpscherm
  5207.      remove     r     verwijder TbDisk uit het geheugen
  5208.      off        d     schakel checking uit
  5209.      on         e     activeer checking
  5210.  
  5211.      wrprot     p     maak de harde schijf schrijf beveiligd
  5212.      nowrprot   n     schrijfacties op de harde schijf toestaan
  5213.      win32      w     Windows 32bit schijftoegang toestaan
  5214.      secure     s     toegang zonder interactie weigeren
  5215.      nostealth  a     geen stealth schijftoegang signaleren
  5216.      notunnel   t     tunneling niet signaleren
  5217.      install    i     installatie test mode
  5218.  
  5219.  
  5220.      help (?)
  5221.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbDisk
  5222.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  5223.  
  5224.      remove (r)
  5225.      Deze optie schakelt TbDisk uit en zal proberen het residente deel van de
  5226.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  5227.      het systeem terug te geven. Helaas werkt deze optie alleen als TbDisk
  5228.      als laatste geladen is. TbDisk controleert of de residente code zonder
  5229.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  5230.      programma zichzelf alleen maar uitschakelen.
  5231.  
  5232.      off (d)
  5233.      Na opgave van deze optie zal TbDisk uitgeschakeld worden, maar wel in
  5234.      het geheugen blijven.
  5235.  
  5236.      on (e)
  5237.      Met 'on' activeert u TbDisk opnieuw, nadat u eerder de optie 'off' heeft
  5238.      gebruikt. 
  5239.  
  5240.  
  5241.  
  5242.                                      III - 50
  5243. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5244.  
  5245.  
  5246.      wrprot (p)
  5247.      Harde schijven zijn moeilijker tegen schrijfacties te beschermen dan
  5248.      diskettes, hetgeen de risico's -bijvoorbeeld bij het testen van nieuwe
  5249.      software- aanzienlijk verhoogt. Soms wilt u weten wat deze nieuwe
  5250.      software met uw harde schijf doet, en welke invloed dit mogelijkerwijs
  5251.      op uw gegevens heeft. Met de optie 'wrprot' wordt dit testen een veili-
  5252.      ger aangelegenheid. Elke keer dat een programma naar een beveiligde
  5253.      harde schijf wil schrijven krijgt u een melding als:
  5254.  
  5255.           "Write protect error writing drive C: A)bort,
  5256.           R)etry, I)gnore?"
  5257.  
  5258.      U kunt dan de gewenste maatregelen treffen. 
  5259.  
  5260. =>   NB: Een software schrijfbeschermingsoplossing is niet honderd procent
  5261.      betrouwbaar. Het kan worden omzeild, hoewel er gelukkig weinig virussen
  5262.      bestaan die daartoe in staat zijn. Ondanks de beperking kan het echter
  5263.      toch een waardevol schild zijn tegen de meeste kwaadaardige software.
  5264.  
  5265.      nowrprot (n)
  5266.      Deze optie kunt u gebruiken op de optie 'wrprot' ongedaan te maken.
  5267.  
  5268.      win32 (w)
  5269.      Windows 386 Enhanced Mode gebruikt enige ongedocumenteerde DOS calls om
  5270.      de originele BIOS disk handler te localiseren wanneer 32-bit disk access
  5271.      geactiveerd is. Daar TbDisk deze calls bewaakt, is 32-bit disk access
  5272.      niet langer mogelijk, tenzij u de optie 'win32' specificeert bij het
  5273.      laden van TbDisk.
  5274.  
  5275. =>   NB: Gebruik deze optie (die de anti-virus beveiliging enigermate redu-
  5276.      ceert) alleen in Windows 386 Enhanced Mode met fast 32-bit disk access
  5277.      geactiveerd!
  5278.  
  5279. ~    secure (s)
  5280.      In de normale stand vraagt TbScanX de gebruiker of het programma moet
  5281.      stoppen of moet doorgaan, als een programma directe toegang tot de
  5282.      schijf zoekt. Sommige organisaties willen deze keuze niet door de
  5283.      gebruiker laten maken. Door middel van de optie 'secure' wordt directe
  5284.      schijfbenadering door nieuwe of onbekende software uitgeschakeld. Tevens
  5285.      is het dan niet meer mogelijk de opties 'off' en 'remove' te gebruiken.
  5286.  
  5287.      nostealth (a)
  5288.      TbDisk tracht directe calls in de BIOS op te sporen. Als zich zo'n
  5289.      poging voordoet toont TbDisk de melding dat de schijf op ongewoonlijke
  5290.      wijze wordt benaderd. Als deze functie valse alarmmeldingen veroorzaakt,
  5291.      kunt u deze middels de optie 'nostealth' uitschakelen.
  5292.  
  5293.      notunnel (t)
  5294.      Een van de taken van TbDisk is het signaleren van 'tunneling' pogingen
  5295.      door virussen. 'Tunneling' is een techniek die door virussen wordt
  5296.      gebruikt om de locatie van de BIOS systeemcode in het geheugen te
  5297.      bepalen, om dat adres vervolgens te gebruiken om direct met DOS te
  5298.  
  5299.                                      III - 51
  5300. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5301.  
  5302.  
  5303.      communiceren. Hierdoor worden alle TSR programma's uitgeschakeld,
  5304.      inclusief residente anti-virus software. TbDisk signaleert zogenaamde
  5305.      tunneling pogingen door virussen en waarschuwt wanneer een poging
  5306.      plaatsvindt. Enkele andere anti-virus produkten maken eveneens van deze
  5307.      techniek gebruik teneinde residente virussen te kunnen omzeilen en
  5308.      veroorzaken daardoor valse alarmeringen. Maakt u momenteel ook gebruik
  5309.      van andere anti-virus software, dan kunt u de optie 'notunnel' gebruiken
  5310.      om de signalering van tunneling uit te schakelen.
  5311.  
  5312.      install (i)
  5313.      Foutieve installatie kan een groot aantal valse alarmmeldingen tot
  5314.      gevolg hebben. U kunt de optie 'install' gebruiken bij het installeren
  5315.      van TbDisk, hetgeen de kans vermindert dat legale schrijfoperaties
  5316.      vanwege valse meldingen worden geannuleerd.
  5317.  
  5318.  
  5319.      TbDisk in werking
  5320.  
  5321.      Wat is direct disk access?
  5322.  
  5323.      Programma's openen regelmatig bestanden, meestal via het disk bestu-
  5324.      ringssysteem (DOS). Elke keer dat een programma bijvoorbeeld een bestand
  5325.      wil bijwerken, vraagt het DOS om de gegevens naar schijf te schrijven. 
  5326.  
  5327.      Er zijn echter ook mogelijkheden om direct naar schijf te schrijven
  5328.      zonder van DOS gebruik te maken. Dit heet 'direct disk access'.
  5329.  
  5330.      Normale programma's schrijven nooit rechtstreeks naar de schijf. Er zijn
  5331.      echter programma's die rechtstreeks naar de schijf moeten schrijven. Tot
  5332.      deze categorie behoren:
  5333.  
  5334.      -    Format utilities. Een schijf kan alleen door direct disk access
  5335.           geformatteerd worden.
  5336.      -    Schijf diagnose utilities (zoals de NORTON disk doctor, DOS chkdsk,
  5337.           etc.)
  5338.      -    Schijf optimizers.
  5339.  
  5340.      Daar de meeste virussen ook direct disk access kunnen uitvoeren, is het
  5341.      van groot belang om dit proces onder controle te houden. TbDisk kan met
  5342.      behulp van de Anti-Vir.Dat records onderscheid maken tussen legale
  5343.      programma's en virussen. 
  5344.  
  5345.  
  5346.      Signalering van direct disk access
  5347.  
  5348.      Wanneer TbDisk verschijnt met een melding dat een programma rechtstreeks
  5349.      naar de schijf probeert te schrijven, dient u goed te letten op de
  5350.      functie van dat programma. Terwijl het voor een format utility of een
  5351.      disk optimizer zeer legitiem is dat er schijf sectoren worden geformat-
  5352.      teerd of bijgewerkt, kan datzelfde niet gezegd worden van een tekstver-
  5353.      werkings- of een database-programma. 
  5354.  
  5355.  
  5356.                                      III - 52
  5357. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5358.  
  5359.  
  5360.      Wanneer TbDisk u waarschuwt dat een spreadsheet of een ander 'normaal'
  5361.      programma op het punt staat een sector te formatteren, kunt u er zeker
  5362.      van zijn dat er iets mis is. Sluit het programma direct af en controleer
  5363.      uw systeem met een virusscanner voordat er kwalijke dingen gebeuren.
  5364.  
  5365.  
  5366.  
  5367.  
  5368.  
  5369.  
  5370.  
  5371.  
  5372.  
  5373.  
  5374.  
  5375.  
  5376.  
  5377.  
  5378.  
  5379.  
  5380.  
  5381.  
  5382.  
  5383.  
  5384.  
  5385.  
  5386.  
  5387.  
  5388.  
  5389.  
  5390.  
  5391.  
  5392.  
  5393.  
  5394.  
  5395.  
  5396.  
  5397.  
  5398.  
  5399.  
  5400.  
  5401.  
  5402.  
  5403.  
  5404.  
  5405.  
  5406.  
  5407.  
  5408.  
  5409.  
  5410.  
  5411.  
  5412.  
  5413.                                      III - 53
  5414. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5415.  
  5416.  
  5417. 6. TBAV Tools
  5418.  
  5419.  
  5420. 6.1. TbUtil
  5421.  
  5422.      De functie van TbUtil
  5423.  
  5424.      TbUtil verschaft u een adequate afweer tegen partitietabel- en bootsec-
  5425.      tor virussen:
  5426.  
  5427.      -    TbUtil kopieert de partitietabel, de bootsector en de CMOS data
  5428.           area naar een bestand. U kunt TbUtil regelmatig gebruiken om de
  5429.           huidige en de kopieen van de partitietabel, de bootsector en de
  5430.           CMOS data area met elkaar te vergelijken. Na een (virus) ongeval
  5431.           kunt u de kopie met behulp van TbUtil terugzetten.
  5432.  
  5433.      -    TbUtil verwijdert een partitietabel virus zonder low-level format
  5434.           van de harde schijf, zelfs indien er geen back-up van de partitie-
  5435.           tabel is.
  5436.  
  5437.      -    TbUtil verwijdert bootsector virussen.
  5438.  
  5439.      -    TbUtil genereert een partitietabel waarin een aantal eerstelijns
  5440.           virus afweermiddelen zijn ingebouwd.
  5441.  
  5442.      -    TbUtil vervangt de besmette of de schone bootsector door een
  5443.           veilige TBAV bootsector.
  5444.  
  5445.  
  5446.      Wat is een partitietabel?
  5447.  
  5448.      Een partitie is een logische drive op een harde schijf. Een fysieke
  5449.      harde schijf kan meerdere DOS partities bevatten. Elke DOS partitie
  5450.      heeft een eigen drive identificatie (bijv. C: D: E:). De partitietabel
  5451.      bevat de schijf lay-out en de start- en eindcilinder van elke partitie.
  5452.      De partitietabel bevat ook informatie over het besturingssysteem van een
  5453.      partitie en geeft aan welke partitie moet worden gebruikt om op te
  5454.      starten. De partitietabel bevindt zich altijd in de eerste sector van de
  5455.      harde schijf. Deze heet de "Master Boot Record".
  5456.  
  5457.  
  5458.      Geen format nodig
  5459.  
  5460.      In tegenstelling tot de meeste bestandsvirussen zijn partitietabel
  5461.      virussen moeilijk te verwijderen. De enige oplossing is een low-level
  5462.      format van de harde schijf en het aanmaken van een nieuwe partitietabel,
  5463.      of door gebruik te maken van ongedocumenteerde DOS commando's.
  5464.      TbUtil maakt een back-up van de partitietabel en van de bootsector, en
  5465.      zal deze back-up gebruiken om de oorspronkelijke partitietabel en
  5466.      bootsector te vergelijken en terug te zetten wanneer deze besmet zijn. U
  5467.      hoeft uw schijf niet meer te formatteren om van een partitietabel of
  5468.  
  5469.  
  5470.                                      III - 54
  5471. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5472.  
  5473.  
  5474.      bootsector virus af te komen. Het programma kan eveneens de CMOS confi-
  5475.      guratie terugzetten.
  5476.  
  5477.      Indien gewenst vervangt TbUtil de partitietabel code door een geimmuni-
  5478.      seerde partitietabel, die virusbescherming bevat. DE TbUtil partitiecode
  5479.      wordt uitgevoerd voordat de bootsector controle over het systeem krijgt,
  5480.      en is dus in staat om de bootsector in een schone omgeving te controle-
  5481.      ren. Is de bootsector eenmaal uitgevoerd, dan is het moeilijk om deze te
  5482.      controleren, omdat het virus al resident in het geheugen aanwezig is en
  5483.      dus elke beveiliging op een dwaalspoor kan zetten. In plaats van het
  5484.      opstarten van een schone DOS diskette inspecteert TbUtil de bootsector;
  5485.      de TbUtil partitiecode voert een CRC berekening op de bootsector uit
  5486.      juist nadat deze controle heeft gekregen. 
  5487.  
  5488.      Is de bootsector veranderd, dan zal de TbUtil partitiecode u dat melden.
  5489.      De TbUtil partitiecode controleert eveneens de RAM lay-out en informeert
  5490.      u wanneer deze is gewijzigd. Deze controle zal elke keer gebeuren
  5491.      wanneer u vanaf de harde schijf opstart. 
  5492.  
  5493.      TbUtil kan besmette en schone diskette bootsectors vervangen door een
  5494.      nieuwe bootsector, die voordeel biedt boven de standaard bootsector. Het
  5495.      programma heeft bootsector virus detectie capaciteiten, het voert een
  5496.      'sanity check' uit, en het biedt u de mogelijkheid om de opstartprocedu-
  5497.      re om te leiden naar de harde schijf zonder het diskette station te
  5498.      openen.
  5499.  
  5500.  
  5501.      Hoe gebruikt u TbUtil?
  5502.  
  5503.      De TbUtil module bevat verschillende programma's, die kunnen worden
  5504.      gestart vanuit het TbUtil menu of -in noodgevallen- vanaf een TbUtil
  5505.      diskette op de DOS commandoregel. TbUtil kan gestart worden in combina-
  5506.      tie met een aantal aanvullende (menu) opties. Deze opties worden hieron-
  5507.      der toegelicht. Een overzicht van de corresponderende commandoregel
  5508.      opties treft u aan in hoofdstuk 6 van dit hoofdstuk.
  5509.  
  5510.  
  5511.      Het System maintenance menu
  5512.  
  5513.      Dit menu bevat het eigenlijke TbUtil programma. Het programma draagt
  5514.      zorg voor het wegschrijven, terugzetten, of vergelijken van de systeem-
  5515.      configuratie van uw PC. De back-up systeemconfiguratie wordt op een
  5516.      diskette weggeschreven in een bestand met een default naam of een naam
  5517.      die u zelf bepaalt. 
  5518.  
  5519. =>   Waarschuwing: U kunt een systeemconfiguratie alleen terugzetten op de PC
  5520.      die het databestand gegenereert heeft. Gebruikt u een ander bestand, dan
  5521.      maakt het 'terugplaatsen'uw PC ontoegankelijk!
  5522.  
  5523.  
  5524.  
  5525.  
  5526.  
  5527.                                      III - 55
  5528. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5529.  
  5530.  
  5531. ~    +----Main menu-----+
  5532.      |  Confi+-----------TbUtil menu-----------+
  5533.      |  TbSet|  Syste+-------System maintenance-------+
  5534.      |  TbSca|  Immun|  Execute TbUtil                |
  5535.      |  TbUti|  Immun|  Describe this machine         |
  5536.      |  TbCLe|  Immun|  Save system configuration     |
  5537.      |  TBAV +-------|v Compare system configuration  |
  5538.      |  Documentation|  Restore system configuration  |
  5539.      |  Register TBAV|v process CMOS memory           |
  5540.      |  Quit and save|v process Partition code        |
  5541.      |  eXit (no save|v process Bootsector            |
  5542.      +---------------+--------------------------------+
  5543.  
  5544.  
  5545.      Execute TbUtil
  5546.  
  5547.      Voor het activeren van deze optie dient u een van de optionele functies
  5548.      te kiezen: wegschrijven, vergelijken of terugzetten van de systeemconfi-
  5549.      guratie. Beweeg de selectiebalk naar de gewenste optie en druk op
  5550.      <ENTER>. Een afvinkteken geeft de geselecteerde optie aan.
  5551.  
  5552.  
  5553.      Describe this machine (description)
  5554.  
  5555.      Vul een zinvolle beschrijving van de PC in, bijvoorbeeld "AT 12MHz, 4Mb,
  5556.      kamer 12, dhr. Smit". U hoeft die aanduiding niet te onthouden; TbUtil
  5557.      zal deze op het scherm tonen tijdens het vergelijken of terugzetten; de
  5558.      aanduiding helpt u te verifieren dat het databestand bij de betreffende
  5559.      PC behoort. 
  5560.  
  5561.  
  5562.      Save system configuration (store)
  5563.  
  5564.      Deze optie schrijft de partitietabel, de bootsector en de CMOS data area
  5565.      weg in het TbUtil databestand.
  5566.  
  5567. =>   Attentie! Omdat de PC volledig ontoegankelijk is voor DOS als de parti-
  5568.      tietabel beschadigd raakt, wordt het TEN ZEERSTE AANBEVOLEN om zowel het
  5569.      TbUtil databestand en het programma TbUtil.Exe zelf op een diskette weg
  5570.      te schrijven! Het is uiterst vervelend als de partitietabel vernietigd
  5571.      is en de enige oplossing van het probleem zich op dezelfde ontoeganke-
  5572.      lijke schijf bevindt...
  5573.  
  5574.      Wanneer u TbUtil start vanaf de DOS commandoregel dient u een bestands-
  5575.      naam te specificeren achter de 'store' optie. Gebruikt u het TBAV menu,
  5576.      dan kunt u desgewenst de default bestandsnaam 'TBUTIL.DAT' gebruiken.
  5577.      Heeft u meer dan een PC, dan is het raadzaam om een TbUtil diskette aan
  5578.      te maken met alle TbUtil databestanden van alle PC's. Gebruik de exten-
  5579.      sie van de bestandsnaam om de betreffende PC te identificeren, bijv.:
  5580.  
  5581.           a:TbUtil.<number>
  5582.  
  5583.  
  5584.                                      III - 56
  5585. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5586.  
  5587.  
  5588.      Compare system configuration (compare)
  5589.  
  5590.      Deze optie stelt u in staat op regelmatige basis te controleren dat
  5591.      alles nog in orde is. Als u deze optie activeert zal TbUtil de informa-
  5592.      tie in het TbUtil databestand vergelijken met de partitietabel, de
  5593.      bootsector en de CMOS data area. Het programma zal ook de commentaarvel-
  5594.      den tonen die in dit bestand zijn opgeslagen. Vanzelfsprekend bent u er
  5595.      ook van verzekerd dat het TbUtil databestand nog leesbaar is.
  5596.  
  5597.  
  5598.      Restore system configuration (restore)
  5599.  
  5600.      Door middel van deze optie kunt u de partitietabel, de bootsector (van
  5601.      de boot-partitietabel) en de CMOS data area terugzetten. Het programma
  5602.      zal u vooraf om de bevestiging vragen dat het databestand behoort bij de
  5603.      onderhavige machine. 
  5604.  
  5605.  
  5606.      Process Partition code/Bootsector/CMOS memory (part/boot/cmos)
  5607.  
  5608.      Als default zal TbUtil de partitiecode, de bootsector en de CMOS terug-
  5609.      zetten als de 'restore' optie is ingegeven. Gebruikt u de optie 'resto-
  5610.      re' in combinatie met een van de bovengenoemde opties, zal TbUtil alleen
  5611.      de opgegeven items terugzetten.
  5612.  
  5613.  
  5614.  
  5615.      Het TbUtil menu
  5616.  
  5617.      Naast het System maintenance menu bevat het TbUtil menu enkele handige
  5618.      programma's om bootsector virus infectie te voorkomen of deze virussen
  5619.      te verwijderen.
  5620.  
  5621.  
  5622. ~    +----Main menu-----+
  5623.      |  Confi+-----------TbUtil menu-----------+
  5624.      |  TbSet|  System maintenance menu       >|
  5625.      |  TbSca|  Immunize/clean bootsector A:   |
  5626.      |  TbUti|  Immunize/clean bootsector B:   |
  5627.      |  TbCLe|  Immunize/clean partition code  |
  5628.      |  TBAV +---------------------------------+
  5629.      |  Documentation  >|
  5630.      |  Register TBAV   |
  5631.      |  Quit and save   |
  5632.      |  eXit (no save)  |
  5633.      +------------------+
  5634.  
  5635.  
  5636.      Diskette protectie 
  5637.  
  5638.      Immunize/clean bootsector diskette (immunize) 
  5639.  
  5640.  
  5641.                                      III - 57
  5642. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5643.  
  5644.  
  5645.      U kunt het 'immunize' programma gebruiken om diskettes te zuiveren die
  5646.      besmet zijn met een bootsector virus of om de standaard bootsector te
  5647.      vervangen door een bootsector met beveiligings-voordelen boven de
  5648.      originele:
  5649.  
  5650.      -    TbUtil heeft virus detectie capaciteiten. De TbUtil bootsector
  5651.           controleert of deze nog op de juiste plaats op de diskette staat en
  5652.           dat Int 13h en/of Int 40h nog in de systeem ROM gelokaliseerd zijn.
  5653.           Dit maakt het mogelijk om zelfs 'stealth' en bootsector virussen op
  5654.           te sporen.
  5655.  
  5656.      -    De TBAV bootsector is in staat om eventueel aanwezige systeembe-
  5657.           standen te laden. Zijn er geen DOS systeembestanden op de schijf,
  5658.           dan zal de TBAV bootsector een klein menu tonen dat u twee moge-
  5659.           lijkheden biedt: probeer opnieuw op te starten met een andere
  5660.           diskette, of probeer om vanaf de harde schijf te starten. Als u
  5661.           voor de laatste mogelijkheid kiest, is het niet vereist om het dis-
  5662.           kette station te openen.
  5663.  
  5664.  
  5665.      Immunize/clean harde schijf (immunize)
  5666.  
  5667.      Dit is een zeer krachtige optie, die u kunt gebruiken om een besmette
  5668.      partitietabel te zuiveren wanneer er geen TbUtil databestand beschikbaar
  5669.      is. Het vervangt de bestaande partitietabel code door een nieuwe parti-
  5670.      tieroutine die enige virusdetectie functies bevat. De originele parti-
  5671.      tiecode wordt in een bestand weggeschreven. Daartoe dient u TbUtil vanaf
  5672.      een diskette uit te voeren, of een bestandsnaam op te geven op een
  5673.      diskette drive. Als de originele partitietabel volledig beschadigd is,
  5674.      en niet gebruikt kan worden om een nieuwe te reconstrueren, zal TbUtil
  5675.      de hele schijf aftasten om informatie te verzamelen over de lay-out van
  5676.      de oorspronkelijke schijf. TbUtil zal tevens op de harde schijf zoeken
  5677.      naar TbUtil databestanden. Desondanks wordt aangeraden om het databe-
  5678.      stand op een diskette op te slaan, en een kopie op de harde schijf te
  5679.      bewaren. Uitsluitend voor het geval dat! 
  5680.  
  5681.      Als uw systeemconfiguratie verandert, d.w.z. als u een nieuwe DOS versie
  5682.      installeert of de geheugenomvang wijzigt, moet u ook de informatie in de
  5683.      geimmuniseerde partitie ook bijwerken. U kunt dat met behulp van deze
  5684.      optie doen. 
  5685.  
  5686.      Als uw systeem niet goed opstart, kunt u de oorspronkelijke partitieta-
  5687.      bel terugzetten met behulp van de TbUtil 'restore' optie, of een nieuwe
  5688.      partitietabel aanmaken met behulp van het DOS 5+ 'FDISK /MBR' commando.
  5689.  
  5690.      Als de nieuwe partitiecode goed werkt, dient u er een back-up op disket-
  5691.      te van te maken met behulp van de TbUtil 'store' optie.
  5692.  
  5693.  
  5694.  
  5695.  
  5696.  
  5697.  
  5698.                                      III - 58
  5699. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5700.  
  5701.  
  5702.      Commandoregel opties
  5703.  
  5704.      TbUtil kan vanaf de DOS commandoregel geconfigureerd worden. Hiertoe
  5705.      kunt u het TbUtil startcommando combineren met een van de onderstaande
  5706.      opties. 
  5707.  
  5708.      optie      parameter    kort  verklaring
  5709.      ------     ---------    ----  --------------------
  5710.  
  5711.      immunize   <drive>      im    Immunize/Clean boot/MBR of <drive>
  5712. ~    getboot    <drive>      gb    Bewaar bootsector in bestand
  5713.      store      [<filename>] st    Schrijf systeem informatie 
  5714.      restore    [<filename>] re    Zet systeem informatie terug
  5715.      compare    [<filename>] co    Vergelijk systeem informatie
  5716.  
  5717.      Sub-opties van de 'Immunize' opties:
  5718.      norepeat                nr    Vraag niet om volgende diskette
  5719. ~    nomem                   nm    Controleer geen geheugen
  5720.  
  5721.      Sub-opties van de 'Store' optie:
  5722.      description <descr.>    de    Voeg omschrijving toe aan databestand
  5723.  
  5724.      Sub-opties van de 'Restore' optie:
  5725.      part                    pt    Herstel partitie table
  5726.      boot                    bo    Herstel bootsector of HD
  5727.      cmos                    cm    Herstel CMOS
  5728.  
  5729.  
  5730.      immunize <drive> (im)
  5731.      Diskette protectie
  5732.      U kunt het 'immunize' programma gebruiken om diskettes te zuiveren die
  5733.      besmet zijn met een bootsector virus of om de standaard bootsector te
  5734.      vervangen door een bootsector met beveiligingsvoordelen boven de origi-
  5735.      nele:
  5736.  
  5737.      -    Het bevat virusdetectie capaciteiten. De TbUtil bootsector contro-
  5738.           leert of deze nog op de juiste plaats op de diskette staat en dat
  5739.           Int 13h en/of Int 40h nog in de systeem ROM gelokaliseerd zijn. Dit
  5740.           maakt het mogelijk om zelfs 'stealth' en bootsector virussen op te
  5741.           sporen.
  5742.  
  5743.      -    De TBAV bootsector is in staat om eventueel aanwezige systeembe-
  5744.           standen te laden. Zijn er geen DOS systeembestanden op de schijf,
  5745.           dan zal de TBAV bootsector een klein menu tonen dat u twee moge-
  5746.           lijkheden biedt: probeer opnieuw op te starten met een andere
  5747.           diskette, of probeer om vanaf de harde schijf te starten. Als u
  5748.           voor de laatste mogelijkheid kiest, is het niet vereist om het dis-
  5749.           kette station te openen.
  5750.  
  5751.  
  5752.  
  5753.  
  5754.  
  5755.                                      III - 59
  5756. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5757.  
  5758.  
  5759.      harde schijf protectie
  5760.  
  5761.      Dit is een zeer krachtige optie, die u kunt gebruiken om een besmette
  5762.      partitietabel te zuiveren wanneer er geen TbUtil databestand beschikbaar
  5763.      is. Het vervangt de bestaande partitietabel code door een nieuwe parti-
  5764.      tieroutine die enige virusdetectie functies bevat. De originele parti-
  5765.      tiecode wordt in een bestand weggeschreven. Daartoe dient u TbUtil vanaf
  5766.      een diskette uit te voeren, of een bestandsnaam op te geven op een
  5767.      diskette drive. Als de originele partitietabel volledig beschadigd is,
  5768.      en niet gebruikt kan worden om een nieuwe te reconstrueren, zal TbUtil
  5769.      de hele schijf aftasten om informatie te verzamelen over de lay-out van
  5770.      de oorspronkelijke schijf. TbUtil zal tevens op de harde schijf zoeken
  5771.      naar TbUtil databestanden. Desondanks wordt aangeraden om het databe-
  5772.      stand op een diskette op te slaan, en een kopie op de harde schijf te
  5773.      bewaren. Uitsluitend voor het geval dat! 
  5774.  
  5775.      Als uw systeem configuratie verandert, d.w.z. als u een nieuwe DOS
  5776.      versie installeert of de geheugenomvang wijzigt, moet u ook de informa-
  5777.      tie in de geimmuniseerde partitie ook bijwerken. U kunt dat met behulp
  5778.      van deze optie doen. Als uw systeem niet goed opstart, kunt u de oor-
  5779.      spronkelijke partitietabel terugzetten met behulp van de TbUtil 'resto-
  5780.      re' optie, of een nieuwe partitietabel aanmaken met behulp van het DOS
  5781.      5+ 'FDISK /MBR' commando. Als de nieuwe partitiecode goed werkt, dient u
  5782.      er een back-up op diskette van te maken met behulp van de TbUtil 'store'
  5783.      optie.
  5784.  
  5785. ~    getboot <drive> (gb)
  5786.      Met deze optie kunt u de bootsector van de specificeerde schijf in een
  5787.      bestand opslaan.
  5788.  
  5789.      store [<bestandsnaam>] (st)
  5790.      Deze optie schrijft de partitietabel, de bootsector en de CMOS data area
  5791.      weg in het TbUtil databestand.
  5792.  
  5793. =>   Attentie! Omdat de PC volledig ontoegankelijk is voor DOS als de parti-
  5794.      tietabel beschadigd raakt, wordt het TEN ZEERSTE AANBEVOLEN om zowel het
  5795.      TbUtil databestand en het programma TbUtil.Exe zelf op een diskette weg
  5796.      te schrijven! Het is uiterst vervelend als de partitietabel vernietigd
  5797.      is en de enige oplossing van het probleem zich op dezelfde ontoeganke-
  5798.      lijke schijf bevindt...
  5799.  
  5800.      Wanneer u TbUtil start vanaf de DOS commandoregel dient u een bestands-
  5801.      naam te specificeren achter de 'store' optie. Gebruikt u het TBAV menu,
  5802.      dan kunt u desgewenst de default bestandsnaam 'TBUTIL.DAT' gebruiken.
  5803.      Heeft u meer dan een PC, dan is het raadzaam om een TbUtil diskette aan
  5804.      te maken met alle TbUtil databestanden van alle PC's. Gebruik de exten-
  5805.      sie van de bestandsnaam om de betreffende PC te identificeren, bijv.:
  5806.  
  5807.           a:TbUtil.<number>
  5808.  
  5809.  
  5810.  
  5811.  
  5812.                                      III - 60
  5813. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5814.  
  5815.  
  5816.      restore [<filename>] (re)
  5817.      Door middel van deze optie kunt u de partitietabel, de bootsector (van
  5818.      de boot-partitietabel) en de CMOS data area terugzetten. Het programma
  5819.      zal u vooraf om de bevestiging vragen dat het databestand behoort bij de
  5820.      onderhavige machine. 
  5821.  
  5822.      compare [<filename>] (co)
  5823.      Deze optie stelt u in staat op regelmatige basis te controleren dat
  5824.      alles nog in orde is. Als u deze optie activeert zal TbUtil de informa-
  5825.      tie in het TbUtil databestand vergelijken met de partitietabel, de
  5826.      bootsector en de CMOS data area. Het programma zal ook de commentaarvel-
  5827.      den tonen die in dit bestand zijn opgeslagen. Vanzelfsprekend bent u er
  5828.      ook van verzekerd dat het TbUtil databestand nog leesbaar is.
  5829.  
  5830.      norepeat (nr) 
  5831.      TbUtil zal u om een volgende diskette vragen nadat u een diskette heeft
  5832.      geimmuniseerd. Met de 'norepeat' optie kunt u deze functie uitschakelen.
  5833.  
  5834. ~    nomem (nm)
  5835.      Indien u deze optie opgeeft wanneer u de harde schijf immuniseert zal de
  5836.      partitiecode de controle op de hoeveelheid geheugen achterwege laten.
  5837.      Dit is nodig voor de systemen waarbij de hoeveelheid vrij geheugen
  5838.      tijdens het booten wordt aangepast.
  5839.  
  5840.      description <descr.> (de)
  5841.      Vul een zinvolle beschrijving van de PC in, bijvoorbeeld "AT 12MHz, 4Mb,
  5842.      kamer 12, dhr. Smit". U hoeft die aanduiding niet te onthouden; TbUtil
  5843.      zal deze op het scherm tonen tijdens het vergelijken of terugzetten; de
  5844.      aanduiding helpt u te verifi ren dat het databestand bij de betreffende
  5845.      PC behoort. 
  5846.  
  5847.      part (pt)
  5848.      boot (bo)
  5849.      cmos (cm)
  5850.      Als default zal TbUtil de partitiecode, de bootsector en de CMOS terug-
  5851.      zetten als de 'restore' optie is ingegeven. Gebruikt u de optie 'resto-
  5852.      re' in combinatie met een van de bovengenoemde opties, zal TbUtil alleen
  5853.      de opgegeven items terugzetten.
  5854.  
  5855.  
  5856.      Voorbeelden
  5857.           TbUtil store
  5858.  
  5859.           TbUtil st
  5860.  
  5861.           TbUtil store A:TbUtil.Dat
  5862.  
  5863.           TbUtil store A:TbUtil.Dat description = "Test machine"
  5864.  
  5865.           TbUtil compare A:TbUtil.Dat
  5866.  
  5867.           TbUtil restore A:TbUtil.Dat part cmos
  5868.  
  5869.                                      III - 61
  5870. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5871.  
  5872.  
  5873.           TbUtil immunize A:
  5874.  
  5875. ~         TbUtil immunize C: nomem
  5876.  
  5877.           Type A:TbUtil.Dat
  5878.  
  5879.  
  5880.  
  5881.      De anti-virus partitie
  5882.  
  5883.      Wanneer u de Thunderbyte partitiecode installeert (TbUtil immunize),
  5884.      ziet u het volgende tijdens het opstarten van uw systeem:
  5885.  
  5886.           Thunderbyte anti-virus partition v6.03 (C) 1993 Thunderbyte BV.
  5887.  
  5888.  
  5889.           Checking bootsector CRC -> OK!
  5890.           Checking available RAM -> OK!
  5891.           Checking INT 13h -> OK!
  5892.  
  5893.  
  5894.      Indien er een virus in de bootsector of de partitietabel wordt aange-
  5895.      troffen, ziet u dit:
  5896.  
  5897.  
  5898.           Thunderbyte anti-virus partition v6.03 (C) 1993 Thunderbyte BV.
  5899.  
  5900.           Checking bootsector CRC -> OK!
  5901.           Checking available RAM -> Failed!
  5902.  
  5903.           System might be infected. Continue? (N/Y)
  5904.  
  5905.  
  5906.      Enkele andere mogelijke boodschappen zijn: "No system", hetgeen betekent
  5907.      dat er geen actieve partitie op de schijf aanwezig is, en "Disk error"
  5908.      waarvan de betekenis duidelijk zal zijn.
  5909.  
  5910.  
  5911.      De TbUtil diskette
  5912.  
  5913.      Neem een nieuwe diskette, formatteer deze als een bootable diskette
  5914.      (bijv. met behulp van het DOS 'format /s' commando). Kopieer de TbUtil
  5915.      bestanden op de diskette:
  5916.  
  5917.           copy tbutil.* a:
  5918.  
  5919.      De TbUtil bestanden die u nodig heeft zijn: 
  5920.           tbutil.exe
  5921.           tbutil.lng
  5922.  
  5923.      'Tbutil.doc' is een documentatiebestand dat niet strikt noodzakelijk is,
  5924.      maar dat u wel enige ondersteuning kan bieden. 
  5925.  
  5926.                                      III - 62
  5927. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5928.  
  5929.  
  5930.  
  5931.      Trouble-shooting
  5932.  
  5933.      In noodgevallen, d.w.z. in geval van een beschadigde of besmette parti-
  5934.      tietabel, dient u vanaf de TbUtil diskette op te starten. Vervolgens
  5935.      start u het TbUtil programma in combinatie met de 'immunize' optie:
  5936.  
  5937.           a:\tbutil immunize c:
  5938.  
  5939.  
  5940. 6.2. TbLog 
  5941.  
  5942.  
  5943.      De functie van TbLog
  5944.  
  5945.      TbLog is een programma dat TBAV meldingen bijhoudt in een logboek
  5946.      bestand. Ook wanneer TbScan een virus ontdekt wordt dit bijgehouden.
  5947.  
  5948.      Dit programma is hoofdzakelijk bedoeld voor netwerk gebruikers. Indien
  5949.      alle werkstations TbLog hebben geladen en hebben ingesteld om hetzelfde
  5950.      logboek te gebruiken kan de systeembeheerder vanaf een centraal punt
  5951.      eenvoudig in de gaten houden hoe het met de integriteit van het netwerk
  5952.      is gesteld. Wanneer een virus het netwerk binnendringt kan hij eenvoudig
  5953.      vaststellen via welke PC het is binnengekomen en tijdig maatregelen
  5954.      nemen.
  5955.  
  5956.      Een TbLog record bestaat uit een datumstempel, de naam van de PC, en een
  5957.      vermelding van de betreffende gebeurtenis en welke bestanden hierbij
  5958.      waren betrokken.
  5959.  
  5960.  
  5961.      Het gebruik van TbLog
  5962.  
  5963.      Net als de andere TBAV utilities kan TbLog worden geladen in het Con-
  5964.      fig.Sys of AutoExec.Bat bestand, na de TbDriver aanroep.
  5965.  
  5966.      TbLog kan het beste op alle werkstations worden geinstalleerd. Indien u
  5967.      wilt dat elk werkstation hetzelfde logbestand gebruikt kun TbLog het
  5968.      beste worden geladen nadat het netwerk is opgestart.
  5969.  
  5970.      TbLog zal standaard een logbestand aanmaken met de naam TbLog.Log in de
  5971.      TBAV directory. Indien u een andere naam of pad wenst te gebuiken kunt u
  5972.      deze opgeven op de commandline. In een netwerkomgeving is het aan te
  5973.      raden om het logbestand op de schijf van de server te laten zetten.
  5974.  
  5975.  
  5976.      Commandoregel opties
  5977.  
  5978.      TbLog kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  5979.      vijf opties zijn altijd beschikbaar, de andere alleen voorzover TbLog
  5980.      nog niet resident in het geheugen is. 
  5981.  
  5982.  
  5983.                                      III - 63
  5984. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                  Deel III
  5985.  
  5986.  
  5987.  
  5988.      optie    parameter   kort  verklaring
  5989.      ------   ---------   ----  --------------------
  5990.      help                  ?    toon dit helpscherm
  5991.      remove                r    verwijder TbLog uit het geheugen
  5992.      on                    e    zet TbLog aan
  5993.      off                   d    zet TbLog uit
  5994.      test                  t    log test melding
  5995.  
  5996.      machine = <machine>   m    naam van uw PC
  5997.      secure                s    laat geen verwijdering toe.
  5998.  
  5999.  
  6000.      help (?)
  6001.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbLog
  6002.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  6003.  
  6004.      remove (r)
  6005.      Deze optie schakelt TbLog uit en zal proberen het residente deel van de
  6006.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  6007.      het systeem terug te geven. Helaas werkt deze optie alleen als TbLog als
  6008.      laatste geladen is. TbLog controleert of de residente code zonder
  6009.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  6010.      programma zichzelf alleen maar uitschakelen.
  6011.  
  6012.      off (d)
  6013.      Na opgave van deze optie zal TbLog uitgeschakeld worden, maar wel in het
  6014.      geheugen blijven.
  6015.  
  6016.      on (e)
  6017.      Met 'on' activeert u TbLog opnieuw, nadat u eerder de optie 'off' heeft
  6018.      gebruikt.
  6019.  
  6020.      test (t)
  6021.      Indien u deze optie gebruikt tijdens het laden van TbLog worden de
  6022.      datum, tijd, en naam van de PC opgenomen in het logbestand. Indien u
  6023.      deze optie later gebruikt wordt er een testmelding in het logbestand
  6024.      opgenomen.
  6025.  
  6026.      machine (m)
  6027.      Met deze optie kunt u de naam van de PC opgeven. Deze naam verschijnt in
  6028.      het logbestand wanneer de desbetreffende PC een melding veroorzaakt. Op
  6029.      NetBios compatibel netwerken zal TbLog de naam die via het netwerk aan
  6030.      de PC is toegekend gebruiken. Op andere netwerken - zoals Novell - dient
  6031.      u zelf een netwerk naam op te geven.
  6032.  
  6033.      secure (s)
  6034.      Met deze optie schakelt u de opties 'off' en 'remove' uit.
  6035.  
  6036.  
  6037.      Voorbeeld:
  6038.           C:\TBAV\TbLog f:\security\Tblog.log secure machine=DESK3
  6039.  
  6040.                                      III - 64
  6041. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6042.  
  6043.  
  6044. DEEL IV. Informatie voor gevorderde gebruikers. 
  6045.  
  6046.  
  6047. 1. Geheugen vereisten
  6048.  
  6049.      Benodigd vrij geheugen: 
  6050.  
  6051.                            min.              min.
  6052.                            om te             na
  6053.                            starten:          beeindiging:
  6054.  
  6055.      TbScan                200 Kb
  6056.      TbScanX               10 Kb             800 bytes
  6057.      TbCheck               4 Kb              600 bytes
  6058.      TbUtil                64 Kb
  6059.      TbClean               96 Kb
  6060.  
  6061.      TbMem                 4 Kb              600 bytes
  6062.      TbFile                5 Kb              1 Kb
  6063.      TbDisk                4 Kb              800 bytes
  6064.      TbDriver              5 Kb              3 Kb
  6065. ~    TbLog                 5 Kb              1 Kb
  6066.  
  6067.  
  6068.      Indien u gebruik maakt van een Log-bestand, heeft TbScan een aanvullende
  6069.      16 Kb geheugen nodig t.b.v. de buffer van dit Log-bestand. Indien TbScan
  6070.      gebruik maakt van het eigen ingebouwde file systeem gebruikt het enig
  6071.      aanvullend geheugen om de FAT in het geheugen te houden. Hier dient te
  6072.      worden opgemerkt dat het aantal handtekeningen niet van invloed is op de
  6073.      geheugen-vereisten. De huidige geheugenvereisten voldoen om tenminste
  6074.      2500 handtekeningen aan te kunnen. 
  6075.  
  6076. ~    De hoeveelheid geheugen die TbScanX behoeft, hangt af van het aantal
  6077.      handtekeningen. Indien alle mogelijkheden van het programma geactiveerd
  6078.      zijn, gebruikt TbScanX 30 Kb geheugenruimte als het programma op 1.400
  6079.      handtekeningen-families scant. Activeert u 'swapping', dan gebruikt
  6080.      TbScanX gewoonlijk slechts 1Kb geheugenruimte. U kunt zowel naar EMS als
  6081.      naar XMS swappen. Natuurlijk kan de overgebleven kilobyte van TbScanX in
  6082.      upper memory worden geladen.
  6083.  
  6084.      In de heuristische ontsmettingsstand heeft TbClean veel meer geheugen-
  6085.      ruimte nodig, afhankelijk van de grootte van het besmette bestand.
  6086.      TbClean kan ook gebruik maken van expanded memory (EMS).
  6087.  
  6088.  
  6089.      Het verminderen van geheugengebruik
  6090.  
  6091.      De meeste PC gebruikers proberen zo veel mogelijk DOS geheugen vrij te
  6092.      houden. De geheugenresidente TBAV utilities (TbScanX, TbCheck, TbMem,
  6093.      TbFile, TbDisk and TbDriver) zijn zo ontworpen, dat zij slechts een
  6094.      kleine hoeveelheid van het geheugen gebruiken. 
  6095.  
  6096.  
  6097.                                       III - 1
  6098. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6099.  
  6100.  
  6101.      Wilt u het geheugengebruik nog verder terugdringen, dan kunt u de
  6102.      volgende maatregelen treffen: 
  6103.  
  6104.      -    Start het programma vanuit het Config.Sys bestand. Indien geladen
  6105.           als device driver heeft het programma geen Program Segment Prefix
  6106.           (PSP), hetgeen 256 bytes voor elke TBAV utility bespaart.
  6107.  
  6108.      -    Indien u de TBAV utilities start vanuit het Autoexec.Bat bestand,
  6109.           laadt ze dan voor het instellen van omgevingsvariabelen. DOS houdt
  6110.           een lijst bij van alle omgevingsvariabelen voor elk resident
  6111.           programma. Probeer deze lijst dus klein te houden, bij het laden
  6112.           van TSR's. Zodra alle TSR's zijn geinstalleerd, kunt u alle omge-
  6113.           vingsvariabelen definieren zonder de systeemvereisten van de TSR's
  6114.           te beinvloeden.
  6115.  
  6116.      -    Gebruik swapping. Door gebruik te maken van de optie 'ems' of de
  6117.           optie 'xms' swapt TbScanX zichzelf naar non-DOS geheugen, met
  6118.           achterlating van slechts 1 Kb code in het DOS geheugen. Swapping
  6119.           naar expanded memory ('ems') is aan te bevelen. 
  6120.  
  6121.      -    Indien u DOS 5 of hoger gebruikt, kunt u proberen het programma in
  6122.           een upper memory block te laden door gebruik te maken van het
  6123.           "loadhigh" of het "device-high" commando. Om het gebruik van upper
  6124.           memory te beperken is ook het activeren van swapping aan te beve-
  6125.           len.
  6126.  
  6127.      -    Gebruik een van de processor-specifieke versies van de desbetref-
  6128.           fende TBAV utility. Deze gebruiken minder geheugen dan de generieke
  6129.           versies. Deze geoptimaliseerde versies zijn verkrijgbaar via uw
  6130.           ThunderBYTE dealer en via het ThunderBYTE support BBS.
  6131.  
  6132.      -    Let in het bijzonder op de volgende geheugenbesparende opties:
  6133.           TbDriver:      NoStack
  6134.           TbMem:         NoCancel
  6135.           TbScanX:       NoBoot, XMS, EMS
  6136.  
  6137.  
  6138.  
  6139.  
  6140.  
  6141.  
  6142.  
  6143.  
  6144.  
  6145.  
  6146.  
  6147.  
  6148.  
  6149.  
  6150.  
  6151.  
  6152.  
  6153.  
  6154.                                       IV - 2
  6155. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6156.  
  6157.  
  6158. 2. TbSetup
  6159.  
  6160.  
  6161. 2.1. Anti-Vir.Dat ontwerp overwegingen
  6162.  
  6163.      De ThunderBYTE Anti-Virus utilities verwachten in elke directory op uw
  6164.      systeem met programmabestanden een eigen Anti-Vir.Dat bestand aan te
  6165.      treffen. Sommige andere anti-virus produkten onderhouden een enigszins
  6166.      vergelijkbare lijst van 'vingerafdrukken' van alle programmabestanden,
  6167.      maar eerder in een groot bestand dan in een afzonderlijk bestand in elke
  6168.      directory. TBAV volgt een andere strategie:
  6169.  
  6170.      -    Een bestand in elke directory vergemakkelijkt het onderhoud. Indien
  6171.           u een compleet pakket wilt verwijderen, kan het bijbehorende Anti-
  6172.           Vir.Dat bestand ook verwijderd worden.
  6173.  
  6174.      -    Het zal minder schijfruimte vragen, omdat padinformatie niet in het
  6175.           gegevensbestand hoeft te worden opgeslagen.
  6176.  
  6177.      -    De TBAV utilities werken sneller, omdat zij niet in een groot
  6178.           bestand hoeven te zoeken om de gegevens over een bepaald programma
  6179.           te lokaliseren. 
  6180.  
  6181.      -    In netwerkomgevingen is installatie gemakkelijker en betrouwbaar-
  6182.           der. Op netwerken is het niet ongebruikelijk dat dezelfde bestanden
  6183.           verschillende schijfaanduidingen op verschillende werkstations
  6184.           hebben. Is er slechts een gegevensbestand, dan zullen de schijfaan-
  6185.           duidingen ook bewaard moeten worden. Voor elk werkstation moet dus
  6186.           een afzonderlijke lijst worden onderhouden. In deze situatie raakt
  6187.           de systeembeheerder al snel het overzicht kwijt. 
  6188.  
  6189.  
  6190. 2.2. Lay-out van het TbSetup.Dat bestand
  6191.  
  6192.      Wilt u de TBAV utilities op meerdere werkplekken installeren, dan kan
  6193.      het handig zijn om het TbSetup.Dat bestand handmatig aan te passen (zie
  6194.      2.3). Daarvoor heeft u enige informatie over de lay-out van het bestand
  6195.      nodig. Lege regels of regels die beginnen met een puntkomma of het
  6196.      percentage-teken worden genegeerd of als commentaarregels behandeld. De
  6197.      regels die worden voorafgegaan door het percentage-teken worden tevens
  6198.      getoond in het bovenste window in TbSetup.
  6199.  
  6200.      Elk record in het TbSetup.Dat bestand bestaat uit vier onderdelen: 
  6201.  
  6202.      -    De bestandsnaam. De naam moet zonder spaties en in hoofdletters
  6203.           geschreven worden. 
  6204.  
  6205.      -    De bestandsgrootte in hexadecimale waarden. Dit veld mag een enkel
  6206.           asterisk teken ('*') bevatten, indien een exacte overeenstemming
  6207.           van bestandsgrootte niet vereist is. 
  6208.  
  6209.  
  6210.  
  6211.                                       IV - 3
  6212. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6213.  
  6214.  
  6215.      -    Het 32-bit CRC van het bestand in hexadecimale waarden. Een enkel
  6216.           asterisk-teken is toegestaan als een exacte overeenkomst van de
  6217.           checksum niet vereist is. 
  6218.  
  6219.      -    De hexadecimale waarde die de vlaggen representeert die gezet
  6220.           moeten worden indien het bestand op de schijf wordt aangetroffen. 
  6221.  
  6222.      De rest van de regel kan gebruikt worden voor kort commentaar. 
  6223.  
  6224.  
  6225.      U kunt de volgende vlaggen gebruiken: 
  6226.  
  6227.      bit 0  (0001)  Geen heuristische analyse verrichten
  6228.      bit 1: (0002)  CRC veranderingen negeren (self-modifying file)
  6229.      bit 2: (0004)  Aftasten op alle handtekeningen (lan remote boot file) 
  6230.      bit 3: (0008)  Read-only attribuut van dit bestand niet wijzigen. 
  6231.      bit 4: (0010)  Het programma blijft resident in het geheugen.
  6232.      bit 5: (0020)  Het programma voert een direct disk access uit.
  6233.      bit 6: (0040)  Het programma mag read-only attributen verwijderen. 
  6234.      bit 15:(8000)  Interrupt terugnemen vereist voor TbDriver.Exe
  6235.  
  6236.  
  6237.      De records in TbSetup.Dat zien er als volgt uit: 
  6238.  
  6239.  
  6240.      ; bestand    Grootte 32-bit CRC Vlaggen Commentaar
  6241.  
  6242.      ; Bestanden die een heuristisch alarm veroorzaken in TbScan:
  6243.      4DOS.COM     19FEA         *    0001    ;4Dos 4.0a
  6244.      AFD.COM      0FEFE  4B351A86    0001    ;AFD debugger
  6245.      ARGV0FIX.COM 001D8  431E70C0    0001    ;Argv[0]fix
  6246.      EXE2COM.EXE  00BEA  49276F89    0001    ;Exe to Com conv. utility 
  6247.      KILL.EXE     00632  74D41811    0001    ;PcTools 6.0 utility
  6248.      WATCH.COM    003E1  2353625D    0001    ;TSR monitoring utility
  6249.  
  6250.      ; Bestanden die volledig gescand moeten worden op ALLE handtekeningen: 
  6251.      NET$DOS.SYS      *         *    0004    ;Disk image of Novell boot disk
  6252.  
  6253.      ; Bestanden die geen vaste checksum hebben vanwege interne 
  6254.      ; config area's: 
  6255.      Q.EXE            *         *    000A    ;Qedit (all versions)
  6256.      TBCONFIG.COM     *         *    000A    ;all versions
  6257.  
  6258.  
  6259.      Definitie van nieuwe records
  6260.  
  6261.      Als u bestanden heeft die aan deze lijst moeten worden toegevoegd, laat
  6262.      het ons weten! Wij ontvangen gaarne een kopie om onze produkten te
  6263.      verbeteren en om TbSetup up-to-date te houden. Elk programma dat de
  6264.      aandacht trekt van de heuristische analyse van TbScan is kandidaat om in
  6265.      de lijst te worden opgenomen. 
  6266.  
  6267.  
  6268.                                       IV - 4
  6269. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6270.  
  6271.  
  6272.      Indien u 'V)alidate program' kiest in het boodschappenwindow van TbScan,
  6273.      zult u zien dat TbSetup in volgende sessies de waarde '0001' toont in
  6274.      het flags veld. Zijn dergelijke bestanden binnen uw organisatie op
  6275.      meerdere PC's geinstalleerd, dan wilt u de bestanden waarschijnlijk zelf
  6276.      toevoegen aan het TbSetup.Dat bestand. Om dat te bewerkstelligen voert u
  6277.      TbSetup uit op het betreffende bestand en noteert u de bestandsgrootte
  6278.      en de 32-bit CRC, zoals deze op het scherm worden getoond. Vervolgens
  6279.      bewerkt u het TbSetup.Dat bestand door ingave van de juiste bestands-
  6280.      naam, de bestandsgrootte, de CRC waarde en de vlaggen die u voor dit
  6281.      bestand wilt instellen.
  6282.  
  6283.      Gebruikt u TbSetup vervolgens op een andere PC, dan zal het de desbe-
  6284.      treffende vlaggen automatisch specificeren.
  6285.  
  6286. =>   NB: U kunt de waarde van een flag veld handmatig instellen of op nul
  6287.      stellen door op de DOS commandoregel na het TbSetup commando de SET of
  6288.      RESET optie te gebruiken: 
  6289.  
  6290.           TBSETUP TEST.EXE SET=0001
  6291.  
  6292.  
  6293.  
  6294. 2.3. TBAV werkplek installatie
  6295.  
  6296.      Indien u de TBAV utilities op meerdere machines binnen een bedrijf moet
  6297.      installeren, hoeft u niet bijvoorbeeld alle TSR's en/of disk utilities
  6298.      op alle PC's op te starten om deze utilities te 'leren' welke program-
  6299.      ma's geautoriseerd zijn. In deze paragraaf wordt uitgelegd, hoe de
  6300.      installatie op meerdere machines vereenvoudigd kan worden.
  6301.  
  6302.      1.   Als er in uw bedrijf een residente utility met de naam TSRUTIL.EXE
  6303.           wordt gebruikt, stel dan m.b.v. TbSetup de lengte en de CRC van dat
  6304.           programma vast. Specificeer vervolgens de naam van dit programma
  6305.           samen met de getoonde informatie in het TbSetup.Dat bestand en voeg
  6306.           de waarde '0010' toe. Voorbeeld:
  6307.  
  6308.                TSRUTIL.EXE  01286  E387AB21  0010  ;Our TSR utility
  6309.  
  6310.  
  6311.      2.   Als er in uw bedrijf een disk utility met de naam DISKUTIL.EXE
  6312.           wordt gebruikt, stel dan m.b.v. TbSetup de lengte en de CRC van dat
  6313.           programma vast. Specificeer vervolgens de naam van dit programma
  6314.           samen met de getoonde informatie in het TbSetup.Dat bestand en voeg
  6315.           de waarde '0020' toe. Voorbeeld: 
  6316.  
  6317.                DISKUTIL.EXE  01286  E387AB21  0020  ;Our DISK utility
  6318.  
  6319.  
  6320.           Als u vervolgens TbSetup draait op elke PC (hetgeen u sowieso moet
  6321.           doen), zal het programma deze utility herkennen en zal het automa-
  6322.           tisch de schijftoegang permissievlag voor TbMem/TbDisk instellen.
  6323.  
  6324.  
  6325.                                       IV - 5
  6326. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6327.  
  6328.  
  6329.      3.   Als op meerdere werkplekken een utility met bijvoorbeeld de naam
  6330.           UTIL.EXE wordt gebruikt, dat TbScan valse alarmmeldingen doet
  6331.           geven, kunt u door een aanpassing in het TbSetup.Dat bestand het
  6332.           heuristisch scannen van het betreffende programma vermijden.
  6333.           Specificeer de naam van dit programma samen met de getoonde infor-
  6334.           matie in het TbSetup.Dat bestand en voeg de waarde '0001' toe.
  6335.           Voorbeeld: 
  6336.  
  6337.                UTIL.EXE  01286  E387AB21  0001  ;Our utility
  6338.  
  6339.           Als u vervolgens TbSetup draait op elke PC (hetgeen u sowieso moet
  6340.           doen), zal het programma deze utility herkennen en zal TbScan geen
  6341.           heuristische scanning op het gespecificeerde programma uitvoeren.
  6342.  
  6343.      Meer informatie vindt u in het TbSetup.Dat bestand.
  6344.  
  6345.  
  6346.  
  6347.  
  6348.  
  6349.  
  6350.  
  6351.  
  6352.  
  6353.  
  6354.  
  6355.  
  6356.  
  6357.  
  6358.  
  6359.  
  6360.  
  6361.  
  6362.  
  6363.  
  6364.  
  6365.  
  6366.  
  6367.  
  6368.  
  6369.  
  6370.  
  6371.  
  6372.  
  6373.  
  6374.  
  6375.  
  6376.  
  6377.  
  6378.  
  6379.  
  6380.  
  6381.  
  6382.                                       IV - 6
  6383. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6384.  
  6385.  
  6386. 3. TbScan
  6387.  
  6388.  
  6389. 3.1. Heuristisch scannen
  6390.  
  6391.      TbScan is niet alleen een handtekening scanner. Het programma disassem-
  6392.      bleert het behandelde bestand voor de onderstaande doelen:
  6393.  
  6394.      1)   Door het 'uit elkaar halen' van het bestand kan de scanner zich
  6395.           beperken tot dat gebied van het bestand waar het virus zich zal
  6396.           bevinden. Daarmee wordt het aantal loze alarmmeldingen verminderd
  6397.           en het proces versneld. 
  6398.  
  6399.      2)   Disassembly maakt het mogelijk om de algoritmische detectiemethode
  6400.           op gecodeerde virussen te gebruiken. De handtekeningen van deze
  6401.           virussen zouden anders voor de scanner onzichtbaar blijven. 
  6402.  
  6403.      3)   Disassembly maakt het mogelijk om verdachte instructies op te
  6404.           sporen.
  6405.  
  6406.      Dit laatste, het opsporen van verdachte instructies, wordt 'heuristische
  6407.      scanning' genoemd. Dit is een erg krachtige functie die u in staat stelt
  6408.      om nieuwe of aangepaste virussen te onderkennen en om de resultaten van
  6409.      de handtekening scan te verifieren. U hoeft niet er langer op te ver-
  6410.      trouwen dat de leverancier van de scanner het virus kent dat uw systeem
  6411.      mogelijk besmet heeft. In normale situaties kan een scanner alleen een
  6412.      virus vinden als de bouwer van de scanner een voorbeeld van het virus
  6413.      had om een bruikbare handtekening te kunnen samenstellen. Met heuristi-
  6414.      sche scanning is een handtekening niet langer benodigd, omdat deze
  6415.      methode de scanner in staat stelt om tot nu toe onbekende virussen op te
  6416.      sporen. U moet het belang van heuristische scanning niet onderschatten.
  6417.      Elke maand worden minstens 50 nieuwe virussen gemeld. Het is erg onwaar-
  6418.      schijnlijk dat een ontwikkelaar van anti-virus software de eerste is die
  6419.      deze nieuwe virussen in handen krijgt...
  6420.  
  6421.  
  6422.      Heuristisch niveau 1                   Heuristisch niveau 2
  6423.  
  6424.      ------------------------------------------------------------
  6425.      Altijd geactiveerd                     Alleen met de optie 'heuristisch'
  6426.                                             of nadat een virus gevonden is. 
  6427.  
  6428.      Spoort 50% van de onbekende vi-        Spoort 90% van de virussen op 
  6429.      russen op
  6430.  
  6431.      Veroorzaakt bijna nooit valse me-      Veroorzaakt slechts een paar val-
  6432.      ldingen                                se meldingen
  6433.  
  6434.      Toont 'Probably infected'              Toont 'Might be infected'
  6435.  
  6436.  
  6437.  
  6438.  
  6439.                                       IV - 7
  6440. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6441.  
  6442.  
  6443.  
  6444.      TEST.EXE <scanning...>         OK  (no flags)
  6445.      TEST.EXE <scanning...> R       OK  (nothing serious)
  6446.      TEST.EXE <scanning...> FRM         might be infected by unknown virus
  6447.      TEST.EXE <scanning...> FRALM#      probably infected by unknown virus  
  6448.  
  6449.  
  6450.      Hoe gaat heuristische scanning te werk? Elk programma bevat instructies
  6451.      voor de processor van de PC's. Door naar de inhoud van een programmabe-
  6452.      stand te kijken en door de instructies te interpreteren, is TbScan in
  6453.      staat om het doel van die instructies te achterhalen. Als dat doel het
  6454.      formatteren van de schijf schijnt te zijn, of het besmetten van een
  6455.      bestand, zal TbScan een waarschuwing geven. Er zijn zeer veel instruc-
  6456.      ties die zeer gebruikelijk zijn voor virussen, maar erg ongebruikelijk
  6457.      voor normale programma's. Aan elke verdachte instructie wordt een
  6458.      karakter gekoppeld: een zogenaamde heuristische vlag. Elke vlag staat
  6459.      voor een bepaalde waardering. Wanneer de totale waardering boven een
  6460.      vooraf vastgestelde waarde komt, veronderstelt TbScan dat het bestand
  6461.      een virus bevat.
  6462.  
  6463.      Er zijn in feite twee vooraf vastgestelde limieten. De eerste is zeer
  6464.      gevoelig en kan door sommige onschuldige programma's bereikt worden. Als
  6465.      deze limiet bereikt wordt, licht TbScan de heuristische vlaggen op die
  6466.      op het scherm worden getoond en vermeerdert TbScan de 'verdachte items'
  6467.      teller. TbScan geeft niet het bestaan van een virus aan, tenzij u de
  6468.      'heuristic' optie gespecificeerd heeft. Heeft u deze optie gespecifi-
  6469.      ceerd, dan meldt TbScan u dat het bestand 'Might be infected by an
  6470.      unknown virus'.
  6471.  
  6472.      De tweede heuristische limiet wordt door veel virussen 'gehaald', maar
  6473.      niet door normale programma's. Wordt deze limiet bereikt, dan meldt
  6474.      TbScan u over het bestand 'Probably infected by an unknown virus.'
  6475.  
  6476. =>   NB: TbScan voert de heuristische analyse alleen bij het entry-point van
  6477.      een bestand uit. Derhalve signaleert TbScan geen direct-writes naar
  6478.      schijf door sommige disk utilities noch identificeert TbScan sommige
  6479.      programma's als TSR programma's. Dit is het resultaat van een specifieke
  6480.      benadering om het aantal valse meldingen te minimaliseren. In geval van
  6481.      een virus bevinden de kwaadaardige instructies zich altijd in de buurt
  6482.      van het entry-point (behalve wanneer het virus groter is dan 10Kb).
  6483.      TbScan zal verdachte verschijnselen in deze situaties in elk geval
  6484.      herkennen. 
  6485.  
  6486.  
  6487. 3.2. Integriteitscontrole
  6488.  
  6489.      Tijdens het scannen voert TbScan een integriteitscontrole uit. Daartoe
  6490.      dient u door TbSetup de Anti-Vir.Dat bestanden te laten genereren. Zijn
  6491.      deze bestanden eenmaal op de schijf aanwezig, dan zal TbScan controleren
  6492.      of elk te scannen bestand overeenkomt met de informatie die in de Anti-
  6493.      Vir.Dat bestanden wordt bijgehouden. Wanneer een virus een bestand
  6494.      besmet, zal de bewaarde informatie niet meer overeenstemmen met het nu
  6495.  
  6496.                                       IV - 8
  6497. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6498.  
  6499.  
  6500.      veranderde bestand, en TbScan zal u dit melden. Er zijn geen (commando-
  6501.      regel) opties om deze functie te activeren: TbScan voert automatisch een
  6502.      integriteitscontrole uit als het de Anti-Vir.Dat bestanden tegenkomt.
  6503.      TbScan meldt overigens uitsluitend bestandswijzigingen die duiden op een
  6504.      virus. Interne configuratiegebieden van programmabestanden kunnen ook
  6505.      veranderen, maar TbScan zal dat gewoonlijk niet melden. Anderzijds,
  6506.      wanneer een bestand besmet raakt met om het even welk virus, - bekend of
  6507.      onbekend - zal de vitale informatie veranderen en zal TbScan dat zeker
  6508.      rapporteren!
  6509.  
  6510.      Desondanks is het mogelijk dat het gecontroleerde bestand zichzelf
  6511.      verandert of door een andere oorzaak regelmatig verandert. In dit geval
  6512.      wilt u het programma waarschijnlijk van de integriteitscontrole uitslui-
  6513.      ten, om toekomstige foutieve meldingen te voorkomen. TbScan biedt u een
  6514.      aanvullende menu optie: 'V)alidate program'. Voor meer informatie
  6515.      verwijzen wij u naar paragraaf 3.3, 'Programma validatie'.
  6516.  
  6517.  
  6518. 3.3. Programma validatie
  6519.  
  6520.      Deze paragraaf is voor u alleen van belang indien u TbSetup gebruikt om
  6521.      de Anti-Vir.Dat bestanden te genereren. Zonder deze records is programma
  6522.      validatie geen optie.
  6523.  
  6524.      TbScan zal volgens bedoeling de meeste programma's kunnen behandelen. Er
  6525.      zijn echter programma's die speciale aandacht vragen om valse meldingen
  6526.      te vermijden. De meeste van deze programma's worden automatisch door
  6527.      TbSetup herkend. Niettemin is het zeker mogelijk dat uw PC programma-
  6528.      bestanden bevat die het heuristische alarm van TbScan doen afgaan en/of
  6529.      programmabestanden bevat die regelmatig veranderen. 
  6530.  
  6531.      Als een 'besmetting' alleen door de heuristische analyse of door de
  6532.      integriteitscontrole wordt ontdekt, en indien er een Anti-Vir.Dat record
  6533.      beschikbaar is, biedt TbScan een aanvullende optie in het virus-alert
  6534.      window:
  6535.  
  6536.      'V)alidate program'
  6537.  
  6538.      Bent u ervan overtuigd dat het betreffende programma geen virus bevat,
  6539.      dan kunt u de 'V' intoetsen om een vlag aan het programmarecord toe te
  6540.      voegen. Hierdoor worden toekomstige alarmmeldingen vermeden.
  6541.  
  6542.      Er zijn twee validatie standen. Als TbScan u waarschuwt als gevolg van
  6543.      een bestandswijziging, heeft de validatie alleen betrekking op toekom-
  6544.      stige bestandswijzigingen. Als het alarm een gevolg is van heuristische
  6545.      analyse, heeft de validatie uitsluitend betrekking op heuristische
  6546.      resultaten. Als het bestand wordt uitgesloten van heuristische analyse,
  6547.      wordt het nog wel aan de checksum controle onderworpen. Wordt het
  6548.      bestand uitgesloten van integriteitscontrole, dan zal TbScan nog wel
  6549.      heuristische analyse uitvoeren.
  6550.  
  6551.  
  6552.  
  6553.                                       IV - 9
  6554. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6555.  
  6556.  
  6557. =>   NB: Wanneer u een bestand heeft teruggeplaatst (een software upgrade) en
  6558.      u heeft TbSetup niet gebruikt, zal TbScan het virus alert window tonen
  6559.      om u de bestandswijziging te melden. Selecteer in dit geval de validatie
  6560.      optie NIET, omdat u hierdoor het bestand voor toekomstige integriteits-
  6561.      controle zou uitsluiten. U moet TbScan afbreken en in plaats daarvan
  6562.      TbSetup uitvoeren op de veranderde bestanden. 
  6563.  
  6564.  
  6565. 3.4. De algoritmen
  6566.  
  6567.      Wanneer TbScan een bestand behandelt toont het de melding 'Looking',
  6568.      'Checking', 'Tracing', 'Scanning' of 'Skipping'.
  6569.  
  6570.      Looking
  6571.  
  6572.      Met 'Looking' geeft TbScan aan dat het programma met succes het entry
  6573.      point van het programma in een keer heeft gevonden. De programmacode is
  6574.      geidentificeerd, dus TbScan weet waar te zoeken zonder verdere analyse
  6575.      'Looking' wordt op de meeste bekende software gebruikt. 
  6576.  
  6577.  
  6578. ~    Checking
  6579.  
  6580.      'Checking' geeft aan dat TbScan het entry point van het programma
  6581.      gelokaliseerd heeft, en nu een frame van ongeveer 2Kb rond het entry
  6582.      point aftast. Als het bestand besmet is, zal de handtekening van het
  6583.      virus in dit gebied te vinden zijn. 'Checking' is een zeer snel en
  6584.      betrouwbaar scan algoritme. 'Checking' zal op de meeste onbekende
  6585.      software worden gebruikt. 
  6586.  
  6587.  
  6588. ~    Tracing
  6589.  
  6590.      'Tracing' betekent dat TbScan een keten van jumps of calls heeft opge-
  6591.      spoord tijdens het lokaliseren van het entry point van het programma, en
  6592.      nu een frame van ongeveer 2Kb rond deze locatie aftast. Als het bestand
  6593.      besmet is, zal de handtekening van het virus in dit gebied te vinden
  6594.      zijn. 'Tracing' is een snel en betrouwbaar scan algoritme. 'Tracing' zal
  6595.      met name worden gebruikt voor COM bestanden van het TSR type en voor in
  6596.      Turbo Pascal gecompileerde programma's. De meeste virussen zullen TbScan
  6597.      dwingen om 'Tracing' te gebruiken.
  6598.  
  6599.  
  6600.      Scanning
  6601.  
  6602.      TbScan scant het gehele bestand (behalve de exe-header, die geen virus-
  6603.      code kan bevatten). Dit algoritme zal worden gebruikt wanneer 'Looking',
  6604.      'Checking' of 'Tracing' niet veilig kunnen worden gebruikt. Dit is het
  6605.      geval wanneer het entry point van het programma andere jumps en calls
  6606.      bevat naar code buiten het gescande frame, of wanneer de heuristische
  6607.      scanner iets vond dat nadere bestudering behoeft. 'Scanning' is een
  6608.  
  6609.  
  6610.                                       IV - 10
  6611. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6612.  
  6613.  
  6614.      traag algoritme. Omdat bijna het gehele bestand wordt afgetast, inclu-
  6615.      sief gegevensgebieden, zullen loze alarmmeldingen sneller voorkomen.
  6616.      Het 'Scanning' algoritme zal worden gebruikt voor het scannen van
  6617.      bootsectors, SYS en BIN bestanden.
  6618.  
  6619.  
  6620.      Skipping
  6621.  
  6622.      'Skipping' zal alleen voorkomen met sommige SYS en OVL bestanden. Het
  6623.      betekent eenvoudigweg dat het bestand niet gescand zal worden. Veel SYS
  6624.      bestanden bevatten in het geheel geen code (zoals CONFIG.SYS). Het heeft
  6625.      absoluut geen zin om deze bestanden op de aanwezigheid van virussen te
  6626.      scannen. Hetzelfde geldt ook voor veel .OV? bestanden. Veel overlay
  6627.      bestanden mogen eigenlijk niet zo genoemd worden, omdat ze geen exe-
  6628.      header hebben. Zulke bestanden kunnen niet door DOS gestart worden,
  6629.      hetgeen ze net zo onkwetsbaar maakt om virussen te activeren als tekst-
  6630.      bestanden. Als er wordt gemeld dat een .OV? bestand door een virus is
  6631.      besmet, betreft dit een van de relatief weinige overlays die wel een
  6632.      exe-header bevatten. In dat geval komt de besmetting tot stand doordat
  6633.      het virus een DOS exec-call (functie 4Bh) signaleert en elk programma
  6634.      dat op die manier wordt gestart, inclusief 'echte' overlay bestanden,
  6635.      besmet.
  6636.  
  6637.  
  6638. 3.5. Het TbScan.Lng bestand
  6639.  
  6640.      Het TbScan.Lng bestand bevat alle teksten die door TbScan worden ge-
  6641.      toond. U kunt de meldingen vertalen of bewerken met behulp van een ASCII
  6642.      editor.
  6643.  
  6644.      De meldingen worden van elkaar gescheiden door het dollar teken ($). De
  6645.      eerste melding toont het adres van de leverancier en enige registratie
  6646.      informatie. U kunt deze melding desgewenst aanpassen, bijvoorbeeld door
  6647.      uw bedrijfsnaam toe te voegen. 
  6648.  
  6649.      U kunt kleurcodes aan het TbScan.Lng bestand toevoegen. Een kleurcode
  6650.      moet worden voorafgegaan door het piping teken '|'. De volgende kleurco-
  6651.      des zijn beschikbaar (in hexadecimale waarden):
  6652.  
  6653.      Kleur      Voorgrond  Highlight   Achtergrond
  6654.  
  6655.      Zwart      00         08          00
  6656.      Blauw      01         09          10
  6657.      Groen      02         0A          20
  6658.      Cyaan      03         0B          30
  6659.      Rood       04         0C          40
  6660.      Magenta    05         0D          50
  6661.      Geel/Bruin 06         0E          60
  6662.      Wit/grijs  07         0F          70
  6663.  
  6664.  
  6665.  
  6666.  
  6667.                                       IV - 11
  6668. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6669.  
  6670.  
  6671.      Voorbeeld: Om een 'gehighlight' groen karakter op een rode achtergrond
  6672.      te verkrijgen dient de kleurcode te luiden: 0A+40=4A. 
  6673.      Om het karakter te laten knipperen voegt u 80h aan het resultaat toe.
  6674.  
  6675.  
  6676. 3.6. Het TBAV.MSG bestand
  6677.  
  6678. ~    De TBAV menuschil drukt de inhoud van het bestand TBAV.MSG af op het
  6679.      scherm indien dit bestand wordt aangetroffen. U kunt dit bestand gebrui-
  6680.      ken om uw bedrijfslogo of iets dergelijks op het scherm te laten tonen.
  6681.      Voor informatie over de kleurcodes zie hoofdstuk 3.5 ('Het TbScan.Lng
  6682.      bestand').
  6683.  
  6684.  
  6685.  
  6686.  
  6687.  
  6688.  
  6689.  
  6690.  
  6691.  
  6692.  
  6693.  
  6694.  
  6695.  
  6696.  
  6697.  
  6698.  
  6699.  
  6700.  
  6701.  
  6702.  
  6703.  
  6704.  
  6705.  
  6706.  
  6707.  
  6708.  
  6709.  
  6710.  
  6711.  
  6712.  
  6713.  
  6714.  
  6715.  
  6716.  
  6717.  
  6718.  
  6719.  
  6720.  
  6721.  
  6722.  
  6723.  
  6724.                                       IV - 12
  6725. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6726.  
  6727.  
  6728. 4. TbClean
  6729.  
  6730.  
  6731.      Om te kunnen begrijpen hoe een cleaningprogramma werkt, moet u zich
  6732.      voorstellen hoe een virus meestal te werk gaat als het een programma
  6733.      besmet. Het basisprincipe is niet moeilijk. Een virus - eigenlijk gewoon
  6734.      een programma - voegt zichzelf toe aan het eind van het 'normale'
  6735.      programma. De aanvullende viruscode, vermeerdert vanzelfsprekend de
  6736.      programmagrootte. Maar het eenvoudigweg toevoegen van een virusprogramma
  6737.      aan een ander programma is niet voldoende om enige echte schade te
  6738.      berokkenen: de viruscode moet als eerste uitgevoerd worden. Daarom pakt
  6739.      het virus de eerste paar bytes aan het begin van het programma en
  6740.      vervangt die door een 'jump' instructie naar de eigen viruscode. Op die
  6741.      manier kan het virus de besturing overnemen zodra het programma gestart
  6742.      wordt. De kans is groot dat u de korte vertraging, ontstaan door het
  6743.      uitvoeren van het virus, niet eens zult opmerken. Het virus herstelt
  6744.      vervolgens de oorspronkelijke instructie en herstart het programma (een
  6745.      'jump' naar het begin). Uw programma werkt in de regel weer zoals
  6746.      gewoonlijk - en het moge duidelijk zijn dat elk 'zichzelf respecterend'
  6747.      virus z'n best doet om niet te snel de aandacht op zich te vestigen!
  6748.  
  6749.      Met andere woorden, om een programma te kunnen zuiveren moeten we eerst
  6750.      de startinstructie bytes herstellen, die het virus door zijn eigen code
  6751.      vervangen heeft. Het virus heeft deze bytes later weer nodig, dus zullen
  6752.      deze ergens in de viruscode worden opgeslagen. De cleaner zoekt deze
  6753.      bytes, plaatst ze terug op hun oude plaats en verkort het bestand tot de
  6754.      oorspronkelijke bestand.
  6755.  
  6756.      Cleaner programma's bestaan er in twee typen: het conventionele type,
  6757.      voor specifieke virustypen, en de veel geavanceerdere generieke cleaner,
  6758.      die een veel bredere blik biedt. Hieronder worden beide typen nader
  6759.      toegelicht.
  6760.  
  6761.  
  6762.      Conventionele cleaners
  6763.  
  6764.      Een conventionele cleaner moet weten welk virus het moet verwijderen.
  6765.      Stel dat uw systeem besmet is met een Jerusalem/PLO virus. Wanneer u een
  6766.      conventionele cleaner start, zal een procedure als de volgende plaats-
  6767.      hebben:
  6768.  
  6769.  
  6770.  
  6771.  
  6772.  
  6773.  
  6774.  
  6775.  
  6776.  
  6777.  
  6778.  
  6779.  
  6780.  
  6781.                                       IV - 13
  6782. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6783.  
  6784.  
  6785.          origineel programma     besmet programma
  6786.  
  6787.                                                  
  6788.          |              |        |              |
  6789.          | p            |  100:  |jump          |
  6790.          | r            |        |naar 2487     |
  6791.          | o            |        | o            |
  6792.          | g            |        | g            |
  6793.          | r            |        | r            |
  6794.          | a            |        | a            |
  6795.          | m            |        | m            |
  6796.          | m            |        | m            |
  6797.          | a            |        | a            |
  6798.          | c            |        | c            |
  6799.          | o            |        | o            |
  6800.          | d            |        | d            |
  6801.          | e            |        | e            |
  6802.                                                  
  6803.                            2487: |              |
  6804.                                  |  VIRUS!    p |
  6805.                                  |            r |
  6806.                                  |jmp 100       |
  6807.                                                  
  6808.  
  6809.  
  6810.      Het conventionele cleaning programma: "He, het handtekeningenbestand
  6811.      zegt me dat dit bestand besmet is met het Jerusalem/PLO virus. OK, laat
  6812.      eens kijken, dit virus voegt 1783 bytes aan het einde toe, en het
  6813.      overschrijft de eerste drie bytes van het originele programma door een
  6814.      jump naar zichzelf. De oorspronkelijke bytes bevinden zich op offset 483
  6815.      in de viruscode. Ik moet die bytes dus naar het begin van het bestand
  6816.      kopieren en vervolgens moet ik 1873 bytes van het bestand verwijderen.
  6817.      Dat is alles!"
  6818.  
  6819.      Een scenario als het bovenstaande bevat een aantal valkuilen. Klaarblij-
  6820.      kelijk moet de cleaner een aantal aanknopingspunten hebben om het virus
  6821.      dat het moet verwijderen te kunnen herkennen. Een conventionele cleaner
  6822.      kan alleen virussen aanpakken wanneer het weet waar het naar moet
  6823.      zoeken. 
  6824.  
  6825.      Nog belangrijker is het dat het virus exact gelijk is aan het virus dat
  6826.      de virus meent te herkennen op basis van een controle van de validatie-
  6827.      gegevens. Stelt u zich voor wat er zou gebeuren als het virus in het
  6828.      voorbeeld was veranderd, en nu 1869 bytes groot is in plaats van 1873...
  6829.      De cleaner zou te veel verwijderen! Geen uitzonderlijk geval, zeker niet
  6830.      nu er zo veel virusmutanten opduiken. De Jerusalem/PLO familie bijvoor-
  6831.      beeld kent nu al meer dan 100 familieleden.
  6832.  
  6833.  
  6834.  
  6835.  
  6836.  
  6837.  
  6838.                                       IV - 14
  6839. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6840.  
  6841.  
  6842.      Generieke cleaners
  6843.  
  6844.      Een generieke cleaner werkt volgens het principe dat elke virussoort -
  6845.      ook die waarvan geen handtekening voorhanden is- schadelijk is en dus
  6846.      verwijderd dient te worden. Daarom werkt TbClean volgens een volstrekt
  6847.      ander ontsmettingsschema dat effectief is op vrijwel alle virussen,
  6848.      terwijl deze niet eens herkend hoeven te worden. Feitelijk vertegenwoor-
  6849.      digt TbClean twee cleaners in een: een 'reparatie' cleaner en een
  6850.      'heuristische' cleaner.
  6851.  
  6852.  
  6853.      Reparatie cleaning
  6854.  
  6855.      Reparatieve ontsmetting heeft een Anti-Vir.Dat bestand nodig, dat door
  6856.      TbSetup voor de virusinfectie gegenereerd is. Het Anti-Vir.Dat bestand
  6857.      bewaart vitale programma-informatie, waaronder de oorspronkelijke
  6858.      grootte, de eerste paar instructiecodes en een cryptografische checksum.
  6859.      Deze informatie is meestal het enige dat nodig is om een bestand te
  6860.      ontsmetten, ongeacht welk (bekend of onbekend) virus de besmetting heeft
  6861.      veroorzaakt. De cleaner zal de bytes aan het begin van het programma
  6862.      eenvoudigweg herstellen, het programma terugbrengen naar z'n oorspronke-
  6863.      lijke grootte, en het resultaat verifieren door een vergelijking te
  6864.      maken met de oorspronkelijke checksum.
  6865.  
  6866.  
  6867.      Heuristisch ontsmetten 
  6868.  
  6869.      TbClean is de eerste cleaner ter wereld die een heuristische cleaning
  6870.      mode heeft. Wanneer op deze wijze wordt ontsmet is er ook geen informa-
  6871.      tie over virussen nodig, en is er het bijkomende voordeel dat het
  6872.      programma zelf niets hoeft te weten over de oorspronkelijke staat van
  6873.      het programma. Deze cleaning mode is zeer effectief als uw systeem
  6874.      besmet is met een onbekend virus en u niet tijdig Anti-Vir.Dat bestanden
  6875.      heeft laten genereren door TbSetup.
  6876.  
  6877.      In de heuristische modus laadt TbClean het besmette bestand en emuleert
  6878.      de programmacode. Het gebruikt daarvoor een techniek die een combinatie
  6879.      is van 'disassemblage', emulatie en, in een aantal gevallen, executie om
  6880.      de loop van de viruscode te kunnen traceren, waarbij het zich min of
  6881.      meer hetzelfde gedraagt als het virus normaal gesproken zou doen. Komt
  6882.      het virus bij de oorspronkelijke programma-instructies en springt het
  6883.      terug naar de oorspronkelijke programmacode, dan stopt TbClean het
  6884.      emulatieproces en herstelt TbClean de oorspronkelijke bytes.
  6885.  
  6886.      Het feitelijke ontsmettingsproces bestaat bijna geheel uit dezelfde drie
  6887.      stappen die bij reparatieve ontsmetting worden doorlopen. Eerst wordt de
  6888.      startcode hersteld en naar het bestand gekopieerd. Vervolgens wordt de -
  6889.      waardeloze- viruscode verwijderd en zal TbClean (uit veiligheidsoogpunt)
  6890.      een finale analyse doen op het ontsmette programmabestand. 
  6891.  
  6892.  
  6893.  
  6894.  
  6895.                                       IV - 15
  6896. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6897.  
  6898.  
  6899. 5. TbGensig
  6900.  
  6901.  
  6902.      De functie van TbGenSig
  6903.  
  6904.      TbGenSig is een handtekeningbestand compiler. Daar TBAV wordt gedistri-
  6905.      bueerd met een actueel en kant-en-klaar handtekeningenbestand, heeft u
  6906.      deze compiler feitelijk niet nodig. 
  6907.  
  6908.      Wanneer u echter uw eigen virushandtekeningen wilt definieren, heeft u
  6909.      de TbGensig utility wel nodig. Indien u bekend bent met de structuur van
  6910.      software, kunt u zowel gepubliceerde als eigen handtekeningen in het
  6911.      bestand opnemen.
  6912.  
  6913.      In elk geval hoeft u dit uitsluitend in noodgevallen te doen, bijvoor-
  6914.      beeld wanneer uw bedrijf is getroffen door een tot nu toe onbekend
  6915.      virus. Het is raadzaam om dan een aantal voorbeelden van het virus naar
  6916.      een deskundige te sturen, zodat scanners het virus in hun volgende
  6917.      update zullen herkennen. 
  6918.  
  6919.      Omdat het praktisch niet mogelijk is om de totale jacht op computervi-
  6920.      russen in een handleiding uit de doeken te doen, gaat deze paragraaf
  6921.      ervan uit dat u voldoende kennis en ervaring hebt om uw eigen handteke-
  6922.      ningen te definieren.
  6923.  
  6924.      TbGenSig zoekt naar een bestand met de naam UserSig.Dat in de huidige
  6925.      directory. Dit bestand moet de handtekeningen bevatten die u aan het
  6926.      TBAV handtekeningbestand wilt toevoegen. TbGenSig controleert de inhoud
  6927.      van het UserSig.Dat bestand en voegt de gegevens aan TbScan.Sig toe. 
  6928.  
  6929.      Wilt u handtekeningen wijzigen of verwijderen, dan hoeft u alleen het
  6930.      UserSig.Dat bestand te bewerken of te verwijderen en opnieuw het pro-
  6931.      gramma TbGenSig uit te voeren.
  6932.  
  6933.      Tijdens het uitvoeren toont TbGenSig alle handtekeningen uit het
  6934.      TbScan.Sig bestand op het scherm. 
  6935.  
  6936.  
  6937.      Definitie van handtekeningen
  6938.  
  6939.      Formaat van het UserSig.Dat bestand
  6940.      U kunt het UserSig.Dat bestand met elke willekeurige DOS text editor
  6941.      aanmaken die in staat is om non-document text te produceren. Alle regels
  6942.      die beginnen met ';' zijn commentaarregels. TbGenSig negeert deze
  6943.      regels.
  6944.  
  6945.      Regels die met '%' beginnen worden in het bovenste TbGenSig window
  6946.      getoond.
  6947.  
  6948.      Op de eerste regel legt u de naam van het virus vast. De tweede regel
  6949.      bevat een of meerdere keywords. Op de derde regel volgt de handtekening.
  6950.      Deze combinatie van drie regels vormt het 'handtekening record'.
  6951.  
  6952.                                       IV - 16
  6953. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  6954.  
  6955.  
  6956.      Een handtekening record dient er als volgt uit te zien: 
  6957.  
  6958.           Test virus
  6959.           exe com inf
  6960.           abcd21436587abcd
  6961.  
  6962.      U mag desgewenst spaties gebruiken. Deze zullen door TbGensig genegeerd
  6963.      worden. 
  6964.  
  6965.  
  6966.      Een gepubliceerde handtekening toevoegen
  6967.  
  6968.      Wilt u een gepubliceerde handtekening toevoegen, dan kunt u te werk gaan
  6969.      zoals hieronder is beschreven.
  6970.  
  6971.      -    Edit of maak het UserSig.Dat bestand aan. Wijzig de gepubliceerde
  6972.           handtekening in het gewenste TbGenSig formaat.
  6973.  
  6974.      -    Gebruik de keywords COM EXE BOOT INF
  6975.  
  6976.           U krijgt dan:
  6977.  
  6978.           Nieuw virus
  6979.           exe com boot inf
  6980.           1234abcd5678efab
  6981.  
  6982.      -    Voer TbGenSig uit.
  6983.  
  6984.  
  6985.      Definitie van een handtekening met TbScan
  6986.  
  6987.      Deze paragraaf is bedoeld voor ervaren gebruikers die beschikken over
  6988.      een TBAV.KEY bestand.
  6989.  
  6990.      Alhoewel het TbScan.Sig bestand met grote regelmaat wordt ge-updated,
  6991.      worden er elke dag nieuwe virussen gebouwd, en wordt de reguliere update
  6992.      service daardoor ingehaald. Derhalve is het theoretisch mogelijk dat uw
  6993.      systeem op een dag wordt besmet door een virus dat recentelijk is
  6994.      ontwikkeld en nog niet is opgenomen in de lijst van handtekeningen.
  6995.      TbScan zal het virus niet in alle gevallen kunnen ontmaskeren, zelfs
  6996.      niet met de heuristische analyse. Bent u ervan overtuigd dat uw systeem
  6997.      besmet moet zijn zonder dat TbScan dit bevestigt, dan verschaft deze
  6998.      paragraaf u een waardevol hulpmiddel om onbekende virussen op te sporen.
  6999.      Deze paragraaf biedt ondersteuning bij het genereren van een 'noodhand-
  7000.      tekening' die (tijdelijk) aan uw versie van TbScan.Sig kan worden toege-
  7001.      voegd.
  7002.  
  7003.      -    Verzamel enkele besmette bestanden en kopieer deze naar een tijde-
  7004.           lijke directory.
  7005.  
  7006.  
  7007.  
  7008.  
  7009.                                       IV - 17
  7010. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  7011.  
  7012.  
  7013.      -    Start op vanaf een schone tegen schrijven beschermde diskette. Voer
  7014.           GEEN ENKEL programma uit vanaf het besmette systeem, zelfs niet als
  7015.           u denkt dat het om een schoon programma gaat. 
  7016.  
  7017.      -    Voer TbScan uit vanaf uw tegen schrijven beschermde TbScan diskette
  7018.           met de 'extract' option. De doeldirectory moet de zojuist gemaakte
  7019.           tijdelijke directory zijn. Door de 'extract' optie zal TbScan NIET
  7020.           de bestanden scannen maar in plaats daarvan de eerste instructies
  7021.           tonen bij het entry point van het besmette programma. Het verdient
  7022.           aanbeveling om tevens de 'log' optie te specificeren, zodat TbScan
  7023.           een logbestand genereert.
  7024.  
  7025.      -    Vergelijk de 'handtekeningen' die door TbScan zijn onttrokken. U
  7026.           moet dan een volgende soort gegevens zien: 
  7027.  
  7028.  
  7029.                NOVIRUS1.COM    2E67BCDEAB1290909 09090 ABCD123490CD
  7030.                NOVIRUS2.COM    N/A
  7031.                VIRUS1.COM      1234ABCD5678EFAB9 09090 ABCD123478FF
  7032.                VIRUS2.COM      1234ABCD5678EFAB9 01234 ABCD123478FF
  7033.                VIRUS3.COM      1234ABCD5678EFAB9 A5678 ABCD123478FF
  7034.  
  7035.  
  7036.           Wanneer de 'handtekeningen' volstrekt anders zijn, zijn de bestan-
  7037.           den ofwel waarschijnlijk niet geinfecteerd, ofwel besmet door een
  7038.           polymorf virus dat een algoritmische detectiemodule vereist om deze
  7039.           op te sporen. 
  7040.  
  7041.      -    Er kunnen enige verschillen tussen de 'handtekeningen' voorkomen.
  7042.           In dat geval kunt u van het vraagteken ('?') als wildcard gebrui-
  7043.           ken. 
  7044.  
  7045.      Een handtekening om het virus in het bovenstaande voorbeeld op te sporen
  7046.      zou zijn: 
  7047.  
  7048.           1234ABCD5678EFAB ?3 ABCD123478FF
  7049.  
  7050.  
  7051.      De '?3' betekent dat er drie bytes op die positie zijn die moeten worden
  7052.      weggelaten.
  7053.  
  7054.      -    Voeg de handtekening toe aan het UserSig.Dat bestand. Geef het
  7055.           virus in de eerste regel een naam mee. Specificeer de volgende
  7056.           keywords: COM, EXE, INF, ATE in de tweede regel. Geef de handteke-
  7057.           ning in op de derde regel.
  7058.  
  7059.  
  7060.      U krijgt dan:
  7061.  
  7062.           Nieuw virus
  7063.           exe com ate inf
  7064.           1234abcd5678efab?3abcd123478ff
  7065.  
  7066.                                       IV - 18
  7067. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  7068.  
  7069.  
  7070.  
  7071.      -    Voer TbGenSig uit. Let erop dat het TbScan.Sig bestand in de TbScan
  7072.           directory staat.
  7073.  
  7074.      -    Voer TbScan opnieuw uit in de directory met de besmette bestanden.
  7075.           TbScan moet het virus nu signaleren. 
  7076.  
  7077.      -    Stuur een paar besmette bestanden naar een virus deskundige, bij
  7078.           voorkeur naar ThunderBYTE.
  7079.  
  7080.      Gefeliciteerd! U heeft uw eigen handtekening gegenereerd. Vervolgens
  7081.      zoekt u met TbScan alle systemen af naar het nieuwe virus. U dient
  7082.      hierbij echter wel te bedenken dat het extrapoleren van een handtekening
  7083.      een 'quick-and-dirty' oplossing is. Mogelijk merkt de nieuwe handteke-
  7084.      ning de aanwezigheid van het nieuwe virus niet in alle gevallen op. Een
  7085.      handtekening die gegarandeerd alle verschijningen van het virus op-
  7086.      spoort, kan alleen worden gemaakt nadat dit virus volledig gedisassem-
  7087.      bleerd is. Derhalve dient u deze handtekening NIET aan derden ter be-
  7088.      schikking te stellen. De handtekening die door ervaren anti-virus
  7089.      onderzoekers wordt samengesteld, ziet er in de meeste gevallen volstrekt
  7090.      anders uit! 
  7091.  
  7092.  
  7093.  
  7094.      Technische achtergrond
  7095.  
  7096.      Keywords
  7097.  
  7098.      Keywords worden voor verschillende doelen gebruikt. Zij worden in
  7099.      verschillende categorieen gerangschikt. Keywords mogen van elkaar worden
  7100.      gescheiden door spaties, komma's of tabs. De maximale regellengte is 80
  7101.      bytes. Ten minste een van de volgende vlaggen moet gespecificeerd zijn: 
  7102.      BOOT, COM, EXE, HIGH, LOW, SYS of WIN.
  7103.  
  7104.  
  7105.      Item      keywords
  7106.  
  7107.      BOOT      Handtekening kan in de bootsector/partitietabel gevonden
  7108.                worden
  7109.  
  7110.      COM       Handtekening kan in COM programma's gevonden worden. Deze vlag
  7111.                zorgt ervoor dat de scanner deze handtekening in programmabe-
  7112.                standen zoekt die geen EXE header of device header hebben.
  7113.  
  7114. =>   NB: De bestandsinhoud bepaalt het bestandstype, niet de uitgang van de
  7115.      bestandsnaam!
  7116.  
  7117.      EXE       Handtekening kan in EXE programma's gevonden worden. Deze vlag
  7118.                zorgt ervoor dat de scanner deze handtekening zoekt in de load
  7119.                module van bestanden van het EXE type. EXE bestanden zijn
  7120.                bestanden die een exe-header hebben.
  7121.  
  7122.  
  7123.                                       IV - 19
  7124. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  7125.  
  7126.  
  7127. =>   NB: De bestandsinhoud bepaalt het bestandstype, niet de uitgang van de
  7128.      bestandsnaam!
  7129.  
  7130.      HIGH      Handtekening kan in HIGH memory gevonden worden. Deze vlag
  7131.                zorgt ervoor dat de scanner deze handtekening zoekt in het
  7132.                geheugen boven het door de scanner gealloceerde geheugen. Dit
  7133.                keyword is bedoeld voor residente virussen die geheugen allo-
  7134.                ceren tijdens het opstarten van het systeem geheugen, of
  7135.                virussen die de grootte van het laatste MCB (Memory Control
  7136.                Block) verminderen.
  7137.  
  7138. =>   NB: De HIGH vlag betekent niet dat de handtekening in UPPER memory
  7139.      gezocht moet worden.
  7140.  
  7141.      LOW       Handtekening kan in LOW memory gevonden worden. Deze vlag
  7142.                zorgt ervoor dat de scanner de handtekening zoekt in geheugen
  7143.                onder de PSP (Program Segment Prefix) van de scanner en in de
  7144.                UMB (Upper Memory Blocks). Dit keyword is bedoeld voor virus-
  7145.                sen die resident in het geheugen komen en gebruik maken van de
  7146.                normale DOS TSR (Terminate and Stay Resident) function calls.
  7147.  
  7148.      SYS       Handtekening kan in SYS programma's gevonden worden.
  7149.  
  7150.      WIN       Handtekening kan in Windows programma's gevonden worden.
  7151.  
  7152.  
  7153.      Message keywords
  7154.  
  7155.      DAM       Message prefix:  'damaged by'.
  7156.      DROP      Message prefix:  'dropper of'.
  7157.      FND       Message prefix:  'found the'.
  7158.      INF       Message prefix:  'infected by' 
  7159.                Message suffix:  'virus'
  7160.                Message prefix:  'joke named'.
  7161.      OVW       Message prefix:  'overwritten by'.
  7162.      PROB      Mess. pre-prefix:'probably'.
  7163.      TROJ      Message prefix:  'trojanized by'.
  7164.  
  7165.  
  7166.      Positie keywords
  7167.  
  7168.      UATE      Handtekening kan bij een unresolved entry point gevonden
  7169.                worden.
  7170.  
  7171.           Doel:
  7172.           De handtekening begint direct bij het entry point van de viruscode.
  7173.           Bij sommige polymorfe virussen kan het mogelijk zijn om een handte-
  7174.           kening te genereren uit de decryptor routine, alhoewel deze of te
  7175.           kort kan zijn of valse meldingen kan geven bij een globale scan.
  7176.           Een initiele sprong instructie kan deel uitmaken van de handteke-
  7177.           ning.
  7178.  
  7179.  
  7180.                                       IV - 20
  7181. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  7182.  
  7183.  
  7184.                COM type files:  top of file (IP 0100h).
  7185.                EXE type files:  CS:IP as defined in the EXE-header.
  7186.                WIN type files:  Non-DOS CS:IP of the new EXE-header.
  7187.  
  7188.           Opmerkingen:
  7189.           Het keyword UATE is niet toegestaan voor handtekeningen van het
  7190.           type BOOT, SYS, LOW, HMA of HIGH.
  7191.  
  7192.  
  7193.      ATE       Handtekening kan bij het entry point worden gevonden. 
  7194.  
  7195.           Doel:
  7196.           De handtekening begint direct bij het entry point van de viruscode.
  7197.           Bij sommige polymorfe virussen kan het mogelijk zijn om een handte-
  7198.           kening te genereren uit de decryptor routine, alhoewel deze of te
  7199.           kort kan zijn of valse meldingen kan geven bij een globale scan.
  7200.           Daarom wordt het keyword gebruikt om er voor te zorgen dat de scan-
  7201.           ner niet het gehele bestand op basis van de handtekening doorzoe-
  7202.           ken, maar alleen bij het entry point kijkt. Het entry point van een
  7203.           virus wordt gedefinieerd door het eerste byte dat niet gelijk is
  7204.           aan een JUMP SHORT, JUMP LONG of een CALL NEAR.
  7205.  
  7206.                Unresolved entry point: 1     JUMP LONG 3
  7207.                                        2...
  7208.                                        3     JUMP SHORT 5
  7209.                                        4...
  7210.                                        5     CALL FAR 7
  7211.                                        6...
  7212.                                        7     CALL NEAR 9
  7213.                                        8...
  7214.                Resolved entry point:   9     POP <reg>
  7215.  
  7216.           Het entry point van het bovenstaande fragment is Regel 9 daar dit
  7217.           de eerste code is die wordt uitgevoerd en die geen JUMP SHORT, JUMP
  7218.           LONG, CALL NEAR of CALL FAR is.
  7219.  
  7220.  
  7221.      Opmerkingen:
  7222.      1)   Het entry point kan worden vastgesteld door een code analyser om
  7223.           trucs het hoofd te bieden als het coderen van een NOP of DEC juist
  7224.           voor de sprong instructie. De resultaten van de scanner moeten dan
  7225.           ook zorgvuldig worden getest. Bij problemen kunt u de TbScan
  7226.           'extract' optie gebruiken om te bekijken wat TbScan als entry point
  7227.           van het programma beschouwd.
  7228.  
  7229.      2)   De ATE vlag is niet toegestaan voor handtekeningen van het BOOT,
  7230.           SYS, LOW, HMA of HIGH type.
  7231.  
  7232.  
  7233.      XHD       Handtekening kan bij offset 2 van de EXE header gevonden
  7234.                worden.
  7235.  
  7236.  
  7237.                                       IV - 21
  7238. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  7239.  
  7240.  
  7241.           Doel:
  7242.           Dit positie keyword wordt zelden gebruikt. U dient het alleen te
  7243.           gebruiken om de eveneens zeldzame high-level language virussen op
  7244.           te sporen, virussen die in een taal als C of Basic geschreven zijn.
  7245.           Deze virussen bevatten normaal gesproken standaard setup routines
  7246.           en library routines die niet bruikbaar zijn voor de definitie van
  7247.           een handtekening. Het XHD keyword kan als een laatste redmiddel om
  7248.           een virus op te sporen gebruikt worden. 
  7249.  
  7250.           Opmerkingen:
  7251.           Deze vlag mag alleen gebruikt worden bij handtekeningen van het
  7252.           type EXE of WIN. 
  7253.  
  7254.  
  7255.  
  7256.      Wildcards
  7257.  
  7258.      In een virus handtekening mogen wildcard karakters gebruikt worden om
  7259.      zogenaamde polymorfe (self-modifying/mutating) virus code te kunnen
  7260.      herkennen. Hieronder ziet u een beschrijving van de wildcard notatie.
  7261.      Alle getallen zijn hexadecimale waarden.
  7262.  
  7263.  
  7264.      Positie wildcards
  7265.  
  7266.      Positie wildcards betreffen de positie waar de delen van de handtekening
  7267.      overeenstemmen.
  7268.  
  7269.           Skip
  7270.           ?n        =    Skip n amount of bytes and continue.
  7271.           ?@nn      =    Skip nn amount of bytes and continue. nn should not
  7272.                          exceed 7F.
  7273.  
  7274.           Variable
  7275.           *n         =   Skip up to n bytes.
  7276.           *@nn       =   Skip up to nn bytes and continue. nn should not
  7277.                          exceed 1F.
  7278.  
  7279.  
  7280.      Opcode wildcards
  7281.  
  7282.      Met de 'opcode' wildcards kunnen instructie reeksen opgespoord worden:
  7283.  
  7284.           Low opcode
  7285.           nL        =    One of the values in the range n0-n7.
  7286.  
  7287.           High opcode
  7288.           nH        =    One of the values in the range n8-nF.
  7289.  
  7290.      Bedoeld gebruik van de opcode wildcards:
  7291.  
  7292.  
  7293.  
  7294.                                       IV - 22
  7295. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  7296.  
  7297.  
  7298.      Stel dat een polymorf virus een waarde plaatst in een woord register
  7299.      (m.b.v. een MOV WREG,VALUE instructie), en een register vermeerdert
  7300.      (m.b.v. een INC WREG instructie), en een woord register van de stack
  7301.      haalt (m.b.v. een POP instructie). Zowel de registers als de waarde zijn
  7302.      variabel. 
  7303.  
  7304.      U zou dit als volgt kunnen coderen: 
  7305.           bh4l5h
  7306.  
  7307.      B8-BF zijn de opcodes voor 'MOV WREG,VALUE', 40-47 zijn de opcodes voor
  7308.      'INC WREG', en 58-5F zijn de opcodes voor 'POP REG'.
  7309.  
  7310.  
  7311.      Voorbeeld
  7312.  
  7313.      Om de kracht van de keywords en wildcards te tonen, volgt hier de
  7314.      handtekening van het Haifa.Mozkin virus. Dit virus is zeer polymorf en
  7315.      gecodeerd. Een kleine variabele decoder is nodig om het virus te decode-
  7316.      ren.
  7317.  
  7318.      Er zijn twee problemen: de meeste bytes zijn gecodeerd of variabel, dus
  7319.      niet geschikt om deel uit te maken van een handtekening, en datgene wat
  7320.      overblijft is kort en kan veel valse alarmmeldingen veroorzaken.
  7321.  
  7322.      Door middel van de desbetreffende keywords en wildcards echter is het
  7323.      mogelijk om een betrouwbare handtekening te definieren. De onderstaande
  7324.      handtekening wordt door TbScan gebruikt om het Haifa.Mozkin virus op te
  7325.      sporen.
  7326.  
  7327.           Haifa.Mozkin
  7328.           com exe ate inf
  7329.           bh?2bh?109?2*22e80?24l4h75fl
  7330.  
  7331.  
  7332.      Een analyse. 
  7333.  
  7334.      De eerste regel beschrijft de naam van het virus. De tweede regel zegt
  7335.      de scanner naar deze handtekening te zoeken in bestanden van het type
  7336.      COM en EXE. Het vertelt de scanner bovendien dat deze het bestand als
  7337.      'besmet' moet melden als de handtekeningen overeenstemmen. Het keyword
  7338.      ATE instrueert de scanner om deze handtekening alleen te vergelijken bij
  7339.      het entry point van het bestand. Het virus begint natuurlijk met het
  7340.      decoderen van zichzelf, dus is het zeker dat de scanner uiteindelijk
  7341.      deze locatie zal scannen. De ATE instructie beperkt het bereik van deze
  7342.      handtekening tot slechts een positie in een bestand, hetgeen de kansen
  7343.      op valse alarmmeldingen aanzienlijk doet afnemen.
  7344.  
  7345.      De derde regel is de definitie van de handtekening. Reverse engineering
  7346.      levert het volgende op:
  7347.  
  7348.      bh?2      Hetgeen betekent: een byte in de reeks B8-BF gevolgd door twee
  7349.                variabele bytes. B8-BF is een 'MOV WREG,VALUE' instructie. Van
  7350.  
  7351.                                       IV - 23
  7352. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                   Deel IV
  7353.  
  7354.  
  7355.                het register weten we alleen dat het ook om een woordregister
  7356.                gaat; de waarde is onbekend.
  7357.  
  7358.      bh?109    Hetgeen betekent: een andere 'MOV WREG,VALUE' instructie. Het
  7359.                register is een woordregister, en van de waarde weten we dat
  7360.                het binnen de reeks van 0900 tot 09FF valt.
  7361.  
  7362.      ?2*2      Hetgeen betekent: sla twee tot vier bytes over. Deze instruc-
  7363.                tie is door het virus ingevoegd om het moeilijker te maken om
  7364.                een handtekening te definieren. 
  7365.  
  7366.      2e80?2    Hetgeen betekent: het virus voert een aritmetische byte sized
  7367.                operatie uit met een immediate value (codeert een byte) met
  7368.                een CS: segment override. De precieze operatie, de geheugen
  7369.                locatie en de waarde zijn onbekend. 
  7370.  
  7371.      4l        Hetgeen betekent: een byte in de reeks 40-47. Dit is een 'INC
  7372.                WREG' instructie. Het virus hoogt de teller op tot de volgende
  7373.                te decoderen byte. 
  7374.  
  7375.      4h        Hetgeen betekent: een byte in de reeks 48-4F. Dit is een 'DEC
  7376.                WREG' instructie. Het virus vermindert de 'iteration count'.
  7377.  
  7378.      75fl      Opcode 75 is een JNZ instructie. Als het verminderde register
  7379.                nul niet bereikt heeft, springt het virus terug en herhaalt de
  7380.                operatie. Hoever springt het virus? Dat vertelt het 'fl' deel:
  7381.                ergens tussen -16 (F0h) en -8 (F7h) bytes.
  7382.  
  7383.      Alhoewel de handtekening taal van TbGenSig zeer krachtig is bestaan er
  7384.      virussen die dermate polymorf zijn dat zij zelfs nog meer geavanceerde
  7385.      wildcards, keywords of zelfs speciale detectie algoritmen vereisen. De
  7386.      uitleg van die wildcards, keywords en algoritmische detectie definities
  7387.      is zo complex, dat zij buiten de strekking van een gebruikershandleiding
  7388.      vallen. 
  7389.  
  7390.  
  7391.  
  7392.  
  7393.  
  7394.  
  7395.  
  7396.  
  7397.  
  7398.  
  7399.  
  7400.  
  7401.  
  7402.  
  7403.  
  7404.  
  7405.  
  7406.  
  7407.  
  7408.                                       IV - 24
  7409. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix A
  7410.  
  7411.  
  7412. Appendix A. TBAV boodschappen
  7413.  
  7414.  
  7415.      De TBAV utilities kunnen verschillende meldingen tonen wanneer zij
  7416.      worden uitgevoerd. De meeste boodschappen bieden voldoende duidelijk-
  7417.      heid. Hierna volgt enige aanvullende informatie op alfabetische volgor-
  7418.      de, met de naam van de betreffende TBAV utility.
  7419.  
  7420.  
  7421. TbClean
  7422.  
  7423.      Anti-Vir.Dat record found: information matches the current state of
  7424.      file.
  7425.  
  7426.      Het Anti-Vir.Dat record is gevonden, maar de informatie komt overeen met
  7427.      de huidige status van het bestand. 
  7428.  
  7429.  
  7430.  
  7431.      Anti-Vir.Dat file was created after the infection. Trying emulation... 
  7432.  
  7433.      Het Anti-Vir.Dat record is aangemaakt nadat het bestand is besmet, of
  7434.      het bestand is in het geheel niet gewijzigd. TbClean gaat het bestand
  7435.      emuleren om het heuristisch te kunnen ontsmetten.
  7436.  
  7437.  
  7438.  
  7439.      Anti-Vir.Dat record found: reconstructing original state... 
  7440.  
  7441.      Het Anti-Vir.Dat record dat bij het besmette bestand hoort, is gevonden.
  7442.      De informatie zal worden gebruikt om het bestand te reconstrueren.
  7443.  
  7444.  
  7445.  
  7446.      Anti-Vir.Dat record not found: original state unknown. Trying emulati-
  7447.      on... 
  7448.  
  7449.      Het Anti-Vir.Dat bestand bestaat niet of bevat geen informatie over het
  7450.      besmette programma. De oorspronkelijke status van het besmette bestand
  7451.      is dus niet bekend. TbClean zal naar de heuristische stand overschakelen
  7452.      om de status van het originele bestand te bepalen.
  7453. =>   NB: om een situatie als deze te voorkomen, dient u door het programma
  7454.      TbSetup Anti-Vir.Dat records te laten genereren. Deze records zijn van
  7455.      groot belang voor TbClean. Is het bestand al besmet, dan is het te laat
  7456.      om de Anti-Vir.Dat records nog te genereren.
  7457.  
  7458.  
  7459.  
  7460.  
  7461.  
  7462.  
  7463.  
  7464.  
  7465.                                       IV - 25
  7466. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix A
  7467.  
  7468.  
  7469.      Emulation terminated: <reden>     
  7470.  
  7471.      Het emulatieproces is om de aangegeven reden afgebroken. TbClean zal de
  7472.      verzamelde informatie nu evalueren om te beoordelen of het bestand
  7473.      ontsmet kan worden.
  7474.  
  7475.  
  7476.      <reden> kan een van de volgenden zijn:
  7477.  
  7478.      Jump to BIOS code.
  7479.      Het virus probeerde een rechtstreekse call of een jump naar de BIOS code
  7480.      uit te voeren. Dit proces kan niet geemuleerd worden dus wordt het
  7481.      afgebroken. Het programma kan waarschijnlijk niet ontsmet worden. 
  7482.  
  7483.      Approached stack crash.
  7484.      Het geemuleerde programma nadert een crash. Omdat er tijdens de emulatie
  7485.      iets is misgegaan wordt het programma afgebroken. Het programma kan
  7486.      waarschijnlijk niet ontsmet worden. 
  7487.  
  7488.      Attempt to violate license agreements.
  7489.      TbClean zal het programma om duidelijke redenen niet disassembleren. 
  7490.  
  7491.      Encountered keyboard input request.
  7492.      Het geemuleerde programma probeert het toetsenbord te lezen. Dit is een
  7493.      zeer ongebruikelijke actie voor virussen. Het bestand is dan ook waar-
  7494.      schijnlijk niet besmet. 
  7495.  
  7496.      Encountered an invalid instruction.
  7497.      De emulator is tegen een onbekende instructies gelopen. Door onbekende
  7498.      oorzaak is de emulatie mislukt. Het programma kan waarschijnlijk niet
  7499.      ontsmet worden. 
  7500.  
  7501.      DOS program-terminate request.
  7502.      Het geemuleerde programma vraagt DOS om de uitvoering te stoppen. Het
  7503.      programma is ofwel niet besmet, ofwel besmet door een overschrijvend
  7504.      virus dat de besturing niet aan het virusdragende programma teruggeeft.
  7505.      Het programma kan niet ontsmet worden.
  7506.  
  7507.      Jumped to original program entry point.
  7508.      Het programma is naar de startpositie teruggesprongen. Het is zeer
  7509.      waarschijnlijk besmet. Het programma kan waarschijnlijk niet ontsmet
  7510.      worden. 
  7511.  
  7512.      Undocumented DOS call with pointers to relocated code.
  7513.      Een gebruikelijke melding bij virussen die zich aan het begin van COM
  7514.      programma's hechten. Het programma kan waarschijnlijk ontsmet worden. 
  7515.  
  7516.      Encountered an endless loop.
  7517.      TbClean is tegen een situatie aangelopen waarbij het programma dezelfde
  7518.      instructie onophoudelijk herhaalt. Het programma zal waarschijnlijk niet
  7519.      uit deze 'loop' ontsnappen. Derhalve wordt de emulatie afgebroken. 
  7520. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix A
  7521.  
  7522.  
  7523.      Ctrl-break pressed.
  7524.      De gebruiker heeft <Ctrl><Break> ingetoetst, waardoor de ontsmettingspo-
  7525.      ging is afgebroken.
  7526.  
  7527.      Emulation aborted for unknown reason.
  7528.      Als deze boodschap wordt getoond, verzoeken wij u een kopie van het te
  7529.      emuleren bestand aan ESaSS op te sturen, of te uploaden op het Thunder-
  7530.      BYTE Bulletin Board Support Systeem. 
  7531.  
  7532.  
  7533.  
  7534.      Sorry, the collected information is not sufficient to clean file... 
  7535.  
  7536.      De heuristische ontsmettingsmethode van TbClean is afgebroken en is niet
  7537.      geslaagd. De enige overgebleven mogelijkheid is het terugzetten van het
  7538.      bestand van een backup of het opnieuw installeren van het programma.
  7539.  
  7540.  
  7541.  
  7542.      Collected enough information to attempt a reliable clean operation...
  7543.  
  7544.      De emulatie van het virus heeft TbClean alle benodigde informatie
  7545.      opgeleverd om het bestand te kunnen ontsmetten.
  7546.  
  7547.  
  7548.  
  7549.      Some DOS error occured. Clean aborted!
  7550.  
  7551.      Er is een DOS fout opgetreden gedurende het ontsmetten van het bestand.
  7552.      De desbetreffende bestanden mogen NIET read-only zijn en NIET op een
  7553.      schrijf-beschermde schijf staan. Zorg ook voor voldoende vrije geheugen-
  7554.      ruimte op de schijf.
  7555.  
  7556.  
  7557.  
  7558.      The clean attempt seems to be successful. Test the file carefully!
  7559.  
  7560.      TbClean lijkt het virus uit het bestand te hebben verwijderd. Geen
  7561.      twijfel over het virus: het is verdwenen. Neem echter geen risico en ga
  7562.      zorgvuldig na of het programma naar behoren werkt.
  7563.  
  7564.  
  7565.  
  7566.      Reconstruction failed. Program might be overwritten. Trying emulation...
  7567.  
  7568.      TbClean probeerde het oorspronkelijke bestand te reconstrueren met
  7569.      behulp van het Anti-Vir.Dat record. Deze poging is echter mislukt.
  7570.      TbClean gaat het bestand nu emuleren en zal proberen het heuristisch te
  7571.      ontsmetten.
  7572. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix A
  7573.  
  7574.  
  7575.      Reconstruction successfully completed.
  7576.  
  7577.      Het bestand is in z'n oorspronkelijke staat hersteld met behulp van het
  7578.      Anti-Vir.Dat record. De CRC (checksum) van het oorspronkelijke bestand
  7579.      en het ontsmette bestand zijn volstrekt gelijk, hetgeen impliceert dat
  7580.      het ontsmette bestand vrijwel zeker gelijk is aan het origineel (TbCle-
  7581.      an).
  7582.  
  7583.  
  7584.  
  7585.      Starting clean attempt. Analyzing infected file... 
  7586.  
  7587.      TbClean analyseert het besmette bestand en probeert het Anti-Vir.Dat
  7588.      record op te sporen (TbClean). 
  7589.  
  7590.  
  7591.  
  7592.  
  7593. TbDriver
  7594.  
  7595.      Another version of TbDriver is already resident!
  7596.  
  7597.      U startte een TbDriver.Exe programma met een ander versienummer of pro-
  7598.      cessor type dan de TbDriver die reeds resident in het geheugen is.
  7599.  
  7600.  
  7601.  
  7602.      Cannot remove TbDriver. Unload other TSRs first! 
  7603.  
  7604.      U probeerde TbDriver uit het geheugen te verwijderen, maar er is na
  7605.      TbDriver andere residente software geladen. Residente software kan
  7606.      alleen uit het geheugen worden verwijderd door de programma's in omge-
  7607.      keerde volgorde te 'unloaden'. 
  7608.  
  7609.  
  7610.  
  7611.      Invalid use of option 'net'.
  7612.  
  7613.      De optie 'net' is zinloos bij het TbDriver startcommando. 
  7614.  
  7615.  
  7616.  
  7617.      LAN support was already installed.
  7618.  
  7619.      U probeerde de optie 'net' opnieuw te gebruiken, of TbDriver heeft de
  7620.      netwerk support reeds automatisch geactiveerd.
  7621.  
  7622.  
  7623.  
  7624.      TbDriver not active. Load TbDriver first!
  7625.  
  7626.      De residente TBAV utilities gebruiken TbDriver; u moet dit programma dus
  7627.      eerst installeren. 
  7628. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix A
  7629.  
  7630.  
  7631.  
  7632.      TbDriver version is not <version>.
  7633.  
  7634.      De in het geheugen aangetroffen versie van TbDriver komt niet overeen
  7635.      met het versienummer van deze residente TBAV utility. Overtuig u ervan
  7636.      dat u geen versienummers door elkaar gebruikt. 
  7637.  
  7638.  
  7639.  
  7640.      TbDriver was not resident.
  7641.  
  7642.      U probeert TbDriver uit het geheugen te verwijderen, maar TbDriver is
  7643.      niet resident in het geheugen. 
  7644.  
  7645.  
  7646.  
  7647.  
  7648.      This version of TbDriver requires a <typeID> processor.
  7649.  
  7650.      U gebruikt een voor de processor geoptimaliseerde versie van TbDriver,
  7651.      die niet door de huidige processor kan worden uitgevoerd.
  7652.  
  7653.  
  7654.  
  7655. TbScan
  7656.  
  7657.      Cannot create logfile.
  7658.  
  7659.      Het gespecificeerde log-bestandenpad is onjuist, de schijf is vol of
  7660.      schrijf beschermd, of het bestand komt reeds voor en kan niet overschre-
  7661.      ven worden.
  7662.  
  7663.  
  7664.  
  7665.      [Cannot read datafile]
  7666.  
  7667.      TbScan heeft toegang tot het eigen databestand nodig om u de naam van
  7668.      het virus te kunnen melden. Indien het databestand niet benaderd kan
  7669.      worden, wordt -in plaats van een virusnaam- deze boodschap getoond.
  7670.  
  7671.  
  7672.  
  7673.      Command line error.
  7674.  
  7675.      Er is een ongeldige optie op de commandoregel gespecificeerd.
  7676.  
  7677.  
  7678.  
  7679.      No matching executable files found.
  7680.  
  7681.      Het opgegeven pad komt niet voor of is leeg; het opgegeven bestand komt
  7682.      niet voor of is geen programmabestand.
  7683. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix A
  7684.  
  7685.  
  7686.      Sanity check failed!
  7687.  
  7688.      TbScan signaleert dat de eigen interne checksum niet meer overeenkomt.
  7689.      TbScan is mogelijk beschadigd door virus. Neem een schone kopie van
  7690.      TbScan, kopieer het programma op een schrijf beschermde bootable disket-
  7691.      te, start op vanaf die diskette, en probeer opnieuw!
  7692.  
  7693.  
  7694.  
  7695. TbScanX
  7696.  
  7697.      Data file not found.
  7698.      TbScanX heeft het databestand niet kunnen lokaliseren.
  7699.  
  7700.  
  7701.  
  7702.      Not enough memory
  7703.  
  7704.      Er is niet genoeg vrij geheugen om het databestand te gebruiken. Probeer
  7705.      'swapping' te activeren of, indien u dat reeds geprobeerd heeft, kies
  7706.      een andere swapping mode. Zie ook het hoofdstuk 'Geheugenvereisten' in
  7707.      deel IV van de handleiding.
  7708.  
  7709.  
  7710.  
  7711.      This version of TbScanX requires a <typeID> processor. 
  7712.  
  7713.      U gebruikt een voor de processor geoptimaliseerde versie van TbScanX die
  7714.      niet door de huidige processor kan worden uitgevoerd.
  7715. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix B
  7716.  
  7717.  
  7718. Appendix B. TbScan - Toelichting heuristische vlaggen 
  7719.  
  7720.  
  7721.      # -  Instructie-decryptie routine aangetroffen. 
  7722.      Dit komt voor bij zowel virussen als bij kopieerbeveiligde programma-
  7723.      tuur. Sommige copy-beschermde software is gecodeerd, zodat deze waar-
  7724.      schuwing op enige van uw bestanden van toepassing kan zijn. Verschijnt
  7725.      deze waarschuwing echter in combinatie met bijvoorbeeld de 'T' melding,
  7726.      dan kan er een virus in het spel zijn en gaat TbScan er vanuit dat het
  7727.      bestand is aangetast! Veel virussen coderen zichzelf en veroorzaken deze
  7728.      waarschuwing. 
  7729.  
  7730.      ! -  Ongeldige 8088-opcode of ongeldige sprong-instructie. 
  7731.      Het programma heeft ofwel een entry point dat zich buiten het 'lichaam'
  7732.      van het bestand bevindt, of toont een keten van 'jumps' die gevolgd kan
  7733.      worden naar een plaats buiten het programmabestand. Een andere mogelijk-
  7734.      heid is dat het programma ongeldige processor instructies bevat. Het
  7735.      gecontroleerde programma is waarschijnlijk beschadigd en kan in de
  7736.      meeste gevallen niet worden uitgevoerd. In elk geval neemt TbScan geen
  7737.      enkel risico en gebruikt het de 'scan' methode om het bestand te scan-
  7738.      nen. 
  7739.  
  7740.      ? -  Inconsistente exe-hoofd. 
  7741.      Kan een virus zijn, maar ook een fout. Het onderhavige programma heeft
  7742.      een exe-header die niet overeenkomt met de feitelijke programma lay-out.
  7743.      Het DOS SORT.EXE programma veroorzaakt deze waarschuwing, omdat de
  7744.      feitelijke bestandsgrootte kleiner is dan gemeld in het veld 'size-of-
  7745.      load module' in de exe-header! Veel virussen herstellen de exe-header
  7746.      van een EXE bestand niet correct nadat zij een bestand besmet hebben.
  7747.      Verschijnt deze waarschuwing dan ook regelmatig, dan heeft u waarschijn-
  7748.      lijk een probleem. U kunt deze waarschuwing voor het DOS SORT.EXE
  7749.      programma negeren.
  7750.  
  7751.      c -  Geen checksum/herstel informatie (Anti-Vir.Dat) beschikbaar. 
  7752.      Het is zeer aan te bevelen om TbSetup in dit geval te gebruiken teneinde
  7753.      de programma-informatie te bewaren. Deze informatie kan later gebruikt
  7754.      worden t.b.v. integriteitscon trole en om na een virusbesmetting te
  7755.      kunnen herstellen. 
  7756.  
  7757.      h -  Het programma heeft het 'hidden-' of 'systeem-' attribuut. 
  7758.      Dit betekent dat het bestand niet zichtbaar is in een DOS directory
  7759.      display maar dat TbScan het bestand niettemin wel zal scannen. Indien u
  7760.      de herkomst of de functie van het bestand niet kent, heeft u mogelijk
  7761.      met een 'Trojan Horse' of een 'joke' virus te maken. Kopieer een derge-
  7762.      lijk bestand op een diskette, verwijder het vervolgens uit de programma
  7763.      omgeving en controleer dan of het betreffende programma het bestand
  7764.      mist. Als het bestand niet wordt gemist, heeft u wat schijfruimte
  7765.      vrijgemaakt en heeft u wellicht uw systeem voor een komende ramp be-
  7766.      hoedt.
  7767.  
  7768.      i -  Toevoeging aan einde bestand. Waarschijnlijk interne overlay. 
  7769.      Het onderhavige programma heeft additionele gegevens of programmacode
  7770.      achter de load-module zoals die in de exe-header van het bestand is
  7771.      gespecificeerd. Het programma heeft mogelijk interne overlays, of
  7772. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix B
  7773.  
  7774.  
  7775.      configuratie of debug informatie toegevoegd achter de load-module van
  7776.      het EXE bestand.
  7777.  
  7778.      p -  Gecomprimeerd bestand. Kan een verborgen virus bevatten. 
  7779.      Het programma is gepacked of gecomprimeerd. Er zijn enige utilities die
  7780.      een programmabestand kunnen comprimeren, zoals EXEPACK en PKLITE. Als
  7781.      een bestand besmet is nadat het gecomprimeerd is kan TbScan het virus
  7782.      opsporen. Was het bestand echter al besmet voor het werd gecomprimeerd,
  7783.      dan is het virus tijdens dat proces ook gecomprimeerd zodat een scanner
  7784.      het virus mogelijk niet meer herkent. Gelukkig gebeurt dit niet al te
  7785.      vaak, maar u moet toch opletten! Een nieuw programma kan er schoon
  7786.      uitzien, maar kan desondanks de drager van een gecomprimeerd virus zijn.
  7787.      Andere bestanden op uw systeem zullen dan ook besmet worden, en deze
  7788.      infecties zullen wel zichtbaar zijn voor de virusscanners.
  7789.  
  7790.      w -  Programma bevat MS-Windows of OS/2 exe-hoofd. 
  7791.      Het programma is bedoeld om te worden gebruikt in een Windows (of OS/2)
  7792.      omgeving. Tot op heden biedt TbScan geen speciale scanmethode voor deze
  7793.      bestanden. Natuurlijk zal dat veranderen zodra er Windows- of OS/2-
  7794.      specifieke virussen aan verschijnen.
  7795.  
  7796.      A -  Verdachte geheugenallocatie. 
  7797.      Het programma zoekt of alloceert op ongebruikelijke wijze geheugen. Veel
  7798.      virussen proberen zichzelf in het geheugen te verbergen en gebruiken
  7799.      daarom een niet-standaard methode om dat geheugen te alloceren. Sommige
  7800.      normale programma's (high-loaders en diagnostische software) gebruiken
  7801.      ook niet-standaard methoden om geheugen te zoeken of te alloceren. 
  7802.  
  7803.      B -  Terug naar startpositie. 
  7804.      Bevat code om een programma te herstarten nadat modificaties op het
  7805.      entry point zijn gemaakt. Het programma lijkt enige code uit te voeren,
  7806.      waarna het terugspringt naar het entry point van het programma. Normaal
  7807.      resulteert dit in een eindeloze 'loop', behalve wanneer het programma
  7808.      ook enkele van de programma-instructies heeft gewijzigd. Dit is vrij
  7809.      normaal gedrag voor computervirussen. In combinatie met een andere vlag
  7810.      zal TbScan een virus melden.
  7811.  
  7812.      C -  De checksum klopt niet! Bestand is veranderd! 
  7813.      Deze waarschuwing kan alleen verschijnen als u TbSetup heeft gebruikt om
  7814.      de Anti-Vir.Dat bestanden te genereren. Als deze waarschuwing ver-
  7815.      schijnt, betekent dit dat het bestand is gewijzigd. Als u uw software
  7816.      niet ge-update heeft, is het zeer goed mogelijk dat een virus het be-
  7817.      stand heeft besmet. TbScan zal deze melding niet geven wanneer een
  7818.      intern configuratiegebied van het bestand verandert. Deze waarschuwing
  7819.      betekent dat de code bij het entry point van het programma, het entry
  7820.      point zelf en/of de bestandsgrootte veranderd zijn.
  7821.  
  7822.      D -  Directe schijftoegang. 
  7823.      Programma schrijft buiten DOS om. Deze vlag wordt getoond als het
  7824.      gescande programma dichtbij het entry point instructies bevat om recht-
  7825.      streeks naar de schijf te schrijven. Het is vrij gewoon dat schijf
  7826.      gerelateerde utilities het tonen van deze vlag veroorzaken. Zoals in
  7827.      veel gevallen, indien veel van uw bestanden (die niets van doen hebben
  7828. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix B
  7829.  
  7830.  
  7831.      met het rechtstreeks schrijven naar de schijf) deze vlag veroorzaken,
  7832.      kan uw systeem door een onbekend virus besmet zijn. 
  7833.  
  7834.      Een programma dat de schijf rechtstreeks benadert hoeft niet altijd door
  7835.      de 'D' vlag gemarkeerd te worden. Alleen wanneer de 'direct disk'
  7836.      instructies in de nabijheid van het entry point staan, zal dat door
  7837.      TbScan gemeld worden. Is er een virus in het spel, dan zullen de schade-
  7838.      lijke instructies zich altijd in de buurt van het entry point bevinden,
  7839.      en dat is dan ook de plaats waar TbScan ze zoekt.
  7840.  
  7841.      E -  De code is ontworpen om aangeroepen te worden op iedere plek binnen
  7842.           een uitvoerbaar bestand. 
  7843.      Dit is normaal voor virussen. Het programma begint met een routine die
  7844.      z'n eigen locatie in het programmabestand vaststelt. Dit is nogal
  7845.      verdacht omdat gezonde programma's een vast entry point hebben, en deze
  7846.      vaststelling dus niet nodig hebben. Voor virussen is het echter een vrij
  7847.      algemeen kenmerk: ongeveer 50 procent van de bekende virussen veroorza-
  7848.      ken het tonen van deze vlag.
  7849.  
  7850.      F -  Verdachte bestandstoegang. 
  7851.      Kan mogelijk een bestand besmetten. TbScan heeft instructiesequenties
  7852.      gevonden die lijken op de infectieschema's die door virussen worden
  7853.      gebruikt. Deze vlag verschijnt met die programma's die in staat zijn om
  7854.      bestaande bestanden aan te maken of te wijzigen. 
  7855.  
  7856.      G -  Rommel-instructies. 
  7857.      Code schijnt geen andere bedoeling te hebben dan decryptie en/of mislei-
  7858.      ding van virusscanners. In de meeste gevallen zijn er geen andere
  7859.      vlaggen omdat het bestand gecodeerd is en de instructies verborgen zijn.
  7860.      In een aantal gevallen verschijnt deze vlag bij 'normale' bestanden. Die
  7861.      bestanden zijn zo slecht ontworpen dat zij het tonen van de 'rommel'
  7862.      vlag veroorzaken.
  7863.  
  7864.      J -  Verdachte sprong constructie. 
  7865.      Toegangspositie via ketting- of indirecte sprong. Dit is ongebruikelijk
  7866.      voor normale programmatuur. Het programma startte niet bij het entry
  7867.      point. De code is minstens twee keer versprongen voordat het de uitein-
  7868.      delijke opstartcode bereikte, of het programma sprong d.m.v. een indi-
  7869.      recte operand. Gezonde programma's horen dit soort vreemd gedrag niet te
  7870.      vertonen. Als veel bestanden het tonen van deze vlag veroorzaken, dient
  7871.      u uw systeem grondig te onderzoeken. 
  7872.  
  7873.      K -  Ongebruikelijke (verdachte of oneven) stack. 
  7874.      Het EXE bestand dat wordt gescand heeft een vreemde (of oneven) stack of
  7875.      een verdacht stack segment. Veel virussen zijn nogal 'buggy' door de
  7876.      instelling van een illegale stack waarde.
  7877.  
  7878.      L -  Programma vangt het opstarten van programma's af. 
  7879.      Kan een virus zijn dat dit doet om programmatuur te besmetten. Als het
  7880.      bestand ook een vlag M (geheugen residente code) toont, gaat het waar-
  7881.      schijnlijk om een resident programma dat bepaalt wanneer een ander
  7882.      programma wordt uitgevoerd. Veel virussen vangen de program load en
  7883.      gebruiken deze om het programma te besmetten. Sommige anti-virus utili-
  7884.      ties doen datzelfde.
  7885. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix B
  7886.  
  7887.  
  7888.      M -  Geheugenresidente code. 
  7889.      Programma is een TSR of mogelijk een virus. TbScan heeft instructiese-
  7890.      quenties gevonden die belangrijke interrupts kunnen overnemen. Veel TSR
  7891.      (Terminate and Stay Resident) programma's zullen deze vlag veroorzaken,
  7892.      omdat dit onderdeel van hun gewoonlijke gedrag is. Indien echter veel
  7893.      niet-TSR programma's deze melding veroorzaken, moet u oplettend zijn.
  7894.      Het is niet onwaarschijnlijk dat uw bestanden besmet zijn door een virus
  7895.      dat geheugenresident blijft. Deze melding zal niet verschijnen in geval
  7896.      van echte TSR programma's, noch kan er altijd vertrouwd worden op TSR
  7897.      signalering in niet-TSR programma's.
  7898.  
  7899.      N -  Verkeerde naamuitgang. 
  7900.      Uitgang klopt niet met programmastructuur. Het programma draagt de .EXE
  7901.      extensie maar blijkt een gewoon .COM bestand te zijn, of het heeft de
  7902.      extensie .COM maar de interne lay-out van een .EXE bestand. Een ver-
  7903.      keerde extensie kan in sommige gevallen op een virus duiden, meestal is
  7904.      dat echter niet zo.
  7905.  
  7906.      O -  Code aangetroffen die wordt gebruikt om een programma in het
  7907.           geheugen te verplaatsen of overschrijven. 
  7908.      Deze vlag wordt getoond wanneer TbScan signaleert dat het programma een
  7909.      deel van zijn eigen instructies overschrijft. Desondanks lijkt het
  7910.      bestand geen volledige (de)codeer-routine te hebben. 
  7911.  
  7912.      R -  Relocator.
  7913.      Code kan op verdachte wijze worden gereloceerd. Een relocator is een
  7914.      reeks van instructies die de verhouding CS:IP veranderen. Het wordt vaak
  7915.      door virussen gebruikt. Deze virussen moeten de CS:IP verhouding relo-
  7916.      ceren omdat zij gecompileerd zijn voor een specifieke locatie in het
  7917.      programmabestand. Een virus dat een ander programma besmet, kan bijna
  7918.      nooit de originele locatie in het bestand gebruiken omdat het aan dit
  7919.      bestand is toegevoegd. Gezonde programma's 'kennen' hun locatie in het
  7920.      programmabestand, dus hoeven zij zichzelf niet te reloceren. Op systemen
  7921.      die normaal opereren zal slechts een klein deel van de programma's deze
  7922.      vlag veroorzaken. 
  7923.  
  7924.      S -  Bevat routine om te zoeken naar uitvoerbare (COM/EXE) bestanden.
  7925.      Het programma zoekt naar *.COM en *.EXE bestanden. Op zichzelf is dit
  7926.      nog geen indicatie voor virusaanwezigheid; het is echter wel een kenmerk
  7927.      van de meeste virussen (zij moeten zelf naar geschikte bestanden zoe-
  7928.      ken). Indien deze vlag door andere vlaggen vergezeld wordt, neemt TbScan
  7929.      aan dat het bestand besmet is.
  7930.  
  7931.      T -  Ongeldige datumstempel. 
  7932.      Sommige virussen markeren zo bestanden. Het datumstempel van het pro-
  7933.      gramma is ongeldig, d.w.z. het aantal seconden in de datumstempel is
  7934.      ongeldig, of de datum is ongeldig of ligt later dan het jaar 2000. Dit
  7935.      is verdacht, omdat veel virussen het datumstempel op een ongeldige
  7936.      waarde zetten (zoals 62 seconden) om aan te geven dat het bestand reeds
  7937.      besmet is. Hiermee wordt voorkomen dat een bestand voor een tweede maal
  7938.      wordt besmet. Het is mogelijk dat gecontroleerde programma's beschadigd
  7939.      zijn door een nog onbekend virus, met name wanneer veel bestanden op het
  7940.      systeem een ongeldig datumstempel hebben. Als slechts een paar pro-
  7941. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix B
  7942.  
  7943.  
  7944.      gramma's een ongeldige datumstempel hebben, dient u deze te corrigeren
  7945.      en er op te letten dat het verschijnsel zich niet herhaalt. 
  7946.  
  7947.      U -  Ongedocumenteerde interrupt/DOS aanroep. 
  7948.      Programma kan een virus bevatten dat zichzelf op deze manier detecteert.
  7949.      Deze onbekende calls kunnen gelanceerd worden om ongedocumenteerde DOS
  7950.      functies te starten, of om met een onbekende driver in het geheugen te
  7951.      communiceren. Daar veel virussen ongedocumenteerde DOS functies gebrui-
  7952.      ken, of met eerder geladen geheugenresidente delen van het virus commu-
  7953.      niceren, is het verdacht als een programma onbekende of ongedocumenteer-
  7954.      de communicatie uitvoert. Desalniettemin is dit niet noodzakelijk een
  7955.      aanwijzing voor een virus, omdat enkele 'tricky' programma's ook ongedo-
  7956.      cumenteerde functies gebruiken.
  7957.  
  7958.      V -  Gevalideerd programma
  7959.      Dit verdachte bestand is gevalideerd tegen heuristisch alarm. 
  7960.      -    Het ontwerp van dit programma zou normaal gesproken een loos alarm
  7961.           veroorzaken door de heuristische scan modus van TbScan, of:
  7962.      -    Dit programma kan mogelijk veelvuldig veranderen en het bestand is
  7963.           uitgesloten van integriteitscontrole.
  7964.      Deze uitsluitingen zijn opgeslagen in het Anti-Vir.Dat bestand door
  7965.      ofwel TbSetup (automatisch) ofwel door TbScan (handmatig).
  7966.  
  7967.      Y -  Bootsector klopt niet met IBM specificatie. 
  7968.      Mist '55AA' markering. De bootsector is niet geheel in overeenstemming
  7969.      met het door IBM gedefinieerde bootsector formaat. De bootsector bevat
  7970.      mogelijk een virus, of is verminkt. 
  7971.  
  7972.      Z -  EXE/COM vaststelling. 
  7973.      Programma probeert te ontdekken of een bestand een COM dan wel EXE
  7974.      bestand is. Kan een virus zijn! Het besmetten van een COM bestand werkt
  7975.      anders dan het besmetten van een EXE bestand, hetgeen impliceert dat
  7976.      virussen die beide typen kunnen besmetten, de typen ook uit elkaar
  7977.      kunnen houden. Er zijn natuurlijk ook onschuldige programma's die moeten
  7978.      bepalen of een bestand COM dan wel EXE is. Executable file compressors,
  7979.      EXE2COM converters, debuggers, en high-loaders zijn voorbeelden van pro-
  7980.      gramma's die een routine kunnen bevatten om EXE en COM bestanden te
  7981.      onderscheiden.
  7982. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix C
  7983.  
  7984.  
  7985. Appendix C. Oplossingen t.a.v. incompatibiliteit
  7986.  
  7987.  
  7988.      Alhoewel de TBAV utilities ontworpen zijn om samen te werken met andere
  7989.      residente software, werkt die andere software mogelijk niet samen, en
  7990.      kan daardoor mogelijk systeemfouten -of erger- veroorzaken.
  7991.  
  7992.  
  7993.      Probleem:      Als een TBAV utility een boodschap tracht te tonen,
  7994.                     verschijnt de melding 'message file <filename> could not
  7995.                     be opened'.
  7996.  
  7997.      Oplossing:     Geef na het TbDriver commando het VOLLEDIGE pad en de
  7998.                     bestandsnaam op van het bestand dat u als boodschappenbe-
  7999.                     stand gebruikt. De default naam is "TbDriver.Lng".
  8000.  
  8001.  
  8002.  
  8003. ~    Probleem:      Een van uw applicaties laadt een resident programma in
  8004.                     het geheugen zonder dat dit programma een uitvoerbare
  8005.                     uitgang heeft zoals .EXE of .COM. Omdat TbSetup alleen
  8006.                     Anti-Vir.Dat records maakt voor uitvoerbare bestanden kan
  8007.                     TbMem de TSR permissie niet opslaan.
  8008.  
  8009.      Solution:      Roep TbSetup aan met de EXACTE bestandsnaam van het
  8010.                     residente programma. Hierdoor maakt TbSetup een Anti-
  8011.                     Vir.Dat record aan, ongeacht de bestandsnaamuitgang.
  8012.                     Hierdoor kan TbMem de gewenste informatie opslaan.
  8013.  
  8014.                     Hoewel het Anti-Vir.Dat record bestaat zal TbScan het
  8015.                     niet gebruiken om veranderingen te detecteren, dit om
  8016.                     valse alarmeringen te voorkomen.
  8017.  
  8018.  
  8019.  
  8020.      Probleem:      U gebruikt een netwerk. 
  8021.  
  8022.                     TbScanX is met succes geinstalleerd, maar toont de
  8023.                     "*scanning*" boodschap niet wanneer het bestanden bena-
  8024.                     dert. Het signaleert ook geen virussen.
  8025.  
  8026.                     TbCheck is met succes geinstalleerd, maar toont de
  8027.                     "*checking*" boodschap niet gedurende het benaderen van
  8028.                     bestanden. Het signaleert ook geen virussen. 
  8029.  
  8030.                     TbFile is met succes geinstalleerd, maar het signaleert
  8031.                     niets meer. 
  8032.  
  8033.                     TbMem is met succes geinstalleerd, maar het signaleert
  8034.                     geen TSRs meer. 
  8035.  
  8036.      Oplossing:     Gebruik het 'TbDriver net' commando nadat het netwerk
  8037.                     geladen is. 
  8038. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix C
  8039.  
  8040.  
  8041.  
  8042. ~    Probleem:      Het systeem hangt soms wanneer de boodschap "*scanning*"
  8043.                     op het scherm wordt getoond.
  8044.  
  8045.      Oplossing:     Probeer TbScanX eens zonder de optie 'EMS' of 'XMS'. Als
  8046.                     TbScanX nu probleemloos werkt, voeg dan de optie 'EMS' of
  8047.                     'XMS' weer toe met de optie 'compat'. Op sommige systemen
  8048.                     kan de TbScanX 'XMS' optie helemaal niet gebruikt worden,
  8049.                     omdat deze systemen het gebruik van extended geheugen
  8050.                     door residente software niet toestaan.
  8051.  
  8052.                     Indien het probleem wordt veroorzaakt door de optie 'XMS'
  8053.                     maar niet kan worden opgelost met optie 'compat' kunt u
  8054.                     optie 'XMSseg = <value>' gebruiken om het XMS swapsegment
  8055.                     te veranderen. De waarde dient te liggen tussen de 2000
  8056.                     en 8000. De verstekwaarde is 4000.
  8057.  
  8058.  
  8059.  
  8060.      Probleem:      Nadat u een programma permissie heeft gegeven om resident
  8061.                     in het geheugen te blijven, vraagt TbMem dezelfde vraag
  8062.                     de volgende keer weer. 
  8063.  
  8064.      Oplossing:     1)   De 'secure' optie van TbDriver is opgegeven. Verwij-
  8065.                          der deze optie, herstart en probeer het opnieuw. 
  8066.  
  8067.                     2)   Het genoemde programma komt niet voor in het Anti-
  8068.                          Vir.Dat bestand, waardoor TbMem de permissievlag
  8069.                          niet permanent kan opslaan. Gebruik TbSetup om het
  8070.                          Anti-Vir.Dat record van dit programma te genereren.
  8071.  
  8072.  
  8073.  
  8074.      Probleem:      Het systeem hangt af en toe wanneer u de vraag 'abort
  8075.                     program' van TbMem met 'Yes' beantwoordt.
  8076.  
  8077.      Oplossing:     Geen. Sommige residente programma's grijpen diep op het
  8078.                     systeem in. Zodra zij geweigerd zijn om resident te
  8079.                     worden is de status van het systeem niet stabiel meer. 
  8080.  
  8081.  
  8082.  
  8083.      Probleem:      Wanneer u TbDisk vanaf de DOS prompt laadt, werkt alles
  8084.                     goed. Installeert u TbDisk echter vanuit de Config.Sys of
  8085.                     de AutoExec.Bat, dan blijft het waarschuwen dat er pro-
  8086.                     gramma's direct naar de schijf schrijven. 
  8087.  
  8088.      Oplossing:     Laadt TbDisk aan het einde van uw AutoExec.Bat.
  8089.  
  8090.  
  8091.  
  8092.      Probleem:      U formatteerde de harde schijf met DOS FORMAT.COM, maar
  8093.                     TbDisk gaf pas een melding toen het proces bijna beein-
  8094.                     digd was. 
  8095. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix C
  8096.  
  8097.  
  8098.      Oplossing:     Dit is geen probleem. Een 'high level format' programma
  8099.                     als DOS FORMAT.COM formatteert de harde schijf feitelijk
  8100.                     niet, maar leest alle sporen om mogelijk aanwezige slech-
  8101.                     te plekken te lokaliseren waarna het de FAT en de direc-
  8102.                     tory structuur opschoont. Alleen deze laatste stap bete-
  8103.                     kent een schrijfactie. Alleen deze laatste stap wordt dus
  8104.                     door TbDisk gesignaleerd.
  8105.  
  8106.  
  8107.  
  8108.      Probleem:      Nadat u een programma toestemming heeft gegeven om een
  8109.                     rechtstreekse schijfbenadering uit te voeren, stelt
  8110.                     TbDisk een volgende keer dezelfde vraag. 
  8111.  
  8112.      Oplossing:     1)   De 'secure' optie van TbDriver is opgegeven. Verwij-
  8113.                          der deze optie, herstart en probeer opnieuw. 
  8114.                     2)   Het genoemde programma komt niet voor in het Anti-
  8115.                          Vir.Dat bestand, waardoor TbDisk de permissievlag
  8116.                          niet permanent kan opslaan. Gebruik TbSetup om het
  8117.                          Anti-Vir.Dat record van dit programma te genereren!
  8118.  
  8119.  
  8120.  
  8121.      Probleem:      Wanneer u Windows fast 32 bit disk access probeert te
  8122.                     gebruiken, krijgt u een Windows foutmelding.
  8123.  
  8124.      Oplossing:     Gebruik de optie 'win32' op de TbDisk commandoregel.
  8125. TBAV handleiding (C) Copyright 1993 Thunderbyte B.V.                Appendix D
  8126.  
  8127.  
  8128.  
  8129. Appendix D. Batch-bestand informatie
  8130.  
  8131.  
  8132.      Alle TBAV utilities keren terug naar DOS met een errorcode die u kunt
  8133.      benutten met het DOS 'errorlevel' commando. Raadpleeg uw DOS handleiding
  8134.      voor informatie over deze commando's.
  8135.  
  8136.      TbScan wordt afgesloten met een van de volgende exit codes:
  8137.  
  8138.      Errorlevel     0    Geen virussen gevonden / Geen fout opgetreden 
  8139.                     1    Geen bestanden gevonden
  8140.                     2    Fout opgetreden
  8141.                     3    Bestanden zijn veranderd
  8142.                     4    Virus gevonden tijdens heuristische analyse
  8143.                     5    Virus gevonden tijdens handtekening scanning
  8144.                     255  Sanity check mislukt
  8145.  
  8146.  
  8147.      TbUtil wordt afgesloten met een van de volgende exit codes:
  8148.  
  8149.      Errorlevel     0    Geen fout opgetreden
  8150.                     1    Optie 'compare' niet geslaagd of fout opgetreden
  8151.  
  8152.  
  8153.      Alle andere utilities sluiten af met een van de volgende exit codes:
  8154.  
  8155.      Errorlevel     0    Geen fout opgetreden
  8156.                     1    Fout opgetreden 
  8157.  
  8158.  
  8159.      Om in een Batch-bestand vast te stellen of een bepaald TBAV programma is
  8160.      geladen kunt u vaststellen met behulp van de device-naam die elk TBAV
  8161.      programma installeert in zowel de device- als TSR-modus.
  8162.  
  8163.      U kunt de DOS 'if exist' constructie gebruiken:
  8164.  
  8165.           @echo off
  8166.           if not exist SCANX echo TbScanX is niet geladen!
  8167.  
  8168.      Of u kunt naar een label springen met het 'goto' commando:
  8169.  
  8170.           if not exist SCANX goto noscanx
  8171.           bla bla
  8172.           :noscanx
  8173.           bla bla
  8174.  
  8175.      De TBAV device namen zijn:
  8176.           TbScanX:            SCANX
  8177.           TbCheck:            TBCHKXXX
  8178.           TbMem:              TBMEMXXX
  8179.           TbFile:             TBFILXXX
  8180.           TbDisk:             TBDSKXXX
  8181.           TbLog:              TBLOGXXX
  8182.  
  8183. Appendix E. Virusbenamingen
  8184.  
  8185.  
  8186.      Hoeveel virussen spoort TbScan op? 
  8187.  
  8188.      De meeste TbScan handtekeningen zijn handtekeningfamiles: een handteke-
  8189.      ning detecteert een hele reeks virussen. Al deze virussen zijn aan
  8190.      elkaar gerelateerd. De PLO/Jerusalem handtekening in TBAV bijvoorbeeld,
  8191.      spoort meer dan 100 virussen op. Om deze reden is het niet mogelijk te
  8192.      zeggen hoeveel virussen TbScan opspoort. Enkele andere anti-virus
  8193.      produkten behandelen elke virus mutant als een afzonderlijk virus,
  8194.      daarbij bewerend dat zij meer dan 2000 virussen kunnen opsporen. TbScan
  8195.      kan met 'slechts' 1000 handtekeningen echter meer virussen identifice-
  8196.      ren.
  8197.  
  8198.      Wilt u virusscanners vergelijken, dan kunt u het beste vertrouwen op de
  8199.      tests die regelmatig in de vaktijdschriften verschijnen.
  8200.  
  8201.  
  8202.      De conventie van de virusbenamingen
  8203.  
  8204.      TbScan volgt de aanbevelingen van CARO wat betreft de virusbenamingen.
  8205.      CARO is een organisatie waarin leidende anti-virus onderzoekers partici-
  8206.      peren. Virussen worden in een hierarchische boom gerangschikt, die
  8207.      aangeeft tot welke familie een bepaald virus behoort. TbScan toont
  8208.      indien mogelijk de volledige CARO naam. Veel andere anti-virus produkten
  8209.      tonen echter alleen de familienaam of de lidnaam. 
  8210.  
  8211.      Het 'Leprosy.Seneca.493' virus kan bijvoorbeeld worden aangeduid door de
  8212.      familienaam 'Leprosy' of door de lidnaam 'Seneca', of zelfs door de naam
  8213.      van de variant: '493'. 
  8214.  
  8215.      Anti-virus produkten, ontwikkeld door niet-CARO leden gebruiken soms
  8216.      zelfs een volledig afwijkende naam. TbScan probeert echter zo veel
  8217.      mogelijk van de volledige naam te tonen. Als TbScan niet in staat is om
  8218.      te onderscheiden tussen het 'Leprosy.Seneca.493' virus en het 'Lepro-
  8219.      sy.Seneca.517' virus, worden beide virussen aangegeven door de naam
  8220.      'Leprosy.Seneca'.
  8221.  
  8222.      Sommige virussen veranderen zichzelf regelmatig. Om alle vormen van een
  8223.      dergelijk virus op te sporen is het soms nodig om meervoudige handteke-
  8224.      ningen te gebruiken. Alhoewel deze handtekeningen precies hetzelfde
  8225.      virus betreffen, verschillen ze iets in de aanduiding. Achter de naam
  8226.      van het virus ziet u een nummer tussen punthaken. Dit nummer heeft
  8227.      echter niets te maken met de naam van het virus, maar staat daar slechts
  8228.      voor redenen van onderhoud.