home *** CD-ROM | disk | FTP | other *** search
/ Shareware 1 2 the Maxx / sw_1.zip / sw_1 / VIRUS / I_M123.ZIP / I-M.DOC < prev    next >
Text File  |  1992-07-14  |  190KB  |  3,794 lines
  1.  
  2.  
  3.  
  4.        
  5.  
  6.  
  7.  
  8.  
  9.                    I N T E G R I T Y     M A S T E R (tm)
  10.  
  11.  
  12.                               Version  1.23a
  13.  
  14.  
  15.        An easy to use, data integrity and anti-virus program which also
  16.         provides PC security, change control and disk error detection.
  17.  
  18.  
  19.  
  20.               Users Guide plus Data Integrity and Virus Guide
  21.  
  22.               ________________________________________________
  23.  
  24.  
  25.                  Copyright 1990 - 1992 by Wolfgang Stiller
  26.                             All rights reserved
  27.                             ___________________
  28.  
  29.  
  30.  
  31.         Written by Wolfgang Stiller
  32.  
  33.                  Stiller Research
  34.                  2625 Ridgeway St.
  35.                  Tallahassee, Florida 32310
  36.                  U.S.A.
  37.  
  38.  
  39.         Electronic mail to:
  40.  
  41.                  CompuServe: 72571,3352
  42.                  InterNet, Bitnet, etc.: 72571.3352@compuserve.com
  43.                  Uunet: uunet!compuserve.com!72571.3352
  44.  
  45.     Integrity Master (tm)              -  2  -                 Version 1.23a
  46.  
  47.  
  48.  
  49.  
  50.        
  51.        Second Edition (November 1991)
  52.        Updated February 1992
  53.  
  54.        (C) Copyright Wolfgang Stiller 1990 - 1992.  All Rights  reserved.
  55.  
  56.        The following paragraph does not apply where such provisions are 
  57.        inconsistent with law:
  58.  
  59.        Stiller Research provides this document "AS IS" without warranty 
  60.        of any kind, either express or implied, including, but not limited to 
  61.        the  warranties of merchantability or fitness for a particular pur-
  62.        pose.
  63.  
  64.        This document may include technical inaccuracies or typographical 
  65.        errors. We continually update and correct this document with the 
  66.        latest available information.
  67.  
  68.  
  69.        Note to U.S. Government users:  Use, duplication, or disclosure by 
  70.        the U.S. Government of the computer software and documentation 
  71.        in this package shall be subject to the restricted rights applicable to 
  72.        commercial computer software as set forth in subdivision (b)(3)(ii) 
  73.        of  Rights in Technical Data and Computer Software clause at 
  74.        252.227-7013 (DFARS 52.227-7013).  The manufacturer is  Stiller 
  75.        Research, 2625 Ridgeway St., Tallahassee, Florida 32310-5169.
  76.  
  77.  
  78.     Integrity Master (tm)              -  3  -                 Version 1.23a
  79.  
  80.  
  81.  
  82.        Use of Integrity Master (also known as IM) requires acceptance of 
  83.        the following license terms and warranty disclaimer.
  84.  
  85.        L I C E N S E    T E R M S
  86.              
  87.        TO USE INTEGRITY MASTER, YOU MUST AGREE TO AND 
  88.        UNDERSTAND THE FOLLOWING LICENSE TERMS AND WARRANTY 
  89.        DISCLAIMER, OTHERWISE DO NOT USE THIS PROGRAM.
  90.  
  91.        Each PC must have its own licensed copy.  THIS COPY MAY 
  92.        ONLY BE USED ON ONE PC.  It may be removed from that PC 
  93.        and installed on another PC but IT MAY NOT BE INSTALLED 
  94.        ON MORE THAN ONE PC AT A TIME.  To use  Integrity 
  95.        Master on more than one PC, you must license extra copies.
  96.  
  97.  
  98.              W A R R A N T Y    D I S C L A I M E R:
  99.  
  100.        INTEGRITY MASTER AND ALL ASSOCIATED PROGRAMS ARE 
  101.        LICENSED "AS-IS".  STILLER RESEARCH AND WOLFGANG STILLER 
  102.        MAKE NO WARRANTIES, EITHER EXPRESSED OR IMPLIED, WITH 
  103.        RESPECT TO THESE PROGRAMS, THEIR QUALITY, PERFORMANCE, 
  104.        MERCHANTABILITY, OR FITNESS FOR ANY PARTICULAR 
  105.        PURPOSE.  IN PARTICULAR,  INTEGRITY MASTER IS NOT 
  106.        GUARANTEED TO PREVENT OR DETECT DAMAGE TO YOUR DATA 
  107.        OR PROGRAMS. IN NO EVENT SHALL STILLER RESEARCH OR 
  108.        WOLFGANG STILLER BE LIABLE  FOR ANY CLAIMS FOR LOST 
  109.        PROFITS OR ANY DAMAGE, INCLUDING BUT NOT LIMITED TO 
  110.        SPECIAL, INCIDENTAL, CONSEQUENTIAL OR OTHER DAMAGE.  
  111.        SOME STATES DO NOT ALLOW THE  EXCLUSION OR LIMITATION 
  112.        OF INCIDENTAL OR CONSEQUENTIAL DAMAGES, SO THE ABOVE 
  113.        LIMITATION OR EXCLUSION MAY NOT APPLY TO YOU.
  114.  
  115.        IF YOU USE INTEGRITY MASTER (IM), YOU ASSUME EXCLUSIVE 
  116.        RESPONSIBILITY AND LIABILITY FOR ANY LOSS OR DAMAGE 
  117.        DIRECTLY OR INDIRECTLY ARISING OUT OF  THE USE OF THE 
  118.        PROGRAM. 
  119.  
  120.        IN NO CASE SHALL STILLER RESEARCH'S OR WOLFGANG 
  121.        STILLER'S LIABILITY EXCEED THE LICENSE FEES PAID FOR THE 
  122.        RIGHT TO USE THE LICENSED SOFTWARE. 
  123.  
  124.        THE LICENSE AGREEMENT AND WARRANTY DISCLAIMER SHALL 
  125.        BE CONSTRUED, INTERPRETED AND GOVERNED BY THE LAWS OF 
  126.        THE STATE OF FLORIDA.
  127.  
  128.  
  129.     Integrity Master (tm)              -  4  -                 Version 1.23a
  130.                                                
  131.        T A B L E    O F    C O N T E N T S
  132.        -----------------------------------
  133.  
  134.        PART ONE - Integrity Master(tm) User Guide
  135.  
  136.  
  137.           License and Warranty Terms ..................... 3
  138.  
  139.           CHAPTER ONE - Why Integrity Master?
  140.              Welcome! .................................... 7
  141.              Don't read this ............................. 7
  142.              Why the user guide .......................... 7
  143.              What can Integrity Master do? ............... 8
  144.              How does it do these things? ................ 8
  145.              What Makes Integrity Master Special?......... 9
  146.              Requirements and Limitations ............... 10
  147.  
  148.  
  149.           CHAPTER TWO - Installing Integrity Master
  150.              Special Quick Install....................... 11
  151.              Full Installation........................... 11
  152.              Vital files ................................ 12
  153.              Screen Colors .............................. 13
  154.              Using Integrity Master Menus................ 14
  155.  
  156.           CHAPTER THREE - Running Integrity Master
  157.              Integrity Master Screen Contents ........... 15
  158.              Initializing Integrity data................. 15
  159.              What is Integrity Data? .................... 16
  160.              The Check Menu ............................. 16
  161.              The Report File ............................ 18
  162.              System Sectors ............................. 19
  163.                 Reloading ............................... 19
  164.              The Commands Menu .......................... 20
  165.              Ending (Quitting) .......................... 20
  166.              Statistics Summary.......................... 20
  167.              Fighting viruses with Integrity Master ..... 21
  168.                 Viruses - What Are They? ................ 21
  169.                 Virus Check Procedure ................... 21
  170.                 Scanning for Viruses .................... 22
  171.                 Detecting Viruses ....................... 22
  172.                 Detecting Unknown (new) viruses ......... 23 
  173.                 The Integrity Master virus report ....... 24
  174.                 False Alarms ............................ 25
  175.                 Destroying Viruses ...................... 26
  176.                 Data Corruption ......................... 26
  177.              Integrity Master and Disk Problems  ........ 27
  178.              Integrity Master for PC Security ........... 28
  179.              Integrity Master for Change Control ........ 29
  180.              Command Line (BATCH) Execution ............. 30
  181.                 Syntax .................................. 30
  182.                 Error Levels  ........................... 31
  183.              Using IMCHECK .............................. 32
  184.  
  185.  
  186.     Integrity Master (tm)              -  5  -                 Version 1.23a
  187.  
  188.  
  189.        CHAPTER FOUR - Customizing
  190.               The Parameter (Options) File ............... 33
  191.               Options Menu ............................... 34
  192.               Options in SETUPIM ......................... 37
  193.               Location of Integrity Data.................. 38
  194.               Updating your hardware configuration ....... 38
  195.               The Advanced Option Menu.................... 39 
  196.  
  197.        CHAPTER FIVE -  Errors
  198.              Error Recovery .............................. 42
  199.              Solving problems ............................ 42
  200.              Answers to Common Questions ................. 42
  201.  
  202.  
  203.        PART TWO - Data Integrity and Viruses
  204.  
  205.        CHAPTER ONE - Threats to your data
  206.              Introduction - Viruses get all the glory .... 45
  207.              Hardware problems............................ 45
  208.              Finger checks ... ........................... 46
  209.              Malicious or Careless Damage................. 46
  210.              Software Problems ........................... 46
  211.              Software attacks ............................ 47
  212.                  Logic Bombs ............................. 47
  213.                  Trojans ................................. 47
  214.                  Worms ................................... 48   
  215.                  Viruses ................................. 48
  216.                     General Virus Behavior................ 48
  217.                     System Sector Viruses................. 50
  218.                        Boot Sectors ...................... 50
  219.                        Partition Sectors ................. 50
  220.                     File viruses ......................... 51
  221.                        Miracle Infections ................ 52
  222.              How many viruses are there?.................. 52
  223.              How serious are viruses?..................... 53
  224.  
  225.  
  226.           CHAPTER TWO - Protection for your PC
  227.              Hardware Protection ......................... 55
  228.              "Fixing" your disk .......................... 55
  229.              Goof Protection  ............................ 56
  230.              Intrusion Protection......................... 56
  231.              Virus Defenses  ............................. 57
  232.                 Scanners ................................. 58
  233.                 Disinfectors ............................. 58
  234.                 Interceptors ............................. 58
  235.                 Inoculators .............................. 58
  236.                 ROM and Encryption ....................... 59
  237.                 Integrity Checkers ....................... 59
  238.                 Gadgets .................................. 60
  239.                 Prevention................................ 60
  240.  
  241.  
  242.     Integrity Master (tm)              -  6  -                 Version 1.23a
  243.  
  244.  
  245.           CHAPTER THREE - Virus Myths
  246.              Mythical Sources ............................ 62
  247.              Quick and Easy Cures ........................ 62
  248.              Silly Tricks ................................ 63
  249.              Certified Software? ......................... 63
  250.              Retail Software Only? ....................... 64
  251.              Write Protecting Your Hard Disk ............. 64
  252.              Safe Computing (Safe Hex?)................... 65
  253.              Software is useless against viruses.......... 65
  254.  
  255.  
  256.           CHAPTER FOUR - Virus Realities
  257.              The ONLY Real Source of Viruses ............. 66
  258.              Shareware is as Safe or Safer ............... 66
  259.              Few Virus Free Programs ..................... 66
  260.              Write Protecting Floppies ................... 66
  261.              Beware the CE and the Demo! ................. 67
  262.              Viruses are going to get worse .............. 67
  263.  
  264.  
  265.           CHAPTER FIVE - What to do - Some Suggestions
  266.              Action is Vital - Now! ...................... 68
  267.              Backup Policy ............................... 68
  268.              Integrity Checking Policy ................... 69
  269.              Run CHKDSK .................................. 69
  270.              Determining Causes of Corruption ............ 70
  271.              Education ................................... 71
  272.                 Signs of software problems ............... 71
  273.                 Signs of viruses ......................... 71
  274.              Responsibility .............................. 72
  275.              Policy and routine .......................... 72
  276.              Networks and Viruses ........................ 72
  277.  
  278.  
  279.           CHAPTER SIX - Handling a virus attack
  280.              Don't panic and don't believe the virus ..... 73
  281.              Report the attack ........................... 73
  282.              Play Detective............................... 73
  283.              Clean House (steps to remove the virus)...... 74
  284.              Guard the house ............................. 74
  285.  
  286.  
  287.           INDEX .......................................... 75
  288.  
  289.  
  290.     Integrity Master (tm)              -  7  -                 Version 1.23a
  291.  
  292.  
  293.     PART ONE - INTEGRITY MASTER(tm) USERS GUIDE
  294.     -------------------------------------------
  295.  
  296.     ___________________________________________________________________________
  297.     C h a p t e r   1   -   I n t r o d u c t i o n
  298.  
  299.     Welcome!
  300.     --------
  301.     Welcome to the family of Integrity Master(tm) users!  Integrity
  302.     Master (also known as IM) is the fastest, most powerful data
  303.     integrity and anti-virus software available for any price.  We hope
  304.     that you'll find Integrity Master an indispensable part of your PC
  305.     toolkit.  From now on, you'll be back in control of all the data on
  306.     your PC.
  307.  
  308.  
  309.     Don't read this!
  310.     ----------------
  311.     Most people should never need to read the Integrity Master Users
  312.     Guide.  If you're reading this to learn how to use Integrity Master,
  313.     you're here for the wrong reason.  Just copy your files onto your
  314.     hard disk and execute SetupIM.  The tutorial should tell you all you
  315.     need to know to get started.  For additional help when using
  316.     Integrity Master (IM), just hit F1 and select the index.  The odds
  317.     are what you need to know is there.
  318.  
  319.     While we think most people won't need to read Part One -
  320.     Integrity Master Users Guide  (this part), we think everyone
  321.     needs to read  Part 2 - Data Integrity and Viruses.  This will help
  322.     you understand the different threats to your PC, and what you can
  323.     do about them.  You'll be able to understand more clearly how
  324.     viruses work, how dangerous they are, and how Integrity Master
  325.     and other products can protect you.
  326.  
  327.  
  328.     Why read the Users Guide?
  329.     -------------------------
  330.     We've written this users guide for three reasons:
  331.  
  332.     1) To provide more information on how to get the most benefit out
  333.       of Integrity Master.  You'll learn how to use it to detect totally
  334.       new viruses, how to tell if damage to a file is likely due to a
  335.       hardware problem or maybe a virus or a trojan, how to use it to
  336.       protect your PC from unauthorized tampering, etc.
  337.  
  338.     2) To explain certain aspects of Integrity Master in more detail and
  339.       in different terms than available from IM's internal help
  340.       screens.
  341.  
  342.     Integrity Master (tm)              -  8  -                 Version 1.23a
  343.  
  344.     3) To satisfy people who prefer to read things on paper.  If you
  345.        prefer to read things on paper, then you're here for the right
  346.        reason, although we'll bet the tutorial in SetupIM will surprise
  347.        you.  (Give it a try!)
  348.  
  349.     What can Integrity Master do?
  350.     -----------------------------
  351.     1) Detect and remove viruses.  IM will even detect viruses which
  352.        are not known to exist at this point.  For known viruses, IM will
  353.        recognize them by name and describe what they do.
  354.  
  355.     2) Detect possible file corruption due to hardware or software
  356.        problems.   This type of file damage is apparently at least 100
  357.        times more likely than virus infection, yet it usually goes
  358.        undetected.
  359.  
  360.     3) Supplement or replace any PC security programs you have.  IM
  361.        will inform you if anyone changes something on your PC's disk
  362.        while you were gone.
  363.  
  364.     4) You just compressed your disk or you restored your files from a
  365.        backup. Are all the files really OK?   IM will tell you.
  366.  
  367.     5) You wanted to delete all your .BAK files, but you entered:
  368.        "DEL   *.BAT" by mistake.  Oops!  IM will tell you exactly
  369.        which files you need to restore.
  370.  
  371.     6) You need a change management system to keep track of growth
  372.        on your hard disk.  Where is all that disk space going?  IM will
  373.        tell you.
  374.  
  375.     7) You're having problems with your disk drive.  Your diagnostic
  376.        programs say all is OK... now.  But were some files damaged
  377.        last night?  IM tells you!
  378.  
  379.     8) Your hard disk is having problems.  DOS will not even
  380.        recognize it as a disk.  IM can reload your partition and boot
  381.        sectors to "fix" your disk!
  382.  
  383.  
  384.     How does Integrity Master do all these things?
  385.     ----------------------------------------------
  386.     1) It reads files as well as parts of the operating system on your
  387.        disk known as system sectors.  The first time you use IM, you
  388.        will run an "initialize", which will read your disk and calculate
  389.        cryptographic signatures for each file and system sector.  While
  390.        it's doing this, IM is also checking for signs of known viruses.
  391.  
  392.     Integrity Master (tm)              -  9  -                 Version 1.23a
  393.  
  394.     2) This signature data along with other information such as the file
  395.        size is encrypted and recorded in the "integrity data" file.  One
  396.        such file is created for each directory on your disk.
  397.  
  398.     3) On subsequent checks, the files and system sectors are read
  399.        again and the computed integrity data is compared with the prior
  400.        values. This allows IM to determine if anything has changed,
  401.        even if the time and date stamps indicate no change.
  402.  
  403.     4) IM detects changes that a virus may make to associate itself
  404.        (companion and cluster viruses) with a an existing program.
  405.  
  406.     A virus can only infect your PC by associating itself with your
  407.     programs or system sectors.  Each of these actions results in
  408.     changes to data on your disk.  IM will detect these changes if a
  409.     virus tries to infect your system.
  410.  
  411.     What makes Integrity Master Special?
  412.     ------------------------------------
  413.     1) Integrity Master is not just an anti-virus product but a complete
  414.        data integrity system.  Viruses are but one threat to the integrity
  415.        of your PC. With Integrity Master you have a complete
  416.        solution.
  417.  
  418.     2) Unlike other integrity check programs, Integrity Master contains
  419.        extensive information regarding known viruses.  If a portion of
  420.        a known virus is recognized, that virus will be identified and
  421.        specific instructions will given to remove it and check for
  422.        possible damage.  If other file changes are detected which are
  423.        characteristic  of a virus, you will be alerted to that fact and
  424.        given appropriate instructions.
  426.     3) Unlike a virus scanner, Integrity Master allows you to detect
  427.       unknown as well as known viruses.
  428.  
  429.     4) Unlike anti-virus products which merely find known viruses, 
  430.        Integrity Master detects any sectors or files damaged (not just
  431.        infected!) by viruses.
  432.  
  433.     5) Integrity Master is fast!  It's written in 100% highly optimized
  434.        assembler language.
  435.  
  436.     Integrity Master (tm)             -  10  -                 Version 1.23a
  437.  
  438.     6) Integrity Master checks and protects areas on your disk known
  439.        as system sectors (the DOS boot and partition sectors), not just
  440.        the files.  If these sectors become infected or damaged, Integrity
  441.        Master can quickly repair them.
  442.  
  443.     7) Integrity Master utilizes easy to use menus with lots of help.
  444.        You don't have to fully understand some of the more complex
  445.        areas of data integrity such as system sectors, yet you can be
  446.        fully protected.
  447.  
  448.     8) The Integrity Advisor(tm) component of Integrity Master
  449.        understands special files important to DOS and will give you
  450.        special advice with step by step instructions if these files have
  451.        changed.
  452.  
  453.  
  454.      Integrity Master Requirements and Limitations:
  455.      ----------------------------------------------
  456.  
  457.     o IM requires a PC with 210K of available memory and DOS 2 or
  458.       later.  (At least 335K is needed for maximum speed.)
  459.  
  460.     o IM supports super large disks and files.
  461.  
  462.     o IM supports a maximum of 2621 files in a single directory.
  463.  
  464.     o Do not use the DOS APPEND, SUBST or ASSIGN commands in
  465.       conjunction with IM. These can cause misleading results if not
  466.       carefully considered.
  467.  
  468.  
  469.     Integrity Master (tm)             -  11  -                 Version 1.23a
  470.     ___________________________________________________________________________
  471.     CHAPTER TWO  - INSTALLING INTEGRITY MASTER
  472.  
  473.     Special Quick install procedure
  474.     -------------------------------
  475.     Master to see how it meets your needs, we offer this short-cut
  476.     install procedure.  In contrast, the full install procedure is intended
  477.     to guard against unknown viruses already infecting your system or
  478.     an attack by a sophisticated user and is not necessary for an
  479.     evaluation under normal circumstances.
  480.  
  481.     Quick install:
  482.     --------------
  483.       Type "SETUPIM" and hit enter.  Answer all the questions
  484.       that SetupIM will ask.  SetupIM will prepare a customized full
  485.       install procedure for you and save it on a file.   Rather than
  486.       follow the full procedure just continue with this quick install.
  487.  
  488.     2) Simply copy your IM files, IM.EXE and IM.PRM, to a
  489.        convenient location.   ("COPY IM.* A:" would copy them to a
  490.        floppy)
  491.  
  492.     3) Enter the command: "IM /IE /Dc"  Substitute for "c", in the
  493.        "/Dc" parameter, the disk you wish to check.  That's it!
  494.  
  495.     To execute IM, just enter "IM".  The menus will guide you from there.
  496.  
  497.     Full Installation
  498.     -----------------
  499.     1) Make sure your Integrity Master files are located somewhere
  500.       other than drive A.  If they are on drive A, simply copy them to
  501.       your hard drive or a diskette which you can insert in one of the
  502.       other drives.  Here's an example of how to copy the IM files to
  503.       your hard drive from the diskette in drive A:
  504.  
  505.            C:           <ENTER>
  506.            CD \         <ENTER>
  507.            MD IMASTER   <ENTER>
  508.            CD IMASTER   <ENTER>
  509.            COPY A:*.*   <ENTER>
  510.  
  511.     2) Now begin the actual install process, type:
  512.  
  513.            SetupIM      <ENTER>
  514.  
  515.         Or, if you have an LCD display you may want to enter:
  516.  
  517.            SETUPIM /L    <ENTER>
  518.  
  519.     Integrity Master (tm)             -  12  -                 Version 1.23a
  520.  
  521.        If you have a two color display on a color adapter you may wish to try:
  522.  
  523.            SETUPIM /M
  524.  
  525.        for a more readable display. SetupIM automatically senses the
  526.        type of video adapter you are using but these two combinations
  527.        can fool it in some cases.
  528.  
  529.     3) SetupIM will guide your from there. SetupIM will provide you a
  530.        full tutorial on using Integrity Master menus and give you an
  531.        overview of how Integrity Master works.  SetupIM will then
  532.        analyze your needs and check out your hardware configuration.
  533.        SetupIM's Integrity Advisor(tm) component will customize IM's
  534.        options so that it will work best to meet your needs.  The
  535.        Integrity Advisor(tm) will also prepare a custom designed
  536.        procedure to finish the install and a plan for day to day use of
  537.        IM.  This is written to file IMPROC.TXT as well as being
  538.        displayed.  You can use your favorite utility to read
  539.        IMPROC.TXT or you can enter the command
  540.  
  541.            IMVIEW IMPROC.TXT
  542.  
  543.        to read it or the command
  544.  
  545.            IMPRINT IMPROC.TXT
  546.  
  547.        to print the file.
  548.  
  549.     Vital Files
  550.     -----------
  551.     Please check file README.DOC for a full list of files that come
  552.     with Integrity Master and what's important about each file.  To
  553.     read README.DOC, type: "IMVIEW README.DOC" and hit
  554.     ENTER.  If you don't have this file, then you have a bad copy of
  555.     Integrity Master.
  556.  
  557.     After you install Integrity Master, there will be only two files you
  558.     absolutely need to use Integrity Master:
  559.  
  560.     IM.EXE - Integrity Master itself
  561.     IM.PRM - The parameter file which controls how IM works
  562.            - This file is created by SETUPIM.EXE
  563.  
  564.     If you want to reinstall IM, or change advanced features of IM,
  565.     you will need:
  566.  
  567.     SETUPIM.EXE     The setup and install program (creates and updates IM.PRM)
  568.  
  569.     Integrity Master (tm)             -  13  -                 Version 1.23a
  570.  
  571.     When you install IM, SetupIM will create file:
  572.  
  573.     IMPROC.TXT Complete instructions to finish install and run IM
  574.     IM.PRM     The parameter file (all option settings are stored
  575.                here)
  576.  
  577.     SCREEN COLORS
  578.     -------------
  579.     IM normally automatically detects the type of video  adapter you
  580.     have and uses appropriate colors for your equipment.  There are
  581.     two things which can confuse IM:
  582.  
  583.     1) Some programs change the DOS video mode from color to
  584.        monochrome or vice-versa.  To correct this, just enter the
  585.        appropriate mode command (eg. "MODE CO80")
  586.  
  587.     2) Some equipment appears to have a different display than it
  588.        actually has, such as an LCD display on a laptop.
  589.  
  590.     If you find your display hard to read, you may want to override
  591.     IM's choice of video mode (colors).  The best way to do this is to
  592.     experiment by using the command line parameters to specify an
  593.     alternate set of colors.  Try each option and choose what looks the
  594.     most pleasing.
  595.  
  596.     Both IM and SetupIM accept these command line parameters:
  597.  
  598.     /L  - For liquid crystal displays (laptops)
  599.     /M  - Forces monochrome mode
  600.     /C  - Forces color mode
  601.     /A  - Forces automatic video detection mode (default).
  602.  
  603.     Example: "IM /M" will use colors appropriate for a monochrome
  604.     display even if the display appears to be of a color display.
  605.  
  606.     Once you've found the colors that work the best, it's usually best to
  607.     use SetupIM to select that video mode so that you don't have to
  608.     remember to enter the command line parameter.
  609.  
  610.  
  611.     Integrity Master (tm)             -  14  -                 Version 1.23a
  612.  
  613.  
  614.     Using Integrity Master Menus
  615.     ----------------------------
  616.  
  617.     Integrity Master (IM) and SetupIM both utilize an advanced menu
  618.     system.  When you first install using SetupIM, it will offer you  an
  619.     extensive guided tour of how these menus work.  This is the best
  620.     way to learn how to use the menus.  Within Integrity Master, just
  621.     hit F1 and select "Help using the menus" from the help menu for
  622.     assistance with using the menus.
  623.  
  624.  
  625.     On most menus you will see one option shown in a different color
  626.     (or underlined) than the other options.  The different color
  627.     (highlight) indicates that this is the selected line. You can use the
  628.     arrow (cursor) keys to select  the other options on the menu.  You
  629.     can also type a single capitalized letter in each menu option to
  630.     select that option.  On many menus an extended explanation
  631.     automatically appears as you select each option.  (To actually take
  632.     an action you must hit the enter key after selecting the option you
  633.     like).
  634.  
  635.  
  636.     Integrity Master (tm)             -  15  -                 Version 1.23a
  637.  
  638.     _________________________________________________________________________
  639.     Chapter Three - Running Integrity Master(TM)
  640.  
  641.     Integrity Master Screen Contents
  642.     --------------------------------
  643.     The top part of the Integrity Master screen tells you what options
  644.     are in effect and what IM is currently doing.  The menus appear
  645.     below this.  Be sure to go through the tutorial in SetupIM to learn
  646.     how to use the menus.  When IM is busy checking your files, the
  647.     report screen pops up and replaces the lower half of the screen
  648.     including the menu area.
  649.  
  650.     The best way to get familiar with the information presented to you
  651.     on the IM screen is by hitting the F1 (help) key and selecting the
  652.     "Explanation of the display".  This will give you a step by step
  653.     guided tour of IM's display.
  654.  
  655.     INITIALIZING INTEGRITY DATA
  656.     ---------------------------
  657.     Before you can check your disk, you must initialize the integrity
  658.     data which describes the disk.  You can use either the command
  659.     line parameter (/IE) or the initialize menu within IM.
  660.  
  661.      _|Initialize|__________________
  662.     | Entire disk integrity         |
  663.     | Files on current Disk         |
  664.     | Current and Lower directories |
  665.     | Current diRectory only        |
  666.     | Boot sector                   |
  667.     | Partition sector              |
  668.     |_______________________________|
  669.  
  670.  
  671.     From this menu, you create (initialize) the integrity data which
  672.     describes your files and system sectors.  While IM is initializing the
  673.     integrity data, it will (unless you turned virus checking off) check
  674.     for known viruses, and check for other indications of viruses or
  675.     system problems.  For the system (boot and partition) sectors, IM will
  676.     save reload information.  This enables you to restore your system
  677.     sectors (using the reLoad menu) if anything should ever infect or
  678.     damage them.  This reload data is written to files BOOT.SRL and
  679.     PART.SRL for the DOS boot and partition sectors respectively.  Be sure
  680.     to read the section in Part Two, Chapter One, which explains why system
  681.     sectors are important.
  682.  
  683.     When you first use IM, please select "Entire disk integrity"
  684.     initialize the integrity data for all files and system sectors (the boot
  685.     or partition sectors) which exist on the current disk.  IM will also
  686.  
  687.     Integrity Master (tm)             -  16  -                 Version 1.23a
  688.  
  689.     create the system sector reload files (BOOT.SRL and PART.SRL).
  690.     Be sure to save a copy of these files on diskette to help you recover
  691.     when your hard disk fails.  (Not all disks have both boot and
  692.     partition sectors).
  693.  
  694.  
  695.     The other options on this menu correspond to matching options on
  696.     the check menu.
  697.  
  698.     What is Integrity Data?
  699.     -----------------------
  700.     When IM checks a file, it uses each byte of the file in a calculation
  701.     to compute cryptographic signatures for that file.  A change to any
  702.     part of a file will result in a different signature.  These signatures
  703.     along with other significant information such as file size are what
  704.     we call integrity data.  There is one integrity data file built for each
  705.     directory on your disk.  These files are named ")(.ID"  and can be
  706.     stored with the files that they identify or stored on separate
  707.     diskettes.
  708.  
  709.     When you first install, SetupIM chooses, at random, one of over
  710.     two billion different algorithms to compute the cryptographic
  711.     signatures and also chooses a unique algorithm to encrypt your
  712.     integrity data files.
  713.  
  714.  
  715.     WHAT ARE CRYPTOGRAPHIC SIGNATURES?
  716.     ----------------------------------
  717.     Just as your signature uniquely identifies you, the cryptographic
  718.     signatures serve to identify the contents of each file.  If a virus or a
  719.     hardware problem changes a file, the signature computed for that
  720.     file will be different, although the file size and time and date
  721.     stamps may be the same. A change or the rearrangement of data in
  722.     a file will result in a different signature.  When you execute
  723.     SetupIM, it will randomly select one of over 2 billion different
  724.     algorithms for computing the cryptographic signatures.
  725.  
  726.  
  727.     The Check Menu
  728.     --------------
  729.     From the check menu, you can check files or system sectors for
  730.     changes.  Use the up and down arrow keys to select the type of
  731.     checking you'd like to do. You may choose to check only specific
  732.     things on your disk, such as the system sectors or individual files,
  733.     or you could check everything on the entire disk.  Any added,
  734.     deleted or changed files will be reported, as well as any signs of
  735.     viruses or other known problems.  If integrity checking is on, IM
  736.     will read the files and check for any changes.  Use the options
  737.     menu to control whether full integrity checking is on and the type
  738.     of files to check.  The fourth line at the top of the screen shows the
  739.  
  740.     Integrity Master (tm)             -  17  -                 Version 1.23a
  741.     current status of integrity checking including the type of files to be
  742.     checked.  If you see: "Integrity check: On", this indicates that full
  743.     checking will be done on all files.
  744.  
  745.     The check menu looks like this:
  746.  
  747.      ___________|Check|_____________
  748.     | Entire disk integrity         |
  749.     | Files on current Disk         |
  750.     | Current and Lower directories |
  751.     | Current diRectory only        |
  752.     | Specific file(s)              |
  753.     | Boot sector                   |
  754.     | Partition sector              |
  755.     | Disk for known Viruses        |
  756.     |_______________________________|
  757.  
  758.  
  759.     Entire disk integrity
  760.     ---------------------
  761.       Selecting this option and hitting the ENTER key will check any
  762.       system sectors (the boot or partition sectors) which exist on the
  763.       current disk for changes and then check all files in all
  764.       directories.
  765.  
  766.     Files on current Disk
  767.     ---------------------
  768.       Selecting this option and hitting the ENTER key will check only
  769.       files on the current disk.  System sectors will not be checked.
  770.  
  771.     Current and Lower directories
  772.     -----------------------------
  773.       Selecting this option and hitting the ENTER key will check
  774.       files in the current directory and any files in any directories
  775.       which are defined descendant from the current directory.  If the
  776.       current directory happens to be the root directory (eg. C:\) then
  777.       all files on that disk will be checked since all other directories
  778.       are descendent from the root directory.  Another example: if
  779.       you're in directory \DOS, directories such as \DOS\A,
  780.       \DOS\UTILS or \DOS\A\B  would be checked in addition to
  781.       \DOS.
  782.  
  783.     Current diRectory only
  784.     ----------------------
  785.       Selecting this option and hitting the ENTER key will check only
  786.       files in the current directory.
  787.  
  788.     Specific file(s)
  789.     ----------------
  790.       Selecting this option and hitting the ENTER key allows you to
  791.       enter the name of a specific file to check.
  792.  
  793.  
  794.     Integrity Master (tm)             -  18  -                 Version 1.23a
  795.  
  796.     Boot sector
  797.     -----------
  798.       Selecting this option and hitting the ENTER key will read the
  799.       DOS boot sector and check it for any changes.  Please see the
  800.       explanation of system sectors later in this guide.
  801.  
  802.     Partition sector
  803.     ----------------
  804.       Selecting this option and hitting the ENTER key will read the
  805.       partition sector (also known as the master boot record) and
  806.       check it for any changes.  Please see the explanation of system
  807.       sectors later in this guide.
  808.  
  809.     Disk for known Viruses
  810.     ----------------------
  811.       The option to check "Disk for known Viruses" is intended only
  812.       for one time quick scans of a disk or to do checks of all files (not
  813.       just those identified as executable files) for known viruses.
  814.       Checking all types of files acts as a double check if IM detects
  815.       an existing virus.  This is suggested since it's possible that you
  816.       may have a program somewhere which uses a file with a
  817.       nonstandard extension to store executable code (eg. overlays).  If
  818.       you are aware of a program which uses extensions which IM
  819.       does not recognize as executable, then you may wish to use the
  820.       advanced menu in SetupIM to add this extension to the list which
  821.       IM recognizes. The virus scanning option is NOT needed other
  822.       than these special cases, since IM automatically checks for
  823.       viruses during its normal processing.
  824.  
  825.  
  826.     IMPORTANT REMINDERS BEFORE CHECKING:
  827.     ------------------------------------
  828.     o Before using IM, be sure you've run SetupIM (new install) and
  829.       followed the directions provided for you in file IMPROC.TXT.
  830.  
  831.     o Before checking your files run an "Entire disk integrity"
  832.       initialize.
  833.  
  834.     o For protection against previously unknown viruses, be sure you
  835.       cold boot from a write protected floppy before checking.
  836.  
  837.  
  838.     The Report File
  839.     ---------------
  840.     In addition to seeing a report of IM's findings on screen, you may
  841.     wish to save a report on disk or on paper.  The options menu, in
  842.     both IM and SetupIM, allows you to set the type of report (if any)
  843.     IM will create.  We recommend you allow IM to write its findings
  844.     to an "auto-named" disk file.  By saving these report files, you can
  845.     determine what changed last April 1st or when you last changed a
  846.     particular file.  Each time you use IM, IM's findings will be
  847.     written to the end of the report file for that day.  For example, on
  848.     June 1st, 1992 the report would be on file ")(0601.REP".  By
  849.     saving the report files you have a complete change history for your
  850.     PC.  If you ever want to find out what happened to a file, the full
  851.     history will be available.  If you wish to keep more than one year
  852.     of history on-line, try copying all the report files (COPY *.REP) to
  853.     another disk or subdirectory.
  854.  
  855.     Integrity Master (tm)             -  19  -                 Version 1.23a
  856.  
  857.     If you choose an "auto-named" report file, you can specify that the
  858.     file be placed in the root directory of whatever disk is being
  859.     checked or you may choose to place it on a specific disk of your
  860.     choice.  You can also give the report file absolutely any name you
  861.     wish.  If you choose a specific filename, you may include the disk
  862.     and directory as part of the filename.  If you do not specify a disk
  863.     or directory for the filename, then this file will be created in the
  864.     current directory at the time you execute IM.
  865.  
  866.     If you elect printed output, IM will ask you to choose LPT1, 2,  or
  867.     3.  If this does not work with your printer, you may also print by
  868.     asking IM to write the report to a specific file name such as "PRN"
  869.     (the printer).  If you use "PRN", you will get less sophisticated
  870.     error handling and messages since DOS drives the printer rather
  871.     than IM.
  872.  
  873.  
  874.     System Sectors
  875.     --------------
  876.     System sectors are special areas on your disk containing programs
  877.     that are executed when you boot your computer.  These sectors are
  878.     invisible to normal programs but are vital for correct operation of
  879.     your PC.  They are a common target for viruses.  Please read the
  880.     detailed description of Boot and Partition sectors in Chapter one of
  881.     PART TWO Data Integrity and Viruses.
  882.  
  883.  
  884.     Reloading
  885.     ---------
  886.     From the ReLoad menu, you may reload your DOS boot sector or
  887.     your partition sector (master boot record), in the event that they
  888.     have become damaged or infected with a virus.  The "reload
  889.     Missing partition" option must be used if you have a disk so badly
  890.     damaged that DOS will not recognize that the disk exists. You will
  891.     then be prompted to identify the disk on which to reload. You can
  892.     identify it either by the logical disk letter (A-Z) or by the physical
  893.     device number (0 for the first physical hard drive, 1 for the second
  894.     and so on).  If the disk you are about to reload is not the same disk
  895.     from which the reload data was saved, you will be warned, but
  896.     allowed to go ahead with the reload of the partition sector if you
  897.     wish.
  898.  
  899.     IM will look for the sector reload files on the disk containing your
  900.     integrity data, or the disk being reloaded.  If it doesn't find the
  901.     sector reload files (*.SRL) there, it will start looking in the root
  902.     directories of your other disks and finally also look in your
  903.     current directory.
  904.  
  905.     You can take advantage of this if you need to reload the boot sector
  906.     of multiple floppy diskettes:
  907.  
  908.     o) Locate a clean diskette of the type which is infected
  909.  
  910.     o) Initialize integrity data for the boot sector of that floppy.
  911.  
  912.     o) Make sure that the BOOT.SRL file you just created is the only one
  913.        IM can find.  (Temporarily move any other .SRL files)
  914.  
  915.     o Turn the report file off
  916.  
  917.     o Change to the drive containing an infected floppy (Commands menu).
  918.  
  919.     o Tell IM to reload the boot sector.
  920.  
  921.     o Insert and another diskette and keep reloading. IM will locate the
  922.       BOOT.SRL file on one of your other disks and reload the sectors on
  923.       each floppy diskette.
  924.  
  925.     You can quickly clean numerous floppies this way.
  926.  
  927.    Integrity Master (tm)             -  20  -                 Version 1.23a
  928.  
  929.     The Commands Menu
  930.     -----------------
  931.     You can reach the "coMmands menu" by hitting "M" or ALT/M from any of the
  932.     other primary IM menus.
  933.                              |CoMmands|
  934.       _______________________|        |__
  935.      |  Temporarily Shell out to DOS     |
  936.      |  Quit - exit the Integrity Master |
  937.      |  Disk change                      |
  938.      |  DiRectory change                 |
  939.      |  Uninstall - delete integrity data|
  940.      |___________________________________|
  941.  
  942.     You'll mostly use this menu to change the current disk or directory.
  943.     (You can also use the "/D" command line option to change to one or more
  944.     other disks.)  "Shell out to DOS" allows you to exit IM to the DOS
  945.     prompt, but leaves Integrity Master loaded in memory so you can quickly
  946.     return by using the Exit command. Shelling allows you to exit IM, and
  947.     execute most other programs at the DOS prompt (such as copying files or
  948.     formatting disks).  If you have integrity data (*.ID files) in each
  949.     directory of your hard disk, you can quickly delete these files by
  950.     selecting Uninstall.
  951.  
  952.     Ending (Quitting)
  953.     -----------------
  954.     In addition to using the "Quit - exit the Integrity Master" option on
  955.     the coMmands menu, you can use the ESCape and Alt/X keys to terminate
  956.     IM from any point.  The ESCape key allows you to terminate most IM
  957.     menus without taking any action and return to the prior menu.  The only
  958.     exceptions to this are menus which require a response one way or the
  959.     other.  These are usually the result of a detected error of some type.
  960.     If you hit ESCape enough times you will be asked if you really want to
  961.     quit.  You must select "Yes" and hit enter, to exit.  The fastest way
  962.     to exit IM, is by hitting ALT/X (hold the ALTernate key down and hit
  963.     the "X" key). This allows you to quickly exit without the final "Do you
  964.     really want to quit?" prompt.
  965.  
  966.     The Statistics Summary
  967.     ----------------------
  968.     Whenever you finish checking files, IM will show you a summary of its
  969.     findings.  Since the summary contains a time and date stamp, you can use
  970.     the report file as a chronological log of all changes on your PC even if
  971.     you have it going to the printer.  The summary shows statistics for all
  972.     file changes as well as system sector and memory checking.  IM reports the
  973.     number of times it checked a file's integrity data against the DOS
  974.     directory information, as "files processed". It also reports a separate
  975.     count of the number of files actually read and checked.  The statistics
  976.     (with the exception of the memory check results) are reset every time IM
  977.     displays the summary statistics. This means that on subsequent file
  978.     checks, the system sectors will be indicated as "Not checked" even though
  979.     they were indicated as checked on the prior display. Why is this?   IM
  980.     does this because some disks are removable and disk X may suddenly be a
  981.     different disk.  IM shows the statistics for any viruses, suspicious
  982.     files, or system corruption (which in this case includes file open and
  983.     read errors) in red.
  984.    Integrity Master  (tm)              -  21  -               Version 1.23a
  985.  
  986.     Viruses - What Are They?
  987.     ------------------------
  988.     Viruses are but one of many threats to your data.  You are far less
  989.     likely to be hurt by a virus than the other causes of data damage
  990.     such as software conflicts, and general glitches of various types.
  991.  
  992.     Viruses are programs which attach themselves to other programs
  993.     in such a way that when the other program is executed, the virus
  994.     code will also execute.  The infected program usually appears to
  995.     execute normally but the virus may be attaching itself to additional
  996.     programs each time the infected program runs.  Many viruses are
  997.  
  998.     triggered by some event (such as a particular time or date) into an
  999.     attack phase, resulting in anything from music to serious file
  1000.     damage.  Viruses often wait a long time before attacking; their goal
  1001.     is to spread as far as possible before revealing their presence.
  1002.     Some viruses go resident in your PC's memory, taking over your
  1003.     PC.  This enables them to infect at will and elude detection at-
  1004.     tempts.
  1005.  
  1006.     A virus may attach itself to programs in two ways that many people
  1007.     are not aware of.  The first way is to infect the programs which are
  1008.     in the system (boot and partition) sectors of your PC.  The second
  1009.     way is by changing system information on your PC in such a way
  1010.     that the virus code is executed before the intended program. The
  1011.     most obvious way this is done depends on the fact that if both
  1012.     a .COM and .EXE file have the same name, DOS will execute
  1013.     the .COM file instead of the .EXE file.  These viruses locate .EXE
  1014.     files and then plant themselves as .COM files of the same name.
  1015.     The virus (the .COM file) can execute, spread further, and then
  1016.     run the .EXE program so that everything appears normal. (Don't
  1017.     worry; IM detects all types of viruses!)  Please read PART TWO
  1018.     Data Integrity and Viruses to learn more about viruses.
  1019.  
  1020.  
  1021.     Virus Checking Procedure
  1022.     ------------------------
  1023.     When you install Integrity Master using SETUPIM, the Integrity
  1024.     Advisor will prepare a complete procedure for running IM.  If you
  1025.     indicated that you wanted to detect viruses, then this procedure
  1026.     would include the steps you need to check for viruses.  This step
  1027.     by step procedure is customized to your own preferences, so look
  1028.     there first (file IMPROC.TXT).
  1029.  
  1030.     To be certain of detecting even unknown viruses it is vital to cold
  1031.     boot from your write protected floppy containing IM, before
  1032.     checking for viruses.  Do NOT use Ctrl/Alt/Del to boot, but turn
  1033.     your PC off and then on.  Some PCs have a reset button which will
  1034.     force a cold boot.
  1035.  
  1036.     Whenever you engage in any activity which changes or rearranges
  1037.     a lot of files, run at least a "Quick integrity update", so that your
  1038.     integrity data accurately reflects the status of your PC.  Use the
  1039.     options menu to change the type of integrity checking.
  1040.  
  1041.     o With Integrity "CHECK ON", do a full integrity check (rather
  1042.       than a "quick update") of all files at least once a month to detect
  1043.       any unexpected changes.
  1044.     Integrity Master (tm)             -  22  -                 Version 1.23a
  1045.  
  1046.     o If your work exposes you to programs which may be infected
  1047.       with viruses, do a daily full check of your disk for any
  1048.       unauthorized changes.  To save time, use the options menu to
  1049.       limit checking to executable programs.  Check at least the current
  1050.       directory if you have executed any new or "strange" programs.
  1051.  
  1052.     o After installing any new software, IMMEDIATELY run IM to
  1053.       initialize the integrity data for the new files you have created.  Be
  1054.       sure that you save a write protected disk containing a copy of the
  1055.       software.  It is vital, that you do this before you start to use the
  1056.       software.
  1057.  
  1058.     o It is critical to do extra checking any time you copy programs
  1059.       (eg. *.EXE or *.COM files).  When you copy programs, be sure
  1060.       to copy your integrity data also.  For example, if you are doing
  1061.       something like a "COPY *.EXE  D:\DOS", then also enter a
  1062.       "COPY *.ID  D:\DOS" command.  This copies the integrity
  1063.       data along with the programs.  If you simply copy all files
  1064.       (COPY *.*), then you won't have to worry; the integrity data
  1065.       will automatically be copied along with the programs.
  1066.       Afterwards, run IM to check that the files were copied without
  1067.       damage or virus infection.  Naturally, any files that weren't
  1068.       copied will be reported as deleted when you run this check.
  1069.  
  1070.  
  1071.     Scanning for viruses
  1072.     --------------------
  1073.     If you wish to quickly scan a disk for known viruses:
  1074.  
  1075.     o Use the options menu and set the "Files to iNitialize" option  to
  1076.       "Executable programs."
  1077.  
  1078.     o Use the initialize menu to initialize "Entire disk integrity".
  1079.       Remember that virus scanning is a limited technology and  will
  1080.       detect only viruses known at the time this program was written.
  1081.       As with any scan program, you should have the latest version if
  1082.       you intend to rely upon scanning for serious protection.
  1083.  
  1084.     The option to check "Disk for known Viruses" on the check menu
  1085.     will  allow you to do a one time quick scan (check) for viruses.  If
  1086.     you intend to check this disk more than once, it's far better to do
  1087.     an initialize we as we just suggested above.
  1088.  
  1089.  
  1090.     Detecting Viruses
  1091.     -----------------
  1092.     o Make sure that you specified that you wanted virus protection
  1093.       when you installed IM.  If you didn't, then run SetupIM and
  1094.       select "Reinstall".
  1095.  
  1096.     o Make sure you carefully followed SetupIM's instructions in
  1097.       IMPROC.TXT.
  1098.  
  1099.  
  1100.     Integrity Master (tm)             -  23  -                 Version 1.23a
  1101.  
  1102.     o If a virus is found on your PC, IM will almost always recognize
  1103.       it by name and explain how to remove it.  IM will also advise if
  1104.       viral signs are present on changes that don't match known
  1105.       viruses.
  1106.  
  1107.     o Whenever IM reports a change to an executable program, it's
  1108.       important to determine the cause.  Some programs modify
  1109.       themselves when you change their options; some programs
  1110.       change themselves every time they run.  Changes to executable
  1111.       programs are indicated in red on the report screen and are
  1112.       bracketed by "...." to make these changes obvious.
  1113.  
  1114.     o If only a single program has changed and IM does not indicate
  1115.       this to be corruption, then you probably do NOT have a virus.  If
  1116.       you have any doubt that a program change may be a virus, be
  1117.       very careful and run full checks with IM after executing this
  1118.       program. (Cold boot (power off and on) from a floppy before
  1119.       running IM)  Any program changes detected at this point indicate
  1120.       a virus.  Please report this (see file VIRREP.DOC for complete
  1121.       details).
  1122.  
  1123.     o For speed, use the options menu to limit checking to executable
  1124.       files.
  1125.  
  1126.     Detecting Unknown (new) viruses
  1127.     -------------------------------
  1128.     IM has the capability to detect infection by an unknown (new) virus
  1129.     as well as the ability to identify known viruses and their
  1130.     characteristics.  If IM detects an unknown virus, it clearly can't
  1131.     provide the detailed information that it provides when it detects a
  1132.     known virus.  Because of some of the generic detection techniques
  1133.     used in IM, there's actually a good chance that it will in fact
  1134.     identify and describe a new virus.  How is this possible?  This is
  1135.     only possible if the virus is not totally new but a modification of an
  1136.     existing virus.  In this case IM may identify the "new" virus as a
  1137.     virus it knows about because the new virus was created by
  1138.     someone who modified the old virus to create a new one.  IM
  1139.     notices the code from the old virus still present in the new virus
  1140.     and identifies it in this way.
  1141.  
  1142.     What about totally new viruses?   These are a little more work to
  1143.     identify.  In this case, IM will inform you that it has detected a
  1144.     change in a file or a system sector, but won't announce that a virus
  1145.     is present (unless it's similar to a known virus).
  1146.     How do we determine whether a virus is responsible for the
  1147.     detected change?  Consider the following factors:
  1148.  
  1149.     Integrity Master (tm)             -  24  -                 Version 1.23a
  1150.  
  1151.     o Has IM identified virus like symptoms with this change?  Such
  1152.       symptoms include an unusual value in the DOS time or date
  1153.       stamp, and file corruption detected (no change to the time and
  1154.       date stamp but a change to the file).
  1155.  
  1156.     o Are numerous unrelated executable files changed?
  1157.  
  1158.     If the answer to one or both of these questions is "yes" then it's
  1159.     time to do some more checking to see if it's really a virus.  Please
  1160.     read the section on Virus Signs and Playing Detective in  Part two
  1161.     Data Integrity and Viruses.  Following these procedures will let
  1162.     you determine if you have encountered a brand new virus (lucky
  1163.     you!).  If you have encountered a virus, or you are not sure, please
  1164.     contact us; see file VIRREP.DOC for details on reporting viruses.
  1165.  
  1166.     The Integrity Master Virus Report
  1167.     ---------------------------------
  1168.     When IM detects a known virus it will present at least one full
  1169.     screen of information.  IM stops and waits for you to hit a key.
  1170.     We consider viruses so serious that we don't offer any way for IM
  1171.     to go on checking after it has detected a virus without you
  1172.     acknowledging that you've seen the screen.  The virus report
  1173.     screen gives you the following information:
  1174.  
  1175.     o The name of the virus.  This is usually the name that virus
  1176.       researchers in the United States use most often.  This name
  1177.       corresponds to an entry in file VTEXT.DOC.  Many viruses
  1178.       have been built as modifications to existing viruses. By
  1179.       identifying common (hard to change) code elements in the base
  1180.       virus, IM can identify multiple viruses by spotting their common
  1181.       characteristic.  This means for example that if IM reports the
  1182.       Jerusalem virus, it could also be the Anarkia, Anarkia-B or the
  1183.       Payday virus. Since viruses go by many names, alternate names
  1184.       for the same virus are listed in this table too.
  1185.  
  1186.     o The type of files or system sectors infected by this virus is listed.
  1187.  
  1188.     o If the virus is known to seriously interfere with normal operation
  1189.       of your PC, this is mentioned.  Displaying messages, bouncing
  1190.       balls and playing music is not considered to be serious
  1191.       interference.  Slowing execution of your PC or halting the system
  1192.       ARE considered serious.
  1193.  
  1194.     o If the virus is known to either deliberately or inadvertently
  1195.       damage data on your disk, this is mentioned.  Beware, though,
  1196.       harmless viruses are all too often being modified to become
  1197.       dangerous. An example of this is the Cascade virus (letters
  1198.  
  1199.     Integrity Master (tm)             -  25  -                 Version 1.23a
  1200.  
  1201.       cascade down on your screen when this virus activates).  The first
  1202.       version of this virus was harmless but someone created a variant
  1203.       which will format your disk.  In this case, IM makes a special
  1204.       check for the dangerous variant of the virus and warns you if it's
  1205.       detected.  In spite of this, please, NEVER assume that a virus is
  1206.       harmless.  If we don't mention that a virus is known to damage
  1207.       files, it means only that no one has reported damage from this
  1208.       virus.  Be careful; you may have a variant of the virus that might
  1209.       very well be dangerous!
  1210.  
  1211.     o Step by step removal instructions are presented for the virus.
  1212.  
  1213.     Sometimes IM presents additional screens describing necessary or
  1214.     suggested actions.  This is true if the virus is detected in memory.
  1215.     When IM first starts, it checks the memory of the PC for presence
  1216.     of known viruses (unless you deactivate this check using SetupIM
  1217.     or the "/B" (bypass) command line parameter); if a virus is
  1218.     detected you are asked to immediately cold boot your PC.
  1219.     Checking further at this point could be very dangerous since it
  1220.     might spread the virus.  Other special viruses such as companion
  1221.     or cluster viruses (see PART TWO for details) will generate an
  1222.     extra screen identifying that specific virus and mentioning alternate
  1223.     ways to remove the virus.
  1224.  
  1225.     False Alarms
  1226.     ------------
  1227.     If IM announces detection of a known virus, could this be a false
  1228.     alarm (Not really a virus)?  If IM has checked this file before or if
  1229.     more than one file was found infected, then it is almost certainly a
  1230.     REAL VIRUS!  If this is the first time IM has checked this file and
  1231.     if only one file is found infected after checking your entire disk,
  1232.     then it may be a false alarm.  Although it is very unlikely, it IS
  1233.     possible that a legitimate program could contain code that matches
  1234.     a virus.  IF YOU THINK YOU HAVE A FALSE ALARM, PLEASE NOTIFY STILLER
  1235.     RESEARCH.   WE WILL DETERMINE IF A VIRUS IS PRESENT; IF IT IS A FALSE
  1236.     ALARM, WE WILL, IF POSSIBLE, SEND A CORRECTED VERSION OF IM.
  1237.  
  1238.     Some anti-virus programs contain unencrypted virus fragments
  1239.     which IM may detect.  It's usually safe to assume these programs
  1240.     are not infected.  Some of these programs also leave virus
  1241.     fragments in memory which IM may then detect and announce as a
  1242.     memory resident virus.  Please do not take any chances in such a
  1243.     case and follow IM's instructions to cold boot even though it's
  1244.     likely to be a false alarm.
  1245.  
  1246.     If you have just read an infected disk or a file, there is a chance
  1247.     that IM may detect a piece of this file in memory and announce a
  1248.     resident virus when one really isn't resident.  In such cases it's best
  1249.     to play it safe and cold boot from a write-protect diskette.
  1250.  
  1251.     Integrity Master (tm)             -  26  -                 Version 1.23a
  1252.  
  1253.     Destroying Viruses
  1254.     ------------------
  1255.     If IM detects a known virus, it will display the steps to remove the
  1256.     virus.
  1257.  
  1258.     If IM detects program or system sector changes which may be due
  1259.     to a virus, please follow these steps:
  1260.  
  1261.     o Save at least one infected diskette or file and report this to us so
  1262.       that we can update IM to recognize this virus and hopefully track
  1263.       down its source!  See file VIRREP.DOC for complete details.
  1264.  
  1265.     o Cold boot your PC (power off and on) from a write protected
  1266.       floppy disk.
  1267.  
  1268.     o Run an "Entire disk integrity" check, noting any changed
  1269.       programs or other possible damage by the virus.
  1270.  
  1271.     o Delete any infected programs.
  1272.  
  1273.     o Reload your system sectors if they were damaged.
  1274.  
  1275.     o Restore any damaged files or programs from the original
  1276.       diskettes if possible.
  1277.  
  1278.     o Very carefully, check any floppies you've used.
  1279.  
  1280.     o Run an "Entire disk integrity" check daily for a while.
  1281.  
  1282.  
  1283.     Data Corruption
  1284.     ---------------
  1285.     If a program changes a file by normal means, the file's time and
  1286.     date stamp will be updated to reflect this change.  On the other
  1287.     hand, if a virus or a hardware or software problem causes a file to
  1288.     be changed, there is often no change to file's time and date stamps.
  1289.     IM calls this file corruption and raises a special alarm if it detects
  1290.     this.  If you find, a corrupted file, the odds are it's NOT a virus.
  1291.     The most likely cause of corrupted files are software conflicts.
  1292.     The next most common cause is hardware problems.  In any case,
  1293.     if you have a corrupted file, it's absolutely vital you determine
  1294.     what the likely cause is.  In Part Two - Data Integrity and
  1295.     Viruses", we have a chapter titled Determining the Cause of Data
  1296.     Corruption.  Please read that chapter very carefully when (not if!)
  1297.     you detect a corrupted file. The next section describes using IM
  1298.     when you are having suspected disk hardware problems.
  1299.  
  1300.     Integrity Master (tm)             -  27  -                 Version 1.23a
  1301.  
  1302.     Integrity Master and Disk Problems
  1303.     ----------------------------------
  1304.     It's an unfortunate fact of life that all disk drives will eventually
  1305.     fail; sometimes at the worst possible moment!  Before disk drives
  1306.     totally fail, they usually start exhibiting signs of problems, such as
  1307.     inability to reliably read and write certain areas on the disk.
  1308.     Unfortunately, these failures tend to be intermittent. The result may
  1309.     be that you have damaged files, but when you run your disk
  1310.     diagnostic software, no problems are found.  By using IM to do
  1311.     periodic full checks, you can detect these problems when they first
  1312.     begin and prevent more major disk problems, such as total failure,
  1313.     from taking you by surprise.  If you have an MFM, RLL, or ESDI
  1314.     type of disk drive you may be able to extend it's life slightly by
  1315.     doing a low level format, or using a product such as Steve
  1316.     Gibson's SpinRite(R) which can do a non-destructive low level
  1317.     format.  The key here is to detect disk problems early before any
  1318.     serious damage is done.
  1319.  
  1320.     IM replaces the DOS critical error handler with its own more
  1321.     advanced routine.  If a disk error occurs, you will see a warning
  1322.     screen explaining what has happened, rather than the dreaded
  1323.     "Abort retry or fail" message that DOS provides.  IM may also
  1324.     present a menu offering you additional options (depending upon the
  1325.     type of error and the circumstances) such as repeating (retrying)
  1326.     the operation.
  1327.  
  1328.     If an error occurs while IM is checking files, it will report either
  1329.     "Read fail" or "Open fail" in place of the normal signature data on
  1330.     its report:
  1331.                       Name and    Signature     File     Update   Update
  1332.     Status: Type:     Extension:  Val1: Val2:   Size:    Date:    Time:
  1333.     ------- --------  ----------   ---- ---- ---------- -------- --------
  1334.     Added   File      NORMAL   EXE 0D83 4E93       2048 11/05/91 14:00:56
  1335.     Added   File      DISKERR  EXE Read fail     140792 11/05/91 14:01:02
  1336.     Added   File      CANTOPN  FIL Open fail        123 10/05/90 10:11:20
  1337.  
  1338.  
  1339.     In addition to "Read fail" or "Open fail" appearing in the IM
  1340.     report, additional information regarding the type of error will also
  1341.     appear and be recorded in the report file (or printout) as well in the
  1342.     on screen report.
  1343.  
  1344.     Whenever IM encounters an error reading a file, it  will NOT
  1345.     replace the original integrity data with the current (in error) data.
  1346.     This means that if you have a read error on a file, and you either
  1347.     "fix" the file using some utility or restore the file from a backup,
  1348.     you can then run a check on that file and know whether or not your
  1349.     file is correctly restored.
  1350.  
  1351.     Integrity Master (tm)             -  28  -                 Version 1.23a
  1352.  
  1353.     If you run IM in an environment where more than one program can
  1354.     have a file open, you may get an "Open fail" or I/O error due to another
  1355.     program having this file open.  This can happen on networks, with
  1356.     OS/2, or with windows.  Do avoid these messages try the "/NE" parameter.
  1357.  
  1358.     Integrity Master for PC Security
  1359.     --------------------------------
  1360.     Although there are no 100 percent reliable techniques to prevent
  1361.     someone from making unauthorized changes to your data while you
  1362.     are away, IM does offer a 100 percent reliable way of detecting
  1363.     these changes.
  1364.  
  1365.     If you indicate security is important, when you first execute
  1366.     SetupIM, its Integrity Advisor will make recommendations on how
  1367.     to use IM to get the level of protection you need.  It saves these
  1368.     recommendations on file IMPROC.TXT.  By storing your integrity
  1369.     data on diskettes and keeping these diskettes in a safe location, you
  1370.     can detect any changes which were made on your PC. This should
  1371.     provide you protection even against a user who understands how
  1372.     IM works and is technically adept. For most situations this is
  1373.     probably overkill!
  1374.  
  1375.     Keeping the integrity data on diskette may provide more protection
  1376.     than you need.  Simply keeping your parameter file (IM.PRM) on a
  1377.     diskette will provide a very high level of protection.  Since a user
  1378.     breaking into your PC will not be able to tell how the integrity data
  1379.     is computed, this user will not be able to change a file and then
  1380.     adjust the integrity data to hide the changes, even if they have a
  1381.     copy of the IM program.  This provides almost as much protection
  1382.     as keeping the integrity data on diskettes.
  1383.  
  1384.     If you keep the parameter file on the same disk with the files you
  1385.     check, it's possible that someone could modify your files and then
  1386.     run IM to update the integrity data, in this way covering their
  1387.     tracks. This person would obviously have to have enough
  1388.     knowledge about your PC to know that you use IM.  If you'd like
  1389.     to keep your parameter file on the diskette with your files you can
  1390.     still achieve a high degree of security by renaming IM.PRM to
  1391.     some other name and locating it in an unlikely directory.  When
  1392.     you invoke IM you will have to specify the name of the directory
  1393.     and the new name for the parameter file.  For example, the
  1394.     command: "IM D:\DOS\UTILS\BORING.DAT" will read file
  1395.     BORING.DAT from directory \DOS\UTILS on disk D.
  1396.  
  1397.  
  1398.     Integrity Master (tm)             -  29  -                 Version 1.23a
  1399.  
  1400.     Integrity Master for Change Control
  1401.     -----------------------------------
  1402.     To use IM for change management, you really don't  need to use
  1403.     integrity checking.  Simply running IM, in "Quick Update" mode,
  1404.     (which does not actually read files unless the DOS time/date stamp
  1405.     or file size have changed), is adequate to provide change
  1406.     management.  "Quick update" mode only requires about 10
  1407.     seconds to check about 270 megabytes (8000 files).  To keep a full
  1408.     record of what has changed on your PC, we recommend you use
  1409.     "auto-named" report files and that you keep all your report files.
  1410.     At the end of the year, you may wish to copy all the old report files
  1411.     into a directory for that year.  For example, on January 1st, 1993:
  1412.  
  1413.     CD \
  1414.     MD REP93
  1415.     COPY *.REP \REP93
  1416.     DEL *.REP
  1417.  
  1418.     This creates a directory called "\REP93", copies all report files to
  1419.     that directory and then deletes the old report files.
  1420.  
  1421.     By following this procedure you have a complete record of all
  1422.     changes on your PC.  If you want to know when a particular file
  1423.     last changed, it's easy to search through the report files for that
  1424.     filename.  If you want to know where all your disk space is going,
  1425.     you can easily see what is being added.
  1426.  
  1427.     Integrity Master (tm)             -  30  -                 Version 1.23a
  1428.  
  1429.     C o m m a n d   L i n e   E x e c u t i o n
  1430.     -------------------------------------------
  1431.     Integrity Master is really designed to work by use of its menus. However
  1432.     most functions can be automatically invoked from the command line to
  1433.     allow you to start IM from batch files.
  1434.  
  1435.  Syntax:  IM [Filespec] [/A] [/B] [/C] [/Cx] [/Dxyz] [/H] [/Ix] [/L] [/N] [/M]
  1436.    =============================================================================
  1437.   FileSpec specifies the name of the parameter file to be used.  The disk
  1438.          and directory path should be specified as part of the filespec.
  1439.          For example: use "IM C:\dos\NEW.PRM" rather than "IM NEW.PRM".
  1440.    -----------------------------------------------------------------------------
  1441.   "/Dxyz" change to disk "x", process and then change to disk "y" etc.
  1442.         If used with more than one disk, this should be used with one of the
  1443.         "/Ix" or "/Cx" parameters.
  1444.  
  1445.   "/N"   Nonstop: the same as setting "Halt" to "Serious problems"  on the
  1446.          Options menu.  IM will stop only on viruses or serious problems.
  1447.   "/NE"  Stop on Emergencies only.  This almost never stops.
  1448.  
  1449.   "/B"  bypass memory check
  1450.    -----------------------------------------------------------------------------
  1451.    /Cx values: do type "x" integrity check and then quit:
  1452.     "/CE"  Check Entire disk integrity.      "/CB"  Check boot sector.
  1453.     "/CD"  Check all files on DOS disk.      "/CP"  Check partition sector.
  1454.     "/CR"  Check files in this diRectory.    "/CF=filespec" Check this one file.
  1455.    -----------------------------------------------------------------------------
  1456.    /Ix values: do type "x" integrity initialize and then quit:
  1457.     "/IE"  Init Entire disk integrity.       "/IB"  Init Boot sector.
  1458.     "/ID"  Init all files on DOS Disk.       "/IP"  Init Partition sector.
  1459.     "/IR"  Init files in this diRectory.
  1460.    -----------------------------------------------------------------------------
  1461.    /Rx values will reload one of the system sectors on the current disk and quit
  1462.     "/RP"  Reload Partition sector           "/RB"  Reload DOS Boot sector
  1463.    -----------------------------------------------------------------------------
  1464.    /Vx options scan system sectors and files for signs of known viruses:
  1465.  
  1466.     "/VA"  Check ALL files on a disk (not just executables).
  1467.     "/VO"  One time quick screening of programs on current disk.
  1468.     "/VR"  One time quick screening of programs in current directory.
  1469.  
  1470.   (REMINDER: Scanning by itself is not sufficient protection against viruses!)
  1471.    -----------------------------------------------------------------------------
  1472.    The following may be used to override video mode selected during install:
  1473.     "/A"   Auto adjust of video mode.        "/L"   Use colors for LCD displays.
  1474.     "/C"   Force use of full color mode.     "/M"   Use monochrome colors.
  1475.  
  1476.     Ordinarily, you don't need ANY parameters. Just enter: "IM".  IM
  1477.     is menu driven with lots of on-line help.  The command line
  1478.     parameters are intended for automatic unattended integrity
  1479.     checking.  If you don't have "HALT" set to "None" (on the options
  1480.     menu), use "/N" to avoid pausing for input.  If you wish to have
  1481.     IM automatically locate your parameter file, DO NOT specify it on
  1482.     the command line.  If you specify it on the command line,you must
  1483.     include the drive and directory where it is located, if it is not in the
  1484.     current directory.
  1485.  
  1486.     Integrity Master (tm)             -  31  -                 Version 1.23a
  1487.  
  1488.     Examples:
  1489.     ---------
  1490.       "IM /L /CE"  Uses colors appropriate for an LCD display and
  1491.       checks the system sectors as well as all files on the current disk.
  1492.  
  1493.       "IM /IR"  Creates new integrity data for files in this diRectory.
  1494.  
  1495.       "IM /CF=A:\X\IO.SYS"  Checks the file IO.SYS in directory \X on disk A:
  1496.  
  1497.       "IM D:\IO\X.PRM /CD"  Checks all files in the current disk using
  1498.       options saved in the parameter file "X.PRM" located in "D:\IO".
  1499.  
  1500.       "IM /RB /DA"  Reloads the DOS boot sector on disk A.
  1501.  
  1502.     To execute IM automatically in unattended (batch) mode, do the
  1503.     following:
  1504.  
  1505.      o Use the options menu to activate the report file.  Save this
  1506.      change by selecting the first option on the options menu, "Write
  1507.      option changes to disk."
  1508.  
  1509.      o Either use the "/N" (nonstop) parameter  ("IM /N") or set halt
  1510.      options to "None" (options menu).  Be aware that you can use
  1511.      multiple parameter files if you don't want your options always set
  1512.      to nonstop.
  1513.  
  1514.      o Set up the IM control card.  For example: "IM /N /DG /CE"
  1515.      will run nonstop on disk G: and check the entire disk (/CE)
  1516.      including system sectors.
  1517.  
  1518.      o If you have a timed execution program such as the one available
  1519.      with PCtools, you may want to have it invoke IM or add IM to
  1520.      any batch file which you run regularly such as nightly backup
  1521.      batch file.
  1522.  
  1523.     Error Levels
  1524.     Integrity Master returns the following DOS error levels.  You can
  1525.      check for these error levels in a batch file and execute your own
  1526.      special procedures depending upon IM's findings.  One of our
  1527.      beta testers has their PCs automatically phone their help desk if
  1528.      an error level 24 or greater is encountered.
  1529.  
  1530.     00   Processing complete with no changes detected
  1531.     08   Checking complete with added or deleted files detected
  1532.     12   Checking complete with changed files detected
  1533.     16   Checking complete with changed programs detected
  1534.     24   Checking complete with suspicious file changes detected
  1535.     32   Checking complete but a file or system sector showed signs of
  1536.        corruption or an I/O error.  This will be in addition to any of
  1537.        the lower valued indicators such as change to a program.  So
  1538.        if a program changed, the error level would = 16 + 32 = 48.
  1539.     64   One or more viruses were detected. Any of the lower status
  1540.        indicators will be included with this one.
  1541.     128  If a vital IM file is determined to be missing or damaged
  1542.     192  A fatal error occurred during execution such as not enough
  1543.        memory or a disk error in internal processing such as a failed
  1544.        drive change.
  1545.     200  control card error (an error in IM's "/" parameters).
  1546.  
  1547.     Integrity Master (tm)             -  32  -                 Version 1.23a
  1548.  
  1549.     Using IMCHECK
  1550.     -------------
  1551.     IMCHECK.EXE is a fast stand-alone file checker.  It will read
  1552.     whatever files you specify and compute signature data similar to
  1553.     what Integrity Master uses as part of its integrity data.
  1554.  
  1555.     If you print the IMPROC.TXT file created by SetupIM, you will see
  1556.     the check values which IMCHECK should report for IM.EXE and IMCHECK
  1557.     itself.
  1558.  
  1559.     The syntax is: IMCHECK [d:] [path] filename [/D] [/1] [/2]
  1560.     "filename" specifies the files to check. Wild card characters
  1561.     such as * or ? may be used.
  1562.        "/D"  Display directory entries as well as files.
  1563.        "/1"  Utilize an alternate check value1 algorithm.
  1564.        "/2"  Utilize an alternate check value2 algorithm.
  1565.     Entering IMCHECK with no parameters will produce a explanation
  1566.     of how to use IMCHECK.
  1567.  
  1568.     For example: IMCHECK D:\DOS\TEST.* would check all files in
  1569.     the DOS directory on disk D: which begin with TEST but with any
  1570.     file extension.
  1571.     IMCHECK can be very handy when you send files to others and
  1572.     you  want to make sure that they got a good copy of your files.
  1573.     Simply run IMCHECK on your files.  You will see a report like:
  1574.  
  1575.     IMCHECK 1.2 - Integrity Master (TM) standalone file checker.
  1576.     Copyright 1990-1991 by Wolfgang Stiller - all rights reserved.
  1577.     Checking: MYFILE.*
  1578.  
  1579.     File Name + Check Check    File    Update   Update
  1580.     Extension:  Val1: Val2:    Size:   Date:    Time:
  1581.     ----------   ---- ----    -------  ------   ------
  1582.     MYFILE.001   AC57 C1C4       1551 11/05/91 22:38:40
  1583.     MYFILE.DAT   2D53 B1D6       8666 11/07/91 18:57:30
  1584.     Total======> F5AA 66A7
  1585.  
  1586.     Simply record the check values and make sure the other person
  1587.     runs IMCHECK and compares the values.  Note, that the
  1588.     "Total=====>" value will match only if the files are checked
  1589.     in the same order.
  1590.  
  1591.     Special license terms for IMcheck:
  1592.     ----------------------------------
  1593.     Registered users of Integrity Master are granted permission to
  1594.     distribute copies of IMcheck to anyone who needs to verify the
  1595.     integrity of files sent by the registered user.  This other user may
  1596.     use and keep IMcheck but may not further distribute it.
  1597.  
  1598.      ONLY registered (licensed) IM users may distribute IMcheck.
  1599.      -----------------------------------------------------------
  1600.  
  1601.  
  1602.     Integrity Master (tm)             -  33  -                 Version 1.23a
  1603.  
  1604.     _________________________________________________________________________
  1605.     CHAPTER FOUR - Customizing
  1606.  
  1607.  
  1608.     Customizing Integrity Master
  1609.     ----------------------------
  1610.     When you first install Integrity Master, SetupIM does an initial
  1611.     customization for you based upon how you intend to use it.  There
  1612.     are quite a few options available to you to make it work just the
  1613.     way you want.
  1614.  
  1615.     From the Integrity Master options menu, you can control almost all
  1616.     options which determine how IM works.  Your option changes may
  1617.     be either temporary or permanent.  To make your changes perma-
  1618.     nent, select "Write option changes to disk" from the options menu.
  1619.     This will save your option changes on the parameter file. These
  1620.     options will be in effect the next time you execute IM.
  1621.  
  1622.     In addition to initially installing IM, SetupIM allows you to change
  1623.     all possible options.  The more advanced options (which you may
  1624.     never need to change) are available only within SetupIM.  These
  1625.     options include turning off virus checking, setting which files are
  1626.     considered to be programs and deciding where integrity data will
  1627.     be stored.  SetupIM also allows you to permanently change the
  1628.     colors that IM uses on the display.
  1629.  
  1630.     These options are stored on the parameter file (IM.PRM).  You
  1631.     may, if you wish, keep multiple versions of this file around to
  1632.     represent different sets of options.  You can specify a different
  1633.     name for this file on IM's command line.
  1634.  
  1635.     The Parameter (options) file
  1636.     ----------------------------
  1637.     The parameter file (IM.PRM) contains all the options which
  1638.     control how IM works.  IM and SetupIM look for this file in either
  1639.     the current directory, the directory where IM.EXE is located, or
  1640.     the root directory on any disk.
  1641.  
  1642.     Whenever you change any options and save the changes, the
  1643.     parameter file is rewritten.  The option "Write option changes to
  1644.     disk" in IM's options menu does this as well as SetupIM.
  1645.  
  1646.     Integrity Master (tm)             -  34  -                 Version 1.23a
  1647.  
  1648.     The Options Menu
  1649.     ----------------
  1650.     You can reach the options menu from any primary IM menu by
  1651.     hitting the "O" or ALT/O keys.   The options menu is also avail-
  1652.     able from within SetupIM.  From the options menu, you can con-
  1653.     trol almost all options which determine how IM works.  These
  1654.     options include all normal day to day choices.
  1655.  
  1656.       _____________|Options|______________________
  1657.      | Write option changes to disk             |
  1658.      | Integrity:  CHECKING ON/off=quick update |
  1659.      | Files to Check:      Executable programs |
  1660.      | Files to iNitialize: Executable programs |
  1661.      | Halt on: ALL changes, adds or deletes    |
  1662.      | Sound -------------------------> ON/off  |
  1663.      | Report: (xxxxxxxxxxxxx)--------> on/OFF  |
  1664.      | Video (screen) report ---------> ON/off  |
  1665.      | Ignore Time/date changes ------> on/OFF  |
  1666.      | Only changes reported ---------> on/OFF  |
  1667.      |------------------------------------------|
  1668.  
  1669.     In addition to allowing you to set all the above options, the Options
  1670.     menu displays the current settings of these options.  The options
  1671.     which have "on/off" settings, are toggled between their on and off
  1672.     states by hitting the ENTER key.  The current setting of the option
  1673.     is displayed in capital letters, as well as in a distinctive color.
  1674.  
  1675.     Write option changes to disk
  1676.     ----------------------------
  1677.       This allows you to write any option changes to the parameter
  1678.       file, making your option changes effective the next time you
  1679.       execute IM also.  This option does not exist on the SetupIM
  1680.       version of the options menu.
  1681.  
  1682.     Integrity:  CHECKING ON/off=quick update
  1683.     ----------------------------------------
  1684.       This is the most crucial item on the Options menu.  Hitting the
  1685.       ENTER key toggles whether integrity checking is on, or only a
  1686.       quick integrity data update will be done.  When you hit ENTER,
  1687.       either "Checking ON" or "OFF=Quick update" will be in all
  1688.       capital letters and in a different color (on most displays).  This
  1689.       indicates whether full integrity checking is on or off.  The status
  1690.       of integrity checking is always visible on the fourth line at the
  1691.       top of the screen.
  1692.  
  1693.       Quick update mode provides a very fast way to bring all your
  1694.       integrity data up to date.  Only files whose size, time stamp or
  1695.       date stamp have changed will be read and undergo a full
  1696.       integrity check.  To detect file corruption and viruses, it's
  1697.       essential to regularly turn "Checking on" to do full integrity
  1698.       checks.
  1699.  
  1700.     Integrity Master (tm)             -  35  -                 Version 1.23a
  1701.  
  1702.     Files to Check:
  1703.     ---------------
  1704.       You can use this option to limit IM's checking to only executable
  1705.       or source programs.  Even if you are interested only in virus
  1706.       detection, we strongly recommend that you also periodically set
  1707.       this option to check all files, so that you can be alerted to the
  1708.       other (more common) causes of file damage.  The advanced
  1709.       menu in SetupIM allows you to change which files IM considers
  1710.       to be executable or source programs.
  1711.  
  1712.     Files to iNitialize:
  1713.     --------------------
  1714.       Use this option to limit IM's initializing of integrity data to only
  1715.       executable or source programs.  Even if your primary interest is
  1716.       viruses only, we strongly recommend that you set this option to
  1717.       read all files, so that you can be alerted to the other (more
  1718.       common) causes of file damage.  The advanced menu in
  1719.       SetupIM allows you to change which files IM considers to be
  1720.       executable or source programs.
  1721.  
  1722.     Halt on: ALL changes
  1723.     --------------------
  1724.       When IM is checking your files for changes, it lists each new
  1725.       change that it detects at the top of the report screen.  The other
  1726.       changes on the screen shift downward (scroll) as each new line
  1727.       is added at the top of the screen.  By setting the halt options, you
  1728.       control when this scrolling will pause and wait for you to hit a
  1729.       key.  This prevents a change from scrolling off the screen
  1730.       without you having seen it.  The halt options appear on this
  1731.       menu:
  1732.         __________________________________
  1733.         | Halt on:                       |
  1734.         |                                |
  1735.         | All detected differences       |
  1736.         | Changed files only             |
  1737.         | Changes to Executable programs |
  1738.         | Changes to any Program         |
  1739.         | Signs of file corruption       |
  1740.         | None - Pause on request only   |
  1741.         |________________________________|
  1742.  
  1743.       If you halt scrolling on "All detected differences", anytime a line
  1744.       written to the report screen is about to disappear off the bottom
  1745.       of the screen, the display will pause and wait for you to hit a key
  1746.       to acknowledge that you've seen all the lines on the display.
  1747.       After you hit a key, the display will not pause until all the lines
  1748.       currently on the screen have scrolled off and a new unseen line
  1749.       is about to scroll off the screen.
  1750.  
  1751.       If you halt scrolling on executable or source programs, the
  1752.       scrolling will pause only when a program is about to disappear
  1753.       off the bottom of the screen.  After you hit ENTER, the display
  1754.       will not pause scrolling until a program which was not on the
  1755.       previous display is about to scroll off the bottom.
  1756.  
  1757.     Integrity Master (tm)             -  36  -                 Version 1.23a
  1758.  
  1759.       If you halt scrolling on "Signs of file corruption", only signs of
  1760.       viruses, corrupted files, or possible hardware errors will pause
  1761.       the display.
  1762.  
  1763.       If you tell IM to halt on "None", then the display will pause only
  1764.       on hardware errors or signs of viruses.  This affects scrolling in
  1765.       the same way as using the "/N" parameter on the command line.
  1766.       If you set halt to "none", be sure that IM is writing a report to a
  1767.       file or to the printer, otherwise you may miss some important
  1768.       warnings.
  1769.  
  1770.       You can always halt scrolling by hitting the "P" key.
  1771.  
  1772.     Sound -------------------------> ON/off
  1773.     ---------------------------------------
  1774.       IM will provide beeps and tones to alert you that something
  1775.       important has happened (or that you've hit an unsupported key).
  1776.       Hitting ENTER toggles whether you will hear these sounds.
  1777.  
  1778.     Report: (xxxxxxxxxxxxx)--------> on/OFF
  1779.     ---------------------------------------
  1780.       This allows you to turn the report file off or to ask IM to write a
  1781.       report of its activities to either the printer or a disk file.  The
  1782.       "xxxxxxxxx" on the option line represents the name of the
  1783.       current report file or printer.  The disk file can be automatically
  1784.       named by IM or can be any file of your choice.  Please see "The
  1785.       Report File" in Chapter three for more details on these options.
  1786.       This option line, as well as the third line from top of IM's
  1787.       screen, display the status of the report file.
  1788.  
  1789.     Video (screen) report ---------> ON/off
  1790.     ---------------------------------------
  1791.       If you have a very slow video board (such as some very old
  1792.       CGA adapters), IM will run a little faster if you turn the screen
  1793.       report off. (Be sure to turn the report file on!)
  1794.  
  1795.     Ignore Time/date changes ------> on/OFF
  1796.     ---------------------------------------
  1797.       Sometimes the DOS time or date stamp on a file will change, but
  1798.       the file itself won't change.  If you do not want to have such files
  1799.       reported as changed, set this option to "ON".
  1800.  
  1801.     Only changes reported ---------> on/OFF
  1802.     ---------------------------------------
  1803.       If you do not want reports of added or deleted files, turn this
  1804.       option "on".  If "Only changes reported" is set to "on", then you
  1805.       will see only reports of file changes; no added or deleted files
  1806.       will be reported.  The integrity data will still be updated to reflect
  1807.       the added or deleted files, but no report of these files will appear
  1808.       on the screen.  All other processing also continues normally
  1809.       including the detection of companion viruses (viruses which
  1810.       appear only as added files).
  1811.  
  1812.  
  1813.     Integrity Master (tm)             -  37  -                 Version 1.23a
  1814.  
  1815.     O p t i o n s   i n   S e t u p I M
  1816.     -----------------------------------
  1817.     When you execute SetupIM for the first time, the Integrity
  1818.     Advisor(tm) will set your options in a way most likely to meet your
  1819.     needs and interests.  You can later go back and change any of the
  1820.     options which were set for you.  If you specify that it's not your
  1821.     first install of IM, you will see this menu:
  1822.  
  1823.           +------------------------------------------+
  1824.           |   Select an option and hit ENTER:        |
  1825.           |                                          |
  1826.           |   Overview of IM setup and operation     |
  1827.           |   Change how Integrity Master operates   |
  1828.           |   Repeat the install on this PC          |
  1829.           |   Install IM on an other PC              |
  1830.           |   Quit                                   |
  1831.           +------------------------------------------+
  1832.  
  1833.     From this menu, you can select "Change how Integrity Master
  1834.     operates" and hit ENTER.  This brings you to the change menu:
  1835.  
  1836.           +---------------------------------------+
  1837.           |  Select an option and hit ENTER:      |
  1838.           |                                       |
  1839.           |  Screen display mode                  |
  1840.           |  Location of integrity data           |
  1841.           |  Primary options                      |
  1842.           |  Advanced Options                     |
  1843.           |  Exit  - save any changes and end     |
  1844.           +---------------------------------------+
  1845.  
  1846.  
  1847.     Options available only in SetupIM
  1848.     ---------------------------------
  1849.     On this menu all options except for "Primary Options" are avail-
  1850.     able only in SetupIM.  Selecting "Primary options" brings up a
  1851.     menu similar to the options menu in IM.  The following options
  1852.     can only be changed from the change Menu in SetupIM:
  1853.  
  1854.     Screen Display Mode
  1855.     -------------------
  1856.     This allows you to set the screen colors as explained in the Chapter
  1857.     Two section titled "Screen Colors".
  1858.  
  1859.     Integrity Master (tm)             -  38  -                 Version 1.23a
  1860.  
  1861.     Location of Integrity Data
  1862.     --------------------------
  1863.     As IM checks your files, it must store the integrity data which
  1864.     describes these files.  Using SetupIM you can change where IM
  1865.     stores these files.  There are two options:
  1866.  
  1867.     1) It can store the integrity data in the same directory along with
  1868.        the files being checked or
  1869.  
  1870.     2) It can store the integrity data on a separate disk (usually a
  1871.        floppy).
  1872.  
  1873.     Storing the integrity data on a floppy gives you total protection
  1874.     against a virus or a person changing a file and then modifying the
  1875.     integrity data to cover up the change.  For viruses, this threat is
  1876.     fairly remote since the virus would have to be written specifically
  1877.     to attack files created by IM.  This would be very difficult since
  1878.     these files are encrypted differently on each PC.   Storing the
  1879.     integrity data with the files being checked is usually easier and
  1880.     more flexible since the integrity data can be copied along with the
  1881.     files.  Any time you copy the files, it's then easy to use IM to
  1882.     verify that you made a good copy.  If you want to restore an old
  1883.     copy of a file from a backup, you can restore the integrity data
  1884.     along with the file and then ask IM to check that the file restored
  1885.     correctly.  If you move your files, it's easier to move the integrity
  1886.     data along with the files if it's stored in the same directory as the
  1887.     files.
  1888.  
  1889.     The Advanced Option Menu
  1890.     ------------------------
  1891.     If you select this option on the SetupIM change menu, the advanced
  1892.     option menu will appear.  This menu is intended only for more
  1893.     experienced users.  The details of this menu are covered in the next
  1894.     section.
  1895.  
  1896.     Update hardware configuration
  1897.     -----------------------------
  1898.     Please run this option anytime you change the configuration of disk
  1899.     drives on your computer, or if you use software which changes the
  1900.     assignment of DOS logical disk letters (A to Z) to your physical
  1901.     disk drives.  SetupIM will check the capabilities of each of your
  1902.     installed disk drives.  This will produce a display showing the
  1903.     drives that SetupIM recognizes.  It will also list any drives which
  1904.     do not contain DOS boot sectors and any which do not have
  1905.     partition sectors (master boot records).
  1906.  
  1907.     Exit - save any changes and end
  1908.     -------------------------------
  1909.     Updates the parameter file (IM.PRM) with any option changes
  1910.     you've selected, and exits SetupIM.
  1911.  
  1912.     Integrity Master (tm)             -  39  -                 Version 1.23a
  1913.  
  1914.     Abort - Quit and abandon any changes
  1915.     ------------------------------------
  1916.     Allows you to exit SetupIM without writing any of your changes.
  1917.     All option changes will be as they were before you entered
  1918.     SetupIM.
  1919.  
  1920.     The Advanced Option Menu:
  1921.     -------------------------
  1922.  
  1923.            +-------------------------------------------------+
  1924.            |  Select an option and hit ENTER:                |
  1925.            |  (Hit ESCape when you're done)                  |
  1926.            |                                                 |
  1927.            |  Specify Names of hidden system files           |
  1928.            |  Define which files are Executable programs     |
  1929.            |  Define which files are Source programs         |
  1930.            |  Check for virus in memory is ON; turn it off   |
  1931.            |  General virus checking is ON; turn it off      |
  1932.            +-------------------------------------------------+
  1933.  
  1934.     This menu is intended for more technically advanced users only.
  1935.     Most IM users should never need to use this menu.  When you're
  1936.     finished making changes on this menu, just hit ESCape to go back
  1937.     to the previous menu.
  1938.  
  1939.  
  1940.     Specify Names of hidden system files
  1941.     ------------------------------------
  1942.       Selecting this option will allow you to change the names of the
  1943.       files that IM recognizes as the hidden system files.  This option
  1944.       is only needed on nonstandard PCs which don't use the standard
  1945.       Microsoft or the IBM names for the hidden system files.  The
  1946.       files SetupIM recognizes by default are: IBMBIO.COM,
  1947.       IBMDOS.COM, IO.SYS and MSDOS.SYS.  If you execute
  1948.       "IMCHECK *.*", in your root directory and you don't see two
  1949.       of the above files, but instead see two other similarly named
  1950.       files, you may wish to use this option so IM recognizes those
  1951.       files.  If you don't understand what this is all about, don't
  1952.       worry.  IM's ability to recognize your hidden system files is
  1953.       NOT that important.  It simply allows IM to provide more
  1954.       specific information in two warning messages.
  1955.  
  1956.     Define which files are Executable programs
  1957.     ------------------------------------------
  1958.       This option allows you to specify which file extensions (the
  1959.       letters after the "." in the file name) IM should consider to
  1960.       represent executable programs.  This is important for three
  1961.       reasons:
  1962.  
  1963.       1) Non-executable files are not normally checked for known
  1964.          viruses.
  1965.  
  1966.     Integrity Master (tm)             -  40  -                 Version 1.23a
  1967.  
  1968.       2) IM provides special warning when executable programs
  1969.          change.
  1970.  
  1971.       3) If you use the options menu to limit checking to executable
  1972.          programs, only these files will be checked.
  1973.  
  1974.       Initially, IM will consider files ending in the following
  1975.       extensions to be executable programs:
  1976.  
  1977.          Numeric extensions such as .123
  1978.          .OV?  (where ? can be any character)     .DRV
  1979.          .BAT                                     .EXE
  1980.          .BIN                                     .PIF
  1981.          .COM                                     .SYS
  1982.          .DLL                                     .SWP
  1983.  
  1984.       Note, that not all these files can actually be affected by viruses
  1985.       but  all these files in one way or another contain instructions that
  1986.       are executed by your PC.
  1987.  
  1988.     Define which files are Source programs
  1989.     --------------------------------------
  1990.       This option allows you to specify which file extensions (the
  1991.       letters  after the "." in the file name) IM should consider to be
  1992.       source programs.  Source programs are the programs a
  1993.       programmer would use to create executable programs.  If you
  1994.       are not a programmer then you probably don't care about this
  1995.       option.  This option is intended mostly to provide programmers
  1996.       with extra warning if something has changed their source code.
  1997.  
  1998.     Check for virus in Memory
  1999.     -------------------------
  2000.       Selecting this option will toggle the checking of memory for
  2001.       known viruses on or off.  If you toggle memory checking on, the
  2002.       option line will be changed to read:
  2003.  
  2004.          Check for virus in memory is ON; turn it off.
  2005.  
  2006.       This indicates that memory checking is now "ON".  If you hit
  2007.       ENTER at this point, you will turn it "off", and the option will
  2008.       read:
  2009.  
  2010.          Check for virus in memory is OFF; turn it on.
  2011.  
  2012.     Integrity Master (tm)             -  41  -                 Version 1.23a
  2013.  
  2014.       Having this option "ON" allows IM to detect known viruses
  2015.       which  are resident in memory.  If you ALWAYS, cold boot
  2016.       from a known good copy of DOS on a write protected diskette,
  2017.       you could safely turn this option off, since there would be no
  2018.       way for a virus to be resident in memory.  Since, it's hard to
  2019.       guarantee that you always cold boot, please leave resident
  2020.       memory checking turned on. If you execute IM multiple times
  2021.       and you don't want to wait for the memory check to complete,
  2022.       you can use the"/B" (Bypass) command line parameter to bypass
  2023.       the resident memory check.
  2024.  
  2025.     General virus checking
  2026.     ----------------------
  2027.       Selecting this option and hitting enter will toggle checking of
  2028.       files for known viruses on or off.  If you have absolutely no
  2029.       interest in viruses, you can speed up IM's initialize processing
  2030.       and its check processing (only when it encounters changed files)
  2031.       by 10 to 20 percent.  Since this option imposes so little overhead
  2032.       in normal file checking, we suggest everyone leave it turned on.
  2033.  
  2034.  
  2035.     Integrity Master (tm)             -  42  -                 Version 1.23a
  2036.     _________________________________________________________________________
  2037.     CHAPTER FIVE - Errors
  2038.  
  2039.     Error recovery:
  2040.     ---------------
  2041.     IM replaces the normal DOS error recovery routines with its own
  2042.     more sophisticated routines.  If you encounter hardware errors,
  2043.     you'll generally see a message announcing what happened followed
  2044.     by a screen which will give you the option of retrying the failed
  2045.     operation, aborting (allowing whatever IM was trying to do, to fail)
  2046.     or other options depending upon the circumstances.  These other
  2047.     options include "Shelling to DOS".  Shelling allows you to
  2048.     temporarily exit IM and execute any DOS command (such as
  2049.     formatting a disk) you wish.  You then return to IM by typing the
  2050.     EXIT command.  This returns you to the same point in IM, just as
  2051.     if you had never left.
  2052.  
  2053.     Solving problems:
  2054.     -----------------
  2055.     If you encounter a problem with IM, please read file
  2056.     QUESTION.DOC (for a list of common questions and answers)
  2057.     and file SUPPORT.DOC (for the complete procedure on how to
  2058.     quickly get technical support).  File DISKHELP.TXT contains
  2059.     specific information on how to handle problems if IM won't
  2060.     recognize your disk drive.  You can use IMPRINT or IMVIEW to
  2061.     read any of these files. Example:  "IMVIEW SUPPORT.DOC"
  2062.  
  2063.     Answers to Common Questions:
  2064.     ----------------------------
  2065.     File QUESTION.TXT contains common questions and answers
  2066.     regarding IM.  You can read these by entering the command
  2067.     "IMVIEW QUESTION.TXT" at the DOS prompt or print with the
  2068.     command "IMPRINT QUESTION.TXT".  Hopefully, any
  2069.     questions you may have will be answered there.  Here are some
  2070.     examples of common questions:
  2071.  
  2072.     Q: Sometimes IM comes up with different colors on the screen than
  2073.        before. What's going on?
  2074.  
  2075.     A: IM checks the DOS video mode indictor on your PC to see if
  2076.        you are in color or monochrome mode, as well as directly
  2077.        checking your video adapter.  This allows you to use the DOS
  2078.        "MODE BW80" to indicate that a two color display is present
  2079.        on a color adapter card.  Some programs change this value to an
  2080.        incorrect value.  If this happens to you, use the DOS mode
  2081.        command to set the video mode back to the correct state.  For
  2082.        example, enter "MODE CO80" to restore normal color mode.
  2083.        You can also use the command line override (or SetupIM) so
  2084.        IM comes up using whatever colors you prefer.  "IM /C" would
  2085.        force IM to run in color mode.
  2086.  
  2087.  
  2088.     Integrity Master (tm)             -  43  -                 Version 1.23a
  2089.  
  2090.     Q: IM detected a virus on my PC.  I reloaded my system sectors
  2091.        and either deleted or reloaded all infected files, yet the virus
  2092.        keeps coming back!  What should I do?
  2093.  
  2094.     A: Somewhere a virus is eluding your checks.  Please check the
  2095.        following:
  2096.  
  2097.       o Did you install IM after cold booting from a clean floppy?
  2098.         It's absolutely vital to do a cold boot before checking.
  2099.  
  2100.       o Are you using a task switcher (or multi-tasker) such as
  2101.         windows?  If so, then this program may be saving some of
  2102.         your infected programs in its "swap" file.  This file often ends
  2103.         in the letters ".SWP".   Delete this file if it exists.
  2104.  
  2105.       o Be sure you check ALL files and floppies which come into
  2106.         contact with your computer.  You may have missed a file or
  2107.         diskette somewhere.  Please take the extra time and check
  2108.         them all.
  2109.  
  2110.       o It's possible that viral code is hidden somewhere other than an
  2111.         executable file.  IM normally checks only executable files
  2112.         (programs and overlays) for known viruses.  Try selecting
  2113.         "Disk for known Viruses" on the check menu and selecting
  2114.         "Check All files" on that menu.  This will check all files as
  2115.         well as system sectors on your disk.  Also, check any other
  2116.         disks that you've been using.
  2117.  
  2118.     Q: I was just checking a diskette for viruses and IM detected the
  2119.        DataCrime 2 virus in a file.  When I restarted IM, it detected the
  2120.        DataCrime virus resident in memory!  I never executed the
  2121.        program which was infected, so how did the virus get control of
  2122.        my PC?
  2123.  
  2124.     A: The virus wasn't really resident or in control of your PC. What
  2125.        happened was that a piece of the viral code was left somewhere
  2126.        in memory - probably in one of DOS's file buffers.  Although
  2127.        IM takes great pains to clear its own buffers and areas of
  2128.        memory, it's not that unusual to get a false indication of the
  2129.        virus being active in memory after detecting a virus in a file or
  2130.        system sector.
  2131.  
  2132.  
  2133.     Integrity Master (tm)             -  44  -                 Version 1.23a
  2134.  
  2135.  
  2136.                                   PART TWO
  2137.  
  2138.                          Data Integrity and Viruses
  2139.  
  2140.                 ___________________________________________
  2141.  
  2142.  
  2143.                How do I make sure that my programs and files
  2144.                               really are safe?
  2145.  
  2146.  
  2147.                What threats are even more likely to damage my
  2148.                              data than viruses?
  2149.  
  2150.                      What really works against viruses?
  2151.  
  2152.  
  2153.                      What doesn't work against viruses?
  2154.  
  2155.  
  2156.                        Why are viruses so dangerous?
  2157.  
  2158.  
  2159.                            How do I kill a virus?
  2160.  
  2161.                 ___________________________________________
  2162.  
  2163.  
  2164.            Copyright 1991-1992, Wolfgang Stiller, All rights reserved.
  2165.  
  2166.  
  2167.     Integrity Master (tm)             -  45  -                 Version 1.23a
  2168.     ___________________________________________________________________________
  2169.  
  2170.                                   PART TWO
  2171.  
  2172.                          Data Integrity and Viruses
  2173.  
  2174.     _______________________________________________________________________
  2175.     CHAPTER ONE - Threats to Your Data
  2176.  
  2177.     Introduction - Viruses get all the Glory
  2178.     ----------------------------------------
  2179.     In order to protect the integrity of your data, it's important to first
  2180.     understand the nature of the threats against it.  The most publicized
  2181.     threats to your computer are software based attacks often lumped
  2182.     together as "viruses" by the media.  These threats have often been
  2183.     sensationalized by media coverage, but can pose a serious threat to
  2184.     PCs anyway.  See the section in this chapter titled "How serious
  2185.     are viruses?".  Although a virus may never attack your PC, it is
  2186.     almost inevitable that system glitches will someday corrupt data or
  2187.     programs on your PC.  Considering that viruses are but one threat
  2188.     to your data and not the most likely threat by far, it's ironic that so
  2189.     many people have anti-virus software and so few people take steps
  2190.     to protect the integrity of their programs and data from other
  2191.     causes.  Can anyone afford NOT to know that each and every byte
  2192.     on their disk is intact?
  2193.  
  2194.     So what's the explanation?  Why do so few people take steps to
  2195.     assure the integrity of the data on their PC?  The main reason is
  2196.     that data integrity gets almost no media coverage, (even in the
  2197.     trade journals), while a virus story may make the local evening
  2198.     news.  The result is that people just don't give data integrity a
  2199.     second thought.  It's all too easy to take the reliability of our
  2200.     modern PCs for granted -- and, as you'll see, all too dangerous!
  2201.  
  2202.     There's a good chance that you are reading this purely because
  2203.     you're interested in viruses, so in your case the media attention to
  2204.     viruses will have had a very beneficial effect!  You are about to
  2205.     learn how to protect your PC against much more than just viruses!
  2206.     Data integrity is not a very glamorous subject, yet it's both crucial
  2207.     and fundamental to using any computer.  Without positive assur-
  2208.     ance of data integrity, computers can not be depended upon to
  2209.     process any type of important data.  How would you respond if
  2210.     someone were going to change a byte of data somewhere at random
  2211.     on your disk?  You'd be pretty upset; right?  Well, the odds are,
  2212.     it's already happened but you were not aware of it.  Perhaps the
  2213.     result was that a program quit working or CHKDSK found lost or
  2214.     cross linked clusters.  Or perhaps (hopefully), the damage was to
  2215.     some inconsequential part of your disk.
  2216.  
  2217.  
  2218.     Integrity Master (tm)             -  46  -                 Version 1.23a
  2219.     Let's take a look at the different threats to your files
  2220.     and programs.
  2221.  
  2222.     HARDWARE AND POWER FAULTS
  2223.     -------------------------
  2224.     These are well known and also all too common.  We all know that
  2225.     when your PC or disk are getting old, they might start acting errat-
  2226.     ically and damage some data before they totally die.  But hardware
  2227.     problems are actually more prevalent than you may think.
  2228.  
  2229.     Your PC is busy writing data to  disk and the lights go out!
  2230.     "Arghhhh!"  Is everything OK?  Maybe not, but it'd certainly be
  2231.     nice to know for sure if anything was changed.  If your disk drive
  2232.     is starting to fail, you can have the same problem.  Unfortunately,
  2233.     it's not a question of "if", but a question of "when" in regards to
  2234.     disk failure.  There are tools (NORTON, MACE,  PCtools etc) to
  2235.     assist in recovery from disk problems, but how do you know all the
  2236.     data is OK?  These tools do not always recover good copies of the
  2237.     original files.  It's vital to have some way to check that these tools
  2238.     really do their job correctly.
  2239.  
  2240.     You can have hardware problems on a perfectly healthy PC if you
  2241.     have devices installed which do not properly share interrupts.  This
  2242.     problem is getting more and more frequent as we see multiple
  2243.     adapters installed in a PC which use the same interrupt (IRQ).
  2244.     Sometimes problems are immediately obvious, other times they are
  2245.     subtle, and depend upon certain events to happen at just the wrong
  2246.     time, then suddenly strange things happen!
  2247.  
  2248.     FINGER CHECKS (Typos and "Oops! I didn't mean to do that".)
  2249.     -------------
  2250.     These are an all too frequent cause of data corruption.  This
  2251.     commonly happens when you are intending to delete or replace one
  2252.     file but actually get another.  By using wild cards, you may experi-
  2253.     ence a really "wild" time.  "Hmmm I thought I deleted all the
  2254.     *.BAK files...but they're still here....something was
  2255.     deleted ...what was it?... or was I in the other directory?"  Of
  2256.     course if you're a programmer or if you use sophisticated tools like
  2257.     Norton's sector editor (NU), then your fingers can really get you
  2258.     into trouble!
  2259.  
  2260.     MALICIOUS OR CARELESS DAMAGE
  2261.     ----------------------------
  2262.     Someone may accidentally or deliberately delete or change a file on
  2263.     your PC when you're not around.  If your PC is not kept locked in
  2264.     a safe, this is a risk.  Who knows what was changed or deleted?
  2265.     Wouldn't it be nice to know if anything changed over the weekend?
  2266.  
  2267.  
  2268.     Integrity Master (tm)             -  47  -                 Version 1.23a
  2269.  
  2270.     SOFTWARE PROBLEMS
  2271.     -----------------
  2272.     This category accounts for more damage to programs and data than
  2273.     any other.  We're talking about non-malicious software problems
  2274.     here, not viruses.  Software conflicts by themselves are a more
  2275.     likely threat to your PC than virus attack.
  2276.  
  2277.     We run our PCs today in a complex environment.  There are many
  2278.     resident programs (TSRs such as sidekick) running at the same
  2279.     time along with various versions of DOS, BIOS and device drivers.
  2280.     All these programs execute simultaneously, share data and are
  2281.     vulnerable to unforeseen interactions between each other.   Natural-
  2282.     ly, this means that there may be some subtle bugs waiting to "byte"
  2283.     us.  Anytime a program goes haywire, there's the risk it may
  2284.     damage information on disk.
  2285.  
  2286.     There's the further problem that not all programs do what we hope
  2287.     they will.  If you have just undeleted a file, did you really get all
  2288.     the correct clusters back in the right order?   When CHKDSK
  2289.     "fixes" your disk for you, wouldn't it be nice to know exactly what
  2290.     it did?  This is one more reason why everyone must have the
  2291.     capability to verify data integrity.
  2292.  
  2293.     Software Attacks
  2294.     ----------------
  2295.     These are programs written deliberately to cause harm to some-
  2296.     one's computer or to use that computer in an unauthorized way.
  2297.     Even though some viruses do not intentionally damage your data,
  2298.     we consider all viruses to be malicious software since they modify
  2299.     your programs without your permission with occasional disastrous
  2300.     results.  There are many forms of malicious software; sometimes
  2301.     the media calls all malicious software viruses, but it's important to
  2302.     understand the distinction between the various types.  Let's exam-
  2303.     ine the different types of malicious software:
  2304.  
  2305.     Logic Bombs
  2306.     -----------
  2307.     Just like a real bomb, a logic bomb will lie dormant until triggered
  2308.     by some event.  The trigger can be a specific date, the number of
  2309.     times executed, a random number, or even a specific event such as
  2310.     deletion of an employee's payroll record.   When the logic bomb is
  2311.     triggered it will usually do something unpleasant. This can range
  2312.     from changing a random byte of data somewhere on your disk to
  2313.     making the entire disk unreadable.  The changing of random data
  2314.     on disk may be the most insidious attack since it would do a lot of
  2315.     damage before it would be detected.  It's vital to have some data
  2316.     integrity software in place so such changes can be detected early
  2317.     on.  Although you can detect it after the fact there is unfortunately
  2318.     no way to prevent a well written logic bomb from damaging your
  2319.     system.  On the other hand, a logic bomb which uses standard DOS
  2320.     or BIOS requests to do its dirty work can be caught by most inter-
  2321.     ceptor type programs (see Chapter two).
  2322.  
  2323.     Integrity Master (tm)             -  48  -                 Version 1.23a
  2324.  
  2325.     Trojans
  2326.     -------
  2327.     These are named after the Trojan horse which delivered soldiers
  2328.     into the city of Troy.   Likewise, a trojan program is a delivery
  2329.     vehicle for some destructive code (such as a logic bomb or a virus)
  2330.     onto a computer.  The trojan program appears to be a useful pro-
  2331.     gram of some type, but when a certain event occurs, it does some-
  2332.     thing nasty and often destructive to the system.
  2333.  
  2334.     Worms
  2335.     -----
  2336.     A worm is a self-reproducing program which does not infect other
  2337.     programs as a virus will, but instead creates copies of itself, which
  2338.     create even more copies.   These are usually seen on networks and
  2339.     on multi-processing operating systems, where the worm will create
  2340.     copies of itself which are also executed.  Each new copy will create
  2341.     more copies quickly clogging  the system.  The so called
  2342.     ARPANET/INTERNET "virus" was actually a worm. It created
  2343.     copies of itself through the ARPA network, eventually bringing the
  2344.     network to its knees.  It did not infect other programs as a virus
  2345.     would, but simply kept creating copies of itself which would then
  2346.     execute and try to spread to other machines.
  2347.  
  2348.     VIRUSES
  2349.     -------
  2350.     Viruses are a cause of much confusion and a target of considerable
  2351.     misinformation even from some so-called virus experts.  Let's
  2352.     define what we mean by virus:
  2353.  
  2354.     A virus is a program which reproduces its own code by attaching
  2355.     itself to other programs in such a way that the virus code is exe-
  2356.     cuted when the infected program is executed.
  2357.  
  2358.     You could probably also say that the virus must do this without the
  2359.     permission or knowledge of the user, but that's not a vital distinc-
  2360.     tion for purposes of our discussion here.
  2361.  
  2362.     Most viruses do their "job" by placing self-replicating code in other
  2363.     programs, so that when those other programs are executed, even
  2364.     more programs are "infected" with the self-replicating code.  This
  2365.     self-replicating code, when triggered by some event, may do a
  2366.     potentially harmful act to your computer.  Viruses are typically
  2367.     distributed in the form of a trojan.  In other words, the virus code
  2368.     has been planted in some useful program.  Since the virus infects
  2369.     other useful programs, absolutely any piece of executable code can
  2370.     suddenly become a trojan delivery vehicle for the virus.
  2371.  
  2372.     Integrity Master (tm)             -  49  -                 Version 1.23a
  2373.  
  2374.     General Virus Behavior
  2375.     ----------------------
  2376.     Viruses come in a great many different forms, but they all poten-
  2377.     tially have two phases to their execution, the infection phase and
  2378.     the attack phase:
  2379.  
  2380.     1) When the virus executes it will infect other programs.  What's
  2381.        often not clearly understood is precisely WHEN it will infect the
  2382.        other programs.  Some viruses infect other programs each time
  2383.        they are executed, other viruses infect only upon a certain trig-
  2384.        ger.  This trigger could by anything; it could be a day or time, an
  2385.        external event on your PC, a counter within the virus etc.
  2386.        Modern viruses have gotten very selective about when they infect
  2387.        programs; this is vital to the virus's survival, since if the virus
  2388.        infects too often, it is more likely to be discovered before it can
  2389.        spread far.  Virus writers want their programs to spread as far as
  2390.        possible before anyone detects them.  This brings up an impor-
  2391.        tant point which bears repeating:
  2392.  
  2393.        It is a serious mistake to execute a program a few times --
  2394.        find nothing infected and presume there are no viruses in the
  2395.        program.  You can never be sure that the virus simply hasn't
  2396.        triggered its infection phase!
  2397.  
  2398.        Many viruses go resident in the memory of your PC just as a
  2399.        terminate and stay resident (TSR) program such as Sidekick(R)
  2400.        does.  This means the virus can wait for some external event
  2401.        such as inserting a diskette, copying a file, or executing a pro-
  2402.        gram to actually infect another program.  This makes these
  2403.        viruses very dangerous since it's hard to guess what trigger
  2404.        condition they use for their infection.  Resident viruses frequent-
  2405.        ly corrupt the system software on the PC to hide their existence.
  2406.  
  2407.     2) The second phase is the attack phase.  Many viruses do unpleas-
  2408.        ant things such as deleting files or changing random data on your
  2409.        disk, simulating typos or merely slowing your PC down; some
  2410.        viruses do less harmful things such as playing music or creating
  2411.        messages or animation on your screen.  Just as the virus's infec-
  2412.        tion phase can be triggered by some event, the attack phase also
  2413.        has its own trigger.  Viruses usually delay revealing their
  2414.        presence by launching their attack only after they have had ample
  2415.        opportunity to spread.  This means that the attack may be delayed
  2416.        for years after the initial infection.  The attack phase is optional,
  2417.        many viruses simply reproduce and have no trigger for an attack
  2418.        phase.  Does this mean that these are "good" viruses?  No, unfor-
  2419.        tunately not!  Anything that writes itself to your disk without
  2420.  
  2421.     Integrity Master (tm)             -  50  -                 Version 1.23a
  2422.  
  2423.        your permission is stealing storage and CPU cycles.  This is
  2424.        made worse since viruses which "just infect", with no attack
  2425.        phase, damage the programs or disks they infect.  This is not
  2426.        intentional on the part of the virus, but simply a result of the fact
  2427.        that many viruses contain extremely poor quality code.  One of
  2428.        the most common viruses, the STONED virus is not intentionally
  2429.        harmful. Unfortunately the author did not anticipate other than
  2430.        360K floppy disks, with the result that the virus will try to hide
  2431.        its own code in an area on 1.2mb diskettes which causes corrup-
  2432.        tion of the entire diskette.
  2433.  
  2434.     Now that we've examined general virus behavior, let's take a
  2435.     closer look at the two major categories of viruses and how they
  2436.     operate.
  2437.  
  2438.     System Sector Viruses
  2439.     ---------------------
  2440.     These are viruses which plant themselves in your system sectors.
  2441.     System sectors are special areas on your disk containing programs
  2442.     that are executed when you boot your PC.  Sectors are not files but
  2443.     simply small areas on your disk that your hardware reads in single
  2444.     chunks.  Under DOS, sectors are most commonly 512 bytes in
  2445.     length.  These sectors are invisible to normal programs but are
  2446.     vital for correct operation of your PC.  They are a common target
  2447.     for viruses. There are two types of system sectors found on DOS
  2448.     PCs:
  2449.  
  2450.  
  2451.     DOS BOOT SECTORS
  2452.     ----------------
  2453.       The very first sector on disk or diskette that DOS is aware of is
  2454.       the boot  sector.  From a DOS perspective, this is the first sector
  2455.       on the disk.  This sector can contain an executable program
  2456.       whether the disk is bootable or not.  Since this program is exe-
  2457.       cuted every time you power on or boot your PC, it is very
  2458.       vulnerable to virus attack.  Damage to this sector can make your
  2459.       disk appear to be unreadable.  This sector is rewritten whenever
  2460.       you do a "SYS" or a "FORMAT /S" to a disk.
  2461.  
  2462.         Warning: EVEN A NON-BOOTABLE FLOPPY CAN CONTAIN A VIRUS IN
  2463.         THE BOOT SECTOR.  IF YOU LEAVE THE FLOPPY IN YOUR PC WHEN
  2464.         YOU POWER ON OR BOOT, YOU WILL BE INFECTED EVEN THOUGH THE
  2465.         PC WON'T SUCCESSFULLY BOOT FROM THAT FLOPPY.
  2466.  
  2467.     PARTITION SECTOR (Master Boot Record)
  2468.     -------------------------------------
  2469.       On hard (fixed) disk drives, the very first sector is the partition
  2470.       sector (also known as the master boot record or partition table).
  2471.       Each physical hard disk drive has one of these sectors.  A single
  2472.       physical disk can be partitioned into one or more logical disks.
  2473.       For example, you may have a physical drive partitioned into C:
  2474.       and D: logical disks so that your single physical disk appears (to
  2475.  
  2476.     Integrity Master (tm)             -  51  -                 Version 1.23a
  2477.  
  2478.       DOS) to be two logical disks.  The  single partition sector con-
  2479.       tains the information that describes both logical disks. If the
  2480.       partition sector is damaged, then DOS may not even recognize
  2481.       that your disk exists.
  2482.  
  2483.       The partition sector also contains a program which is executed
  2484.       every time you power up or boot your PC.  This program exe-
  2485.       cutes and reads the DOS boot sector which also contains a
  2486.       program.  Numerous viruses plant their code in the partition
  2487.       sector.
  2488.  
  2489.     System sector viruses modify the program in either the DOS boot
  2490.     sector or the partition sector.  Since there isn't much room in the
  2491.     system sector (only 512 bytes), these viruses usually have to hide
  2492.     their code somewhere else on the disk.  These viruses sometimes
  2493.     cause problems when this spot already contains data which is then
  2494.     overwritten.  Some viruses, such as the Pakistani BRAIN virus
  2495.     mark the spot where they hide their code as bad sectors.  This is
  2496.     one reason to be alarmed if CHKDSK suddenly reports additional
  2497.     bad sectors on your disk.  These viruses usually go resident in
  2498.     memory on your PC, and infect any floppy disk which you access.
  2499.     Simply doing a DIR on a floppy disk may cause it to be infected.
  2500.     Some viruses will infect your diskette as soon as you close the
  2501.     drive door.  Since they are active in memory (resident), they can
  2502.     hide their presence.  If BRAIN is active on your PC, and you use a
  2503.     sector editor such as Norton's NU to look at the boot sector of an
  2504.     infected diskette, the virus will intercept the attempt to read the
  2505.     infected boot sector and return instead a saved image of the origi-
  2506.     nal boot sector.  You will see the normal boot sector instead of the
  2507.     infected version.  Viruses which do this are known as stealth vi-
  2508.     ruses.  In addition to infecting diskettes some system sector viruses
  2509.     spread by also infecting files.
  2510.  
  2511.     File Viruses
  2512.     ------------
  2513.     In terms of sheer number of viruses, these are the most common
  2514.     kind.  The simplest file viruses work by locating a type of file that
  2515.     they know how to infect (usually a file name ending in ".COM" or
  2516.     ".EXE") and overwriting part of the program they are infecting.
  2517.     When this program is executed, the virus code executes and infects
  2518.     more files.  These overwriting viruses do not tend to be very
  2519.     successful since the overwritten program rarely continues to func-
  2520.     tion correctly and the virus is almost immediately discovered.  The
  2521.     more sophisticated file viruses modify the program so that the
  2522.     original instructions are saved and executed after the virus finishes.
  2523.     Just as system sector viruses can remain resident in memory and
  2524.     use "stealth" techniques to hide their presence, file viruses can hide
  2525.     this way also.  If you do a directory listing, you will not see any
  2526.  
  2527.     Integrity Master (tm)             -  52  -                 Version 1.23a
  2528.  
  2529.     increase in the length of the file and if you attempt to read the file,
  2530.     the virus will intercept the request and return your original unin-
  2531.     fected program to you.  This can sometimes be used to your advan-
  2532.     tage.  If you have a "stealth" virus (such as 4096 or Dir-2), you
  2533.     can copy your program files (*.EXE and *.COM files) to files with
  2534.     other extensions and allow the virus to automatically disinfect your
  2535.     files!  If you "COPY *.COM  *.CON", and then cold boot your
  2536.     PC from a known good copy of DOS and "REN *.CON  *.COM",
  2537.     this will disinfect the renamed files.
  2538.  
  2539.     Be aware that some file viruses (such as 4096) also infect overlay
  2540.     files as well as the more usual *.COM and *.EXE files. Overlay
  2541.     files have various extensions, but ".OVR" and ".OVL" are
  2542.     common examples.
  2543.  
  2544.  
  2545.     Miracle Infections
  2546.     ------------------
  2547.     Would you believe that viruses can infect your files without chang-
  2548.     ing a single byte in the file?  Well, it's true!  There are two types
  2549.     of viruses that can do this.  The more common kind is what is
  2550.     called the companion or spawning type virus.  This virus infects
  2551.     your files by locating a file name ending in ".EXE".  The virus
  2552.     then creates a matching file name ending in ".COM" which con-
  2553.     tains the viral code.  Here's what happens.  Let's say a companion
  2554.     virus is executing (resident) on your PC and decides it's time to
  2555.     infect a file.  It looks around and happens to find a file called
  2556.     "WP.EXE".  It now creates a file called "WP.COM" containing
  2557.     the virus.  If you type "WP" and hit enter, DOS will execute
  2558.     "WP.COM" instead of "WP.EXE".  The virus executes, possibly
  2559.     infecting more files and then loads and executes "WP.EXE".  The
  2560.     user probably doesn't notice anything wrong.  This type of virus is
  2561.     fortunately easy to detect by the presence of the extra ".COM"
  2562.     files.  There are some instances where it is normal to have both
  2563.     ".COM" and ".EXE" files of the same name (such as DOS 5's
  2564.     DOSSHELL) but this is relatively rare.  It is also possible for a virus
  2565.     to plant either .COM or .EXE files for existing .BAT files, (IM will
  2566.     detect this and warn you), but this is unlikely to be an effect stategy.
  2567.  
  2568.     There is a new type of virus known as a "cluster" virus which
  2569.     infects your files not by changing the file or planting extra files but
  2570.     by changing the DOS directory information so that directory entries
  2571.     point to the virus code instead of the actual program.  When you
  2572.     type the name of the program, DOS loads and executes the virus
  2573.     code, the virus then locates the actual program and executes it.
  2574.     Dir-2 is an example of this type of virus and is now spreading
  2575.     rapidly around the world.  We are deliberately keeping our descrip-
  2576.     tion of this type of virus rather vague to avoid making it easier to
  2577.     write this type of virus.
  2578.  
  2579.     Integrity Master (tm)             -  53  -                 Version 1.23a
  2580.  
  2581.     How many PC viruses are there?
  2582.     ------------------------------
  2583.     There are more PC viruses than all other viruses combined, by a
  2584.     large margin.  Estimates of exactly how many there are vary
  2585.     widely and are constantly growing.  About a year ago, estimates
  2586.     ranged from 200 to 500.  Now estimates range from 600 to 1300
  2587.     different viruses.  This confusion is partly due to the fact that it's
  2588.     difficult to agree on how to count viruses.  New viruses frequently
  2589.     arise from some idiot taking an existing virus that does something
  2590.     like put a message out on your screen saying: "YOUR PC IS
  2591.     STONED" and changing it to say something like "Donald Duck is
  2592.     a lie".  Is this a new virus?  Most "experts" say "yes."  This is a
  2593.     trivial change that probably took all of about two minutes to make
  2594.     and we have another virus?  Another problem comes from viruses
  2595.     that try to conceal themselves by mutating.  In other words, each
  2596.     copy of the virus may be different than its parent.  One example,
  2597.     the WHALE (a huge clumsy 10,000 byte virus) creates 33 different
  2598.     versions of itself when it infects files.  At least one  researcher
  2599.     counts this as 33 different viruses on their list.  Many of the large
  2600.     number of viruses known to exist have not been detected in the
  2601.     wild but exist (hopefully) only in someone's virus collection.
  2602.     Several authors of anti-virus products, including Mark Washburn
  2603.     and Ralph Burger, have written sophisticated viruses which are
  2604.     now on the loose, but other viruses that they created apparently
  2605.     exist only in virus collections.
  2606.  
  2607.     David M. Chess of IBM's High Integrity Computing Laboratory
  2608.     reports in the November Virus Bulletin that "about 30 different
  2609.     viruses and variants account for nearly all of the actual infections
  2610.     that we see in day-to-day operation."  How can there be only 30
  2611.     viruses active when some "experts" report such high numbers?
  2612.     This is probably because most viruses are poorly written and can
  2613.     not spread at all or spread without betraying their presence.
  2614.     Although the actual number of viruses will probably continue to be
  2615.     hotly debated, what is clear is that the overall number of viruses is
  2616.     increasing rapidly although perhaps not quite as rapidly as the
  2617.     numbers might indicate.
  2618.  
  2619.     How serious are viruses?
  2620.     ------------------------
  2621.     It's important to keep viruses in perspective.  There are many other
  2622.     threats to your programs and data that are MUCH more likely to
  2623.     harm you than viruses.  A well known anti-virus researcher once
  2624.     said that you have more to fear from a cup of coffee than from
  2625.     viruses.  While the growth in number of viruses now puts this
  2626.     statement into question, it's still clear that there are many more
  2627.     occurrences of data corruption from other causes than from vi-
  2628.     ruses.  So, does this mean that viruses are nothing to worry about?
  2629.     Emphatically, no!  It just means that it's foolish to spend a lot of
  2630.  
  2631.     Integrity Master (tm)             -  54  -                 Version 1.23a
  2632.     money and time on addressing the threat of viruses if you've done
  2633.     nothing about the other more likely threats to your files.  Because
  2634.     viruses have been deliberately written to invade and possibly
  2635.     damage your PC, they are the most difficult threat to guard against.
  2636.     It's pretty easy to understand the threat that disk failure represents
  2637.     and what to do about it (although surprisingly few people even
  2638.     address this threat).  The threat of viruses is much more difficult to
  2639.     deal with.  There are no "cures" for the virus problem.  Why is
  2640.     this so?  We'll explore this in the next chapter on "Protecting Your
  2641.     PC."
  2642.  
  2643.     Integrity Master (tm)             -  55  -                 Version 1.23a
  2644.     _______________________________________________________________________
  2645.     CHAPTER TWO  -  P r o t e c t i n g   Y o u r   P C
  2646.  
  2647.     Hardware Protection
  2648.     -------------------
  2649.     Hardware is the foundation upon which your whole system is built.
  2650.     If you have more than one or two PC's, you probably owe it to
  2651.     yourself to buy some diagnostic programs.  If your PC is perform-
  2652.     ing strangely or if a file is damaged, it's vital to be able to deter-
  2653.     mine whether hardware is the cause.  You probably don't want to
  2654.     call in a repair person each time something strange happens.  Even
  2655.     if you have just one or two PCs, there are some fairly low cost
  2656.     diagnostic programs which are worth having.  One problem with
  2657.     diagnostic software (and hardware too, for that matter) is that when
  2658.     you run the diagnostics, everything may work perfectly, yet some
  2659.     time earlier there definitely was a problem. Intermittent problems
  2660.     like this are all too common.  Disk problems can be the most insid-
  2661.     ious in this respect.  When you run the diagnostics everything
  2662.     works fine.  How can you find out what's happening?  Run a
  2663.     comprehensive data integrity product (surprise)!  This way you can
  2664.     determine if some data was damaged, but you don't have to spend
  2665.     days running diagnostics.  This also lets you know as soon as your
  2666.     disk is starting to have problems rather than waiting for things to
  2667.     get so bad that you notice it.
  2668.  
  2669.     This almost goes without saying, but buy whatever you can to
  2670.     protect your hardware from failing in the first place.  Buy surge
  2671.     protectors, keep your PC clean, and regularly clean the heads on
  2672.     your tape and diskette drives.  Be sure to protect your PC and
  2673.     keyboard from spilled coffee and similar threats.
  2674.  
  2675.     Your hard disk is going to fail!  It's not "if" but "when"!  It's
  2676.     absolutely vital to be able to deal with this threat.  Basic to dealing
  2677.     with this threat and most of the others is having backups.  Please
  2678.     read the section in Chapter five on Backup Policy.  Since your hard
  2679.     disk is very likely going to start performing erratically before it
  2680.     totally fails, it's vital to detect this as it's happening and to be able
  2681.     to determine what is causing the problems.  It will very likely NOT
  2682.     be obvious to you whether a hardware problem, software problem
  2683.     or a virus is damaging your files.  More on making this determina-
  2684.     tion in the section in Chapter Five  titled Determining Causes of
  2685.     Corruption.
  2686.  
  2687.     "Fixing" Your Disk
  2688.     ------------------
  2689.     Sometimes you will find you have damaged files, which could be
  2690.     caused by hardware, software or who knows what.  When you are
  2691.     having the problem, your main concern is often not what caused it,
  2692.     but how to fix the damage.  This is where the disk utility programs
  2693.  
  2694.     Integrity Master (tm)             -  56  -                 Version 1.23a
  2695.  
  2696.     offered by Gibson, Norton, Mace and Central Point are often very
  2697.     handy.  They can sometimes take unreadable data and extract some
  2698.     of it, or if you have logical damage to your disk such as cross
  2699.     linked clusters, these programs (and DOS CHKDSK) may be able
  2700.     to fix things for you.  Unfortunately, things are not always fixed
  2701.     perfectly when these programs say they are.  Using a data integrity
  2702.     product (such as Integrity Master) will allow you to determine if
  2703.     everything really was put back together again.  More importantly
  2704.     than that, a data integrity product can be used to more accurately
  2705.     diagnose what is wrong to begin with, so you don't attempt a repair
  2706.     which actually makes things worse.
  2707.  
  2708.     Goof Protection
  2709.     ---------------
  2710.     Who hasn't accidentally deleted or copied onto the wrong files at
  2711.     some time?  Very few of us!  If you have a data integrity product
  2712.     (such as Integrity Master), a  utility package (Norton, Mace,
  2713.     PCtools etc) and current backups, you're all set.  You could proba-
  2714.     bly do without the utilities, but it's rather convenient to be able to
  2715.     unerase files after you inadvertently delete the wrong ones (this is
  2716.     built into DOS 5).  Of course, a backup program or an undelete
  2717.     utility won't help you if you didn't notice the incorrect delete when
  2718.     it happened and you now don't know what to restore or undelete.
  2719.     That's why data integrity software is a vital component to handling
  2720.     this threat.
  2721.  
  2722.     Intrusion Protection
  2723.     --------------------
  2724.     This may not be an issue if your PC is kept locked in a vault when
  2725.     you're not using it, but otherwise you can never be sure that an
  2726.     intruder hasn't changed something on your PC.  Do you think
  2727.     we're exaggerating?  We're not!  The intruder may be your spouse
  2728.     or kids.  They probably have no intention of changing anything but
  2729.     may be confused on how to use one of the programs on your PC,
  2730.     with the result that they inadvertently change the wrong file.  On
  2731.     the other hand, you may work in an environment where someone
  2732.     may want to deliberately do you harm or perhaps just "play a little
  2733.     joke" on you.
  2734.  
  2735.     There are programs available which modify the partition sector on
  2736.     your PC so that the hard disk is unavailable unless someone pro-
  2737.     vides a password.  There are add-in boards that provide the same
  2738.     function.  Some PCs (eg. PS/2 PCs) come with a power-up pass-
  2739.     word.  You can lock the case to your PC to make it more difficult
  2740.     to open.  You may wish to consider any of these options depending
  2741.     upon how much risk you face, but please realize that they can all
  2742.     be bypassed in less than ten minutes by a knowledgeable user.
  2743.     Surveillance cameras are regarded as a fairly good deterrent to PC
  2744.     tampering.
  2745.  
  2746.     Integrity Master (tm)             -  57  -                 Version 1.23a
  2747.  
  2748.     While you can't totally stop someone from breaking into your PC,
  2749.     you can detect and correct the damage.  By using an integrity
  2750.     program which allows you to encrypt the integrity data or store the
  2751.     data off-line (on floppies), you can detect any illegal tampering,
  2752.     even from a technically advanced adversary.
  2753.  
  2754.  
  2755.     V I R U S   D E F E N S E S
  2756.     ---------------------------
  2757.  
  2758.     There are numerous methods in use to protect against viruses.
  2759.     What follows is a quick review of the viral defense mechanisms
  2760.     which are widely used today.
  2761.  
  2762.     Scanners
  2763.     --------
  2764.     Once a virus has been detected, it is possible to write programs
  2765.     which look for telltale code (signature strings) characteristic of the
  2766.     virus code.  The writers of the scanner have extracted identifying
  2767.     strings from each virus of which they are aware.  The scanner then
  2768.     searches memory, your files and system sectors for these signature
  2769.     strings.  This obviously detects only known, preexisting, viruses.
  2770.     If a virus "mutates", in other words, changes each copy of itself
  2771.     somewhat, then this technique may not work. The virus V2P7
  2772.     reportedly has billions of possible mutations and apparently can not
  2773.     be detected with assurance by normal scanning.   Another, simpler,
  2774.     way for a virus to effectively mutate, is for a programmer to
  2775.     modify it after its initial release to change its behavior.  It happens
  2776.     not too infrequently that a virus is changed just to avoid the scan-
  2777.     ners.
  2778.  
  2779.     A major drawback to scanners is that it's dangerous to depend
  2780.     upon an old scanner.  With the dramatic increase in the number of
  2781.     viruses appearing, it's dangerous to depend upon anything other
  2782.     than the most current scanner.  Even that scanner is necessarily a
  2783.     step behind the latest crop of viruses since it takes quite a bit of
  2784.     time before a new virus is distributed to most virus researchers,
  2785.     analyzed and the changes incorporated into the new program and
  2786.     the new program released.  Commercial retail software takes so
  2787.     long to get to the shelves, that it is almost certainly out of date.
  2788.     Yet many retail products depend upon their scanner for most of
  2789.     their effectiveness.
  2790.  
  2791.        IF YOU DEPEND UPON A SCANNER, BE SURE TO GET THE LATEST
  2792.        VERSION DIRECTLY FROM THE AUTHOR.  ALSO, BE SURE YOU BOOT
  2793.        FROM A CLEAN WRITE PROTECTED COPY OF DOS BEFORE RUNNING THE
  2794.        SCANNER; THERE'S A GOOD CHANCE THAT THE SCANNER CAN DETECT A
  2795.        RESIDENT VIRUS IN MEMORY, BUT IF IT MISSES THE VIRUS IN
  2796.        MEMORY, THE SCANNER WILL WIND UP SPREADING THE VIRUS RATHER
  2797.        THAN DETECTING IT.  EACH AND EVERY SUSCEPTIBLE PROGRAM ON
  2798.        YOUR DISK COULD BE INFECTED IN A MATTER OF MINUTES THIS WAY!
  2799.  
  2800.     Integrity Master (tm)             -  58  -                 Version 1.23a
  2801.  
  2802.     Disinfectors
  2803.     ------------
  2804.     Most vendors that sell scanners also sell a disinfector (sometimes
  2805.     it's the same program).  A disinfector has the same limitations that
  2806.     a scanner has, in that it must be current to be safe to use and it's
  2807.     always one step behind the latest crop of viruses.  The disinfector,
  2808.     however, has an even bigger disadvantage:  Many viruses simply
  2809.     can not be removed without damaging the infected file.  There have
  2810.     also been numerous reports that files are still damaged even when
  2811.     the program claims to have disinfected the file.  A disinfector like a
  2812.     scanner can be a very handy tool in your anti-virus arsenal, but it
  2813.     must be used with care.  If you use a disinfector, be sure you have
  2814.     the latest version direct from the author and use an integrity check
  2815.     to verify that all files and system sectors are correctly restored.
  2816.  
  2817.     Currently, one of the oldest and most common infector of files is
  2818.     the Jerusalem (1813) virus.  All disinfectors naturally claim to be
  2819.     able to remove this virus.  Yet the Jerusalem virus frequently
  2820.     overwrites part of the original file (due mostly to its many bugs)
  2821.     making it impossible to restore the infected program.  In spite of
  2822.     this, most (if not all) disinfectors claim to disinfect Jerusalem in-
  2823.     fected files.  A very dangerous situation!  It must be stressed that:
  2824.  
  2825.       IT IS TOTALLY UNSAFE AND IRRESPONSIBLE TO DEPEND UPON
  2826.       DISINFECTORS AS A WAY TO RECOVER FROM VIRUS INFECTIONS.
  2827.  
  2828.     Interceptors
  2829.     ------------
  2830.     This technique is particularly useful for defusing logic bombs and
  2831.     trojans.  With this method, the anti-viral code monitors operating
  2832.     system calls which write to disk or do other things that the program
  2833.     considers threatening (such as installing itself as a resident pro-
  2834.     gram).  There is, however, no reliable way to intercept direct
  2835.     branches into low level code or to intercept direct input and output
  2836.     instructions done by the virus itself.  Some viruses attempt to
  2837.     modify the interrupt 13H and 26H vectors to disable any monitor-
  2838.     ing code.  It is important to realize that monitoring is a risky tech-
  2839.     nique.  Some products which use this technique are so annoying to
  2840.     use (due  to their numerous  messages) that some users consider
  2841.     the cure worse than the disease!  An interception (monitoring)
  2842.     product would be a useful adjunct to a data integrity program, as
  2843.     protection against some the more simple minded logic bombs.
  2844.  
  2845.  
  2846.     Integrity Master (tm)             -  59  -                 Version 1.23a
  2847.  
  2848.     Inoculators
  2849.     -----------
  2850.     There are two types of inoculators or so-called immunizers.
  2851.     One modifies your files and system sectors in an attempt to fool
  2852.     viruses into thinking that you are already infected so they won't
  2853.     infect you again.  This is done by making the same changes that the
  2854.     viruses use to identify the file or sector as infected.  This works only
  2855.     for a small number of viruses and in our opinion is of questionable
  2856.     value.
  2857.  
  2858.     The second is actually a type of integrity check technique where
  2859.     the check data and the checking code are planted in the program
  2860.     itself.  When the program is executed, the check code first com-
  2861.     putes the check data and compares it with the stored data.  This
  2862.     technique can be circumvented by a virus which would modify the
  2863.     self-checking code or the check data.  Again a very questionable
  2864.     technique.  This is the way some products claim to detect unknown
  2865.     viruses.
  2866.  
  2867.     ROM and Encryption
  2868.     ------------------
  2869.     Placing executable code on a hardware write protected device, will
  2870.     protect all those programs on that device.  DOS in ROM (Read
  2871.     Only Memory) is found on some PCs.  This provides some degree
  2872.     of protection, but all the other programs are still vulnerable to
  2873.     infection.  The more programs you can isolate on a write protected
  2874.     devices the more effective this technology is.
  2875.  
  2876.     Encryption is a promising technique which so far has not been
  2877.     successfully used to protect a system.  Encrypting as many of your
  2878.     files as possible makes life harder for viruses, but does not stop
  2879.     them since there is always some unencrypted code around (boot
  2880.     sector, BIOS, DOS, device drivers etc).
  2881.  
  2882.     Integrity Checkers
  2883.     ------------------
  2884.     Integrity checkers work by reading all your files and recording
  2885.     integrity data which acts as a signature for the file.  An integrity
  2886.     check program is the only solution which can handle all the threats
  2887.     to data integrity that we've mentioned here.  In theory a well writ-
  2888.     ten integrity checker should be able to detect any virus.
  2889.  
  2890.     So, why isn't everyone using an integrity checker?  Well, until
  2891.     recently there hasn't been an integrity checker available without
  2892.     some significant drawbacks.  As a matter of fact many anti-virus
  2893.     products now incorporate integrity checking techniques.  The
  2894.     problem with them is that they don't use these techniques in a
  2895.     comprehensive way.  There are still too many things not being
  2896.     checked.
  2897.  
  2898.     Integrity Master (tm)             -  60  -                 Version 1.23a
  2899.  
  2900.     If you choose an integrity checker, be sure it has all these features:
  2901.  
  2902.     o It's easy to use with clear unambiguous reports and built-in help.
  2903.  
  2904.     o It hides complexity, so that complicated details of system file or
  2905.       system sector changes are only presented if they present informa-
  2906.       tion the user must act upon.
  2907.  
  2908.     o The product recognizes the various files on the PC so it can alert
  2909.       the user with special warnings if dangerous files have changed.
  2910.  
  2911.     o It's fast.  An integrity checker is of no use if it's too slow to run.
  2912.  
  2913.     o It recognizes known viruses, so the user doesn't have to do all
  2914.       the work to determine if a change is due to a software conflict, or
  2915.       if it's due to a virus.
  2916.  
  2917.     o It's important that the integrity computation be more sophisticat-
  2918.       ed than a mere checksum.  Two sectors may get reversed in a file
  2919.       or other damage may occur which otherwise rearranges data in a
  2920.       file.  A checksum will not detect these changes.
  2921.  
  2922.     o It's comprehensive.  Some integrity checkers, in order to im-
  2923.       prove their speed, don't read each file in its entirety.  They read
  2924.       only portions of larger files.  They just spot check.  This is
  2925.       unacceptable - it's important to know the file hasn't changed, not
  2926.       just that some of the file hasn't changed.
  2927.  
  2928.     o It checks and restores both boot and partition sectors.  Some
  2929.       programs check only files.
  2930.  
  2931.     (Naturally Integrity Master does all these things.)
  2932.  
  2933.     Gadgets
  2934.     -------
  2935.     There are currently some gadgets (hardware devices) which are
  2936.     sold as virus protection.   So far, we haven't seen anything which
  2937.     provides protection beyond what is offered by software only
  2938.     products.  Beyond putting some of the anti-virus code in read only
  2939.     memory (ROM), we've seen little that can be accomplished by
  2940.     existing hardware.  In one case, the hardware was used to store
  2941.     some integrity data; a floppy disk can do the same thing and it's
  2942.     actually more secure.
  2943.  
  2944.     Integrity Master (tm)             -  61  -                 Version 1.23a
  2945.  
  2946.     Prevention:
  2947.     -----------
  2948.     Hardware techniques, such as placing all your programs in read
  2949.     only memory (ROM), can, in theory, provide virus prevention, but
  2950.     nothing even comes close to doing this yet.  Pure software tech-
  2951.     niques can probably not prevent all viruses.  There are all  sorts of
  2952.     schemes which make it more difficult for a virus to penetrate your
  2953.     system, but none totally eliminate the threat of a virus.  For each
  2954.     software based technique, there is a way a virus could circumvent
  2955.     it.  Software helps a lot but isn't absolute protection.  While pre-
  2956.     vention of viruses may not be possible, detection is.  Detection, if
  2957.     applied carefully, can detect all viruses, no matter how tricky.  If
  2958.     viruses are detected before they spread, the most serious aspect of
  2959.     the virus threat is eliminated.  If integrity checking (detection) is
  2960.     practiced widely, the threat of a virus spreading to millions of PCs
  2961.     and then years later doing a destructive act can be eliminated.
  2962.  
  2963.  
  2964.     Integrity Master (tm)             -  62  -                 Version 1.23a
  2965.     _______________________________________________________________________
  2966.     CHAPTER THREE  -   V i r u s   M y t h s
  2967.  
  2968.     M y t h i c a l   S o u r c e s
  2969.     -------------------------------
  2970.  
  2971.     ATTACHMENT TO A NETWORK OR BBS
  2972.     ------------------------------
  2973.       Simply being attached to a network (such as CompuServe, or
  2974.       Internet), a bulletin board system (BBS), or even a local area
  2975.       network will not make you susceptible to viruses.  The only way
  2976.       you can get a virus is to execute a program on your PC which
  2977.       you obtained over the network.  The mere act of downloading
  2978.       the program is harmless; it's only by downloading and then
  2979.       executing an infected program, that your PC can become infect-
  2980.       ed.  Also, reading electronic mail can not infect you.  There is
  2981.       one thing that can happen though.  If you have the device driver
  2982.       ANSI.SYS (or an equivalent) loaded (in your CONFIG.SYS
  2983.       file), someone could send you an ANSI sequence which assigns
  2984.       a set of DOS commands to a key on your keyboard.  This "prac-
  2985.       tical joke" could potentially cause some trouble, but it certainly
  2986.       can't reproduce and isn't a virus.
  2987.  
  2988.     FROM DATA
  2989.     ---------
  2990.       Since data is not executed, you can not become infected from
  2991.       data.  If someone sent you a data file which contained a virus,
  2992.       you would have to rename the file and then execute it in order to
  2993.       become infected!  You can, however, become infected from a
  2994.       diskette that is not bootable and contains no (apparent) programs.
  2995.       The explanation for this is that all diskettes have a boot sector
  2996.       which contains a program that can become infected by a boot
  2997.       sector virus.  If leave such an infected diskette in your drive
  2998.       when you power up or boot, your PC will be infected!
  2999.  
  3000.     FROM CMOS MEMORY
  3001.     ----------------
  3002.       PC AT (80286 and 80386 based) type computers and later
  3003.       models contain a small amount of battery backed CMOS
  3004.       memory to store the configuration and to maintain the time and
  3005.       date.  This memory is never executed, so although it could be
  3006.       damaged by virus, you can never become infected from CMOS
  3007.       memory.
  3008.  
  3009.     Q u i c k   a n d   E a s y   C u r e s
  3010.     ---------------------------------------
  3011.     We've discussed the various approaches to the virus problem, and
  3012.     you've no doubt seen that there are no instant cures for viruses, yet
  3013.     many products make claims which they can't live up to.  Everyone
  3014.     would like to just buy product X, run it, and be rid of viruses
  3015.     forever.  Unfortunately there is no such easy cure.
  3016.  
  3017.  
  3018.     Integrity Master (tm)             -  63  -                 Version 1.23a
  3019.  
  3020.     S i l l y   T r i c k s
  3021.     -----------------------
  3022.     There have been many articles and books written by various virus
  3023.     "experts" which propose doing all kinds of things to virus proof
  3024.     your PC.  Here are some of these suggestions which are so ineffec-
  3025.     tive that they are not worth the trouble it takes to do them:
  3026.  
  3027.     WRITE PROTECTING YOUR FILES
  3028.     ---------------------------
  3029.       You can use the DOS ATTRIB command to set the read only bit
  3030.       on files.  This is so easy for a virus (or any program) to bypass,
  3031.       it's just not worth the trouble it causes.
  3032.  
  3033.     HIDING OR RENAMING COMMAND.COM
  3034.     ------------------------------
  3035.       COMMAND.COM is one of the programs which executes each
  3036.       time you boot your PC.  There was an early virus which only
  3037.       infected COMMAND.COM so this idea of hiding or renaming
  3038.       this file began.  Today many viruses actually go out of their way
  3039.       to avoid infecting this file, since some anti-virus products single
  3040.       out this file and a few others for special scrutiny.
  3041.  
  3042.     CHECKING TIME AND DATE STAMPS
  3043.     -----------------------------
  3044.       It's certainly OK, to check the time and date stamps of your
  3045.       executable files, but this not a reliable way to catch viruses.
  3046.       Many viruses are smart enough not to change the time and date
  3047.       stamps when they infect a file.  Some viruses even hide the
  3048.       change to file's size when they infect a file.
  3049.  
  3050.     C e r t i f i e d   S o f t w a r e ?
  3051.     -------------------------------------
  3052.     It's the policy in many companies to have a certification desk
  3053.     where all software executed on PCs must be checked out.  The
  3054.     person at the certification desk usually runs the software through an
  3055.     anti-virus product to check for known viruses and then sets the date
  3056.     ahead on the PC and checks for anything strange.  If all looks OK,
  3057.     the software is certified clean.  This is actually a reasonable idea.
  3058.     The myth comes from the "certified clean" label.  As we've seen in
  3059.     our discussion of virus triggers, simply setting the date ahead is not
  3060.     good enough to set off most virus triggers.  The danger comes
  3061.     from people taking the "Certified clean" label too seriously.  It's
  3062.     just not possible to know for sure that any piece of software doesn't
  3063.     contain a virus.  An unknown virus could be lurking which simply
  3064.     hasn't triggered yet.  If the virus screening desk should get such a
  3065.     virus and the only software they used was a scanner, they could
  3066.     easily spread the virus to all other disks that they are certifying
  3067.     clean!
  3068.  
  3069.  
  3070.     Integrity Master (tm)             -  64  -                 Version 1.23a
  3071.  
  3072.     R e t a i l   S o f t w a r e   O n l y ?
  3073.     -----------------------------------------
  3074.     Several "virus experts" have suggested that users avoid download-
  3075.     ing software and avoid shareware.  There are no facts to back this
  3076.     up.  It is, of course, wise to make sure that you download your
  3077.     software from a source that screens each program for known vi-
  3078.     ruses.  You are actually much more likely to be infected from
  3079.     software purchased at a retail outlet than from shareware.  Quite a
  3080.     few viruses have been shipped directly from the software manufac-
  3081.     turer in the shrink wrapped packages.  One major software compa-
  3082.     ny has on at least two separate occasions shipped a virus with their
  3083.     product.  Buying shrink wrapped retail software is much more
  3084.     dangerous than many people think it is, since many retailers accept
  3085.     returned software and then simply rewrap the software and sell it
  3086.     again.  This software could have easily been infected by the first
  3087.     user who tried it and then returned it.
  3088.  
  3089.     W r i t e   P r o t e c t i n g   Y o u r   H a r d   D i s k
  3090.     -------------------------------------------------------------
  3091.     There are several programs that claim to write protect your hard
  3092.     disk.  Since this is done in software, it can be bypassed by a virus.
  3093.     This technique however will stop some viruses and will protect
  3094.     your disk from someone inadvertently writing to it who shouldn't.
  3095.     These programs are generally less effective than the virus intercep-
  3096.     tion products.
  3097.  
  3098.     It IS possible to write protect a disk using hardware, but this does
  3099.     not seem to be readily available.
  3100.  
  3101.     V i r u s e s   a r e   t h e   B i g   T h r e a t ?
  3102.     -----------------------------------------------------
  3103.     As we've seen in examining the other threats to the integrity of
  3104.     your data, viruses are among the less likely threats that you face.
  3105.     Don't protect yourself against viruses and ignore the other threats!
  3106.  
  3107.     Integrity Master (tm)             -  65  -                 Version 1.23a
  3108.  
  3109.     S a f e   C o m p u t i n g   ( S a f e   H e x ? )
  3110.     ---------------------------------------------------
  3111.     You may have heard this rumor: "You don't need an anti-virus
  3112.     product, just backup your disk regularly and keep an eye on your
  3113.     programs."   Yes, indeed it is vital to have good backups, but that
  3114.     is no longer enough.  You may also have heard as long as you
  3115.     don't share programs or download (practice safe hex) you have
  3116.     nothing to worry about.  Nothing could be further from the truth;
  3117.     each time you buy a software package you are exposing yourself to
  3118.     potential virus infection.  It is not possible to be safe from viruses
  3119.     by secluding your PC!
  3120.  
  3121.     There are now some very sophisticated viruses that can do a lot of
  3122.     damage.  Although they may not be very likely to attack your
  3123.     system when compared to other threats, they do represent a very
  3124.     real and very dangerous threat.  A threat you can not ignore or
  3125.     combat merely with good backups, seclusion or common sense.
  3126.  
  3127.  
  3128.     S o f t w a r e   i s   u s e l e s s   a g a i n s t   v i r u s e s
  3129.     ---------------------------------------------------------------------
  3130.     Maybe we should just surrender to viruses and wait for a fool-
  3131.     proof hardware solution?   Software can't defeat software -- right?
  3132.     Wrong!  The viruses are playing on your turf, so you have an
  3133.     advantage.  By cold booting from a good copy of DOS on diskette,
  3134.     you can bring up a clean operating system (DOS) and then use an
  3135.     integrity checker to look for any unexpected changes.  A virus will
  3136.     betray itself in the system sectors or executable files.
  3137.  
  3138.  
  3139.  
  3140.     Integrity Master (tm)             -  66  -                 Version 1.23a
  3141.     _____________________________________________________________________
  3142.     CHAPTER FOUR - Virus Realities
  3143.  
  3144.     T h e   O N L Y   R e a l   S o u r c e   o f   V i r u s e s
  3145.     -------------------------------------------------------------
  3146.     You can't get a virus merely by being connected to a network or
  3147.     bulletin board system (BBS).
  3148.  
  3149.     There is only one way you can get a virus and that's to execute a
  3150.     program containing a virus.  Period.  End of story.  Well, almost
  3151.     the end of the story.  What some people don't know is that every
  3152.     disk and diskette has a program on it, even if it appears empty.
  3153.     This program is in the boot sector.  Most people don't think of
  3154.     boot sectors as programs or perhaps even know that boot sectors
  3155.     exist.  If you leave a data diskette in your A drive and boot your
  3156.     PC, you could be executing an infected program in the boot sector,
  3157.     thereby infecting your PC with a virus.  Make sure you NEVER
  3158.     boot from a diskette unless it's a known good copy of DOS.
  3159.  
  3160.     S h a r e w a r e   i s   a s   S a f e   o r   S a f e r
  3161.     ---------------------------------------------------------
  3162.     There is no reason to avoid shareware.  As a matter of fact, if you
  3163.     want to get the very latest anti-virus software, it's easiest to get it
  3164.     as shareware, since you are buying directly from the author, rather
  3165.     than buying something that has had to go from the author to the
  3166.     publisher, then through the distribution chain before it even gets to
  3167.     sit on the shelf.  Who knows how long it's been on that shelf?
  3168.  
  3169.     F e w   V i r u s   F r e e   P r o g r a m s
  3170.     ---------------------------------------------
  3171.     Unfortunately, there is no way to look at a program (unless you
  3172.     wrote the program yourself in assembly language) and positively
  3173.     declare there's no virus in it.  All you can say is that the program
  3174.     contains no known virus.  You never know what may be lurking
  3175.     inside of a program waiting for just the right trigger to begin infec-
  3176.     tion or perhaps an attack.
  3177.  
  3178.     As we've explained, while you can't be sure of detecting a virus
  3179.     while it's inert inside of a program, you certainly CAN detect it as
  3180.     it infects or attacks your files.
  3181.  
  3182.     O t h e r   C a u s e s   m o r e   l i k e l y
  3183.     -----------------------------------------------
  3184.     Viruses are not the greatest threat to your data, so let's not forget
  3185.     about the other threats too.
  3186.  
  3187.     W r i t e   P r o t e c t i n g   F l o p p i e s
  3188.     -------------------------------------------------
  3189.     While write protecting your files and your hard disk are of ques-
  3190.     tionable value, you definitely CAN write protect your floppy disks.
  3191.     Just cover the notch on the 5.25 inch diskettes or on 3.5 inch disk-
  3192.     ettes, slide the little tab to expose the hole.  The only risk here is
  3193.     that some diskette drives may be defective and still allow writing
  3194.     on the diskette.  If in doubt, do a test and check out your drive.
  3195.  
  3196.  
  3197.     Integrity Master (tm)             -  67  -                 Version 1.23a
  3198.  
  3199.     B e w a r e   t h e   C E   a n d   t h e   D e m o !
  3200.     -----------------------------------------------------
  3201.     According to our reports, one of the major sources for infections is
  3202.     the customer engineer (CE) or repairman.  The CEs frequently
  3203.     carry diagnostic diskettes with them when they go from PC to PC
  3204.     on service calls.  It's all to easy for these diskettes to become in-
  3205.     fected.  Salesmen doing demos on various PCs are also very sus-
  3206.     ceptible to getting their demo diskettes infected.
  3207.  
  3208.     V i r u s e s   a r e   g o i n g   t o   g e t   w o r s e
  3209.     -----------------------------------------------------------
  3210.     Not only are we seeing the number of viruses grow at an alarming
  3211.     rate, but we are seeing more sophisticated and better written vi-
  3212.     ruses.  The rate of reported infections has increased rapidly.  One
  3213.     company (Certus International, a vendor of anti-virus software)
  3214.     was quoted in Information Week (a national trade journal) that
  3215.     based on their reports, one out of four PCs was infected every
  3216.     month!  While one PC in four seems a bit hard to believe, it's clear
  3217.     that viruses are no longer something one can dismiss as very un-
  3218.     likely.  Viruses are, in fact, a threat that we must address one way
  3219.     or the other.
  3220.  
  3221.  
  3222.     Integrity Master (tm)             -  68  -                 Version 1.23a
  3223.     ____________________________________________________________________
  3224.     C H A P T E R   F I V E   -
  3225.  
  3226.     W h a t   t o   d o   -   s o m e   s u g g e s t i o n s
  3227.     ---------------------------------------------------------
  3228.  
  3229.     Action is Vital - Now!
  3230.     ----------------------
  3231.     Too many people wait for a virus to attack their PC before they
  3232.     take any action.  At this point it may be too late to recover dam-
  3233.     aged files.  There are many viruses that can not be successfully
  3234.     removed due to the way the virus infects the program.  It's abso-
  3235.     lutely vital to have protection before the virus strikes.
  3236.  
  3237.     It's also vital to protect against all threats to data integrity, not just
  3238.     viruses.  All threats to data integrity are much easier to deal with if
  3239.     they are detected as early as possible.  If you wait until you notice
  3240.     that your hard disk is losing data, you may already have hundreds
  3241.     of damaged files.
  3242.  
  3243.     Backup policy
  3244.     -------------
  3245.     It's critical that each and every PC be regularly backed up and that
  3246.     all software be carefully protected.  Do you have a single PC
  3247.     which you can afford NOT to regularly backup?  It's rare to find
  3248.     any PC which does not have some type of important data stored on
  3249.     it.
  3250.  
  3251.     Suggested Backup Policy:
  3252.     ------------------------
  3253.     1) All original software (program) diskettes should immediately be
  3254.        write protected, copied and stored in two safe, separate, loca-
  3255.        tions after installation.  If you are using an integrity check
  3256.        program, immediately record (initialize) the integrity data for
  3257.        the new programs after installing.
  3258.  
  3259.     2) Considering how frequently data changes on each PC, decide on
  3260.        a schedule for full backups.  It is an excellent idea to have at
  3261.        least three full sets of backup tapes or diskettes and to store one
  3262.        set at another location to protect against fire, theft or some other
  3263.        disaster.  If your data is critical, you may wish to have a sepa-
  3264.        rate cycle of backups (eg. quarterly or yearly) which can be
  3265.        used to recover from in situations where someone deletes a vital
  3266.        file, but the deletion isn't discovered until six months later.
  3267.  
  3268.     3) The full backups should be coordinated with daily incremental
  3269.        backups.  The incremental backup, which copies just the files
  3270.        that have changed,  normally runs very quickly and takes just a
  3271.        minute or so.
  3272.  
  3273.     4) Make sure you use reliable backup hardware and software.
  3274.        Periodically test by restoring from a backup.  Too many people
  3275.        have discovered that their backup program couldn't recover
  3276.        their files when it was too late.  If you use an integrity check
  3277.        program you can verify that the restored files are correct.
  3278.  
  3279.     Integrity Master (tm)             -  69  -                 Version 1.23a
  3280.  
  3281.     Integrity Checking Policy
  3282.     -------------------------
  3283.     Each PC which has data that you can't afford to lose or have
  3284.     corrupted should have a schedule of regular integrity checking,
  3285.     similar to the backup schedule.  By doing once a week full integrity
  3286.     checks, you can stay one step ahead of any trouble.  By doing a
  3287.     quick update of your integrity data on a daily basis, you can stay
  3288.     aware of exactly what changes on your PC and why.  This way if
  3289.     you start to encounter a software conflict, a failing hard disk, or a
  3290.     virus, you'll be able to quickly differentiate the unusual changes
  3291.     from the usual ones.
  3292.  
  3293.     Whenever you install new software, IMMEDIATELY record the integ-
  3294.     rity data for those programs, so that any future infection or damage
  3295.     can be detected.
  3296.  
  3297.     Whenever you copy programs, check that the new programs are
  3298.     exact copies of the originals.  The easiest way to do this is to
  3299.     always copy integrity data along with the programs.  You can also
  3300.     use any integrity checker, checksum program, CRC program,
  3301.     cryptographic signature program, or even the DOS COMPARE
  3302.     utility to verify that you made good copies.  Do this check only
  3303.     when you know no virus is in control of your PC; therefore, it's
  3304.     best to cold boot from a write protected floppy to verify your
  3305.     program copies are good.
  3306.  
  3307.     If you have diagnostic software, plan to run it at intervals. If you
  3308.     leave your PCs turned on at night, why not leave them running
  3309.     diagnostics.
  3310.  
  3311.     Run CHKDSK
  3312.     ----------
  3313.     Run CHKDSK (or some equivalent program such as NDD) daily on each
  3314.     PC, and pay attention to the results.  If you are seeing problems,
  3315.     be sure you understand what's causing the problems.  If you are
  3316.     experiencing cross linked or lost clusters, something is being
  3317.     damaged.  Run an integrity checker to find out exactly what is being
  3318.     damaged. Also pay attention to the amount of available memory.  If
  3319.     this suddenly changes with no new resident (TSR) software installed,
  3320.     you may have a virus.
  3321.  
  3322.  
  3323.     Integrity Master (tm)             -  70  -                 Version 1.23a
  3324.  
  3325.     Determining Causes of Corruption
  3326.     --------------------------------
  3327.     It's not a question of "if" but a question of "when"; all too soon
  3328.     you are going to encounter a damaged file (a file which has
  3329.     changed for unknown reasons).  How can you determine what
  3330.     caused the damage?
  3331.  
  3332.     o First gather as much information as possible.  Did you do any-
  3333.       thing unusual?  Did you install any new software?  Did you
  3334.       execute any programs which you don't normally?  Have you seen
  3335.       any signs of hardware problems? (See the section following on
  3336.       signs of hardware problems).
  3337.  
  3338.     o Run CHKDSK to see if your directories and other areas are OK.
  3339.  
  3340.     o Run a full integrity check to see if anything else has changed.
  3341.  
  3342.     o If you suspect hardware problems as the culprit, then run any
  3343.       diagnostic programs you have.  If the diagnostics don't turn
  3344.       anything up, but you still suspect a hardware problem, then run
  3345.       your integrity check in full check mode daily for a while.  This
  3346.       should help track down exactly what's happening on your PC.
  3347.  
  3348.     o If you suspect software problems, run the software in question
  3349.       and then run your integrity check to see if anything is being
  3350.       corrupted.  When doing this, it's very helpful to duplicate the
  3351.       original situation of the problem as closely as possible. Make
  3352.       sure the hardware is the same and that you have exactly the same
  3353.       resident programs and device drivers loaded as when the problem
  3354.       first occurred.
  3355.  
  3356.     o Could the problem be a virus?  If you think so, have you seen
  3357.       any of the signs of virus activity listed in the next section?  Are
  3358.       only executable files (such as files ending
  3359.       in .EXE, .COM, .OVR, .OVL .BIN, or .SYS) affected?  If so,
  3360.       how many?  If more than one or two unrelated program files
  3361.       have mysteriously changed, it could likely be a virus.  Remember
  3362.       that some programs (such as Wordstar and SETVER) modify
  3363.       themselves as part of normal execution.  If the programs have
  3364.       changed but the DOS time and date stamps haven't, this is further
  3365.       reason to suspect either a serious problem or a virus.  If you are
  3366.       not using an advanced integrity checker  (such as Integrity
  3367.       Master) which recognizes known viruses, you may wish to get a
  3368.       virus scanner at this point to see if you have a known virus.  If
  3369.       this turns up nothing, then it's time to play detective - you may
  3370.       have discovered a brand new virus (lucky you!).  Please see the
  3371.       section in Chapter Six on Playing Detective.
  3372.  
  3373.  
  3374.     Integrity Master (tm)             -  71  -                 Version 1.23a
  3375.  
  3376.     Education
  3377.     ---------
  3378.     The single most important thing that you can do to assure the integ-
  3379.     rity of the data on your PCs is to educate everyone who uses a PC.
  3380.     It's vital that they understand how to backup their files and what
  3381.     files normally change on their PC and which ones don't.  If you
  3382.     can train them to understand the output of a thorough integrity
  3383.     check program, you can sleep at night knowing that all is well with
  3384.     your PCs!  Even lacking an integrity check program, it's vital that
  3385.     everyone be aware of what problem signs to look out for with
  3386.     respect to the most dangerous threats to data integrity.
  3387.  
  3388.  
  3389.     Signs of Hardware Problems
  3390.     --------------------------
  3391.       Watch out for increasing error messages that the disk is not ready
  3392.       when you try to boot the PC.  If you periodically experience any
  3393.       type of disk error message (even if it goes away eventually), or if
  3394.       disk accesses seem to be getting consistently slower, you may be
  3395.       experiencing the beginning of a serious disk problem.
  3396.  
  3397.  
  3398.     Signs of Software Problems
  3399.     --------------------------
  3400.       These indications could indicate software conflicts or bugs:
  3401.  
  3402.       o CHKDSK reporting problems.
  3403.  
  3404.       o A file which was just processed by a program (such as a spread
  3405.         sheet) is damaged or unreadable by the program but you can copy
  3406.         the file with no error messages.
  3407.  
  3408.  
  3409.     Signs Of Viruses
  3410.     ----------------
  3411.       These symptoms may betray the existence of a virus:
  3412.  
  3413.       o Disk activity when there should not be any activity.
  3414.  
  3415.       o Programs taking longer to load but the disk drive appears to be
  3416.         healthy.
  3417.  
  3418.       o Any unexplained behavior on the PC such as music, bouncing
  3419.         balls, black areas on the screen, falling letters, weird messages,
  3420.         or unexplained slowdown of the PC.
  3421.  
  3422.       o A decrease in the amount of available memory on your PC or
  3423.         unexplained bad spots on your disk or fewer total bytes (as re-
  3424.         ported by CHKDSK).
  3425.  
  3426.       o If you find extra ".COM" or ."EXE" files showing up you may have a
  3427.         companion style virus.
  3428.  
  3429.  
  3430.     Integrity Master (tm)             -  72  -                 Version 1.23a
  3431.  
  3432.     Responsibility
  3433.     --------------
  3434.     If you are in a larger organization, it's crucial that someone have
  3435.     the responsibility for assuring data integrity.  The first task facing
  3436.     this person would be to assure that all important data is backed up
  3437.     and that all users are educated with respect to normal operation of
  3438.     their PC.  The next step would be to start a regular program of
  3439.     integrity checking.
  3440.  
  3441.     Policy and routine
  3442.     ------------------
  3443.     The procedures for backing up and checking the integrity of critical
  3444.     data can not be left to word of mouth, but should be set forth in a
  3445.     written set of procedures.  Data integrity is too important to leave
  3446.     to chance.  If this isn't done, guess what gets put on the back
  3447.     burner (in other words: not done), when people get busy? (Who
  3448.     isn't busy?).  Some recommended procedures:
  3449.  
  3450.     o Never leave a floppy disk inserted in a drive longer than neces-
  3451.       sary.  Remove all diskettes immediately.  This reduces the
  3452.       chance inadvertently booting from the diskette and picking up a
  3453.       boot sector virus.
  3454.  
  3455.     o Check the integrity of all files after installing new software or
  3456.       copying programs.
  3457.  
  3458.     o If a stranger (such as a repair person or salesman) runs software
  3459.       on a PC, do a full integrity check immediately afterwards.
  3460.  
  3461.     o Immediately write protect and backup all diskettes containing
  3462.       software.
  3463.  
  3464.     o Schedule regular incremental and full backups.
  3465.  
  3466.  
  3467.     Networks and Viruses
  3468.     --------------------
  3469.     If at all possible, do not have shared disks containing executable
  3470.     files which the workstations have write access to.
  3471.  
  3472.     Run regular integrity checks on the file server.  This is important
  3473.     on the workstations too, but is critical on the file server since an
  3474.     infected file here could quickly infect all the workstations on the
  3475.     network.
  3476.  
  3477.     Never access an unchecked workstation with network administrator
  3478.     authority.
  3479.  
  3480.  
  3481.     Integrity Master (tm)             -  73  -                 Version 1.23a
  3482.     _______________________________________________________________________
  3483.     CHAPTER SIX - Handling a virus attack
  3484.  
  3485.     Don't panic and don't believe the virus
  3486.     ---------------------------------------
  3487.     Do not do anything rash if you suspect a virus attack.
  3488.  
  3489.     Be skeptical, there are quite a few practical joke programs that
  3490.     behave exactly like viruses. There's even a virus simulator which
  3491.     simulates the Ping Pong (bouncing ball), Jerusalem (black hole),
  3492.     Cascade (falling letters on the screen), Yankee doodle (music) and
  3493.     a few other viruses.  It's perfectly harmless, but it has alarmed
  3494.     many people.  Don't do anything drastic until you confirm that it
  3495.     really is a virus.
  3496.  
  3497.     If the virus is busy doing something and says not to turn off the
  3498.     PC, turn it off anyway and boot from a clean write protected copy
  3499.     of DOS.  There's a good chance that the virus may be busy de-
  3500.     stroying your entire disk.  Don't blindly do what the virus tells you
  3501.     to!
  3502.  
  3503.     Report the attack
  3504.     -----------------
  3505.     Report the virus attack to the police or to a virus researcher or
  3506.     anti-virus developer.  We need to stop sweeping this under the rug.
  3507.     If we can track where viruses first get started, then maybe we can
  3508.     apprehend the culprits that are writing and distributing these things.
  3509.  
  3510.     Play Detective
  3511.     --------------
  3512.     It is very important that you track down how you got the virus.  If
  3513.     you got it from someone's software, it's vital that they be notified.
  3514.     The sooner these viruses are detected, the less damage they can do.
  3515.  
  3516.     Suppose you have indications of a virus, but your software doesn't
  3517.     identify it as a known virus.  What do you do?  First of all cold
  3518.     boot (hit the red reset button or power off and back on) from a
  3519.     known good write protected copy of DOS on a diskette.  Run a full
  3520.     integrity check.  Run CHKDSK and print the results.  Now execute
  3521.     any suspect programs.  Execute them several times.  Viruses may
  3522.     wait for some trigger event to begin infection.  Run CHKDSK
  3523.     again to see if the amount of free memory has been reduced.  This
  3524.     is a sign of a virus going resident in memory.  Now cold boot
  3525.     again and rerun an integrity check.  Repeat this cycle with the
  3526.     various suspect programs.  This should track down the guilty
  3527.     program if you've got one.  Keep in mind that if it's a virus, it will
  3528.     modify other programs and those programs should themselves
  3529.     further modify other programs.  By executing the modified pro-
  3530.     grams, it's possible to tell whether you really have a virus or you
  3531.     just have a buggy program which is accidentally writing to other
  3532.     programs.
  3533.  
  3534.  
  3535.     Integrity Master (tm)             -  74  -                 Version 1.23a
  3536.  
  3537.     Clean House
  3538.     -----------
  3539.     Follow these steps when removing a virus from your PCs:
  3540.  
  3541.     o Cold boot (Power off and on or hit the reset button) from a
  3542.       known good write protected copy of DOS.
  3543.  
  3544.     o Delete all infected files.
  3545.  
  3546.     o Reload any infected system sectors.  If you do not have a utility
  3547.       to reload the DOS boot sector, you can use the DOS SYS
  3548.       command after cold booting from a write protected diskette (eg.
  3549.       "SYS C:").
  3550.  
  3551.     o Rerun a full integrity check, or at least a scan if you don't have
  3552.       an integrity checker.
  3553.  
  3554.     o Check any floppies which may have been infected. Remember, if
  3555.       you have a system sector virus such as Stoned, Joshi or Brain,
  3556.       even empty data diskettes can be infected.  Check them all.
  3557.  
  3558.     o Notify any other PC user you have contact with to check their
  3559.       PCs.
  3560.  
  3561.     Guard the house
  3562.     ---------------
  3563.     Virus infections return in a very high number of cases.  This is
  3564.     usually because somewhere there is an infected file or diskette
  3565.     which was missed in the first cleaning.  Run your integrity checker
  3566.     or anti-virus program daily, for the next month, to catch a possible
  3567.     repeat infection.
  3568.  
  3569.  
  3570.     Integrity Master (tm)             -  75  -                 Version 1.23a
  3571.                                  I N D E X
  3572.     Abandon changes, 39                    Control card, 30, 31
  3573.     Abort, 39                              Copying IM files, 11
  3574.     Advanced Option Menu, 18, 33, 37, 38   Copying programs, 22, 69
  3575.     Algorithms, 16                         Corruption, 23, 24, 26, 31, 36
  3576.     Alternate colors, 13                   Corruption, 45, 46, 50, 70
  3577.     ALTernate key, 20                      Counting viruses, 52, 67
  3578.     Alt/X, 20                              Critical error, 27
  3579.     ANSI.SYS, 62                           Cross linked clusters, 45, 56, 69
  3580.     APPEND, 10                             Cryptographic signatures, 8, 16
  3581.     ASSIGN, 10                             Current and Lower directories, 17
  3582.     Attack phase, 21, 49                   Current diRectory only, 17
  3583.     Auto-named report file, 18, 19, 29     Current option settings, 34
  3584.                                            Customer engineer, 67
  3585.     Backups, 55, 56, 65, 68, 71, 72        Customizing, 33
  3586.     Bad sectors, 51                        Data integrity, 9, 26, 45, 47, 56,
  3587.     Badly damaged disks, 19                     68
  3588.     Batch file, 31                         Data recovery tools, 46
  3589.     Batch files, 30                        Date stamp, 9, 29, 36, 56, 63, 67,
  3590.     BBS, 62, 66                                 70
  3591.     BIOS, 47, 59                           Descendant directories, 17
  3592.     Bitnet, 1                              Destroying viruses, 26
  3593.     Boot sectors, 18, 19, 38, 50, 51,      Device number, 19
  3594.          60, 62, 66, 72                    Diagnostic programs, 8, 27, 55, ,56,
  3595.     Brain virus, 51, 74                         69, 70
  3596.     Bugs, 47                               Directory change, 20
  3597.     Bypass memory check, 25, 30, 41        Dir-2 virus, 51
  3598.                                            Disinfection, 25, 26, 58
  3599.     Cascade virus, 24, 73                  Disk change, 20
  3600.     Certified software, 63                 Disk drives, 8, 19, 20, 27, 38, 55
  3601.     CGA, 36                                Disk errors, 8, 27, 28, 31, 42, 46,
  3602.     Change history, 18                          55, 71
  3603.     Change management, 8, 29               Disk failure, 16, 19, 46, 55, 69
  3604.     Change menu, 37                        Disk letters, 38
  3605.     Changes to executable programs, 23     Downloading, 62, 64, 65
  3606.     Check disk for known viruses, 18, 22
  3607.     Check menu, 43                         Education, 71
  3608.     Check values, 32                       Electronic mail, 1, 62
  3609.     Checking specific files, 17            Encryption, 9, 16, 38, 59
  3610.     Checksum, 60                           Ending, 20
  3611.     CHKDSK, 45, 47, 51, 56, 69, 71, 73     Entire disk integrity, 17, 22, 26
  3612.     Cluster viruses, 25, 52                Entire disk integrity initialize, 15
  3613.     CMOS, 62                               Error levels, 31
  3614.     Cold booting, 21, 23, 25, 26, 41,      Error recovery, 19, 42
  3615.          43, 73, 74                        ESCape, 20, 39
  3616.     Colors, 13, 33, 42                     Evaluation, 11
  3617.     Command line, 13, 25, 30, 33, 36,      Example report, 27
  3618.          41, 42                            Executable files, 18, 22, 23, 24,
  3619.     CoMmands menu, 20                          35, 36, 39, 40, 43, 49, 51, 59,
  3620.     COMMAND.COM, 63                            62, 63, 65, 68, 70, 72
  3621.     Common Questions, 42                   Exit, 38
  3622.     Companion viruses, 21, 25, 37, 52,     Explanation of the display, 15
  3623.          71                                Extend disk life, 27
  3624.     CompuServe, 1
  3625.     Configuration, 38                      F1 (key), 14, 15
  3626.  
  3627.     Integrity Master (tm)             -  76  -                 Version 1.23a
  3628.  
  3629.     False alarms, 25, 43                   Integrity initialize, 8
  3630.     Fastest way to exit, 20                Interceptor, 47, 58
  3631.     File corruption, 8, 24, 25, 26, 31,    Intermittent problems, 27, 55
  3632.          34, 36, 45, 47, 50, 70            InterNet, 1
  3633.     Files on current Disk, 17              INTERNET "virus", 48
  3634.     Files to check, 35                     Introduction, 45
  3635.     Files to iNitialize, 22, 35            Intrusion protection, 56
  3636.     Files (vital for IM), 12
  3637.     Finger checks, 8, 46                   Jerusalem virus, 24, 58, 73
  3638.     Fixing your disk, 10, 55               Jokes, 56, 62, 73
  3639.     Full installation, 11
  3640.     Full integrity checking, 34, 69, 70,   Known viruses, 8, 9, 18, 24, 25,
  3641.          73, 74                                 26, 41, 57, 60
  3642.  
  3643.     General virus checking, 41             Laptop, 13
  3644.     Glitches, 45                           Large disks, 10
  3645.     Guided tour, 14                        LCD display, 11, 13
  3646.                                            License terms, 3, 32
  3647.     Halt menu, 35                          Limitations, 10
  3648.     Hardware configuration, 38             Location of integrity data, 37, 38
  3649.     Hardware errors, 36, 42, 45 71         Logic bombs, 47, 58
  3650.     Hardware problems, 26                  Logical disk, 19, 38, 50
  3651.     Hardware protection, 55                Low level format, 27
  3652.     Harmless viruses, 24, 49               LPT1, 19
  3653.     Help, 15
  3654.     Help index, 7                          Malicious damage, 46
  3655.     Help menu, 14                          Master boot record, 18, 38, 50
  3656.     Hidden system files, 39                Maximum number of files, 10
  3657.     Hiding IM.PRM, 28                      Media coverage, 45
  3658.     How viruses infect, 9, 21, 48          Memory check, 25, 41
  3659.                                            Menus, 10, 14, 20
  3660.     Ignore Time/date changes, 36           Minimum memory, 10
  3661.     IMCHECK, 39                            Miracle Infections, 52
  3662.     IMcheck license, 32                    Misleading results, 10
  3663.     IMCHECK.EXE, 32                        Monitoring, 58
  3664.     IMprint, 42                            Monochrome displays, 13, 42
  3665.     IMPROC.TXT, 12, 13, 21, 32             Multiple parameter files, 31
  3666.     IMview.exe, 42                         Multiple sets of options, 33
  3667.     IM.EXE, 12, 32                         Music, 21, 24
  3668.     IM.PRM, 12, 13, 33, 38                 Music, 49, 71, 73
  3669.     Infection phase, 48                    Mutating virus, 53, 57
  3670.     Initialize menu, 15, 22, 41            M.PRM, 28
  3671.     Initializing integrity data, 15
  3672.     Inoculators, 58                        Networks, 28, 48, 62, 66, 72
  3673.     Install,                               No halt mode, 36
  3674.       full, 11, 16                         Nonstop execution, 30, 31
  3675.       on an other PC, 37                   Norton utilities, 46, 51, 55, 56
  3676.       quick, 11
  3677.     Installing new software, 22, 69, 70,   Only changes reported, 36
  3678.          72                                     Open fail, 27, 28
  3679.     Instructions, 10                       Open files, 28
  3680.     Integrity Advisor, 10, 12, 21, 37      Option settings, 13
  3681.     Integrity checking, 21, 34, 59, 60,    Options menu, 18, 21, 22, 33, 34
  3682.          61, 65, 69, 72                    OS/2, 28
  3683.     Integrity data, 9, 15, 16, 21, 22,     Overlays, 43, 52
  3684.          27, 28, 38, 59, 68, 69            Overview, 37
  3685.     Integrity data off-line, 38
  3686.       Integrity Master (tm)             -  77  -                 Version 1.23a
  3687.  
  3688.     Parameter file, 12, 13, 28, 30, 33,    Screen report, 36
  3689.          34, 38                            Scrolling, 35, 36
  3690.     Parameters, 30, 31                     Sectors, 50
  3691.     Partition sectors, 18, 19, 38, 50,     Security, 8, 28, 56
  3692.          51, 56, 60                        Self-check 59
  3693.     Partition table, 50                    Self-modifying programs, 70
  3694.     Pause (P) key, 36                      SetupIM, 7, 11, 13, 14, 16, 18, 21,
  3695.     Pausing, 35                                 28, 33, 34, 37, 38, 39
  3696.     Physical disk drive, 19, 38, 50        SETUPIM.EXE, 12
  3697.     Plan for day to day use, 12            Shareware, 64, 66
  3698.     Policy, 72                             Shelling to DOS, 20, 42
  3699.     Power faults, 45                       Short-cut install, 11
  3700.     Primary options, 37                    Signatures, 9, 16, 27, 32, 57, 59
  3701.     Printed output, 19                     Silly tricks, 63
  3702.     PRN, 19                                Software Attacks, 47
  3703.     Probability of file damage, 8          Software problems, 46, 70, 71
  3704.     Procedure for running IM, 21           Solving problems, 42
  3705.     Procedures, 72                         Sound, 36
  3706.     Program changes, 26                    Source programs, 40
  3707.     Programs, 21, 22, 23, 24, 35, 36,      Spawning virus, 52
  3708.          39, 40, 43, 49, 50, 51, 60, 62,   Special characteristics, 9
  3709.          66, 68, 69, 70, 73                Speed, 9, 23, 29, 41, 60
  3710.                                            Statistics Summary, 20
  3711.     QUESTION.TXT, 42                       Stealth, 51
  3712.     Quick evaluation, 11                   Stoned, 49, 52
  3713.     Quick install, 11                      Stoned virus, 53, 74
  3714.     Quick Update, 21, 29, 34, 69           SUBST, 10
  3715.     Quit, 39                               Suggestions, 68
  3716.     Quitting, 20                           Surge protectors, 55
  3717.                                            Summary of statistics, 20
  3718.     Read fail, 27                          Syntax, 30
  3719.     README.DOC, 12                         SYS command, 50
  3720.     Reinstall, 12                          System files, 39
  3721.     Reload data, 19                        System sector, 51
  3722.     Reload files, 16                       System sector changes, 26
  3723.     ReLoad menu, 19                        System sector viruses, 9, 19, 23,
  3724.     Reload Missing partition, 19                 50, 51
  3725.     Reloading system sectors, 15, 74       System sectors, 8, 10, 15, 17, 19,
  3726.     Reminders before checking, 18                21, 50, 57
  3727.     Removal instructions, 25
  3728.     Repair, 10, 55                         Technical support, 42
  3729.     Repeat the install, 37                 Threats, 9, 21, 45, 46, 53, 64, 65,
  3730.     Report file, 18, 19, 27, 29, 31, 36         66, 68
  3731.     Report screen, 15                      Trigger, 21, 47, 48, 49, 73
  3732.     Reporting viruses, 24                  Trojans, 47, 48, 58
  3733.     Requirements, 10                       TSR, 46, 49, 69, 70
  3734.     Resident programs, 46, 49, 69, 70      Tutorial, 7, 15
  3735.     Retail software, 57, 64, 66            Two color display, 12
  3736.     ROM, 59, 60                            Typos, 8, 46
  3737.  
  3738.     Safe computing, 65                     Unattended processing, 30, 31
  3739.     Save changes, 38                       Unauthorized changes, 22, 28
  3740.     Saving option changes, 33              Unknown virus, 8, 11, 18, 21, 23,
  3741.     Scanning for viruses, 22, 57, 63            59, 63, 70, 73
  3742.     Screen colors, 13, 33, 37              Unreadable data, 56
  3743.     Screen display mode, 37                Unusual video adapters, 11
  3744.     Screen layout, 15                      Update hardware configuration, 38
  3745.     Integrity Master (tm)             -  78  -                 Version 1.23a
  3746.  
  3747.     V2P7 virus, 57
  3748.     Video adapter, 12, 13
  3749.     Video mode, 13, 42
  3750.     Virus,
  3751.       checking, 18, 21, 33, 39, 41, 57
  3752.       cluster, 52
  3753.       collection, 53
  3754.       companion, 21, 52, 71
  3755.       damage, 15, 19, 21, 24, 26, 47, 49, 50, 53, 58,
  3756.       defenses, 57
  3757.       definition, 48
  3758.       Destroying, 26
  3759.       Detection, 22, 23, 31, 34, 57, 59, 61, 66
  3760.       experts, 48, 63, 64
  3761.       how many, 52, 67
  3762.       infection, 19, 21, 48, 51, 57, 62, 74
  3763.       known, 9, 57, 60
  3764.       mutating, 52, 57
  3765.       myths, 62
  3766.       names, 24
  3767.       new, 23, 70
  3768.       phases, 48, 49
  3769.       prevention, 60
  3770.       removal, 25, 43, 58, 68
  3771.       reporting, 24, 26
  3772.       resident, 21, 25, 40, 41, 43
  3773.       resident, 49, 57
  3774.       scanning, 18, 22, 57, 63
  3775.       signs, 23, 36, 70, 71
  3776.       stealth, 51
  3777.       symptoms, 24
  3778.       system sector, 9, 19, 23, 50, 51
  3779.       trigger, 21, 48, 49, 63, 73
  3780.       unknown, 21, 23, 59, 63, 70, 73
  3781.       variants, 24, 25, 52, 53
  3782.       what is it, 21, 48
  3783.     Virus report, 24
  3784.     Vital files, 12
  3785.  
  3786.     Warranty, 3
  3787.     Whale virus, 53
  3788.     Why read, 7
  3789.     Windows, 28, 43
  3790.     Worm, 48
  3791.     Write option changes to disk, 33, 34
  3792.     Write protection, 59, 63, 64, 66,  68, 72
  3793.  
  3794.