home *** CD-ROM | disk | FTP | other *** search
/ The World of Computer Software / The World of Computer Software.iso / scanbta.zip / SCAN100.DOC < prev    next >
Text File  |  1993-01-10  |  53KB  |  1,301 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.                            VIRUSCAN Version 9.1 V100 Beta
  19.                 Copyright (C) 1989 - 1993 by McAfee Associates
  20.                              All rights reserved.
  21.  
  22.                        Documentation by Aryeh Goretsky.
  23.  
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.           McAfee Associates                (408) 988-3832 office
  49.           3350 Scott Blvd, Bldg. 14        (408) 970-9727 fax
  50.           Santa Clara, CA  95054           (408) 988-4004 BBS (25 lines)
  51.           U.S.A.                           USR HST/v.32/v.42bis/MNP1-5
  52.                                            CompuServe        GO MCAFEE
  53.                                            InterNet support@mcafee.COM
  54.  
  55.  
  56.  
  57.  
  58.                               TABLE OF CONTENTS:
  59.  
  60.  
  61.           WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .2
  62.             - New features and viruses in this release
  63.             - System Requirements
  64.  
  65.           OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .3
  66.             - Detection of known viruses
  67.             - Detection of new and unknown viruses
  68.  
  69.           SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .4
  70.             - technical description of known virus detection
  71.             - technical description of new/unknown virus detection
  72.  
  73.           AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .5
  74.             - How to verify the SCAN.EXE program file
  75.  
  76.           COMMAND SUMMARY. . . . . . . . . . . . . . . . . . . . . . . .6
  77.             - One-line description of switches
  78.  
  79.           OPTIONS. . . . . . . . . . . . . . . . . . . . . . . . . . . .8
  80.             - Detailed explanation of switches
  81.  
  82.           EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .15
  83.             - Samples of frequently-used options
  84.  
  85.           EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .16
  86.             - For running VIRUSCAN from batch files
  87.  
  88.           VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .16
  89.             - How to manually remove a virus
  90.  
  91.           REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .17
  92.             - How to register VIRUSCAN
  93.  
  94.           TECHNICAL SUPPORT INFORMATION  . . . . . . . . . . . . . . . .17
  95.            - Information you should have ready when calling
  96.  
  97.           OBTAINING THE LATEST VERSION OF VIRUSCAN . . . . . . . . . . .18
  98.            - BBS, CompuServe, and Internet access to SCAN
  99.  
  100.           APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .19
  101.            - Creating a virus string file with the /EXT option
  102.  
  103.           APPENDIX B . . . . . . . . . . . . . . . . . . . . . . . . . .20
  104.            - How to check only memory for viruses
  105.            - Validation codes:  Tips and Tricks
  106.            - Reformatting infected floppies with DOS 5.00
  107.            - Creating a Recovery Disk
  108.  
  109.                                     Page 1
  110. VIRUSCAN Version 9.1 V100 Beta                                Page 2
  111.  
  112.  
  113.           WHAT'S NEW
  114.  
  115.                The two options /FR and /SP have been replaced. To adapt
  116.           SCAN to local languages, we will provide an external message file
  117.           translated in various languages. With V100 we will release the
  118.           French and Spanish version of this file. Other language files
  119.           will be release soon after.
  120.  
  121.                Version 9.1 V100 Beta adds detection of 195 new viruses,
  122.           bringing the total number of known viruses to 1060, or counting
  123.           variants, 1,756.  For a complete list of known viruses, refer to
  124.           the enclosed VIRLIST.TXT file.  For a description of known viruses
  125.           please refer to Patricia Hoffman's Hypertext VSUM.
  126.  
  127.  
  128.           SYSTEM REQUIREMENTS
  129.  
  130.                SCAN requires 320Kb of RAM and DOS 2.0 or above (some
  131.           features require DOS 3.1 or above).
  132.  
  133.                SCAN is designed to check stand-alone and networked PC's
  134.           for viruses.  For network file servers please use NETSCAN
  135.           instead.
  136.  
  137.                SCAN displays messages in English, French, or Spanish.
  138.  
  139.  
  140.           NOTE:  WRITE-PROTECT THE FLOPPY DISK CONTAINING THE VIRUSCAN
  141.                  (SCAN.EXE) PROGRAM BEFORE SCANNING TO PREVENT VIRUSCAN
  142.                  FROM BECOMING INFECTED BY A COMPUTER VIRUS.
  143.  
  144.  
  145.  
  146.  
  147.  
  148.  
  149.  
  150.  
  151.  
  152.  
  153.  
  154.  
  155. VIRUSCAN Version 9.1 V100 Beta                                Page 3
  156.  
  157.  
  158.           OVERVIEW (Known Virus Detection)
  159.  
  160.                VIRUSCAN Version 9.1 V100 Beta (filename SCAN.EXE) identifies all
  161.           1060 known computer viruses and their variants.  Some viruses
  162.           have been modified so that more than one "strain" exists.
  163.           Counting such modifications, 1,756 viruses exist.
  164.  
  165.                All known viruses infect one or more of the following
  166.           areas: the hard disk partition table (alias Master Boot Record);
  167.           the DOS Boot Sector of disks; or one or more executable files on
  168.           the system.  Executable files include operating system files,
  169.           .COM files, .EXE files, overlay files, or any other files
  170.           containing program code.  A virus that infects more than one
  171.           area, such as a boot sector and an executable file is called
  172.           a multipartite virus.
  173.  
  174.                SCAN checks files, subdirectories, diskettes or entire
  175.           systems for pre-existing computer virus infections.  It will
  176.           identify the virus infecting the system and the area where it
  177.           was found, giving the name of the virus as well as the I.D.
  178.           code used with CLEAN-UP to remove it.
  179.  
  180.                Infected files can be removed using the /D switch in SCAN
  181.           to erase the file, or with the CLEAN-UP universal virus removal
  182.           (disinfection) program.  CLEAN-UP is recommended because in most
  183.           cases it will eliminate the virus and fully restore infected
  184.           programs or system areas to normal operation.
  185.  
  186.                The accompanying VIRLIST.TXT file lists describes all
  187.           viruses identified by SCAN and their associated I.D. codes for
  188.           removal by CLEAN-UP.
  189.  
  190.  
  191.           OVERVIEW  (Unknown and New Virus Detection)
  192.  
  193.                SCAN has three separate methods of detecting unknown and
  194.           new viruses:
  195.  
  196.                Validation codes which can be periodically checked against
  197.                 to look for the changes made by a virus to files or system
  198.                 areas.
  199.  
  200.                Generic and Family virus detectors to look for new viruses
  201.                 which are derivatives of older viruses.
  202.  
  203.                External virus signatures to insert new virus signature
  204.                 strings on a temporary basis to SCAN.
  205.  
  206.  
  207.  
  208.  
  209.  
  210. VIRUSCAN Version 9.1 V100 Beta                                Page 4
  211.  
  212.  
  213.           SYNOPSIS (technical description of known virus detection)
  214.  
  215.                SCAN detects known viruses by searching the system for
  216.           strings (sequences of bytes) unique to each computer virus and
  217.           reporting their presence if found.  For viruses which encrypt or
  218.           cipher their code so that every infection of the virus is
  219.           different, SCAN uses detection algorithms (programs) that work
  220.           by statistical analysis, heurstics, or code disassembly.
  221.  
  222.  
  223.           SYNOPSIS (technical description of new/unknown virus detection)
  224.  
  225.               SCAN checks for new or unknown viruses by comparing
  226.           files against previously-recorded validation (checksum) data.
  227.           SCAN has two levels of validation which are stored in three
  228.           seperate ways:
  229.  
  230.                A simple 10-byte long validation checksum may be appended
  231.                 to .COM and .EXE files.  If a file has been modified, it
  232.                 no longer matches the checksum and SCAN will report the
  233.                 file may have become infected.  (/AV, /CV, /RV switches)
  234.  
  235.                An enhanced 52-byte validation and recovery data checksum
  236.                 can also be created.  This can be appended to the end of
  237.                 files like the 10-byte checksum, or stored in a separate
  238.                 log file which can be offline (e.g., on floppies) for
  239.                 recovery purposes.  CLEAN-UP can restore infected files,
  240.                 partition tables, or boot sectors using this information.
  241.                 (/AG, /CG, /RG switches and /AF, /CF, /RF switches)
  242.  
  243.           NOTE:  If validation codes are attached to files, SCAN will NOT
  244.                  add codes to the partition table, boot sector, or system
  245.                  files.  Instead, a separate hidden file will be created
  246.                  in the root directory named SCANVAL.VAL containing data
  247.                  for these areas.
  248.  
  249.           NOTE:  Files which are self-checking (e.g., Lotus 1-2-3) should
  250.                  not be validated with the /AV (Add Validation) or /AG
  251.                  (Add Generic) switches which modify files.  Instead, use
  252.                  the /AF (Add File) switch.
  253.  
  254.                SCAN also checks for new or unknown viruses by searching
  255.           for Generic or Family virus strings.  These are strings that
  256.           have been found repeatedly in different viruses.  Since virus
  257.           writers may use the older pieces of code for new viruses, this
  258.           allows SCAN to detect viruses which have not been written yet.
  259.  
  260.                VIRUSCAN can be updated to search for new viruses by an
  261.           External Virus Data File, which allows the user to input new
  262.           search strings for viruses. (/EXT switch)
  263.  
  264.  
  265. VIRUSCAN Version 9.1 V100 Beta                                Page 5
  266.  
  267.  
  268.           AUTHENTICITY
  269.  
  270.                Before using SCAN for the first time, verify that it has
  271.           not been tampered with or infected by a virus by using the
  272.           the enclosed VALIDATE program.  For instructions on using
  273.           VALIDATE, please read the VALIDATE.DOC file.
  274.  
  275.                The validation results for Version 9.1 V100 Beta should be:
  276.  
  277.                         FILE NAME: SCAN.EXE
  278.                              SIZE: 108,633
  279.                              DATE: 01-10-1993
  280.               FILE AUTHENTICATION
  281.                    Check Method 1: 911D
  282.                    Check Method 2: 09AE
  283.  
  284.           If your copy of SCAN differs, it may have been damaged or have
  285.           options stored in it with the /SAVE switch.  Run SCAN with only
  286.           the /SAVE option to remove any stored options and then re-run
  287.           VALIDATE.  Always obtain your copy of VIRUSCAN from a known
  288.           source.  The latest version of VIRUSCAN and validation data for
  289.           SCAN.EXE can be obtained from McAfee Associates' bulletin board
  290.           system at (408) 988-4004 or from the McAfee Virus Help Forum on
  291.           CompuServe (GO MCAFEE), or the mcafee.COM anonymous ftp site on
  292.           the Internet.
  293.  
  294.                VIRUSCAN performs a self-check when run.  If SCAN has been
  295.           modified in any way, a warning will be displayed and the user
  296.           will be prompted to either continue or quit.  SCAN can still
  297.           check for viruses, however, if SCAN reports that it has been
  298.           damaged, it is recommended that a clean copy be obtained.
  299.  
  300.                Beginning with Version 72, all of McAfee Associates'
  301.           VIRUSCAN series are archived with PKWare's PKZIP Authentic File
  302.           Verification.  If you do not see an "-AV" after every file is
  303.           unzipped and receive the "Authentic Files Verified! # NWN405
  304.           Zip Source: McAFEE ASSOCIATES" message when you unzip the files
  305.           then do not use them.  If your version of PKUNZIP does not have
  306.           verification ability, then this message may not be displayed.
  307.           Please contact us if you believe tampering has occured to the
  308.           .ZIP file.
  309.  
  310.  
  311.  
  312.  
  313.  
  314.  
  315.  
  316.  
  317.  
  318.  
  319.  
  320. VIRUSCAN Version 9.1 V100 Beta                                Page 6
  321.  
  322.  
  323.           COMMAND SUMMARY
  324.  
  325.           IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  326.                            TO PREVENT INFECTION OF THE VIRUSCAN PROGRAM.
  327.  
  328.                VIRUSCAN checks files and other areas of the system that
  329.           can contain a computer virus.  When a virus is found, SCAN
  330.           identifies the virus and the file or system area where it was
  331.           found.
  332.                SCAN examines files based on their extension.  The default
  333.           extensions supported by SCAN are .APP, .BIN, .COM, .EXE, .OV?,
  334.           .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions
  335.           can be added with the /EXT option, or use the /A to check all
  336.           files.
  337.  
  338.  
  339.           Valid options for VIRUSCAN are:
  340.  
  341.                            SCAN {drive(s)} {options}
  342.  
  343.           {drive(s)}       - Indicates a drive or drives to be scanned
  344.  
  345.           Options are:
  346.  
  347.           \                - Scan root directory and boot area only
  348.           /? /H or /HELP   - Displays help screen
  349.           /A               - Scan all files, including data, for viruses
  350.           /AD              - Scan all local drives for viruses
  351.           /AF {filename}   - Store recovery & validation data to {filename}
  352.           /AG {filename}   - Add recovery & validation data to files
  353.                               EXCEPT for those listed in {filename}
  354.           /AV {filename}   - Add validation codes to files EXCEPT for
  355.                               those listed in {filename}
  356.           /BELL            - Beep whenever a virus is found
  357.           /CERTIFY         - List files that do not have a validation code
  358.           /CF {filename}   - Check for viruses using recovery & validation
  359.                               data stored in {filename}
  360.           /CHKHI           - Check memory from 0Kb to 1,088Kb
  361.           /CG              - Check recovery & validation data on files
  362.           /CV              - Check validation codes on files
  363.           /D               - Overwrite and delete infected files
  364.           /DATE            - Save the date and time SCAN was last run
  365.                               (use /SHOWDATE to display)
  366.           /E .xxx .yyy     - Scan overlay extensions .XXX and .YYY
  367.           /EXT {filename}  - Scan using external virus data from {filename}
  368.           /FAST            - Speed up VIRUSCAN's output
  369.                               (see below for specifics)
  370.           /HISTORY {fname} - Create infection log {fname} appending to old log
  371.           /M               - Scan memory for all viruses
  372.                               (see below for specifics)
  373.  
  374. VIRUSCAN Version 9.1 V100 Beta                                Page 7
  375.  
  376.  
  377.           /MAINT           - Scan "invalid media" error (damaged) disk
  378.           /MANY            - Scan multiple disks
  379.           /NLZ             - Skip internal scan of LZEXE-compressed files
  380.           /NOBREAK         - Disable Ctrl-C and Ctrl-Brk during scanning
  381.           /NOEXPIRE        - Do not display expiration notice
  382.           /NOMEM           - Disable memory check
  383.           /NOPAUSE         - Disable screen pause when scanning
  384.           /NPKL            - Skip internal scan of PKLITE-compressed files
  385.           /REPORT {fname}  - Create infection log {fname} deleting the old log          /RF filename     - Remove recovery & validation data stored
  386.           /RG              - Remove recovery & validation data from files
  387.           /RV              - Remove validation codes from specified files
  388.           /SAVE            - Save specified options as new default options
  389.           /SHOWDATE        - Display the date and time SCAN was last run
  390.                               (use /DATE to save date and time)
  391.           /SUB             - Scan all subdirectories inside a subdirectory
  392.           /UNATTEND        - Scan using DOS critical error handler
  393.                               (required if used within Windows or OS/2)
  394.           @{filename}      - Scan using options from {filename}
  395.  
  396.  
  397.  
  398.  
  399.  
  400.  
  401.  
  402.  
  403.  
  404.  
  405.  
  406.  
  407.  
  408.  
  409.  
  410.  
  411.  
  412.                     [This space left intentionally blank.]
  413.  
  414.  
  415.  
  416.  
  417.  
  418.  
  419.  
  420.  
  421.  
  422.  
  423.  
  424.  
  425.  
  426.  
  427.  
  428. VIRUSCAN Version 9.1 V100 Beta                                Page 8
  429.  
  430.  
  431.           OPTIONS
  432.  
  433.                Following is a detailed description of VIRUSCAN's options.
  434.           Please note the /AF and /AG switches modify executable files.
  435.           The /SAVE switch modifies the SCAN.EXE file.  This may cause
  436.           other anti-viral programs to generate a warning.
  437.  
  438.           /A - This option checks all files on the drive scanned.  This
  439.           substantially increases the time required to scan disks, so
  440.           it is recommended this swich only be used when installing new
  441.           software or if a file-infecting virus has been found.  This
  442.           option takes priority over the /E option.
  443.  
  444.           /AD - This option scans all local hard disk drives for viruses.
  445.           No drives need to be listed when the /AD switch is used.
  446.  
  447.           NOTE:  If network drives exist, SCAN will attempt to access
  448.                  them when run with the /AD switch and fail.
  449.  
  450.           /AF {filename} - This option logs recovery and validation
  451.           data for .COM and .EXE files, boot sector, and partition table
  452.           of a disk to a user-specified file.  The log file size is about
  453.           20Kb per 1,000 files validated.  Recovery from a virus using the
  454.           /AF information requires the CLEAN-UP (CLEAN.EXE) program.
  455.  
  456.           /AG {filename} - This option allows the user to store recovery
  457.           and validation data for .COM and .EXE files, boot sector, and
  458.           partition table of a disk.  Recovery information adds 52 bytes
  459.           to files.  The recovery information for the partition table,
  460.           boot sector, COMMAND.COM and system files is stored separately
  461.           in a hidden file called SCANVAL.VAL in the root directory of the
  462.           drive being scanned.  {filename} is an optional ASCII text file
  463.           listing files NOT to add recovery and validation data to (see
  464.           NOTE below).  Recovery from a virus using the /AG information
  465.           requires the CLEAN-UP (CLEAN.EXE) program.
  466.  
  467.           /AV {filename} - This option allows the user to store validation
  468.           codes for .COM and .EXE files, boot sector, and partition table
  469.           of a disk.  Validation information adds 10 bytes to files.  The
  470.           validation codes for the partition table, boot sector, system
  471.           files and COMMAND.COM is stored separately in a hidden file
  472.           named SCANVAL.VAL in the root directory of the drive being
  473.           scanned.  {filename} is an optional ASCII text file listing the
  474.           files NOT to add validation codes to (see note below).
  475.  
  476.  
  477.  
  478.  
  479.  
  480.  
  481.  
  482.  
  483. VIRUSCAN Version 9.1 V100 Beta                                Page 9
  484.  
  485.  
  486.           NOTE:  Files which are immunized against viruses or contain
  487.                  self-modifying code should not have validation codes
  488.                  added to them.  To prevent SCAN from adding validation
  489.                  codes to these files, a validation exception list must be
  490.                  created with the path and filename of each file NOT to be
  491.                  validated listed on each line (only one filename for each
  492.                  line).  To put a comment in, start the line with an "*"
  493.                  character.  This sample file contains a list of programs
  494.                  NOT to validate:
  495.  
  496.           *LIST OF FILES NOT TO USE /AV OR /AG OPTIONS WITH
  497.           *
  498.           *This is Nantucket Corp's database program, Clipper
  499.           C:\CLIPPER\BIN\CLIPPER.EXE
  500.           *This is Lotus Development Corp's spreadsheet program, 1-2-3
  501.           C:\123\123.COM
  502.           *This is MS-DOS 5.00's self-modifying program, SETVER
  503.           C:\DOS\SETVER.EXE
  504.           *PKWare's data compression programs already perform a self-check
  505.           C:\PKWARE\PKLITE.EXE
  506.           C:\PKWARE\PKZIP.EXE
  507.           C:\PKWARE\PKUNZIP.EXE
  508.           *Stac Technologies hard disk swapping program
  509.           C:\SWAPVOL.COM
  510.           *Symantec's Norton Utilities V6.01 disk caching program
  511.           C:\NORTON\NCACHE.EXE
  512.           *WordStar Corp's word processor is self-modifying
  513.           C:\WORDSTAR\WS.EXE
  514.  
  515.                The validation exception list should be an ASCII or DOS
  516.           text file.  If a word processor is used to create the list, be
  517.           sure to save the file as ASCII or DOS Text.
  518.  
  519.           /BELL - This option causes SCAN to beep when a virus is found.
  520.  
  521.           /CERTIFY -  This option will audit a system for files that have
  522.           validation codes added to them with the /AG or /AV switches.
  523.           Files that have no validation code will be reported as being
  524.           uncertified by VIRUSCAN and an ERRORLEVEL of 3 will be returned
  525.           after SCAN is run.
  526.  
  527.           /CF {filename} - This option checks recovery and validation data
  528.           stored by the /AF option in {filename}.  If a file or system
  529.           area has changed, SCAN reports that a viral infection may have
  530.           occurred.  Using the /CG option adds about 25% more time to
  531.           scanning.
  532.  
  533.  
  534.  
  535.  
  536.  
  537.  
  538. VIRUSCAN Version 9.1 V100 Beta                                Page 10
  539.  
  540.  
  541.           /CG - This options checks recovery and validation data added by
  542.           the /AG option.  If a file or system area has changed, SCAN
  543.           reports that a viral infection may have occurred.  Using the /CG
  544.           option adds about 25% more time to scanning.  This option takes
  545.           priority over the /CV option.
  546.  
  547.           /CHKHI - This option checks the memory from 640Kb to 1,088Kb
  548.           which can be used on 286 and 386 systems by computer viruses.
  549.           On XT systems, memory will be scanned twice.  Memory above 1,088
  550.           is not addressed directly by the CPU and can not contain viral
  551.           code.  This option cannot be used with the /NOMEM option.
  552.  
  553.           /CV - This option checks validation codes inserted by the /AV
  554.           option.  If a file or system area has been changed, SCAN will
  555.           report that the file or system area has been modified and a
  556.           viral infection may have occurred.  Using the /CV option adds
  557.           about 20% more time to scanning.
  558.  
  559.           NOTE:  Some older Hewlett Packard and Zenith PC's modify the
  560.                  boot sector each time the system is booted.  This causes
  561.                  SCAN to continually report that the boot sector has been
  562.                  modified if the /CF, /CG, or /CV switches are used.
  563.                  Check your system's manual to determine if your PC has
  564.                  self-modifying boot code.
  565.  
  566.           /D - This option tells SCAN to prompt the user to overwrite
  567.           and delete an infected files.  Files erased by the /D option
  568.           can not be recovered.  If the CLEAN-UP program is available,
  569.           it can be used to disinfect the file.  Partition table and boot
  570.           sectpr viruses can not be removed by the /D option and require
  571.           the CLEAN-UP virus removal program.
  572.  
  573.           /DATE - This option stores the time and date SCAN was last run.
  574.           This is done by changing the date on the SCANVAL.VAL file.  If
  575.           no SCANVAL.VAL file exists, SCAN will create a 0-byte long one
  576.           in the currently-logged directory.
  577.  
  578.           /E .xxx .yyy - This option allows an additional extension or set
  579.           extensions to be scanned.  Extensions should include a period "."
  580.           character and be separated by a space after the /E.  Up to three
  581.           extensions may be added with the /E.  For more extensions, use
  582.           the /A option instead.
  583.  
  584.           /EXT {filename} - This option tells SCAN to search for viruses
  585.           using virus search strings from ASCII text file {filename}, in
  586.           addition to the viruses that SCAN looks for.  For instructions
  587.           creating an external virus data file, refer to Appendix A.
  588.  
  589.  
  590.  
  591.  
  592.  
  593. VIRUSCAN Version 9.1 V100 Beta                                Page 11
  594.  
  595.  
  596.           NOTE:  The /EXT option provides users with the ability to add
  597.                  strings for detection of viruses on an interim or
  598.                  emergency basis.  When used with the /D option, it will
  599.                  overwrite-and-delete infected files.  This option is not
  600.                  for general use and should be used with caution.
  601.  
  602.           /FAST - This option speeds SCAN up by displaying less on the
  603.           the screen, skipping checking inside of LZEXE- and PKLITE-
  604.           compressed files, and examining a smaller portion of files
  605.           during scanning.  This may reduce the accuracy of SCAN.
  606.  
  607.           /HISTORY {filename} - This option saves the output of SCAN
  608.           to {filename} in ASCII text file format.  If {filename} exists,
  609.           SCAN will add the results of the current scan to the end.
  610.  
  611.           /M - This option tells VIRUSCAN to check system memory for all
  612.           known computer viruses that can inhabit memory.  SCAN by default
  613.           only checks memory for critical and "stealth" viruses, which are
  614.           viruses which can cause catastrophic damage or spread the virus
  615.           infection during the scanning process.  By default, SCAN will
  616.           check memory for the following viruses:
  617.  
  618.              1024           1253          1530          15xx variant
  619.              1963           1971          2153          2560
  620.              3040           337           3445-Stealth  4096
  621.              500            512           557           702
  622.              ABC            Agena         Anthrax       Antitelefonica
  623.              Aragon         arcv          B3            Blood Rage
  624.              Brain          Budo          Caz           CD
  625.              Chang          Coffee Shop   Copyr-ug      Cracky
  626.              Crusher        Dark Avenger  Davis         Dir-2
  627.              DM-330         Doom II       EEL           Empire
  628.              End-of         Evil Genius   ExeBug        Fam
  629.              Feist          Fish          Flu           FORM
  630.              Frodo Soft     Fune          Futhark       Geek
  631.              Greemlin       Green         HA            HBT
  632.              Hellween 1182  Hi            Highland      Horror
  633.              Ice9           Iernim        IOU           Jeru Variant
  634.              Joanna         Joshi         Jump4Joy      Kersplat
  635.              L1             Larry         Leech         LixoNuke
  636.              Lozinsky       Lycee         Magnum        Malaga
  637.              Malaise        Microbes      Mirror        Mocha
  638.              Monkey         Mugshot       Mummy         Murphy
  639.  
  640.  
  641.  
  642.  
  643.  
  644. VIRUSCAN Version 9.1 V100 Beta                                Page 12
  645.  
  646.  
  647.              NCU Li         Ninja         Nomemklatura  NOP
  648.              No-Int         Nygus         Nygus-KL      Ontario-3
  649.              Otto           P1R           PCBB11        Penza
  650.              Phantom        Piazzola      Plastique     Pogue
  651.              Pojer          Problem       Radyum        Rattle
  652.              Reaper         Reklama       Rocko         Sandwich
  653.              SBC            Scr-2         Scroll        Scythe
  654.              Sentinel       Sergant       Silence       Sk
  655.              Sk1            Sma-108a      Soyun         Stealthb
  656.              Sticky         Stoned (Vari) Sunday-2      SVC
  657.              Tabulero       Taiwan3       Ten Bytes     Tequila
  658.              Thursday 12th  Turbo         Turkey        Twin-351
  659.              V2100          V2P6          V600          Vietnamese
  660.              Walker         Whale         Windmill      Yan2050a
  661.              Youth          Zaragoza
  662.  
  663.           If any of the above viruses is found in memory, SCAN will stop,
  664.           tell the user to power down and reboot the system from a virus-
  665.           free system-bootable disk.  This option can not be used with the
  666.           /NOMEM option.
  667.  
  668.           NOTE:  Using the /M option with another anti-viral software
  669.                  package may result in false alarms if the other package
  670.                  does not remove or cipher (hide or otherwise encrypt) its
  671.                  virus search strings in memory.
  672.  
  673.           /MAINT - This option is used to scan hard disks partitioned
  674.           with DOS 4.0 or above that have been damaged by a boot sector
  675.           or partition table infecting virus or non-DOS partitions, such
  676.           as those created by Novell NetWare/386 or IBM OS/2 V2.0 HPFS.
  677.           Attempts to access dammaged or non-DOS disks result in an
  678.           "Invalid media" message being displayed.  When SCAN is run with
  679.           this option, only the partition table and boot sector will be
  680.           scanned.
  681.  
  682.           /MANY - This option is used to scan multiple diskettes placed
  683.           in a given drive.  If the user has more than one floppy disk to
  684.           check for viruses, the /MANY option will allows the user to
  685.           check disks without having to re-run SCAN multiple times. After
  686.           the system has been disinfected, the /MANY and /NOMEM options
  687.           options can be used together to speed up the scanning of disks.
  688.  
  689.           /NLZ - This option tells SCAN not to look inside files 
  690.           compressed with LZEXE, a file compression program.  SCAN will
  691.           still check LZEXE-compressed files for viruses that may have
  692.           infected after LZEXE compression.
  693.  
  694.           /NOBREAK - This option prevents Ctrl-C or Ctrl-Brk from aborting
  695.           the scanning process.
  696.  
  697.  
  698.  
  699. VIRUSCAN Version 9.1 V100 Beta                                Page 13
  700.  
  701.  
  702.           /NOMEM - This option turns off all memory checks for viruses
  703.           in order to speed up the scanning process.  It should only be
  704.           used when a system is known to be virus-free.  This option can
  705.           not be used with the /CHKHI or /M options.
  706.  
  707.           /NOEXPIRE - This option prevents SCAN from displaying a warning
  708.           message after 7 months warning that it may no longer be current
  709.           with respect to known computer viruses.
  710.  
  711.           /NOPAUSE - This option disables the "More? (H = Help )" prompt
  712.           displayed when SCAN fills up a screen with 24 lines of text.
  713.           This allows SCAN to run on PC's with severe infections without
  714.           requiring operator assistance.
  715.  
  716.           /NPKL - This option tells SCAN not to look inside files
  717.           compressed with PKLITE, a file compression program.  SCAN will
  718.           still check PKLITE-compressed files for viruses that may have
  719.           infected after PKLITE compression.
  720.  
  721.           /REPORT {filename} - This option saves the output of SCAN
  722.           to {filename} in ASCII text file format.  If {filename} exists,
  723.           SCAN will erase it and replace with the current scan results.
  724.  
  725.           /RF {filename} - This option removes recovery and validation
  726.           data from log file {filename} created by the /AF option.
  727.  
  728.           /RG - This option removes validation and recovery data from a
  729.           file or files validated with the /AG option.  Using the /RG
  730.           switch against a drive drive removes the SCANVAL.VAL file.  This
  731.           option can not be used with the /AG option.
  732.  
  733.           /RV - This option removes validation codes from a file or files
  734.           validated with the /AV option.  Using the /RV switch against a
  735.           drive drive removes the SCANVAL.VAL file.  This option can not
  736.           be used with the /AV option.
  737.  
  738.           /SAVE - This option stores any listed options for subsequent
  739.           executions of SCAN.  The options are stored by modifying the
  740.           SCAN.EXE executable file itself.  For example:
  741.  
  742.                SCAN /NOMEM /REPORT C:\SCAN.LOG /NOPAUSE /SAVE
  743.  
  744.           saves the default options to /NOMEM, /REPORT C:\SCAN.LOG and
  745.           /NOPAUSE and will cause SCAN to use these options the next time
  746.           it is run.  If SCAN is run with only the /SAVE switch, all saved
  747.           options are removed and the SCAN.EXE is returned to normal.  If
  748.           you do not wish to modify the SCAN.EXE file, use the @{filename}
  749.           option instead.
  750.  
  751.  
  752.  
  753.  
  754. VIRUSCAN Version 9.1 V100 Beta                                Page 14
  755.  
  756.  
  757.           NOTE:  VALIDATE 0.4 must be used to validate SCAN V89 or above
  758.                  if the /SAVE option is used.  /SAVE directly modifies
  759.                  SCAN.EXE in such a manner that validate codes will not
  760.                  match if an older version of VALIDATE is used.  VALIDATE
  761.                  0.4 generates correct validation results if the /SAVE
  762.                  option is used.
  763.  
  764.  
  765.           /SHOWDATE - This option displays the time and date SCAN was last
  766.           run.  No virus checking is performed.
  767.  
  768.           NOTE:  When run with /SHOWDATE, SCAN only displays the last run
  769.                  date.  Viruses will *NOT* be checked for.
  770.  
  771.           /SUB - This option scans all subdirectories inside a
  772.           subdirectory.  Previously, SCAN would only recursively check
  773.           subdirectories if a drive was scanned at the root level (e.g.,
  774.           C:).  Do not use the /SUB switch if you are scanning a drive
  775.           from the root level.
  776.  
  777.           /UNATTEND - This option tells VIRUSCAN to use the DOS critical
  778.           error handler when accessing files.  This allows SCAN to skip
  779.           files in use by another program instead of stopping and
  780.           displaying an error message.  This option requires DOS 3.10 or
  781.           above.
  782.  
  783.           NOTE:  The /UNATTEND switch is required if you are running
  784.                  SCAN from a DOS session inside Windows or OS/2.
  785.  
  786.           @{filename} - This option allows the user to store a list of
  787.           options and drives to be scanned in a configuration file.
  788.           Options need to be separated by a space, while drives (disks,
  789.           subdirectories, or files) need to be listed on separate lines.
  790.           A sample file might look like this:
  791.  
  792.           /A /BELL /CV /NOMEM /REPORT C:\VIRUSCAN\SCAN.LOG
  793.           C:
  794.           D:\BBS
  795.           E:\MCAFEE\CLEAN-UP\CLEAN.EXE
  796.  
  797.           The first line contains the SCAN options while other lines list
  798.           the names of disks, subdirectories, or files to scan.  The file
  799.           should be an ASCII text file.  If a word processor is used to
  800.           create the list, be sure to save it as ASCII or DOS text.
  801.  
  802.  
  803.  
  804.  
  805. VIRUSCAN Version 9.1 V100 Beta                                Page 15
  806.  
  807.  
  808.           EXAMPLES
  809.  
  810.                The following examples show different option settings:
  811.  
  812.                SCAN C:
  813.                    To scan drive C:
  814.  
  815.                SCAN A:R-HOOPER.EXE
  816.                    Scans file "R-HOOPER.EXE" on drive A:
  817.  
  818.                SCAN A: /A /CV
  819.                    Scans all files and checks validation codes for unknown
  820.                    viruses on drive A:.
  821.  
  822.                SCAN B: /D /A
  823.                    Scans all files on drive B: and prompt for erasure of
  824.                    any infected files, if found.
  825.  
  826.                SCAN C: D: E: /AV /NOMEM
  827.                    Scan for viruses, add validation codes to files on
  828.                    drives C:, D:, and E:, and skip memory checking.
  829.  
  830.                SCAN C: D: /M /A /FR
  831.                    Scan memory for all viruses, all files on drives C: and
  832.                    D: for viruses, and display all messages in French.
  833.  
  834.                SCAN C: D: /E .WPM .COD
  835.                    Scans drives C: and D:, including .WPM and .COD files 
  836.  
  837.                SCAN C: /EXT A:SAMPLE.ASC /BELL
  838.                    To scan drive C: for known computer viruses and also
  839.                    for viruses added by the user via the external virus
  840.                    data file option, and beep whenever a virus is found.
  841.  
  842.                SCAN C: /M /NOPAUSE /REPORT A:INFECTN.RPT
  843.                    To scan for all viruses in memory and drive C: without
  844.                    stopping, and create a log file INFECTN.RPT on drive A:
  845.  
  846.                SCAN E:\DOWNLOADS /SUB
  847.                    To scan all subdirectories under the directory
  848.                    DOWNLOADS on drive E:
  849.  
  850.                SCAN C: D: E: /FAST /CERTIFY
  851.                    To perform a fast scan of drives C:, D:, and E: and
  852.                    check for any files that do not have validation codes.
  853.  
  854.                SCAN @C:\SCANOPTN.LST
  855.                    To run SCAN using configuration file SCANOPTN.LST
  856.                    located in the root directory of drive C:.
  857.  
  858.                SCAN /AD /M
  859.                     Scan all hard drive partitions and memory for viruses.
  860. VIRUSCAN Version 9.1 V100 Beta                                Page 16
  861.  
  862.  
  863.           EXIT CODES
  864.  
  865.                After VIRUSCAN has finished running, it will set the DOS
  866.           ERRORLEVEL.  ERRORLEVEL's are used in batch files to pass the
  867.           results of a program's actions.  The ERRORLEVEL's returned by
  868.           SCAN are:
  869.  
  870.                ERRORLEVEL │ DESCRIPTION
  871.                ═══════════╪══════════════════════════════════════════════
  872.                    0      │ No viruses found
  873.                    1      │ One or more viruses found
  874.                    2      │ Abnormal termination (program error)
  875.                    3      │ One or more uncertified files found
  876.                    4      │ Ctrl-C or Ctrl-Break aborted scan
  877.  
  878.           If a user stops the scanning process, SCAN will set the
  879.           ERRORLEVEL to 4.  If you wish to prevent users from stopping the
  880.           scanning process, then run SCAN with the /NOBREAK option.
  881.  
  882.  
  883.           VIRUS REMOVAL
  884.  
  885.                What do you do if a virus is found?  You can contact McAfee
  886.           Associates for help, their authorized agents, or use the CLEAN-UP
  887.           program.
  888.  
  889.                McAfee Associates can be reached by BBS, CompuServe, FAX,
  890.           Internet, or Telephone and there is no charge for support calls
  891.           to McAfee Associates (Authorized agents may charge normal McAfee
  892.           Associates consulting rates.).
  893.  
  894.                The CLEAN-UP universal virus disinfection program can
  895.           disinfect virtually all reported computer viruses.  It is
  896.           updated with each release of the SCAN program to remove new
  897.           viruses.  CLEAN-UP can be downloaded from McAfee Associates'
  898.           BBS, the McAfee Virus Help Forum on CompuServe, and the
  899.           mcafee.COM and WSMR-SIMTEL20.Army.Mil sites on the Internet, or
  900.           from any of the agents' BBSes listed in the enclosed AGENTS.TXT
  901.           text file.
  902.  
  903.                It is strongly recommended that you get experienced help in
  904.           dealing with viruses if you are unfamilar with anti-virus
  905.           software and methods.  This is especially true for 'critical'
  906.           viruses and partition table/boot sector infecting viruses as
  907.           improper removal of these viruses can result in the loss of
  908.           all data and the use of the infected disk(s).  [For a listing of
  909.           critical viruses, see the /M switch listed under OPTIONS above.]
  910.  
  911.                Before removing a boot sector or partition table-infecting
  912.           virus, it is recommended that you cold boot the infected PC from
  913.           a clean DOS disk and backup any critical data.
  914.  
  915. VIRUSCAN Version 9.1 V100 Beta                                Page 17
  916.  
  917.  
  918.                For qualified assistance in removing a virus, contact
  919.           McAfee Associates directly or any of the Authorized Agents in
  920.           your area.  Agents may charge McAfee Associates' normal consult
  921.           rates for their services.
  922.  
  923.                If you wish to remove a file-infecting virus manually, cold
  924.           boot the PC from a clean (virus-free) DOS system disk and run
  925.           SCAN with the /A and /D switches to erase all infected files.
  926.           Any files removed in this manner can not be recovered.
  927.  
  928.  
  929.           REGISTRATION
  930.  
  931.                A registration fee of US$25.00 is required for the use of
  932.           VIRUSCAN by individual home users.  Registration entitles the
  933.           holder to unlimited free upgrades from McAfee Associates' BBS,
  934.           the Internet, and the McAfee Virus Help Forum on CompuServe as
  935.           well as technical support for one year.  When registering, a
  936.           diskette containing the latest version may be requested for an
  937.           additional US$9.00.  Only one diskette mailing will be made.
  938.                Registration is for home users only and does not apply to
  939.           businesses, corporations, organizations, government agencies, or
  940.           schools, which must obtain a license for use.  Contact McAfee
  941.           Associates directly or an Authorized Agent for more information.
  942.  
  943.  
  944.           TECH SUPPORT
  945.  
  946.                For fast and accurate help, please have the following
  947.           information ready when you contact McAfee Associates:
  948.  
  949.                -    Program name and version number.
  950.  
  951.                -    Type and brand of computer, hard disk, plus any
  952.                     peripherals.
  953.  
  954.                -    Version of DOS plus any TSRs or device drivers in use.
  955.  
  956.                -    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  957.  
  958.                -    A printout of what is in memory from the MEM command
  959.                     (DOS 4 and above users only) or a similar utility.
  960.  
  961.                -    The exact problem you are having.  Please be as
  962.                     specific as possible.  Having a printout of the
  963.                     screen and/or being at your computer be will helpful.
  964.  
  965.           McAfee Associates can be contacted by BBS, CompuServe, FAX, or
  966.           InterNet 24 hours a day, or by telephone at (408) 988-3832,
  967.           Monday through Friday, 7:00AM to 5:30PM Pacific Time.
  968.  
  969.  
  970. VIRUSCAN Version 9.1 V100 Beta                                Page 18
  971.  
  972.  
  973.                If you are overseas, there may be an Authorized McAfee
  974.           Associates Agent in your area.  Please refer to the AGENTS.TXT
  975.           file for a list of McAfee Associates Agents.
  976.  
  977.  
  978.           OBTAINING THE LATEST VERSION OF McAFEE ASSOCIATES PROGRAMS
  979.  
  980.                McAfee Associates regularly updates the VIRUSCAN series
  981.           of programs every 4 to 6 weeks to add new virus detectors,
  982.           new options, and fix the occasional, if infrequent, bug.  To
  983.           distribute these new versions, we run a multi-line BBS,
  984.           CompuServe Forum, and Internet node:
  985.  
  986.           BBS ACCESS
  987.  
  988.                Our 25-line BBS is accessible 24 hours a day, 365 days a
  989.           year, except for scheduled downtime and maintenance.  All lines
  990.           run US Robotics Courier HST Dual Standard ASL modems operating
  991.           from 1,200bps to 14,400bps with line settings of 8 data bits, no
  992.           parity, and one stop bit.
  993.  
  994.  
  995.           THE McAFEE VIRUS HELP FORUM ON COMPUSERVE
  996.  
  997.                We are now sponsoring the McAfee Virus Help Forum on
  998.           CompuServe.  To reach the McAfee Virus Help Forum type GO MCAFEE
  999.           at any CompuServe prompt.  A free introductory membership is
  1000.           available.  For more information, please read the enclosed
  1001.           COMPUSER.NOT file.
  1002.  
  1003.  
  1004.           INTERNET ACCESS TO McAFEE ASSOCIATES SOFTWARE
  1005.  
  1006.                The latest versions of McAfee Associates' anti-viral
  1007.           software is now available by anonymous ftp (file transfer
  1008.           protocol over the Internet from the site mcafee.COM.  If
  1009.           your domain resolver does not support names, use the IP#
  1010.           192.187.128.1.  Enter "anonymous" for your user I.D. and
  1011.           your own email address for the password.  Programs are
  1012.           located in the pub/antivirus directory.  If you have any
  1013.           questions, please send email to support@mcafee.COM
  1014.  
  1015.                 McAfee Associates' anti-viral software may also be
  1016.           found at the Simtel20 archive site WSMR-SIMTEL20.Army.MIL
  1017.           in the PD1:<MSDOS.TROJAN-PRO> directory and its associated
  1018.           mirror sites WUARCHIVE.WUSTL.EDU (US), NIC.SWITCH.CH (Swiss),
  1019.           NIC.FUNET.FI (Finland), SRC.DOC.IC.AC (UK), and
  1020.           RANA.CC.DEAK.OZ.AU (Australia).
  1021.  
  1022.  
  1023.  
  1024.  
  1025. VIRUSCAN Version 9.1 V100 Beta                                Page 19
  1026.  
  1027.  
  1028.           APPENDIX A:  Creating a Virus String File with the /EXT Option
  1029.  
  1030.           NOTE:  The /EXT option is intended for emergency and research
  1031.                  use only.  It is a temporary method for identifying new
  1032.                  viruses prior to the subsequent release of SCAN.  A
  1033.                  thorough understanding of viruses and string-search
  1034.                  techniques is advised for using this option.  A string
  1035.                  length of 10 to 15 bytes is recommended.
  1036.  
  1037.                The External Virus Data file should be created with an
  1038.           editor or a word processor and saved as an ASCII text file.  Be
  1039.           sure each line ends with a Carriage Return/Line Feed pair.
  1040.  
  1041.  
  1042.                The virus string file uses the following format:
  1043.  
  1044.           #Comment about Virus_1
  1045.           "aabbccddeeff..." Virus_1_Name
  1046.           #Comment about Virus_2
  1047.           "gghhiijjkkll..." Virus_2_Name
  1048.                .
  1049.                .
  1050.           "uuvvwwxxyyzz..." Virus_n_Name
  1051.  
  1052.  
  1053.           Where aa, bb, cc, etc. are the hexadecimal bytes that you wish
  1054.           to scan for.  Each line in the file represents one virus.  The
  1055.           Virus Name for each virus is mandatory, and may be up to 25
  1056.           characters in length.  The double quotes (") are required at the
  1057.           beginning and end of each hexadecimal string.
  1058.                SCAN will use the string file to search memory, the
  1059.           Partition Table, Boot Sector, System files, all .COM and .EXE
  1060.           files, and overlay files with the extension .APP, .BIN, .COM,
  1061.           .EXE, .OV?, .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.
  1062.                Virus strings may contain wild cards.  The two wildcard
  1063.           options are:
  1064.  
  1065.           FIXED POSITION WILDCARD
  1066.                The question mark "?" may be used to represent a wildcard
  1067.           in a fixed position within the string.  For example, the string:
  1068.  
  1069.                              "E9 7C 00 10 ? 37 CB"
  1070.  
  1071.           would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or
  1072.           any other similar string, regardless of the fifth byte.
  1073.  
  1074.  
  1075.  
  1076.  
  1077.  
  1078.  
  1079.  
  1080. VIRUSCAN Version 9.1 V100 Beta                                Page 20
  1081.  
  1082.  
  1083.           RANGE WILDCARD
  1084.  
  1085.                The asterisk "*", followed by range number in parentheses
  1086.           "(" and ")" is used to represent a variable number of adjoining
  1087.           random bytes.  For example, the string:
  1088.  
  1089.                              "E9 7C *(4) 37 CB"
  1090.  
  1091.           would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  1092.           "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  1093.           would not match since the distance between 7C and 37 is greater
  1094.           than four bytes.  You may specify a range of up to 99 bytes.
  1095.           Up to 10 different wildcards of either kind may be used in one
  1096.           virus string.
  1097.  
  1098.  
  1099.           COMMENTS
  1100.                A pound sign "#" at the begining of a line will denote a
  1101.           comment.  Use this for adding notes to the external virus data
  1102.           file.  For example:
  1103.  
  1104.                              #New .COM virus found in file FRITZ.EXE from
  1105.                              #Schneiderland on 01-22-91
  1106.                              "53 48 45 45 50" Fritz-1 [F-1]
  1107.  
  1108.           gives a description of the virus, name of the infected file,
  1109.           where and when it was found, etc.
  1110.  
  1111.  
  1112.           APPENDIX B:  Miscellaneous Application Notes
  1113.  
  1114.  
  1115.           CHECKING MEMORY FOR VIRUSES ONLY
  1116.  
  1117.                VIRUSCAN can perform a quick check for viruses in memory
  1118.           only.  In this mode, SCAN will not check the disk for viruses.
  1119.           This option is useful for network administrators who need to
  1120.           check workstations for viruses before allowing them to log on to
  1121.           a LAN but cannot run the VSHIELD program due to memory
  1122.           constraints.  The command for this is:
  1123.  
  1124.                SCAN NUL /M /CHKHI
  1125.  
  1126.           By designating NUL as the drive to be scanned, SCAN will check
  1127.           system memory for viruses (up to 1088Kb if the /CHKHI option is
  1128.           used) and then return to DOS without scanning any disks.  SCAN
  1129.           returns the DOS ERRORLEVEL in the normal manner.
  1130.  
  1131.  
  1132.  
  1133.  
  1134.  
  1135. VIRUSCAN Version 9.1 V100 Beta                                Page 21
  1136.  
  1137.  
  1138.           VIRUSCAN VALIDATION CODES
  1139.  
  1140.                If you have installed any new software or programs on your
  1141.           system, and are running VIRUSCAN or VSHIELD with the /CF, /CG,
  1142.           or /CV validation codes options, you will need to reinstall
  1143.           validation codes to the new files with the /AF, /AG, or /AV
  1144.           add validation codes options of SCAN.  In addition, the
  1145.           SCANVAL.VAL hidden file containing validation codes for the
  1146.           partition table, boot sector, COMMAND.COM, and system files may
  1147.           have to be replaced (unhide the file with the DOS ATTRIB command
  1148.           and then delete it).
  1149.                The quickest way to update the validation codes is to
  1150.           remove all validation codes from the hard disk and then add them
  1151.           back by running SCAN with the /RV and then the /AV options.
  1152.  
  1153.           NOTE: This applies to any new version of DOS, as well as any
  1154.           programs which you install on your system.
  1155.  
  1156.  
  1157.           REFORMATTING INFECTING FLOPPIES WITH DOS 5.00
  1158.  
  1159.                When reformatting infected floppy disks under DOS 5.0, be
  1160.           sure to add the /U switch to the FORMAT command.  This tells DOS
  1161.           to do an Unconditional Format of the disk, without saving the
  1162.           original infected boot sector of the disk.  This should be done
  1163.           to prevent the reinfection by unformatting the disk.
  1164.  
  1165.  
  1166.           CREATING A RECOVERY DISK USING THE /AF OPTION
  1167.  
  1168.                The /AF switch added in Version 90 of SCAN creates a
  1169.           separate file to store recovery data and validation codes.
  1170.           This file can be stored off-line (on a floppy disk, network
  1171.           drive, tape drive, etc.) and accessed on-demand to check for,
  1172.           and recover from,infection by unknown viruses.
  1173.                To create a Recovery Disk, format a system-bootable floppy
  1174.           and copy the VIRUSCAN (SCAN.EXE) and CLEAN-UP (CLEAN.EXE) files
  1175.           to it.  Then run SCAN against the hard disk with the /AF option.
  1176.           For example:
  1177.                              SCAN C: D: /AF A:\SCANCRC.CRC
  1178.  
  1179.           will scan the C: and D: drives for known viruses and create
  1180.           a file named SCANCRC.CRC containing recovery data and validation
  1181.           codes.  After SCAN finishes, write-protect the disk.
  1182.                To check for virus infection, turn the PC off, insert the
  1183.           Recovery Disk, and turn the power back on.  The PC will now boot
  1184.           from the floppy disk.  At the DOS prompt, type:
  1185.  
  1186.                              SCAN C: D: /CF A:\SCANCRC.CRC
  1187.  
  1188.           to compare drives C: and D: against the recovery data stored
  1189.           in the SCANCRC.CRC file on the A: drive.
  1190. VIRUSCAN Version 9.1 V100 Beta                                Page 22
  1191.  
  1192.  
  1193.                To disinfect your system, turn your PC off, insert the
  1194.           Recovery Disk, and turn the power back on.  The PC will now
  1195.           boot from the floppy disk.  At the DOS prompt, type:
  1196.  
  1197.                              CLEAN C: D: /GF A:\SCANCRC.CRC
  1198.  
  1199.           to restore drives C: and D: with the recovery data stored in the
  1200.           SCANCRC.CRC file on the A: drive.
  1201.  
  1202.  
  1203.  
  1204.  
  1205.  
  1206.  
  1207.  
  1208.  
  1209.  
  1210.  
  1211.  
  1212.  
  1213.  
  1214.  
  1215.  
  1216.  
  1217.  
  1218.  
  1219.  
  1220.  
  1221.  
  1222.  
  1223.  
  1224.  
  1225.  
  1226.  
  1227.  
  1228.  
  1229.  
  1230.  
  1231.  
  1232.  
  1233.  
  1234.  
  1235.  
  1236.  
  1237.  
  1238.  
  1239.  
  1240.  
  1241.  
  1242.  
  1243.  
  1244.  
  1245. VIRUSCAN Version 9.1 V100 Beta                                Page 23
  1246.  
  1247.  
  1248. IMPORTANT NOTICE - PLEASE READ!
  1249.  
  1250.           Due to the nature of anti-virus software, the slight chance
  1251.           exists that a virus may be reported in a file that is not
  1252.           infected by that virus.
  1253.  
  1254.           If you receive a report of a virus which you believe may be in
  1255.           error, please contact McAfee Associates by telephone at (408)
  1256.           988-3832, by fax at (408) 970-9727, or upload the file to our
  1257.           BBS at (408) 988-4004 along with your name, address, daytime
  1258.           telephone number, and electronic mail address, if any.
  1259.  
  1260.  
  1261.  
  1262.  
  1263.  
  1264.  
  1265.  
  1266.  
  1267.  
  1268.  
  1269.  
  1270.  
  1271.  
  1272.  
  1273.  
  1274.  
  1275.  
  1276.  
  1277.  
  1278.  
  1279.  
  1280.  
  1281.  
  1282.  
  1283.  
  1284.  
  1285.  
  1286.  
  1287.  
  1288.  
  1289.  
  1290.  
  1291.  
  1292.  
  1293.  
  1294.  
  1295.  
  1296.  
  1297.  
  1298.  
  1299.  
  1300.  
  1301.