home *** CD-ROM | disk | FTP | other *** search
/ Shareware 1 2 the Maxx / sw_1.zip / sw_1 / VIRUS / NETSC99B.ZIP / NETSCN99.DOC < prev    next >
Text File  |  1992-11-17  |  40KB  |  1,079 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.                              NETSCAN Version B99
  19.                 Copyright (C) 1989 - 1992 by McAfee Associates
  20.                              All rights reserved.
  21.  
  22.                        Documentation by Aryeh Goretsky.
  23.  
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.           McAfee Associates                (408) 988-3832 office
  49.           3350 Scott Blvd, Bldg. 14        (408) 970-9727 fax
  50.           Santa Clara, CA  95054           (408) 988-4004 BBS (25 lines)
  51.           U.S.A.                           USR HST/v.32/v.42bis/MNP1-5
  52.                                            CompuServe        GO MCAFEE
  53.                                            InterNet support@mcafee.COM
  54.  
  55.  
  56.  
  57.  
  58.                               TABLE OF CONTENTS:
  59.  
  60.  
  61.           WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .2
  62.             - New features and viruses in this release
  63.             - System Requirements
  64.  
  65.           OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .3
  66.             - Detection of known viruses
  67.             - Detection of new and unknown viruses
  68.  
  69.           SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .4
  70.             - technical description of known virus detection
  71.             - technical description of new/unknown virus detection
  72.  
  73.           AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .5
  74.             - How to verify the NETSCAN.EXE program file
  75.  
  76.           COMMAND SUMMARY. . . . . . . . . . . . . . . . . . . . . . . .6
  77.             - One-line description of switches
  78.  
  79.           OPTIONS. . . . . . . . . . . . . . . . . . . . . . . . . . . .8
  80.             - Detailed explanation of switches
  81.  
  82.           EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .13
  83.             - Samples of frequently-used options
  84.  
  85.           EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .13
  86.             - For running NETSCAN from batch files
  87.  
  88.           VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .14
  89.             - How to manually remove a virus
  90.  
  91.           LICENSE. . . . . . . . . . . . . . . . . . . . . . . . . . . .15
  92.             - How to license NETSCAN
  93.  
  94.           TECHNICAL SUPPORT INFORMATION  . . . . . . . . . . . . . . . .15
  95.            - Information you should have ready when calling
  96.  
  97.           OBTAINING THE LATEST VERSION OF NETSCAN. . . . . . . . . . . .16
  98.            - BBS, CompuServe, and Internet access to NETSCAN
  99.  
  100.           APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .17
  101.            - Creating a virus string file with the /EXT option
  102.  
  103.  
  104.  
  105.  
  106.  
  107.  
  108.                                     Page 1
  109.  
  110. NETSCAN Version B99                                Page 2
  111.  
  112.  
  113.           WHAT'S NEW
  114.  
  115.                NETSCAN Version 99 adds detection of all new viruses
  116.           detected by VIRUSCAN that are capable of spreading over a
  117.           network.
  118.                For a complete list of known viruses, refer to the
  119.           enclosed VIRLIST.TXT file.  For a description of known viruses
  120.           please refer to Patricia Hoffman's Hypertext VSUM.
  121.  
  122.           Two new features was added in this release:
  123.  
  124.               When NETSCAN is run against a drive that does not exist, it
  125.                will no longer give an error message.  Instead, it will
  126.                go the next next drive and start scanning or quit if no
  127.                other drives are listed.
  128.  
  129.               A new Dark Avenger Mutation Engine [DAME] virus detection
  130.                routine is being used.  This new algorithm will greatly
  131.                speed up detection of DAME-based viruses and at the same
  132.                time reduce or entirely prevent false alarms.
  133.  
  134.  
  135.           SYSTEM REQUIREMENTS
  136.  
  137.                NETSCAN requires 320Kb of RAM and DOS 2.0 or above (some
  138.           features require DOS 3.1 or above).  NETSCAN works with 3COM
  139.           3/Share and 3/Open, Artisoft LANTastic, AT&T StarLAN, Banyan
  140.           VINES, DEC Pathworks, Microsoft LAN Manager, Novell NetWare, and
  141.           any other IBMNET or NETBIOS compatible network operating
  142.           systems.  Contact McAfee Associates if you do not see your
  143.           network listed.
  144.  
  145.                NETSCAN is designed to check network file servers for
  146.           viruses.  For stand-alone and networked PC's please use VIRUSCAN
  147.           instead.
  148.  
  149.                NETSCAN displays messages in English, French, or Spanish.
  150.  
  151.  
  152.           NOTE:  WRITE-PROTECT THE FLOPPY DISK CONTAINING THE NETSCAN
  153.                  (NETSCAN.EXE) PROGRAM BEFORE SCANNING TO PREVENT NETSCAN
  154.                  FROM BECOMING INFECTED BY A COMPUTER VIRUS.
  155.  
  156.           NOTE:  FOR NETSCAN TO CHECK ALL AREAS OF THE FILE SERVER, IT
  157.                  MUST BE RUN FROM AN ACCOUNT WITH GLOBAL READ AND FILESCAN
  158.                  RIGHTS.
  159.  
  160.  
  161.  
  162.  
  163.  
  164.  
  165. NETSCAN Version B99                                Page 3
  166.  
  167.  
  168.           OVERVIEW (Known Virus Detection)
  169.  
  170.                NETSCAN Version B99 fixes a bug in release V99 (unable
  171.           to scan network drive). This version (filename NETSCAN.EXE)
  172.           identifies all known computer viruses and their variants
  173.           identified by the current version of VIRUSCAN which can be
  174.           transferred over a network.
  175.  
  176.                NETSCAN can check a files, subdirectories, volume, or
  177.           network drive for pre-existing computer virus infections.  It
  178.           will identify the virus infecting the system and the area where
  179.           it was found, giving the name of the virus as well as the I.D.
  180.           code used with CLEAN-UP to remove it.
  181.  
  182.                Infected files can be removed with the /D switch in NETSCAN
  183.           to erase the file, or with the CLEAN-UP universal virus removal
  184.           (disinfection) program.  CLEAN-UP is recommended because in most
  185.           cases it will eliminate the virus and fully restore infected
  186.           programs or system areas to normal operation.
  187.  
  188.                The accompanying VIRLIST.TXT file lists describes all
  189.           viruses identified by NETSCAN and their associated I.D. codes
  190.           for removal by CLEAN-UP.
  191.  
  192.  
  193.           OVERVIEW  (Unknown and New Virus Detection)
  194.  
  195.                NETSCAN has three separate methods of detecting unknown and
  196.           new viruses:
  197.  
  198.                Validation codes which can be periodically checked against
  199.                 to look for the changes made by a virus to files or system
  200.                 areas.  
  201.  
  202.                Generic and Family virus detectors to look for new viruses
  203.                 which are derivatives of older viruses.
  204.  
  205.                External virus signatures to insert new virus signature
  206.                 strings on a temporary basis to NETSCAN.
  207.  
  208.  
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220.  
  221. NETSCAN Version B99                                Page 4
  222.  
  223.  
  224.           SYNOPSIS (technical description of known virus detection)
  225.  
  226.                NETSCAN detects known viruses by searching the system for
  227.           strings (sequences of bytes) unique to each computer virus and
  228.           reporting their presence if found.  For viruses which encrypt or
  229.           cipher their code so that every infection of the virus is
  230.           different, NETSCAN uses detection algorithms (programs) that
  231.           work by statistical analysis, heurstics, or code disassembly.
  232.  
  233.  
  234.           SYNOPSIS (technical description of new/unknown virus detection)
  235.  
  236.               NETSCAN checks for new or unknown viruses by comparing
  237.           files against previously-recorded validation (checksum) data
  238.           stored is a discrete ;plog file
  239.  
  240.                NETSCAN also checks for new or unknown viruses by searching
  241.           for Generic or Family virus strings.  These are strings that
  242.           have been found repeatedly in different viruses.  Since virus
  243.           writers may use the older pieces of code for new viruses, this
  244.           allows NETSCAN to detect viruses which have not been written yet.
  245.  
  246.                NETSCAN can be updated to search for new viruses by an
  247.           External Virus Data File, which allows the user to input new
  248.           search strings for viruses. (/EXT switch)
  249.  
  250.  
  251.  
  252.  
  253.  
  254.  
  255.  
  256.  
  257.  
  258.  
  259.  
  260.  
  261.  
  262.  
  263.  
  264.  
  265.  
  266.  
  267.  
  268.  
  269.  
  270.  
  271.  
  272.  
  273.  
  274.  
  275.  
  276. NETSCAN Version B99                                Page 5
  277.  
  278.  
  279.           AUTHENTICITY
  280.  
  281.                Before using NETSCAN for the first time, verify that it has
  282.           not been tampered with or infected by a virus by using the
  283.           the enclosed VALIDATE program.  For instructions on using
  284.           VALIDATE, please read the VALIDATE.DOC file.
  285.  
  286.                The validation results for Version B99 should be:
  287.  
  288.                         FILE NAME: NETSCAN.EXE
  289.                              SIZE: 84,181
  290.                              DATE: 11-17-1992
  291.               FILE AUTHENTICATION
  292.                    Check Method 1: 9701
  293.                    Check Method 2: 07AB
  294.  
  295.           If your copy of NETSCAN differs, it may have been damaged or
  296.           have options stored in it with the /SAVE switch.  Run NETSCAN
  297.           with only the /SAVE option to remove any stored options and then
  298.           re-run VALIDATE.  Always obtain your copy of NETSCAN from a
  299.           known source.  The latest version of NETSCAN and validation data
  300.           for NETSCAN.EXE can be obtained from McAfee Associates' bulletin
  301.           board system at (408) 988-4004 or from the McAfee Virus Help
  302.           Forum on CompuServe (GO MCAFEE), or the mcafee.COM anonymous ftp
  303.           site on the Internet.
  304.  
  305.                NETSCAN performs a self-check when run.  If NETSCAN has
  306.           been modified in any way, a warning will be displayed and the
  307.           user prompted to either continue or quit.  NETSCAN can still
  308.           check for viruses, however, if NETSCAN reports that it has been
  309.           damaged, it is recommended that a clean copy be obtained.
  310.  
  311.                Beginning with Version 72, all of McAfee Associates'
  312.           NETSCAN series are archived with PKWare's PKZIP Authentic File
  313.           Verification.  If you do not see an "-AV" after every file is
  314.           unzipped and receive the "Authentic Files Verified! # NWN405
  315.           Zip Source: McAFEE ASSOCIATES" message when you unzip the files
  316.           then do not use them.  If your version of PKUNZIP does not have
  317.           verification ability, then this message may not be displayed.
  318.           Please contact us if you believe tampering has occured to the
  319.           .ZIP file.
  320.  
  321.  
  322.  
  323.  
  324.  
  325.  
  326.  
  327.  
  328.  
  329.  
  330.  
  331. NETSCAN Version B99                                Page 6
  332.  
  333.  
  334.           COMMAND SUMMARY
  335.  
  336.           IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  337.                            TO PREVENT INFECTION OF THE NETSCAN PROGRAM.
  338.  
  339.                NETSCAN checks files and other areas of the system that
  340.           can contain a computer virus.  When a virus is found, NETSCAN
  341.           identifies the virus and the file or system area where it was
  342.           found.
  343.                NETSCAN examines files based on their extension.  The default
  344.           extensions supported by NETSCAN are .APP, .BIN, .COM, .EXE, .OV?,
  345.           .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions
  346.           can be added with the /EXT option, or use the /A to check all
  347.           files.
  348.  
  349.  
  350.           Valid options for NETSCAN are:
  351.  
  352.                            NETSCAN {drive(s)} {options}
  353.  
  354.           {drive(s)}       - Indicates a drive or drives to be scanned
  355.  
  356.           Options are:
  357.  
  358.           /? /H or /HELP   - Displays help screen
  359.           /A               - Scan all files, including data, for viruses
  360.           /AD              - Scan all available hard drives
  361.           /AF {filename}   - Store recovery & validation data to {filename}
  362.           /BELL            - Beep whenever a virus is found
  363.           /CERTIFY         - List files that do not have a validation code
  364.           /CF {filename}   - Check for viruses using recovery & validation
  365.                               data stored in {filename}
  366.           /CHKHI           - Check workstation memory from 0Kb to 1,088Kb
  367.           /D               - Overwrite and delete infected files
  368.           /E .xxx .yyy     - Scan overlay extensions .XXX and .YYY
  369.           /EXT {filename}  - Scan using external virus data from {filename}
  370.           /FAST            - Speed up NETSCAN's output
  371.                               (see below for specifics)
  372.           /FR              - Display all messages in French
  373.           /HISTORY {fname} - Create infection log {fname} appending to old log
  374.           /M               - Scan workstation memory for all viruses
  375.                               (see below for specifics)
  376.           /NLZ             - Skip internal scan of LZEXE-compressed files
  377.           /NOBREAK         - Disable Ctrl-C and Ctrl-Brk during scanning
  378.           /NOEXPIRE        - Do not display expiration notice
  379.           /NOMEM           - Disable workstation memory check
  380.           /NOPAUSE         - Disable screen pause when scanning
  381.           /NPKL            - Skip internal scan of PKLITE-compressed files
  382.           /REPORT {fname}  - Create infection log {fname} deleting the old log
  383.           /RF {filename}   - Remove recovery & validation data from {filename}
  384.  
  385.  
  386. NETSCAN Version B99                                Page 7
  387.  
  388.  
  389.           /SAVE            - Save specified options as new default options
  390.           /SP              - Display all messages in Spanish
  391.           /SUB             - Scan all subdirectories inside a subdirectory
  392.           /UNATTEND        - Scan using DOS critical error handler
  393.                               (required for Novell NetWare)
  394.           @{filename}      - Scan using options from {filename}
  395.  
  396.  
  397.  
  398.  
  399.  
  400.  
  401.  
  402.  
  403.  
  404.  
  405.  
  406.  
  407.  
  408.  
  409.  
  410.  
  411.  
  412.                     [This space left intentionally blank.]
  413.  
  414.  
  415.  
  416.  
  417.  
  418.  
  419.  
  420.  
  421.  
  422.  
  423.  
  424.  
  425.  
  426.  
  427.  
  428.  
  429.  
  430.  
  431.  
  432.  
  433.  
  434.  
  435.  
  436.  
  437.  
  438.  
  439.  
  440.  
  441. NETSCAN Version B99                                Page 8
  442.  
  443.  
  444.           OPTIONS
  445.  
  446.                Following is a detailed description of NETSCAN's options.
  447.           Please note the /SAVE switch modifies the NETSCAN.EXE file.
  448.           This may cause other anti-viral programs to generate a warning.
  449.  
  450.           /A - This option checks all files on the drive scanned.  This
  451.           substantially increases the time required to scan disks, so
  452.           it is recommended this swich only be used when installing new
  453.           software or if a file-infecting virus has been found.  This
  454.           option takes priority over the /E option.
  455.  
  456.           /AF {filename} - This option logs recovery and validation
  457.           data for .COM and .EXE files, boot sector, and partition table
  458.           of a disk to a user-specified file.  The log file size is about
  459.           20Kb per 1,000 files validated.  Recovery from a virus using the
  460.           /AF information requires the CLEAN-UP (CLEAN.EXE) program.
  461.  
  462.           NOTE:  Files which are immunized against viruses or contain
  463.                  self-modifying code should not have validation codes
  464.                  added to them.  To prevent NETSCAN from adding validation
  465.                  codes to these files, a validation exception list must be
  466.                  created with the path and filename of each file NOT to be
  467.                  validated listed on each line (only one filename for each
  468.                  line).  To put a comment in, start the line with an "*"
  469.                  character.  This sample file contains a list of programs
  470.                  NOT to validate:
  471.  
  472.           *LIST OF FILES NOT TO USE /AV OR /AG OPTIONS WITH
  473.           *
  474.           *This is Nantucket Corp's database program, Clipper
  475.           C:\CLIPPER\BIN\CLIPPER.EXE
  476.           *This is Lotus Development Corp's spreadsheet program, 1-2-3
  477.           C:\123\123.COM
  478.           *This is MS-DOS 5.00's self-modifying program, SETVER
  479.           C:\DOS\SETVER.EXE
  480.           *PKWare's data compression programs already perform a self-check
  481.           C:\PKWARE\PKLITE.EXE
  482.           C:\PKWARE\PKZIP.EXE
  483.           C:\PKWARE\PKUNZIP.EXE
  484.           *Stac Technologies hard disk swapping program
  485.           C:\SWAPVOL.COM
  486.           *Symantec's Norton Utilities V6.01 disk caching program
  487.           C:\NORTON\NCACHE.EXE
  488.           *WordStar Corp's word processor is self-modifying
  489.           C:\WORDSTAR\WS.EXE
  490.  
  491.                The validation exception list should be an ASCII or DOS
  492.           text file.  If a word processor is used to create the list, be
  493.           sure to save the file as ASCII or DOS Text.
  494.  
  495.  
  496. NETSCAN Version B99                                Page 9
  497.  
  498.  
  499.           /BELL - This option causes NETSCAN to beep when a virus is found.
  500.  
  501.           /CF {filename} - This option checks recovery and validation data
  502.           stored by the /AF option in {filename}.  If a file or system
  503.           area has changed, NETSCAN reports that a viral infection may have
  504.           occurred.  Using the /CG option adds about 25% more time to
  505.           scanning.
  506.  
  507.           /CHKHI - This option checks memory on the workstation NETSCAN is
  508.           being run on from 640Kb to 1,088Kb.  Server memory is not
  509.           checked.  This option cannot be used with the /NOMEM option.
  510.  
  511.           /D - This option tells NETSCAN to prompt the user to overwrite
  512.           and delete an infected files.  Files erased by the /D option
  513.           can not be recovered.  If the CLEAN-UP program is available,
  514.           it can be used to disinfect the file.  Partition table and boot
  515.           sectpr viruses can not be removed by the /D option and require
  516.           the CLEAN-UP virus removal program.
  517.  
  518.           /E .xxx .yyy - This option allows an additional extension or set
  519.           extensions to be scanned.  Extensions should include a period "."
  520.           character and be separated by a space after the /E.  Up to three
  521.           extensions may be added with the /E.  For more extensions, use
  522.           the /A option instead.
  523.  
  524.           /EXT {filename} - This option tells NETSCAN to search for viruses
  525.           using virus search strings from ASCII text file {filename}, in
  526.           addition to the viruses that NETSCAN looks for.  For instructions
  527.           creating an external virus data file, refer to Appendix A.
  528.  
  529.           NOTE:  The /EXT option provides users with the ability to add
  530.                  strings for detection of viruses on an interim or
  531.                  emergency basis.  When used with the /D option, it will
  532.                  overwrite-and-delete infected files.  This option is not
  533.                  for general use and should be used with caution.
  534.  
  535.           /FAST - This option speeds NETSCAN up by displaying less on the
  536.           the screen, skipping checking inside of LZEXE- and PKLITE-
  537.           compressed files, and examining a smaller portion of files
  538.           during scanning.  This may reduce the accuracy of NETSCAN.
  539.  
  540.           /FR - This option tells NETSCAN to display all messages in French
  541.           instead of English.  This option cannot be used with the /SP
  542.           (Spanish) option.
  543.  
  544.           /HISTORY {filename} - This option saves the output of NETSCAN
  545.           to {filename} in ASCII text file format.  If {filename} exists,
  546.           NETSCAN will add the results of the current scan to the end.
  547.  
  548.  
  549.  
  550.  
  551. NETSCAN Version B99                                Page 10
  552.  
  553.  
  554.           /M - This option tells NETSCAN to check memory on the workstation
  555.           it is being run from, not the network file server's memory, for
  556.           all known computer viruses that can inhabit memory.  NETSCAN by
  557.           default only checks memory for critical and "stealth" viruses,
  558.           which are viruses which can cause catastrophic damage or spread
  559.           during the scanning process.  By default, NETSCAN will check
  560.           memory for the following viruses:
  561.  
  562.              1024           1253          1530          15xx variant
  563.              1963           1971          2153          2560
  564.              3040           337           3445-Stealth  4096
  565.              500            512           557           702
  566.              ABC            Agena         Anthrax       Antitelefonica
  567.              Aragon         arcv          B3            Blood Rage
  568.              Brain          Budo          Caz           CD
  569.              Chang          Coffee Shop   Copyr-ug      Cracky
  570.              Crusher        Dark Avenger  Davis         Dir-2
  571.              DM-330         Doom II       EEL           Empire
  572.              End-of         Evil Genius   ExeBug        Fam
  573.              Feist          Fish          Flu           FORM
  574.              Frodo Soft     Fune          Futhark       Geek
  575.              Greemlin       Green         HA            HBT
  576.              Hellween 1182  Hi            Highland      Horror
  577.              Ice9           Iernim        IOU           Jeru Variant
  578.              Joanna         Joshi         Jump4Joy      Kersplat
  579.              L1             Larry         Leech         LixoNuke
  580.              Lozinsky       Lycee         Magnum        Malaga
  581.              Malaise        Microbes      Mirror        Mocha
  582.              Monkey         Mugshot       Mummy         Murphy
  583.              NCU Li         Ninja         Nomemklatura  NOP
  584.              No-Int         Nygus         Nygus-KL      Ontario-3
  585.              Otto           P1R           PCBB11        Penza
  586.              Phantom        Piazzola      Plastique     Pogue
  587.              Pojer          Problem       Radyum        Rattle
  588.              Reaper         Reklama       Rocko         Sandwich
  589.              SBC            Scr-2         Scroll        Scythe
  590.              Sentinel       Sergant       Silence       Sk
  591.              Sk1            Sma-108a      Soyun         Stealthb
  592.              Sticky         Stoned (Vari) Sunday-2      SVC
  593.              Tabulero       Taiwan3       Ten Bytes     Tequila
  594.              Thursday 12th  Turbo         Turkey        Twin-351
  595.              V2100          V2P6          V600          Vietnamese
  596.              Walker         Whale         Windmill      Yan2050a
  597.              Youth          Zaragoza
  598.  
  599.           If any of the above viruses is found in memory, NETSCAN will stop,
  600.           tell the user to power down and reboot the system from a virus-
  601.           free system-bootable disk.  This option can not be used with the
  602.           /NOMEM option.
  603.  
  604.  
  605.  
  606. NETSCAN Version B99                                Page 11
  607.  
  608.  
  609.           NOTE:  Using the /M option with another anti-viral software
  610.                  package may result in false alarms if the other package
  611.                  does not remove or cipher (hide or otherwise encrypt) its
  612.                  virus search strings in memory.
  613.  
  614.           /NLZ - This option tells NETSCAN not to look inside files
  615.           compressed with LZEXE, a file compression program.  NETSCAN will
  616.           still check LZEXE-compressed files for viruses that may have
  617.           become infected after LZEXE compression.
  618.  
  619.           /NOBREAK - This option prevents Ctrl-C or Ctrl-Brk from aborting
  620.           the scanning process.
  621.  
  622.           /NOMEM - This option turns off all memory checks for viruses
  623.           in order to speed up the scanning process.  It should only be
  624.           used when a system is known to be virus-free.  This option can
  625.           not be used with the /CHKHI or /M options.
  626.  
  627.           /NOEXPIRE - This option prevents NETSCAN from displaying a warning
  628.           message after 7 months warning that it may no longer be current
  629.           with respect to known computer viruses.
  630.  
  631.           /NOPAUSE - This option disables the "More? (H = Help )" prompt
  632.           displayed when NETSCAN fills up a screen with 24 lines of text.
  633.           This allows NETSCAN to run on LAN's with severe infections
  634.           without requiring operator assistance.
  635.  
  636.           /NPKL - This option tells NETSCAN not to look inside files
  637.           compressed with PKLITE, a file compression program.  NETSCAN
  638.           will still check PKLITE-compressed files for viruses that may
  639.           have become infected after PKLITE compression.
  640.  
  641.           /REPORT {filename} - This option saves the output of NETSCAN
  642.           to {filename} in ASCII text file format.  If {filename} exists,
  643.           NETSCAN will erase it and replace with the current scan results.
  644.  
  645.           /RF {filename} - This option removes recovery and validation
  646.           data from log file {filename} created by the /AF option.
  647.  
  648.           /SAVE - This option stores any listed options for subsequent
  649.           executions of NETSCAN.  The options are stored by modifying the
  650.           NETSCAN.EXE executable file itself.  For example:
  651.  
  652.                NETSCAN /NOMEM /REPORT C:\NETSCAN.LOG /NOPAUSE /SAVE
  653.  
  654.           saves the default options to /NOMEM, /REPORT C:\NETSCAN.LOG and
  655.           /NOPAUSE and will cause NETSCAN to use these options the next time
  656.           it is run.  If NETSCAN is run with only the /SAVE switch, all saved
  657.           options are removed and the NETSCAN.EXE is returned to normal.  If
  658.           you do not wish to modify the NETSCAN.EXE file, use the @{filename}
  659.           option instead.
  660.  
  661. NETSCAN Version B99                                Page 12
  662.  
  663.  
  664.           NOTE:  VALIDATE 0.4 must be used to validate NETSCAN V89 or above
  665.                  if the /SAVE option is used.  /SAVE directly modifies
  666.                  NETSCAN.EXE in such a manner that validate codes will not
  667.                  match if an older version of VALIDATE is used.  VALIDATE
  668.                  0.4 generates correct validation results if the /SAVE
  669.                  option is used.
  670.  
  671.           /SP - This option tells NETSCAN to display all messages in Spanish
  672.           instead of English.  This option cannot be used with the /FR
  673.           (French) option.
  674.  
  675.           /SUB - This option scans all subdirectories inside a
  676.           subdirectory.  Previously, NETSCAN would only recursively check
  677.           subdirectories if a drive was scanned at the root level (e.g.,
  678.           C:).  Do not use the /SUB switch if you are scanning a drive
  679.           from the root level.
  680.  
  681.           /UNATTEND - This option tells NETSCAN to use the DOS critical
  682.           error handler when accessing files.  This allows NETSCAN to skip
  683.           files in use by another program instead of stopping and
  684.           displaying an error message.  This option requires DOS 3.10 or
  685.           above.
  686.  
  687.           NOTE:  The /UNATTEND switch is required if you are running
  688.                  NETSCAN on a Novell NetWare file server.
  689.  
  690.           @{filename} - This option allows the user to store a list of
  691.           options and drives to be scanned in a configuration file.
  692.           Options need to be separated by a space, while drives (disks,
  693.           subdirectories, or files) need to be listed on separate lines.
  694.           A sample file might look like this:
  695.  
  696.           /A /BELL /NOMEM /REPORT C:\NETSCAN\NETSCAN.LOG
  697.           F:\PUBLIC
  698.           G:
  699.  
  700.           The first line contains the NETSCAN options while other lines list
  701.           the names of disks, subdirectories, or files to scan.  The file
  702.           should be an ASCII text file.  If a word processor is used to
  703.           create the list, be sure to save it as ASCII or DOS text.
  704.  
  705.  
  706.  
  707.  
  708.  
  709.  
  710.  
  711.  
  712.  
  713.  
  714.  
  715.  
  716. NETSCAN Version B99                                Page 13
  717.  
  718.  
  719.           EXAMPLES
  720.  
  721.                The following examples show different option settings:
  722.  
  723.                NETSCAN F: /UNATTEND
  724.                    To scan drive F: on a Novell NetWare LAN for viruses
  725.  
  726.                NETSCAN F: /CF C:\NETSCAN.CRC
  727.                    To scan drive F: for viruses and check for unknown
  728.                    viruses by comparing against recovery/validation data
  729.                    from file NETSCAN.CRC
  730.  
  731.                NETSCAN X: Y: Z: /D /A
  732.                    Scans all files on drives X: Y: and Z: for viruses and
  733.                    prompt for erasure of any infected files, if found.
  734.  
  735.                NETSCAN L: M: /E .WPM .COD
  736.                    Scans drives L: and M: for viruses, including files
  737.                    with .WPM and .COD extensions
  738.  
  739.                NETSCAN G: /EXT A:SAMPLE.ASC /BELL
  740.                    To scan drive G: for known viruses and for new viruses
  741.                    added he external virus data file option, and beep
  742.                    whenever a virus is found.
  743.  
  744.  
  745.           EXIT CODES
  746.  
  747.                After NETSCAN has finished running, it sets the DOS
  748.           ERRORLEVEL.  The ERRORLEVEL's returned by NETSCAN are:
  749.  
  750.                ERRORLEVEL │ DESCRIPTION
  751.                ═══════════╪══════════════════════════════════════════════
  752.                    0      │ No viruses found
  753.                    1      │ One or more viruses found
  754.                    2      │ Abnormal termination (program error)
  755.                    3      │ One or more uncertified files found
  756.                    4      │ Ctrl-C or Ctrl-Break aborted scan
  757.  
  758.           If a user stops the scanning process, NETSCAN will set the
  759.           ERRORLEVEL to 4.  If you wish to prevent users from stopping the
  760.           scanning process, then run NETSCAN with the /NOBREAK option.
  761.  
  762.  
  763.  
  764.  
  765.  
  766.  
  767.  
  768.  
  769.  
  770.  
  771. NETSCAN Version B99                                Page 14
  772.  
  773.  
  774.           VIRUS REMOVAL
  775.  
  776.                What do you do if a virus is found?  You can contact McAfee
  777.           Associates for help, their authorized agents, or use the CLEAN-UP
  778.           program.
  779.  
  780.                McAfee Associates can be reached by BBS, CompuServe, FAX,
  781.           Internet, or Telephone and there is no charge for support calls
  782.           to McAfee Associates (Authorized agents may charge normal McAfee
  783.           Associates consulting rates.).
  784.  
  785.                The CLEAN-UP universal virus disinfection program can
  786.           disinfect virtually all reported computer viruses.  It is
  787.           updated with each release of the NETSCAN program to remove new
  788.           viruses.  CLEAN-UP can be downloaded from McAfee Associates'
  789.           BBS, the McAfee Virus Help Forum on CompuServe, and the
  790.           mcafee.COM and WSMR-SIMTEL20.Army.Mil sites on the Internet, or
  791.           from any of the agents' BBSes listed in the enclosed AGENTS.TXT
  792.           text file.
  793.  
  794.                It is strongly recommended that you get experienced help in
  795.           dealing with viruses if you are unfamilar with anti-virus
  796.           software and methods.  This is especially true for 'critical'
  797.           viruses and partition table/boot sector infecting viruses as
  798.           improper removal of these viruses can result in the loss of
  799.           all data and the use of the infected disk(s).  [For a listing of
  800.           critical viruses, see the /M switch listed under OPTIONS above.]
  801.  
  802.                Before removing a boot sector or partition table-infecting
  803.           virus, it is recommended that you cold boot the infected PC from
  804.           a clean DOS disk and backup any critical data.
  805.  
  806.                For qualified assistance in removing a virus, contact
  807.           McAfee Associates directly or any of the Authorized Agents in
  808.           your area.  Agents may charge McAfee Associates' normal consult
  809.           rates for their services.
  810.  
  811.                If you wish to remove a file-infecting virus manually, cold
  812.           boot the PC from a clean (virus-free) DOS system disk and run
  813.           NETSCAN with the /A and /D switches to erase all infected files.
  814.           Any files removed in this manner can not be recovered.
  815.  
  816.  
  817.  
  818.  
  819.  
  820.  
  821.  
  822.  
  823.  
  824.  
  825.  
  826. NETSCAN Version B99                                Page 15
  827.  
  828.  
  829.           LICENSE
  830.  
  831.                NETSCAN may be copied and distributed for testing and
  832.           evaluation purposes on a trial period of five (5) days.  If you
  833.           wish to use NETSCAN after the trial period, a license is
  834.           required.  Licenses are available for internal use within
  835.           businesses, organizations, government agencies, and for external
  836.           use by repair centers and other service organizations.  License
  837.           fees are based on the size of the network or number of copies
  838.           required.  Information on licensing can be obtained from McAfee
  839.           Associates or any authorized agent listed in the AGENTS.TXT
  840.           file.
  841.  
  842.  
  843.           TECHNICAL SUPPORT
  844.  
  845.                For fast and accurate help, please have the following
  846.           information ready when you contact McAfee Associates:
  847.  
  848.                -    Program name and version number.
  849.  
  850.                -    Type and brand of computer, hard disk, plus any
  851.                     peripherals.
  852.  
  853.                -    Version of DOS plus any TSRs or device drivers in use.
  854.  
  855.                -    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  856.  
  857.                -    A printout of what is in memory from the MEM command
  858.                     (DOS 4 and above users only) or a similar utility.
  859.  
  860.                -    The exact problem you are having.  Please be as
  861.                     specific as possible.  Having a printout of the
  862.                     screen and/or being at your computer be will helpful.
  863.  
  864.           McAfee Associates can be contacted by BBS, CompuServe, FAX, or
  865.           InterNet 24 hours a day, or by telephone at (408) 988-3832,
  866.           Monday through Friday, 7:00AM to 5:30PM Pacific Time.
  867.  
  868.                If you are overseas, there may be an Authorized McAfee
  869.           Associates Agent in your area.  Please refer to the AGENTS.TXT
  870.           file for a list of McAfee Associates Agents.
  871.  
  872.  
  873.  
  874.  
  875.  
  876.  
  877.  
  878.  
  879.  
  880.  
  881. NETSCAN Version B99                                Page 16
  882.  
  883.  
  884.           OBTAINING THE LATEST VERSION OF McAFEE ASSOCIATES PROGRAMS
  885.  
  886.                McAfee Associates regularly updates the VIRUSCAN series
  887.           of programs every 4 to 6 weeks to add new virus detectors,
  888.           new options, and fix the occasional, if infrequent, bug.  To
  889.           distribute these new versions, we run a multi-line BBS,
  890.           CompuServe Forum, and Internet node:
  891.  
  892.           BBS ACCESS
  893.  
  894.                Our 25-line BBS is accessible 24 hours a day, 365 days a
  895.           year, except for scheduled downtime and maintenance.  All lines
  896.           run US Robotics Courier HST Dual Standard ASL modems operating
  897.           from 1,200bps to 14,400bps with line settings of 8 data bits, no
  898.           parity, and one stop bit.
  899.  
  900.  
  901.           THE McAFEE VIRUS HELP FORUM ON COMPUSERVE
  902.  
  903.                We are now sponsoring the McAfee Virus Help Forum on
  904.           CompuServe.  To reach the McAfee Virus Help Forum type GO MCAFEE
  905.           at any CompuServe prompt.  A free introductory membership is
  906.           available.  For more information, please read the enclosed
  907.           COMPUSER.NOT file.
  908.  
  909.  
  910.           INTERNET ACCESS TO McAFEE ASSOCIATES SOFTWARE
  911.  
  912.                The latest versions of McAfee Associates' anti-viral
  913.           software is now available by anonymous ftp (file transfer
  914.           protocol over the Internet from the site mcafee.COM.  If
  915.           your domain resolver does not support names, use the IP#
  916.           192.187.128.1.  Enter "anonymous" for your user I.D. and
  917.           your own email address for the password.  Programs are
  918.           located in the pub/antivirus directory.  If you have any
  919.           questions, please send email to support@mcafee.COM
  920.  
  921.                 McAfee Associates' anti-viral software may also be
  922.           found at the Simtel20 archive site WSMR-SIMTEL20.Army.MIL
  923.           in the PD1:<MSDOS.TROJAN-PRO> directory and its associated
  924.           mirror sites WUARCHIVE.WUSTL.EDU (US), NIC.SWITCH.CH (Swiss),
  925.           NIC.FUNET.FI (Finland), SRC.DOC.IC.AC (UK), and
  926.           RANA.CC.DEAK.OZ.AU (Australia).
  927.  
  928.  
  929.  
  930.  
  931.  
  932.  
  933.  
  934.  
  935.  
  936. NETSCAN Version B99                                Page 17
  937.  
  938.  
  939.           APPENDIX A:  Creating a Virus String File with the /EXT Option
  940.  
  941.           NOTE:  The /EXT option is intended for emergency and research
  942.                  use only.  It is a temporary method for identifying new
  943.                  viruses prior to the subsequent release of NETSCAN.  A
  944.                  thorough understanding of viruses and string-search
  945.                  techniques is advised for using this option.  A string
  946.                  length of 10 to 15 bytes is recommended.
  947.  
  948.                The External Virus Data file should be created with an
  949.           editor or a word processor and saved as an ASCII text file.  Be
  950.           sure each line ends with a Carriage Return/Line Feed pair.
  951.  
  952.  
  953.                The virus string file uses the following format:
  954.  
  955.           #Comment about Virus_1
  956.           "aabbccddeeff..." Virus_1_Name
  957.           #Comment about Virus_2
  958.           "gghhiijjkkll..." Virus_2_Name
  959.                .
  960.                .
  961.           "uuvvwwxxyyzz..." Virus_n_Name
  962.  
  963.  
  964.           Where aa, bb, cc, etc. are the hexadecimal bytes that you wish
  965.           to scan for.  Each line in the file represents one virus.  The
  966.           Virus Name for each virus is mandatory, and may be up to 25
  967.           characters in length.  The double quotes (") are required at the
  968.           beginning and end of each hexadecimal string.
  969.                NETSCAN will use the string file to search memory, the
  970.           Partition Table, Boot Sector, System files, all .COM and .EXE
  971.           files, and overlay files with the extension .APP, .BIN, .COM,
  972.           .EXE, .OV?, .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.
  973.                Virus strings may contain wild cards.  The two wildcard
  974.           options are:
  975.  
  976.           FIXED POSITION WILDCARD
  977.                The question mark "?" may be used to represent a wildcard
  978.           in a fixed position within the string.  For example, the string:
  979.  
  980.                              "E9 7C 00 10 ? 37 CB"
  981.  
  982.           would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or
  983.           any other similar string, regardless of the fifth byte.
  984.  
  985.  
  986.  
  987.  
  988.  
  989.  
  990.  
  991. NETSCAN Version B99                                Page 18
  992.  
  993.  
  994.           RANGE WILDCARD
  995.  
  996.                The asterisk "*", followed by range number in parentheses
  997.           "(" and ")" is used to represent a variable number of adjoining
  998.           random bytes.  For example, the string:
  999.  
  1000.                              "E9 7C *(4) 37 CB"
  1001.  
  1002.           would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  1003.           "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  1004.           would not match since the distance between 7C and 37 is greater
  1005.           than four bytes.  You may specify a range of up to 99 bytes.
  1006.           Up to 10 different wildcards of either kind may be used in one
  1007.           virus string.
  1008.  
  1009.  
  1010.           COMMENTS
  1011.                A pound sign "#" at the begining of a line will denote a
  1012.           comment.  Use this for adding notes to the external virus data
  1013.           file.  For example:
  1014.  
  1015.                    #New .COM virus found in file FRITZ.EXE from
  1016.                    #Schneiderland on 01-22-91
  1017.                    "53 48 45 45 50" Fritz-1 [F-1]
  1018.  
  1019.           gives a description of the virus, name of the infected file,
  1020.           where and when it was found, etc.
  1021.  
  1022.  
  1023. NETSCAN Version B99                                Page 19
  1024.  
  1025.  
  1026. IMPORTANT NOTICE - PLEASE READ!
  1027.  
  1028.           Due to the nature of anti-virus software, the slight chance
  1029.           exists that a virus may be reported in a file that is not
  1030.           infected by that virus.
  1031.  
  1032.           If you receive a report of a virus which you believe may be in
  1033.           error, please contact McAfee Associates by telephone at (408)
  1034.           988-3832, by fax at (408) 970-9727, or upload the file to our
  1035.           BBS at (408) 988-4004 along with your name, address, daytime
  1036.           telephone number, and electronic mail address, if any.
  1037.  
  1038.  
  1039.  
  1040.  
  1041.  
  1042.  
  1043.  
  1044.  
  1045.  
  1046.  
  1047.  
  1048.  
  1049.  
  1050.  
  1051.  
  1052.  
  1053.  
  1054.  
  1055.  
  1056.  
  1057.  
  1058.  
  1059.  
  1060.  
  1061.  
  1062.  
  1063.  
  1064.  
  1065.  
  1066.  
  1067.  
  1068.  
  1069.  
  1070.  
  1071.  
  1072.  
  1073.  
  1074.  
  1075.  
  1076.  
  1077.  
  1078.  
  1079.