home *** CD-ROM | disk | FTP | other *** search
/ Software Vault: The Gold Collection / Software Vault - The Gold Collection (American Databankers) (1993).ISO / cdr32 / scan104.zip / SCAN104.DOC < prev    next >
Text File  |  1993-05-03  |  57KB  |  1,374 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.                           VIRUSCAN Version 9.15V104
  19.                 Copyright (C) 1989 - 1993 by McAfee Associates
  20.                              All rights reserved.
  21.  
  22.                        Documentation by Aryeh Goretsky.
  23.  
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.           McAfee Associates, Inc.          (408) 988-3832 office
  49.           3350 Scott Blvd, Bldg. 14        (408) 970-9727 fax
  50.           Santa Clara, CA  95054-3107      (408) 988-4004 BBS (25 lines)
  51.           U.S.A.                           USR HST/v.32/v.42bis/MNP1-5
  52.                                            CompuServe        GO MCAFEE
  53.                                            InterNet support@mcafee.COM
  54.  
  55.  
  56.                               TABLE OF CONTENTS:
  57.  
  58.           WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .2
  59.             - New features and viruses in this release
  60.             - System Requirements
  61.  
  62.           OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .3
  63.             - Detection of known viruses
  64.             - Detection of new and unknown viruses
  65.  
  66.           SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .4
  67.             - Technical description of known virus detection
  68.             - Technical description of new/unknown virus detection
  69.  
  70.           AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .5
  71.             - How to verify the SCAN.EXE program file
  72.  
  73.           COMMAND SUMMARY. . . . . . . . . . . . . . . . . . . . . . . .6
  74.             - One-line description of switches
  75.  
  76.           OPTIONS. . . . . . . . . . . . . . . . . . . . . . . . . . . .8
  77.             - Detailed explanation of switches
  78.  
  79.           EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .15
  80.             - Samples of frequently-used options
  81.  
  82.           EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .16
  83.             - Running VIRUSCAN from batch files
  84.  
  85.           VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .16
  86.             - How to manually remove a virus
  87.  
  88.           REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .17
  89.             - How to register VIRUSCAN
  90.  
  91.           TECHNICAL SUPPORT INFORMATION  . . . . . . . . . . . . . . . .17
  92.            - Information you should have ready when calling
  93.  
  94.           OBTAINING THE LATEST VERSION OF VIRUSCAN . . . . . . . . . . .18
  95.            - BBS, CompuServe, and Internet access to SCAN
  96.  
  97.           APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .19
  98.            - Creating a virus string file with the /EXT option
  99.  
  100.           APPENDIX B . . . . . . . . . . . . . . . . . . . . . . . . . .21
  101.            - How to check only memory for viruses
  102.            - Validation codes:  Tips and Tricks
  103.            - Reformatting infected floppies with DOS 5.00 & 6.00
  104.            - Creating a Recovery Disk
  105.  
  106.           APPENDIX C . . . . . . . . . . . . . . . . . . . . . . . . . .23
  107.            - Foreign Language Support
  108.  
  109.                                     Page 1
  110. VIRUSCAN Version 9.15V104                                     Page 2
  111.  
  112.           WHAT'S NEW
  113.  
  114.                This is version of 9.15V104 of VIRUSCAN (SCAN.EXE).
  115.           Beginning with this release, SCAN combines the functionality
  116.           of NETSCAN into VIRUSCAN.  The NETSCAN program will no longer
  117.           be provided by McAfee Associates.  Instead, use VIRUSCAN to
  118.           scan all local and network drives for viruses.
  119.                To compensate for this change, the following options
  120.           have been changed:
  121.  
  122.           ·    The /AD switch has been enhanced to allow all local
  123.                drives, all networked drives, or both to be scanned.
  124.  
  125.           ·    The /BMP switch has been added to scan OS/2 Boot Manager
  126.                partitions for viruses.
  127.  
  128.           ·    The /UNATTEND switch has been made a default setting (it
  129.                was required for networked and multitasking computers).
  130.                A message will be displayed if SCAN cannot open a file:
  131.                "Sorry cannot open file xxxxxxxx.xxx."
  132.  
  133.                Version 104 adds detection of 219 new viruses, bringing the
  134.           total number of known viruses to 1,353, or counting variants,
  135.           2,049 viruses.
  136.                Version 103 was skipped due to a Trojan horse bearing
  137.           that version number reported from Arizona.
  138.  
  139.                For a complete list of known viruses, refer to the enclosed
  140.           VIRLIST.TXT file.  For a description of known viruses please
  141.           refer to Patricia Hoffman's Hypertext VSUM.
  142.  
  143.  
  144.           SYSTEM REQUIREMENTS
  145.  
  146.                SCAN requires 400Kb of free RAM and DOS 2.0 or above.
  147.           VIRUSCAN works with 3Com 3/Share and 3/Open, Artisoft LanTastic,
  148.           AT&T StarLAN, Banyan VINES, DEC Pathworks, IBM LAN Server,
  149.           Microsoft LAN Manager, Novell NetWare, and any other IBMNET or
  150.           NETBIOS compatible network operating systems.  Contact McAfee
  151.           Associates or your local Authorized Agent if you do not see your
  152.           network listed.
  153.  
  154.                SCAN is designed to check floppy, hard, CD-ROM, and
  155.           compressed (SuperStor, Stacker, Doublespace, etc.) disks on
  156.           both stand-alone and networked PC's as well as network file
  157.           servers for pre-existing infections of known and unknown
  158.           viruses.  If you have a Novell NetWare/386 V3.11 file server,
  159.           you may wish to use the NETSHIELD virus prevention NetWare
  160.           Loadable Module instead.
  161.  
  162. VIRUSCAN Version 9.15V104                                     Page 3
  163.  
  164.                SCAN displays messages in English (default); foreign
  165.           language support is available for many other languages.  Please
  166.           refer to APPENDIX C for information on foreign language support.
  167.  
  168.           NOTE:  WRITE-PROTECT THE FLOPPY DISK CONTAINING THE VIRUSCAN
  169.                  (SCAN.EXE) PROGRAM BEFORE SCANNING TO PREVENT VIRUSCAN
  170.                  FROM BECOMING INFECTED BY A COMPUTER VIRUS.
  171.  
  172.  
  173.           OVERVIEW (Known Virus Detection)
  174.  
  175.                VIRUSCAN Version 9.15V104 (filename SCAN.EXE) identifies
  176.           all 1,353 known computer viruses and their variants.  Some
  177.           viruses have been modified so that more than one "strain"
  178.           exists.  Counting such modifications, 2,049 viruses exist.
  179.  
  180.                All known viruses infect one or more of the following
  181.           areas: the hard disk partition table (alias Master Boot Record);
  182.           the DOS Boot Sector of disks; or one or more executable files on
  183.           the system.  Executable files include operating system files,
  184.           .COM files, .EXE files, overlay files, or any other files
  185.           containing program code.  A virus that infects more than one
  186.           area, such as a boot sector and an executable file is called
  187.           a multipartite virus.
  188.  
  189.                SCAN checks files, subdirectories, diskettes or entire
  190.           systems for pre-existing computer virus infections.  In the
  191.           case of infection by a known virus, it will identify the virus
  192.           infecting the system, the area(s) it was found, and the I.D.
  193.           code used by CLEAN-UP to remove it.
  194.  
  195.                Infected files can be removed using the /D switch in SCAN
  196.           to erase the file, or with the CLEAN-UP universal virus removal
  197.           (disinfection) program.  CLEAN-UP is recommended because in most
  198.           cases it will eliminate the virus and fully restore infected
  199.           programs or system areas to normal operation.
  200.  
  201.                The accompanying VIRLIST.TXT file lists describes all
  202.           viruses identified by SCAN and their associated I.D. codes for
  203.           removal by CLEAN-UP.
  204.  
  205.  
  206.           OVERVIEW  (Unknown and New Virus Detection)
  207.  
  208.                SCAN has three separate methods of detecting unknown and
  209.           new viruses:
  210.  
  211.           ·     Validation codes which can be periodically checked against
  212.                 to look for the changes made by a virus to files or system
  213.                 areas.
  214.  
  215.           ·     Generic and Family virus detectors to look for new viruses
  216.                 which are derivatives of older viruses.
  217.  
  218.           ·     External virus signatures to insert new virus signature
  219.                 strings on a temporary basis to SCAN.
  220.  
  221. VIRUSCAN Version 9.15V104                                     Page 4
  222.  
  223.  
  224.           SYNOPSIS (technical description of known virus detection)
  225.  
  226.                SCAN detects known viruses by searching the system for
  227.           strings (sequences of bytes) unique to each computer virus and
  228.           reporting their presence if found.  For viruses which encrypt or
  229.           cipher their code so that every infection of the virus is
  230.           different, SCAN uses detection algorithms (programs) that work
  231.           by statistical analysis, heuristics, or code disassembly.
  232.  
  233.  
  234.           SYNOPSIS (technical description of new/unknown virus detection)
  235.  
  236.               SCAN checks for new or unknown viruses by comparing
  237.           files against previously-recorded validation (checksum) data.
  238.           SCAN has two levels of validation which are stored in three
  239.           separate ways:
  240.  
  241.           ·     A simple 10-byte long validation checksum may be appended
  242.                 to .COM and .EXE files.  If a file has been modified, it
  243.                 no longer matches the checksum and SCAN will report the
  244.                 file may have become infected.  (/AV, /CV, /RV switches)
  245.  
  246.           ·     An enhanced 52-byte validation and recovery data checksum
  247.                 can also be created.  This can be appended to the end of
  248.                 files like the 10-byte checksum, or stored in a separate
  249.                 log file which can be offline (e.g., on floppies) for
  250.                 recovery purposes.  CLEAN-UP can restore infected files,
  251.                 partition tables, or boot sectors using this information.
  252.                 (/AG, /CG, /RG switches and /AF, /CF, /RF switches)
  253.  
  254.           NOTE:  If validation codes are attached to files, SCAN will NOT
  255.                  add codes to the partition table, boot sector, or system
  256.                  files.  Instead, a separate hidden file will be created
  257.                  in the root directory named SCANVAL.VAL containing data
  258.                  for these areas.
  259.  
  260.           NOTE:  Files which are self-checking (e.g., Lotus 1-2-3) should
  261.                  not be validated with the /AV (Add Validation) or /AG
  262.                  (Add Generic) switches which modify files.  Instead, use
  263.                  the /AF (Add File) switch.
  264.  
  265.                SCAN also checks for new or unknown viruses by searching
  266.           for Generic or Family virus strings.  These are strings that
  267.           have been found repeatedly in different viruses.  Since virus
  268.           writers may use the older pieces of code for new viruses, this
  269.           allows SCAN to detect viruses which have not been written yet.
  270.  
  271.                VIRUSCAN can be updated to search for new viruses by an
  272.           External Virus Data File, which allows the user to input new
  273.           search strings for viruses. (/EXT switch)
  274.  
  275.  
  276. VIRUSCAN Version 9.15V104                                     Page 5
  277.  
  278.  
  279.           AUTHENTICITY
  280.  
  281.                Before using SCAN for the first time, verify that it has
  282.           not been tampered with or infected by a virus by using the
  283.           the enclosed VALIDATE program.  For instructions on using
  284.           VALIDATE, please read the VALIDATE.DOC file.
  285.  
  286.                The validation results for Version 9.15V104 should be:
  287.  
  288.                         FILE NAME: SCAN.EXE
  289.                              SIZE: 117,452
  290.                              DATE: 05-03-1993
  291.               FILE AUTHENTICATION
  292.                    Check Method 1: 5771
  293.                    Check Method 2: 1FC0
  294.  
  295.           If your copy of SCAN differs, it may have been damaged or have
  296.           options stored in it with the /SAVE switch.  Run SCAN with only
  297.           the /SAVE option to remove any stored options and then re-run
  298.           VALIDATE.  Always obtain your copy of VIRUSCAN from a known
  299.           source.  The latest version of VIRUSCAN and validation data for
  300.           SCAN.EXE can be obtained from McAfee Associates' bulletin board
  301.           system at (408) 988-4004 or from the McAfee Virus Help Forum on
  302.           CompuServe (GO MCAFEE), or the mcafee.COM anonymous ftp site on
  303.           the Internet.
  304.  
  305.                VIRUSCAN performs a self-check when run.  If SCAN has been
  306.           modified in any way, a warning will be displayed and the user
  307.           will be prompted to either continue or quit.  SCAN can still
  308.           check for viruses, however, if SCAN reports that it has been
  309.           damaged, it is recommended that a clean copy be obtained.
  310.  
  311.                All of McAfee Associates' programs are archived with
  312.           Version 1.10 of PKWare's PKZIP Authentic File Verification.
  313.           When unzipped with Version 1.10 of PKWare's PKUNZIP program,
  314.           an "-AV" will be displayed after each file is unzipped and an
  315.           "Authentic Files Verified! # NWN405  Zip Source: McAFEE
  316.           ASSOCIATES" will appear once all files are unzipped.
  317.  
  318.           NOTE:  If you do not receive the Authentic File Verification
  319.                  messages, you may be using a different version of
  320.                  PKUNZIP, such as V1.93α or V2.04.  Use PKUNZIP Version
  321.                  1.10 to unzip files if you wish to have Authenticity
  322.                  Verification displayed as files are unzipped.
  323.  
  324.  
  325.  
  326.  
  327.  
  328.  
  329.  
  330.  
  331. VIRUSCAN Version 9.15V104                                     Page 6
  332.  
  333.  
  334.           COMMAND SUMMARY
  335.  
  336.           IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  337.                            TO PREVENT INFECTION OF THE VIRUSCAN PROGRAM.
  338.  
  339.                VIRUSCAN checks files and other areas of the system that
  340.           can contain a computer virus.  When a virus is found, SCAN
  341.           identifies the virus and the file or system area where it was
  342.           found.
  343.                SCAN examines files based on their extension.  The default
  344.           extensions supported by SCAN are .APP, .BIN, .COM, .EXE, .OV?,
  345.           .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions
  346.           can be added with the /E option, or use the /A to check all
  347.           files.
  348.  
  349.  
  350.           Valid options for VIRUSCAN are:
  351.  
  352.                            SCAN {drive(s)} {options}
  353.  
  354.           {drive(s)}       - Indicates a drive or drives to be scanned
  355.  
  356.           Options are:
  357.  
  358.           \                - Scan root directory and boot area only
  359.           /? /H or /HELP   - Displays help screen
  360.           /A               - Scan all files, including data, for viruses
  361.           /AD{x}           - Scan all drives {L = Local, N = Network}
  362.           /AF {filename}   - Store recovery & validation data to {filename}
  363.           /AG {filename}   - Add recovery & validation data to files
  364.                               EXCEPT for those listed in {filename}
  365.           /AV {filename}   - Add validation codes to files EXCEPT for
  366.                               those listed in {filename}
  367.           /BELL            - Beep whenever a virus is found
  368.           /BMP             - Scan OS/2 Boot Manager partition ONLY
  369.           /CERTIFY         - List files that do not have a validation code
  370.           /CF {filename}   - Check for viruses using recovery & validation
  371.                               data stored in {filename}
  372.           /CHKHI           - Check memory from 0Kb to 1,088Kb
  373.           /CG              - Check recovery & validation data on files
  374.           /CV              - Check validation codes on files
  375.           /D               - Overwrite and delete infected files
  376.           /DATE            - Save the date and time SCAN was last run
  377.                               (use /SHOWDATE to display)
  378.           /E .xxx .yyy     - Scan overlay extensions .XXX and .YYY
  379.           /EXT {filename}  - Scan using external virus data from {filename}
  380.           /FAST            - Speed up VIRUSCAN's output
  381.                               (see below for specifics)
  382.           /HISTORY {fname} - Create infection log {fname} appending to old log
  383.           /M               - Scan memory for all viruses
  384.                               (see below for specifics)
  385.  
  386. VIRUSCAN Version 9.15V104                                     Page 7
  387.  
  388.  
  389.           /MAINT           - Scan "invalid media" error (damaged) disk
  390.           /MANY            - Scan multiple disks
  391.           /NLZ             - Skip internal scan of LZEXE-compressed files
  392.           /NOBREAK         - Disable Ctrl-C and Ctrl-Brk during scanning
  393.           /NOEXPIRE        - Do not display expiration notice
  394.           /NOMEM           - Disable memory check
  395.           /NOPAUSE         - Disable screen pause when scanning
  396.           /NPKL            - Skip internal scan of PKLITE-compressed files
  397.           /REPORT {fname}  - Create infection log {fname} deleting the old log 
  398.           /RF {filename}   - Remove recovery & validation data from {filename}
  399.           /RG              - Remove recovery & validation data from files
  400.           /RV              - Remove validation codes from specified files
  401.           /SAVE            - Save specified options as new default options
  402.           /SHOWDATE        - Display the date and time SCAN was last run
  403.                               (use /DATE to save date and time)
  404.           /SUB             - Scan all subdirectories inside a subdirectory
  405.           @{filename}      - Scan using options from {filename}
  406.  
  407.  
  408.  
  409.  
  410.  
  411.  
  412.  
  413.  
  414.  
  415.  
  416.  
  417.  
  418.  
  419.  
  420.  
  421.  
  422.                     [This space left intentionally blank.]
  423.  
  424.  
  425.  
  426.  
  427.  
  428.  
  429.  
  430.  
  431.  
  432.  
  433.  
  434.  
  435.  
  436.  
  437.  
  438.  
  439.  
  440.  
  441. VIRUSCAN Version 9.15V104                                     Page 8
  442.  
  443.  
  444.           OPTIONS
  445.  
  446.                Following is a detailed description of VIRUSCAN's options.
  447.  
  448.           NOTE:  The /AV and /AG switches modify executable files, the
  449.                  /SAVE switch modifies the SCAN.EXE file.  If SCAN is
  450.                  run against a network drive, it must be run from an
  451.                  account with rights to modify files.
  452.  
  453.           NOTE:  Changes made by the /AV, /AG, and /SAVE switches may
  454.                  cause other anti-viral programs to generate a warning.
  455.  
  456.           /A - This option checks all files on the drive scanned and also
  457.           examines a greater portion of files.  This substantially
  458.           increases the time required to scan disks and also increases
  459.           VIRUSCAN's ability to detect viruses in overlay files.  It is
  460.           recommended this switch only be used when installing software
  461.           or if a file-infecting virus has been found.  This option takes
  462.           priority over the /E option.
  463.  
  464.           /AD{x} - This option scans all drives for viruses.  If /ADL
  465.           is used, all local drives are checked, including compressed
  466.           drives and CD-ROM's.  If /ADN is used, all networked drives
  467.           are checked.  To scan local and network drives, use /AD by
  468.           itself.
  469.  
  470.           /AF {filename} - This option logs recovery and validation
  471.           data for .COM and .EXE files, boot sector, and partition table
  472.           of a disk to a user-specified file.  The log file size is about
  473.           20Kb per 1,000 files validated.  Recovery from a virus using the
  474.           /AF information requires the CLEAN-UP (CLEAN.EXE) program.
  475.  
  476.           /AG {filename} - This option allows the user to store recovery
  477.           and validation data for .COM and .EXE files, boot sector, and
  478.           partition table of a disk.  Recovery information adds 52 bytes
  479.           to files.  The recovery information for the partition table,
  480.           boot sector, COMMAND.COM and system files is stored separately
  481.           in a hidden file called SCANVAL.VAL in the root directory of the
  482.           drive being scanned.  {filename} is an optional ASCII text file
  483.           listing files NOT to add recovery and validation data to (see
  484.           NOTE below).  Recovery from a virus using the /AG information
  485.           requires the CLEAN-UP (CLEAN.EXE) program.
  486.  
  487.           /AV {filename} - This option allows the user to store validation
  488.           codes for .COM and .EXE files, boot sector, and partition table
  489.           of a disk.  Validation information adds 10 bytes to files.  The
  490.           validation codes for the partition table, boot sector, system
  491.           files and COMMAND.COM is stored separately in a hidden file
  492.           named SCANVAL.VAL in the root directory of the drive being
  493.           scanned.  {filename} is an optional ASCII text file listing the
  494.           files NOT to add validation codes to (see note below).
  495.  
  496. VIRUSCAN Version 9.15V104                                     Page 9
  497.  
  498.  
  499.           NOTE:  Files which are immunized against viruses or contain
  500.                  self-modifying code should not have validation codes
  501.                  added to them.  To prevent SCAN from adding validation
  502.                  codes to these files, a validation exception list must be
  503.                  created with the path and filename of each file NOT to be
  504.                  validated listed on each line (only one filename for each
  505.                  line).  To put a comment in, start the line with an "*"
  506.                  character.  This sample file contains a list of programs
  507.                  NOT to validate:
  508.  
  509.           *LIST OF FILES NOT TO USE /AV OR /AG OPTIONS WITH
  510.           *
  511.           *This is Nantucket Corp's database program, Clipper
  512.           C:\CLIPPER\BIN\CLIPPER.EXE
  513.           *This is Lotus Development Corp's spreadsheet program, 1-2-3
  514.           C:\123\123.COM
  515.           *This is Microsoft's database program, FoxPro
  516.           C:\FOX\FOXPROLX.EXE
  517.           *This is MS-DOS 5.00's self-modifying program, SETVER
  518.           C:\DOS\SETVER.EXE
  519.           *PKWare's data compression programs already perform a self-check
  520.           C:\PKWARE\PKLITE.EXE
  521.           C:\PKWARE\PKZIP.EXE
  522.           C:\PKWARE\PKUNZIP.EXE
  523.           *SemWare's QEdit text editor (which I am writing this with now)
  524.           C:\SEMWARE\Q.EXE
  525.           *Stac Technologies hard disk swapping program
  526.           C:\SWAPVOL.COM
  527.           *Symantec's Norton Utilities V6.01 disk caching program
  528.           C:\NORTON\NCACHE.EXE
  529.           *WordStar Corp's word processor is self-modifying
  530.           C:\WORDSTAR\WS.EXE
  531.  
  532.                The validation exception list should be an ASCII or DOS
  533.           text file.  If a word processor is used to create the list, be
  534.           sure to save the file as ASCII or DOS Text.
  535.  
  536.           /BELL - This option causes SCAN to beep when a virus is found.
  537.  
  538.           /BMP - This option tells SCAN to check the OS/2 Boot Manager
  539.           partition.  When run with this option, SCAN checks the Boot
  540.           Manager partition and boot sector only.
  541.  
  542.           /CERTIFY -  This option will audit a system for files that have
  543.           validation codes added to them with the /AG or /AV switches.
  544.           Files that have no validation code will be reported as being
  545.           uncertified by VIRUSCAN and an ERRORLEVEL of 3 will be returned
  546.           after SCAN is run.
  547.  
  548. VIRUSCAN Version 9.15V104                                     Page 10
  549.  
  550.  
  551.           /CF {filename} - This option checks recovery and validation data
  552.           stored by the /AF option in {filename}.  If a file or system
  553.           area has changed, SCAN reports that a viral infection may have
  554.           occurred.  Using the /CG option adds about 25% more time to
  555.           scanning.
  556.  
  557.           /CG - This options checks recovery and validation data added by
  558.           the /AG option.  If a file or system area has changed, SCAN
  559.           reports that a viral infection may have occurred.  Using the /CG
  560.           option adds about 25% more time to scanning.  This option takes
  561.           priority over the /CV option.
  562.  
  563.           /CHKHI - This option checks the memory from 640Kb to 1,088Kb
  564.           which can be used on 286 and 386 systems by computer viruses.
  565.           On XT systems, memory may be scanned twice.  Memory above 1,088
  566.           is not addressed directly by the CPU and can not contain viral
  567.           code.  This option cannot be used with the /NOMEM option.
  568.  
  569.           /CV - This option checks validation codes inserted by the /AV
  570.           option.  If a file or system area has been changed, SCAN will
  571.           report that the file or system area has been modified and a
  572.           viral infection may have occurred.  Using the /CV option adds
  573.           about 20% more time to scanning.
  574.  
  575.           NOTE:  Some older Hewlett Packard and Zenith PC's modify the
  576.                  boot sector each time the system is booted.  This causes
  577.                  SCAN to continually report that the boot sector has been
  578.                  modified if the /CF, /CG, or /CV switches are used.
  579.                  Check your system's manual to determine if your PC has
  580.                  self-modifying boot code.
  581.  
  582.           /D - This option tells SCAN to prompt the user to overwrite
  583.           and delete an infected files.  Files erased by the /D option
  584.           can not be recovered.  If the CLEAN-UP program is available,
  585.           it can be used to disinfect the file.  Partition table and boot
  586.           sector viruses can not be removed by the /D option and require
  587.           the CLEAN-UP virus removal program.
  588.  
  589.           NOTE:  If the /D switch is used against a network drive, SCAN
  590.                  must be run from an account with erase or delete rights.
  591.  
  592.           /DATE - This option stores the time and date SCAN was last run.
  593.           This is done by changing the date on the SCANVAL.VAL file.  If
  594.           no SCANVAL.VAL file exists, SCAN will create a 0-byte long one
  595.           in the currently-logged directory.
  596.  
  597.           /E .xxx .yyy - This option allows an additional extension or set
  598.           extensions to be scanned.  Extensions should include a period "."
  599.           character and be separated by a space after the /E.  Up to three
  600.           extensions may be added with the /E.  For more extensions, use
  601.           the /A option instead.
  602.  
  603. VIRUSCAN Version 9.15V104                                     Page 11
  604.  
  605.  
  606.           /EXT {filename} - This option tells SCAN to search for viruses
  607.           using virus search strings from ASCII text file {filename}, in
  608.           addition to the viruses that SCAN looks for.  For instructions
  609.           creating an external virus data file, refer to Appendix A.
  610.  
  611.           NOTE:  The /EXT option provides users with the ability to add
  612.                  strings for detection of viruses on an interim or
  613.                  emergency basis.  When used with the /D option, it will
  614.                  overwrite-and-delete infected files.  This option is not
  615.                  for general use and should be used with caution.
  616.  
  617.           /FAST - This option speeds SCAN up by displaying less on the
  618.           the screen, skipping checking inside of LZEXE- and PKLITE-
  619.           compressed files, and examining a smaller portion of files
  620.           during scanning.  This may reduce the accuracy of SCAN.
  621.  
  622.           /HISTORY {filename} - This option saves the output of SCAN
  623.           to {filename} in ASCII text file format.  If {filename} exists,
  624.           SCAN will add the results of the current scan to the end.
  625.  
  626.           /M - This option tells VIRUSCAN to check system memory for all
  627.           known computer viruses that can inhabit memory.  SCAN by default
  628.           only checks memory for critical and "stealth" viruses, which are
  629.           viruses which can cause catastrophic damage or spread the virus
  630.           infection during the scanning process.  By default, SCAN will
  631.           check memory for the following viruses:
  632.  
  633.              1024           1253          1530          15xx variant
  634.              1963           1971          2153          2560
  635.              3040           337           3445-Stealth  4096
  636.              500            512           557           702
  637.              ABC            Agena         Anthrax       Antitelefonica
  638.              Aragon         arcv          B3            Blood Rage
  639.              Brain          Budo          Caz           CD
  640.              Chang          Coffee Shop   Copyr-ug      Cracky
  641.              Crusher        Dark Avenger  Davis         Dir-2
  642.              DM-330         Doom II       EEL           Empire
  643.              End-of         Evil Genius   ExeBug        Fam
  644.              Feist          Fish          Flu           FORM
  645.              Frodo Soft     Fune          Futhark       Geek
  646.              Greemlin       Green         HA            HBT
  647.              Hellween 1182  Hi            Highland      Horror
  648.              Ice9           Iernim        IOU           Jeru Variant
  649.              Joanna         Joshi         Jump4Joy      Kersplat
  650.              L1             Larry         Leech         LixoNuke
  651.              Lozinsky       Lycee         Magnum        Malaga
  652.              Malaise        Microbes      Mirror        Mocha
  653.              Monkey         Mugshot       Mummy         Murphy
  654.  
  655.  
  656.  
  657.  
  658. VIRUSCAN Version 9.15V104                                     Page 12
  659.  
  660.  
  661.              NCU Li         Ninja         Nomemklatura  NOP
  662.              No-Int         Nygus         Nygus-KL      Ontario-3
  663.              Otto           P1R           PCBB11        Penza
  664.              Phantom        Piazzola      Plastique     Pogue
  665.              Pojer          Problem       Radyum        Rattle
  666.              Reaper         Reklama       Rocko         Sandwich
  667.              SBC            Scr-2         Scroll        Scythe
  668.              Sentinel       Sergant       Silence       Sk
  669.              Sk1            Sma-108a      Soyun         Stealthb
  670.              Sticky         Stoned (Vari) Sunday-2      SVC
  671.              Tabulero       Taiwan3       Ten Bytes     Tequila
  672.              Thursday 12th  Turbo         Turkey        Twin-351
  673.              V2100          V2P6          V600          Vietnamese
  674.              Walker         Whale         Windmill      Yan2050a
  675.              Youth          Zaragoza
  676.  
  677.           If any of the above viruses is found in memory, SCAN will stop,
  678.           tell the user to power down and reboot the system from a virus-
  679.           free system-bootable disk.  This option can not be used with the
  680.           /NOMEM option.
  681.  
  682.           NOTE:  Using the /M option with another anti-viral software
  683.                  package may result in false alarms if the other package
  684.                  does not remove or cipher (hide or otherwise encrypt) its
  685.                  virus search strings in memory.
  686.  
  687.           /MAINT - This option is used to scan hard disks partitioned
  688.           with DOS 4.0 or above that have been damaged by a boot sector
  689.           or partition table infecting virus or non-DOS partitions, such
  690.           as those created by Novell NetWare/386 or IBM OS/2 V2.0 HPFS.
  691.           Attempts to access damaged or non-DOS disks result in an
  692.           "Invalid media" message being displayed.  When SCAN is run with
  693.           this option, only the partition table and boot sector will be
  694.           scanned.
  695.  
  696.           NOTE:  The /MAINT switch can only be used on a local drive.  If
  697.                  you wish to scan the boot sector or partition table of a
  698.                  network drive, SCAN must be run from the file server, not
  699.                  a workstation.
  700.  
  701.           /MANY - This option is used to scan multiple diskettes placed
  702.           in a given drive.  If the user has more than one floppy disk to
  703.           check for viruses, the /MANY option will allows the user to
  704.           check disks without having to re-run SCAN multiple times. After
  705.           the system has been disinfected, the /MANY and /NOMEM options
  706.           options can be used together to speed up the scanning of disks.
  707.  
  708.           /NLZ - This option tells SCAN not to look inside files 
  709.           compressed with LZEXE, a file compression program.  SCAN will
  710.           still check LZEXE-compressed files for viruses that may have
  711.           become infected after LZEXE compression.
  712.  
  713. VIRUSCAN Version 9.15V104                                     Page 13
  714.  
  715.  
  716.           /NOBREAK - This option prevents Ctrl-C or Ctrl-Brk from aborting
  717.           the scanning process.
  718.  
  719.           /NOMEM - This option turns off all memory checks for viruses
  720.           in order to speed up the scanning process.  It should only be
  721.           used when a system is known to be virus-free.  This option can
  722.           not be used with the /CHKHI or /M options.
  723.  
  724.           /NOEXPIRE - This option prevents SCAN from displaying a warning
  725.           message after 7 months warning that it may no longer be current
  726.           with respect to known computer viruses.
  727.  
  728.           /NOPAUSE - This option disables the "More? (H = Help )" prompt
  729.           displayed when SCAN fills up a screen with 24 lines of text.
  730.           This allows SCAN to run on PC's with severe infections without
  731.           requiring operator assistance.
  732.  
  733.           /NPKL - This option tells SCAN not to look inside files
  734.           compressed with PKLITE, a file compression program.  SCAN will
  735.           still check PKLITE-compressed files for viruses that may have
  736.           become infected after PKLITE compression.
  737.  
  738.           /REPORT {filename} - This option saves the output of SCAN
  739.           to {filename} in ASCII text file format.  If {filename} exists,
  740.           SCAN will erase it and replace with the current scan results.
  741.  
  742.           /RF {filename} - This option removes recovery and validation
  743.           data from log file {filename} created by the /AF option.
  744.  
  745.           /RG - This option removes validation and recovery data from a
  746.           file or files validated with the /AG option.  Using the /RG
  747.           switch against a drive removes the SCANVAL.VAL file.  This
  748.           option can not be used with the /AG option.
  749.  
  750.           /RV - This option removes validation codes from a file or files
  751.           validated with the /AV option.  Using the /RV switch against a
  752.           drive removes the SCANVAL.VAL file.  This option can not
  753.           be used with the /AV option.
  754.  
  755.           /SAVE - This option stores any listed options for subsequent
  756.           executions of SCAN.  The options are stored by modifying the
  757.           SCAN.EXE executable file itself.  For example:
  758.  
  759.                SCAN /NOMEM /REPORT C:\SCAN.LOG /NOPAUSE /SAVE
  760.  
  761.           saves the default options to /NOMEM, /REPORT C:\SCAN.LOG and
  762.           /NOPAUSE and will cause SCAN to use these options the next time
  763.           it is run.  If SCAN is run with only the /SAVE switch, all saved
  764.           options are removed and the SCAN.EXE is returned to normal.  If
  765.           you do not wish to modify the SCAN.EXE file, use the @{filename}
  766.           option instead.
  767.  
  768. VIRUSCAN Version 9.15V104                                     Page 14
  769.  
  770.  
  771.           NOTE:  VALIDATE 0.4 must be used to validate SCAN V89 or above
  772.                  if the /SAVE option is used.  /SAVE directly modifies
  773.                  SCAN.EXE in such a manner that validate codes will not
  774.                  match if an older version of VALIDATE is used.  VALIDATE
  775.                  0.4 generates correct validation results if the /SAVE
  776.                  option is used.
  777.  
  778.  
  779.           /SHOWDATE - This option displays the time and date SCAN was last
  780.           run on the specified drive.  No virus checking is performed.
  781.  
  782.           NOTE:  When run with /SHOWDATE, SCAN only displays the last run
  783.                  date.  Viruses will *NOT* be checked for.
  784.  
  785.           /SUB - This option scans all subdirectories inside a
  786.           subdirectory.  Previously, SCAN would only recursively check
  787.           subdirectories if a drive was scanned at the root level (e.g.,
  788.           C:).  Do not use the /SUB switch if you are scanning a drive
  789.           from the root level.
  790.  
  791.           @{filename} - This option allows the user to store a list of
  792.           options and drives to be scanned in a configuration file.
  793.           Options need to be separated by a space, while drives (disks,
  794.           subdirectories, or files) need to be listed on separate lines.
  795.           A sample file might look like this:
  796.  
  797.           /A /BELL /CV /NOMEM /REPORT C:\VIRUSCAN\SCAN.LOG
  798.           C:
  799.           D:\BBS
  800.           E:\MCAFEE\CLEAN-UP\CLEAN.EXE
  801.  
  802.           The first line contains the SCAN options while other lines list
  803.           the names of disks, subdirectories, or files to scan.  The file
  804.           should be an ASCII text file.  If a word processor is used to
  805.           create the list, be sure to save it as ASCII or DOS text.
  806.  
  807.  
  808.  
  809.  
  810.  
  811.  
  812.  
  813.  
  814.  
  815.  
  816.  
  817.  
  818.  
  819.  
  820.  
  821.  
  822.  
  823. VIRUSCAN Version 9.15V104                                     Page 15
  824.  
  825.  
  826.           EXAMPLES
  827.  
  828.                The following examples show different option settings:
  829.  
  830.                SCAN C:
  831.                    To scan drive C:
  832.  
  833.                SCAN F:
  834.                    To scan drive F: on a Novell NetWare LAN for viruses
  835.  
  836.                SCAN F: G: H: /A /D
  837.                    Scans all files on network drives F:, G:, and H:, and
  838.                    prompt for erasure of any infected files, if found.
  839.  
  840.                SCAN C: D: E: /AV /NOMEM
  841.                    Scan for viruses, add validation codes to files on
  842.                    drives C:, D:, and E:, and skip memory checking.
  843.  
  844.                SCAN C: D: /M /A
  845.                    Scan all files on C: and D:, memory for all viruses.
  846.  
  847.                SCAN C: D: /E .WPM .COD
  848.                    Scans drives C: and D:, including .WPM and .COD files 
  849.  
  850.                SCAN C: /EXT A:SAMPLE.ASC /BELL
  851.                    To scan drive C: for known computer viruses and also
  852.                    for viruses added by the user via the external virus
  853.                    data file option, and beep whenever a virus is found.
  854.  
  855.                SCAN M: /M /NOPAUSE /REPORT A:INFECTN.RPT
  856.                    To scan for all viruses in memory and network drive M:
  857.                    without stopping, and create a log file INFECTN.RPT on
  858.                    drive A:
  859.  
  860.                SCAN E:\USER\DUNN E:\USER\LUCAS E:\USER\THOMAS /SUB
  861.                    To scan all subdirectories inside the directories
  862.                    USER\DUNN, USER\LUCAS, and USER\THOMAS on drive E:
  863.  
  864.                SCAN C: D: E: /FAST /CERTIFY
  865.                    To perform a fast scan of drives C:, D:, and E: and
  866.                    check for any files that do not have validation codes.
  867.  
  868.                SCAN @C:\SCANOPTN.LST
  869.                    To run SCAN using configuration file SCANOPTN.LST
  870.                    located in the root directory of drive C:.
  871.  
  872.                SCAN /AD /M
  873.                     Scan all local hard drives, network drives, and memory.
  874.  
  875.  
  876.  
  877.  
  878. VIRUSCAN Version 9.15V104                                     Page 16
  879.  
  880.  
  881.           EXIT CODES
  882.  
  883.                After VIRUSCAN has finished running, it will set the DOS
  884.           ERRORLEVEL.  ERRORLEVEL's are used in batch files to pass the
  885.           results of a program's actions.  The ERRORLEVEL's returned by
  886.           SCAN are:
  887.  
  888.                ERRORLEVEL │ DESCRIPTION
  889.                ═══════════╪══════════════════════════════════════════════
  890.                    0      │ No viruses found
  891.                    1      │ One or more viruses found
  892.                    2      │ Abnormal termination (program error)
  893.                    3      │ One or more uncertified files found
  894.                    4      │ Ctrl-C or Ctrl-Break aborted scan
  895.  
  896.           If a user stops the scanning process, SCAN will set the
  897.           ERRORLEVEL to 4.  If you wish to prevent users from stopping the
  898.           scanning process, then run SCAN with the /NOBREAK option.
  899.  
  900.  
  901.           VIRUS REMOVAL
  902.  
  903.                What do you do if a virus is found?  You can contact McAfee
  904.           Associates for help, their authorized agents, or use the CLEAN-UP
  905.           program.
  906.  
  907.                McAfee Associates can be reached by BBS, CompuServe, FAX,
  908.           Internet, or Telephone and there is no charge for support calls
  909.           to McAfee Associates (Authorized agents may charge normal McAfee
  910.           Associates consulting rates.).
  911.  
  912.                The CLEAN-UP universal virus disinfection program can
  913.           disinfect virtually all reported computer viruses.  It is
  914.           updated with each release of the SCAN program to remove new
  915.           viruses.  CLEAN-UP can be downloaded from McAfee Associates'
  916.           BBS, the McAfee Virus Help Forum on CompuServe, and the
  917.           mcafee.COM and WSMR-SIMTEL20.Army.Mil sites on the Internet, or
  918.           from any of the agents' BBSes listed in the enclosed AGENTS.TXT
  919.           text file.
  920.  
  921.                It is strongly recommended that you get experienced help in
  922.           dealing with viruses if you are unfamiliar with anti-virus
  923.           software and methods.  This is especially true for 'critical'
  924.           viruses and partition table/boot sector infecting viruses as
  925.           improper removal of these viruses can result in the loss of
  926.           all data and the use of the infected disk(s).  [For a listing of
  927.           critical viruses, see the /M switch listed under OPTIONS above.]
  928.  
  929.                Before removing a boot sector or partition table-infecting
  930.           virus, it is recommended that you cold boot the infected PC from
  931.           a clean DOS disk and backup any critical data.
  932.  
  933. VIRUSCAN Version 9.15V104                                     Page 17
  934.  
  935.  
  936.                For qualified assistance in removing a virus, contact
  937.           McAfee Associates directly or any of the Authorized Agents in
  938.           your area.  Agents may charge McAfee Associates' normal consult
  939.           rates for their services.
  940.  
  941.                If you wish to remove a file-infecting virus manually, cold
  942.           boot the PC from a clean (virus-free) DOS system disk and run
  943.           SCAN with the /A and /D switches to erase all infected files.
  944.           Any files removed in this manner can not be recovered.
  945.  
  946.  
  947.           REGISTRATION
  948.  
  949.                A registration fee of US$25.00 is required for the use of
  950.           VIRUSCAN by individual home users.  Registration entitles the
  951.           holder to unlimited free upgrades from McAfee Associates' BBS,
  952.           the Internet, and the McAfee Virus Help Forum on CompuServe as
  953.           well as technical support for one year.  When registering, a
  954.           diskette containing the latest version may be requested for an
  955.           additional US$9.00.  Only one diskette mailing will be made.
  956.                Registration is for home users only and does not apply to
  957.           businesses, corporations, organizations, government agencies, or
  958.           schools, which must obtain a license for use.  Contact McAfee
  959.           Associates directly or an Authorized Agent for more information.
  960.  
  961.  
  962.           TECH SUPPORT
  963.  
  964.                For fast and accurate help, please have the following
  965.           information ready when you contact McAfee Associates:
  966.  
  967.                ·    Program name and version number.
  968.  
  969.                ·    Type and brand of computer, hard disk, plus any
  970.                     peripherals.
  971.  
  972.                ·    Version of DOS plus any TSRs or device drivers in use.
  973.  
  974.                ·    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  975.  
  976.                ·    A printout of what is in memory from the MEM command
  977.                     (DOS 4 and above users only) or a similar utility.
  978.  
  979.                ·    The exact problem you are having.  Please be as
  980.                     specific as possible.  Having a printout of the
  981.                     screen and/or being at your computer will be helpful.
  982.  
  983.           McAfee Associates can be contacted by BBS, CompuServe, FAX, or
  984.           InterNet 24 hours a day, or by telephone at (408) 988-3832,
  985.           Monday through Friday, 7:00AM to 5:30PM Pacific Time.
  986.  
  987.  
  988. VIRUSCAN Version 9.15V104                                     Page 18
  989.  
  990.  
  991.                If you are overseas, you can contact a McAfee Associates
  992.           Authorized Agent.  Agents are located in over 50 countries
  993.           around the world and provide local sales and support for our
  994.           software.  Please refer to the AGENTS.TXT file for a complete
  995.           list of McAfee Associates Agents.
  996.  
  997.  
  998.           OBTAINING THE LATEST VERSION OF McAFEE ASSOCIATES PROGRAMS
  999.  
  1000.                McAfee Associates regularly updates the VIRUSCAN series
  1001.           of programs every 4 to 6 weeks to add new virus detectors,
  1002.           new options, and fix reported bugs.  To distribute these new
  1003.           versions, we run a multi-line BBS, CompuServe Forum, and
  1004.           Internet node.
  1005.  
  1006.           BBS ACCESS
  1007.  
  1008.                Our 25-line BBS is accessible 24 hours a day, 365 days a
  1009.           year, except for scheduled downtime and maintenance.  All lines
  1010.           run US Robotics Courier HST Dual Standard ASL modems operating
  1011.           from 1,200bps to 16,800bps with line settings of 8 data bits, no
  1012.           parity, and one stop bit.
  1013.  
  1014.  
  1015.           THE McAFEE VIRUS HELP FORUM ON COMPUSERVE
  1016.  
  1017.                We are now sponsoring the McAfee Virus Help Forum on
  1018.           CompuServe.  To reach the McAfee Virus Help Forum type GO MCAFEE
  1019.           at any CompuServe prompt.  A free introductory membership is
  1020.           available.  For more information, please read the enclosed
  1021.           COMPUSER.NOT file.
  1022.  
  1023.  
  1024.           INTERNET ACCESS TO McAFEE ASSOCIATES SOFTWARE
  1025.  
  1026.                The latest versions of McAfee Associates' anti-viral
  1027.           software is now available by anonymous ftp (file transfer
  1028.           protocol over the Internet from the site mcafee.COM.  If
  1029.           your domain resolver does not support names, use the IP#
  1030.           192.187.128.1.  Enter "anonymous" for your user I.D. and
  1031.           your own email address for the password.  Programs are
  1032.           located in the pub/antivirus directory.  If you have any
  1033.           questions, please send email to support@mcafee.COM
  1034.  
  1035.                 McAfee Associates' anti-viral software may also be
  1036.           found at the Simtel20 archive site WSMR-SIMTEL20.Army.MIL
  1037.           in the PD1:<MSDOS.VIRUS> directory and its associated
  1038.           mirror sites WUARCHIVE.WUSTL.EDU (US), NIC.SWITCH.CH (Swiss),
  1039.           NIC.FUNET.FI (Finland), SRC.DOC.IC.AC (UK), and
  1040.           ARCHIE.AU (Australia).
  1041.  
  1042.  
  1043. VIRUSCAN Version 9.15V104                                     Page 19
  1044.  
  1045.  
  1046.           APPENDIX A:  Creating a Virus String File with the /EXT Option
  1047.  
  1048.           NOTE:  The /EXT option is intended for emergency and research
  1049.                  use only.  It is a temporary method for identifying new
  1050.                  viruses prior to the subsequent release of SCAN.  A
  1051.                  thorough understanding of viruses and string-search
  1052.                  techniques is advised for using this option.  A string
  1053.                  length of 10 to 15 bytes is recommended.
  1054.  
  1055.                The External Virus Data file should be created with an
  1056.           editor or a word processor and saved as an ASCII text file.  Be
  1057.           sure each line ends with a Carriage Return/Line Feed pair.
  1058.  
  1059.  
  1060.                The virus string file uses the following format:
  1061.  
  1062.           #Comment about Virus_1
  1063.           "aabbccddeeff..." Virus_1_Name
  1064.           #Comment about Virus_2
  1065.           "gghhiijjkkll..." Virus_2_Name
  1066.                .
  1067.                .
  1068.           "uuvvwwxxyyzz..." Virus_n_Name
  1069.  
  1070.  
  1071.           Where aa, bb, cc, etc. are the hexadecimal bytes that you wish
  1072.           to scan for.  Each line in the file represents one virus.  The
  1073.           Virus Name for each virus is mandatory, and may be up to 25
  1074.           characters in length.  The double quotes (") are required at the
  1075.           beginning and end of each hexadecimal string.
  1076.                SCAN will use the string file to search memory, the
  1077.           Partition Table, Boot Sector, System files, all .COM and .EXE
  1078.           files, and overlay files with the extension .APP, .BIN, .COM,
  1079.           .EXE, .OV?, .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.
  1080.                Virus strings may contain wild cards.  The two wildcard
  1081.           options are:
  1082.  
  1083.           FIXED POSITION WILDCARD
  1084.                The question mark "?" may be used to represent a wildcard
  1085.           in a fixed position within the string.  For example, the string:
  1086.  
  1087.                              "E9 7C 00 10 ? 37 CB"
  1088.  
  1089.           would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or
  1090.           any other similar string, regardless of the fifth byte.
  1091.  
  1092.  
  1093.  
  1094.  
  1095.  
  1096.  
  1097.  
  1098. VIRUSCAN Version 9.15V104                                     Page 20
  1099.  
  1100.  
  1101.           RANGE WILDCARD
  1102.  
  1103.                The asterisk "*", followed by range number in parentheses
  1104.           "(" and ")" is used to represent a variable number of adjoining
  1105.           random bytes.  For example, the string:
  1106.  
  1107.                              "E9 7C *(4) 37 CB"
  1108.  
  1109.           would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  1110.           "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  1111.           would not match since the distance between 7C and 37 is greater
  1112.           than four bytes.  You may specify a range of up to 99 bytes.
  1113.           Up to 10 different wildcards of either kind may be used in one
  1114.           virus string.
  1115.  
  1116.  
  1117.           COMMENTS
  1118.                A pound sign "#" at the beginning of a line will denote a
  1119.           comment.  Use this for adding notes to the external virus data
  1120.           file.  For example:
  1121.  
  1122.                              #New .COM virus found in file FRITZ.EXE from
  1123.                              #Schneiderland on 01-22-91
  1124.                              "53 48 45 45 50" Fritz-1 [F-1]
  1125.  
  1126.           gives a description of the virus, name of the infected file,
  1127.           where and when it was found, etc.
  1128.  
  1129.  
  1130.  
  1131.  
  1132.  
  1133.  
  1134.  
  1135.  
  1136.  
  1137.  
  1138.  
  1139.  
  1140.  
  1141.  
  1142.  
  1143.  
  1144.  
  1145.  
  1146.  
  1147.  
  1148.  
  1149.  
  1150.  
  1151.  
  1152.  
  1153. VIRUSCAN Version 9.15V104                                     Page 21
  1154.  
  1155.  
  1156.           APPENDIX B:  Miscellaneous Application Notes
  1157.  
  1158.  
  1159.           CHECKING MEMORY FOR VIRUSES ONLY
  1160.  
  1161.                VIRUSCAN can perform a quick check for viruses in memory
  1162.           only.  In this mode, SCAN will not check the disk for viruses.
  1163.           This option is useful for network administrators who need to
  1164.           check workstations for viruses before allowing them to log on to
  1165.           a LAN but cannot run the VSHIELD program due to memory
  1166.           constraints.  The command for this is:
  1167.  
  1168.                SCAN NUL /M /CHKHI
  1169.  
  1170.           By designating NUL as the drive to be scanned, SCAN will check
  1171.           system memory for viruses (up to 1088Kb if the /CHKHI option is
  1172.           used) and then return to DOS without scanning any disks.  SCAN
  1173.           returns the DOS ERRORLEVEL in the normal manner.
  1174.  
  1175.  
  1176.           VIRUSCAN VALIDATION CODES
  1177.  
  1178.                If you have installed any new software or programs on your
  1179.           system, and are running VIRUSCAN or VSHIELD with the /CF, /CG,
  1180.           or /CV validation codes options, you will need to reinstall
  1181.           validation codes to the new files with the /AF, /AG, or /AV
  1182.           add validation codes options of SCAN.  In addition, the
  1183.           SCANVAL.VAL hidden file containing validation codes for the
  1184.           partition table, boot sector, COMMAND.COM, and system files may
  1185.           have to be replaced (unhide the file with the DOS ATTRIB command
  1186.           and then delete it).
  1187.                The quickest way to update the validation codes is to
  1188.           remove all validation codes from the hard disk and then add them
  1189.           back by running SCAN with the /RV and then the /AV options.
  1190.  
  1191.           NOTE: This applies to any new version of DOS, as well as any
  1192.                 programs which you install on your system.
  1193.  
  1194.  
  1195.           REFORMATTING INFECTED FLOPPIES WITH DOS 5.00 or 6.00
  1196.  
  1197.                When reformatting infected floppy disks under DOS 5.0, be
  1198.           sure to add the /U switch to the FORMAT command.  This tells DOS
  1199.           to do an Unconditional Format of the disk, without saving the
  1200.           original infected boot sector of the disk.  This should be done
  1201.           to prevent the reinfection by unformatting the disk.
  1202.  
  1203.  
  1204.  
  1205.  
  1206.  
  1207.  
  1208. VIRUSCAN Version 9.15V104                                     Page 22
  1209.  
  1210.  
  1211.           CREATING A RECOVERY DISK USING THE /AF OPTION
  1212.  
  1213.                The /AF switch added in Version 90 of SCAN creates a
  1214.           separate file to store recovery data and validation codes.
  1215.           This file can be stored off-line (on a floppy disk, network
  1216.           drive, tape drive, etc.) and accessed on-demand to check for,
  1217.           and recover from infection by unknown viruses.
  1218.                To create a Recovery Disk, format a system-bootable floppy
  1219.           diskette by typing "FORMAT A: /S" and pressing Enter.  Then,
  1220.           copy the VIRUSCAN (SCAN.EXE) and CLEAN-UP (CLEAN.EXE) files on
  1221.           to it.  Run SCAN against the hard disk with the /AF option.
  1222.           For example:
  1223.                              SCAN C: D: /AF A:\SCANCRC.CRC
  1224.  
  1225.           will scan the C: and D: drives for known viruses and create
  1226.           a file named SCANCRC.CRC containing recovery data and validation
  1227.           codes.  After SCAN finishes, write-protect the disk.
  1228.                To check for virus infection, turn the PC off, insert the
  1229.           Recovery Disk, and turn the power back on.  The PC will now boot
  1230.           from the floppy disk.  At the DOS prompt, type:
  1231.  
  1232.                              SCAN C: D: /CF A:\SCANCRC.CRC
  1233.  
  1234.           to compare drives C: and D: against the recovery data stored
  1235.           in the SCANCRC.CRC file on the A: drive.
  1236.  
  1237.  
  1238.                To disinfect your system, turn your PC off, insert the
  1239.           Recovery Disk, and turn the power back on.  The PC will now
  1240.           boot from the floppy disk.  At the DOS prompt, type:
  1241.  
  1242.                              CLEAN C: D: /GRF A:\SCANCRC.CRC
  1243.  
  1244.           to restore drives C: and D: with the recovery data stored in the
  1245.           SCANCRC.CRC file on the A: drive.
  1246.  
  1247.  
  1248.  
  1249.  
  1250.  
  1251.  
  1252.  
  1253.  
  1254.  
  1255.  
  1256.  
  1257.  
  1258.  
  1259.  
  1260.  
  1261.  
  1262.  
  1263. VIRUSCAN Version 9.15V104                                     Page 23
  1264.  
  1265.  
  1266.           APPENDIX C:  FOREIGN LANGUAGE SUPPORT
  1267.  
  1268.                VIRUSCAN can display messages in a foreign language by
  1269.           reading in a replacement set of messages from an external
  1270.           file named MCAFEE.MSG.  When the MCAFEE.MSG file is placed in
  1271.           the same directory as the SCAN.EXE file, SCAN will display
  1272.           messages from the foreign language module instead of displaying
  1273.           messages in English (American).  Currently, SCAN is bundled with
  1274.           two .MSG files, FRENCH.MSG and SPANISH.MSG, which contain
  1275.           messages in French (European) and Spanish (Latin America),
  1276.           respectively.
  1277.  
  1278.                To use a foreign language module, rename it to MCAFEE.MSG
  1279.           and place it in the same directory as the SCAN.EXE file.  When
  1280.           SCAN is run, it will check for the MCAFEE.MSG file and use it,
  1281.           if found.
  1282.  
  1283.                Support for other languages such as Chinese, Dutch, Finnish,
  1284.           French (Canadian), German, Hungarian, Norwegian, Portuguese,
  1285.           Russian, Spanish (European), Swahili, Swedish and Bulgarian is
  1286.           planned for future releases.  Contact your local McAfee Associates
  1287.           Authorized Agent or McAfee Associates directly for availability.
  1288.  
  1289.  
  1290.  
  1291.  
  1292.  
  1293.  
  1294.  
  1295.  
  1296.  
  1297.  
  1298.  
  1299.  
  1300.  
  1301.  
  1302.  
  1303.  
  1304.  
  1305.  
  1306.  
  1307.  
  1308.  
  1309.  
  1310.  
  1311.  
  1312.  
  1313.  
  1314.  
  1315.  
  1316.  
  1317.  
  1318. VIRUSCAN Version 9.15V104                                     Page 24
  1319.  
  1320.  
  1321. IMPORTANT NOTICE - PLEASE READ!
  1322.  
  1323.           Due to the nature of anti-virus software, the slight chance
  1324.           exists that a virus may be reported in a file that is not
  1325.           infected by that virus.
  1326.  
  1327.           If you receive a report of a virus infection which you believe
  1328.           may be in error, please contact McAfee Associates by telephone
  1329.           at (408) 988-3832, by fax at (408) 970-9727, or upload the file
  1330.           to our BBS at (408) 988-4004 along with your name, address,
  1331.           daytime telephone number, and electronic mail address, if any.
  1332.  
  1333.  
  1334.  
  1335.  
  1336.  
  1337.  
  1338.  
  1339.  
  1340.  
  1341.  
  1342.  
  1343.  
  1344.  
  1345.  
  1346.  
  1347.  
  1348.  
  1349.  
  1350.  
  1351.  
  1352.  
  1353.  
  1354.  
  1355.  
  1356.  
  1357.  
  1358.  
  1359.  
  1360.  
  1361.  
  1362.  
  1363.  
  1364.  
  1365.  
  1366.  
  1367.  
  1368.  
  1369.  
  1370.  
  1371.  
  1372.  
  1373.  
  1374.