home *** CD-ROM | disk | FTP | other *** search
/ The 640 MEG Shareware Studio 2 / The 640 Meg Shareware Studio CD-ROM Volume II (Data Express)(1993).ISO / os2 / os_scb97.zip / SCAN97B.DOC < prev    next >
Text File  |  1992-10-05  |  50KB  |  1,111 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.  
  19.                        SCAN_OS2 Version BETA 97
  20.                 Copyright (C) 1989 - 1992 by McAfee Associates
  21.                              All rights reserved.
  22.  
  23.                        Documentation by Aryeh Goretsky.
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.                McAfee Associates            (408) 988-3832 office
  50.                3350 Scott Blvd, Bldg. 14    (408) 970-9727 fax
  51.                Santa Clara, CA  95054       (408) 988-4004 BBS (32 lines)
  52.                U.S.A.                       USR HST/v.32/v.42bis/MNP1-5
  53.                                             CompuServe    GO VIRUSFORUM
  54.                                             InterNet  mcafee@netcom.COM
  55.  
  56.  
  57.  
  58.                                       TABLE OF CONTENTS:
  59.  
  60.  
  61.           SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .2
  62.             - What is SCAN_OS2?
  63.             - System requirements
  64.  
  65.           AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .2
  66.             - Verifying the integrity of SCAN_OS2
  67.  
  68.           WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .4
  69.             - New features and viruses in this release
  70.  
  71.           OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .5
  72.             - General description of SCAN_OS2
  73.  
  74.           OPERATION and OPTIONS. . . . . . . . . . . . . . . . . . . . .7
  75.             - How to use SCAN_OS2, detailed explanation of switches
  76.  
  77.           EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .14
  78.             - Samples of frequently-used options
  79.  
  80.           EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .15
  81.             - For running SCAN_OS2 from batch files
  82.  
  83.           VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .15
  84.             - How to manually remove a virus
  85.  
  86.           REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .16
  87.             - How to register SCAN_OS2
  88.  
  89.           TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . .16
  90.            - Information you should have ready when calling
  91.  
  92.           APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .17
  93.            - Creating a virus string file with the /EXT option
  94.  
  95.           APPENDIX B . . . . . . . . . . . . . . . . . . . . . . . . . .18
  96.            - How to check only memory for viruses
  97.            - Validation codes:  Tips and Tricks
  98.            - Reformatting infected floppies with DOS 5.00
  99.            - Creating a Recovery Disk
  100.  
  101.  
  102.  
  103.  
  104.  
  105.  
  106.  
  107.  
  108.                                               Page 1
  109.  
  110. SCAN_OS2 Version BETA 97                                Page 2
  111.  
  112.           SYNOPSIS
  113.  
  114.                SCAN_OS2 (VIRUSCAN for OS2) is a virus detection and
  115.           identification program for IBM PC and compatible computers.
  116.           SCAN will search a PC for known computer viruses in memory,
  117.           the partition table, the boot sector and the files of a PC
  118.           and disks.  SCAN_OS2 can also detect the presence of unknown
  119.           viruses.
  120.                SCAN_OS2 works by searching the system for sequences of bytes
  121.           unique to each computer virus and then reporting their presence
  122.           when found.  This method works for viruses recognized by SCAN.
  123.           SCAN also checks for new/unknown viruses by looking for virus-
  124.           like code patterns, plus comparisons against previously-stored
  125.           validation (checksum) data.  When the enhanced validation mode
  126.           is used, CLEAN-UP can restore infected partition tables, boot
  127.           sectors, or files infected by unknown (new) viruses (See OPTIONS
  128.           for more information on enhanced validation).  The data for the
  129.           enhanced validation mode can be stored off-line on disks as a
  130.           "Recovery Disk" in case of infection by an unknown virus.
  131.           SCAN_OS2 can also check for new viruses from a user-created list
  132.           of virus search strings.
  133.                SCAN_OS2 requires 320Kb of RAM and DOS 2.0 or above (some
  134.           features require DOS 3.1 or above).
  135.  
  136.           AUTHENTICITY
  137.  
  138.                SCAN_OS2 performs a self-check when run.  If SCAN has been
  139.           modified in any way, a warning will be displayed and the user
  140.           will be prompted to either continue or quit.  SCAN can still
  141.           check for viruses, however, if SCAN reports that it has been
  142.           damaged, it is recommended that a clean copy be obtained.
  143.                SCAN versions 46 and above are packaged with the VALIDATE
  144.           program to ensure the integrity of the SCAN_OS2.EXE file.  The
  145.           VALIDATE.DOC file tells how to use VALIDATE.  VALIDATE can be
  146.           used to check subsequent versions of SCAN for tampering.
  147.  
  148.                The validation results for Version BETA 97 should be:
  149.  
  150.                         FILE NAME: SCAN_OS2.EXE
  151.                              SIZE: 157,188
  152.                              DATE: 10-05-1992
  153.               FILE AUTHENTICATION
  154.                    Check Method 1: F6AF
  155.                    Check Method 2: 04CE
  156.  
  157.           If your copy of SCAN differs, it may have been damaged or have
  158.           options stored in it with the /SAVE switch.  Run SCAN with only
  159.           the /SAVE option to remove any stored options and then re-run
  160.           VALIDATE.  Always obtain your copy of SCAN_OS2 from a known
  161.           source.  The latest version of SCAN_OS2 and validation data for
  162.           SCAN.EXE can be obtained from McAfee Associates' bulletin board
  163.           system at (408) 988-4004 or from the Computer Virus Help Forum
  164.           on CompuServe (GO VIRUSFORUM).
  165. SCAN_OS2 Version BETA 97                                Page 3
  166.  
  167.  
  168.                Beginning with Version 72, all of McAfee Associates'
  169.           SCAN_OS2 series are archived with PKWare's PKZIP Authentic File
  170.           Verification.  If you do not see an "-AV" after every file is
  171.           unzipped and receive the "Authentic Files Verified! # NWN405
  172.           Zip Source: McAFEE ASSOCIATES" message when you unzip the files
  173.           then do not use them.  If your version of PKUNZIP does not have
  174.           verification ability, then this message may not be displayed.
  175.           Please contact us if you believe tampering has occured to the
  176.           .ZIP file.
  177.  
  178.  
  179.  
  180.  
  181.  
  182.  
  183.  
  184.  
  185.  
  186.  
  187.  
  188.  
  189.  
  190.  
  191.  
  192.  
  193.  
  194.  
  195.                     [This space intentionally left blank]
  196.  
  197.  
  198.  
  199.  
  200.  
  201.  
  202.  
  203.  
  204.  
  205.  
  206.  
  207.  
  208.  
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220. SCAN_OS2 Version BETA 97                                Page 4
  221.  
  222.  
  223.           WHAT'S NEW
  224.  
  225.                Version BETA 97 adds detection of 68 new viruses, bringing
  226.           the total number of known viruses to 753, or counting variants,
  227.           1,469.  For a complete description of known viruses please
  228.           refer to Patricia Hoffman's VSUM.
  229.                Viruses reported at multiple sites include the Cansu, a
  230.           floppy disk boot sector and hard disk partition table infector
  231.           that encrypts its own code.  The virus keeps track of how many
  232.           diskettes it has infected and on every 64th infection displays
  233.           a "V" sign.
  234.  
  235.                Beginning in Version 90, we have started optimizing our
  236.           virus search strings by grouping similar viruses together
  237.           into generic virus detection strings.  This speeds up the
  238.           SCAN_OS2 program by reducing the amount of virus strings it
  239.           has to look for and makes the program file smaller by reducing
  240.           the size of its virus string data.
  241.  
  242.           At the present stage, two features present in SCAN will not operate
  243.           in SCAN_OS2. The self_check, and the ability to save
  244.           command line options (/SAVE). We are working on
  245.           implementing those two important feature, but wanted to get
  246.           some feed back from our test sites.
  247.  
  248.  
  249.  
  250.  
  251.  
  252.  
  253.  
  254.  
  255.  
  256.  
  257.  
  258.  
  259.  
  260.  
  261.  
  262.  
  263.  
  264.           THE COMPUSERVE COMPUTER VIRUS HELP FORUM
  265.  
  266.                We are now sponsoring the Computer Virus Help Forum on
  267.           CompuServe.  Updates to the SCAN_OS2 series, information about
  268.           computer viruses, and technical support may be obtained by
  269.           typing GO VIRUSFORUM at any CompuServe prompt.  A free
  270.           introductory membership to CompuServe is also available.  For
  271.           more information, please read the COMPUSER.NOT file.
  272.  
  273.  
  274. SCAN_OS2 Version BETA 97                                Page 5
  275.  
  276.  
  277.           OVERVIEW
  278.  
  279.                SCAN_OS2 is designed to work with stand-alone and networked
  280.           PC's, for file servers use the NETSCAN program instead.
  281.                SCAN checks files, subdirectories, diskettes or entire
  282.           systems for pre-existing computer virus infections.  It will
  283.           identify the virus infecting the system and the area where it
  284.           was found.  Infected files can be removed either with the /D
  285.           overwrite-and-delete option in SCAN which will erase the file,
  286.           or with the CLEAN-UP universal virus disinfection program.  The
  287.           CLEAN-UP program is recommended because in most cases it
  288.           eliminates the virus and fully restores the program or system
  289.           area.
  290.                SCAN_OS2 Version BETA 97 identifies all 685 known computer
  291.           viruses and their variants.  Some viruses have been modified so
  292.           that more than one "strain" exists.  Counting modifications,
  293.           there are 1,401 viruses.  This includes the twenty most common
  294.           viruses which account for over 95% of all reported infections.
  295.           The accompanying VIRLIST.TXT file lists describes all viruses
  296.           identified by SCAN.
  297.                All known viruses infect one or more of the following
  298.           areas: the hard disk partition table (alias Master Boot Record);
  299.           the DOS Boot Sector of disks; or one or more executable files on
  300.           the system.  Executable files include operating system files,
  301.           .COM files, .EXE files, overlay files, or any other files
  302.           containing program code.  A virus that infects more than one
  303.           area, such as a boot sector and an executable file is called
  304.           a multipartite virus.
  305.                SCAN_OS2 identifies every system area or file infected,
  306.           and gives the name of the virus and the I.D. code used with
  307.           CLEAN-UP to remove it.
  308.                SCAN_OS2 can also check for unknown viruses with the Check
  309.           Validation options (/CV, /CG and /CF).  This is done by
  310.           calculating a checksum for files and system areas and then
  311.           comparing against that checksum.  The checksum can be stored at
  312.           the end of .COM and .EXE files or saved to a user-specified file
  313.           which can then be stored offline (e.g., on floppies) for
  314.           recovery purposes.  If the file has been modified, the check
  315.           will no longer match, indicating that viral infection may have
  316.           occurred.  When run in the Enhanced Validation (/CG or /CF)
  317.           modes, information will be saved that can be used to restore
  318.           files or areas of the system that have been damaged by
  319.           unknown (new) viruses.
  320.                SCAN_OS2 calculates checksums using two independently-
  321.           generated CRC's (Cyclic Redundancy Check).  Files which are
  322.           self-checking (e.g., Lotus 1-2-3) should not be validated with
  323.           the /AV (Add Validation) or /AG (Add Generic) switches which
  324.           modify files.  Instead, use the /AF (Add File) switch, which
  325.           stores its data in a separate file.  See the entries for /AF,
  326.           /AG, and /AV under OPERATION and OPTIONS for more information.
  327.  
  328.  
  329. SCAN_OS2 Version BETA 97                                Page 6
  330.  
  331.  
  332.                When SCAN is run with the /AV or /AG switches it adds
  333.           validation codes to .COM and .EXE files only.  The validation
  334.           codes for the partition table, boot sector, and system files are
  335.           kept in a hidden file called SCANVAL.VAL in the root directory.
  336.                SCAN_OS2 can check for unknown (new viruses) in the boot
  337.           sector and partition table.  When virus-like code is found in
  338.           either area SCAN indicates it has found a Generic Boot Sector
  339.           or MBR Virus, respectively.
  340.                SCAN_OS2 can be updated to search for new viruses by an
  341.           External Virus Data File, which allows the user to input new
  342.           search strings for viruses.
  343.                After seven months have passed SCAN_OS2 will display a
  344.           message that it may no longer be current.  However, SCAN will
  345.           continue to function as normal.  This message can be bypassed
  346.           by running SCAN with the /NOEXPIRE switch.
  347.                SCAN_OS2 displays messages in English, French, or Spanish.
  348.  
  349.  
  350.  
  351.  
  352.  
  353.  
  354.  
  355.  
  356.  
  357.  
  358.  
  359.  
  360.  
  361.  
  362.  
  363.  
  364.  
  365.  
  366.  
  367.  
  368.  
  369.  
  370.  
  371.  
  372.  
  373.  
  374.  
  375.  
  376.  
  377.  
  378.  
  379.  
  380.  
  381.  
  382.  
  383.  
  384. SCAN_OS2 Version BETA 97                                Page 7
  385.  
  386.  
  387.           OPERATION and OPTIONS
  388.  
  389.           IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  390.                            TO PREVENT INFECTION OF THE SCAN_OS2 PROGRAM.
  391.  
  392.                SCAN_OS2 checks files and other areas of the system that
  393.           can contain a computer virus.  When a virus is found, SCAN
  394.           identifies the virus and the file or system area where it was
  395.           found.
  396.                SCAN examines files based on their extension.  The default
  397.           extensions supported by SCAN are .APP, .BIN, .COM, .EXE, .OV?,
  398.           .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions
  399.           can be added with the /EXT option, or use the /A to check all
  400.           files on the disk.
  401.  
  402.  
  403.           Valid options for SCAN_OS2 are:
  404.  
  405.           SCAN d1: ... d26:   /? /A /AF filename /AG filename /AV filename
  406.                               /BELL /CERTIFY /CF filename /CHKHI /CG /CV
  407.                               /D /DATE /E .xxx .yyy .zzz /EXT filename
  408.                               /FAST /FR /H /HELP /HISTORY filename /MAINT
  409.                               /MANY /NLZ /NOBREAK /NOEXPIRE /NOMEM /NOPAUSE
  410.                               /NPKL /REPORT filename /RF filename /RG /RV
  411.                               /SAVE /SHOWDATE /SP /SUB /UNATTEND @filename
  412.  
  413.           Options are:
  414.  
  415.                          \ - Scan root directory and boot area only
  416.                /? /H /HELP - Display help screen
  417.                         /A - Scan all files, including data, for viruses
  418.               /AF filename - Store recovery data/validation codes to file
  419.               /AG filename - Add recovery data/validation codes to files
  420.                              EXCEPT those listed in filename
  421.               /AV filename - Add validation codes to files EXCEPT those
  422.                              listed in filename
  423.                      /BELL - Beep whenever a virus is found
  424.                   /CERTIFY - List files that do not have a validation code
  425.               /CF filename - Check for viruses using recovery data/
  426.                              validation codes stored in filename
  427.                     /CHKHI - Check memory from 0Kb to 1088Kb
  428.                        /CG - Check recovery data/validation codes on files
  429.                        /CV - Check validation codes on files
  430.                         /D - Overwrite and delete infected file
  431.                      /DATE - Save the date and time SCAN_OS2 was last run
  432.                              (use /SHOWDATE to display date and time)
  433.               /E .xxx .yyy - Scan overlay extensions .xxx .yyy .zzz
  434.              /EXT filename - Scan using external virus data file
  435.                      /FAST - Speed up SCAN_OS2's output
  436.                              (see below for specifics)
  437.  
  438.  
  439. SCAN_OS2 Version BETA 97                                Page 8
  440.  
  441.  
  442.                        /FR - Display messages in French
  443.           /HISTORY filenam - Create infection log, appending to old log
  444.                         /M - Scan memory for all viruses
  445.                              (see below for specifics)
  446.                     /MAINT - Scan "invalid media" error (damaged) disk
  447.                      /MANY - Scan multiple floppies
  448.                       /NLZ - Skip internal scan of LZEXE-compressed files
  449.                   /NOBREAK - Disable Ctrl-C and Ctrl-Brk during scanning
  450.                  /NOEXPIRE - Do not display expiration notice
  451.                     /NOMEM - Skip memory checking
  452.                   /NOPAUSE - Disable screen pause when scanning
  453.                      /NPKL - Skip internal scan of PKLITE-compressed files
  454.           /REPORT filename - Create infection log, deleting old log
  455.               /RF filename - Remove recovery data/validation codes stored
  456.                              in filename
  457.                        /RG - Remove recovery data/validation codes from
  458.                              files
  459.                        /RV - Remove validation codes from specified files
  460.                      /SAVE - Save specified command line options as new
  461.                              defaults
  462.                  /SHOWDATE - Show date and time SCAN was last run
  463.                              (use /DATE to save date and time)
  464.                        /SP - Display messages in Spanish
  465.                       /SUB - Scan subdirectories under a subdirectory
  466.                  /UNATTEND - Scan using DOS critical error handler
  467.                  @filename - Scan using options from configuration file
  468.  
  469.               (d1: ... d26: indicate drives to be scanned)
  470.  
  471.  
  472.                The /A option checks all files on the drive scanned.  This
  473.           substantially increases the time required to scan disks, so
  474.           it is recommended this swich only be used when installing new
  475.           software or if a file-infecting virus has been found.  This
  476.           option takes priority over the /E option.
  477.                The /AF option logs recovery data and validation codes
  478.           for .COM and .EXE files, boot sector, and partition table of a
  479.           disk to a user-specified file that can be located on any drive.
  480.           The size of the file is about 20K per 1,000 files validated.
  481.           The syntax is /AF filename, where "filename" is the path and
  482.           file where recovery data and validation codes are stored.
  483.                The /AG option allows the user to store recovery data and
  484.           validation codes for .COM and .EXE files, boot sector, and
  485.           partition table of a disk.  Recovery information adds fifty-two
  486.           (52) bytes to files.  The recovery information for the partition
  487.           table, boot sector, COMMAND.COM and system files is stored
  488.           seperately in a hidden file called SCANVAL.VAL in the root
  489.           directory of the drive being scanned.  It is otherwise similar
  490.           to the /AV option below.  Recovery requires the CLEAN-UP
  491.           (CLEAN.EXE) program.
  492.  
  493.  
  494. SCAN_OS2 Version BETA 97                                Page 9
  495.  
  496.  
  497.                The /AV option allows the user to add validation codes to
  498.           .COM and .EXE files being scanned.  If the whole drive is
  499.           specified, SCAN will create validation data for the partition
  500.           table, boot sector, COMMAND.COM and system files and store them
  501.           seperately in a hidden file called SCANVAL.VAL in the root
  502.           directory of the drive being scanned.  Validation adds ten (10)
  503.           bytes to files; the validation data for the partition table,
  504.           boot sector, and system files is stored separately in a hidden
  505.           file named SCANVAL.VAL in the root directory of the scanned
  506.           drive.  Files which are immunized against viruses or contain
  507.           self-modifying code should not have validation codes added to
  508.           them.  To prevent SCAN from adding validation codes to these
  509.           files, a validation exception list must be created with the path
  510.           and filename of each file NOT to be validated listed on each
  511.           line.  Only one file should be on a line.  To put a comment in,
  512.           start a line with the asterisk "*" character.  This sample file
  513.           contains a list of programs NOT to validate:
  514.  
  515.           *This is Nantucket Corp's database program, Clipper
  516.           C:\CLIPPER\BIN\CLIPPER.EXE
  517.           *This is Lotus Development Corp's spreadsheet program, 1-2-3
  518.           C:\123\123.COM
  519.           *This is MS-DOS 5.00's self-modifying program, SETVER
  520.           C:\DOS\SETVER.EXE
  521.           *PKWare's data compression programs already perform a self-check
  522.           C:\PKWARE\PKLITE.EXE
  523.           C:\PKWARE\PKZIP.EXE
  524.           C:\PKWARE\PKUNZIP.EXE
  525.           *Stac Technologies hard disk swapping program
  526.           C:\SWAPVOL.COM
  527.           *Symantec's Norton Utilities V6.01 disk caching program
  528.           C:\NORTON\NCACHE.EXE
  529.           *WordStar Corp's word processor is self-modifying
  530.           C:\WORDSTAR\WS.EXE
  531.  
  532.           The validation exception list should be an ASCII text file.  If
  533.           a word processor is used to create the list, be sure to save
  534.           the file as ASCII.
  535.                The /BELL option will cause SCAN_OS2 to beep each time a
  536.           computer virus is found.
  537.                The /CERTIFY option will audit a system for files that have
  538.           validation codes added to them with the /AG or /AV switches.
  539.           Files that have no validation code will be reported as being
  540.           uncertified by SCAN_OS2 and an ERRORLEVEL of 3 will be returned
  541.           after SCAN is run.
  542.                The /CF option checks recovery data and validation codes
  543.           added by the /AF option.  The syntax is /CF filename, where
  544.           "filename" is the path and file name where recovery data
  545.           and validation codes are stored.
  546.  
  547.  
  548.  
  549. SCAN_OS2 Version BETA 97                                Page 10
  550.  
  551.  
  552.                The /CG option checks recovery data and validation codes
  553.           added by the /AG option.  If a file or system area has changed,
  554.           SCAN will report that the file or system area has been modified
  555.           and a viral infection may have occurred.  The /CG option takes
  556.           priority over the /CV option.
  557.                The /CHKHI option checks the memory above 640Kb that can be
  558.           used on AT (286) and 386 systems for computer viruses.  This
  559.           includes the 384Kb Upper Memory Area from 640Kb to 1024Kb, and
  560.           the 64Kb High Memory Area from 1024Kb to 1088Kb.  On XT systems
  561.           with extended memory cards installed, this will cause the first
  562.           64K of RAM to be scanned again.  This option cannot be used
  563.           with the /NOMEM option.
  564.                The /CV option checks validation codes inserted by the /AV
  565.           option.  If a file or system area has been changed, SCAN will
  566.           report that the file or system area has been modified and a
  567.           viral infection may have occurred.  Using the /CV option adds
  568.           about 25% more time to scanning.  
  569.  
  570.           NOTE:  Some older Hewlett Packard and Zenith PC's modify the
  571.           boot sector each time the system is booted.  This will cause
  572.           SCAN to continually notify the user of boot sector modifications
  573.           if the /CV switch is selected.  Check your system's manual to
  574.           determine if your system contains self-modifying boot code.
  575.  
  576.                The /D option tells SCAN_OS2 to prompt the user to
  577.           overwrite and delete an infected file when one is found.  A file
  578.           erased by the /D option cannot be recovered.  If the CLEAN-UP
  579.           program is available, it can be used to disinfect the file.
  580.           Boot sector and partition table infectors cannot be removed by
  581.           the /D option and require the CLEAN-UP virus removal program.
  582.                The /DATE option stores the time and date the SCAN_OS2
  583.           program was last run.  This is done by changing the date on the
  584.           SCANVAL.VAL file.  If no such file exists, SCAN will create a
  585.           0-byte long SCANVAL.VAL file in the currently-logged directory.
  586.                The /E option allows the user to specify an extension or
  587.           set of extensions to scan.  Extensions should include a period
  588.           "." and should also be separated by a space after the /E.  Up to
  589.           three extensions may be added with the /E.  For more extensions,
  590.           use the /A option.
  591.                The /EXT option allows SCAN_OS2 to search for viruses from
  592.           a text file containing user-defined search strings in addition
  593.           to the viruses that SCAN already identifies.  The syntax for
  594.           using the external virus data file is /EXT d:filename, where d:
  595.           is the drive name and filename is the name of the external virus
  596.           data file.  For instructions on how to create an external virus
  597.           data file, refer to Appendix A.
  598.  
  599.           NOTE:  The /EXT option provides users with the ability to add
  600.                  strings for detection of viruses on an interim or
  601.                  emergency basis.  When used with the /D option, it will
  602.                  overwrite-and-delete infected files.  This option is not
  603.                  for general use and should be used with caution.
  604. SCAN_OS2 Version BETA 97                                Page 11
  605.  
  606.  
  607.                The /FAST option will speed SCAN up by displaying fewer
  608.           messages on the screen, skipping checking inside of LZEXE- and
  609.           PKLITE-compressed files, and examining a smaller portion of
  610.           files during scanning.  This may reduce the accuracy of SCAN.
  611.                The /FR option tells SCAN_OS2 to output all messages in
  612.           French instead of English.  The /FR option cannot be used with
  613.           the /SP (Spanish) option.
  614.                The /HISTORY option saves a list of infected files to
  615.           disk.  The list is saved to disk as an ASCII text file.  If a
  616.           list exists, then the results of the current scan will be added
  617.           to the end.  The syntax is /HISTORY filename, where "filename"
  618.           is the path and name of the report file.
  619.                The /M option tells SCAN_OS2 to check system memory for all
  620.           known computer viruses that can inhabit memory.  SCAN by default
  621.           only checks memory for critical and "stealth" viruses, which are
  622.           viruses which can cause catastrophic damage or spread the virus
  623.           infection during the scanning process.  By default, SCAN will
  624.           check memory for the following viruses:
  625.  
  626.              1024           1253          1554          1963
  627.              1971           2560          337           3445-Stealth
  628.              4096           512           Anthrax       Antitelefonica
  629.              Brain          Caz           CD            Dark Avenger
  630.              Dir-2          Doom II       Empire        Fish
  631.              Flu-2          Form          Greemlin      Irish
  632.              Joshi          Leech         Lozinsky      Microbes
  633.              Mirror         Nomenklatura  NOP           No-Int (Stoned III)
  634.              P1R (Phoenix)  Phantom       Plastique     Pogue
  635.              SBC            Sentinel      Stoned        Sunday-2
  636.              SVC            Taiwan3       Tequila       Turbo (Polish-2)
  637.              Twin-351       V2100         V2P6          Whale
  638.  
  639.           If one of these viruses is found in memory, SCAN will stop and
  640.           tell the user to power down, and reboot the system from a virus-
  641.           free system-bootable disk.  The /M option adds 6 to 20 seconds.
  642.  
  643.           NOTE:  Using the /M option with another anti-viral software
  644.                  package may result in false alarms if the other package
  645.                  does not remove its virus search strings from memory.
  646.  
  647.                The /MAINT option is used to scan hard disks partitioned
  648.           with DOS 4.0 or above that have been damaged by a boot sector
  649.           or partition table infecting virus.  Attempts to access disks
  650.           damaged in such a manner result in an "invalid media" message
  651.           being displayed.  The /MAINT option will only scan the partition
  652.           table and boot sector, not the files.
  653.                The /MANY option is used to scan multiple diskettes placed
  654.           in a given drive.  If the user has more than one floppy disk to
  655.           check for viruses, the /MANY option will allows the user to
  656.           check disks without having to re-run SCAN multiple times.
  657.           After the system has been disinfected, the /MANY and /NOMEM
  658.           options can be used together to speed up the scanning of disks.
  659. SCAN_OS2 Version BETA 97                                Page 12
  660.  
  661.  
  662.                The /NLZ option tells SCAN not to look inside files
  663.           compressed with LZEXE, a file compression program.  SCAN will
  664.           still check the LZEXE-compressed files for viruses that have
  665.           infected after file compression.
  666.                The /NOBREAK option prevents Ctrl-C or Ctrl-Brk from
  667.           aborting the scanning process.
  668.                The /NOMEM option is used to turn off all memory checking
  669.           for viruses in order to speed up the scanning process.  It
  670.           should only be used when a system is known to be virus-free.
  671.           The /NOMEM option can not be used with the /CHKHI or /M options.
  672.                The /NOEXPIRE option disables the warning message that
  673.           SCAN displays after seven months warning that it may no longer
  674.           be current with respect to known computer viruses.
  675.                The /NOPAUSE option disables the "More? (H = Help )" prompt
  676.           that is displayed when SCAN fills up a screen with messages.
  677.           This allows SCAN to run on PC's with severe infections without
  678.           requiring operator assistance.
  679.                The /NPKL option tells SCAN not to look inside files
  680.           compressed with PKLITE, a file compression program.  SCAN will
  681.           still check the PKLITE-compressed files for viruses that have
  682.           infected after file compression.
  683.                The /REPORT option saves a list of infected files to
  684.           disk.  The list is saved to disk as an ASCII text file.  If a
  685.           list exists, then it will be overwritten with the new list.
  686.           The syntax is /REPORT filename, where "filename" is the path
  687.           and name of the report file.
  688.                The /RF option will remove recovery data and validation
  689.           codes for files from the recovery data and validation code
  690.           file.  The syntax is /RF filename, where "filename" is the path
  691.           and file where recovery data and validation codes are stored.
  692.                The /RG option will remove validation codes and recovery
  693.           information from files validated with the /AG option.
  694.                The /RV option is used to remove validation codes from a
  695.           file or files.  It can be used to remove the validation code
  696.           from a diskette, subdirectory, or file(s).  Using /RV on a disk
  697.           will remove the partition table, boot sector, and system file
  698.           validation.  This option cannot be used with the /AV option.
  699.                The /SAVE option is used to store SCAN options for
  700.           subsequent executions of SCAN.  Options are stored by modifying
  701.           the SCAN.EXE executable file.  For example:
  702.  
  703.                SCAN /NOMEM /REPORT FILE1 /NOPAUSE /SAVE
  704.  
  705.           will set the default options to /NOMEM, /REPORT and /NOPAUSE.
  706.           If SCAN is run with just the /SAVE switch, then all options are
  707.           removed and SCAN execute with its original settings.
  708.                If you do not wish to modify the SCAN.EXE file, use the
  709.           @filename option instead, which allows you to store the SCAN
  710.           options in a separate text file.
  711.  
  712.  
  713.  
  714. SCAN_OS2 Version BETA 97                                Page 13
  715.  
  716.  
  717.           NOTE:  VALIDATE 0.4 must be used to validate SCAN version 89 or
  718.                  above if /SAVE is used.  /SAVE directly modifies SCAN.EXE
  719.                  and the validate codes will no longer match if an older
  720.                  version of VALIDATE is used.  VALIDATE 0.4 will generate
  721.                  the correct validation results even if the /SAVE option
  722.                  has been used.  Third party file-integrity check programs
  723.                  may not produce the same results after the /SAVE option
  724.                  is used.  The /SAVE option should be added to SCAN by the
  725.                  Systems Administrator prior to final installation on PC's
  726.                  if other integrity checking programs are in use.
  727.  
  728.                The /SHOWDATE option displays the time and date that SCAN
  729.           was last run.  No virus checking is performed
  730.  
  731.           NOTE:  When run with /SHOWDATE, SCAN only displays the last run
  732.                  date.  Viruses will *NOT* be checked for.
  733.  
  734.                The /SP option tells SCAN_OS2 to output all messages in
  735.           Spanish instead of English.  This option can not be used with
  736.           the /FR (French) option.
  737.                The /SUB scans all subdirectories inside a subdirectory.
  738.           Previously, SCAN would only recursively check subdirectories
  739.           if a logical device (e.g., C:) was scanned.
  740.                The /UNATTEND option tells SCAN_OS2 use the DOS critical
  741.           error handler when accessing files.  If SCAN accesses a file
  742.           which is in use by another program, it will continue scanning
  743.           instead of displaying an error message.  This option requires
  744.           DOS 3.10 or above.
  745.  
  746.           NOTE:  The /UNATTEND switch is required if you are running
  747.                  SCAN from a DOS session inside Windows or OS/2.
  748.  
  749.                The @FILENAME option allows the user to store a list of
  750.           options and/or system areas to be scanned in a configuration
  751.           file.  Options need to be separated by a space, while system
  752.           areas (disks, subdirectories, or files) need to be on separate
  753.           lines.  A sample file might look like this:
  754.  
  755.           /A /BELL /CV /NOMEM /REPORT C:\SCAN_OS2\SCAN.LOG
  756.           C:
  757.           D:\BBS
  758.           E:\MCAFEE\CLEAN-UP\CLEAN.EXE
  759.  
  760.           The first line contains the SCAN_OS2 options while other lines
  761.           contain the names of disks, subdirectories, or files to scan.
  762.           The configuration file should be an ASCII text file.  If a word
  763.           processor is used to create the list, be sure to save as ASCII.
  764.  
  765.  
  766.  
  767.  
  768.  
  769. SCAN_OS2 Version BETA 97                                Page 14
  770.  
  771.  
  772.           EXAMPLES
  773.  
  774.                The following examples show different option settings:
  775.  
  776.                SCAN C:
  777.                    To scan drive C:
  778.  
  779.                SCAN A:R-HOOPER.EXE
  780.                    Scans file "R-HOOPER.EXE" on drive A:
  781.  
  782.                SCAN A: /A /CV
  783.                    To scan all files and check validation codes for unknown
  784.                    viruses on drive A:.
  785.  
  786.                SCAN B: /D /A
  787.                    Scans all files on drive B: and prompt for erasure of
  788.                    any infected files, if found.
  789.  
  790.                SCAN C: D: E: /AV /NOMEM
  791.                    To add validation codes to files on drives C:, D:, and
  792.                    E:, and skip memory checking.
  793.  
  794.                SCAN C: D: /M /A /FR
  795.                    Scan memory for all viruses, all files on drives C: and
  796.                    D:, and output all messages in French.
  797.  
  798.                SCAN C: D: /E .WPM .COD
  799.                    Scans drives C: and D:, including .WPM and .COD files 
  800.  
  801.                SCAN C: /EXT A:SAMPLE.ASC /BELL
  802.                    To scan drive C: for known computer viruses and also
  803.                    for viruses added by the user via the external virus
  804.                    data file option, and beep whenever a virus is found.
  805.  
  806.                SCAN C: /M /NOPAUSE /REPORT A:INFECTN.RPT
  807.                    To scan for all viruses in memory and drive C: without
  808.                    stopping, and create a log file INFECTN.RPT on drive A:
  809.  
  810.                SCAN C: D: /NOPAUSE /REPORT B:VIRUS.RPT
  811.                    To scan drives C: and D: for viruses without stopping,
  812.                    and create a log on drive B: called VIRUS.RPT
  813.  
  814.                SCAN E:\DOWNLOADS /SUB
  815.                    To scan all subdirectories under DOWNLOADS on drive E:
  816.  
  817.                SCAN C: D: E: /FAST /CERTIFY
  818.                    To perform a fast scan of drives C:, D:, and E: and
  819.                    check for any files that do not have validation codes.
  820.  
  821.                SCAN @C:\SCANOPTN.LST
  822.                    To run SCAN_OS2 using configuration file SCANOPTN.LST
  823.                    in the root directory of drive C:.
  824. SCAN_OS2 Version BETA 97                                Page 15
  825.  
  826.  
  827.           EXIT CODES
  828.  
  829.                After SCAN_OS2 has finished running, it will set the DOS
  830.           ERRORLEVEL.  ERRORLEVEL's are used in batch files to pass the
  831.           results of a program's actions.  The ERRORLEVEL's returned by
  832.           SCAN are:
  833.  
  834.                ERRORLEVEL │ DESCRIPTION
  835.                ═══════════╪══════════════════════════════════════════════
  836.                    0      │ No viruses found
  837.                    1      │ One or more viruses found
  838.                    2      │ Abnormal termination (program error)
  839.                    3      │ One or more uncertified files found
  840.                    4      │ Ctrl-C or Ctrl-Break aborted scan
  841.  
  842.           If a user stops the scanning process, SCAN will set the
  843.           ERRORLEVEL to 3.  The /NOBREAK option can be used to prevent
  844.           users from stopping SCAN.
  845.  
  846.  
  847.           VIRUS REMOVAL
  848.  
  849.                What do you do if a virus is found?  You can contact McAfee
  850.           Associates for help by BBS, FAX, telephone, Internet, or
  851.           CompuServe.  There is no charge for support calls to McAfee
  852.           Associates.
  853.                The CLEAN-UP universal virus disinfection program can
  854.           disinfect virtually all reported computer viruses.  It is
  855.           updated with each release of the SCAN program to remove new
  856.           viruses.  CLEAN-UP can be downloaded from McAfee Associates'
  857.           BBS, the SIMTEL20 archives on the InterNet, the Computer Virus
  858.           Help Forum on CompuServe, or from any of the agents listed in
  859.           the enclosed AGENTS.TXT text file.
  860.                It is strongly recommended that you get experienced help in
  861.           dealing with viruses if you are unfamilar with anti-virus
  862.           software and methods.  This is especially true for 'critical'
  863.           viruses and partition table/boot sector infecting viruses as
  864.           improper removal of these viruses can result in the loss of
  865.           all data and the use of the infected disk(s).  [For a listing of
  866.           critical viruses, see the /M switch listed under OPTIONS above.]
  867.                For qualified assistance in removing a virus, please
  868.           contact McAfee Associates directly or any of the Authorized
  869.           McAfee Associates Agents in your area.  Agents may charge McAfee
  870.           Associates' normal support rates for their services.
  871.                If you wish to remove a file-infecting virus manually, you
  872.           can run SCAN with the /A and /D switches to erase all infected
  873.           files.
  874.                Before removing a boot sector or partition table-infecting
  875.           virus, it is recommended that you cold boot the infected PC from
  876.           a clean DOS disk and backup any critical data.
  877.  
  878.  
  879. SCAN_OS2 Version BETA 97                                Page 16
  880.  
  881.  
  882.           REGISTRATION
  883.  
  884.                A registration fee of US$25.00 is required for the use of
  885.           SCAN_OS2 by individual home users.  Registration entitles the
  886.           holder to unlimited free upgrades from McAfee Associates' BBS
  887.           or the Computer Virus Help Forum on CompuServe and technical
  888.           support for one year.  When registering, a diskette containing
  889.           the latest version may be requested for an additional US$9.00.
  890.           Only one diskette mailing will be made.
  891.                Registration is for home users only and does not apply to
  892.           businesses, corporations, organizations, government agencies, or
  893.           schools, which must obtain a license for use.  Contact McAfee
  894.           Associates directly or an Authorized Agent for more information.
  895.  
  896.  
  897.           TECH SUPPORT
  898.  
  899.                For fast and accurate help, please have the following
  900.           information ready when you contact McAfee Associates:
  901.  
  902.                -    Program name and version number.
  903.  
  904.                -    Type and brand of computer, hard disk, plus any
  905.                     peripherals.
  906.  
  907.                -    Version of DOS plus any TSRs or device drivers in use.
  908.  
  909.                -    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  910.  
  911.                -    A printout of what is in memory from the MEM command
  912.                     (DOS 4 and above users only) or a similar utility.
  913.  
  914.                -    The exact problem you are having.  Please be as
  915.                     specific as possible.  Having a printout of the
  916.                     screen and/or being at your computer be will helpful.
  917.  
  918.           McAfee Associates can be contacted by BBS, CompuServe, FAX, or
  919.           InterNet 24 hours a day, or by telephone at (408) 988-3832,
  920.           Monday through Friday, 7:00AM to 5:30PM Pacific Time.
  921.  
  922.                McAfee Associates             (408) 988-3832 office
  923.                3350 Scott Blvd. Bldg. 14     (408) 970-9727 fax
  924.                Santa Clara, CA  95054-3107   (408) 988-4004 BBS (32 lines)
  925.                U.S.A                         USR HST/v.32/v.42bis/MNP 1-5
  926.                                              CompuServe     GO VIRUSFORUM
  927.                                              Internet   mcafee@netcom.com
  928.  
  929.           If you are overseas, there may be an Authorized McAfee Associates
  930.           Agent in your area.  Please refer to the AGENTS.TXT file for a
  931.           listing of McAfee Associates Agents for support or sales.
  932.  
  933.  
  934. SCAN_OS2 Version BETA 97                                Page 17
  935.                                                           
  936.  
  937.           APPENDIX A:  Creating a Virus String File with the /EXT Option
  938.  
  939.           NOTE:  The /EXT option is intended for emergency and research
  940.                  use only.  It is a temporary method for identifying new
  941.                  viruses prior to the subsequent release of SCAN.  A
  942.                  thorough understanding of viruses and string-search
  943.                  techniques is advised for using this option.  A string
  944.                  length of 10 to 15 bytes is recommended.
  945.  
  946.                The External Virus Data file should be created with an
  947.           editor or a word processor and saved as an ASCII text file.  Be
  948.           sure each line ends with a Carriage Return/Line Feed pair.
  949.  
  950.  
  951.                The virus string file uses the following format:
  952.  
  953.           #Comment about Virus_1
  954.           "aabbccddeeff..." Virus_1_Name
  955.           #Comment about Virus_2
  956.           "gghhiijjkkll..." Virus_2_Name
  957.                .
  958.                .
  959.           "uuvvwwxxyyzz..." Virus_n_Name
  960.  
  961.  
  962.           Where aa, bb, cc, etc. are the hexadecimal bytes that you wish
  963.           to scan for.  Each line in the file represents one virus.  The
  964.           Virus Name for each virus is mandatory, and may be up to 25
  965.           characters in length.  The double quotes (") are required at the
  966.           beginning and end of each hexadecimal string.
  967.                SCAN will use the string file to search memory, the
  968.           Partition Table, Boot Sector, System files, all .COM and .EXE
  969.           files, and overlay files with the extension .APP, .BIN, .COM,
  970.           .EXE, .OV?, .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.
  971.                Virus strings may contain wild cards.  The two wildcard
  972.           options are:
  973.  
  974.           FIXED POSITION WILDCARD
  975.                The question mark "?" may be used to represent a wildcard
  976.           in a fixed position within the string.  For example, the string:
  977.  
  978.                              "E9 7C 00 10 ? 37 CB"
  979.  
  980.           would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or
  981.           any other similar string, regardless of the fifth byte.
  982.  
  983.  
  984.  
  985.  
  986.  
  987.  
  988.  
  989. SCAN_OS2 Version BETA 97                                Page 18
  990.  
  991.  
  992.           RANGE WILDCARD
  993.  
  994.                The asterisk "*", followed by range number in parentheses
  995.           "(" and ")" is used to represent a variable number of adjoining
  996.           random bytes.  For example, the string:
  997.  
  998.                              "E9 7C *(4) 37 CB"
  999.  
  1000.           would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  1001.           "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  1002.           would not match since the distance between 7C and 37 is greater
  1003.           than four bytes.  You may specify a range of up to 99 bytes.
  1004.           Up to 10 different wildcards of either kind may be used in one
  1005.           virus string.
  1006.                                             
  1007.  
  1008.           COMMENTS
  1009.                A pound sign "#" at the begining of a line will denote a
  1010.           comment.  Use this for adding notes to the external virus data
  1011.           file.  For example:
  1012.  
  1013.                              #New .COM virus found in file FRITZ.EXE from
  1014.                              #Schneiderland on 01-22-91
  1015.                              "53 48 45 45 50" Fritz-1 [F-1]
  1016.  
  1017.           gives a description of the virus, name of the infected file,
  1018.           where and when it was found, etc.
  1019.  
  1020.  
  1021.           APPENDIX B:  Miscellaneous Application Notes
  1022.  
  1023.  
  1024.           CHECKING MEMORY FOR VIRUSES ONLY
  1025.  
  1026.                SCAN_OS2 can perform a quick check for viruses in memory
  1027.           only.  In this mode, SCAN will not check the disk for viruses.
  1028.           This option is useful for network administrators who need to
  1029.           check workstations for viruses before allowing them to log on to
  1030.           a LAN but cannot run the VSHIELD program due to memory
  1031.           constraints.  The command for this is:
  1032.  
  1033.                SCAN NUL /M /CHKHI
  1034.  
  1035.           By designating NUL as the drive to be scanned, SCAN will check
  1036.           system memory for viruses (up to 1088Kb if the /CHKHI option is
  1037.           used) and then return to DOS without scanning any disks.  SCAN
  1038.           returns the DOS ERRORLEVEL in the normal manner.
  1039.  
  1040.  
  1041.  
  1042.  
  1043.  
  1044. SCAN_OS2 Version BETA 97                                Page 19
  1045.  
  1046.  
  1047.           SCAN_OS2 VALIDATION CODES
  1048.  
  1049.                If you have installed any new software or programs on your
  1050.           system, and are running SCAN_OS2 or VSHIELD with the /CF, /CG,
  1051.           or /CV validation codes options, you will need to reinstall
  1052.           validation codes to the new files with the /AF, /AG, or /AV
  1053.           add validation codes options of SCAN.  In addition, the
  1054.           SCANVAL.VAL hidden file containing validation codes for the
  1055.           partition table, boot sector, COMMAND.COM, and system files may
  1056.           have to be replaced (unhide the file with the DOS ATTRIB command
  1057.           and then delete it).
  1058.                The quickest way to update the validation codes is to
  1059.           remove all validation codes from the hard disk and then add them
  1060.           back by running SCAN with the /RV and then the /AV options.
  1061.  
  1062.           NOTE: This applies to any new version of DOS, as well as any
  1063.           programs which you install on your system.
  1064.  
  1065.  
  1066.           REFORMATTING INFECTING FLOPPIES WITH DOS 5.00
  1067.  
  1068.                When reformatting infected floppy disks under DOS 5.0, be
  1069.           sure to add the /U switch to the FORMAT command.  This tells DOS
  1070.           to do an Unconditional Format of the disk, without saving the
  1071.           original infected boot sector of the disk.  This should be done
  1072.           to prevent the reinfection by unformatting the disk.
  1073.  
  1074.  
  1075.           CREATING A RECOVERY DISK USING THE /AF OPTION
  1076.  
  1077.                The /AF switch added in Version 90 of SCAN creates a
  1078.           separate file to store recovery data and validation codes.
  1079.           This file can be stored off-line (on a floppy disk, network
  1080.           drive, tape drive, etc.) and accessed on-demand to check for,
  1081.           and recover from,infection by unknown viruses.
  1082.                To create a Recovery Disk, format a system-bootable floppy
  1083.           and copy the SCAN_OS2 (SCAN.EXE) and CLEAN-UP (CLEAN.EXE) files
  1084.           to it.  Then run SCAN against the hard disk with the /AF option.
  1085.           For example:
  1086.                              SCAN C: D: /AF A:\SCANCRC.CRC
  1087.  
  1088.           will scan the C: and D: drives for known viruses and create
  1089.           a file named SCANCRC.CRC containing recovery data and validation
  1090.           codes.  After SCAN finishes, write-protect the disk.
  1091.                To check for virus infection, turn the PC off, insert the
  1092.           Recovery Disk, and turn the power back on.  The PC will now boot
  1093.           from the floppy disk.  At the DOS prompt, type:
  1094.  
  1095.                              SCAN C: D: /CF A:\SCANCRC.CRC
  1096.  
  1097.           to compare drives C: and D: against the recovery data stored
  1098.           in the SCANCRC.CRC file on the A: drive.
  1099. SCAN_OS2 Version BETA 97                                Page 20
  1100.  
  1101.  
  1102.                To disinfect your system, turn your PC off, insert the
  1103.           Recovery Disk, and turn the power back on.  The PC will now
  1104.           boot from the floppy disk.  At the DOS prompt, type:
  1105.  
  1106.                              CLEAN C: D: /GF A:\SCANCRC.CRC
  1107.  
  1108.           to restore drives C: and D: with the recovery data stored in the
  1109.           SCANCRC.CRC file on the A: drive.
  1110.  
  1111.