home *** CD-ROM | disk | FTP | other *** search
/ Magnum One / Magnum One (Mid-American Digital) (Disc Manufacturing).iso / d23 / scanv84.arc / SCANV84.DOC < prev    next >
Text File  |  1991-10-12  |  30KB  |  676 lines
  1.                VIRUSCAN Version 7.9V84
  2.      Copyright (C) 1989, 1990, 1991 by McAfee Associates.
  3.              All rights reserved.
  4.            Documentation by Aryeh Goretsky.
  5.  
  6.  
  7.      McAfee Associates               (408) 988-3832 office
  8.      4423 Cheeney Street             (408) 970-9727 fax
  9.      Santa Clara, CA  95054-0253     (408) 988-4004 BBS 2400 bps
  10.      U.S.A.                          (408) 988-5138 BBS HST 9600
  11.                      (408) 988-5190 BBS v32 9600
  12.                      CompuServe    GO VIRUSFORUM
  13.                      InterNet  mcafee@netcom.com
  14.  
  15.  
  16.  
  17.                 TABLE OF CONTENTS:
  18.  
  19.  
  20. SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .2
  21.   - What VIRUSCAN is, system requirements
  22.  
  23. AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .2
  24.   - Verifying the integrity of VIRUSCAN
  25.  
  26. WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .3
  27.   - Features, new viruses added in this release
  28.  
  29. OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .4
  30.   - Detailed description of VIRUSCAN
  31.  
  32. OPERATION. . . . . . . . . . . . . . . . . . . . . . . . . . .5
  33.   - How to use VIRUSCAN
  34.  
  35. EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .8
  36.   - Samples of frequently-used options
  37.  
  38. EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .9
  39.   - For running VIRUSCAN from batch files
  40.  
  41. VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .9
  42.   - How to manually remove a virus
  43.  
  44. REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .9
  45.   - How to register VIRUSCAN
  46.  
  47. TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . .10
  48.  - Information you should have ready when calling
  49.  
  50. APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .11
  51.  - Creating a virus string file with the /EXT option
  52.  
  53. APPENDIX B . . . . . . . . . . . . . . . . . . . . . . . . . .13
  54.  - Miscelleaneous Application Notes
  55.  
  56.  
  57.                     Page 1
  58. VIRUSCAN Version 7.9V84                                Page 2
  59.  
  60.  
  61. SYNOPSIS
  62.  
  63.      VIRUSCAN (SCAN) is a virus detection and identification
  64. program for the IBM PC and compatible computers.  VIRUSCAN will
  65. search a PC for known computer viruses in memory, the boot sector,
  66. the partition table, and the files of a PC and its disks.  VIRUSCAN
  67. will also detect the presence of unknown viruses.
  68.      SCAN works by searching the system for instruction sequences
  69. or patterns that are unique to each computer virus, and then
  70. reporting their presence if found.  This method works for viruses
  71. that VIRUSCAN recognizes.  SCAN can detect unknown viruses in
  72. files and boot sector by appending validation (CRC) codes to .COM
  73. and .EXE files and then checking the files against their codes for
  74. changes, warning that an infection may have occurred if the file
  75. has been modified in any way, and by checking boot sectors for
  76. generic routines that a boot sector virus must have.  SCAN can
  77. check for new viruses from a user-supplied list of virus search
  78. strings.
  79.      VIRUSCAN runs on any PC with 256Kb and DOS version 2.00 or
  80. greater.
  81.  
  82.  
  83. AUTHENTICITY
  84.  
  85.      VIRUSCAN runs a self-test when executed.  If SCAN has been
  86. modified in any way, a warning will be displayed.  The program will
  87. still continue to check for viruses, though.  If SCAN reports that it
  88. has been damaged, it is recommended that a clean copy be obtained.
  89.      VIRUSCAN versions 46 and above are packaged with the VALIDATE
  90. program to ensure the integrity of the SCAN.EXE file.  The
  91. VALIDATE.DOC  instructions tell how to use the VALIDATE program.
  92. The VALIDATE program distributed with VIRUSCAN may be used to check
  93. all further versions of SCAN.
  94.  
  95.      The validation results for Version 7.9V84 should be:
  96.  
  97.           FILE NAME: SCAN.EXE
  98.            SIZE: 51,870
  99.            DATE: 10-7-91
  100.     FILE AUTHENTICATION
  101.      Check Method 1: 9008
  102.      Check Method 2: 03A7
  103.  
  104. If your copy of SCAN.EXE differs, it may have been modified.
  105. Always obtain your copy of VIRUSCAN from a known source.  The
  106. latest version of VIRUSCAN and validation data for SCAN.EXE can be
  107. obtained off of McAfee Associates' bulletin board system at (408)
  108. 988-4004 or from the Computer Virus Help Forum on CompuServe.
  109.  
  110.      Beginning with Version 72, all McAfee Associates programs for
  111. download are archived with PKWare's PKZIP Authentic File Verification.
  112. If you do not see the "-AV" message after every file is unzipped and
  113. receive the message "Authentic Files Verified! # NWN405  Zip Source:
  114. McAFEE ASSOCIATES" when you unzip the files then do not run them.  If
  115. your version of PKUNZIP does not have verification ability, then this
  116. message may not be displayed.  Please contact McAfee Associates if
  117. your .ZIP file has been tampered with.
  118. VIRUSCAN Version 7.9V84                                Page 3
  119.  
  120.  
  121. WHAT'S NEW
  122.     
  123.     Version 83 of VIRUSCAN was skipped due to a trojan version 84 
  124. that appeared last January.
  125.     Version 84 of SCAN is being released early due to the appearance
  126. of an entirely new type of virus, called the DIR2 or FAT virus that
  127. was recently discovered.  This virus does not attach directly to 
  128. programs, but instead modifies directory entries for executable files
  129. so that the cluster pointers point to the virus instead of the executable
  130. files.  The virus in turn loads and executes the programs.  This means
  131. that if the virus is resident on an infected system, then any executable
  132. file copies or backups will transfer the virus.  If the virus is not 
  133. memory resident, then the executable files cannot be copied or backed
  134. up.  Only the virus will be copied.  There is no current technique, short
  135. of a re-format, that can remove this virus.  Clean-Up is therefore also 
  136. being modified  to deal with this virus and will be released simultaneously
  137. with this version of SCAN.  
  138.      Two new options were added to the VIRUSCAN program, /CHKHI
  139. and /MAINT.  When VIRUSCAN is run with the /CHKHI option it will
  140. check memory from 0Kb to 1088Kb.  When VIRUSCAN is run with the
  141. /MAINT option, it will check MS-DOS 4.0+ installed hard disks that
  142. have been damaged by a boot sector virus.
  143.      49 new viruses were added.  Viruses that were reported at
  144. multiple sites include:  748 reported in California and Texas,
  145. the Dec 28 from Zaragoza University in Spain, Miky from Bolivia
  146. and Florida, Mosquito, the Sunday-2 from Canada, R-11, and Tokyo.
  147. Other viruses added in this release include the #1, 789, 1014, 1661,
  148. 1840, 2480, BackTime, Boys, Burghofer, CADKill, CD, Cinderella,
  149. Damage, Demon, Dropper, Europe-'92, ETC, Gotcha, Hero, Hitchcock,
  150. Jerk, Klaeren, M128, Mini-45, Manta, Mule, NewCom, Nobock, Possessed,
  151. QP3, R10, R11, Scud, Spanish, Spanz, Topo, Tuesday, Twin-351, V125,
  152. V-483, V812, and Xabaras viruses.
  153.  
  154.      For a listing of the viruses that were added, please refer to
  155. the enclosed VIRLIST.TXT file for a short description.  For a more
  156. complete description, please refer to Patricia Hoffman's VSUM listing.
  157. VIRUSCAN Version 7.9V84                                 Page 4
  158.  
  159.     In addition to the enhancements to SCAN, we are now running the
  160. Compuserve Computer Virus Forum.  Updates to SCAN, virus information, 
  161. and product support may be obtained by typing GO VIRUSFORUM after
  162. logging on to Compuserve.  A free introductory membership to Compuserve
  163. is also available to users of SCAN.  Please read the enclosed Compuserve
  164. document for details.
  165.  
  166. OVERVIEW
  167.  
  168.      VIRUSCAN scans diskettes or entire systems for pre-existing
  169. computer virus infections.  It will identify the virus infecting
  170. the system, and tell what area of the system (memory, boot sector,
  171. file) the virus occupies.  An infected file can be removed with
  172. the overwrite-and-delete option, /D which will erase the file.
  173. The CLEAN-UP program is also available to automatically disinfect
  174. the system and repair damaged areas whenever possible.
  175.      VIRUSCAN Version 82 identifies all 301 known computer viruses
  176. along with their variants.  Some viruses have been modified so that
  177. more than one "strain" exists.  Counting such modifications, there
  178. are 897 virus variants.  The twenty most common viruses which
  179. account for over 98% of all reported PC infections are also
  180. identified by SCAN.  The accompanying VIRLIST.TXT file lists
  181. describes all new, public domain, and extinct computer viruses
  182. identified by SCAN.  The number of variants of each virus is listed
  183. in parentheses after the virus name.
  184.       All known computer viruses infect one or more of the
  185. following areas:  the hard or fixed disk partition table (also
  186. known as the master boot record); the DOS boot sector of hard disks
  187. and floppy disks; or one or more executable files within the
  188. system.  Executable files include operating system files, .COM
  189. files, .EXE files, overlay files, or any other files loaded into
  190. memory and executed.  A virus that infects more than one area, such
  191. as a boot sector and an executable file is called a multipartite
  192. virus.
  193.      VIRUSCAN identifies every area or file that is infected, and
  194. indicates both the name of the virus and CLEAN-UP I.D. code used
  195. to remove it.  SCAN will check the entire system, an individual
  196. diskette, subdirectory, or individual files for existing viruses.
  197.      VIRUSCAN can also check files for unknown viruses with the Add
  198. Validation and Check Validation options.  This is done by computing
  199. a code for a file, appending it to the file, and then validating
  200. the file against that code.  If the file has been modified, the
  201. check will no longer match, indicating that viral infection may
  202. have occurred.  SCAN uses two independently generated CRC (Cyclic
  203. Redundancy Check) checks that are added to the end of program files
  204. to do this.  Files which are self-checking should not be validated
  205. since this will "set off" the program's self-check.  Files which
  206. are self-modifying may have different values for the same program
  207. depending upon the modifications.  VIRUSCAN adds validation codes
  208. to .COM and .EXE files only.  The validation codes for the
  209. partition table, boot sector, and system files, are kept in a
  210. hidden file called SCANVAL.VAL in the root directory.  To detect
  211. boot sector viruses, SCAN checks the boot sector for signs of
  212. viral code.  If suspicious code is found, SCAN will report that it
  213. has found a Suspcious Boot Sector Virus.
  214.      VIRUSCAN can also be updated to search for new viruses via
  215. an External Virus Data File option, which allows the user to
  216. provide the VIRUSCAN program with new search strings for viruses.
  217.      VIRUSCAN can display messages in either English or French.
  218.      VIRUSCAN works on stand-alone and networked PC's, but not on
  219. a file server.  For networks, the NETSCAN server drive scanning
  220. program must be used.
  221. VIRUSCAN Version 7.9V84                                Page 5
  222.  
  223.  
  224. OPERATION
  225.  
  226. IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  227. YOUR SYSTEM TO PREVENT INFECTION OF THE VIRUSCAN PROGRAM.
  228.  
  229.      VIRUSCAN will check each area or file on the designated
  230. drive(s) that could be host to a virus.  If a virus is found, a
  231. message is displayed telling the name of the infected file or
  232. system area and the name of the identified virus.  SCAN will
  233. examine files for viruses based on their extensions.  The default
  234. file extensions supported by SCAN are .APP, .BIN, .COM, .EXE, .OV?,
  235. .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions can
  236. be added to SCAN or all files on disk can be selected for scanning.
  237.  
  238.      To run VIRUSCAN type:
  239.  
  240. SCAN d1: ... d10: /A /AV /CHKHI /CV /D /E .xxx .yyy .zzz
  241.           /EXT d:filename /FR /MAINT /MANY /NLZ /NOBREAK
  242.           /NOMEM /NOPAUSE /REPORT d:filename /RV /SUB
  243.  
  244. Options are:
  245.           \ - Scan root directory and boot area only
  246.          /A - Scan all files, including data, for viruses
  247.         /AV - Add validation codes to specified files
  248.          /CHKHI - Check memory from 0Kb to 1088Kb
  249.         /CV - Check validation codes for files
  250.          /D - Overwrite and delete infected file
  251.   /E .xxx .yyy .zzz - Scan overlay extensions .xxx .yyy .zzz
  252.     /EXT d:filename - Scan using external virus information file
  253.         /FR - Display messages in French
  254.          /M - Scan memory for all viruses
  255.               (see below for specifics)
  256.          /MAINT - Scan MS-DOS 4.0+ boot sector damaged disk
  257.           /MANY - Scan multiple floppies
  258.            /NLZ - Skip internal scan of LZEXE compressed files
  259.        /NOBREAK - Disable Ctrl-C / Ctrl-Brk during scanning
  260.          /NOMEM - Skip memory checking
  261.        /NOPAUSE - Disable screen pause when scanning
  262.  /REPORT d:filename - Create report of infected files
  263.         /RV - Remove validation codes from specified files
  264.            /SUB - Scan subdirectories
  265.  
  266.        (d1: ... d10: indicate drives to be scanned)
  267.  
  268.      The /A option will cause SCAN to check all files on the
  269. referenced drive.  This should only be used if a file-infecting
  270. virus has already been detected.  Otherwise the /A option should
  271. only be used when checking a new program.  The /A option will add
  272. a substantial time to scanning.  This option takes priority over
  273. the /E option.
  274.      The /AV option allows the user to add validation codes to the
  275. files being scanned.  If a full drive is specified, SCAN will
  276. create validation data for the partition table, boot sector, and
  277. system files of the disk as well.  Validation adds ten (10) bytes
  278. to files; the validation data for the partition table, boot sector,
  279. and system files is stored separately in a hidden file in the root
  280. directory of the scanned drive.
  281. VIRUSCAN Version 7.9V84                                Page 6
  282.  
  283.  
  284.      The /CHKHI option checks the memory above 640Kb that can be
  285. used on AT (286) and 386 systems for computer viruses.  This
  286. includes the 384Kb Upper Memory Area from 640Kb to 1024Kb, and
  287. the 64Kb High Memory Area from 1024Kb to 1088Kb.  On XT systems with
  288. extended memory cards installed, this will cause the first 64K of
  289. RAM to be scanned again.  This option can not be used with the
  290. /NOMEM option.
  291.  
  292.      The /CV option checks the validation codes inserted by the /AV
  293. option.  If the file has been changed, SCAN will report that the
  294. file has been modified, and that viral infection may have occurred.
  295. Using the /CV option adds about 25% more time to scanning.
  296.  
  297. NOTE:  Some older Hewlett Packard and Zenith PC's modify the boot
  298. sector or partition table each time the system is booted.  This
  299. will cause SCAN to continually notify the user of boot sector or
  300. partition table modifications if the /CV switch is selected.  Check
  301. your system's manual to determine if your system contains
  302. self-modifying boot code.
  303.  
  304.      The /D option tells VIRUSCAN to prompt the user to overwrite
  305. and delete an infected file when one is found.  If the user selects
  306. "Y" the infected file will be overwritten with hex code C3 [the
  307. Return-to-DOS instruction] and then deleted.  A file erased by the
  308. /D option can not be recovered.  If the McAfee Associates' CLEAN-
  309. UP program is available, it is recommended that CLEAN be used to
  310. remove the virus instead of SCAN, since in most cases it will
  311. recover the infected file.  Boot sector and partition table
  312. infectors can not be removed by the /D option and require the
  313. CLEAN-UP virus disinfection program.
  314.      The /E option allows the user to specify an extension or set
  315. of extensions to scan.  Extensions should include the period
  316. character "." and be separated by a space after the /E and between
  317. each other.  Up to three extensions may be added with the /E.  For
  318. more extensions, use the /A option.
  319.      The /EXT option allows VIRUSCAN to search for viruses from a
  320. text file containing user-defined search strings in addition to the
  321. viruses that already SCAN checks for.  The syntax for using the
  322. external virus data file is /EXT d:filename, where d: is the drive
  323. name and filename is the name of the external virus data file.  For
  324. instructions on how to create an external virus data file, refer
  325. to Appendix A.
  326.  
  327. NOTE:  The /EXT option is intended for users to add strings for
  328.        detection of computer viruses on an interim or emergency
  329.        basis.  When used with the /D option, it will delete
  330.        infected files. This option is not recommended for general
  331.        use and should be used with caution.
  332.  
  333.      The /FR option tells VIRUSCAN to output all messages in French
  334. instead of English.
  335.      The /M option tells VIRUSCAN to check system memory for all
  336. known computer viruses that can inhabit memory.  SCAN by default
  337. only checks memory for critical and "stealth" viruses, which are
  338. viruses which can cause catastrophic damage or spread the infection
  339. during the scanning process.  SCAN will check memory for the
  340. following viruses in any case:
  341. VIRUSCAN Version 7.9V84                                Page 7
  342.  
  343.      1024           1253          1554          1963
  344.      1971           2100          2560          337
  345.      3445-Stealth   4096          512           Anthrax
  346.      Anti-Tel       Brain         Dark Avenger  Darth Vader
  347.      Disk Killer    Doom2         EDV           Empire
  348.      Fish6          Form          Greemlin      Invader
  349.      Joshi          Microbes      Mirror        Murphy
  350.      Nomenclature   Phantom       Plastique     Polish-2
  351.      P1R (Phoenix)  Sentinel      Stoned        Tequila
  352.      Taiwan-3       Whale         Zero-Hunt
  353.  
  354.  
  355. If one of these viruses is found in memory, SCAN will stop and
  356. advise the user to power down, and reboot the system from a
  357. virus-free system disk.  Using the /M option with another
  358. anti-viral software package may result in false alarms if the other
  359. package does not remove its virus search strings from memory.  The
  360. /M option will add 6 to 20 seconds to the scanning time.
  361.      The /MAINT option is used to scan hard disks partitioned with
  362. DOS 4.0 or above that have been damaged by a boot sector or partition
  363. table infecting virus.  Attempts to access disks damaged in such a
  364. manner result in an "invalid media" message being displayed.  The
  365. /MAINT option will only scan the partition table and boot sector,
  366. not the files.
  367.      The /MANY option is used to scan multiple diskettes placed in
  368. a given drive.  If the user has more than one floppy disk to
  369. check for viruses, the /MANY option will allows the user to check
  370. them without having to run SCAN multiple times.  If a system has
  371. been disinfected, the /MANY and /NOMEM options can be used to speed
  372. up scanning of disks.
  373.      The /NLZ option tells VIRUSCAN not to look inside files
  374. compressed with the LZEXE file compression program.  SCAN will
  375. still check the programs for external infections.
  376.      The /NOBREAK option disables Control-C or Control-Break from
  377. stopping VIRUSCAN while running. 
  378.      The /NOMEM option is used to turn off all memory checking for
  379. viruses.  It should only be used when a system is known to be free
  380. of viruses.  The /NOMEM option can not be used with the /CHKHI or /M
  381. options.
  382.      The /NOPAUSE option disables the "More..." prompt that appears
  383. when SCAN fills up a screen with data.  This allows VIRUSCAN to run
  384. on a machine with multiple infections without requiring operator
  385. intervention when the screen fills up with messages from the SCAN
  386. program.
  387.      The /REPORT option is used to generate a listing of infected
  388. files.  The resulting list is saved to disk as an ASCII text file.
  389. To use the report option, specify /REPORT on the command line,
  390. followed by the device and filename [See EXAMPLES below for
  391. samples].
  392.      The /RV option is used to remove validation codes from a file
  393. or files.  It can be used to remove the validation code from a
  394. diskette, subdirectory, or file(s).  Using /RV on a disk will
  395. remove the partition table, boot sector, and system file
  396. validation.  This option can not be used with the /AV option.
  397.      The /SUB option allows SCAN to scan subdirectories under a
  398. a subdirectory when scanned.  Previously, SCAN would only
  399. recursively check subdirectories if a logical device (e.g., C:)
  400. was scanned.
  401. VIRUSCAN Version 7.9V84                                Page 8
  402.  
  403.  
  404. EXAMPLES
  405.  
  406.     The following examples are shown as they would be typed in.
  407.  
  408.      SCAN C:
  409.       To scan drive C:
  410.  
  411.      SCAN A:R-HOOPER.EXE
  412.       To scan file "R-HOOPER.EXE" on drive A:
  413.  
  414.      SCAN A: /A /CV
  415.       To scan all files and check validation codes for unknown
  416.       viruses on drive A:.
  417.  
  418.      SCAN B: /D /A
  419.       To scan all files on drive B:, and prompt for erasure of
  420.       infected files.
  421.  
  422.      SCAN C: D: E: /AV /NOMEM
  423.       To add validation codes to files on drives C:, D:, and
  424.       E:, and skip memory checking.
  425.  
  426.      SCAN C: D: /M /A /FR
  427.       To scan memory for all known and extinct viruses, as well
  428.       as all files on drives C: and D:, and output all messages
  429.       in French.
  430.  
  431.      SCAN C: D: /E .WPM .COD
  432.       To scan drives C: and D:, and include files with the
  433.       extensions .WPM and .COD
  434.  
  435.      SCAN C: /EXT A:SAMPLE.ASC
  436.       To scan drive C: for known computer viruses and also for
  437.       viruses added by the user via the external virus data
  438.       file option.
  439.  
  440.      SCAN C: /M /NOPAUSE /REPORT A:INFECTN.RPT
  441.       To scan for all viruses in memory and drive C: without
  442.       stopping, and create a log on drive A: called INFECTN.RPT
  443.  
  444.      SCAN C: D: /NOPAUSE /REPORT B:VIRUS.RPT
  445.       To scan drives C: and D: for viruses without stopping,
  446.       and create a log on drive B: called VIRUS.RPT
  447.  
  448.      SCAN E:\DOWNLOADS /SUB
  449.       To scan all subdirectories under DOWNLOADS on drive E:
  450. VIRUSCAN Version 7.9V84                                Page 9
  451.  
  452.  
  453. EXIT CODES
  454.  
  455.      VIRUSCAN will set the DOS ERRORLEVEL upon program termination
  456. to:
  457.  
  458.      ERRORLEVEL | DESCRIPTION
  459.      -----------+--------------------------
  460.      0      | No viruses found
  461.      1      | One or more viruses found
  462.      2      | Abnormal termination (program error)
  463.  
  464. If a user stops the scanning process, SCAN will set the ERRORLEVEL
  465. to 0 or 1 depending on whether or not a virus was discovered prior
  466. to termination of the SCAN.  The /NOBREAK option can be used to
  467. prevent scanning from being stopped.
  468.  
  469.  
  470. VIRUS REMOVAL
  471.  
  472.      What do you do if a virus is found?  You can contact McAfee
  473. Associates for help with removing viruses by BBS, FAX, telephone,
  474. or Internet.  There is no charge for support calls to McAfee
  475. Associates.
  476.      The CLEAN-UP universal virus disinfection program is available
  477. and will disinfect the majority of reported computer viruses.  It
  478. is updated with each release of the SCAN program to remove new
  479. viruses.  The CLEAN-UP program can be downloaded from McAfee
  480. Associates BBS, the SIMTEL20 archives on the InterNet, the McAfee
  481. Associates'-sponsored Computer Virus Help Forum on CompuServe, or
  482. from the agents listed in the enclosed text file.
  483.      It is strongly recommended that you get experienced help in
  484. dealing with viruses, especially critical viruses that can damage
  485. or destroy data [for a listing of critical viruses, see the /M
  486. option under OPTIONS, above] and partition table or boot sector
  487. infecting viruses, as improper removal of these viruses could
  488. result in the loss of all data and use of the disk(s).
  489.      For qualified assistance in removing a virus, please contact
  490. McAfee Associates directly or check the enclosed AGENTS.TXT file
  491. for an Authorized McAfee Associates Agent in your area.  Agents may
  492. charge McAfee Associates normal support rates for their services.
  493.  
  494.  
  495. REGISTRATION
  496.  
  497.      A registration fee of $25.00US is required for the use of
  498. VIRUSCAN by individual home users.  Registration is for one year
  499. and entitles the holder to unlimited free upgrades off of McAfee
  500. Associates BBS or CompuServe Computer Virus Help Forum.  When
  501. registering, a diskette containing the latest version may be
  502. requested.  Add $9.00US for diskette mailings.  Only one diskette
  503. mailing will be made.
  504.      Registration is for home users only and does not apply to
  505. businesses, corporations, organizations, government agencies, or
  506. schools, who must obtain a license for use.  Contact McAfee
  507. Associates for more information.
  508.      Outside of the United States, registration and support may be
  509. obtained from the Agents listed in the accompanying AGENTS.TXT
  510. file.
  511. VIRUSCAN Version 7.9V84                                Page 10
  512.  
  513.  
  514. TECH SUPPORT
  515.  
  516.      For fast and accurate help, please have the following
  517. information prepared when you contact McAfee Associates:
  518.  
  519.      -    Program name and version number.
  520.  
  521.      -    Type and brand of computer, hard disk, plus any
  522.       peripherals.
  523.  
  524.      -    Version of DOS you are running, plus any TSRs or device
  525.       drivers in use.
  526.  
  527.      -    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  528.  
  529.      -    The exact problem you are having.  Please be as specific
  530.       as possible.  Having a printout of the screen and/or
  531.       being at your computer will help also.
  532.  
  533. McAfee Associates can be contacted by CompuServe Forum, BBS, fax, or
  534. InterNet 24 hours a day, or call our business office at (408) 988-3832,
  535. Monday through Friday, 8:30AM to 6:00PM Pacific Standard Time.
  536.  
  537.      McAfee Associates               (408) 988-3832 office
  538.      4423 Cheeney Street             (408) 970-9727 fax
  539.      Santa Clara, CA  95054-0253     (408) 988-4004 BBS 2400 bps
  540.      U.S.A                           (408) 988-5138 BBS HST 9600
  541.                      (408) 988-5190 BBS v32 9600
  542.                      CompuServe    GO VIRUSFORUM
  543.                      Internet  mcafee@netcom.com
  544.  
  545. If you are overseas, please refer to the AGENTS.TXT file for
  546. a listing of McAfee Associates Agents for support or sales.
  547.  
  548. VIRUSCAN Version 7.9V84                                Page 11
  549.  
  550.  
  551. APPENDIX A:  Creating a Virus String File with the /EXT Option
  552.  
  553.      The External Virus Data file should be created with an editor
  554. or a word processor and saved as an ASCII text file.  Be sure each
  555. line ends with a CR/LF pair.
  556.  
  557. NOTE:  The /EXT option is intended for emergency and research use
  558. only.  It is an temporary method for identifying new viruses prior
  559. to the subsequent release of SCAN.  A sound understanding of
  560. viruses and string-search techniques is advised as a prerequisite
  561. for using this option.
  562.  
  563.      The virus string file uses the following format:
  564.  
  565. #Comment about Virus_1
  566. "aabbccddeeff..." Virus_1_Name
  567. #Comment about Virus_2
  568. "gghhiijjkkll..." Virus_2_Name
  569.      .
  570.      .
  571. "uuvvwwxxyyzz..." Virus_n_Name
  572.  
  573.  
  574. Where aa, bb, cc, etc. are the hexadecimal bytes that you wish to
  575. scan for.  Each line in the file represents one virus.  The Virus
  576. Name for each virus is mandatory, and may be up to 25 characters
  577. in length.  The double quotes (") are required at the beginning and
  578. end of each hexadecimal string.
  579.      SCAN will use the string file to search memory, the Partition
  580. Table, Boot Sector, System files, all .COM and .EXE files, and
  581. Overlay files with the extension .BIN, .OV?, .PGM, .PIF, .PRG, .SYS
  582. and .XTP.
  583.  
  584.      Virus strings may contain wild cards.  The two wildcard
  585. options are:
  586.  
  587. FIXED POSITION WILDCARD
  588.      The question mark "?" may be used to represent a wildcard in
  589. a fixed position within the string.  For example, the string:
  590.  
  591.            "E9 7C 00 10 ? 37 CB"
  592.  
  593. would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or any
  594. other similar string, no matter what byte was in the fifth place.
  595.  
  596. RANGE WILDCARD
  597.      The asterisk "*", followed by range number in parentheses "("
  598. and ")" is used to represent a variable number of adjoining random
  599. bytes.  For example, the string:
  600.  
  601.            "E9 7C *(4) 37 CB"
  602.  
  603. would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  604. "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  605. would not match since the distance between 7C and 37 is greater
  606. than four bytes.  You may specify a range of up to 99 bytes.
  607. VIRUSCAN Version 7.9V84                                Page 12
  608.  
  609.  
  610. Up to 10 different wildcards of either kind may be used in one
  611. virus string.
  612.  
  613. COMMENTS
  614.      A pound sign "#" at the begining of a line will denote that
  615. it is a comment.  Use this for adding notes to the external virus
  616. data file.  For example:
  617.  
  618.            #New .COM virus found in file FRITZ.EXE from
  619.            #Schneiderland on 01-22-91
  620.            "53 48 45 45 50" Fritz-1 [F-1]
  621.  
  622. Could be used to store a description of the virus, name of the
  623. original infected file, where and when it was received, and so
  624. forth.
  625.  
  626.  
  627. APPENDIX B:  Miscellaneous Application Notes
  628.  
  629.  
  630. CHECKING MEMORY FOR VIRUS ONLY
  631.  
  632.      VIRUSCAN can perform a quick check of for viruses in memory only.
  633. In this mode, the SCAN program will not check the disk for computer
  634. viruses.  This option is useful for network administrators who need
  635. to check workstations for viruses before allowing them to log on to a
  636. LAN but can not run the VSHIELD program due to memory constraints.
  637. The command to enter is:
  638.  
  639.      SCAN NUL /M /CHKHI
  640.  
  641. By designating NUL as the drive to be scanned, the SCAN program will
  642. check system memory for viruses (up to 1088Kb if the /CHKHI option
  643. is used) and then return to DOS without scanning any disks.  SCAN
  644. will set the DOS ERRORLEVEL as it normally does.
  645.                         
  646.  
  647. VIRUSCAN VALIDATION CODES
  648.  
  649.      If you have installed any new software or programson your system,
  650. and are running VIRUSCAN or VSHIELD with the check validation codes
  651. /CV option, you will need to reinstall validation codes to the new
  652. files with the add validation codes /AV option of VIRUSCAN.
  653. Additionally, the SCANVAL.VAL hidden file containing validation codes
  654. for the partition table, boot sector, COMMAND.COM, and system files
  655. may have to be replaced. The MS-DOS 5.00 SETVER.EXE file contains
  656. self-modifying code and can not have a validation code added to it.
  657. The quickest way to update the validation codes is to remove all
  658. validation codes from the hard disk and then add them back on by
  659. running VIRUSCAN with the /RV and then the /AV options, and then
  660. removing the validation code from SETVER.EXE by typing "
  661. SCAN C:\DOS\SETVER.EXE /RV" and pressing enter.
  662. VIRUSCAN Version 7.9V84                                Page 13
  663.  
  664.  
  665. NOTE: This applies to any new version of DOS, as well as any
  666. programs which you install on your system.
  667.  
  668.  
  669. DOS 5 AND REFORMATTING INFECTING FLOPPIES
  670.  
  671.      If you are reformatting infecting floppy disks under DOS 5.0,
  672. be sure to add the /U switch to the FORMAT command.  This tells DOS
  673. to do an Unconditional format of the disk, and not to save the original
  674. (infected) boot sector of the disk.  This should be done to prevent the
  675. virus from reappearing by unformatting the disk.
  676.