home *** CD-ROM | disk | FTP | other *** search
/ Tech Arsenal 1 / Tech Arsenal (Arsenal Computer).ISO / tek-05 / netsc95b.zip / NETSCN95.DOC < prev    next >
Text File  |  1992-08-19  |  34KB  |  936 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.  
  19.                             NETSCAN Version 95B
  20.                 Copyright (C) 1989 - 1992 by McAfee Associates
  21.                              All rights reserved.
  22.  
  23.                        Documentation by Aryeh Goretsky.
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.                McAfee Associates            (408) 988-3832 office
  50.                3350 Scott Blvd, Bldg. 14    (408) 970-9727 fax
  51.                Santa Clara, CA  95054       (408) 988-4004 BBS (32 lines)
  52.                U.S.A.                       USR HST/v.32/v.42bis/MNP1-5
  53.                                             CompuServe    GO VIRUSFORUM
  54.                                             InterNet  mcafee@netcom.COM
  55.  
  56.  
  57.  
  58.                                       TABLE OF CONTENTS:
  59.  
  60.  
  61.           SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .2
  62.             - What is NETSCAN?
  63.             - System requirements
  64.  
  65.           AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .2
  66.             - Verifying the integrity of NETSCAN
  67.  
  68.           WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .4
  69.             - New features and viruses in this release
  70.  
  71.           OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .5
  72.             - General description of NETSCAN
  73.  
  74.           OPERATION and OPTIONS. . . . . . . . . . . . . . . . . . . . .6
  75.             - How to use NETSCAN, detailed explanation of switches
  76.  
  77.           EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .12
  78.             - Samples of frequently-used options
  79.  
  80.           EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .13
  81.             - ERRORLEVELS for running NETSCAN from batch files
  82.  
  83.           VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .13
  84.             - How to manually remove a virus
  85.  
  86.           LICENSE. . . . . . . . . . . . . . . . . . . . . . . . . . . .14
  87.             - How to license NETSCAN
  88.  
  89.           TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . .14
  90.            - Information you should have ready when calling
  91.  
  92.           APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .15
  93.            - Creating a virus string file with the /EXT option
  94.  
  95.  
  96.  
  97.  
  98.  
  99.  
  100.  
  101.  
  102.  
  103.  
  104.  
  105.  
  106.  
  107.  
  108.                                               Page 1
  109.  
  110. NETSCAN Version 95B                                        Page 2
  111.  
  112.  
  113.           SYNOPSIS
  114.  
  115.                NETSCAN is a virus detection and identification program
  116.           for local and wide area networks.  NETSCAN will search any
  117.           networked drive accessible as a DOS device for known viruses.
  118.                NETSCAN works by searching the system for sequences of
  119.           bytes unique to each computer virus and then reporting their
  120.           presence if found.
  121.                NETSCAN Version 95B, when used in conjunction with the
  122.           VIRUSCAN program on workstations, can identify all known
  123.           computer virus strains.  (For a complete list of viruses
  124.           detected, please refer to the acompanying VIRLIST.TXT file).
  125.                In order for NETSCAN to check all areas of the server for
  126.           computer viruses, NETSCAN should be run under an account with
  127.           global read and filescan rights.
  128.                NETSCAN requires 320Kb of RAM and DOS 2.0 or above (some
  129.           features require DOS 3.1 or above) and works with 3Com 3/Share
  130.           and 3/Open, Artisoft LANTastic, AT&T StarLAN, Banyan VINES,
  131.           DEC Pathworks, Microsoft LAN Manager, Novell NetWare, and any
  132.           other IBMNET or NETBIOS compatible network operating system.
  133.           If you do not see your NOS listed, contact McAfee Associates.
  134.  
  135.  
  136.           AUTHENTICITY
  137.  
  138.                NETSCAN performs a self-check when run.  If NETSCAN has
  139.           been modified in any way, a warning will be displayed and the
  140.           user prompted to either continue or quit.  NETSCAN can still
  141.           check for viruses, however, if NETSCAN reports it has been
  142.           damaged, it is recommended that a clean copy be obtained.
  143.                NETSCAN versions 46 and above are packaged with VALIDATE,
  144.           a program to ensure the integrity of the NETSCAN.EXE file.  The
  145.           VALIDATE.DOC file tells how to use VALIDATE.  VALIDATE can be
  146.           used to check subsequent versions of NETSCAN for tampering.
  147.  
  148.                The validation results for Version 95B should be:
  149.  
  150.                         FILE NAME: NETSCAN.EXE
  151.                              SIZE: 77,976
  152.                              DATE: 08-19-1992
  153.               FILE AUTHENTICATION
  154.                    Check Method 1: 5CFA
  155.                    Check Method 2: 1DC6
  156.  
  157.           If your copy of NETSCAN differs, it may have been damaged or
  158.           have options stored in it with the /SAVE switch.  Run NETSCAN
  159.           with only the /SAVE option to remove any stored options and
  160.           then re-run VALIDATE.  Always obtain your copy of NETSCAN from a
  161.           known source.  The latest version of NETSCAN and validation data
  162.           for NETSCAN.EXE can be obtained from McAfee Associates' BBS at
  163.           (408) 988-4004 or from the Computer Virus Help Forum on CompuServe (
  164.           GO VIRUSFORUM).
  165. NETSCAN Version 95B                                        Page 3
  166.  
  167.  
  168.                Beginning with Version 72, all of McAfee Associates'
  169.           VIRUSCAN series are archived with PKWare's PKZIP Authentic File
  170.           Verification.  If you do not see an "-AV" after every file is
  171.           unzipped and receive the "Authentic Files Verified! # NWN405
  172.           Zip Source: McAFEE ASSOCIATES" message when you unzip the files
  173.           then do not use them.  If your version of PKUNZIP does not have
  174.           verification ability, then this message may not be displayed.
  175.           Please contact us if you believe tampering has occured to the
  176.           .ZIP file.
  177.  
  178.  
  179.  
  180.  
  181.  
  182.  
  183.  
  184.  
  185.  
  186.  
  187.  
  188.  
  189.  
  190.  
  191.  
  192.  
  193.  
  194.  
  195.                     [This space intentionally left blank]
  196.  
  197.  
  198.  
  199.  
  200.  
  201.  
  202.  
  203.  
  204.  
  205.  
  206.  
  207.  
  208.  
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220. NETSCAN Version 95B                                        Page 4
  221.  
  222.  
  223.           WHAT'S NEW
  224.  
  225.                Version 95B replaces Version 95B. This corrects a
  226.           reported false alarm, and a problem with the /save switch.
  227.                NETSCAN version 95B has been updated to detect all the
  228.           new viruses added to VIRUSCAN.
  229.  
  230.                Beginning in Version 90, we have started optimizing our
  231.           virus search strings by grouping similar viruses together
  232.           into generic virus detection strings.  This speeds up the
  233.           VIRUSCAN program by reducing the amount of virus strings it
  234.           has to look for and makes the program file smaller by reducing
  235.           the size of its virus string data.
  236.  
  237.  
  238.           THE COMPUTER VIRUS HELP FORUM ON COMPUSERVE
  239.  
  240.                We are now sponsoring the Computer Virus Help Forum on
  241.           CompuServe.  Updates to the NETSCAN series, information about
  242.           computer viruses, and technical support may be obtained by
  243.           typing GO VIRUSFORUM at any CompuServe prompt.  A free
  244.           introductory membership to CompuServe is also available.  For
  245.           more information, please read the COMPUSER.NOT file.
  246.  
  247.  
  248.  
  249.  
  250.  
  251.  
  252.  
  253.  
  254.  
  255.  
  256.  
  257.  
  258.  
  259.  
  260.  
  261.  
  262.  
  263.  
  264.  
  265.  
  266.  
  267.  
  268.  
  269.  
  270.  
  271.  
  272.  
  273.  
  274.  
  275. NETSCAN Version 95B                                        Page 5
  276.  
  277.  
  278.           OVERVIEW
  279.  
  280.                NETSCAN is designed to work with file servers on local
  281.           and wide area networks.  For stand-alone and networked PC's, use
  282.           the VIRUSCAN program instead.
  283.                NETSCAN checks files, subdirectories, or entire volumes
  284.           on a file server forpre-existing computer virus infections.  It
  285.           will identify the virus infecting the system and the area where
  286.           it was found.
  287.                Infected files can be removed either with the /D overwrite-
  288.           and-delete option in NETSCAN which will erase the file, or with
  289.           the CLEAN-UP universal virus disinfection program.  CLEAN-UP is
  290.           recommended because in most cases it eliminates the virus and
  291.           fully restores the program or system area.
  292.  
  293.                NETSCAN can be updated to search for new viruses by an
  294.           External Virus Data File, which allows the user to input new
  295.           search strings for viruses.
  296.                After seven months have passed NETSCAN will display a
  297.           message that it may no longer be current.  However, NETSCAN will
  298.           continue to function as normal.  This message can be bypassed
  299.           by running NETSCAN with the /NOEXPIRE switch.
  300.                NETSCAN displays messages in English, French, or Spanish.
  301.  
  302.  
  303.  
  304.  
  305.  
  306.  
  307.  
  308.  
  309.  
  310.  
  311.  
  312.  
  313.  
  314.  
  315.  
  316.  
  317.  
  318.  
  319.  
  320.  
  321.  
  322.  
  323.  
  324.  
  325.  
  326.  
  327.  
  328.  
  329.  
  330. NETSCAN Version 95B                                        Page 6
  331.  
  332.  
  333.           OPERATION and OPTIONS
  334.  
  335.           IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  336.                            TO PREVENT INFECTION OF THE NETSCAN PROGRAM.
  337.  
  338.                NETSCAN checks files and other areas of the system that
  339.           can contain a computer virus.  When a virus is found, NETSCAN
  340.           identifies the virus and the file or system area where it was
  341.           found.
  342.                NETSCAN examines files based on their extension.  The default
  343.           extensions supported by NETSCAN are .APP, .BIN, .COM, .EXE, .OV?,
  344.           .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions
  345.           can be added with the /EXT option, or use the /A to check all
  346.           files on the disk.
  347.  
  348.  
  349.           Valid options for NETSCAN are:
  350.  
  351.           NETSCAN d1: ... d26: /? /A /AF filename /BELL /CF filename /CHKHI
  352.                               /D /E .xxx .yyy .zzz /EXT filename /FAST
  353.                               /FR /H /HELP /HISTORY filename /M /NLZ
  354.                               /NOBREAK /NOEXPIRE /NOMEM /NOPAUSE /NPKL
  355.                               /REPORT filename /RF filename /SAVE
  356.                               /SP /SUB /UNATTEND @filename
  357.  
  358.           Options are:
  359.  
  360.                /? /H /HELP - Display help screen
  361.                         /A - Scan all files, including data, for viruses
  362.               /AF filename - Store recovery data/validation codes to file
  363.                      /BELL - Beep whenever a virus is found
  364.               /CF filename - Check for viruses using recovery data/
  365.                              validation codes stored in filename
  366.                     /CHKHI - Check memory from 0Kb to 1088Kb
  367.                              (on workstation NETSCAN is run from)
  368.                         /D - Overwrite and delete infected file
  369.               /E .xxx .yyy - Scan overlay extensions .xxx .yyy .zzz
  370.              /EXT filename - Scan using external virus data file
  371.                      /FAST - Speed up NETSCAN's output
  372.                              (see below for specifics)
  373.                        /FR - Display messages in French
  374.          /HISTORY filename - Create infection log, appending to old log
  375.                         /M - Scan memory for all viruses
  376.                              (see below for specifics)
  377.                       /NLZ - Skip internal scan of LZEXE-compressed files
  378.                   /NOBREAK - Disable Ctrl-C and Ctrl-Brk during scanning
  379.                  /NOEXPIRE - Do not display expiration notice
  380.                     /NOMEM - Skip memory checking
  381.                   /NOPAUSE - Disable screen pause when scanning
  382.                      /NPKL - Skip internal scan of PKLITE-compressed files
  383.           /REPORT filename - Create infection log, deleting old log
  384.  
  385. NETSCAN Version 95B                                Page 7
  386.  
  387.  
  388.               /RF filename - Remove recovery data/validation codes stored
  389.                              in filename
  390.                      /SAVE - Save specified command line options as new
  391.                              defaults
  392.                        /SP - Display messages in Spanish
  393.                       /SUB - Scan subdirectories under a subdirectory
  394.                  /UNATTEND - Scan using DOS critical error handler
  395.                  @filename - Scan using options from configuration file
  396.  
  397.               (d1: ... d26: indicate drives to be scanned)
  398.  
  399.  
  400.                The /A option checks all files on the drive scanned.  This
  401.           substantially increases the time required to scan disks, so
  402.           it is recommended this swich only be used when installing new
  403.           software or if a file-infecting virus has been found.  This
  404.           option takes priority over the /E option.
  405.  
  406.                The /AF option logs recovery data and validation codes
  407.           for .COM and .EXE files on the network drive to a user-
  408.           specified file that can be located on any drive.  The size of
  409.           the log file will be about 20Kb for every 1,000 files validated.
  410.           The syntax is /AF filename, where "filename" is the path and
  411.           file where recovery data and validation codes are stored.
  412.  
  413.                The /BELL option will cause NETSCAN to beep each time a
  414.           computer virus is found.
  415.  
  416.                The /CF option checks recovery data and validation codes
  417.           added by the /AF option.  The syntax is /CF filename, where
  418.           "filename" is the path and file name where recovery data
  419.           and validation codes are stored.
  420.  
  421.                The /CHKHI option checks the memory on the workstation
  422.           running NETSCAN between 640Kb and 1,088Kb that can be used on AT
  423.           (286) and 386 systems for computer viruses.  On XT systems with
  424.           extended memory cards installed, this will cause the first 64K of
  425.           RAM to be scanned again.  This option cannot be used with the
  426.           /NOMEM option.
  427.  
  428.                The /D option tells NETSCAN to prompt the user to
  429.           overwrite and delete an infected file when one is found.  A file
  430.           erased by the /D option cannot be recovered.  If the CLEAN-UP
  431.           program is available, it can be used to disinfect the file.
  432.  
  433.                The /E option allows the user to specify an extension or
  434.           set of extensions to scan.  Extensions should include a period
  435.           "." and should also be separated by a space after the /E.  Up to
  436.           three extensions may be added with the /E.  For more extensions,
  437.           use the /A option.
  438.  
  439.  
  440. NETSCAN Version 95B                                        Page 8
  441.  
  442.  
  443.                The /EXT option allows NETSCAN to search for viruses from
  444.           a text file containing user-defined search strings in addition
  445.           to the viruses that NETSCAN already identifies.  The syntax for
  446.           using the external virus data file is /EXT d:filename, where d:
  447.           is the drive name and filename is the name of the external virus
  448.           data file.  For instructions on how to create an external virus
  449.           data file, refer to Appendix A.
  450.  
  451.           NOTE:  The /EXT option provides users with the ability to add
  452.                  strings for detection of viruses on an interim or
  453.                  emergency basis.  When used with the /D option, it will
  454.                  overwrite-and-delete infected files.  This option is not
  455.                  for general use and should be used with caution.
  456.  
  457.                The /FAST option will speed NETSCAN up by displaying fewer
  458.           messages on the screen, skipping checking inside of LZEXE- and
  459.           PKLITE-compressed files, and examining a smaller portion of
  460.           files during scanning.  This may reduce the accuracy of NETSCAN.
  461.  
  462.                The /FR option tells NETSCAN to output all messages in
  463.           French instead of English.  The /FR option cannot be used with
  464.           the /SP (Spanish) option.
  465.  
  466.                The /HISTORY option saves a list of infected files to
  467.           disk.  The list is saved to disk as an ASCII text file.  If a
  468.           list exists, then the results of the current scan will be added
  469.           to the end.  The syntax is /HISTORY filename, where "filename"
  470.           is the path and name of the report file.
  471.  
  472.                The /M option tells NETSCAN to check system memory on the
  473.           workstation for all known computer viruses that can inhabit
  474.           memory.  NETSCAN by default only checks memory for critical and
  475.           "stealth" viruses, which are viruses which can cause catastrophic
  476.           damage or spread the virus infection during the scanning process.
  477.           By default, NETSCAN will check memory for the following viruses:
  478.  
  479.              1024           1253          1554          1963
  480.              1971           2560          337           3445-Stealth
  481.              4096           512           Anthrax       Antitelefonica
  482.              Brain          Caz           CD            Dark Avenger
  483.              Dir-2          Doom II       Empire        Fish
  484.              Flu-2          Form          Greemlin      Irish
  485.              Joshi          Leech         Lozinsky      Microbes
  486.              Mirror         Nomenklatura  NOP           No-Int (Stoned III)
  487.              P1R (Phoenix)  Phantom       Plastique     Pogue
  488.              SBC            Sentinel      Stoned        Sunday-2
  489.              SVC            Taiwan3       Tequila       Turbo (Polish-2)
  490.              Twin-351       V2100         V2P6          Whale
  491.  
  492.           If one of these viruses is found in memory, NETSCAN will stop and
  493.           tell the user to power down, and reboot the system from a virus-
  494.           free system-bootable disk.
  495. NETSCAN Version 95B                                Page 9
  496.  
  497.  
  498.           NOTE:  Using the /M option with another anti-viral software
  499.                  package may result in false alarms if the other package
  500.                  does not remove its virus search strings from memory.
  501.  
  502.                The /NLZ option tells NETSCAN not to look inside files
  503.           compressed with LZEXE, a file compression program.  NETSCAN will
  504.           still check the LZEXE-compressed files for viruses that have
  505.           infected after file compression.
  506.  
  507.                The /NOBREAK option prevents Ctrl-C or Ctrl-Brk from
  508.           aborting the scanning process.
  509.  
  510.                The /NOMEM option is used to turn off all memory checking
  511.           for viruses in order to speed up the scanning process.  It
  512.           should only be used when a system is known to be virus-free.
  513.           The /NOMEM option can not be used with the /CHKHI or /M options.
  514.  
  515.                The /NOEXPIRE option disables the warning message that
  516.           NETSCAN displays after seven months warning that it may no longer
  517.           be current with respect to known computer viruses.
  518.  
  519.                The /NOPAUSE option disables the "More? (H = Help )" prompt
  520.           that is displayed when NETSCAN fills up a screen with messages.
  521.           This allows NETSCAN to check networks with multiple infections without
  522.           requiring operator assistance.
  523.  
  524.                The /NPKL option tells NETSCAN not to look inside files
  525.           compressed with PKLITE, a file compression program.  NETSCAN will
  526.           still check the PKLITE-compressed files for viruses that have
  527.           infected after file compression.
  528.  
  529.                The /REPORT option saves a list of infected files to
  530.           disk.  The list is saved to disk as an ASCII text file.  If a
  531.           list exists, then it will be overwritten with the new list.
  532.           The syntax is /REPORT filename, where "filename" is the path
  533.           and name of the report file.
  534.  
  535.                The /RF option will remove recovery data and validation
  536.           codes for files from the recovery data and validation code
  537.           file.  The syntax is /RF filename, where "filename" is the path
  538.           and file where recovery data and validation codes are stored.
  539.  
  540.           
  541.  
  542.  
  543.  
  544.  
  545.  
  546.  
  547.  
  548.  
  549.  
  550. NETSCAN Version 95B                                Page 10
  551.  
  552.  
  553.                The /SAVE option is used to store NETSCAN options for
  554.           subsequent executions of NETSCAN.  Options are stored by
  555.           modifying the NETSCAN.EXE executable file.  For example:
  556.  
  557.                NETSCAN F: /HISTORY C:VIRUS.LOG /NOMEM /UNATTEND /SAVE
  558.  
  559.           will set the default options to scanning the F: drive with the
  560.           /HISTORY, /NOMEM, and /UNATTEND swtiches.  If NETSCAN is run
  561.           with just the /SAVE switch, then all options are removed and
  562.           NETSCAN will run with its original settings.
  563.  
  564.                If you do not wish to modify the NETSCAN.EXE  file, use the
  565.           @filename option instead, which allows you to store the NETSCAN
  566.           options in a separate text file.
  567.  
  568.           NOTE:  VALIDATE 0.4 must be used to validate NETSCAN version 94 or
  569.                  above if /SAVE is used.  /SAVE directly modifies NETSCAN.EXE
  570.                  and the validate codes will no longer match if an older
  571.                  version of VALIDATE is used.  VALIDATE 0.4 will generate
  572.                  the correct validation results even if the /SAVE option
  573.                  has been used.  Third party file-integrity check programs
  574.                  may not produce the same results after the /SAVE option
  575.                  is used.  The /SAVE option should be added to NETSCAN by the
  576.                  Systems Administrator prior to final installation on PC's
  577.                  if other integrity checking programs are in use.
  578.  
  579.                The /SP option tells NETSCAN to output all messages in
  580.           Spanish instead of English.  This option can not be used with
  581.           the /FR (French) option.
  582.  
  583.                The /SUB scans all subdirectories inside a subdirectory.
  584.           Previously, NETSCAN would only recursively check subdirectories
  585.           if a logical device (e.g., C:) was scanned.
  586.  
  587.                The /UNATTEND option tells NETSCAN use the DOS critical
  588.           error handler when accessing files.  If NETSCAN accesses an open
  589.           or non-shareble file, it will continue scanning instead of
  590.           displaying an error message.  This option requires DOS 3.10 or above.
  591.  
  592.           NOTE:  The /UNATTEND switch is required if you are running
  593.                  NETSCAN against a Novell NetWare file server.
  594.  
  595.                The @FILENAME option allows the user to store a list of
  596.  
  597.  
  598.  
  599.  
  600.  
  601.  
  602.  
  603.  
  604.  
  605. NETSCAN Version 95B                                Page 11
  606.  
  607.  
  608.           options and/or system areas to be scanned in a configuration
  609.           file.  Options need to be separated by a space, while system
  610.           areas (disks, subdirectories, or files) need to be on separate
  611.           lines.  A sample file might look like this:
  612.  
  613.           /HISTORY C:\VIRUS.LOG /NOMEM  /UNATTEND
  614.           F:
  615.           X:\PROGRAMS\UTILS
  616.  
  617.           The first line contains the NETSCAN options while other lines
  618.           contain the names of disks, subdirectories, or files to scan.
  619.           The configuration file should be an ASCII text file.  If a word
  620.           processor is used to create the list, be sure to save as ASCII.
  621.  
  622.  
  623.  
  624.  
  625.  
  626.  
  627.  
  628.  
  629.  
  630.  
  631.  
  632.  
  633.  
  634.  
  635.  
  636.  
  637.  
  638.  
  639.  
  640.  
  641.  
  642.  
  643.  
  644.  
  645.  
  646.  
  647.  
  648.  
  649.  
  650.  
  651.  
  652.  
  653.  
  654.  
  655.  
  656.  
  657.  
  658.  
  659.  
  660. NETSCAN Version 95B                                Page 12
  661.  
  662.  
  663.           EXAMPLES
  664.  
  665.                The following examples show different option settings:
  666.  
  667.                NETSCAN F:
  668.                    To scan drive F:
  669.  
  670.                NETSCAN F: G: H: 
  671.                    To scan drives F:, G:, and H::
  672.  
  673.                NETSCAN F: /CF C:\NETSCAN.CRC
  674.                    To scan files on drive F: and check for unknown viruses
  675.                    viruses with recovery/validation data file NETSCAN.CRC.
  676.  
  677.                NETSCAN Y: /D /A
  678.                    Scans all files on drive Y: and prompt for erasure of
  679.                    any infected files, if found.
  680.  
  681.                NETSCAN F: /UNATTEND
  682.                    To scan drive F: on a Novell NetWare network.
  683.  
  684.                NETSCAN F: G: H: /E .WPM
  685.                    Scans drives F:, G:, and H: including .WPM files
  686.  
  687.                NETSCAN Z: /EXT A:SAMPLE.ASC /BELL
  688.                    To scan drive Z: for known computer viruses and also
  689.                    for viruses added by the user via the external virus
  690.                    data file option, and beep whenever a virus is found.
  691.  
  692.  
  693.  
  694.  
  695.  
  696.  
  697.  
  698.  
  699.  
  700.  
  701.  
  702.  
  703.  
  704.  
  705.  
  706.  
  707.  
  708.  
  709.  
  710.  
  711.  
  712.  
  713.  
  714.  
  715. NETSCAN Version 95B                                Page 13
  716.  
  717.  
  718.           EXIT CODES
  719.  
  720.                After NETSCAN has finished running, it will set the DOS
  721.           ERRORLEVEL.  ERRORLEVEL's are used in batch files to pass the
  722.           results of a program's actions.  The ERRORLEVEL's returned by
  723.           NETSCAN are:
  724.  
  725.                ERRORLEVEL │ DESCRIPTION
  726.                ═══════════╪══════════════════════════════════════════════
  727.                    0      │ No viruses found
  728.                    1      │ One or more viruses found
  729.                    2      │ Abnormal termination (program error)
  730.                    3      │ One or more uncertified files found
  731.                    4      │ Ctrl-C or Ctrl-Break aborted scan
  732.  
  733.           If a user stops the scanning process, NETSCAN will set the
  734.           ERRORLEVEL to 3.  The /NOBREAK option can be used to prevent
  735.           users from stopping NETSCAN.
  736.  
  737.  
  738.           VIRUS REMOVAL
  739.  
  740.                What do you do if a virus is found?  You can contact McAfee
  741.           Associates for help by BBS, FAX, telephone, Internet, or
  742.           CompuServe.  There is no charge for support calls to McAfee
  743.           Associates.
  744.                The CLEAN-UP universal virus disinfection program can
  745.           disinfect virtually all reported computer viruses.  It is
  746.           updated with each release of the NETSCAN program to remove new
  747.           viruses.  CLEAN-UP can be downloaded from McAfee Associates'
  748.           BBS, the SIMTEL20 archives on the InterNet, the Computer Virus
  749.           Help Forum on CompuServe, or from any of the agents listed in
  750.           the enclosed AGENTS.TXT text file.
  751.                It is strongly recommended that you get experienced help in
  752.           dealing with viruses if you are unfamilar with anti-virus
  753.           software and methods.  This is especially true for 'critical'
  754.           viruses and partition table/boot sector infecting viruses as
  755.           improper removal of these viruses can result in the loss of
  756.           all data and the use of the infected disk(s).  [For a listing of
  757.           critical viruses, see the /M switch listed under OPTIONS above.]
  758.                For qualified assistance in removing a virus, please
  759.           contact McAfee Associates directly or any of the Authorized
  760.           McAfee Associates Agents in your area.  Agents may charge McAfee
  761.           Associates' normal support rates for their services.
  762.                If you wish to remove a file-infecting virus manually, you
  763.           can run NETSCAN with the /A and /D switches to erase all infected
  764.           files.
  765.                Before removing a boot sector or partition table-infecting
  766.           virus, it is recommended that you cold boot the infected PC from
  767.           a clean DOS disk and backup any critical data.
  768.  
  769.  
  770. NETSCAN Version 95B                                Page 14
  771.  
  772.  
  773.           LICENSE
  774.  
  775.                NETSCAN may be copied and distributed for testing and
  776.           evaluation purposes on a trial period of five (5) days.  If you
  777.           wish to use NETSCAN after the trial period, a license is
  778.           required.  Licenses are available for internal use within
  779.           businesses, organizations, government agencies, and external
  780.           use by repair centers and other service organizations.  License
  781.           fees are based on the size of the network or number of copies
  782.           required.  Information on licensing can be obtained from McAfee
  783.           Associates or any of its Authorized Agents listed in the
  784.           accompanying AGENTS.TXT file.
  785.  
  786.  
  787.           TECH SUPPORT
  788.  
  789.                For fast and accurate help, please have the following
  790.           information ready when you contact McAfee Associates:
  791.  
  792.                -    Program name and version number.
  793.  
  794.                -    Type of network and workstations
  795.  
  796.                -    Version of DOS plus any TSRs or device drivers in use
  797.                     on workstation.
  798.  
  799.                -    Printouts of your CONFIG.SYS, AUTOEXEC.BAT and network
  800.                     login files.
  801.  
  802.                -    A printout of what is in memory from the MEM command
  803.                     (DOS 4 and above users only) or a similar utility.
  804.  
  805.                -    The exact problem you are having.  Please be as
  806.                     specific as possible.  Having a printout of the
  807.                     screen and/or being at your computer be will helpful.
  808.  
  809.           McAfee Associates can be contacted by BBS, CompuServe, FAX, or
  810.           InterNet 24 hours a day, or by telephone at (408) 988-3832,
  811.           Monday through Friday, 7:00AM to 5:30PM Pacific Time.
  812.  
  813.                McAfee Associates             (408) 988-3832 office
  814.                3350 Scott Blvd. Bldg. 14     (408) 970-9727 fax
  815.                Santa Clara, CA  95054-3107   (408) 988-4004 BBS (32 lines)
  816.                U.S.A                         USR HST/v.32/v.42bis/MNP 1-5
  817.                                              CompuServe     GO VIRUSFORUM
  818.                                              Internet   mcafee@netcom.com
  819.  
  820.           If you are overseas, there may be an Authorized McAfee Associates
  821.           Agent in your area.  Please refer to the AGENTS.TXT file for a
  822.           listing of McAfee Associates Agents for support or sales.
  823.  
  824.  
  825. NETSCAN Version 95B                                Page 15
  826.                                                           
  827.  
  828.           APPENDIX A:  Creating a Virus String File with the /EXT Option
  829.  
  830.           NOTE:  The /EXT option is intended for emergency and research
  831.                  use only.  It is a temporary method for identifying new
  832.                  viruses prior to the subsequent release of NETSCAN.  A
  833.                  thorough understanding of viruses and string-search
  834.                  techniques is advised for using this option.  A string
  835.                  length of 10 to 15 bytes is recommended.
  836.  
  837.                The External Virus Data file should be created with an
  838.           editor or a word processor and saved as an ASCII text file.  Be
  839.           sure each line ends with a Carriage Return/Line Feed pair.
  840.  
  841.  
  842.                The virus string file uses the following format:
  843.  
  844.           #Comment about Virus_1
  845.           "aabbccddeeff..." Virus_1_Name
  846.           #Comment about Virus_2
  847.           "gghhiijjkkll..." Virus_2_Name
  848.                .
  849.                .
  850.           "uuvvwwxxyyzz..." Virus_n_Name
  851.  
  852.  
  853.           Where aa, bb, cc, etc. are the hexadecimal bytes that you wish
  854.           to scan for.  Each line in the file represents one virus.  The
  855.           Virus Name for each virus is mandatory, and may be up to 25
  856.           characters in length.  The double quotes (") are required at the
  857.           beginning and end of each hexadecimal string.
  858.                NETSCAN will use the string file to search memory on the
  859.           workstation and all .COM and .EXE files, and overlay files with
  860.           the extensions .APP, .BIN, .COM, .EXE, .OV?, .PGM, .PIF, .PRG,
  861.           .SWP, .SYS, and .XTP.
  862.                Virus strings may contain wild cards.  The two wildcard
  863.           options are:
  864.  
  865.           FIXED POSITION WILDCARD
  866.                The question mark "?" may be used to represent a wildcard
  867.           in a fixed position within the string.  For example, the string:
  868.  
  869.                              "E9 7C 00 10 ? 37 CB"
  870.  
  871.           would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or
  872.           any other similar string, regardless of the fifth byte.
  873.  
  874.  
  875.  
  876.  
  877.  
  878.  
  879.  
  880. NETSCAN Version 95B                                Page 16
  881.  
  882.  
  883.           RANGE WILDCARD
  884.  
  885.                The asterisk "*", followed by range number in parentheses
  886.           "(" and ")" is used to represent a variable number of adjoining
  887.           random bytes.  For example, the string:
  888.  
  889.                              "E9 7C *(4) 37 CB"
  890.  
  891.           would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  892.           "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  893.           would not match since the distance between 7C and 37 is greater
  894.           than four bytes.  You may specify a range of up to 99 bytes.
  895.           Up to 10 different wildcards of either kind may be used in one
  896.           virus string.
  897.                                             
  898.  
  899.           COMMENTS
  900.                A pound sign "#" at the begining of a line will denote a
  901.           comment.  Use this for adding notes to the external virus data
  902.           file.  For example:
  903.  
  904.                              #New .COM virus found in file FRITZ.EXE from
  905.                              #Schneiderland on 01-22-91
  906.                              "53 48 45 45 50" Fritz-1 [F-1]
  907.  
  908.           gives a description of the virus, name of the infected file,
  909.           where and when it was found, etc.
  910.  
  911.  
  912.  
  913.  
  914.  
  915.  
  916.  
  917.  
  918.  
  919.  
  920.  
  921.  
  922.  
  923.  
  924.  
  925.  
  926.  
  927.  
  928.  
  929.  
  930.  
  931.  
  932.  
  933.  
  934.  
  935.  
  936.