home *** CD-ROM | disk | FTP | other *** search
/ WinDesk 95 - An MPC Encyclopedia / WinDesk 95 - An MPC Encyclopedia.iso / power / invb610a.000 / history.txt < prev    next >
Text File  |  1995-12-05  |  21KB  |  374 lines
  1.                                                          September, 1995
  2.  Product upgrade, 6.10
  3.  ---------------------
  4.  Revised documentation. The online hypertext and the full manual were
  5.  completely revised to reflect the changes and the additions made in IV.
  6.  New appendices were added, as well as discussion on many anti-virus and
  7.  virus related subjects. A chapter on disaster recovery methods and
  8.  techniques was added, specifically addressing the use of ResQdisk and
  9.  ResQpro.
  10.  
  11.  Full manual hypertext. The InVircible electronic manual was processed
  12.  into a hypertext that can now be browsed with the same browser as the
  13.  online help (IVHELP.EXE). It is possible to select and switch between
  14.  the two databases by using F6 when running the hypertext browser. The
  15.  manual hypertext is contained in the archived IV package and on the
  16.  distribution floppy. The new manual hypertext is NOT copied to the hard
  17.  disk when installing IV, the user should take care of this if s/he
  18.  wishes to have the hypertext manual available online.
  19.  
  20.  Retro-piggybacking options removed from IV (*). Retro-piggybacking is
  21.  seldom used from the IV user interface. The retro-piggybacking options
  22.  were removed from IV, to declutter the display
  23.  
  24.  Retro-piggybacking (RP) enabled from command line. Retro-piggybacking
  25.  method 1 was disabled in former versions since it could be activated
  26.  from IV. In specific cases, such as when infected with a
  27.  cluster infector, without the virus being memory resident and active,
  28.  deliberate retro-piggybacking would had a negative effect (permanently
  29.  fixing the virus in the file). RP method 1 was automatically enabled
  30.  when certain viruses were detected such as Necropolis and Frodo. Since
  31.  method 1 was removed from IV, it is now enabled for deliberate
  32.  activation from the command line. It provides an additional method to
  33.  remove full stealth viruses, when active, such as Tremor and others.
  34.  
  35.  File killer detection message - bug fixed. The source of a bug causing
  36.  a false alarms of killer file piggybacking was spotted and fixed.
  37.  
  38.  ResQdisk - Compare track zero backup. New feature to compare track zero
  39.  with backup was added to ResQdisk. The new feature helps in spotting
  40.  new boot stealth infections on other than IDE drives. It also helps
  41.  analyzing boot infections on all drives. The new feature is included
  42.  under the ^Z (track zero) menu, in addition to the existing ones.
  43.  
  44.  Special /DM switch in ResQdisk. Use /DM /B to backup the active
  45.  partition boot sector of a Disk manager 6.03 partition, and /DM /R to
  46.  restore the boot sector. The drive must be booted with the special DM
  47.  driver loaded in memory, either from the hd itself, or from a floppy
  48.  specially prepared for the purpose.
  49.  
  50.  IVLOGIN installation with predetermined signature filename. Run IVlogin
  51.  with the following parameter: IVLOGIN SIG=<filename>. If a random
  52.  filename is preferred then run IVLOGIN /RANDOM.
  53.  
  54.  The Memory Stealing threshold presetting was removed from all programs,
  55.  except from INSTALL and IV, against the inadvertent resetting by
  56.  inexperienced users.
  57.  
  58.  Improved ResQdiskquette. SeeThru is not available on SCSI and other
  59.  non-IDE hard drives. This rendered the detection of stealth boot
  60.  infectors difficult, as it had to rely on the detection of memory
  61.  stealing mainly, or on running IV after booting from a clean DOS
  62.  floppy. From this version on, even if there is a stealth virus active
  63.  on the system, the rescue diskette prepared by INSTALL/R will still
  64.  have a clean boot sector. Hard drives that cannot be checked with
  65.  active SeeThru can now be verified and CLEANED from the rescue diskette
  66.  prepared on the infected machine!
  67.  
  68.  Including additional file types in IVB's checklist. IVB, the integrity
  69.  analyzer and restore program, secures and can restore executable files
  70.  if infected. The list of file extensions currently supported in IVB's
  71.  checklist are COM, EXE, SYS, BIN, OV?, NLM, VLM, 386 and VXD. There
  72.  are additional types that are not included in IVB's checklist such as
  73.  Windows' DLL, FOT, FTT etc., although they have a binary and executable
  74.  structure. Additional filespecs are added to the checklist by NetZ on a
  75.  need-to basis. Since IVB processes binary executable files only, then
  76.  there is no point including data or text files such as batches (BAT) in
  77.  IVB's checklist. Yet, users may wish to include certain file types in
  78.  IVB's list. There is now an option to add up to five extension specs to
  79.  IVB's list. Edit the IVB.INI file in the IVB.EXE directory with an
  80.  ASCII editor. For each desired extension you wish IVB to check, add a
  81.  line as in the following example (for DLL files): "INCL=*.DLL". The
  82.  '*,?' wildcards are permitted.
  83.  
  84.  (*) The IVMENU.EXE user interface shell was renamed to IV.EXE.
  85.  
  86.  Product upgrade, 6.02B
  87.  ----------------------
  88.  Online backup of IVB signatures. Existing IVB signatures were usually
  89.  overwritten every time a new signatures file was created. From this
  90.  version, the current IVB signature is backed up before a new one is
  91.  written, by renaming the existing file with the extension *.000, and by
  92.  changing its attribute to 'read only'. The back up is done when IVB
  93.  renews a signature (because it found new files in a directory, or
  94.  because of tampering with one of the signatures, or more) in the
  95.  current file. The back up signature can be used with the /X switch
  96.  (user defined filename). No backup is created when new signatures are
  97.  purposely rewritten.
  98.  
  99.  Improvement in IVX: A new feature was added to IVX, enabling the
  100.  selection of the offset past the entry point, to look for the
  101.  extraction of a signature string. This option improves IVX capability
  102.  as an automatic signature extractor. Look in Appendix C, in IV's
  103.  manual for details how to use this feature.
  104.  
  105.  IDE hardware access fix. InVircible uses hardware access to overcome
  106.  stealth boot viruses. IV's hardware access is usually well behaved, yet
  107.  there are controllers and 32 bit access drivers with which IV had
  108.  problems. This is taken care of by timing out the hardware access if
  109.  unsuccessful. If timed out, then SeeThru will not be available with the
  110.  specific hardware or driver. This will be indicated in IVinit, IVtest
  111.  and in ResQdisk. Usually, the unavailability of SeeThru on 32 bit
  112.  hardware should not constitute a problem, as boot virus stealth is
  113.  disabled when 32 bit disk access is present and these viruses are then
  114.  detected by other IV features, i.e sector analysis and memory stealing.
  115.  
  116.  Improvements in FixBoot. The FixBoot utility was added to IV since
  117.  version 6.02. It's purpose is to clean the boot sector of floppies in
  118.  bulk processing, by the replacement of the boot sector. The new
  119.  additions to FixBoot are: a prompt to process another floppy, and the
  120.  detection of which operating system is present on the diskette, to keep
  121.  it bootable. The default boot sector is MS-DOS. An IBM boot sector
  122.  (PC-DOS/DR-DOS) will be installed instead, if IBM system files are
  123.  found on the floppy.
  124.  
  125.  ResQdisk Professional. ResQpro is an extremely powerful tool for
  126.  recovering lost hard drives and its professional version, ResQpro, has
  127.  already saved users thousands of dollars, by recovering data that was
  128.  considered total loss. The ResQpro features are now available in
  129.  ResQdisk, to users that purchase the professional license. The Pro
  130.  version is recommended to data recovery specialists, computer servicing
  131.  labs, to institutions and organizations, and to power users with
  132.  special needs for data recovery. The Pro version license is available
  133.  through a special distribution floppy only, available from authorized
  134.  IV vendors. ResQpro upgrades are identical to IV's, via the Internet
  135.  and the major nets.
  136.  
  137.  ResQdisk single session authorization. ResQdisk can restore access to a
  138.  hard drive, on condition that the cause is not a hardware failure. Yet
  139.  the full advanced features of ResQdisk and ResQpro are available only
  140.  to licensed users of IV. The new version enables an authorized dealer
  141.  of IV to authorize ResQdisk over the phone, for the present session.
  142.  The authorization is done through the exchange of a password pair
  143.  (press ^F10 when running ResQdisk to generate the password), while in
  144.  a hotline support session.
  145.  
  146.  Handling the boot sector through DOS - new feature in ResQdisk. There
  147.  are instances when the active partition's boot sector needs to be
  148.  addressed through DOS instead of interrupt 13h. Such is the case when
  149.  special boot drivers are used such as Disk Manager or EZ-Drive. The
  150.  edit functions (^E) of ResQdisk were duplicated under the ^B (boot)
  151.  command. The active boot sector of drive C: is then handled through DOS
  152.  interrupts 25h (read) and 26h (write). Note that the designation under
  153.  DOS is the logical drive C:, rather than hard drive # 1, with BIOS
  154.  interrupt 13h. The options are: read sector to clipboard, write
  155.  clipboard to boot sector, read from file, write sector to file, and SYS
  156.  (the equivalent of refreshing the boot sector with the command SYS C:).
  157.  
  158.  Detection of signature killer. InVircible has proven that it's possible
  159.  to anticipate viral technologies and counter them, before they become a
  160.  real threat. Although such threat didn't yet materialize, it's possible
  161.  to write a virus that could target InVircible's database to destroy its
  162.  files. To prevent such possibility, the new version detects the
  163.  presence of a signature killer and will alert on its presence.
  164.  
  165.  Random signature filename. Use the IVLOGIN /RANDOM switch to select a
  166.  random signature filename.
  167.  
  168.  Enhanced rescue floppy procedure. Users may wish to have their favorite
  169.  utilities such as an ASCII editor on the rescue diskette. To do so,
  170.  just copy the additional files to a newly formatted floppy before
  171.  starting the rescue disk procedure, run INSTALL/R and answer "no" to
  172.  whether to wipe the floppy clean or not.
  173.  
  174.  Product upgrade, 6.02A
  175.  ----------------------
  176.  IVX major upgrade. New features were added to IVX, enabling automatic
  177.  signature extraction and signature scanning. IVX now creates its own
  178.  signatures database from sampled files. The extraction of the
  179.  signatures is automatic and does not require any special skills. The
  180.  signatures can then be used to scan for their presence in other files.
  181.  IVX also accepts user defined signatures by editing the database with
  182.  an ASCII editor. An average user can now easily generate a signature
  183.  for a new virus and announce it on the net or else. IV user can now
  184.  scan for the presence of new viruses announced on the net. The new
  185.  features of IVX reduce the response time to new virus alerts.
  186.  
  187.  The algorithm of IVX in statistical mode was refined and its detection
  188.  capability improved, especially against some of the more difficult
  189.  polymorphs, such as MtE viruses.
  190.  
  191.  IVB history file. The IVB.RPT file is overwritten when a new report is
  192.  created. In a networked environment, the current daily report will be
  193.  appended to the IVB.HIS (history) file. The implementation is through
  194.  the AUTOEXEC file, by adding a couple of lines after the IVB daily
  195.  command. The appropriate lines are added automatically by the INSTALL
  196.  program when installation from server is detected (or selected, in
  197.  INSTALL's main menu). To add this feature in an existing installation,
  198.  add the following lines in the autoexec, after IVB DAILY:
  199.  
  200.     IF EXIST \IVB.RPT COPY \IVB.HIS+\IVB.RPT \IVB.HIS
  201.     IF EXIST \IVB.RPT DEL \IVB.RPT
  202.  
  203.  Licensing for OS/2 and Win 95. In version 6.02, InVircible's license
  204.  reverted to Sentry when in Windows' or OS/2's DOS shell. Version 6.02A
  205.  fixed that problem. Yet, you will need to run IV once in real DOS in
  206.  order to upgrade your license from a former version, to 6.02A. This
  207.  procedure does not apply to new licensed users, since the license can
  208.  be installed to disk only in REAL DOS mode.
  209.  
  210.  Detection of PKLITE'd droppers and Trojans. During the last year,
  211.  several droppers and Trojans were found, that used PKLITE in order to
  212.  conceal the gen-1 file. Gen-1 is the designation of the first
  213.  generation of a virus, usually the one used to launch the virus. While
  214.  scanners usually find the offsprings, the gen-1 file will not be
  215.  suspected, as many times it isn't recognized to be a compressed file,
  216.  as the PKlite marks were removed, or disguised. The most recent case
  217.  that used the PKlite method is related to the Big Caibua virus. The
  218.  detection of potential droppers was added to IVscan, as the default.
  219.  This feature should help SysOps and network administrators to keep
  220.  their board and systems clean.
  221.  
  222.  Improved IVB signatures. Functional changes were made in order to
  223.  improve IVB's discrimination between non-viral and legal modification
  224.  of program, as well as to improve their immunity to dedicated viruses
  225.  attacks. The new signatures are no more compatible with the lower
  226.  versions of IVB. To avoid confusion, or the loss of the former
  227.  database, the default filename of the signature files was changed to
  228.  IVB .NTZ. Note that there is a trailing character 255 (it looks like a
  229.  space, but it is not!) between the IVB filename, and the .NTZ
  230.  extension.
  231.  
  232.  No escape in Sentry mode. System administrators asked to disable Sentry
  233.  users from escaping IVB's daily full check. Adding the /ESC switch to
  234.  the command line re-enables the Esc key when scanning daily. This
  235.  change applies only to the Sentry mode.
  236.  
  237.  IVB exceptions list. There are instances when you may want to exclude a
  238.  file from IVB's list of files to process. IVB has now provisions to
  239.  exclude up to 5 filenames. Edit IVB.INI in the IVB.EXE directory with
  240.  an ASCII editor, or create a new file with the above name, if it
  241.  doesn't exist yet. Add a line for each file to exclude as follows: SKIP
  242.  = EXCLUDE.BIN
  243.  
  244.  The CMOS "Restore" option was removed from IVINIT in Sentry mode.
  245.  
  246.  Product upgrade, 6.02
  247.  ---------------------
  248.  The major change in version 6.02 is the handling of large capacity IDE
  249.  drives. These drives appeared on the market in mid 1994 and they are
  250.  now quite common. Several enhancements to handle the large capacity IDE
  251.  were already introduced in version 6.01D. The new drives present
  252.  technical challenges in the area of disaster recovery and vulnerability
  253.  to boot and mbr viruses, that were unforeseen by both the drive's
  254.  producers, and the AV industry. Version 6.02 consolidates the former
  255.  enhancements and lays the grounds for further improvements, especially
  256.  in the disaster recovery area of these drives. Read also in UPGRADE.TXT
  257.  how to upgrade your licensed copy of InVircible.
  258.  
  259.  Licensing of large capacity IDE. The installation of the license record
  260.  to large capacity IDE, was impossible with earlier versions, if the
  261.  Ontrack extended boot driver (DM 6.03+) was used. It could be done only
  262.  with plain FDISK partition, using the LBA (logical block access) option
  263.  in the setup. Version 6.02 will allow the licensing of these drives
  264.  too.
  265.  
  266.  Version 6.02 consolidates changes done to the hardware access routines,
  267.  used in InVircible, to suit the newer fast access hard disks and boards
  268.  (100 mhz and higher). Hardware access is sensitive to timing, and new
  269.  industry standards were introduced in the last year. Therefore, we
  270.  recommend that InVircible copies earlier than 6.01D are upgraded.
  271.  Version 6.01B and 6.01C still have some slow routines that won't work
  272.  properly with the newer fast disks. Also, versions earlier than 6.01D
  273.  still have a routine that conflicts with a defect in design of some
  274.  older models of Maxtor hard drives. The problem has been identified by
  275.  NetZ Computing and acknowledged by Maxtor. From version 6.01D and on,
  276.  there should be no problem anymore, all models of Maxtor included.
  277.  
  278.  ResQdisk improvement, fixing the boot sector via DOS, the ResQdisk ^B
  279.  function. There are instances when the boot sector of hard drive #1 is
  280.  infected, and it cannot be accessed via regular int 13 functions. Such
  281.  is the case with the newer large capacity IDE drives. The active
  282.  partition's boot sector can then be refreshed through the ^B key
  283.  combination. The ^B function operates on the boot sector, the same way
  284.  that does FDISK/MBR on the mbr - it refreshes the bootstrap code,
  285.  without affecting the BPB data. The ^B function should only be used
  286.  when booted from the hard drive.
  287.  
  288.  Product upgrade, 6.01D
  289.  ----------------------
  290.  Daily inspection for companion virus. The companion virus verification
  291.  was added to IVB, since IVB runs daily. The same routine is retained in
  292.  IVscan, for operational redundancy.
  293.  
  294.  The user interface in ResQdisk was improved further. The newer features
  295.  were grouped in three menus, Edit (accessible by pressing ^E), Track
  296.  Zero maintenance (^Z) and Analyze sector (^A). Also, the new ^B
  297.  function was added. The latter will refresh the boot sector of drive C:
  298.  while accessing via DOS instead of the BIOS, and is the equivalent of
  299.  the SYS C: command. The ^B function is helpful in removing boot sector
  300.  viruses such as Da'Boys, Boot-437, Form etc.
  301.  
  302.  Improved editing features in ResQdisk. Additional editing features were
  303.  added to resQdisk. The sequence ^E ^F will read a file into the sector
  304.  clipboard, while ^E ^D drops the content of the displayed sector into a
  305.  file. The combination ^E ^Y will decrypt an encrypted sector into the
  306.  clipboard and display it on screen. The later is especially useful for
  307.  the recovery of damaged hard drives, like from the Monkey virus. It is
  308.  indispensable for rescuing hard drives lost to inappropriate
  309.  disinfection procedures, like with fdisk/mbr, or inadequate antiviral
  310.  products. The above further improve ResQdisk as the best disaster
  311.  recovery and boot-antiviral utility.
  312.  
  313.  Improved "track 0" maintenance features. ResQdisk is used in the rescue
  314.  diskette for backing up track zero of the hard disk to floppy and for
  315.  restoring track zero from file to the hard drive. The "track 0"
  316.  functions are now available on-line, with the visual inspection of
  317.  ResQdisk, in both SeeThru modes (backup only, recovery is always done
  318.  with SeeThru off). The track 0 functions are started by the ^Z keys
  319.  combination, followed by ^B for backup to file or ^R for restore from
  320.  file.
  321.  
  322.  Compatibility with large capacity IDE. IVTEST was corrected to ignore
  323.  the dynamic boot loader of large capacity IDE disks.
  324.  
  325.  Revision 6.01c was compatible with only Ontrack's Disk Manager extended
  326.  bios drivers (XBIOS.OVL). The new revision is also compatible with
  327.  other brands, recently introduced into the market - e.g. MicroHouse's
  328.  EZ-DRIVE.
  329.  
  330.                                                            January, 1995
  331.  Product upgrade, InVircible 6.01C
  332.  ---------------------------------
  333.  Improved performance in networked environment: Revision 6.01C has
  334.  further improvements for the operation of InVircible in the networked
  335.  environment. All the scanning modules; IVB, IVscan and IVX were revised
  336.  to avoid Novell's Netware files. The verification of Netware files
  337.  under DOS created errors because of the special attributes of Netware's
  338.  system files. IV's current revision avoids these files.
  339.  
  340.  Automatic IV version upgrades in network: IVLOGIN can now be used for
  341.  both the automatic installation of InVircible to workstations in a
  342.  networked environment, as well as the upgrading of an older IV version
  343.  to a newer one. IVLOGIN checks whether its own version is newer than
  344.  the current one installed on the hard drive. An older version will be
  345.  automatically replaced by a new one, by just invoking IVLOGIN. It is
  346.  recommended that the IVLOGIN command should always be included in the
  347.  users login script, in networks.
  348.  
  349.  Improved piggybacking detection: Revision 6.01C has higher sensitivity
  350.  of piggybacking detection. The detection threshold has been lowered to
  351.  detect piggybacking within few affected files. The improved sensitivity
  352.  has no effect on speed since the loss in speed was compensated for with
  353.  a better search algorithm.
  354.  
  355.                                                            December 1994
  356.  Product upgrade, InVircible 6.01B
  357.  ---------------------------------
  358.  Installation of InVircible on networked PC: Revision 6.01B has an
  359.  additional file, IVLOGIN.EXE. As its name implies, its use is from the
  360.  user login script in networks. When a workstation connects to the
  361.  network, IVLOGIN verifies whether it has a hard drive, and if
  362.  InVircible is installed on that disk. If not, INSTALL/FAST is invoked
  363.  to install IV to the hard disk. The LAN administrator is required to
  364.  install IV to the server and add the IVLOGIN command to the user login
  365.  script. The rest is done automatically.
  366.  
  367.  Install upgrades: The French version of InVircible configures now the
  368.  rescue diskette to start with a French keyboard. Install also takes
  369.  care to REM out the Thunderbyte TSR in the autoexec, at the
  370.  installation of IV. The TB TSR intercept IV initialization checks and
  371.  may crash the system. Also, Install will now install the IV
  372.  registration key to hard drives having the Compaq configuration (see
  373.  ResQdisk, above).
  374.