home *** CD-ROM | disk | FTP | other *** search
/ Monster Media 1994 #1 / monster.zip / monster / VIRUS / I_M221.ZIP / I-M.DOC < prev    next >
Text File  |  1994-02-09  |  219KB  |  4,344 lines
  1.  
  2.  
  3.  
  4.  
  5.                   I N T E G R I T Y     M A S T E R (tm)
  6.  
  7.  
  8.                              Version  2.21
  9.  
  10.  
  11.       An easy to use, data integrity and anti-virus program which also
  12.        provides PC security, change control and disk error detection.
  13.  
  14.  
  15.  
  16.              Users Guide plus Data Integrity and Virus Guide
  17.  
  18.              ________________________________________________
  19.  
  20.  
  21.                 Copyright 1990 - 1994 by Wolfgang Stiller
  22.                            All rights reserved
  23.                            ___________________
  24.  
  25.                              Stiller Research
  26.                             2625 Ridgeway St.
  27.                          Tallahassee, Florida 32310
  28.                                  U.S.A.
  29.  
  30.        Electronic mail to:
  31.  
  32.                 CompuServe: 72571,3352
  33.                 InterNet, Bitnet, etc.: 72571.3352@compuserve.com
  34.                 Uunet: uunet!compuserve.com!72571.3352
  35.  
  36.    Integrity Master (tm)              -  2  -                 Version 2.21
  37.  
  38.     Third Edition November 1992  - Revised February 1994
  39.     Copyright 1990-1994 Wolfgang Stiller.  All Rights reserved.
  40.  
  41.     The following paragraph does not apply where such provisions are
  42.     inconsistent with law:
  43.  
  44.     Stiller Research provides this document "AS IS" without warranty of
  45.     any kind, either express or implied, including, but not limited to the
  46.     warranties of merchantability or fitness for a particular purpose.
  47.  
  48.     This document may include technical inaccuracies or typographical
  49.     errors. We continually update and correct this document with the
  50.     latest available information.
  51.  
  52.     Note to U.S. Government users:  Use, duplication, or disclosure by
  53.     the U.S. Government of the computer software and documentation in
  54.     this package shall be subject to the restricted rights applicable to
  55.     commercial computer software as set forth in subdivision (b)(3)(ii) of
  56.     Rights in Technical Data and Computer Software clause at 252.227-
  57.     7013 (DFARS 52.227-7013).  The manufacturer is  Stiller Research,
  58.     2625 Ridgeway St., Tallahassee, Florida 32310-5169.
  59.  
  60.     Integrity Master and Integrity Advisor are trademarks of Stiller
  61.     Research.  Microsoft, Windows and MS/DOS are trademarks of
  62.     Microsoft corporation.  IBM and OS/2 are trademarks of
  63.     International Business Machines Corporation. Vines is a trademark of
  64.     BANYAN Inc.  NetWare is a trademark of Novell Inc.  Unix is a
  65.     trademark of AT&T. Sidekick is a trademark of Borland
  66.     International.
  67.  
  68.  
  69.     A P P R E C I A T I O N
  70.  
  71.     There are far too many individuals who have contributed to the
  72.     development of Integrity Master and this accompanying book to thank
  73.     individually.  Please accept my heartfelt appreciation!  I would like to
  74.     express my appreciation to those who have freely given of their time
  75.     and expertise to help us and other researchers: Vesselin Vladimirov
  76.     Bontchev, Henri Delger, Paul Ferguson, Sara Gordon, Ross
  77.     Greenberg, Frans Hagelaars, Glenn Jordan, Bill Lambdin, Yisrael
  78.     Radai, Martin Roesler, Fridrik Skulason, Rob Slade, Harry Thijssen,
  79.     Righard Zwienenberg, and Ken van Wyk.  All of you have made
  80.     contributions which have made this book possible -- thank you!
  81.  
  82.  
  83.  
  84.     Integrity Master (tm)              -  3  -                 Version 2.21
  85.  
  86.     Use of Integrity Master(tm) (also known as IM) requires acceptance of
  87.     the following license terms and warranty disclaimer.
  88.  
  89.  
  90.     L I C E N S E    T E R M S
  91.  
  92.     TO USE INTEGRITY MASTER, YOU MUST AGREE TO AND
  93.     UNDERSTAND THE FOLLOWING LICENSE TERMS AND WARRANTY
  94.     DISCLAIMER, OTHERWISE DO NOT USE THIS PROGRAM.
  95.  
  96.     Each PC must have its own licensed copy.  EACH COPY MAY
  97.     ONLY BE USED ON ONE PC.  It may be removed from that PC
  98.     and installed on another PC but IT MAY NOT BE INSTALLED ON
  99.     MORE THAN ONE PC AT A TIME.  To use  Integrity Master on
  100.     more than one PC, you must license extra copies.
  101.  
  102.  
  103.     W A R R A N T Y    D I S C L A I M E R:
  104.  
  105.     INTEGRITY MASTER AND ALL ASSOCIATED PROGRAMS ARE
  106.     LICENSED "AS-IS".  STILLER RESEARCH AND WOLFGANG STILLER
  107.     MAKE NO WARRANTIES, EITHER EXPRESSED OR IMPLIED, WITH
  108.     RESPECT TO THESE PROGRAMS, THEIR QUALITY, PERFORMANCE,
  109.     MERCHANTABILITY, OR FITNESS FOR ANY PARTICULAR PURPOSE.
  110.     IN PARTICULAR,  INTEGRITY MASTER IS NOT GUARANTEED TO
  111.     PREVENT OR DETECT DAMAGE TO YOUR DATA OR PROGRAMS. IN
  112.     NO EVENT SHALL STILLER RESEARCH OR WOLFGANG STILLER BE
  113.     LIABLE  FOR ANY CLAIMS FOR LOST PROFITS OR ANY DAMAGE,
  114.     INCLUDING BUT NOT LIMITED TO SPECIAL, INCIDENTAL,
  115.     CONSEQUENTIAL OR OTHER DAMAGE.  SOME STATES DO NOT
  116.     ALLOW THE  EXCLUSION OR LIMITATION OF INCIDENTAL OR
  117.     CONSEQUENTIAL DAMAGES, SO THE ABOVE LIMITATION OR
  118.     EXCLUSION MAY NOT APPLY TO YOU.
  119.  
  120.     IF YOU USE INTEGRITY MASTER (IM), YOU ASSUME EXCLUSIVE
  121.     RESPONSIBILITY AND LIABILITY FOR ANY LOSS OR DAMAGE
  122.     DIRECTLY OR INDIRECTLY ARISING OUT OF  THE USE OF THE
  123.     PROGRAM.
  124.  
  125.     IN NO CASE SHALL STILLER RESEARCH'S OR WOLFGANG STILLER'S
  126.     LIABILITY EXCEED THE LICENSE FEES PAID FOR THE RIGHT TO USE
  127.     THE LICENSED SOFTWARE.
  128.  
  129.     THE LICENSE AGREEMENT AND WARRANTY DISCLAIMER SHALL BE
  130.     CONSTRUED, INTERPRETED AND GOVERNED BY THE LAWS OF THE
  131.     STATE OF FLORIDA.
  132.  
  133.     Integrity Master (tm)              -  4  -                 Version 2.21
  134.                                                
  135.         T A B L E    O F    C O N T E N T S
  136.        -----------------------------------
  137.  
  138.                                tm
  139.     PART ONE - Integrity Master    User Guide
  140.  
  141.        License and Warranty Terms .......................  3
  142.  
  143.        Chapter One - Why Integrity Master
  144.         Welcome! .................................... 7
  145.         Don't Read This ............................. 7
  146.         Why the User Guide .......................... 8
  147.         What Can Integrity Master Do? ............... 8
  148.         How Does Integrity Master Do These Things?... 9
  149.         What Makes Integrity Master Special?......... 9
  150.         Requirements and Limitations ............... 10
  151.  
  152.        Chapter Two - Installing Integrity Master
  153.         Special Quick Install....................... 11
  154.         Full Installation........................... 11
  155.         Vital Files ................................ 12
  156.         Screen Colors .............................. 13
  157.         Using Integrity Master Menus................ 14
  158.  
  159.        Chapter Three - Running Integrity Master
  160.         Integrity Master Screen Contents ........... 15
  161.         Initializing Integrity Data................. 15
  162.         What Is Integrity Data? .................... 16
  163.         The Check Menu ............................. 16
  164.         The Report File ............................ 18
  165.         System Sectors ............................. 19
  166.            Reloading ............................... 19
  167.         The Commands Menu .......................... 20
  168.            Disk Change and Directory Change ........ 20
  169.            Quit - Exit the Integrity Master ........ 20
  170.            Uninstall - Delete Integrity Data ....... 21
  171.         The Statistics Summary ..................... 21
  172.         Virus Checking Procedure ................... 22
  173.            Scanning for Viruses .................... 23
  174.            Scanning uploads  ....................... 23
  175.            Detecting Viruses ....................... 23
  176.            Detecting Unknown (new) viruses ......... 24
  177.            The Integrity Master virus report ....... 25
  178.            False Alarms ............................ 26
  179.            Destroying Viruses ...................... 26
  180.            Data Corruption ......................... 27
  181.         Integrity Master and Disk Problems  ........ 27
  182.         Integrity Master for PC Security ........... 28
  183.         Integrity Master for Change Control ........ 29
  184.         Command Line (BATCH) Execution ............. 30
  185.            Syntax .................................. 30
  186.            Error Levels  ........................... 31
  187.         Using IMCHECK .............................. 31
  188.         Other Operating Systems .....................33
  189.            Microsoft Windows and OS/2............... 34
  190.            Networks ................................ 34
  191.  
  192.     Integrity Master (tm)              -  5  -                 Version 2.21
  193.  
  194.        Chapter Four - Customizing
  195.         The Parameter (Options) File ................ 35
  196.         Options Menu ................................ 36
  197.         Options in SETUPIM .......................... 41
  198.         Integrity Data Options ...................... 42
  199.         Updating Your Hardware Configuration ........ 43
  200.         The Advanced Option Menu..................... 44
  201.  
  202.        Chapter Five -  Errors
  203.         Error Recovery .............................. 47
  204.         Solving Problems ............................ 47
  205.         Answers to Common Questions ................. 48
  206.  
  207.     PART TWO - Data Integrity and Viruses
  208.  
  209.        Chapter One - Threats to your data
  210.         Introduction - Viruses Get All The Glory .... 51
  211.         Hardware Problems............................ 52
  212.         Finger Checks ... ........................... 52
  213.         Malicious or Careless Damage................. 52
  214.         Software Problems ........................... 53
  215.         Software Attacks ............................ 53
  216.             Logic Bombs ............................. 53
  217.             Trojans ................................. 54
  218.             Worms ................................... 54
  219.             Viruses ................................. 54
  220.                General Virus Behavior................ 55
  221.                System Sector Viruses................. 57
  222.                   Boot Sectors ...................... 57
  223.                   Partition Sectors ................. 57
  224.                File Viruses ......................... 58
  225.                   Miracle Infections ................ 59
  226.         How Many Viruses Are There?.................. 60
  227.         How Serious are Viruses?..................... 61
  228.  
  229.        Chapter Two - Protection for your PC
  230.         Hardware Protection ......................... 63
  231.         "Fixing" your disk .......................... 63
  232.         Goof Protection  ............................ 64
  233.         Intrusion Protection......................... 64
  234.         Virus Defenses  ............................. 65
  235.            Scanners ................................. 65
  236.            Disinfectors ............................. 66
  237.            Interceptors ............................. 67
  238.            Inoculators .............................. 67
  239.            ROM and Encryption ....................... 68
  240.            Integrity Checkers ....................... 68
  241.            Gadgets .................................. 70
  242.            Prevention................................ 70
  243.  
  244.     Integrity Master (tm)              -  6  -                 Version 2.21
  245.  
  246.          Chapter Three - Virus Myths
  247.           Mythical Sources ............................ 71
  248.           Quick and Easy Cures ........................ 72
  249.           Silly Tricks ................................ 72
  250.           Certified Software? ......................... 72
  251.           Retail Software Only? ....................... 73
  252.           Write-Protecting Your Hard Disk ............. 73
  253.           Safe Computing (Safe Hex?)................... 74
  254.           Software Is Useless Against Viruses.......... 74
  255.  
  256.          Chapter Four - Virus Realities
  257.           The ONLY Real Source of Viruses ............. 75
  258.           Shareware Is as Safe or Safer ............... 75
  259.           Few Virus Free Programs ..................... 76
  260.           Write-Protecting Floppies ................... 76
  261.           Beware the CE and the Demo! ................. 76
  262.           Viruses Are Going to Get Worse .............. 76
  263.  
  264.          Chapter Five - What to do - Some Suggestions
  265.           Action is Vital - Now! ...................... 77
  266.           Backup Policy ............................... 77
  267.           Integrity Checking Policy ................... 78
  268.           Run CHKDSK .................................. 78
  269.           Determining Causes of Corruption ............ 79
  270.           Education ................................... 80
  271.              Signs of Software Problems ............... 80
  272.              Signs of Viruses ......................... 80
  273.           Responsibility .............................. 81
  274.           Policy and Routine .......................... 81
  275.           Networks and Viruses ........................ 81
  276.           Guidelines for Using Anti-virus Software..... 82
  277.  
  278.          Chapter Six - Handling a virus attack
  279.           Don't Panic and Don't Believe the Virus ..... 83
  280.           Report the Attack ........................... 83
  281.           Play Detective............................... 83
  282.           Clean House (Steps to Remove the Virus)...... 84
  283.           Guard the House ............................. 84
  284.  
  285.     INDEX ............................................  85
  286.  
  287.  
  288.     Integrity Master (tm)              -  7  -                 Version 2.21
  289.  
  290.                                tm
  291.     Part One - Integrity Master   Users Guide
  292.  
  293.     C H A P T E R   O N E   -   I N T R O D U C T I O N
  294.     ____________________________________________________________________
  295.  
  296.  
  297.     WELCOME!
  298.  
  299.     Welcome to the family of Integrity Master(tm) users!  Integrity Master
  300.     (also known as IM) is the fastest, most powerful data integrity and
  301.     anti-virus software available for any price.  I hope that you'll find
  302.     Integrity Master an indispensable part of your PC tool kit.  From now
  303.     on, you'll be back in control of all the data on your PC.
  304.  
  305.  
  306.     DON'T READ THIS!
  307.  
  308.     Most people should never need to read the Integrity Master Users
  309.     Guide.  If you're reading this to learn how to use Integrity Master,
  310.     you're here for the wrong reason.  Just copy your files onto your
  311.     hard disk and execute SetupIM.  The tutorial should tell you all you
  312.     need to know to get started.  For additional help when using Integrity
  313.     Master (IM), just hit F1 and select the index.  The odds are, what you
  314.     need to know is there.
  315.  
  316.     While I think most people won't need to read Part One -
  317.     Integrity Master Users Guide  (this part), I think everyone needs to
  318.     read  chapters one through six of Part Two - Data Integrity and
  319.     Viruses. This will help you understand the different threats to your
  320.     PC and what you can do about them.  You'll understand more clearly
  321.     how viruses work, how dangerous they are, and how to use Integrity
  322.     Master or other products to protect yourself.
  323.  
  324.     Integrity Master (tm)              -  8  -                 Version 2.21
  325.  
  326.  
  327.     WHY READ THE USERS GUIDE?
  328.  
  329.     I've written this users guide for three reasons:
  330.  
  331.     1) To provide more information on how to get the greatest benefit out
  332.        of Integrity Master.  You'll learn how to:
  333.  
  334.        o use IM to detect totally new viruses
  335.  
  336.        o tell if file damage is likely due to a hardware problem or
  337.          possibly a virus or a trojan
  338.  
  339.        o use IM to protect your PC from unauthorized tampering, etc.
  340.  
  341.     2) To explain certain aspects of Integrity Master in more detail and in
  342.        different terms than the explanation available from IM's internal
  343.        help screens.
  344.  
  345.     3) To satisfy people who prefer to read things on paper.  If you prefer
  346.        to read things on paper, then you're here for the right reason.
  347.        Although, I'll bet the tutorial in SetupIM will surprise you.  (Give
  348.        it a try!)
  349.  
  350.  
  351.     WHAT CAN INTEGRITY MASTER DO?
  352.  
  353.     1) Detect and remove viruses.  IM will even detect viruses that are
  354.        not known to exist at this point.  For known viruses, IM will
  355.        recognize them by name and describe what they do.
  356.  
  357.     2) Detect possible file corruption due to hardware or software
  358.        problems.   This type of file damage is apparently at least 100
  359.        times more likely than virus infection, yet it usually goes
  360.        undetected.
  361.  
  362.     3) Supplement or replace any PC security programs you have.  IM
  363.        will inform you if anyone changes something on your PC's disk
  364.        while you were gone.
  365.  
  366.     4) You just compressed your disk or you restored your files from a
  367.        backup. Are all the files really OK?   IM will tell you.
  368.  
  369.     5) You wanted to delete all your .BAK files, but you entered: "DEL
  370.        *.BAT" by mistake.  Oops!  IM will tell you exactly which files
  371.        you need to restore.
  372.  
  373.     6) You need a change management system to keep track of growth on
  374.        your hard disk.  Where is all that disk space going?  IM will tell
  375.        you.
  376.  
  377.     7) You're having problems with your disk drive.  Your diagnostic
  378.        programs say all is OK . . . now.  But were some files damaged
  379.        last night?  IM tells you!
  380.  
  381.     Integrity Master (tm)              -  9  -                 Version 2.21
  382.  
  383.     8) Your hard disk is having problems.  DOS will not even recognize
  384.        it as a disk.  IM can reload your partition and boot sectors to "fix"
  385.        your disk!
  386.  
  387.  
  388.     HOW DOES INTEGRITY MASTER DO ALL THESE THINGS?
  389.  
  390.     1) It reads files as well as parts of the operating system on your disk
  391.        known as system sectors.  The first time you use IM, you will run
  392.        an "initialize" that will read your disk and calculate cryptographic
  393.        signatures for each file and system sector.  While it's doing this,
  394.        IM is also checking for signs of known viruses.
  395.  
  396.     2) This signature data, along with other information such as the file
  397.        size, is encrypted and recorded in the "integrity data" file.  IM
  398.        creates one such file for each directory on your disk.
  399.  
  400.     3) On subsequent checks, the files and system sectors are read again
  401.        and the computed integrity data is compared with the prior values.
  402.        This allows IM to determine if anything has changed, even if the
  403.        time and date stamps reveal no change.
  404.  
  405.     4) IM detects changes that a virus may make to associate itself
  406.        (companion and cluster viruses) with an existing program.
  407.  
  408.     A virus can only infect your PC by associating itself with your
  409.     programs or system sectors.  Each of these actions results in changes
  410.     to data on your disk.  IM will detect these changes if a virus tries to
  411.     infect your system.
  412.  
  413.     WHAT MAKES INTEGRITY MASTER SPECIAL?
  414.  
  415.     1) Integrity Master is not just an anti-virus product but a complete
  416.        data integrity system.  Viruses are but one threat to the integrity
  417.        of your PC. With Integrity Master you have a complete solution.
  418.  
  419.     2) Unlike other integrity check programs, Integrity Master contains
  420.        extensive information regarding known viruses.  If IM recognizes
  421.        part of a known virus, it will identify the specific virus and
  422.        provide specific steps to remove it (offering to do this
  423.        automatically) and check for possible damage.  If it detects other
  424.        file changes that are characteristic of a virus, it will alert you to
  425.        that fact and provide appropriate instructions.
  426.  
  427.     3) Unlike a virus scanner, Integrity Master allows you to detect
  428.        unknown as well as known viruses.
  429.  
  430.     Integrity Master (tm)              - 10 -                 Version 2.21
  431.  
  432.     4) Unlike anti-virus products that merely find known viruses,
  433.        Integrity Master also detects files and sectors damaged (not just
  434.        infected!) by viruses.
  435.  
  436.  
  437.     5) Integrity Master is fast!  We wrote it in 100% highly optimized
  438.        assembler language.
  439.  
  440.     6) Integrity Master checks and protects areas on your disk known as
  441.        system sectors (the DOS boot and partition sectors), not just the
  442.        files.  If these sectors become infected or damaged, Integrity
  443.        Master can quickly repair them.
  444.  
  445.     7) Integrity Master utilizes easy to use menus with lots of help. You
  446.        don't have to fully understand some of the more complex areas of
  447.        data integrity, such as system sectors, yet you can be fully
  448.        protected.
  449.  
  450.     8) The Integrity Advisor(tm) component of Integrity Master understands
  451.        special files important to DOS and will give you special advice,
  452.        with step by step instructions, if these files have changed.
  453.  
  454.      INTEGRITY MASTER REQUIREMENTS AND LIMITATIONS:
  455.  
  456.     o IM requires a PC with 255K of available memory and DOS 2 or
  457.       later.  (At least 385 thousand free bytes are needed for maximum
  458.       speed.)
  459.  
  460.     o IM supports super large disks and files.
  461.  
  462.     o IM supports a maximum of 2621 files in a single directory.
  463.  
  464.     o Do not use the DOS APPEND, SUBST or ASSIGN commands
  465.       together with IM.  These can cause results that are misleading if
  466.       you don't carefully consider the effects of these commands.
  467.  
  468.     Integrity Master (tm)              - 11 -                 Version 2.21
  469.  
  470.     CHAPTER TWO - INSTALLING INTEGRITY MASTER
  471.     ____________________________________________________________________
  472.  
  473.  
  474.     SPECIAL QUICK INSTALL PROCEDURE
  475.  
  476.     Since you may be wanting to do a quick evaluation of Integrity
  477.     Master to see how it meets your needs, we offer this short cut install
  478.     procedure.  In contrast, the full install procedure is intended to guard
  479.     against unknown viruses already infecting your system or an attack by
  480.     a sophisticated user and is not necessary for an evaluation under
  481.     normal circumstances.
  482.  
  483.  
  484.     QUICK INSTALL:
  485.  
  486.     1) Type "SETUPIM" and hit ENTER.  Answer all the questions that
  487.        SetupIM will ask.  SetupIM will prepare a customized full install
  488.        procedure for you and save it on a file.   Rather than follow the
  489.        full procedure just continue with this quick install.
  490.  
  491.     2) Simply copy your IM files, IM.EXE and IM.PRM, to a convenient
  492.        location.   ("COPY IM.* A:" would copy them to a floppy)
  493.  
  494.     3) Enter the command: "IM /IE /Dc"  Substitute for "c", in the
  495.        "/Dc" parameter, the disk you wish to check.  That's it!
  496.  
  497.     The command line parameters (/IE, /Dc) are optional; to execute IM,
  498.     just enter "IM".  The menus will guide you from there.
  499.  
  500.  
  501.  
  502.     FULL INSTALLATION
  503.  
  504.    1) Make sure your Integrity Master files are located somewhere other
  505.       than drive A.  If they are on drive A, simply copy them to your
  506.       hard drive or a diskette that you can insert in one of the other
  507.       drives.  Here's an example of how to copy the IM files to your
  508.       hard drive from the diskette in drive A:
  509.  
  510.              C:           <ENTER>
  511.              CD \         <ENTER>
  512.              MD IMASTER   <ENTER>
  513.              CD IMASTER   <ENTER>
  514.              COPY A:*.*   <ENTER>
  515.  
  516.     Integrity Master (tm)              - 12 -                 Version 2.21
  517.  
  518.    2) Now, to begin the actual install process, type:
  519.  
  520.              SETUPIM      <ENTER>
  521.  
  522.         Or, if you have an older (CGA type) LCD display, you may want
  523.       to enter:
  524.              SETUPIM /L    <ENTER>
  525.  
  526.       (most modern laptops work fine in color or monochrome mode
  527.       "/M")
  528.  
  529.       If you have a two-color display on a color adapter, you may wish
  530.       to try:
  531.              SETUPIM /M    <ENTER>
  532.  
  533.        for a more readable display.  SetupIM automatically senses the
  534.        type of video adapter you are using but the above two combinations
  535.        can fool it occasionally.
  536.  
  537.     3) SetupIM will guide you from there.  SetupIM will provide you a full
  538.        tutorial on using Integrity Master menus and give you an overview of
  539.        how Integrity Master works.  SetupIM will then analyze your needs and
  540.        check out your hardware configuration. SetupIM's Integrity
  541.        Advisor(tm) component will customize IM's options so that it will
  542.        work best to meet your needs.  The Integrity Advisor will also
  543.        prepare a custom designed procedure to finish the install and a plan
  544.        for day-to-day use of IM.  In addition to displaying this plan on
  545.        your screen, the Integrity Advisor will write the plan to file
  546.        IMPROC.TXT. You can use your favorite utility to read IMPROC.TXT or
  547.        you can enter the command IMVIEW IMPROC.TXT to read it, or the
  548.        command IMPRINT IMPROC.TXT to print the file.
  549.  
  550.  
  551.      VITAL FILES
  552.  
  553.      Please check file README.DOC for a full list of files that come
  554.      with Integrity Master and what's important about each file.  To read
  555.      README.DOC, type: "IMVIEW README.DOC" and hit ENTER.  If this file is
  556.      not present, don't use your copy of IM.
  557.  
  558.      After you install Integrity Master, there will be only two files you
  559.      absolutely need to use Integrity Master:
  560.  
  561.      IM.EXE  - Integrity Master itself
  562.  
  563.      IM.PRM  - The parameter file which controls how IM works
  564.              - This file is created by SETUPIM.EXE
  565.  
  566.     Integrity Master (tm)              - 13 -                 Version 2.21
  567.  
  568.      If you want to reinstall IM, or change advanced features of IM, you
  569.      will need:
  570.  
  571.      SETUPIM.EXE The setup and install program (It creates
  572.                     and updates IM.PRM)
  573.  
  574.      When you install IM, SetupIM will create these files:
  575.  
  576.      IMPROC.TXT  Instructions on how finish installation and run IM
  577.  
  578.      IM.PRM           The parameter file (all option settings are stored
  579.                       here)
  580.  
  581.  
  582.      SCREEN COLORS
  583.  
  584.      IM normally automatically detects the type of video  adapter you have
  585.      and uses appropriate colors for your equipment.  There are two things
  586.      that can confuse IM:
  587.  
  588.     1) Some programs change the DOS video mode from color to
  589.        monochrome or vice-versa.  To correct this, just enter the
  590.        appropriate mode command (e.g., "MODE CO80")
  591.  
  592.     2) Some equipment appears to have a different display than it really
  593.        has, such as an LCD display on a laptop.
  594.  
  595.     If you find your display hard to read, you may want to override IM's
  596.     choice of video mode (colors).  The best way to do this is to experiment
  597.     by using the command line parameters to specify an alternate set of
  598.     colors.  Try each option and choose what looks the most pleasing.
  599.  
  600.     Both IM and SetupIM accept these command line parameters:
  601.  
  602.     /L  - For older CGA liquid crystal displays (e.g., Toshiba 1000 laptops)
  603.     /M  - Forces monochrome mode
  604.     /C  - Forces color mode
  605.     /A  - Forces automatic video detection mode (default).
  606.  
  607.     Example: "IM /M" will use colors appropriate for a monochrome
  608.     display even if the display appears to be of a color display.
  609.  
  610.     Once you've found the colors that work the best, it's usually best to
  611.     use SetupIM to select that video mode so that you don't have to remember
  612.     to enter the command line parameter.
  613.  
  614.     Integrity Master (tm)              - 14 -                 Version 2.21
  615.  
  616.     USING INTEGRITY MASTER MENUS
  617.  
  618.     Integrity Master (IM) and SetupIM both employ an advanced menu system.
  619.     When you first install using SetupIM, it will offer you  an extensive
  620.     guided tour of how these menus work.  This is the best way to learn how
  621.     to use the menus.  Within Integrity Master, just hit F1 and select "Help
  622.     using the menus" from the help menu for assistance.
  623.  
  624.     On most menus you will see one selection shown in a different color (or
  625.     underlined) than the other selections.  The different color (highlight)
  626.     indicates that this is the chosen line.  You can use the arrow (cursor)
  627.     keys to select any of the items on the menu.  Each menu line has a
  628.     single capitalized letter showing in a different color. Pressing the key
  629.     matching that letter will also select that menu item. On many menus, an
  630.     extended explanation automatically appears as you select any menu line.
  631.     After you have chosen the appropriate menu item, you must hit the ENTER
  632.     key before anything will happen.
  633.  
  634.     Integrity Master (tm)              - 15 -                 Version 2.21
  635.  
  636.     CHAPTER THREE - RUNNING INTEGRITY MASTER
  637.     ____________________________________________________________________
  638.  
  639.     INTEGRITY MASTER SCREEN CONTENTS
  640.  
  641.     The top part of the Integrity Master screen tells you what options are
  642.     in effect and what IM is currently doing.  The menus appear below this.
  643.     Be sure to go through the tutorial in SetupIM to learn how to use the
  644.     menus.  When IM is busy checking your files, the report screen pops up
  645.     and replaces the lower half of the screen including the menu area.
  646.  
  647.     The best way to get familiar with the information presented to you on
  648.     the IM screen is by hitting the F1 (help) key and selecting the
  649.     "Explanation of the display" entry.  This will give you a step by step
  650.     guided tour of IM's display.
  651.  
  652.  
  653.     INITIALIZING INTEGRITY DATA
  654.  
  655.     Before you can check your disk, you must initialize the integrity data
  656.     that describes the disk.  You can use either the command line parameter
  657.     (/IE) or the Initialize menu within IM.  Hit "I" or alt/I (hold down the
  658.     ALT key and press "I") to get to the Initialize menu.
  659.  
  660.     .-----------------------------.----------.------------------------.
  661.     |   Help    Options   Check   |Initialize|    ReLoad    CoMmands  |
  662.     .-------------------------- .-.          .-------------------. ---.
  663.                                 |  Entire disk integrity         |
  664.                                 |  Files on current Disk         |
  665.                                 |  Current and Lower directories |
  666.                                 |  Current diRectory only        |
  667.                                 |  Boot sector                   |
  668.                                 |  Partition sector              |
  669.                                 |  CMOS memory                   |
  670.                                 .--------------------------------.
  671.  
  672.     From this menu, you create (initialize) the integrity data that describes
  673.     your files, CMOS  and system sectors.  While IM is initializing the
  674.     integrity data, it will (unless you turned virus checking off) check for
  675.     known viruses, and check for other indications of viruses or system
  676.     problems.  For the system (boot and partition) sectors and CMOS, IM will
  677.     save reload information.  This enables you to restore these (using the
  678.     ReLoad menu) if anything should ever infect or damage them. IM writes the
  679.     reload data to files CMOS.SRL, BOOT.SRL and PART.SRL for the CMOS, DOS
  680.     boot sector, and partition sectors respectively.  Be sure to read the
  681.     section in Part Two, Chapter One, that explains why system sectors are
  682.     important.
  683.  
  684.     Integrity Master (tm)             - 15b -                 Version 2.21
  685.  
  686.     CMOS MEMORY
  687.  
  688.     CMOS is the special battery powered memory that contains information
  689.     on how your PC is configured.  If this memory is changed, your PC may
  690.     be unable to boot so be sure to save the CMOS.SRL file on a floppy.
  691.  
  692.     Generally, XT class (and earlier) PCs don't have CMOS memory.  There's
  693.     usually a setup program (sometimes accessible only at boot time) that
  694.     allows you to change your PCs configuration and thereby change the CMOS
  695.     contents. If you do this be sure to use the CMOS option on the Initialize
  696.     menu to update IM's saved copy of your CMOS (in file CMOS.SRL).
  697.  
  698.     CMOS is powered by a battery so that its contents will stay intact when
  699.     your PC is off.  You must periodically replace this battery.  When it
  700.     starts to fail, you will notice unexpected changes to your CMOS.  After
  701.     you replace the battery, use the ReLoad menu to restore your original
  702.     configuration.
  703.  
  704.  
  705.  
  706.     Integrity Master (tm)              - 16 -                 Version 2.21
  707.  
  708.     When you first use IM, please select "Entire disk integrity" initialize
  709.     to initialize the integrity data for all files and system sectors (the
  710.     boot or partition) that exist on the current disk.  IM will also create
  711.     the system  sector reload files (BOOT.SRL and PART.SRL).  Be sure to save
  712.     a copy of these files on diskette to help you recover when your hard disk
  713.     fails. (Not all disks have both boot and partition sectors).
  714.  
  715.     The other options on this menu correspond to matching options on the
  716.     CHECK menu.
  717.  
  718.  
  719.     WHAT IS INTEGRITY DATA?
  720.  
  721.     When IM checks a file, it uses each byte of the file in a calculation to
  722.     compute cryptographic signatures for that file.  A change to any part of
  723.     a file will result in a different signature.  These signatures, along
  724.     with other significant information such as file size, are what I call
  725.     integrity data.  IM writes an integrity data file for each directory on
  726.     your disk. These files can be stored with the files that they describe
  727.     or stored on separate diskettes.
  728.  
  729.     When you first install, SetupIM chooses, at random, a unique algo-
  730.     rithm to compute the cryptographic signatures, and also chooses a
  731.     unique algorithm to encrypt your integrity data files.
  732.  
  733.  
  734.     WHAT ARE CRYPTOGRAPHIC SIGNATURES?
  735.  
  736.     Just as your signature uniquely identifies you, the cryptographic
  737.     signatures serve to identify the contents of each file.  If a virus or a
  738.     hardware problem changes a file, the signature computed for that file
  739.     will be different, although the file size and time and date stamps may
  740.     be the same. A change or the rearrangement of data in a file will result
  741.     in a different signature.  When you execute SetupIM, it will randomly
  742.     select a unique algorithm for computing the cryptographic signatures.
  743.  
  744.  
  745.  
  746.     THE CHECK MENU
  747.  
  748.     From the Check menu, you can check files or system sectors for changes.
  749.     Use the up and down arrow keys to select the type of checking you'd like
  750.     to do. You may choose to check only specific things on your disk, such
  751.     as the system sectors or individual files, or you could check everything
  752.     on the entire disk.  IM will report any added,  deleted, or changed
  753.     files as well as any signs of viruses or other known problems.  If
  754.     integrity checking is on, IM will read the files and check for any
  755.     changes.  Use the Options menu to control whether full integrity
  756.     checking is on and the type of files to check. The fourth line at the
  757.     top of the screen shows the current status of integrity checking
  758.     including the type of files to be checked.  If you
  759.  
  760.     Integrity Master (tm)              - 17 -                 Version 2.21
  761.  
  762.     see: "Integrity check: On", this indicates that full checking will be
  763.     done on all files.
  764.  
  765.  
  766.     You can reach the Check menu by hitting "C" or alt/C.
  767.  
  768.     .---------------------.-----.-------------------------------------.
  769.     |   Help    Options   |Check|   Initialize    ReLoad    CoMmands  |
  770.     .----- .--------------.     .----------.--------------------------.
  771.           |  Entire disk integrity         |
  772.           |  Files on current Disk         |
  773.           |  Current and Lower directories |
  774.           |  Current diRectory only        |
  775.           |  Specific file(s)              |
  776.           |  Boot sector                   |
  777.           |  Partition sector              |
  778.           |  Disk for known Viruses        |
  779.           |  CMOS memory (FULL)            |
  780.           .--------------------------------.
  781.  
  782.     Entire disk integrity
  783.       Selecting this option and hitting the ENTER key will check any
  784.       system sectors (the boot or partition sectors) that exist on the
  785.       current disk for changes and then check all files in all directories.
  786.  
  787.     Files on current Disk
  788.       Selecting this option and hitting the ENTER key will check only
  789.       files on the current disk.  System sectors will not be checked.
  790.  
  791.     Current and Lower directories
  792.       Selecting this option and hitting the ENTER key will check files in
  793.       the current directory and any files in any directories which are
  794.       defined descendant from the current directory.  If the current
  795.       directory happens to be the root directory (e.g., C:\) then all files
  796.       on that disk will be checked since all other directories are
  797.       descendant from the root directory.  Another example: if you're in
  798.       directory \DOS, directories such as \DOS\A, \DOS\UTILS or \DOS\A\B
  799.       would be checked in addition to \DOS.
  800.  
  801.     Current diRectory only
  802.       Selecting this option and hitting the ENTER key will check only
  803.       files in the current directory.
  804.  
  805.     Specific file(s)
  806.       Selecting this option and hitting the ENTER key allows you to
  807.       enter the name of a specific file to check.
  808.  
  809.     Boot sector
  810.       Selecting this option and hitting the ENTER key will read the DOS
  811.       boot sector and check it for any changes.  Please see the
  812.       explanation of system sectors later in this guide.
  813.     Integrity Master (tm)              - 18 -                 Version 2.21
  814.  
  815.     Partition sector
  816.       Selecting this option and hitting the ENTER key will read the
  817.       partition sector (also known as the master boot record) and check it
  818.       for any changes.  Please see the explanation of system sectors later
  819.       in this guide.
  820.  
  821.     Disk for known Viruses
  822.       The option to check "Disk for known Viruses" is intended only for
  823.       one-time quick virus scans or to do checks of all files (not just
  824.       those identified as executable files) for known viruses.  You can do a
  825.       one-time quick virus scan on just the current directory or on the
  826.       entire disk.  If you choose the entire disk, then the appropriate
  827.       system sectors will be checked as well as all executable files.
  828.       Checking all types of files is useful as a double check in the event
  829.       that IM detects an existing virus.  This is suggested since it's
  830.       possible that you may have a program somewhere that uses a file with a
  831.       nonstandard extension to store executable code (e.g., overlays).  If
  832.       you are aware of a program that uses extensions which IM does not
  833.       recognize as executable, then you may wish to use the Advanced menu in
  834.       SetupIM to add this extension to the list of extensions recognized by
  835.       IM. You generally won't need the virus scanning option except in these
  836.       special cases, since IM automatically checks for viruses during its
  837.       normal processing.  You can also use the /VA, /VM, /VO, or /VR
  838.       command line parameters to perform a virus scan.
  839.  
  840.     CMOS Memory
  841.       Integrity Master can check the CMOS memory describing the configuration
  842.       of your PC. It can check either the "FULL" or the "BASE" (the standard
  843.       64 byte AT CMOS portion) CMOS.  The menu will display whether
  844.       "FULL" or base CMOS is being checked.  You can use SetupIM to change
  845.       this. Most modern PCs now have more than the standard 64 byte base
  846.       CMOS memory. IM can check your entire CMOS.  IM ignores the non-critical
  847.       or "known to change" portions of your CMOS when checking.  CMOS is
  848.       used differently by each manufacturer, but IM will diagnose the
  849.       change to CMOS and report as much information as possible regarding
  850.       what has changed.  For example, if you install a new floppy drive,
  851.       you would expect the CMOS describing the floppy setup to change.
  852.       If you see that many items in your CMOS have changed, then it's
  853.       a good bet that your battery is failing or a buggy program may have
  854.       trashed your entire CMOS.  In this case, let IM reload your CMOS
  855.       for you.
  856.  
  857.  
  858.     IMPORTANT REMINDERS BEFORE CHECKING:
  859.  
  860.     o Before using IM, be sure that you've run SetupIM (new install) and
  861.       followed the directions provided for you in file IMPROC.TXT.
  862.  
  863.     o Before checking your files run an "Entire disk integrity" initialize.
  864.  
  865.     o For protection against previously unknown viruses, be sure you
  866.       cold boot from a write-protected floppy before checking.
  867.  
  868.  
  869.     Integrity Master (tm)             - 18b -                 Version 2.21
  870.  
  871.  
  872.  
  873.     T H E   R E P O R T   F I L E
  874.  
  875.     In addition to seeing a report of IM's findings on screen, you may wish
  876.     to save a report on disk or on paper.  The Options menu in both IM and
  877.     SetupIM allows you to set the type of report (if any) IM will create.  I
  878.     recommend that you allow IM to write its findings to an "auto-named"
  879.     disk file.  By saving these report files, you can discover what changed
  880.     last April 1 or when you last changed a particular file.  Each time you
  881.     run IM, it will write its findings to the end of the report file for
  882.     that day.  For example, on June 1, 1992 the report would be on file
  883.     ")(0601.REP".  By saving the report files, you can maintain a complete
  884.     change history for your PC.  If you ever want to find out what happened
  885.     to a file, the full history will be
  886.  
  887.     Integrity Master (tm)              - 19 -                 Version 2.21
  888.  
  889.     available. If you wish to keep more than  one year of history on-line,
  890.     try copying all the report files (COPY *.REP) to another disk or
  891.     subdirectory.
  892.  
  893.     If you choose an "auto-named" report file, you can elect that IM place
  894.     the file in the root directory of whatever disk is being checked or you
  895.     may choose to place it on a specific disk of your choice.  You can also
  896.     give the report file absolutely any name you wish.  If you choose a
  897.     specific filename, you may include the disk and directory as part of the
  898.     filename.  If you do not specify a disk or directory as part of the
  899.     filename, then IM will create this file in the current directory at the
  900.     time you execute IM.
  901.  
  902.     If you elect printed output, IM will ask you to choose LPT1, 2,  or 3.
  903.     In the rare event that this does not work with your printer, you may
  904.     also print by asking IM to write the report to a specific file name such
  905.     as "PRN" (the printer).  If you use "PRN", you will get less
  906.     sophisticated error handling and messages since DOS drives the
  907.     printer rather than IM.
  908.  
  909.  
  910.     S Y S T E M   S E C T O R S
  911.  
  912.     System sectors are special areas on your disk containing programs
  913.     that are executed when you boot your computer.  These sectors are
  914.     invisible to normal programs but are vital for correct operation of
  915.     your PC.  They are a common target for viruses.  Please read the
  916.     detailed description of Boot and Partition sectors in Chapter one of
  917.     PART TWO - Data Integrity and Viruses.
  918.  
  919.  
  920.     R E L O A D I N G
  921.  
  922.     You can reach the ReLoad menu by hitting "L" or alt/L from any of
  923.     the other primary IM menus.
  924.  
  925.     .-------------------------------------------.------.--------------.
  926.     |   Help    Options   Check   Initialize    |ReLoad|    CoMmands  |
  927.     .---------------------------------------- .-.      .------------. .
  928.                                               |  Boot sector        |
  929.                                               |  Partition sector   |
  930.                                               |  Missing partition  |
  931.                                               |  CMOS memory        |
  932.                                               .---------------------.
  933.  
  934.     From the ReLoad menu, you may reload your CMOS memory, DOS boot sector or
  935.     your partition sector (master boot record), in the event that they have
  936.     become damaged or infected with a virus.  The "reload Missing partition"
  937.     option must be used if you have a disk so badly damaged that DOS will not
  938.     recognize that the disk exists. You will then be prompted to identify the
  939.     disk on which to reload. You can identify it either by the logical disk
  940.     letter (A-Z) or by the physical device number (0 for the first physical
  941.     hard drive, 1 for the second and so on).  If the disk you are about to
  942.     reload is not the same disk from
  943.  
  944.     Integrity Master (tm)              - 20 -                 Version 2.21
  945.  
  946.     which the reload data was saved, IM will warn you, but will give you
  947.     the option to continue with the reload.  You can take advantage of this
  948.     if you need to reload the boot sector of multiple floppy diskettes:
  949.  
  950.    o Locate a clean diskette of the type that is infected
  951.  
  952.    o Initialize integrity data for the boot sector of that floppy.
  953.  
  954.    o Make sure that the BOOT.SRL file you just created is the only one
  955.      IM can find.  (Temporarily move any other .SRL files)
  956.  
  957.    o Turn the report file off
  958.  
  959.    o Change to the drive containing an infected floppy (CoMmands
  960.      menu).
  961.  
  962.    o Tell IM to reload the boot sector.
  963.  
  964.    o Insert and another diskette and keep reloading. IM will locate the
  965.      BOOT.SRL file on one of your other disks and reload the sectors
  966.      on each floppy diskette.
  967.  
  968.  
  969.     The Commands Menu
  970.  
  971.     You can reach the "CoMmands menu" by hitting "M" or alt/M from
  972.     any of the other primary IM menus.
  973.  
  974.     .----------------------------------------------------.--------.---.
  975.     |   Help    Options   Check    Initialize    ReLoad  |CoMmands|   |
  976.     .------------------------ .--------------------------.        .-. .
  977.                               |  Temporarily Shell out to DOS       |
  978.                               |  Quit - exit the Integrity Master   |
  979.                               |  Disk change                        |
  980.                               |  DiRectory change                   |
  981.                               |  Uninstall - delete integrity data  |
  982.                               .-------------------------------------.
  983.  
  984.     Temporarily Shell out to DOS
  985.       This allows you to exit IM to the DOS prompt, but leaves Integrity
  986.       Master loaded in memory so you can quickly return by using the
  987.       Exit command.  Shelling allows you to exit IM, and execute most
  988.       other programs at the DOS prompt (such as copying files or
  989.       formatting disks).
  990.  
  991.     Disk Change and DiRectory Change
  992.       You'll mostly use this menu to change the current disk or
  993.       directory.  (You can also use the "/D" command line option to
  994.       change to one or more other disks or use the "/P" command line
  995.       parameter to start in a different directory)
  996.  
  997.     Quit - exit the Integrity Master
  998.       In addition to using the "Quit - exit the Integrity Master" option on
  999.       the CoMmands menu, you can use the ESCape and alt/X keys to
  1000.       terminate IM from any point.  The ESCape key allows you to
  1001.  
  1002.     Integrity Master (tm)              - 21 -                 Version 2.21
  1003.  
  1004.       terminate most IM menus without taking any action and return to
  1005.       the prior menu.  The only exceptions to this are menus which
  1006.       require a response one way or the other.  These are usually the
  1007.       result of a detected error of some type.  If you hit ESCape enough
  1008.       times, IM will ask if you really want to quit.  You must select
  1009.       "Yes" and hit enter to exit.  The fastest way to exit IM, is by hit-
  1010.       ting alt/X (hold the ALTernate key down and hit the "X" key).
  1011.       This allows you to quickly exit without the final "Do you really want
  1012.       to quit?" prompt.
  1013.  
  1014.     Uninstall - delete integrity data
  1015.       If you have integrity data files in each directory of your hard disk,
  1016.       you can quickly delete these files by selecting Uninstall on the
  1017.       CoMmands menu.  If your integrity data is stored on a different
  1018.       disk than the files it describes (such as a floppy) then this option
  1019.       will have no effect.
  1020.  
  1021.  
  1022.     THE STATISTICS SUMMARY
  1023.  
  1024.     Whenever you finish checking files, IM will show you a summary of its
  1025.     findings.  Since the summary contains a time and date stamp, you can use
  1026.     the report file as a chronological log of all changes on your PC even if
  1027.     you have it going to the printer.  The summary shows statistics for all
  1028.     file changes as well as system sector and memory checking.  IM reports
  1029.     the number of times it checked a file's integrity data against the DOS
  1030.     directory information, as "files processed". It also reports a separate
  1031.     count of the number of files actually read and checked.  IM resets all
  1032.     statistics (with the exception of the memory check results) each time
  1033.     after it displays the summary statistics.  This means that on subsequent
  1034.     file checks, the system sectors will be indicated as "Not checked" even
  1035.     though they were indicated as checked on the prior display.  Why is
  1036.     this?   IM does this because some disks are removable and disk X may
  1037.     suddenly be a different disk.  IM shows the statistics for any viruses,
  1038.     suspicious files, or system corruption (which includes file open and
  1039.     read errors) in red.
  1040.  
  1041.  
  1042.     VIRUSES - WHAT ARE THEY?
  1043.  
  1044.     Viruses are but one of many threats to your data.  You are far less
  1045.     likely to be hurt by a virus than the other causes of data damage such
  1046.     as software conflicts and general glitches of various types.
  1047.  
  1048.     Viruses are programs that attach themselves to other programs  in such a
  1049.     way that when the other program is executed, the virus code will also
  1050.     execute.  The infected program usually appears to execute normally but
  1051.     the virus may be attaching itself to additional programs each time the
  1052.     infected program runs.  Many viruses are triggered by some event (such
  1053.     as a particular time or date) into an attack phase,
  1054.  
  1055.     Integrity Master (tm)              - 22 -                 Version 2.21
  1056.  
  1057.     resulting in anything from music to serious file damage.  Viruses
  1058.     often wait a long time before attacking; their goal is to spread as far
  1059.     as possible before revealing their presence.  Some viruses go resident
  1060.     in your PC's memory, taking over your PC.  This enables them to infect
  1061.     at will and elude detection attempts.
  1062.  
  1063.     A virus may attach itself to programs in two ways that many people
  1064.     are not aware of.  The first way is to infect the programs that are in
  1065.     the system (boot and partition) sectors of your PC.  The second way is
  1066.     by changing system information on your PC so that the virus code is
  1067.     executed before the intended program. The most obvious way to do this
  1068.     depends on the fact that if both a .COM and .EXE file have the same
  1069.     name, DOS will execute the .COM file instead of the .EXE file. Such a
  1070.     virus is commonly called a companion or spawning virus. These viruses
  1071.     locate .EXE files and then plant themselves as .COM files of the same
  1072.     name.  The virus (the .COM file) can execute, spread further, and then
  1073.     run the .EXE program so that everything appears normal. (Don't worry; IM
  1074.     detects all types of viruses!) Please read PART TWO Data Integrity and
  1075.     Viruses to learn more about viruses.
  1076.  
  1077.  
  1078.     VIRUS CHECKING PROCEDURE
  1079.  
  1080.     When you install Integrity Master using SetupIM, the Integrity Advisor
  1081.     will prepare a complete procedure for running IM.  If you indicated that
  1082.     you wanted to detect viruses, then this procedure would include the
  1083.     steps you need to check for viruses.  This step by step procedure is
  1084.     customized to your own preferences, so be sure to read file IMPROC.TXT
  1085.     first.
  1086.  
  1087.     To be certain of detecting even unknown viruses, it is vital to cold
  1088.     boot from your write-protected floppy containing IM before checking for
  1089.     viruses.  Do NOT use Ctrl/alt/del to boot, but turn your PC off and then
  1090.     on.  Some PCs have a reset button that will force a cold boot.
  1091.  
  1092.     Whenever you engage in any activity that changes or rearranges many
  1093.     files, run at least a "Quick update", so that your integrity data
  1094.     accurately reflects the status of your PC.  Use the Options menu to
  1095.     change the type of integrity checking.
  1096.  
  1097.    o With Integrity "CHECK ON", do a full integrity check (rather than
  1098.      a "quick update") of all files at least once a month to detect any
  1099.      unexpected changes.
  1100.  
  1101.    o If your work exposes you to programs that may be infected with viruses,
  1102.      do a daily full check of your disk for any unauthorized changes.  To
  1103.      save time, use the Options menu to limit checking to executable
  1104.      programs.  Check at least the current directory if you have executed
  1105.      any new or "strange" programs.
  1106.  
  1107.     Integrity Master (tm)              - 23 -                 Version 2.21
  1108.  
  1109.    o After installing any new software, IMMEDIATELY run IM to
  1110.      initialize the integrity data for the new files you have created.  Be
  1111.      sure that you save a write-protected disk containing a copy of the
  1112.      software.  It is vital that you do this before you start to use the
  1113.      software.
  1114.  
  1115.    o It is critical to do extra checking any time you copy programs (e.g.,
  1116.      *.EXE or *.COM files).  When you copy programs, be sure to copy your
  1117.      integrity data also.  For example, if you are doing something like a
  1118.      "COPY  *.EXE   D:\DOS", then also enter a command to copy the integrity
  1119.      data to "D:\DOS".  (If you're not sure what the names of your integrity
  1120.      data files are, check your IMPROC.TXT file or select "Integrity data
  1121.      options" on the SetupIM Change menu.)  If you simply copy all files
  1122.      (COPY *.*), then you won't have to worry; the integrity data will
  1123.      automatically be copied along with the programs.  Afterwards, run IM to
  1124.      check that the files were copied without damage or virus infection.
  1125.      Naturally, IM will report any files that weren't copied as deleted when
  1126.      you run this check.
  1127.  
  1128.  
  1129.    SCANNING FOR VIRUSES
  1130.  
  1131.    To quickly do nothing but scan one or more disks for known viruses:
  1132.  
  1133.    o Use the CoMmands menu or the "/Dx" command line parameter to change to
  1134.      the drive you want to scan.  (do not use a colon (":") with the "x".)
  1135.  
  1136.    o Use the Options menu to turn the report off or to set the report to
  1137.      go to the printer or your hard disk.
  1138.  
  1139.    o From the Check menu choose "Disk for known Viruses".  Hit ENTER and
  1140.      select either   "One-time screening" or (if you're planning to check
  1141.      several floppies) "Check Multiple diskettes".
  1142.  
  1143.    o This scans the first disk.  When you see the display summarizing the
  1144.      results of the scan, insert the next diskette and hit enter to scan that
  1145.      diskette or hit ESCape if you're done scanning.
  1146.  
  1147.    IM will return a DOS error level of 64 or greater if it encounters a
  1148.    known virus so you an use IM in a batch file which checks for viruses.
  1149.    You can also use the command "IM /Dx /VM" to scan multiple diskettes
  1150.    in drive x.  Use "/VO" rather than "/VM" to scan only one diskette.
  1151.  
  1152.  
  1153.    SCANNING BBS UPLOADS
  1154.  
  1155.    You can use IM to scan uploads to your BBS. The command
  1156.  
  1157.    IM /VR /NE /b
  1158.  
  1159.    will scan the current directory or
  1160.  
  1161.    IM /VR /NE /b /Pxxxx
  1162.  
  1163.    will scan the directory (and/or disk) specified by xxxxxx.
  1164.  
  1165.    If your upload processor provides a filespec like "*.*" or "*.COM",
  1166.    you do not need to feed it to IM on the command line.  However if it does,
  1167.    you can include it as the first parameter. (e.g. "IM @FILES@ /B /VR /NE").
  1168.  
  1169.    IM returns an ERRORLEVEL of 64 or greater if it finds a virus.
  1170.  
  1171.    To scan a disk for known viruses AND to get data integrity protection:
  1172.  
  1173.    o Use the Options menu and set the "Files to iNitialize" option to
  1174.      "Executable programs."
  1175.  
  1176.    o Use the Initialize menu to initialize "Entire disk integrity".
  1177.  
  1178.    The command line options: /VA, /VM, /VO, /VL, and /VR are available for
  1179.    scanning.  Remember that virus scanning will detect only viruses known
  1180.    at the time this program was written.  As with any scan program, you
  1181.    should have the latest version if you intend to rely upon scanning for
  1182.    serious protection.
  1183.  
  1184.  
  1185.    DETECTING VIRUSES
  1186.  
  1187.    o Make sure that you specified that you wanted virus protection when
  1188.      you installed IM.  If you didn't, then run SetupIM and select
  1189.      "Reinstall".
  1190.  
  1191.    o Make sure you carefully followed SetupIM's instructions in
  1192.      IMPROC.TXT.
  1193.  
  1194.    o If a virus is found on your PC, IM will almost always recognize it
  1195.      by name and explain how to remove it.  IM will also advise if viral
  1196.      signs are present on changes that don't match known viruses.
  1197.  
  1198.     Integrity Master (tm)              - 24 -                 Version 2.21
  1199.  
  1200.    o Whenever IM reports a change to an executable program, it's important
  1201.      to discover the cause.  Some programs modify themselves when you change
  1202.      their options; some programs change themselves every time they run.
  1203.      Changes to executable programs are indicated in red on the report
  1204.      screen and are bracketed by "...." to make these changes obvious.
  1205.  
  1206.    o If only a single program has changed and IM does not reveal this to be
  1207.      corruption, then you probably do NOT have a virus.  If you have any
  1208.      doubt that a program change may be a virus, be very careful and run
  1209.      full checks with IM after executing this program. (Cold boot (power off
  1210.      and on) from a floppy before running IM)  Any program changes detected
  1211.      at this point indicate a virus.  Please report this (see file
  1212.      VIRREP.DOC for complete details).
  1213.  
  1214.    o For speed, use the Options menu to limit checking to executable files.
  1215.  
  1216.  
  1217.     DETECTING UNKNOWN (NEW) VIRUSES
  1218.  
  1219.     IM has the capability to detect infection by an unknown (new) virus
  1220.     as well as the ability to identify known viruses and their
  1221.     characteristics.  If IM detects an unknown virus, it clearly can't
  1222.     provide the detailed information that it provides when it detects a
  1223.     known virus.  Because of some of the generic detection techniques used
  1224.     in IM, there's a good chance that it will identify and describe a new
  1225.     virus.  How is this possible?  This is only possible if the virus is not
  1226.     totally new but a modification of an existing virus.  In this case, IM
  1227.     may identify the "new" virus as a virus it knows about because someone
  1228.     created the new virus by simply making some changes to an existing
  1229.     virus.  (Most "new" viruses are created in exactly this way.) IM will
  1230.     usually notice the code from the old virus still present in the new
  1231.     virus and identify it in this way.
  1232.  
  1233.     What about totally new viruses?   These are a little more work to
  1234.     identify.  In this case, IM will inform you that it has detected a
  1235.     change in a file or a system sector, but won't announce that a virus is
  1236.     present, unless it's similar to a known virus.
  1237.  
  1238.     How do we decide whether a virus is responsible for the detected
  1239.     change?  Consider the following factors:
  1240.  
  1241.     o Has IM identified virus-like symptoms with this change?  Such
  1242.      symptoms include an unusual value in the DOS time or date stamp,
  1243.      and file corruption detected (no change to the time and date stamp
  1244.      but a change to the file).
  1245.  
  1246.     o Are numerous unrelated executable files changed?
  1247.  
  1248.     If the answer to one or both of these questions is "yes" then it's time
  1249.     to do some more checking to see if it's really a virus.  Please read the
  1250.  
  1251.     Integrity Master (tm)              - 25 -                 Version 2.21
  1252.  
  1253.     section on Virus Signs and Playing Detective in Part Two - Data
  1254.     Integrity and Viruses.  Following these procedures will let you
  1255.     determine if you have encountered a brand new virus (lucky you!).  If
  1256.     you have encountered a virus, or you are not sure, please contact us;
  1257.     see file VIRREP.DOC for details on reporting viruses.
  1258.  
  1259.  
  1260.     THE INTEGRITY MASTER VIRUS REPORT
  1261.  
  1262.     When IM detects a known virus it will optionally present at least one
  1263.     full screen of information.   The virus report screen gives you the
  1264.     following information:
  1265.  
  1266.    o The name of the virus.  This is usually the name used by the UK's Virus
  1267.      Bulletin but in some cases we use an abbreviated or more common name.
  1268.      This name corresponds to an entry in file VTEXT.DOC.  Many viruses have
  1269.      been built as modifications to existing viruses. By identifying common
  1270.      (hard to change) code elements in the base virus, IM can identify
  1271.      multiple viruses by spotting their common characteristics.  This means
  1272.      for example that if IM reports the Jerusalem virus, it could also be
  1273.      the Anarkia, Anarkia-B or the Payday virus. Since viruses go by many
  1274.      names, alternate names for the same virus are listed in this table too.
  1275.  
  1276.    o IM lists the type of files or system sectors infected by this virus.
  1277.  
  1278.    o If the virus is known to seriously interfere with normal operation of
  1279.      your PC, this is mentioned.  We don't classify messages, bouncing balls,
  1280.      or music as serious interference. We do consider slowing execution of
  1281.      your PC or halting the system as serious.
  1282.  
  1283.    o IM will mention if the virus is known to either deliberately or
  1284.      inadvertently damage data on your disk.  Beware, though, some idiot
  1285.      could, at any point in time, modify a previously harmless viruses to do
  1286.      something destructive.  An example of this is the Cascade virus
  1287.      (letters cascade down on your screen when this virus activates).  The
  1288.      first version of this virus was harmless but someone created a variant
  1289.      that will format your disk.  In this case, IM makes a special check for
  1290.      the dangerous variant of the virus and warns you if it's detected.  In
  1291.      spite of this, please, NEVER assume that a virus is harmless.  If we
  1292.      don't mention that a virus is known to damage files, it means only that
  1293.      no one has reported damage from this virus.  Be careful; you may have a
  1294.      variant of the virus that might very well be dangerous!
  1295.  
  1296.    o IM presents step by step removal instructions for the virus.
  1297.  
  1298.     Sometimes IM presents additional screens describing necessary or suggested
  1299.     actions.  This is true if the virus is detected in memory. When IM first
  1300.     starts, it checks the memory of the PC for presence of known viruses
  1301.     (unless you deactivate this check using SetupIM or the "/B" (bypass)
  1302.  
  1303.     Integrity Master (tm)              - 26 -                 Version 2.21
  1304.  
  1305.     command line parameter); if IM detects a virus, it will ask you to
  1306.     immediately cold boot your PC.  Checking further at this point could be
  1307.     very dangerous since it might spread the virus.  Other special viruses
  1308.     such as companion or cluster viruses (see PART TWO for details) will
  1309.     generate an extra screen identifying that specific virus and mentioning
  1310.     alternate ways to remove the virus.
  1311.  
  1312.  
  1313.     FALSE ALARMS
  1314.  
  1315.     If IM announces detection of a known virus, could this be a false alarm
  1316.     (not really a virus)?  If IM has checked this file before or if it has
  1317.     found more than one file infected, then you very likely have a REAL
  1318.     VIRUS!  If this is the first time that IM checked this file, and if it
  1319.     found only one file infected after checking your entire disk, then it's
  1320.     probably a false alarm.  Although it is very unlikely, it IS possible
  1321.     that a legitimate program could contain code that matches a virus.
  1322.  
  1323.     IF YOU THINK YOU HAVE A FALSE ALARM, PLEASE NOTIFY STILLER RESEARCH.
  1324.     WE WILL DETERMINE IF A VIRUS IS PRESENT; IF IT IS A FALSE ALARM, WE
  1325.     WILL, IF POSSIBLE, SEND A CORRECTED VERSION OF IM.
  1326.  
  1327.     Some anti-virus programs contain unencrypted virus fragments that IM may
  1328.     detect.  It's usually safe to assume these programs are not infected.
  1329.     Some of these programs also leave virus fragments in memory that IM may
  1330.     then detect and announce as a memory resident virus.  Please do not take
  1331.     any chances in such a case and follow IM's instructions to cold boot,
  1332.     even though it's likely to be a false alarm.
  1333.  
  1334.     If you have just read an infected disk or a file, there is a chance that
  1335.     IM may detect a piece of this file in memory and announce a resident
  1336.     virus when one really isn't resident.  In such cases, it's best to play it
  1337.     safe and cold boot from a write-protected diskette.
  1338.  
  1339.  
  1340.     DESTROYING VIRUSES
  1341.  
  1342.     If IM detects a known virus, it will display the steps to remove the
  1343.     virus and offer to remove it automatically.
  1344.  
  1345.     If IM detects program or system sector changes that may be due  to a
  1346.     virus, please follow these steps:
  1347.  
  1348.     o Save at least one infected diskette or file and report this to us. This
  1349.       will allow us update IM to recognize this virus and hopefully track
  1350.       down the source of the virus!  See file VIRREP.DOC for complete
  1351.       details.
  1352.  
  1353.     o Cold boot your PC (power off and on) from a write-protected
  1354.       floppy disk.
  1355.  
  1356.     Integrity Master (tm)              - 27 -                 Version 2.21
  1357.  
  1358.     o Run an "Entire disk integrity" check, noting any changed programs
  1359.       or other possible damage by the virus.
  1360.  
  1361.     o You can allow IM to remove the virus or follow its directions to
  1362.       remove the virus manually.  Restore infected files from the original
  1363.       program diskettes if possible.
  1364.  
  1365.     o Reload your system sectors if they were damaged.
  1366.  
  1367.     o Restore any damaged files or programs from the original diskettes
  1368.       if possible.
  1369.  
  1370.     o Very carefully, check any floppies you've used.
  1371.  
  1372.     o Run an "Entire disk integrity" check daily for a while.
  1373.  
  1374.  
  1375.     DATA CORRUPTION
  1376.  
  1377.     If a program changes a file by normal means, the file's time and date
  1378.     stamp will be updated to reflect this change.  On the other hand, if a
  1379.     virus or a hardware or software problem causes a file to be changed,
  1380.     there is often no change to file's time and date stamps. IM calls this
  1381.     file corruption and raises a special alarm if it detects this.  If you
  1382.     find a corrupted file, the odds are it's NOT a virus.  The most likely
  1383.     cause of corrupted files is software conflicts.  The next most common
  1384.     cause is hardware problems.  In any case, if you have a corrupted file,
  1385.     it's essential you find what the cause is.  In Part Two - Data Integrity
  1386.     and Viruses", I have a chapter titled Determining the Cause of Data
  1387.     Corruption.  Please read that chapter very carefully when (not if!) you
  1388.     detect a corrupted file. The next section describes using IM when you
  1389.     are having suspected disk hardware problems.
  1390.  
  1391.  
  1392.     INTEGRITY MASTER AND DISK PROBLEMS
  1393.  
  1394.     It's an unfortunate fact of life that all disk drives will eventually
  1395.     fail; sometimes at the worst possible moment!  Before disk drives
  1396.     totally fail, they usually start exhibiting signs of problems, such as
  1397.     inability to reliably read and write certain areas on the disk.
  1398.     Unfortunately, these failures tend to be intermittent. The result may be
  1399.     that you have damaged files, but when you run your disk diagnostic
  1400.     software, no problems are found.  By using IM to do periodic full
  1401.     checks, you can detect these problems when they first begin and prevent
  1402.     more major disk problems, such as total failure,  from taking you by
  1403.     surprise.  If you have an MFM, RLL, or ESDI type of disk drive you
  1404.     probably can extend its life slightly by doing a low level format, or
  1405.     using a product such as Steve Gibson's SpinRite(R) that can do a
  1406.     nondestructive low level format.  The key here is to detect disk
  1407.     problems early before any serious damage is done.
  1408.  
  1409.     Integrity Master (tm)              - 28 -                 Version 2.21
  1410.  
  1411.     IM replaces the DOS critical error handler with its own more advanced
  1412.     routine.  If a disk error occurs, you will see a warning screen
  1413.     explaining what has happened, rather than the dreaded "Abort, retry, or
  1414.     fail" message that DOS provides.  IM may also present a menu offering
  1415.     you additional options (depending upon the type of error and the
  1416.     circumstances) such as repeating (retrying) the operation.
  1417.  
  1418.     If an error occurs while IM is checking files, it will report either
  1419.     "Read fail" or "Open fail" in place of the normal signature data on its
  1420.     report:
  1421.                            Name and    Signature     File     Update   Update
  1422.          Status: Type:     Extension:  Val1: Val2:   Size:    Date:    Time:
  1423.          ------- --------  ----------   ---- ---- ---------- -------- --------
  1424.          Added   File      NORMAL   EXE 0D83 4E93       2048 11/05/92 14:00:56
  1425.          Added   File      DISKERR  EXE Read fail     140792 11/05/92 14:01:02
  1426.          Added   File      CANTOPN  FIL Open fail        123 10/05/91 10:11:20
  1427.  
  1428.  
  1429.     In addition to "Read fail" or "Open fail" appearing in the IM report,
  1430.     additional information regarding the type of error will also appear and
  1431.     be recorded in the report file (or printout) as well in the on screen
  1432.     report.
  1433.  
  1434.     Whenever IM encounters an error reading a file, it  will NOT replace the
  1435.     original integrity data with the current (in error) data. This means
  1436.     that if you have a read error on a file, and you either "fix" the file
  1437.     using some utility or restore the file from a backup, you can then run a
  1438.     check on that file and know whether or not your file was correctly
  1439.     restored.
  1440.  
  1441.     If you run IM in an environment where more than one program can have a
  1442.     file open, you may get an "Open fail" or "IO error" due to another
  1443.     program having this file open.  This can happen on networks (LANs), with
  1444.     OS/2, or with windows. When this error occurs, you will see a detailed
  1445.     explanation along with a menu offering several options.  I recommend you
  1446.     select the option to ignore any further open errors; this way you will
  1447.     still see detailed information on any other problems discovered by IM.
  1448.     You can avoid this error display and most others by using the "/NE"
  1449.     command line parameter (pause on emergencies only).
  1450.  
  1451.  
  1452.     INTEGRITY MASTER FOR PC SECURITY
  1453.  
  1454.     Although there are no 100 percent reliable techniques to prevent
  1455.     someone from making unauthorized changes to your data while you
  1456.     are away, IM does offer a 100 percent reliable way of detecting these
  1457.     changes.
  1458.  
  1459.     If you specified that security was important when you first executed
  1460.  
  1461.     Integrity Master (tm)              - 29 -                 Version 2.21
  1462.  
  1463.     SetupIM, its Integrity Advisor will make recommendations on how to use
  1464.     IM to get the level of protection you need.  It saves these
  1465.     recommendations on file IMPROC.TXT.  By storing your integrity data on
  1466.     diskettes and keeping these diskettes in a safe location, you can detect
  1467.     any changes that occur on your PC.  This should provide you protection
  1468.     even against a user who understands how IM works and is technically
  1469.     adept.  For most situations this is probably overkill!
  1470.  
  1471.     Keeping the integrity data on diskette may provide more protection than
  1472.     you need.  Simply keeping your parameter file (IM.PRM) on a diskette
  1473.     will provide a very high level of protection.  Since a user breaking
  1474.     into your PC will not be able to tell how the integrity data is
  1475.     computed, this user will not be able to change a file and then adjust
  1476.     the integrity data to hide the changes, even if they have a copy of the
  1477.     IM program.  This provides almost as much protection as keeping the
  1478.     integrity data on diskettes.
  1479.  
  1480.     If you keep the parameter file on the same disk with the files you
  1481.     check, it's possible that someone could modify your files and then run
  1482.     IM to update the integrity data, in this way covering their tracks. This
  1483.     person would obviously have to have enough knowledge about your PC to
  1484.     know that you use IM.  If you'd like to keep your parameter file on the
  1485.     diskette with your files you can still achieve a high degree of security
  1486.     by renaming IM.PRM and locating it in an unlikely directory.  When you
  1487.     invoke IM you will have to specify the name of the directory and the new
  1488.     name for the parameter file.  For example, the command: "IM
  1489.     D:\DOS\UTILS\BORING.DAT" will read the IM parameter information from
  1490.     file BORING.DAT in directory \DOS\UTILS on disk D.
  1491.  
  1492.  
  1493.     INTEGRITY MASTER FOR CHANGE CONTROL
  1494.  
  1495.     To use IM for change management, you really don't need to use integrity
  1496.     checking.  Simply running IM, in "Quick Update" mode, (which does not
  1497.     actually read files unless the DOS time/date stamp or file size have
  1498.     changed), is adequate to provide change management. "Quick update" mode
  1499.     only requires about 10 seconds to check about 270 megabytes (8000
  1500.     files).  To keep a full record of what has changed on your PC, I
  1501.     recommend you use "auto-named" report files and that you keep all your
  1502.     report files.  At the end of the year, you may wish to copy all the old
  1503.     report files into a directory for that year. For example, on January 1,
  1504.     1993:
  1505.  
  1506.     CD \
  1507.     MD REP93
  1508.     COPY *.REP \REP93
  1509.     DEL *.REP
  1510.  
  1511.     This creates a directory called "\REP93", copies all report files to
  1512.     that directory and then deletes the old report file.
  1513.  
  1514.     By following this procedure you have a complete record of all changes on
  1515.     your PC.  If you want to know when a particular file last changed, it's
  1516.     easy to search through the report files for that filename. If you want
  1517.     to know where all your disk space is going, you can go back and see
  1518.     which files were added or which files grew.
  1519.  
  1520.     Integrity Master (tm)              - 30 -                 Version 2.21
  1521.  
  1522.    COMMAND LINE EXECUTION
  1523.  
  1524.     Integrity Master is really designed to work by use of its menus.
  1525.     However, most functions can be automatically invoked from the
  1526.     command line to allow you to start IM from batch files.
  1527.  
  1528. SYNTAX FOR IM COMMAND LINE:
  1529.  
  1530. IM Fspec /A /B /C /Cx /Dxyz /F /H /Ix /L /M /Nx /NOB /Ppath /Q /Rx /REPA
  1531.          /RF=filespec /Vx /1
  1532.  
  1533.  FSpec optionally specifies the name of the parameter file to be used.  It's
  1534.        best to specify the disk and directory path as part of the filespec.
  1535.        For example: use "IM C:\dos\NEW.PRM" rather than "IM NEW.PRM".
  1536.        If you don't use this option, IM will search for file IM.PRM.
  1537.  
  1538.   "/Dxyz" change to disk "x", process and then change to disk "y", etc.
  1539.         If used with more than one disk, this should be used with one of the
  1540.         "/Cx", "/Ix" or "/Vx" parameters.
  1541.  
  1542.   "/Ppath" change to directory (and optionally disk).  If you specify a disk
  1543.         disk here don't also use "/Dxyz".  (e.g. "/P\dos"  or "/Pc:\dos")
  1544.  
  1545.   "/1"   Only "1 line" virus reports. Turns off the detailed virus descriptions
  1546.  
  1547.   "/B"   bypass memory check
  1548.  
  1549.   "/F"   Forces full integrity checking if quick update is set as the default.
  1550.  
  1551.   "/H"   (or /?) produces this help display
  1552.  
  1553.   "/NOB" No Beep.  Disables sound.
  1554.  
  1555.   "/N"   Nonstop: the same as setting "Halt" to "Serious problems"  on the
  1556.          Options menu.  IM will stop only on viruses or serious problems.
  1557.  
  1558.   "/NE"  Stop on Emergencies only.  This almost never stops.
  1559.  
  1560.   "/Q"   Forces IM to run in "Quick update" mode.
  1561.  
  1562.   "/REPA" Report all.  When scanning, IM lists all files scanned for viruses
  1563.          When initializing, IM lists all files on the report file.
  1564.  
  1565.   "/RF=filespec"  writes the report to "filespec" (can include disk + path).
  1566.  
  1567. -------------------------------------------------------------------------------
  1568. The following may be used to override video mode selected during install:
  1569.  
  1570.   "/A"   Auto adjust of video mode.        "/L"   Use for older LCD displays
  1571.   "/C"   Force use of full color mode.     "/M"   Use monochrome colors.
  1572. -------------------------------------------------------------------------------
  1573. /Cx values: do type "x" integrity check and then quit:
  1574.  
  1575.   "/CE"  Check Entire disk integrity.      "/CB"  Check boot sector.
  1576.   "/CD"  Check all files on DOS disk.      "/CP"  Check partition sector.
  1577.   "/CR"  Check files in this diRectory.    "/CF=filespec" Check this one file.
  1578.   "/CL"  Check this + lower directories    "/CC"  Check CMOS memory
  1579.  
  1580.  
  1581.  (REMINDER: Scanning by itself is not sufficient protection against viruses!)
  1582.  ------------------------------------------------------------------------------
  1583.  
  1584.     Integrity Master (tm)              - 31 -                 Version 2.21
  1585.  
  1586. /Vx options scan system sectors and files for signs of known viruses:
  1587.  
  1588.   "/VA"  Check ALL files on a disk (not just executables).
  1589.   "/VM"  Scan multiple diskettes with only one key press between diskettes.
  1590.   "/VO"  One-time virus scan of programs on current disk.
  1591.   "/VR"  One-time virus scan of programs in current directory.
  1592.   "/VL"  One-time virus scan of current directory and all lower directories.
  1593.  
  1594. -------------------------------------------------------------------------------
  1595. /Rx values will reload one of the system sectors on the current disk and quit.
  1596.  
  1597.   "/RP"  Reload Partition sector           "/RB"  Reload DOS Boot sector
  1598.  
  1599.  
  1600.     Ordinarily, you don't need ANY parameters. Just enter: "IM". IM  is menu
  1601.     driven with lots of on-line help.  The command line parameters most often
  1602.     used for automatic unattended integrity checking.  If you don't have
  1603.     "HALT" set to "Serious problems" or "Emergencies only" (on the Options
  1604.     menu), use "/N" (or "/NE") to avoid pausing for input. If you wish to
  1605.     have IM automatically locate your parameter file, DO NOT specify it on
  1606.     the command line.  If you specify it on the command line and it is not
  1607.     located in the current directory, then you must include the drive and
  1608.     directory of the parameter file along with the name.
  1609.  
  1610.     Examples:
  1611.  
  1612.     "IM /L /CE /DEF"  -Uses colors appropriate for older CGA type LCD displays.
  1613.                Checks the system sectors as well as all files on disk E
  1614.                then changes to disk F and repeates the check there.
  1615.  
  1616.     "IM /IR"  Creates new integrity data for files in this diRectory.
  1617.  
  1618.     "IM /CF=A:\X\IO.SYS"  Checks the file IO.SYS in directory \X on
  1619.                disk A:.
  1620.  
  1621.      "IM D:\IO\X.PRM /CD"  Checks all files in the current disk using options
  1622.                saved in the parameter file "X.PRM" located in "D:\IO".
  1623.  
  1624.      "IM /RB /DA"  Reloads the DOS boot sector on disk A.
  1625.  
  1626.  
  1627.     To execute IM automatically in unattended (batch) mode, do the
  1628.     following:
  1629.  
  1630.    o Use the Options menu to activate the report file.  Save this change
  1631.      by selecting the first option on the Options menu, "Write option
  1632.      changes to disk."
  1633.  
  1634.    o Either set the halt options to "Serious problems" (on the Options
  1635.      menu) or use the "/N" command line parameter  ("IM /N").
  1636.      Remember that you can use multiple parameter files if you don't
  1637.      want your options always set to nonstop.
  1638.  
  1639.    o Prepare the IM control card to do the type of checking that you
  1640.      want.  For example: "IM /N /DG /CE" will run nonstop on disk G:
  1641.      and check the entire disk (/CE), including system sectors.
  1642.  
  1643.    o If you have a timed execution program, such as the one available
  1644.      with PCtools, you may want to have it invoke IM or add IM to any
  1645.      batch file that you run regularly, such as nightly backup batch file.
  1646.  
  1647.     Integrity Master (tm)              - 32 -                 Version 2.21
  1648.  
  1649.     ERROR LEVELS
  1650.  
  1651.     Integrity Master returns the following DOS error levels.  You can check
  1652.     for these error levels in a batch file and execute your own special
  1653.     procedures depending upon IM's findings.  One of our beta testers has
  1654.     their PCs automatically phone their help desk if an error level 24 or
  1655.     greater is encountered.
  1656.  
  1657.     00   Processing complete with no changes detected
  1658.     08   Checking complete with added or deleted files detected
  1659.     12   Checking complete with changed files detected
  1660.     16   Checking complete with changed programs detected
  1661.     24   Checking complete with suspicious file changes detected
  1662.     32   Checking complete but a file or system sector showed signs of
  1663.         corruption or an I/O error.  This will be in addition to any of the
  1664.         lower valued indicators such as change to a program.  So if a
  1665.         program changed, the error level would be 16 + 32 = 48.
  1666.     64   One or more viruses were detected. Any of the lower status
  1667.         indicators will be included with this one.
  1668.     128  If a vital IM file is determined to be missing or damaged
  1669.     192  A fatal error occurred during execution, such as not enough
  1670.         memory or a disk error in internal processing.
  1671.     200  Control card error (an error in IM's "/" parameters).
  1672.  
  1673.  
  1674.     Using IMCHECK
  1675.  
  1676.     IMCHECK.EXE is a fast stand-alone file checker.  It will read
  1677.     whatever files you specify and compute signature data similar to what
  1678.     Integrity Master uses as part of its integrity data.
  1679.  
  1680.     If you print the IMPROC.TXT file created by SetupIM, you will see
  1681.     the check values that IMCHECK should report for IM.EXE and
  1682.     IMCHECK itself.
  1683.  
  1684.     Syntax is: IMCHECK [d:] [path] filename [/N]
  1685.  
  1686.        "filename" specifies the files to check. Wild card characters such
  1687.                  as * or ? may be used.
  1688.        "/N"      Display dates in US numeric MM/DD/YYYY format.
  1689.  
  1690.     Entering IMCHECK with no parameters will display an explanation
  1691.     of how to use IMCHECK.
  1692.  
  1693.     For example: IMCHECK D:\DOS\TEST.* would check all files in
  1694.     the DOS directory on disk D: that begin with TEST but with any file
  1695.     extension.
  1696.  
  1697.     Integrity Master (tm)              - 33 -                 Version 2.21
  1698.  
  1699.     IMCHECK can be very handy when you send files to others and you
  1700.     want to make sure that they got a good copy of your files.  Simply
  1701.     run IMCHECK on your files.  You will see a report like:
  1702.  
  1703.     IMCHECK 1.4 - Integrity Master (TM) standalone file checker.
  1704.     Copyright 1990-1993 by Wolfgang Stiller - all rights reserved.
  1705.     Checking: MYFILE*.*
  1706.  
  1707.     File Name + Check Check    File    Update      Update
  1708.     Extension:  Val1: Val2:    Size:   Date:       Time:
  1709.     ----------   ---- ----    -------  ---------   ------
  1710.     MYFILE.001   DA37 1612       4512  9-Jun-1992  7:44:30
  1711.     MYFILE2.DAT  46F7 4F41        277 10-Feb-1993 16:47:58
  1712.     Total======> B518 56D9
  1713.  
  1714.     Record the check values and make sure the other person runs IMCHECK
  1715.     to compare the check values.  The "Total=====>" values will match
  1716.     only if the files are checked in the same order.
  1717.  
  1718.     SPECIAL LICENSE TERMS FOR IMCHECK:
  1719.  
  1720.     When you purchase your copy of Integrity Master, you will get permission
  1721.     distribute copies of IMcheck to anyone with whom you share files so they
  1722.     can verify the integrity of these files.
  1723.  
  1724.     When you register, besides all the other benefits, you will get the
  1725.     advanced version 2 of IMcheck that provides multiple check algorithms,
  1726.     dirrectory checking, and more detailed file diagnostics.
  1727.  
  1728.     ONLY registered (licensed) IM users may distribute IMcheck.
  1729.  
  1730.  
  1731.     OTHER OPERATING SYSTEMS
  1732.  
  1733.     Although Integrity Master is designed to run in the DOS environment
  1734.     on Intel 80x86 family microprocessors, it is useful with other
  1735.     operating systems and processors such as OS/2, Unix, MicroSoft
  1736.     Windows and various Network (LAN) operating systems such as
  1737.     Netware and VINES.  You can even use it on a Macintosh with DOS
  1738.     emulation.  On most of these non-DOS systems you can't check the
  1739.     system sectors in the same way as under DOS since the underlying
  1740.     operating system support is different.  Since these operating systems
  1741.     are multitasking, Integrity Master may find that it can't read certain
  1742.     files that are in use by the operating system.  This is normal and will
  1743.     not interfere with a full system check.  There's more information on
  1744.     this in the section on Integrity Master and Disk Problems.
  1745.  
  1746.     While, it may be most convenient to do most of your checking under
  1747.     your normal operating system, I strongly suggest that you prepare a
  1748.     DOS boot check and occasionally check under native DOS.  This is
  1749.     currently the only way to give your system the most secure checking
  1750.     possible.
  1751.  
  1752.     Integrity Master (tm)              - 34 -                 Version 2.21
  1753.  
  1754.     Microsoft Windows and OS/2
  1755.  
  1756.     Integrity Master will run quite happily under Windows or OS/2 as a
  1757.     DOS application.  You can even run IM in the background while you
  1758.     use a different application. However, this will probably prevent it
  1759.     from checking whatever files that you are currently using.
  1760.  
  1761.  
  1762.     If you are using a non-DOS file system such as the "High
  1763.     Performance File System" (HPFS) under OS/2, Integrity Master will
  1764.     be able to check only those files that DOS can access.  For OS/2
  1765.     HPFS this means that files with more than eight characters in the file
  1766.     name or more than three characters in the extension cannot be
  1767.     checked.  For example, IM could check file 12345678.ABC but not
  1768.     file 123456789.ABC.D under HPFS.
  1769.  
  1770.  
  1771.     Networks
  1772.  
  1773.     Please read file NET.DOC (use "IMVIEW IM.DOC) to learn about some
  1774.     very effective ways to install IM on a LAN. If you have a local area
  1775.     network (LAN), you can use Integrity Master on both the file server
  1776.     and the workstations. IM can be used on a network by running it on
  1777.     the separate workstations as well as on the server.  It can be
  1778.     configured in different ways.  If you place IM.EXE on a shared disk
  1779.     available to all workstations, you can have separate parameter
  1780.     (IM.PRM) files for each workstation or you could have a central
  1781.     IM.PRM in the directory with the shared IM.EXE.  It is more secure to
  1782.     allow each workstation to have its own IM.PRM, but using a common
  1783.     file makes it easier to copy or move files and then immediately check
  1784.     to make sure the files are intact.  If the server does not run DOS,
  1785.     then you will need to check the files on the server from one of the
  1786.     DOS workstations.  Part Two contains a section titled Networks and
  1787.     Viruses that provides some general procedures to make sure you keep
  1788.     your LAN free of viruses. It's particularly important that you follow
  1789.     the guidelines there on access rights and supervisor privileges. If
  1790.     you periodically boot each workstation from a write- protected floppy
  1791.     and do a full check of that PC, you can be assured of maximum
  1792.     protection for your LAN.
  1793.  
  1794.  
  1795.     Integrity Master (tm)              - 35 -                 Version 2.21
  1796.  
  1797.     Chapter Four - Customizing
  1798.     ____________________________________________________________________
  1799.  
  1800.  
  1801.     Customizing Integrity Master
  1802.  
  1803.     When you first install Integrity Master, SetupIM does an initial
  1804.     customization for you based upon your needs and preferences.
  1805.     Integrity Master offers you a myriad of different options so that you
  1806.     can set it up to work just the way you want.
  1807.  
  1808.     From the Integrity Master Options menu, you can control almost all
  1809.     options that regulate how IM functions.  Your option changes may be
  1810.     either temporary or permanent.  To make your changes permanent,
  1811.     select "Write option changes to disk" from the Options menu.  This
  1812.     will save your option changes on the parameter file. These options
  1813.     will be in effect the next time you execute IM.
  1814.  
  1815.     In addition to initially installing IM, SetupIM allows you to change
  1816.     the less frequently used options.  The more advanced options (which
  1817.     you may never need to change) are segregated onto their own menu.
  1818.     These options include turning off virus checking, changing which
  1819.     files IM considers to be programs and deciding where IM will store
  1820.     your integrity data.  SetupIM also allows you to permanently change
  1821.     the colors that IM uses on the display.
  1822.  
  1823.     These options are stored on the parameter file (IM.PRM).  You may,
  1824.     if you wish, keep multiple versions of this file around to represent
  1825.     different sets of options.  You can specify a different name for this
  1826.     file on IM's command line.
  1827.  
  1828.  
  1829.     The Parameter (Options) File
  1830.  
  1831.     The parameter file (IM.PRM) contains all the options that control
  1832.     how IM works.  IM and SetupIM look for this file by searching the
  1833.     following locations:
  1834.  
  1835.       o  the current directory,
  1836.  
  1837.       o  the directory where IM.EXE is located,
  1838.  
  1839.       o  or the root directory on any disk.
  1840.  
  1841.     Whenever you change any options and save the changes, the
  1842.     parameter file is rewritten.  The option "Write option changes to
  1843.     disk" on IM's Options menu does this as well as SetupIM.
  1844.  
  1845.     Integrity Master (tm)              - 36 -                 Version 2.21
  1846.  
  1847.     T H E   O P T I O N S   M E N U
  1848.  
  1849.     You can reach the Options menu from any primary IM menu by hit-
  1850.     ting the "O" or alt/O keys.   From the Options menu, you can control
  1851.     almost all options that determine how IM works.  These options
  1852.     include all normal day-to-day choices.
  1853.  
  1854.     .----------.-------.---------------------------------------------.
  1855.     |   Help   |Options|   Check   Initialize    ReLoad    CoMmands  |
  1856.     .- .-------.       .--------------------------. -----------------.
  1857.        | Write option changes to disk             |
  1858.        | Integrity:  CHECKING ON.off=quick update |
  1859.        | Integrity Update: Ask for prog change    |
  1860.        | Files to Check:      Executable programs |
  1861.        | Files to iNitialize: Executable programs |
  1862.        | Halt on: ALL changes, adds or deletes    |
  1863.        | Sound -------------------------> ON.off  |
  1864.        | Report: (file or print)--------> on.OFF  |
  1865.        | Video (screen) report ---------> ON.off  |
  1866.        | Ignore Time.date changes ------> on.OFF  |
  1867.        | Only changes reported ---------> on.OFF  |
  1868.        | Exclude:    OFF and exclude report OFF  |
  1869.        .------------------------------------------.
  1870.  
  1871.     In addition to allowing you to set all the above options, the Options
  1872.     menu displays the current settings of these options.  The options that
  1873.     have "on/off" settings, are toggled between their "on" and "off" states
  1874.     by hitting the ENTER key.  The current setting of the option is
  1875.     displayed in capital letters, as well as in a distinctive color.
  1876.  
  1877.     Write option changes to disk
  1878.       This allows you to write any option changes to the parameter file,
  1879.       making your option changes effective the next time you execute IM
  1880.       also.  This option does not exist on the SetupIM version of the
  1881.       Options menu.
  1882.  
  1883.     Integrity:  CHECKING ON/off=quick update
  1884.       This is the most crucial item on the Options menu.  Hitting the
  1885.       ENTER key toggles IM between doing full integrity checking and
  1886.       doing only quick integrity data updating.  When you hit ENTER,
  1887.       either "Checking ON" or "OFF=Quick update" will be in all
  1888.       capital letters and in a different color (on most displays).  This
  1889.       discloses whether full integrity checking is on or off.  The status of
  1890.       integrity checking is also always visible on the fourth line at the top
  1891.       of the screen.
  1892.  
  1893.       Quick update mode provides a very fast way to bring all your
  1894.       integrity data up to date.  IM reads and integrity checks only files
  1895.       whose size, time stamp or date stamp have changed.  To detect file
  1896.       corruption and viruses, it's essential to regularly turn "Checking
  1897.       ON" to do full integrity checks.
  1898.  
  1899.     Integrity Master (tm)              - 37 -                 Version 2.21
  1900.  
  1901.     Integrity Update:
  1902.       IM normally updates the integrity data describing a file whenever the
  1903.       file changes (unless the file is affected by a known virus or a disk
  1904.       error).  This option allows you control when IM updates the integrity
  1905.       data describing changed files.  This option is handy if you expect to
  1906.       find some damaged files and you want to save the old integrity data
  1907.       so that you can restore the file and then use IM to verify that
  1908.       file is back to its original state.  The Option menu item itself
  1909.       displays the current setting for this option.  Integrity Update
  1910.       can have five values:
  1911.  
  1912.       "On for any changes"  - this is the normal mode where the integrity data
  1913.                               will be updated whenever a file changes
  1914.  
  1915.       "Off for any changes" - IM will NOT overwrite the old integrity data
  1916.                               with the new when a file changes.
  1917.  
  1918.       "Off for prog changes"- IM will NOT overwrite the old integrity data
  1919.                               with the new when an executable file
  1920.                               (a program) changes.
  1921.  
  1922.       "Ask for any changes" - IM will ask you if it should overwrite the old
  1923.                               integrity data with the new when a file
  1924.                               changes.
  1925.  
  1926.       "Ask for prog changes"- IM will ask you if it should overwrite the old
  1927.                               integrity data with the new when an executable
  1928.                               file (a program) changes.
  1929.  
  1930.       The right most part of the second line at the top of your screen will
  1931.       also display an indication if you have Integrity Updating set to
  1932.       anything other than "On".
  1933.  
  1934.     Files to Check:
  1935.       You can use this option to limit IM's checking to only executable
  1936.       or source programs.  Even if you are interested only in virus
  1937.       detection, I strongly recommend that you also periodically set this
  1938.       option to check all files, so that you can be alerted to the other
  1939.       (more common) causes of file damage.  The Advanced menu in
  1940.       SetupIM allows you to change which files IM considers to be
  1941.       executable or source programs.
  1942.  
  1943.     Files to iNitialize:
  1944.       Use this option to limit IM's initializing of integrity data to only
  1945.       executable or source programs.  Even if your primary interest is
  1946.       viruses only, I strongly recommend that you set this option to read
  1947.       all files, so that you can be alerted to the other (more common)
  1948.       causes of file damage.  The Advanced menu in SetupIM allows you
  1949.       to change which files IM considers to be executable or source
  1950.       programs.
  1951.  
  1952.     Integrity Master (tm)            - 37b -                 Version 2.21
  1953.  
  1954.     Halt on: ALL changes
  1955.       When IM is checking your files for changes, it lists each new
  1956.       change that it detects at the top of the report screen.  The other
  1957.       changes on the screen shift downward (scroll) as each new line is
  1958.       added at the top of the screen.  By setting the halt options, you
  1959.       control when this scrolling will pause and wait for you to hit a key.
  1960.       This prevents a change from scrolling off the screen without you
  1961.       having seen it.  The halt options appear on this menu:
  1962.  
  1963.          .---------------------------------.
  1964.          | Halt on:                        |
  1965.          | All detected differences        |
  1966.          | Changed files only              |
  1967.          | Changes to Executable programs  |
  1968.          | Changes to any Program          |
  1969.          | File corruption or worse        |
  1970.          | Serious problems                |
  1971.          | Emergencies Only (not viruses)  |
  1972.          .---------------------------------.
  1973.  
  1974.       If you halt scrolling on "All detected differences", anytime a line
  1975.       written to the report screen is about to disappear off the bottom of
  1976.       the screen, the display will pause and wait for you to hit a key to
  1977.       acknowledge that you've seen all the lines on the display.  After
  1978.       you hit a key, the display will not pause until all the lines currently
  1979.       on the screen have scrolled off and a new unseen line is about to
  1980.       scroll off the screen.
  1981.  
  1982.       If you halt scrolling on "Changed files only", the scrolling will
  1983.       pause only when a modified file is about to disappear off the
  1984.       bottom of the screen.  After you hit ENTER, the display will not
  1985.       stop scrolling until a changed file is about to scroll off the bottom.
  1986.       This changed file must not have been on the screen during the prior
  1987.       pause.
  1988.  
  1989.       If you halt scrolling on "Changes to Executable programs", the
  1990.       scrolling will pause only when a program is about to disappear off
  1991.       the bottom of the screen.  After you hit ENTER, the display will
  1992.       not stop scrolling until a program that was not on the previous
  1993.       display is about to scroll off the bottom.  You can use the
  1994.       "Advanced option" menu in SetupIM to check or change what IM
  1995.       considers to be executable programs.
  1996.  
  1997.       If you halt scrolling on "Changes to any Program", the scrolling
  1998.       will pause only when a program (either source or executable) is
  1999.       about to disappear off the bottom of the screen.  After you hit
  2000.       ENTER, the display will not stop scrolling until a program that
  2001.       was not on the previous display is about to scroll off the bottom.
  2002.       You can use the "Advanced option" menu in SetupIM to check or
  2003.       change what IM considers to be either source or executable
  2004.       programs.
  2005.  
  2006.       If you halt scrolling on "File corruption or worse", only signs of
  2007.       viruses, corrupted files, or possible hardware errors will pause the
  2008.       display.
  2009.     Integrity Master (tm)              - 38 -                 Version 2.21
  2010.  
  2011.  
  2012.  
  2013.       If you tell IM to halt on "Serious problems", then the display will
  2014.       pause only when it detects a virus or critical error such as a
  2015.       hardware error.  This affects scrolling in the same way as using the
  2016.       "/N" parameter on the command line.  If you set halt to this option,
  2017.       be sure that IM is writing a report to a file or to the printer,
  2018.       otherwise you may miss some important warnings.
  2019.  
  2020.       If you tell IM to halt on "Emergencies Only", then the display will
  2021.       almost never pause.  IM will continue processing even if it detects
  2022.       a known virus in a file or can't read the disk.  IM will only stop if
  2023.       it considers it dangerous to continue or if you're in danger of losing
  2024.       important information.  This affects scrolling in the same way as
  2025.       using the "/NE" parameter on the command line.  If you set halt to
  2026.       this option, be sure that IM is writing a report to a file or to the
  2027.       printer, otherwise you may miss some important warnings.
  2028.  
  2029.       You can always halt scrolling by hitting the "P" key.
  2030.  
  2031.     Sound -------------------------> ON/off
  2032.       IM will provide beeps and tones to alert you that something
  2033.       important has happened (or that you've hit an unsupported key).
  2034.       Hitting ENTER toggles whether you will hear these sounds.
  2035.  
  2036.     Integrity Master (tm)              - 39 -                 Version 2.21
  2037.  
  2038.     Report: (xxxxxxxxxxxxx)--------> on/OFF
  2039.       This allows you to turn the report file off or to ask IM to write a
  2040.       report of its activities to either the printer or a disk file.  The
  2041.       "xxxxxxxxx" on the option line represents the name of the current
  2042.       report file or printer.  The disk file can be automatically named by
  2043.       IM or can be any file of your choice.  Please see "The Report
  2044.       File" in Chapter three for more details on these options.  This
  2045.       option line, along with the third line from top of IM's screen,
  2046.       display the status of the report file.
  2047.  
  2048.     Video (screen) report ---------> ON/off
  2049.       If you have a very slow video board (such as some very old CGA
  2050.       adapters), IM will run a little faster if you turn the screen report
  2051.       off. (Be sure to turn the report file on!)
  2052.  
  2053.     Ignore Time/date changes ------> on/OFF
  2054.       Sometimes the DOS time or date stamp on a file will change, but
  2055.       the file itself won't change.  If you do not want to have such files
  2056.       reported as changed, set this option to "ON".
  2057.  
  2058.  
  2059.     Only changes reported ---------> on/OFF
  2060.       If you do not want reports of added or deleted files, turn this option
  2061.       "on".  If "Only changes reported" is set to "on", then you will see
  2062.       only reports of file changes; IM will not report added or deleted
  2063.       files.  IM will still update the integrity data to reflect the added or
  2064.       deleted files, but it won't report these files.  All other processing
  2065.       also continues normally including the detection of companion
  2066.       viruses (viruses that appear only as added files).
  2067.  
  2068.     Exclude:   ON  and exclude report  OFF
  2069.       Selecting this option will pop up the Exclude menu:
  2070.  
  2071.          .-----------------------------------------.
  2072.          | IM will optionally exclude selected     |
  2073.          | files or directories from checking.     |
  2074.          |                                         |
  2075.          | Please hit ESCape when you are done.    |
  2076.          |-----------------------------------------|
  2077.          | Exclude checking is now OFF; turn it ON |
  2078.          | Reporting is now OFF; turn it ON        |
  2079.          | Select files or directories to exclude  |
  2080.          .-----------------------------------------.
  2081.  
  2082.       The Exclude menu allows you to exclude files or entire directories
  2083.       from checking, scanning, or initializing.  The bottom line of the
  2084.       Options menu along with the lines on the Exclude menu show
  2085.       whether excluding of files or directories is turned on and whether
  2086.       reporting of excluded objects is turned on.  Either may be toggled
  2087.       on or off at the press of a key.  If reporting of excluded files is
  2088.       "ON" and excluding itself is "ON", then a line will appear on the
  2089.       report every time a file or directory is bypassed from checking,
  2090.       scanning, or initializing. The line will list the particular file or
  2091.       directory that was excluded.
  2092.  
  2093.     Integrity Master (tm)              - 40 -                 Version 2.21
  2094.  
  2095.       You may exclude a file by specifying the precise file name or using
  2096.       the wild card characters to specify a series of files.  You can also
  2097.       exclude all files within a directory by excluding that directory from
  2098.       checking. Either files or directories  can be excluded based on wild
  2099.       cards.  For example, you can tell IM to ignore any directory
  2100.       beginning with the characters "IM" by  using the wild card: "IM*".
  2101.       Or you could tell IM to ignore all your ZIP files (all filenames
  2102.       ending in ".ZIP")  by using the wild card "*.ZIP".
  2103.  
  2104.       When you're entering file or directory names to exclude, you may
  2105.       use the DOS wild card characters: * and ?.  The "*" character
  2106.       matches zero or any number of characters, while "?" matches one
  2107.       and only one character.  Some examples:
  2108.  
  2109.       This name:    Would exclude:      But not:
  2110.        A?.*        AB.ABC, AC.D       ABC.ABC, A.DEF, AX
  2111.        ??.ABC      XY.ABC, AB.ABC    A.ABC, XYZ.ABC
  2112.        A*.A?       A.AB, ABC.AX      A.CB, A.ABC
  2113.  
  2114.       Note that a wild card in the form "X*" will exclude any filename
  2115.       beginning with "X" (with or without an extension) while "X.*" will
  2116.       exclude only files which have an extension.
  2117.  
  2118.  
  2119.       If a file or directory is excluded, Integrity Master will no longer
  2120.       record information for it.  If integrity data already exists, then  IM
  2121.       will remove it.  To make sure you are aware of this, IM will
  2122.       always notify you that it is updating the integrity data.   For this
  2123.       reason,  you may see changes reported in a directory when you
  2124.       otherwise wouldn't expect any.  By asking IM to report what is
  2125.       being excluded you can see exactly what is being affected.
  2126.  
  2127.       Be very careful when excluding directories.  If a directory is
  2128.       excluded, IM will not look at any of the files in that directory or
  2129.       any of the subdirectories within that directory.  This means you can
  2130.       exclude an entire series of subdirectories (and their associated files)
  2131.       by excluding a single directory.
  2132.  
  2133.       If you un-exclude files and directories, they will appear as "added"
  2134.       the next time you run a check.
  2135.  
  2136.     Integrity Master (tm)              - 41 -                 Version 2.21
  2137.  
  2138.     OPTIONS IN SETUPIM
  2139.  
  2140.     When you execute SetupIM for the first time, the Integrity Advisor(tm)
  2141.     will set your options in a way most likely to meet your needs and
  2142.     interests.  You can later go back and change any of the options that
  2143.     were set for you.  If you specify that it's not your first install of IM,
  2144.     you will see this menu:
  2145.  
  2146.          .--------------------------------------.
  2147.          | Select an option and hit ENTER:      |
  2148.          |                                      |
  2149.          | Overview of IM setup and operation   |
  2150.          | Change how Integrity Master operates |
  2151.          | Repeat the install on this PC        |
  2152.          | Install IM on another PC             |
  2153.          | Quit                                 |
  2154.          .--------------------------------------.
  2155.  
  2156.     From this menu, you can select "Change how Integrity Master
  2157.     operates" and hit ENTER.  This brings you to the Change menu:
  2158.  
  2159.          .--------------------------------------.
  2160.          | Select an option and hit ENTER:      |
  2161.          |                                      |
  2162.          | Screen display mode                  |
  2163.          | Integrity data options               |
  2164.          | Advanced options                     |
  2165.          | Update hardware configuration        |
  2166.          | Exit  - save any changes and end     |
  2167.          | Abort - Quit and abandon any changes |
  2168.          .--------------------------------------.
  2169.  
  2170.     OPTIONS AVAILABLE ONLY IN SETUPIM
  2171.  
  2172.     SetupIM allows you to change certain options that you would only
  2173.     want to change very rarely.  All the options on this menu are not
  2174.     available within IM itself.
  2175.  
  2176.  
  2177.  
  2178.     SCREEN DISPLAY MODE
  2179.  
  2180.     This allows you to set the screen colors as explained in the Chapter
  2181.     Two section titled Screen Colors.  Unless you have problems reading
  2182.     the screen, I strongly recommend that you allow IM to continue to
  2183.     operate in automatic video mode.  This way it will choose whatever
  2184.     colors are best for your video equipment.
  2185.  
  2186.     Integrity Master (tm)              - 42 -                 Version 2.21
  2187.  
  2188.     INTEGRITY DATA OPTIONS
  2189.  
  2190.     This allows you to change how IM stores the integrity data describing
  2191.     your files and system sectors.  You can change the name, attribute, or
  2192.     the location of your integrity data files.  You can also use this menu
  2193.     selection to check what the characteristics of your integrity data files
  2194.     are.
  2195.  
  2196.       INTEGRITY DATA FILE ATTRIBUTES
  2197.  
  2198.       You can ask IM to make your integrity data files hidden, read- only,
  2199.       or both.  Unless you are used to working with read-only and hidden
  2200.       files and consider yourself fairly expert with DOS, I suggest that you
  2201.       not set these attributes.  There are quite a few programs that will
  2202.       cause confusing results when they work with hidden or read-only files.
  2203.       These attributes can easily by overridden by a knowledgeable user or
  2204.       program.
  2205.  
  2206.       INTEGRITY DATA FILE NAMES:
  2207.  
  2208.       You can choose the names that IM will use for the integrity data
  2209.       files.  These filenames can be either fixed or variable.  If you
  2210.       originally installed a IM version 1.24b or earlier, your integrity
  2211.       data was stored in files named ")(.ID".  Each file had this same fixed
  2212.       name.  You can now choose your own name for these files or ask IM to
  2213.       use variable names.
  2214.  
  2215.         VARIABLE INTEGRITY DATA FILE NAMES
  2216.  
  2217.         To make it more difficult for rogue programs to attack your
  2218.         integrity data files, IM can use variable file names.  Both the file
  2219.         name and the extension contain some characters which will be
  2220.         different for each file. Plus, the remainder of the file name will
  2221.         be different for each installation.  When you first install, the
  2222.         Integrity Advisor usually selects variable file names to store your
  2223.         integrity data.  SetupIM will then explain how these file names are
  2224.         formed for your particular installation.  It will also record this
  2225.         in the IMPROC.TXT file in case you need to quickly check this later.
  2226.         If you install on another PC, these file names will be different
  2227.         unless you use the original parameter file.  To make these files
  2228.         easier for you to find, you may choose part of both the file name
  2229.         and the extension.
  2230.  
  2231.         FIXED INTEGRITY DATA FILE NAMES
  2232.  
  2233.         If you choose fixed file names then every integrity data file will
  2234.         have the same name.  This makes it very easy to locate these files.
  2235.         The drawback is that this also makes it very easy for someone else
  2236.         to locate your integrity data files if you keep them in the same
  2237.         directory with the files they describe.  A destructive program could
  2238.         deliberately delete these files, causing loss of protection.
  2239.  
  2240.     Integrity Master (tm)              - 43 -                 Version 2.21
  2241.  
  2242.       LOCATION OF INTEGRITY DATA
  2243.  
  2244.       As IM checks your files, it must store the integrity data that
  2245.       describes these files.  Using SetupIM you can change where IM
  2246.       stores these files.  There are two options:
  2247.  
  2248.       1) It can store the integrity data in the same directory along with
  2249.         the files being checked, or
  2250.  
  2251.       2) It can store the integrity data on a separate disk (usually a
  2252.         floppy).
  2253.  
  2254.       Storing the integrity data on a floppy gives you additional
  2255.       protection against a virus or a person changing a file and then
  2256.       modifying the integrity data to cover up the change.  For viruses,
  2257.       this threat is fairly remote since the virus would have to be written
  2258.       specifically to attack files created by IM.  This would be very
  2259.       difficult since these files are encrypted differently on each PC.
  2260.       Storing the integrity data with the files being checked is usually
  2261.       easier and more flexible since the integrity data can be copied
  2262.       along with the files.  This also makes it easy for you to use IM to
  2263.       verify that you've made a good copy when you copy or move the
  2264.       files. If you want to restore an old copy of a file from a backup,
  2265.       you can restore the integrity data along with the file and then ask
  2266.       IM to check that the file was restored correctly.  If you move your
  2267.       files, it's easier to move the integrity data along with the files if it's
  2268.       stored in the same directory as the files.
  2269.  
  2270.  
  2271.     Update hardware configuration
  2272.  
  2273.     Please use this option whenever you change the configuration of disk
  2274.     drives on your computer, or if you use software that changes the
  2275.     assignment of DOS logical disk letters (A to Z) to your physical disk
  2276.     drives.  SetupIM will check the capabilities of each of your installed
  2277.     disk drives.  This will produce a display showing the drives that
  2278.     SetupIM recognizes.  It will also list any drives that do not contain
  2279.     DOS boot sectors and any that do not have partition sectors (master
  2280.     boot records).
  2281.  
  2282.  
  2283.     Exit - save any changes and end
  2284.  
  2285.     This updates the parameter file (IM.PRM) with any option changes
  2286.     you've selected, and exits SetupIM.
  2287.  
  2288.  
  2289.     Abort - Quit and abandon any changes
  2290.  
  2291.     This Allows you to exit SetupIM without writing any of your
  2292.     changes.  All option changes will be as they were before you entered
  2293.     SetupIM.
  2294.  
  2295.     Integrity Master (tm)              - 44 -                 Version 2.21
  2296.  
  2297.     THE ADVANCED OPTION MENU
  2298.  
  2299.     If you select this option on the SetupIM change menu, the Advanced
  2300.     option menu will appear.
  2301.  
  2302.          .------------------------------------------------.
  2303.          | Select an option and hit ENTER:                |
  2304.          | (Hit ESCape when you're done)                  |
  2305.          |                                                |
  2306.          | Specify Names of hidden system files           |
  2307.          | Define which files are Executable programs     |
  2308.          | Define which files are Source programs         |
  2309.          | Check for virus in memory is ON; turn it off   |
  2310.          | General virus checking is ON; turn it off      |
  2311.          .------------------------------------------------.
  2312.  
  2313.     This menu is intended for more technically advanced users.  Most IM
  2314.     users should never need to use this menu.  When you're finished
  2315.     making changes on this menu, just hit ESCape to go back to the
  2316.     previous menu.  The Advanced Option menu offers you these options:
  2317.  
  2318.  
  2319.     Specify Names of hidden system files
  2320.  
  2321.       Selecting this option will allow you to change the names of the files
  2322.       that IM recognizes as the hidden system files.  This option is only
  2323.       needed on nonstandard PCs that don't use the standard  Microsoft
  2324.       or the IBM names for the hidden system files.  The files SetupIM
  2325.       recognizes by default are: IBMBIO.COM, IBMDOS.COM,
  2326.       IO.SYS and MSDOS.SYS.  If you execute "IMCHECK *.*", in
  2327.       your root directory and you don't see two of the above files, but
  2328.       instead see two other similarly named files, you may wish to use
  2329.       this option so IM recognizes those files.  If you don't understand
  2330.       what this is all about, don't worry.  IM's ability to recognize your
  2331.       hidden system files is NOT that important.  It simply allows IM to
  2332.       provide more specific information in two warning messages.
  2333.  
  2334.     Integrity Master (tm)              - 45 -                 Version 2.21
  2335.  
  2336.     Define which files are Executable programs
  2337.  
  2338.       This option allows you to specify which file extensions (the letters
  2339.       after the "." in the file name) IM should consider to represent
  2340.       executable programs.  This is important for three reasons:
  2341.  
  2342.      1) Non-executable files are not normally checked for known
  2343.         viruses.
  2344.  
  2345.      2) IM provides special warning when executable programs change.
  2346.  
  2347.      3) If you use the Options menu to limit checking to executable
  2348.         programs, only these files will be checked.
  2349.  
  2350.  
  2351.       Initially, IM will consider files ending in the following extensions
  2352.       to be executable programs:
  2353.  
  2354.            Numeric extensions such as .123
  2355.            .OV?  (where ? can be any character)     .DRV
  2356.            .BAT                               .EXE
  2357.            .BIN                                             .PIF
  2358.            .COM                                            .SYS
  2359.            .DLL                              .SWP
  2360.  
  2361.       Note that not all these files can actually be affected by viruses, but
  2362.       all these files in one way or another contain instructions that are
  2363.       executed by your PC.
  2364.  
  2365.  
  2366.     Define which files are Source programs
  2367.  
  2368.       This option allows you to specify which file extensions (the letters
  2369.       after the "." in the file name) IM should consider to be source
  2370.       programs.  Source programs are the programs a programmer
  2371.       would use to create executable programs.  If you are not a
  2372.       programmer then you probably don't care about this option.  This
  2373.       option is intended mostly to provide programmers with extra
  2374.       warning if something has changed their source code.
  2375.  
  2376.     Integrity Master (tm)              - 46 -                 Version 2.21
  2377.  
  2378.     Check for virus in Memory
  2379.  
  2380.       Selecting this option will toggle the checking of memory for known
  2381.       viruses on or off.  If you toggle memory checking on, the option
  2382.       line will be changed to read:
  2383.  
  2384.          Check for virus in memory is ON; turn it off.
  2385.  
  2386.       This indicates that memory checking is now "ON".  If you hit
  2387.       ENTER at this point, you will turn it "off", and the option will
  2388.       then read:
  2389.  
  2390.          Check for virus in memory is OFF; turn it on.
  2391.  
  2392.       Having this option "ON" allows IM to detect known viruses that
  2393.       are resident in memory.  If you always cold boot from a known
  2394.       good copy of DOS on a write-protected diskette, you could safely
  2395.       turn this option off, since there would be no way for a virus to be
  2396.       resident in memory.  Since it's hard to guarantee that you always
  2397.       cold boot, please leave resident memory checking turned on. If you
  2398.       execute IM multiple times and you don't want to wait for the
  2399.       memory check to complete, you can use the"/B" (Bypass) com-
  2400.       mand line parameter to bypass the resident memory check.
  2401.  
  2402.     General virus checking
  2403.  
  2404.       Selecting this option and hitting enter will toggle checking of files
  2405.       for known viruses on or off.  If you have absolutely no interest in
  2406.       viruses, you can speed up IM's initialize processing and its check
  2407.       processing (only when it encounters changed files) by 10 to 20
  2408.       percent.  Since this option imposes so little overhead in normal file
  2409.       checking, I suggest everyone leave it turned on.
  2410.  
  2411.     Integrity Master (tm)              - 47 -                 Version 2.21
  2412.  
  2413.     Chapter Five - Errors
  2414.     ____________________________________________________________________
  2415.  
  2416.     Error recovery:
  2417.     IM replaces the normal DOS error recovery routines with its own
  2418.     more sophisticated routines.  If you encounter hardware errors, you'll
  2419.     generally see a message announcing what happened followed by a
  2420.     screen that will give you the option of retrying the failed operation,
  2421.     aborting (allowing whatever IM was trying to do, to fail), or other
  2422.     options depending upon the circumstances.  These other options may
  2423.     include "Shelling to DOS".  Shelling allows you to temporarily exit
  2424.     IM and execute any DOS command (such as formatting a disk) you
  2425.     wish.  You then return to IM by typing the EXIT command.  This
  2426.     returns you to the same point in IM, just as if you had never left.
  2427.  
  2428.     Solving problems:
  2429.     If you encounter a problem with IM, please read file
  2430.     QUESTION.TXT (for a list of common questions and answers)  and
  2431.     file SUPPORT.DOC (for the complete procedure on how to quickly
  2432.     get technical support).  File DISKHELP.TXT contains specific
  2433.     information on how to handle problems if IM won't recognize your
  2434.     disk drive.  You can use IMPRINT or IMVIEW to read any of these
  2435.     files. Example:  "IMVIEW SUPPORT.DOC"
  2436.  
  2437.     Answers to Common Questions:
  2438.     File QUESTION.TXT contains common questions and answers
  2439.     regarding IM.  You can read these by entering the command
  2440.     "IMVIEW QUESTION.TXT" at the DOS prompt or print with the
  2441.     command "IMPRINT QUESTION.TXT".  Here are some examples
  2442.     of common questions:
  2443.  
  2444.     Q: Sometimes IM comes up with different colors on the screen than
  2445.       before. What's going on?
  2446.  
  2447.     A: IM checks the DOS video mode indictor on your PC to see if you
  2448.       are in color or monochrome mode, as well as directly checking
  2449.       your video adapter.  This allows you to use the DOS "MODE
  2450.       BW80" to indicate that a two-color display is present on a color
  2451.       adapter card.  Some programs change this value to an incorrect
  2452.       value.  If this happens to you, use the DOS mode command to set
  2453.       the video mode back to the correct state.  For example, enter
  2454.       "MODE CO80" to restore normal color mode.  You can also use
  2455.       the command line override (or SetupIM) so IM comes up using
  2456.       whatever colors you prefer.  "IM /C" would force IM to run in
  2457.       color mode.
  2458.  
  2459.     Integrity Master (tm)              - 48 -                 Version 2.21
  2460.  
  2461.     Q: IM detected a virus on my PC.  I reloaded my system sectors  and
  2462.       either deleted or reloaded all infected files, yet the virus keeps
  2463.       coming back!  What should I do?
  2464.  
  2465.     A: Somewhere a virus is eluding your checks.  Please check the
  2466.       following:
  2467.  
  2468.       o Did you install IM after cold booting from a clean floppy?  It's
  2469.         absolutely vital to do a cold boot before checking.
  2470.  
  2471.       o Are you using a task switcher (or multi-tasker) such as
  2472.         windows?  If so, then this program may be saving some of your
  2473.         infected programs in its "swap" file.  This file often ends in the
  2474.         letters ".SWP".   Delete this file if it exists.
  2475.  
  2476.       o Be sure you check ALL files and floppies that come into  contact
  2477.         with your computer.  You may have missed a file or diskette
  2478.         somewhere.  Please take the extra time and check them all.
  2479.  
  2480.       o It's possible that viral code is hidden somewhere other than an
  2481.         executable file.  IM normally checks only executable files
  2482.         (programs and overlays) for known viruses.  Try selecting "Disk
  2483.         for known Viruses" on the Check menu and selecting "Check
  2484.         All files" on that menu.  This will check all files as well as
  2485.         system sectors on your disk.  Also, check any other disks that
  2486.         you've been using.
  2487.  
  2488.     Q: I was just checking a diskette for viruses and IM detected the
  2489.       DataCrime 2 virus in a file.  When I restarted IM, it detected the
  2490.       DataCrime virus resident in memory!  I never executed the
  2491.       program that was infected, so how did the virus get control of my
  2492.       PC?
  2493.  
  2494.     A: The virus wasn't really resident or in control of your PC. What
  2495.       happened was that a piece of the viral code was left somewhere in
  2496.       memory - probably in one of DOS's file buffers.  Although IM
  2497.       takes great pains to clear its own buffers and areas of memory, it's
  2498.       not unusual to get a false indication of the virus being active in
  2499.       memory after detecting a virus in a file or system sector.
  2500.  
  2501.     Q: I just did a "DIR" on a diskette which had the "Stoned" boot
  2502.       sector virus.  When I ran IM, it reported the virus was active in
  2503.       memory.  Can I get a virus by just doing a DIR?
  2504.  
  2505.     A: No; you cannot get infected unless you execute an infected
  2506.       program or boot from an infected diskette.  When you did the
  2507.       "DIR", a copy of the infected boot sector was read into memory.
  2508.       IM detected this copy in memory.  Although the virus is in
  2509.       memory, this is harmless since the virus code is never executed.
  2510.     Integrity Master (tm)           - 49 -        Data Integrity and Viruses
  2511.  
  2512.  
  2513.                                    PART TWO
  2514.  
  2515.                                  
  2516.                           Data Integrity and Viruses
  2517.                                  
  2518.                                  
  2519.                  ___________________________________________
  2520.  
  2521.                                  
  2522.                 How do I make sure that my programs and files
  2523.                                really are safe?
  2524.  
  2525.  
  2526.                 What threats are even more likely to damage my
  2527.                               data than viruses?
  2528.  
  2529.  
  2530.                       What really works against viruses?
  2531.  
  2532.  
  2533.                       What doesn't work against viruses?
  2534.  
  2535.  
  2536.                         Why are viruses so dangerous?
  2537.  
  2538.  
  2539.                             How do I kill a virus?
  2540.  
  2541.  
  2542.                  ___________________________________________
  2543.  
  2544.  
  2545.  
  2546.          Copyright 1990-1994, Wolfgang Stiller, All rights reserved.
  2547.  
  2548.     Integrity Master (tm)           - 50 -        Data Integrity and Viruses
  2549.  
  2550.     Integrity Master (tm)           - 51 -        Data Integrity and Viruses
  2551.  
  2552.  
  2553.  
  2554.     PART TWO - DATA INTEGRITY AND VIRUSES
  2555.  
  2556.     CHAPTER ONE - THREATS TO YOUR DATA
  2557.     ____________________________________________________________________
  2558.  
  2559.  
  2560.     INTRODUCTION - VIRUSES GET ALL THE GLORY
  2561.  
  2562.     Do you have data or programs on your PC which you can't afford to have
  2563.     unexpectedly damaged?  How can you make sure that your data is safe?  To
  2564.     protect the integrity of your data, you must first understand the nature
  2565.     of the threats against it.
  2566.  
  2567.     The most publicized threats to your computer are software-based attacks
  2568.     often lumped together as "viruses" by the media.  Although viruses are
  2569.     often over sensationalized by media coverage, they do present a very
  2570.     real menace to your data.  (See the section in this chapter titled How
  2571.     serious are viruses?.)  Even if a virus never attacks your PC, it is
  2572.     almost inevitable that system glitches will someday corrupt data or
  2573.     programs on your PC.  Considering that viruses are but one threat to
  2574.     your data and not the most likely threat by far, it's ironic that so
  2575.     many people have anti-virus software but so few people take steps to
  2576.     protect the integrity of their programs and data from other hazards.
  2577.     Can anyone afford NOT to know that each and every byte on their disk is
  2578.     undamaged?
  2579.  
  2580.     So what's the explanation?  Why do so few people take steps to assure
  2581.     the integrity of the data on their PC?  The main reason is that data
  2582.     integrity gets almost no media coverage, (even in the trade journals),
  2583.     while a virus story may make the local evening news.  The result is that
  2584.     people just don't give data integrity a second thought. It's all too
  2585.     easy to take the reliability of our modern PCs for granted -- and, as
  2586.     you'll see, all too dangerous!
  2587.  
  2588.     You may be reading this primarily because you're interested in viruses.
  2589.     If that's true, then, for you, the media attention to viruses will have
  2590.     had a very beneficial effect.  You are about to learn how to protect
  2591.     your PC against much more than just viruses!  Data integrity is not a
  2592.     very glamorous subject, yet it's both crucial and fundamental to using
  2593.     any computer.  Without positive assurance of data integrity, computers
  2594.     cannot be depended upon to process any type of important data.  How
  2595.     would you respond if someone were going to change a byte of data
  2596.     somewhere at random on your disk?  You'd be pretty upset -- right?
  2597.     Well, the odds are,  it has already happened but you were not aware of
  2598.     it.  Perhaps the result was that a program quit working or CHKDSK found
  2599.     lost or cross-linked clusters.  Or per- haps, if you're lucky, the
  2600.     damage was to some inconsequential part of your disk.
  2601.  
  2602.     Integrity Master (tm)           - 52 -        Data Integrity and Viruses
  2603.  
  2604.     Let's explore the different threats to your files and programs:
  2605.  
  2606.     HARDWARE AND POWER FAULTS
  2607.  
  2608.     These are well known but also all too common.  We all know that when
  2609.     your PC or disk get old, they might start acting erratically and damage
  2610.     some data before they totally die.  Unfortunately, hardware errors
  2611.     frequently damage data on even young PCs and disks.
  2612.  
  2613.     Your PC is busy writing data to the disk and the lights go out!
  2614.     "Arghhhh!"  Is everything OK?  Maybe so, but it's vital to know for sure
  2615.     if anything was damaged.  If your disk drive is starting to fail, you
  2616.     can have the same problem.  Regrettably, it's not a question of "if",
  2617.     but a question of "when" in regard to disk failure.  There are tools
  2618.     (NORTON, MACE, PCtools, etc) to assist in recovery from disk problems,
  2619.     but how do you know all the data is OK?  These tools do not always
  2620.     recover good copies of the original files.  It's vital to have some way
  2621.     to check that these tools really do their job correctly.
  2622.  
  2623.     You can have hardware problems on a perfectly healthy PC if you have
  2624.     devices installed that do not properly share interrupts.  This problem
  2625.     is getting more and more frequent as we see multiple adapters installed
  2626.     in a PC that use the same interrupt (IRQ). Sometimes problems are
  2627.     immediately obvious, other times they are subtle and depend upon certain
  2628.     events to happen at just the wrong time, then suddenly strange things
  2629.     happen!
  2630.  
  2631.  
  2632.     FINGER CHECKS (TYPOS AND "OOPS! I DIDN'T MEAN TO DO THAT.")
  2633.  
  2634.     These are an all too frequent cause of data corruption.  This commonly
  2635.     happens when you are intending to delete or replace one file but
  2636.     actually get another.  By using wild cards, you may experience a really
  2637.     "wild" time.  "Hmmm I thought I deleted all the *.BAK files . . . but
  2638.     they're still here . . . something was deleted . . . what was it? . . .
  2639.     or was I in the other directory?"  Of course if you're a programmer or
  2640.     if you use sophisticated tools like Norton's sector editor (NU), then
  2641.     your fingers can really get you into trouble!
  2642.  
  2643.  
  2644.     MALICIOUS OR CARELESS DAMAGE
  2645.  
  2646.     Someone may accidentally or deliberately delete or change a file on your
  2647.     PC when you're not around.  If you don't keep your PC locked in a safe,
  2648.     then this is a risk.  Who knows what was changed or deleted?  Wouldn't
  2649.     it be nice to know if anything changed over the weekend?  Most of such
  2650.     damage is done unintentionally by someone whom you probably know.  This
  2651.     person didn't mean to cause trouble; they simply didn't know what they
  2652.     were doing when they used your PC.
  2653.  
  2654.     Integrity Master (tm)           - 53 -        Data Integrity and Viruses
  2655.  
  2656.     SOFTWARE PROBLEMS
  2657.  
  2658.     This category accounts for more damage to programs and data than any
  2659.     other.  We're talking about non-malicious software problems here, not
  2660.     viruses.  Software conflicts, by themselves, are much more likely
  2661.     threats to your PC than virus attacks.
  2662.  
  2663.     We run our PCs today in a complex environment.  There are many resident
  2664.     programs (TSRs such as Sidekick) running simultaneously with various
  2665.     versions of DOS, BIOS and device drivers.  All these programs execute at
  2666.     the same time, share data and are vulnerable to unforeseen interactions
  2667.     between each other.   Naturally, this means that there may be some
  2668.     subtle bugs waiting to "byte" us.  Anytime a program goes haywire,
  2669.     there's the risk it may damage information on disk.
  2670.  
  2671.     There's the further problem that not all programs do what we hope they
  2672.     will.  If you have just undeleted a file, did you really get all the
  2673.     correct clusters back in the right order?   When CHKDSK "fixes"
  2674.     your disk for you, isn't it essential to know exactly what files it
  2675.     changed to do its job?  This is one more reason why everyone must have
  2676.     the capability to verify data integrity.
  2677.  
  2678.  
  2679.     SOFTWARE ATTACKS
  2680.  
  2681.     These are programs written deliberately to vandalize someone's computer
  2682.     or to use that computer in an unauthorized way.  Even though some
  2683.     viruses do not intentionally damage your data, I consider all viruses to
  2684.     be malicious software since they modify your programs without your
  2685.     permission, with occasional disastrous results.  There are many forms of
  2686.     malicious software; sometimes the media refers to all malicious software
  2687.     as viruses.  It's important to understand the distinction between the
  2688.     various types.  Let's examine the different types of malicious software:
  2689.  
  2690.  
  2691.     LOGIC BOMBS
  2692.  
  2693.     Just like a real bomb, a logic bomb will lie dormant until triggered by
  2694.     some event.  The trigger can be a specific date, the number of times
  2695.     executed, a random number, or even a specific event such as deletion of
  2696.     an employee's payroll record.   When the logic bomb is triggered, it
  2697.     will usually do something unpleasant. This can range from changing a
  2698.     random byte of data somewhere on your disk to making the entire disk
  2699.     unreadable.  Changing random data  may be the most insidious attack
  2700.     since it generally causes substantial damage before anyone notices that
  2701.     something is wrong. It's vital to have some data integrity software in
  2702.     place so that such damage can be quickly detected. Although you can
  2703.     detect it after the fact, there is unfortunately no way to prevent a
  2704.     well written logic bomb from damaging your system. On the other hand, a
  2705.     logic bomb that uses standard DOS or BIOS requests to do its dirty work
  2706.     can be caught by most interceptor type programs (see Chapter Two).
  2707.  
  2708.     Integrity Master (tm)           - 54 -        Data Integrity and Viruses
  2709.  
  2710.     TROJANS
  2711.  
  2712.     These are named after the Trojan horse, which delivered soldiers into
  2713.     the city of Troy.   Likewise, a trojan program is a delivery vehicle for
  2714.     some destructive code (such as a logic bomb or a virus) onto a computer.
  2715.     The trojan program appears to be a useful program of some type, but when
  2716.     a certain event occurs, it does something nasty and often destructive to
  2717.     the system.
  2718.  
  2719.  
  2720.     WORMS
  2721.  
  2722.     A worm is a self-reproducing program that does not infect other programs
  2723.     as a virus will, but instead creates copies of itself, that create even
  2724.     more copies.   These are usually seen on networks and on
  2725.     multi-processing operating systems, where the worm will create copies of
  2726.     itself that are also executed.  Each new copy will create more copies
  2727.     quickly clogging  the system.  The so-called ARPANET/INTERNET "virus"
  2728.     was actually a worm. It created copies of itself through the ARPA
  2729.     network, eventually bringing the network to its knees.  It did not
  2730.     infect other programs as a virus would, but simply kept creating copies
  2731.     of itself that would then execute and try to spread to other machines.
  2732.  
  2733.  
  2734.     VIRUSES
  2735.  
  2736.     Viruses are a cause of much confusion and a target of considerable
  2737.     misinformation even from some so-called virus experts.  Let's define
  2738.     what we mean by virus:
  2739.  
  2740.     A virus is a program that reproduces its own code by attaching itself
  2741.     to other programs in such a way that the virus code is executed when the
  2742.     infected program is executed.
  2743.  
  2744.     You could probably also say that the virus must do this without the
  2745.     permission or knowledge of the user, but that's not a vital distinction
  2746.     for purposes of our discussion here.
  2747.  
  2748.     Most viruses do their "job" by placing self-replicating code in other
  2749.     programs, so that when those other programs are executed, even more
  2750.     programs are "infected" with the self-replicating code.  This
  2751.     self-replicating code, when triggered by some event, may do a
  2752.     potentially harmful act to your computer.  Viruses are initially
  2753.     distributed in the form of a trojan.  In other words, the virus code has
  2754.     been planted in some useful program.  Since the virus infects other
  2755.     useful programs, absolutely any piece of executable code will suddenly
  2756.     become a trojan delivery vehicle for the virus.
  2757.  
  2758.     Another way of looking at viruses is to consider them to be programs
  2759.     written to create copies of themselves.  These programs attach these
  2760.     copies onto other programs (infecting these programs).  When one of
  2761.     these other programs is executed, the virus code (which was attached to
  2762.     that program) executes, and links copies of itself to even more
  2763.     programs.
  2764.  
  2765.  
  2766.     GENERAL VIRUS BEHAVIOR
  2767.  
  2768.     Viruses come in a great many different forms, but they all potentially
  2769.     have two phases to their execution, the infection phase and the attack
  2770.     phase:
  2771.  
  2772.    1) When the virus executes it will infect other programs.  What's
  2773.       often not clearly understood is precisely WHEN it will infect the
  2774.       other programs.  Some viruses infect other programs each time
  2775.       they are executed; other viruses infect only upon a certain trigger.
  2776.       This trigger could be anything; it could be a day or time, an
  2777.       external event on your PC, a counter within the virus, etc.
  2778.       Modern viruses have become more selective about when they
  2779.       infect programs.  Being selective improves the virus' chance to
  2780.       spread; if they infect too often, they will tend to be detected before
  2781.       they have enough time to spread widely.  Virus writers want their
  2782.       programs to spread as far as possible before anyone notices them.
  2783.       This brings up an important point which bears repeating:
  2784.  
  2785.              IT IS A SERIOUS MISTAKE TO EXECUTE A PROGRAM A
  2786.              FEW TIMES - FIND NOTHING INFECTED AND PRESUME
  2787.              THERE ARE NO VIRUSES IN THE PROGRAM.  YOU CAN
  2788.              NEVER BE SURE THAT THE VIRUS SIMPLY HASN'T
  2789.              TRIGGERED ITS INFECTION PHASE!
  2790.     Integrity Master (tm)           - 56 -        Data Integrity and Viruses
  2791.  
  2792.       Many viruses go resident in the memory of your PC in the same way as
  2793.       terminate and stay resident (TSR) programs such as Sidekick. This
  2794.       means the virus can wait for some external event before it infects
  2795.       additional programs.  The virus may silently lurk in memory waiting
  2796.       for you to insert a diskette, copy a file, or execute a program,
  2797.       before it infects any other programs.  This makes these viruses more
  2798.       difficult to analyze since it's hard to guess what trigger condition
  2799.       they use for their infection.  Resident viruses frequently corrupt the
  2800.       system software on the PC to hide their existence.  This technique is
  2801.       called "stealth" and I'll cover this in more detail shortly.
  2802.  
  2803.    2) The second phase is the attack phase.  Many viruses do unpleasant
  2804.       things such as deleting files or changing random data on your disk,
  2805.       simulating typos or merely slowing your PC down; some viruses
  2806.       do less harmful things such as playing music or creating messages
  2807.       or animation on your screen.  Just as the virus's infection phase
  2808.       can be triggered by some event, the attack phase also has its own
  2809.       trigger.  Viruses usually delay revealing their presence by
  2810.       launching their attack only after they have had ample opportunity
  2811.       to spread.  This means that the attack may be delayed for years
  2812.       after the initial infection.  The attack phase is optional, many
  2813.       viruses simply reproduce and have no trigger for an attack phase.
  2814.       Does this mean that these are "good" viruses?  No, unfortunately
  2815.       not!  Anything that writes itself to your disk without your
  2816.       permission is stealing storage and CPU cycles.  This is made
  2817.       worse since viruses that "just infect", with no attack phase,
  2818.       damage the programs or disks they infect.  This is not an
  2819.       intentional act of the virus, but simply a result of the fact that
  2820.       many viruses contain extremely poor quality code.  One of the
  2821.       most common viruses, the STONED virus is not intentionally
  2822.       harmful. Unfortunately, the author did not anticipate the use of
  2823.       anything other than 360K floppy disks.  The virus will try to hide
  2824.       its own code in an area on 1.2mb diskettes, resulting in corruption
  2825.       of the entire diskette.
  2826.  
  2827.     Integrity Master (tm)           - 57 -        Data Integrity and Viruses
  2828.  
  2829.     Now that we've examined general virus behavior, let's take a closer
  2830.     look at the two major categories of viruses and how they operate.
  2831.  
  2832.  
  2833.     SYSTEM SECTOR VIRUSES
  2834.  
  2835.     These are viruses that plant themselves in your system sectors.
  2836.     System sectors are special areas on your disk containing programs
  2837.     that are executed when you boot your PC.  Sectors are not files but
  2838.     simply small areas on your disk that your hardware reads in single
  2839.     chunks.  Under DOS, sectors are most commonly 512 bytes in length.
  2840.     These sectors are invisible to normal programs but are vital for
  2841.     correct operation of your PC.  They are a common target for viruses.
  2842.     There are two types of system sectors found on DOS PCs:
  2843.  
  2844.     DOS Boot Sectors
  2845.  
  2846.       The very first sector on disk or diskette that DOS is aware of is the
  2847.       boot  sector.  From a DOS perspective, this is the first sector on
  2848.       the disk.  This sector can contain an executable program whether
  2849.       the disk is bootable or not.  Since this program is executed every
  2850.       time you power on or boot your PC, it is very vulnerable to virus
  2851.       attack.  Damage to this sector can make your disk appear to be
  2852.       unreadable.  This sector is rewritten whenever you do a "SYS" or
  2853.       a "FORMAT /S" to a disk.
  2854.  
  2855.       Warning: Even a non-bootable floppy can contain a virus in  the
  2856.       boot sector.  If you leave the floppy in your PC when you power
  2857.       on or boot, you will be infected even though the PC won't
  2858.       successfully boot from that floppy.
  2859.  
  2860.     Partition Sectors
  2861.  
  2862.       On hard (fixed) disk drives, the very first sector is the partition
  2863.       sector (also known as the master boot record or partition table).
  2864.       Each physical hard disk drive has one of these sectors.  A single
  2865.       physical disk can be partitioned into one or more logical disks.  For
  2866.       example, you may have a physical drive partitioned into C: and D:
  2867.       logical disks so that your single physical disk appears (to DOS) to
  2868.       be two logical disks.  The  single partition sector contains the
  2869.       information that describes both logical disks. If the partition sector
  2870.       is damaged, then DOS may not even recognize that your disk
  2871.       exists.
  2872.  
  2873.       The partition sector also contains a program that is executed every
  2874.       time you power up or boot your PC.  This program executes and
  2875.       reads the DOS boot sector that also contains a program.  Many
  2876.       viruses plant their code in the partition sector.
  2877.  
  2878.     Integrity Master (tm)           - 58 -        Data Integrity and Viruses
  2879.  
  2880.     System sector viruses modify the program in either the DOS boot
  2881.     sector or the partition sector.  Since there isn't much room in the
  2882.     system sector (only 512 bytes), these viruses usually have to hide
  2883.     their code somewhere else on the disk.  These viruses sometimes
  2884.     cause problems when this spot already contains data that is then
  2885.     overwritten.  Some viruses, such as the Pakistani BRAIN virus, mark
  2886.     the spot where they hide their code as bad clusters.  This is one
  2887.     reason to be alarmed if CHKDSK suddenly reports additional bad
  2888.     sectors on your disk.  These viruses usually go resident in memory on
  2889.     your PC, and infect any floppy disk that you access.  Simply doing a
  2890.     DIR on a floppy disk may cause it to be infected.  Some viruses will
  2891.     infect your diskette immediately when you close the drive door.
  2892.     Since they are active in memory (resident), they can hide their
  2893.     presence.  If BRAIN is active on your PC, and you use a sector editor
  2894.     such as Norton's NU to look at the boot sector of an infected diskette,
  2895.     the virus will intercept the attempt to read the infected boot sector and
  2896.     return instead a saved image of the original boot sector.  You will see
  2897.     the normal boot sector instead of the infected version.  Viruses that
  2898.     do this are known as stealth viruses.
  2899.  
  2900.     In addition to infecting diskettes, some system sector viruses spread
  2901.     by also infecting files.  Viruses of this type are called "multipartite"
  2902.     (multiple part) viruses.  Since they can infect both files and sectors
  2903.     have more avenues to spread and are more difficult to remove.
  2904.  
  2905.  
  2906.     File Viruses
  2907.  
  2908.     In terms of sheer number of viruses, these are the most common kind.
  2909.     The simplest file viruses work by locating a type of file that they know
  2910.     how to infect (usually a file name ending in ".COM" or ".EXE") and
  2911.     overwriting part of the program they are infecting. When this program is
  2912.     executed, the virus code executes and infects more files.  These
  2913.     overwriting viruses do not tend to be very successful since the
  2914.     overwritten program rarely continues to function correctly and the virus
  2915.     is almost immediately discovered.  The more sophisticated file viruses
  2916.     save (rather than overwrite) the original instructions when they insert
  2917.     their code into the program.  This allows them to execute the original
  2918.     program after the virus finishes so that everything appears normal.
  2919.     Just as system sector viruses can remain resident in memory and use
  2920.     "stealth" techniques to hide their presence, file viruses can hide this
  2921.     way also.  If you do a directory listing, you will not see any increase
  2922.     in the length of the file and if you attempt to read the file, the virus
  2923.     will intercept the request and return your original uninfected program
  2924.     to you.  This can sometimes be used to your advantage.  If you have a
  2925.     "stealth" virus (such as 4096 or Dir-2), you can copy your program files
  2926.     (*.EXE and *.COM files) to files with other extensions and allow the
  2927.     virus to automatically disinfect your files!  If you "COPY *.COM
  2928.     *.CON", and then cold boot your PC from a known good copy of DOS and
  2929.     "REN *.CON *.COM", this will disinfect the renamed files.
  2930.  
  2931.     Integrity Master (tm)           - 59 -        Data Integrity and Viruses
  2932.  
  2933.     Some file viruses (such as 4096) also infect overlay files as well as
  2934.     the more usual *.COM and *.EXE files.  Overlay files have various
  2935.     extensions, but ".OVR" and ".OVL" are common examples.
  2936.  
  2937.     MIRACLE INFECTIONS
  2938.  
  2939.     Would you believe that a virus can infect your files without changing a
  2940.     single byte in the file?  Well, it's true!  There are two types of
  2941.     viruses that can do this.  The more common kind is called the companion
  2942.     or spawning type virus.  This virus infects your files by locating a
  2943.     file name ending in ".EXE".  The virus then creates a matching file name
  2944.     ending in ".COM" that contains the viral code. Here's what happens;
  2945.     let's say a companion virus is executing (resident) on your PC and
  2946.     decides it's time to infect a file.  It looks around and happens to find
  2947.     a file called "WP.EXE".  It now creates a file called "WP.COM"
  2948.     containing the virus.   The virus usually plants this file in the
  2949.     current directory although it could place it in any directory on your
  2950.     DOS path.  If you type "WP" and hit enter, DOS will execute "WP.COM"
  2951.     instead of "WP.EXE".  The virus executes, possibly infecting more files
  2952.     and then loads and executes "WP.EXE". The user probably won't notice
  2953.     anything wrong.  This type of virus is fortunately easy to detect by the
  2954.     presence of the extra ".COM" files. There are some instances where it is
  2955.     normal to have both ".COM" and ".EXE" files of the same name (such as
  2956.     DOS 5's DOSSHELL) but this is relatively rare.
  2957.  
  2958.     There is a new type of virus known as a "cluster" virus that infects
  2959.     your files not by changing the file or planting extra files but by
  2960.     changing the DOS directory information so that directory entries point
  2961.     to the virus code instead of the actual program.  When you type the name
  2962.     of the program, DOS loads and executes the virus code, the virus then
  2963.     locates the actual program and executes it.  Dir-2 is an example of this
  2964.     type of virus and is now spreading rapidly around the world.  I am
  2965.     deliberately keeping the description of this type of virus rather vague
  2966.     to avoid making it easier to write this type of virus.
  2967.  
  2968.  
  2969.     POLYMORPHIC VIRUSES
  2970.  
  2971.     To confound virus scanning programs, virus writers created polymorphic
  2972.     viruses.  These viruses are more difficult to detect by scanning because
  2973.     each copy of the virus looks different that the other copies.  One virus
  2974.     author even created a tool kit for other virus writers to use called the
  2975.     "Dark Avenger's Mutation Engine" (also known as MTE or DAME).  This
  2976.     allows someone who has a normal virus to use the mutation engine with
  2977.     their virus code.  If they use the mutation engine, each file infected
  2978.     by their virus will have what appears to be totally different virus code
  2979.     attached to it.  Fortunately, the code isn't totally different and now
  2980.     anyone foolish enough to use the muta- tion engine with their virus will
  2981.     be creating a virus that will be immediately detected by most of the
  2982.     existing scanners.  The existing viruses (such as Pogue, Dedicated,
  2983.     CoffeeShop, CryptLab, and Groove) which use the mutation engine pose
  2984.     little threat since they are all simple minded and rather buggy.
  2985.  
  2986.     Integrity Master (tm)           - 60 -        Data Integrity and Viruses
  2987.  
  2988.     VIRUS TOOL KITS
  2989.  
  2990.     Besides the mutation engine, there are now several tool kits available
  2991.     to help people create viruses.  Several of these programs allow someone
  2992.     who has no knowledge of viruses to create their own "brand new" virus.
  2993.     One of these tool kits known as the Virus Creation Laboratory (VCL) has
  2994.     a very slick user interface with pull down menus and on-line help.  You
  2995.     just pick your choices from the various menus and in a flash you've
  2996.     created your very own virus.  While this sounds like a pretty ominous
  2997.     development for scanning technology, it's not as bad as it sounds.  All
  2998.     the existing tool kits (such as VCS, VCL and MPC) create viruses that
  2999.     can be detected easily with existing scanner technology.  The danger
  3000.     with these tool kits lies in the fact that it's possible to create such
  3001.     a tool kit that could create viruses that really are unique.
  3002.     Fortunately, this hasn't been done yet, but it's only a matter of time
  3003.     before this tool kit will be created.  This will make scanning-based
  3004.     products useless; the only reliable way to detect these viruses will be
  3005.     with an integrity check product.
  3006.  
  3007.  
  3008.     HOW MANY PC VIRUSES ARE THERE?
  3009.  
  3010.     There are more PC viruses than all other types of viruses combined (by a
  3011.     large margin).  Estimates of exactly how many there are vary widely and
  3012.     the number is constantly growing.  In 1990, estimates ranged from 200 to
  3013.     500; then in 1991 estimates ranged from 600 to 1300 different viruses.
  3014.     In late 1992, estimates are ranging from 1000 to 2300 viruses.  This
  3015.     confusion exists partly because it's difficult to agree on how to count
  3016.     viruses.  New viruses frequently arise from some idiot taking an
  3017.     existing virus that does something like put a message out on your screen
  3018.     saying: "Your PC is now stoned" and changing it to say something like
  3019.     "Donald Duck is a lie".  Is this a new virus?  Most "experts" say "yes."
  3020.     This is a trivial change that can be done in less than two minutes
  3021.     resulting in yet another "new" virus.  Another problem comes from
  3022.     viruses that try to conceal themselves from scanners by mutating.  In
  3023.     other words, every time the virus infects another file, it will try to
  3024.     use a different version of itself. These viruses are known as
  3025.     "polymorphic" viruses.  One example, the WHALE (a huge clumsy 10,000
  3026.     byte virus) creates 33 different versions of itself when it infects
  3027.     files.  At least one person counts this as 33 different viruses on their
  3028.     list.  Many of the large number of viruses known to exist have not been
  3029.     detected in the wild but probably exist only in someone's virus
  3030.     collection. Several authors of anti-virus products, including Mark
  3031.     Washburn and Ralph Burger, have written sophisticated viruses that are
  3032.     now on the loose, but other viruses that they created apparently exist
  3033.     only in virus collections.
  3034.     Integrity Master (tm)           - 61 -        Data Integrity and Viruses
  3035.  
  3036.     David M. Chess of IBM's High Integrity Computing Laboratory reports in
  3037.     the November 1991 Virus Bulletin that "about 30 different viruses and
  3038.     variants account for nearly all of the actual infections that we see in
  3039.     day-to-day operation."  We now find that about 38 different viruses
  3040.     account for all the viruses that actually spread in the wild. How can
  3041.     there be only 38 viruses active when some "experts" report such high
  3042.     numbers?  This is probably because most viruses are poorly written and
  3043.     cannot spread at all or cannot spread without betraying their presence.
  3044.     Although the actual number of viruses will probably continue to be hotly
  3045.     debated, what is clear is that the total number of viruses is increasing
  3046.     rapidly, although perhaps not quite as rapidly as the numbers might
  3047.     suggest.
  3048.  
  3049.  
  3050.     HOW SERIOUS ARE VIRUSES?
  3051.  
  3052.     It's important to keep viruses in perspective.  There are many other
  3053.     threats to your programs and data that are MUCH more likely to harm you
  3054.     than viruses.  A well known anti-virus researcher once said that you
  3055.     have more to fear from a cup of coffee (which may spill) than from
  3056.     viruses.  While the growth in number of viruses now puts this statement
  3057.     into question, it's still clear that there are many more occurrences of
  3058.     data corruption from other causes than from viruses. So, does this mean
  3059.     that viruses are nothing to worry about? Emphatically, no!  It just
  3060.     means that it's foolish to spend much money and time on addressing the
  3061.     threat of viruses if you've done nothing about the other more likely
  3062.     threats to your files.  Because viruses are deliberately written to
  3063.     invade and possibly damage your PC, they are the most difficult threat
  3064.     to guard against.  It's pretty easy to understand the threat that disk
  3065.     failure represents and what to do about it (although surprisingly few
  3066.     people even address this threat).  The threat of viruses is much more
  3067.     difficult to deal with.  There are no "cures" for the virus problem.
  3068.     Why is this so?  We'll explore this in the next chapter on Protecting
  3069.     Your PC.
  3070.  
  3071.     Integrity Master (tm)           - 62 -        Data Integrity and Viruses
  3072.  
  3073.  
  3074.      N O T E S :
  3075.      -----------
  3076.  
  3077.  
  3078.     Integrity Master (tm)           - 63 -        Data Integrity and Viruses
  3079.  
  3080.     CHAPTER TWO - PROTECTING YOUR PC
  3081.     ____________________________________________________________________
  3082.  
  3083.     HARDWARE PROTECTION
  3084.  
  3085.     Hardware is the foundation upon which your whole system is built. If you
  3086.     have more than one or two PC's, you probably owe it to yourself to buy
  3087.     some diagnostic programs.  If your PC is performing strangely or if a
  3088.     file is damaged, it's crucial to be able to determine whether hardware
  3089.     is the cause.  You probably don't want to call in a repair person each
  3090.     time something strange happens.  Even if you have just one or two PCs,
  3091.     there are some modestly priced diagnostic programs that are worth
  3092.     having.
  3093.  
  3094.     One problem with diagnostic software (and hardware too, for that matter)
  3095.     is that when you run the diagnostics, everything may work perfectly, yet
  3096.     some time earlier there definitely was a problem. Intermittent problems
  3097.     like this are all too common.  Disk problems can be the most insidious
  3098.     in this respect.  When you run the diagnostics everything works fine.
  3099.     How can you find out what's happening?  Run a comprehensive data
  3100.     integrity product (surprise)! This way you can find out if some data was
  3101.     damaged, but you don't have to spend days running diagnostics.  This
  3102.     also gives you early warning if your disk just starting to have
  3103.     problems.
  3104.  
  3105.     If you haven't already, consider buying whatever you can to prevent your
  3106.     hardware from failing in the first place.  Buy surge protectors, keep
  3107.     your PC clean, and regularly clean the heads on your tape and diskette
  3108.     drives.  Be sure to protect your PC and keyboard from spilled coffee and
  3109.     similar threats.
  3110.  
  3111.     Your hard disk is going to fail!  It's not "if" but "when"!  It's
  3112.     absolutely vital to be able to deal with this threat.  Basic to dealing
  3113.     with this threat and most of the others is having backups.  Please read
  3114.     the section in Chapter five on Backup Policy.  Your hard disk will most
  3115.     likely start performing erratically before it totally fails. It's
  3116.     essential to detect this as early as possible before much data gets
  3117.     damaged.  It will very likely NOT be obvious to you whether a hardware
  3118.     problem, software problem or a virus is damaging your files.  More on
  3119.     making this determination in the section in Chapter Five  titled
  3120.     Determining Causes of Corruption.
  3121.  
  3122.  
  3123.     "FIXING" YOUR DISK
  3124.  
  3125.     Damage to your files could be caused by hardware, software or who knows
  3126.     what.  When you are having the problem, your main concern is often not
  3127.     what caused it, but how to fix the damage.  This is where the disk
  3128.     utility programs offered by Gibson, Norton, Mace, and Central Point are
  3129.     often very handy.  They can sometimes take unreadable data and extract
  3130.  
  3131.     Integrity Master (tm)           - 64 -        Data Integrity and Viruses
  3132.  
  3133.     some of it, or if you have logical damage to your disk such as
  3134.     cross-linked clusters, these programs (and DOS CHKDSK) may be able to
  3135.     fix things for you.  Unfortunately, things are not always fixed
  3136.     perfectly when these programs say they are. Using a data integrity
  3137.     product (such as Integrity Master) will allow you to determine if
  3138.     everything really was put back together again. More importantly, a data
  3139.     integrity product can be used to more accurately diagnose what is wrong
  3140.     to begin with, so you don't attempt a repair which actually makes things
  3141.     worse.
  3142.  
  3143.     GOOF PROTECTION
  3144.  
  3145.     Who has never accidentally deleted or copied onto the wrong files? Very
  3146.     few of us!  If you have a data integrity product (such as Integrity
  3147.     Master), a  utility package (Norton, Mace, PCtools, etc.) and current
  3148.     backups, you're all set.  You could probably do without the utilities,
  3149.     but it's rather convenient to be able to unerase files after you
  3150.     inadvertently delete the wrong ones (this is built into DOS 5).  Of
  3151.     course, a backup program or an undelete utility won't help you if you
  3152.     didn't notice the incorrect delete when it happened and you now don't
  3153.     know what to restore or undelete.  That's why data integrity software is
  3154.     a vital component to handling this threat.
  3155.  
  3156.  
  3157.     INTRUSION PROTECTION
  3158.  
  3159.     This may not be an issue if you keep your PC is kept locked in a vault
  3160.     when you're not using it, but otherwise you can never be sure that an
  3161.     intruder hasn't changed something on your PC.  Do you think I am
  3162.     exaggerating?  I am not!  The intruder may be your spouse or offspring.
  3163.     They probably have no intention of changing anything but may be confused
  3164.     on how to use one of the programs on your PC, with the result that they
  3165.     inadvertently change the wrong file.  On the other hand, you may work in
  3166.     an environment where someone may want to deliberately do you harm or
  3167.     perhaps just "play a little joke" on you.
  3168.  
  3169.     There are programs available that modify the partition sector on your PC
  3170.     so that the hard disk is unavailable unless someone provides a password.
  3171.     There are add-in boards that provide the same function. Some PCs (e.g.,
  3172.     PS/2 PCs) come with a power-up password.  You can lock the case to your
  3173.     PC to make it more difficult to open.  You may wish to consider any of
  3174.     these options depending upon how much risk you face, but please realize
  3175.     that they can all be bypassed in less than ten minutes by a
  3176.     knowledgeable user.  Surveillance cameras are regarded as a fairly good
  3177.     deterrent to PC tampering.
  3178.  
  3179.     While you can't totally stop someone from breaking into your PC, you can
  3180.     detect and correct the damage.  By using an integrity program that
  3181.     allows you to encrypt the integrity data or store the data off-line (on
  3182.     floppies), you can detect any illegal tampering, even from a technically
  3183.     advanced adversary.
  3184.  
  3185.     Integrity Master (tm)           - 65 -        Data Integrity and Viruses
  3186.  
  3187.     VIRUS DEFENSES
  3188.  
  3189.     There are various methods in use to protect against viruses. What
  3190.     follows is a quick review of the viral defense mechanisms that are
  3191.     widely used today.
  3192.  
  3193.  
  3194.     SCANNERS
  3195.  
  3196.     Once a virus has been detected, it is possible to write programs that
  3197.     look for telltale code (signature strings) characteristic of the virus.
  3198.     The writers of the scanner then extract identifying strings from the
  3199.     virus.  The scanner uses these signature strings to search memory,
  3200.     files, and system sectors.  If the scanner finds a match, it announces
  3201.     
  3202.     that it has found a virus.  This obviously detects only known, pre-
  3203.     existing, viruses.  Many so-called "virus writers" create "new" viruses
  3204.     by modifying existing viruses. This takes only a few minutes but creates
  3205.     what appears to be a new virus. It happens all too often that these
  3206.     viruses are changed simply to fool the scanners.
  3207.  
  3208.     The major advantage of scanners is that they allow you to check programs
  3209.     before they are executed.  Scanners provide the easiest way to check for
  3210.     new software for old (known) viruses.  Since they have been aggressively
  3211.     marketed and since they provide what appears to be a simple painless
  3212.     solution to viruses, scanners are the most widely used anti-virus
  3213.     technique.
  3214.  
  3215.     Too many people seem to regard "anti-virus product" and "scanner" as
  3216.     synonymous terms.  The peril here is that if too many people depend
  3217.     solely upon scanners, newly created viruses will spread totally
  3218.     unhindered causing considerable damage before the scanners catch up with
  3219.     the viruses.  An example of this was the attack by the Maltese Amoeba
  3220.     (Irish) virus in the UK.  This virus was not detected prior to its
  3221.     destructive activation on November 1, 1991.  Prior to its attack, it
  3222.     had managed to spread quite widely and none of the existing (mostly
  3223.     scanner-based) products detected this virus. According to the December
  3224.     1991 Virus Bulletin:
  3225.  
  3226.     "Prior to November 2nd, 1991, no commercial or shareware scanner (of
  3227.     which VB has copies) detected the Maltese Amoeba virus.  Tests showed
  3228.     that not ONE of the major commercial scanners in use (the latest
  3229.     releases of Scan, Norton Anti-virus, Vi-Spy, VISCAN, Findvirus, Sweep,
  3230.     Central Point Anti-virus, et al.) detected this virus."
  3231.  
  3232.     This indicates the hazard of depending upon scanner technology or active
  3233.     monitor technology for virus protection.
  3234.  
  3235.     Integrity Master (tm)           - 66 -        Data Integrity and Viruses
  3236.  
  3237.     Another major drawback to scanners is that it's dangerous to depend upon
  3238.     an old scanner.  With the dramatic increase in the number of viruses
  3239.     appearing, it's risky to depend upon anything other than the most
  3240.     current scanner.  Even that scanner is necessarily a step behind the
  3241.     latest crop of viruses since there's a lot that has to happen before the
  3242.     scanner is ready:
  3243.  
  3244.    o The virus has to be detected somehow to begin with.  Since the existing
  3245.      scanners won't detect the new virus, it will have some time to spread
  3246.      before someone detects it by other means.
  3247.  
  3248.    o The newly discovered virus must be sent to the programmers to analyze
  3249.      and extract a suitable signature string.  This string must be tested
  3250.      for false positives on legitimate programs.
  3251.  
  3252.    o This string must be incorporated into the next release of the virus
  3253.      scanner.
  3254.  
  3255.    o The virus scanner must be distributed to the customer.
  3256.  
  3257.    o In the case of retail software, the software must be sent to be
  3258.      packaged, to the distributors, and then on to the retail outlets.
  3259.      Commercial retail software takes so long to get to the shelves, that it
  3260.      is almost certainly out of date.  Yet, many retail products depend upon
  3261.      their scanner for most of their effectiveness.
  3262.  
  3263.  
  3264.     If you depend upon a scanner, be sure to get the latest version directly
  3265.     from the author.  Also, be sure that you boot from a clean
  3266.     write-protected copy of DOS before running the scanner; there's a good
  3267.     chance that the scanner can detect a resident virus in memory, but if it
  3268.     misses the virus in memory, the scanner will wind up spreading the virus
  3269.     rather than detecting it.  Every susceptible program on your disk could
  3270.     be infected in a matter of minutes this way!
  3271.  
  3272.  
  3273.     DISINFECTORS
  3274.  
  3275.     Most vendors that sell scanners also sell a disinfector (sometimes it's
  3276.     the same program).  A disinfector has the same limitations that a
  3277.     scanner has, in that it must be current to be safe to use and it's
  3278.     always one step behind the latest crop of viruses.  The disinfector,
  3279.     however, has an even bigger disadvantage:  Many viruses simply cannot be
  3280.     removed without damaging the infected file.  There have also been
  3281.     numerous reports that files are still damaged even when the program
  3282.     claims to have disinfected the file.  A disinfector like a scanner can
  3283.     be a very handy tool in your anti-virus arsenal, but it must be used
  3284.     with care.  If you use a disinfector, be sure you have the latest
  3285.     version direct from the author and use an integrity check to verify that
  3286.     all files and system sectors are correctly restored.
  3287.  
  3288.     Integrity Master (tm)           - 67 -        Data Integrity and Viruses
  3289.  
  3290.     Currently, one of the oldest and most common infectors of files is the
  3291.     Jerusalem (1813) virus.  All disinfectors naturally claim to be able to
  3292.     remove this virus.  Yet the Jerusalem virus frequently overwrites part
  3293.     of the original file (due mostly to its many bugs) making it impossible
  3294.     to restore the infected program.  In spite of this, most (if not all)
  3295.     disinfectors claim to disinfect Jerusalem infected files.  A very
  3296.     dangerous situation!  I'd like to stress that:
  3297.  
  3298.           IT IS TOTALLY UNSAFE AND IRRESPONSIBLE TO DEPEND UPON
  3299.           DISINFECTORS AS A WAY TO RECOVER FROM VIRUS INFECTIONS.
  3300.  
  3301.  
  3302.     INTERCEPTORS
  3303.  
  3304.     Interceptors (also known as resident monitors) are particularly useful
  3305.     for deflecting logic bombs and trojans.  The interceptor monitors
  3306.     operating system requests that write to disk or do other things that the
  3307.     program considers threatening (such as installing itself as a resident
  3308.     program).  If it finds such a request, the interceptor generally pops up
  3309.     and asks you if you want to allow the request to continue.  There is,
  3310.     however, no reliable way to intercept direct branches into low level
  3311.     code or to intercept direct input and output instructions done by the
  3312.     virus itself.  Some viruses even manage to disable the monitoring
  3313.     program itself.   It is important to realize that monitoring is a risky
  3314.     technique.  Some products that use this technique are so annoying to use
  3315.     (due to their frequent messages popping up) that some users consider the
  3316.     cure worse than the disease!  An interception (monitoring) product would
  3317.     be a useful adjunct to a data integrity program, as protection against
  3318.     some the more simple minded logic bombs.
  3319.  
  3320.  
  3321.     INOCULATORS
  3322.  
  3323.     There are two types of inoculators or so-called "immunizers." One
  3324.     modifies files or system sectors in an attempt to fool viruses into
  3325.     thinking that you are already infected.  The inoculator does this by
  3326.     making the same changes that the viruses use to identify the file or
  3327.     sector as infected.  Presumably, the virus will not infect anything
  3328.     because it thinks  everything is already infected.  This works only for
  3329.     a very small number of viruses.
  3330.  
  3331.     The second technique is actually an attempt to make your programs
  3332.     self-checking by attaching a small section of check code onto your
  3333.     programs.  When your program executes, the check code first computes the
  3334.     check data and compares it with the stored data.  It will warn you if it
  3335.     finds any changes to the program. Not only can this be circumvented by
  3336.     existing stealth viruses, but the self-checking code and check data can
  3337.     be modified or disabled as well.   Another problem arises because some
  3338.     programs refuse to run if they have been modified in this way.  This
  3339.     also creates alarms from other anti- virus programs since the attached
  3340.     self-check code changes the original program in the same way a virus
  3341.     would. Some products use this technique to substantiate their claim to
  3342.     detect unknown viruses.
  3343.  
  3344.     Integrity Master (tm)           - 68 -        Data Integrity and Viruses
  3345.  
  3346.     ROM and Encryption
  3347.  
  3348.     Placing executable code on a hardware write-protected device, will
  3349.     protect all those programs on that device.  Some PCs provide DOS in ROM
  3350.     (Read Only Memory). This provides some degree of protection, but all the
  3351.     other programs are still vulnerable to infection. The more programs you
  3352.     can isolate on a write-protected device, the more effective this
  3353.     technology is.
  3354.  
  3355.     Encryption is a promising technique that so far has not been
  3356.     successfully used to protect a system.  Encrypting as many of your files
  3357.     as possible makes life harder for viruses, but does not stop them since
  3358.     there is always some unencrypted code around (boot sector, BIOS, DOS,
  3359.     device drivers, etc).
  3360.  
  3361.  
  3362.     INTEGRITY CHECKERS
  3363.  
  3364.     Integrity check based products work by reading your entire disk and
  3365.     recording integrity data that acts as a signature for the files and
  3366.     system sectors.  An integrity check program is the only solution that
  3367.     can handle all the threats to your data along with viruses.  Integrity
  3368.     checkers also provide the only reliable way to discover what damage a
  3369.     virus has done.  A well-written integrity checker should be able to
  3370.     detect any virus, not just known viruses.
  3371.    
  3372.     So, why isn't everyone using an integrity checker?  Well, until
  3373.     recently, there hasn't been an integrity checker available without some
  3374.     significant drawbacks.  In fact, many anti-virus products now
  3375.     incorporate integrity checking techniques.  One problem with many
  3376.     products is that they don't use these techniques in a comprehensive way.
  3377.     There are still too many things not being checked. Some older integrity
  3378.     checkers were simply too slow or hard to use to be truly effective. A
  3379.     disadvantage of a bare-bones integrity checker is that it can't
  3380.     differentiate file corruption caused by a bug from corruption caused by
  3381.     a virus.  Only recently have advanced integrity checkers (e.g.,
  3382.     Integrity Master) become available that incorporate the smarts to
  3383.     analyze the nature of the changes and recognize changes caused by a
  3384.     virus.  Some integrity checkers now use other anti-virus techniques
  3385.     along with integrity checking to improve their intelligence and ease of
  3386.     use.
  3387.  
  3388.     Integrity Master (tm)           - 69 -        Data Integrity and Viruses
  3389.  
  3390.     If you choose an integrity checker, be sure it has all these
  3391.     features:
  3392.  
  3393.     o It's easy to use with clear, unambiguous reports and built-in help.
  3394.  
  3395.     o It hides complexity, so that complicated details of system file or
  3396.       system sector changes are only presented if they present
  3397.       information the user must act upon.
  3398.  
  3399.     o The product recognizes the various files on the PC so it can alert
  3400.       the user with special warnings if vital files have changed.
  3401.  
  3402.     o It's fast.  An integrity checker is of no use if it's too slow to run.
  3403.  
  3404.     o It recognizes known viruses, so the user doesn't have to do all the
  3405.       work to determine if a change is due to a software conflict, or if it's
  3406.       due to a virus.
  3407.  
  3408.     o It's important that the integrity computation be more sophisticated
  3409.       than a mere checksum.  Two sectors may get reversed in a file or
  3410.       other damage may occur that otherwise rearranges data in a file.  A
  3411.       checksum will not detect these changes.
  3412.  
  3413.     o It's comprehensive.  Some integrity checkers, in order to improve
  3414.       their speed, don't read each file in its entirety.  They read only
  3415.       portions of larger files.  They just spot check.  This is unacceptable
  3416.       -- it's important to know the file hasn't changed, not just that some
  3417.       of the file hasn't changed.
  3418.  
  3419.     o It checks and restores both boot and partition sectors.  Some
  3420.       programs check only files.
  3421.  
  3422.     (Fortunately, Integrity Master does all these things.)
  3423.  
  3424.     Integrity Master (tm)           - 70 -        Data Integrity and Viruses
  3425.  
  3426.     GADGETS
  3427.  
  3428.     There are currently some gadgets (hardware devices) that are sold as
  3429.     virus protection.   So far, I haven't seen anything that provides
  3430.     protection beyond what is offered by software-only products.  Beyond
  3431.     putting some of the anti-virus code in read only memory (ROM), I've seen
  3432.     little that can be accomplished by existing hardware.  In one product,
  3433.     the hardware was used to store some integrity data; a floppy disk can do
  3434.     the same thing and it's actually more secure.
  3435.  
  3436.  
  3437.     PREVENTION:
  3438.  
  3439.     Hardware techniques, such as placing all your programs in read only
  3440.     memory (ROM), can, in theory, provide virus prevention, but nothing even
  3441.     comes close to doing this yet.  Pure software techniques can probably
  3442.     not prevent all viruses.  There are all sorts of schemes that make it
  3443.     more difficult for a virus to penetrate your system, but none totally
  3444.     eliminate the threat of a virus.  For each software-based technique,
  3445.     there is a way a virus could circumvent it.  Software helps a lot, but
  3446.     isn't absolute protection.  While prevention of viruses may not be
  3447.     possible, detection is.  Detection, if applied carefully, can detect all
  3448.     viruses, no matter how tricky.  If viruses are detected before they
  3449.     spread, the most serious aspect of the virus threat is eliminated.  If
  3450.     integrity checking (detection) is practiced widely, the threat of a
  3451.     virus spreading to millions of PCs and then years later doing a
  3452.     destructive act can be eliminated.
  3453.  
  3454.     Integrity Master (tm)           - 71 -        Data Integrity and Viruses
  3455.  
  3456.     CHAPTER THREE - VIRUS MYTHS
  3457.     ____________________________________________________________________
  3458.  
  3459.  
  3460.     MYTHICAL SOURCES
  3461.  
  3462.     Attachment to a network or BBS
  3463.       Simply being attached to a network (such as CompuServe, or
  3464.       Internet), a bulletin board system (BBS), or even a local area
  3465.       network (LAN) will not make you susceptible to viruses.  The only
  3466.       way you can get a virus is to execute a program on your PC that
  3467.       you obtained over the network.  The mere act of downloading the
  3468.       program is harmless; it's only by downloading and then executing
  3469.       an infected program that your PC can become infected.  I hope it's
  3470.       clear that the mere act of reading electronic mail cannot infect your
  3471.       PC.
  3472.  
  3473.       There is one thing that can happen though.  If you have the device
  3474.       driver ANSI.SYS (or an equivalent) loaded (in your CONFIG.SYS
  3475.       file), someone could send a sequence of characters to your screen
  3476.       (ANSI sequence) that assigns a set of key strokes to a key on your
  3477.       keyboard. These keystrokes could easily be something harmful like
  3478.       "DEL *.*".  When you hit the key that was reassigned, the
  3479.       command would execute just as if you had typed it yourself. This
  3480.       "practical joke" could cause some trouble, but it certainly can't
  3481.       reproduce and isn't a virus.
  3482.  
  3483.     From Data
  3484.       Since data is not executed, you cannot become infected from data.
  3485.       If someone sent you a data file that contained a virus, you would
  3486.       have to rename the file and then execute it to become infected!
  3487.       You can, however, become infected from a diskette that is not
  3488.       bootable and contains no (apparent) programs.  The explanation for
  3489.       this is that all diskettes have a boot sector that contains a program
  3490.       that can become infected by a boot sector virus.  If you leave such
  3491.       an infected diskette in your drive when you power up or boot, your
  3492.       PC will be infected!
  3493.  
  3494.     From CMOS Memory
  3495.       PC AT (80286 and 80386 based) type computers and later models
  3496.       contain a small amount of battery backed CMOS memory to store
  3497.       the configuration and to maintain the time and date.  This memory
  3498.       is never executed, so although it could be damaged by a virus, you
  3499.       can never become infected from CMOS memory.
  3500.  
  3501.     Integrity Master (tm)           - 72 -        Data Integrity and Viruses
  3502.  
  3503.     QUICK AND EASY CURES
  3504.  
  3505.     I've discussed the various approaches to the virus problem, and
  3506.     you've no doubt seen that there are no instant cures for viruses, yet
  3507.     many products make claims that they can't quite support.  Everyone
  3508.     would like to just buy product X, run it, and be rid of viruses forever.
  3509.     Unfortunately there is no such easy cure.
  3510.  
  3511.  
  3512.     SILLY TRICKS
  3513.  
  3514.     There have been many articles and books written by various virus
  3515.     "experts" that propose doing all kinds of things to virus proof your PC.
  3516.     Here are some of the tricks that I consider most widespread and most
  3517.     useless:
  3518.  
  3519.     Write-protecting Your Files
  3520.  
  3521.       You can use the DOS ATTRIB command to set the read only bit on files.
  3522.       This is so easy for a virus (or any program) to bypass, that it simply
  3523.       causes far more problems than it cures.
  3524.  
  3525.     Hiding or renaming COMMAND.COM
  3526.  
  3527.       COMMAND.COM is a program that executes each time you boot your PC.
  3528.       There was an early virus that only infected COMMAND.COM, so the idea
  3529.       of hiding or renaming this file began.  Today, many viruses actually
  3530.       go out of their way to avoid infecting this file, since some
  3531.       anti-virus products single out this file and a few others for special
  3532.       scrutiny. With today's viruses, hiding COMMAND.COM is utterly futile.
  3533.  
  3534.     Checking Time and Date Stamps
  3535.  
  3536.       While it's helpful to check the time and date stamps of your
  3537.       executable files for unexpected changes, this is not a reliable way to
  3538.       catch viruses.  Many viruses are smart enough not to change the time
  3539.       and date stamps when they infect a file.  Some viruses even hide the
  3540.       change to a file's size when they infect a file.
  3541.  
  3542.  
  3543.     CERTIFIED SOFTWARE?
  3544.  
  3545.     It's the policy in some companies to have a certification desk where all
  3546.     software executed on PCs must be checked out.  The person at the
  3547.     certification desk usually runs the software through an anti-virus
  3548.     product to check for known viruses and then sets the date ahead on the
  3549.     PC and checks for anything strange.  If all looks OK, the software is
  3550.     certified clean.  This is actually a reasonable idea.  The danger comes
  3551.     from the "certified clean" label.  As we've seen in our discussion of
  3552.     virus triggers, simply setting the date ahead is not a reliable way to
  3553.     set off most virus triggers.  The hazard comes from people taking the
  3554.     "Certified clean" label too seriously.  It's just not
  3555.  
  3556.     Integrity Master (tm)           - 73 -        Data Integrity and Viruses
  3557.  
  3558.     possible to know for sure that any piece of software doesn't contain a
  3559.     virus.  An unknown virus could be lurking that simply hasn't triggered
  3560.     yet.  If the virus screening desk should get such a virus, they could
  3561.     easily spread the virus to all other disks that they are certifying
  3562.     clean!
  3563.  
  3564.  
  3565.     RETAIL SOFTWARE ONLY?
  3566.  
  3567.     Several "virus experts" have suggested that users avoid downloading
  3568.     software and avoid shareware.  There are no facts to support this
  3569.     viewpoint.  The most common viruses are boot sector viruses such as
  3570.     Stoned and Michelangelo that spread when someone boots from an infected
  3571.     disk. To spread these viruses, a physical disk must be passed around and
  3572.     then booted.  Michelangelo spread widely because software distribution
  3573.     disks were infected with this virus.  There was no reported incident of
  3574.     this virus spreading via shareware.  It is, of course, wise to make sure
  3575.     that you download your software from a source that screens each program
  3576.     for known viruses.  You are actually more likely to be infected from
  3577.     software purchased at a retail outlet than from shareware.  Quite a few
  3578.     viruses have been shipped directly from the software manufacturer in the
  3579.     shrink wrapped packages.  One major software company has on at least two
  3580.     separate occasions shipped a virus with their product.  Buying shrink
  3581.     wrapped retail software is much more dangerous than many people think it
  3582.     is, since many retailers accept returned software and then simply rewrap
  3583.     the software and sell it again.  This software could have easily been
  3584.     infected by the first user who tried it and then returned it.
  3585.  
  3586.  
  3587.     WRITE-PROTECTING YOUR HARD DISK
  3588.  
  3589.     There are several programs that claim to write-protect your hard disk.
  3590.     Since this is done in software, it can be bypassed by a virus.  This
  3591.     technique, however, will stop a few viruses and will protect your disk
  3592.     from someone inadvertently writing to it. These programs are generally
  3593.     less effective than the virus interception products.
  3594.  
  3595.     It IS possible to write-protect a disk using hardware, but this does not
  3596.     seem to be readily available.
  3597.  
  3598.  
  3599.     VIRUSES ARE THE BIG THREAT?
  3600.  
  3601.     As we've seen in examining the other threats to the integrity of your
  3602.     data, viruses are among the less likely threats that you face.  Don't
  3603.     protect yourself against viruses and ignore the other threats!
  3604.  
  3605.     Integrity Master (tm)           - 74 -        Data Integrity and Viruses
  3606.  
  3607.     SAFE COMPUTING (SAFE HEX?)
  3608.  
  3609.     You may have heard this rumor: "You don't need an anti-virus product,
  3610.     just backup your disk regularly and keep an eye on your programs."
  3611.     Yes, it is vital to have good backups, but that is no longer enough.
  3612.     You may also have heard that provided you don't share programs or
  3613.     download (practice "safe hex"), you have nothing to worry about.  This
  3614.     is no longer sufficient protection; every time you buy a software
  3615.     package you are exposing yourself to virus infection.  It is not
  3616.     possible to be safe from viruses by secluding your PC!
  3617.  
  3618.     There are now some very sophisticated viruses that can do considerable
  3619.     damage.  The worst ones damage your files slowly so even your backups
  3620.     may be useless unless you detect the damage before it's too late.
  3621.     Although viruses may not be very likely to attack your system when
  3622.     compared to other threats, they do represent a very real and very
  3623.     dangerous threat -- a threat you cannot ignore or combat merely with
  3624.     good backups, seclusion or common sense.
  3625.  
  3626.  
  3627.     SOFTWARE IS USELESS AGAINST VIRUSES
  3628.  
  3629.     Maybe we should just surrender to viruses and wait for a fool-proof
  3630.     hardware solution?   Viruses can defeat any software defense -- right?
  3631.     Wrong!  The viruses are playing on your turf, so you have an advantage.
  3632.     By cold booting from a good copy of DOS on diskette, you can bring up a
  3633.     clean operating system (DOS) and then use an integrity checker to look
  3634.     for any unexpected changes.  A virus will betray itself in the system
  3635.     sectors or executable files.
  3636.  
  3637.        Integrity Master (tm)           - 75 -        Data Integrity and Viruses
  3638.  
  3639.     CHAPTER FOUR - VIRUS REALITIES
  3640.     ____________________________________________________________________
  3641.  
  3642.  
  3643.     THE ONLY REAL SOURCE OF VIRUSES
  3644.  
  3645.     You can't get a virus merely by being connected to a network or
  3646.     bulletin board system (BBS).
  3647.  
  3648.     There is only one way you can get a virus and that's to execute a
  3649.     program containing a virus.  Period.  End of story.  Well, almost the
  3650.     end of the story.  What some people don't know is that every disk and
  3651.     diskette has a program on it, even if it appears empty.  This program is
  3652.     in the boot sector.  Most people don't think of boot sectors as programs
  3653.     or perhaps even know that boot sectors exist.  If you leave a data
  3654.     diskette in your A drive and boot your PC, you could be executing an
  3655.     infected program in the boot sector, thereby infecting your PC with a
  3656.     virus.  Make sure you NEVER boot from a diskette unless it's a known
  3657.     good copy of DOS.
  3658.  
  3659.  
  3660.     SHAREWARE IS AS SAFE OR SAFER
  3661.  
  3662.     There is no reason to avoid shareware.  If you want to get the latest
  3663.     anti-virus software, it's easiest to get it as shareware since you are
  3664.     buying directly from the author. Shareware does not have to go from the
  3665.     author to the publisher, then through the distribution chain before it
  3666.     even gets to sit on the shelf.  Who knows how long your retail package
  3667.     has been on that shelf?
  3668.  
  3669.  
  3670.     FEW VIRUS FREE PROGRAMS
  3671.  
  3672.     Unfortunately, there is no way to look at a program (unless you wrote
  3673.     the program yourself in assembly language) and positively declare
  3674.     there's no virus in it.  All you can say is that the program contains no
  3675.     known virus.  You never know what may be lurking inside of a program
  3676.     waiting for just the right trigger to begin infection or perhaps an
  3677.     attack.
  3678.  
  3679.     While you can't be sure of detecting a virus while it's inert inside a
  3680.     program, you definitely CAN detect it as it infects or attacks your
  3681.     files.  The changes which must be made by a virus can always be detected
  3682.     with the appropriate software.
  3683.  
  3684.     Integrity Master (tm)           - 76 -        Data Integrity and Viruses
  3685.  
  3686.     OTHER CAUSES MORE LIKELY
  3687.  
  3688.     Viruses are not the greatest threat to your data, so let's not forget
  3689.     about the other threats too.
  3690.  
  3691.    
  3692.     WRITE-PROTECTING FLOPPIES
  3693.  
  3694.     While write-protecting your files and your hard disk is of questionable
  3695.     value, you definitely CAN write-protect your floppy disks.  Just cover
  3696.     the notch on the 5.25 inch diskettes, or on 3.5 inch diskettes, slide
  3697.     the little tab to expose the hole.  The only risk here is that some
  3698.     diskette drives may be defective and still allow writing on the
  3699.     diskette.  If in doubt, do a test and check out your drive.
  3700.  
  3701.  
  3702.     BEWARE THE CE AND THE DEMO!
  3703.  
  3704.     According to our reports, one of the major sources for infections is the
  3705.     customer engineer (CE) or repairman.  The CEs frequently carry
  3706.     diagnostic diskettes with them when they go from PC to PC on service
  3707.     calls.  It's all too easy for these diskettes to become infected. Sales
  3708.     people doing demos on various PCs are also very susceptible to getting
  3709.     their demo diskettes infected.
  3710.  
  3711.  
  3712.     VIRUSES ARE GOING TO GET WORSE
  3713.  
  3714.     Not only are we seeing the number of viruses grow at an alarming rate,
  3715.     but we are seeing more sophisticated and better written viruses. The
  3716.     rate of reported infections has increased rapidly.  One company (Certus
  3717.     International, a vendor of anti-virus software) was quoted in
  3718.     Information Week (a national trade journal) that based on their reports,
  3719.     one out of four PCs was infected every month!  While one PC in four may
  3720.     be a bit hard to believe, it's clear that viruses are no longer
  3721.     something one can dismiss as very unlikely.  Viruses are, in fact, a
  3722.     threat that we must address one way or the other.
  3723.  
  3724.     Integrity Master (tm)           - 77 -        Data Integrity and Viruses
  3725.   
  3726.     CHAPTER FIVE - WHAT TO DO?
  3727.     SOME SUGGESTIONS:
  3728.     ____________________________________________________________________
  3729.  
  3730.  
  3731.     ACTION IS VITAL - NOW!
  3732.  
  3733.     Too many people wait for a virus to attack their PC before they take any
  3734.     action.  Once a virus reveals its presence on your PC, it may be too
  3735.     late to recover damaged files.  There are many viruses that cannot be
  3736.     successfully removed due to the way the virus infects the program. It's
  3737.     absolutely vital to have protection before the virus strikes.
  3738.  
  3739.     It's vital that you protect against all threats to data integrity, not
  3740.     just viruses.  All threats to data integrity are much easier to deal
  3741.     with if they are detected as early as possible.  If you wait until you
  3742.     notice that your hard disk is losing data, you may already have hundreds
  3743.     of damaged files.
  3744.  
  3745.  
  3746.     BACKUP POLICY
  3747.  
  3748.     It's essential to carefully protect all your software and regularly
  3749.     backup the data on all your disks.  Do you have a single disk that you
  3750.     can afford NOT to regularly backup?  It's rare to find any PC that does
  3751.     not have some type of important data stored on it.
  3752.  
  3753.     SUGGESTED BACKUP POLICY:
  3754.  
  3755.     1) All original software (program) diskettes should immediately be
  3756.        write-protected, copied and stored in two secure, separate, locations
  3757.        after installation.  If you are using an integrity check program,
  3758.        immediately record (initialize) the integrity data for the new
  3759.        programs after installing.
  3760.  
  3761.     2) Determine a schedule for full backups by considering how frequently
  3762.        your data changes.  It is an excellent idea to have three full sets of
  3763.        backup tapes or diskettes and to store one set at another location to
  3764.        protect against fire, theft, or some other disaster.  If your data is
  3765.        critical, you may wish to have a separate cycle of backups (e.g.,
  3766.        quarterly or yearly) that can be used to recover when someone damages
  3767.        (or deletes) a vital file, but the deletion isn't discovered until
  3768.        months later.
  3769.  
  3770.     3) The full backups should be coordinated with periodic incremental
  3771.        backups.  The incremental backup, which copies just the files that
  3772.        have changed,  normally runs very quickly and takes just a minute or
  3773.        so.  Many people find that an incremental backup run at the end of
  3774.        each day works quite well.  This way their data is protected should
  3775.        anything happen overnight.
  3776.  
  3777.     Integrity Master (tm)           - 78 -        Data Integrity and Viruses
  3778.  
  3779.     4) Make sure you use reliable backup hardware and software.
  3780.        Periodically test by restoring from a backup.  Too many people
  3781.        have discovered that their backup program couldn't recover their
  3782.        files when it was too late.  If you use an integrity check program
  3783.        you can verify that the restored files are correct.
  3784.  
  3785.  
  3786.     INTEGRITY CHECKING POLICY
  3787.  
  3788.     Each PC which has data that you can't afford to lose or have corrupted
  3789.     should have a schedule of regular integrity checking, similar to the
  3790.     backup schedule.  By doing once a week full integrity checks, you can
  3791.     stay one step ahead of any trouble.  By doing a quick update of your
  3792.     integrity data on a daily basis, you can stay aware of exactly what
  3793.     changes on your PC and why.  This way if you start to encounter a
  3794.     software conflict, a failing hard disk, or a virus, you'll be able to
  3795.     quickly differentiate the unusual changes from the usual ones.
  3796.  
  3797.     Whenever you install new software, immediately record the integrity data
  3798.     for those programs, so that any future infection or damage can be
  3799.     detected.
  3800.  
  3801.     Whenever you copy programs, check that the new programs are exact copies
  3802.     of the originals.  The easiest way to do this is to always copy
  3803.     integrity data along with the programs.  You can also use any integrity
  3804.     checker, checksum program, CRC program, cryptographic signature program,
  3805.     or even the DOS COMPARE utility to verify that you made good copies.  Do
  3806.     this check only when you know no virus is in control of your PC;
  3807.     therefore, it's best to cold boot from a write- protected floppy to
  3808.     verify your program copies are good.
  3809.  
  3810.     If you have diagnostic software, plan to run it at intervals. If you
  3811.     leave your PCs turned on at night, why not leave them running
  3812.     diagnostics?
  3813.  
  3814.  
  3815.     RUN CHKDSK
  3816.  
  3817.     Run CHKDSK (or some equivalent program) regularly on each PC, and pay
  3818.     attention to the results.  If you are seeing problems, be sure you
  3819.     understand what's causing the problems.  If you are experiencing
  3820.     cross-linked or lost clusters, something is being damaged.  Run an
  3821.     integrity checker to find out exactly what is being damaged.  Also pay
  3822.     attention to the amount of available memory.  If this suddenly changes
  3823.     with no new resident (TSR) software installed, you may have a virus.
  3824.  
  3825.  
  3826.     DETERMINING CAUSES OF CORRUPTION
  3827.  
  3828.     It's not a question of "if" but a question of "when"; all too soon you
  3829.     are going to encounter a damaged file (a file that has changed for
  3830.     unknown reasons).  How can you discover what caused the damage? o First
  3831.     gather as much information as possible.  Did you do anything unusual?
  3832.     Did you install any new software?  Did you execute any programs that you
  3833.     don't normally use?  Have you seen any signs of hardware problems? (See
  3834.     the section following on signs of hardware problems).
  3835.  
  3836.     Integrity Master (tm)           - 79 -        Data Integrity and Viruses
  3837.  
  3838.     o Run CHKDSK to see if your directories and other areas are OK.
  3839.  
  3840.     o Run a full integrity check to see if anything else has changed.
  3841.  
  3842.     o If you suspect hardware problems as the culprit, then run any
  3843.       diagnostic programs you have.  If the diagnostics don't turn anything
  3844.       up, but you still suspect a hardware problem, then run your integrity
  3845.       check in full check mode daily for a while.  This should help track
  3846.       down exactly what's happening on your PC.
  3847.  
  3848.     o If you suspect software problems, run the software in question and
  3849.       then run your integrity check to see if anything is being corrupted.
  3850.       When doing this, it's very helpful to duplicate the original situation
  3851.       of the problem as closely as possible. Make sure the hardware is the
  3852.       same and that you have exactly the same resident programs and device
  3853.       drivers loaded as when the problem first occurred.
  3854.  
  3855.     o Could the problem be a virus?  If you think so, have you seen any of
  3856.       the signs of virus activity listed in the next section?  Are only
  3857.       executable files (such as files ending in .EXE, .COM, .OVR, .OVL .BIN,
  3858.       or .SYS) affected?  If so, how many?  If more than one or two
  3859.       unrelated program files have mysteriously changed, it could likely be
  3860.       a virus.  Remember that some programs (such as Wordstar and SETVER)
  3861.       modify themselves as part of normal execution.  If the programs have
  3862.       changed but the DOS time and date stamps haven't, this is further
  3863.       reason to suspect either a serious problem or a virus.  If you are not
  3864.       using an advanced integrity checker  (such as Integrity Master) that
  3865.       recognizes known viruses, you may wish to get a virus scanner at this
  3866.       point to see if you have a known virus.  If this turns up nothing,
  3867.       then it's time to play detective - you may have discovered a brand new
  3868.       virus (lucky you!).  Please see the section in Chapter Six on Playing
  3869.       Detective.
  3870.  
  3871.  
  3872.     EDUCATION
  3873.  
  3874.     One very important thing that you can do to assure the integrity of the
  3875.     data on your PCs is to educate everyone who uses a PC.  It's vital that
  3876.     they understand how to backup their files and which files normally
  3877.     change on their PC and which ones don't.  If you can teach them to
  3878.     understand the output of a thorough integrity check program, then you'll
  3879.     be able to sleep at night knowing that all is well with your PCs!  Even
  3880.     lacking an integrity check program, it's vital that everyone be aware of
  3881.     what problem signs to look out for. This way the more dangerous threats
  3882.     to data integrity will not go unnoticed.
  3883.     Integrity Master (tm)           - 80 -        Data Integrity and Viruses
  3884.  
  3885.     SIGNS OF HARDWARE PROBLEMS
  3886.  
  3887.     Watch out for recurring error messages that the disk is not ready when
  3888.     you try to boot the PC.  If you periodically experience any type of
  3889.     disk-error message, or if disk accesses seem to be getting consistently
  3890.     slower, you may be experiencing the beginning of a serious disk problem.
  3891.  
  3892.  
  3893.     SIGNS OF SOFTWARE PROBLEMS
  3894.  
  3895.     These symptoms could reveal software conflicts or bugs:
  3896.  
  3897.     o CHKDSK reporting problems.
  3898.  
  3899.     o A file that was just processed by a program (such as a spread sheet)
  3900.       is damaged or unreadable by the program but you can copy the file
  3901.       with no error messages.
  3902.  
  3903.  
  3904.     SIGNS OF VIRUSES
  3905.  
  3906.     These symptoms may betray the existence of a virus:
  3907.  
  3908.     o Disk activity when there should not be any activity. (Some disk
  3909.       caches cause this to happen normally.)
  3910.  
  3911.     o Programs taking longer to load but the disk drive appears to be
  3912.       healthy.
  3913.  
  3914.     o Any unexplained behavior on the PC such as music, bouncing balls,
  3915.       black areas on the screen, falling letters, weird messages, or
  3916.       unexplained slowdown of the PC.
  3917.  
  3918.     o Less total or free (available) memory on your PC (use CHKDSK or
  3919.       MEM).  This should change only when you add new resident
  3920.       programs or device drivers.  Note, most PCs have 655360 total
  3921.       bytes of memory but certain models (i.e., some PS/2s) reserve a
  3922.       thousand bytes of high memory.
  3923.  
  3924.     o Unexplained bad spots on your disk or fewer total bytes (as
  3925.       reported by CHKDSK).
  3926.  
  3927.     o If you find extra executable files (e.g., ".COM" files) showing up,
  3928.       you may have a companion style virus.
  3929.  
  3930.     Integrity Master (tm)           - 81 -        Data Integrity and Viruses
  3931.  
  3932.     RESPONSIBILITY
  3933.  
  3934.     If you are in a larger organization, it's crucial that someone has the
  3935.     responsibility for assuring data integrity.  The first task facing this
  3936.     person would be to assure that all important data is backed up and that
  3937.     all users are educated with respect to normal operation of their PC.
  3938.     The next step would be to start a regular program of integrity checking.
  3939.  
  3940.  
  3941.     POLICY AND ROUTINE
  3942.  
  3943.     The procedures for backing up and checking the integrity of critical
  3944.     data cannot be left to word of mouth, but should be clearly explained
  3945.     in a written set of procedures.  Data integrity is too important to leave
  3946.     to chance.  If this isn't done, guess what gets put on the back burner
  3947.     (in other words: not done), when people get busy? (Who isn't busy?).
  3948.     Some recommended procedures:
  3949.  
  3950.     o Never leave a floppy disk inserted in a drive longer than necessary.
  3951.       Remove all diskettes immediately.  This reduces the chance of
  3952.       inadvertently booting from the diskette and picking up a boot sector
  3953.       virus.
  3954.  
  3955.     o Check the integrity of all files after installing new software or
  3956.       copying programs.
  3957.  
  3958.     o If a stranger (such as a sales or repair person) runs software on a
  3959.       PC, do a full integrity check immediately afterwards.
  3960.  
  3961.     o Immediately write-protect and backup all diskettes containing
  3962.       software.
  3963.  
  3964.     o Schedule regular incremental and full backups.
  3965.  
  3966.     NETWORKS AND VIRUSES
  3967.  
  3968.     Make sure that any shared executable files allow only execute or read
  3969.     access.  Execute only is best, but it's essential not to allow write
  3970.     access.  Most network compatible programs allow you to store the files
  3971.     they write to on separate disks from the programs themselves. Be sure to
  3972.     limit write access with access rights not with file attributes (Netware
  3973.     FLAG or FLAGDIR).  A virus can easily bypass file attributes, but access
  3974.     rights can thwart the virus's attempts to write to the shared disk.  The
  3975.     person who supervises the LAN needs to have two accounts -- one
  3976.     privileged and one not.  For normal use, they should use the less
  3977.     privileged account. The privileged account should be used only  when the
  3978.     job requires supervisor rights.  It's critical that any user with
  3979.     supervisory rights log off as soon as possible and never execute any
  3980.     other programs, especially those on a workstation.
  3981.  
  3982.     Integrity Master (tm)           - 82 -        Data Integrity and Viruses
  3983.  
  3984.     Run regular integrity checks on the file server.  This is important on
  3985.     the workstations too, but is critical on the file server since an
  3986.     infected file here could quickly infect all the workstations on the
  3987.     network.
  3988.  
  3989.     Never access an unchecked workstation with network administrator
  3990.     (supervisor) authority!
  3991.  
  3992.  
  3993.     GUIDELINES FOR USING ANTI-VIRUS PRODUCTS
  3994.  
  3995.     Most modern anti-virus products use a combination of the techniques I
  3996.     just mentioned.  Unfortunately, most products still get almost all of
  3997.     their protection from their scanner component. It's vital to understand
  3998.     exactly how your product works so that you understand what type of
  3999.     protection you really have.  Here are some rules that will help you make
  4000.     sure that you get maximum protection out of whatever product you already
  4001.     have:
  4002.  
  4003.     o Be sure to cold boot your PC from a write-protected diskette before
  4004.       virus checking.  Most anti-virus products make this
  4005.       recommendation, but this rarely gets done because the
  4006.       recommendation is often buried in some obscure location in the
  4007.       documentation.  If your PC is infected with a virus that your
  4008.       scanner does not recognize, you could infect all the programs on
  4009.       your disk. Don't take this chance; boot from a write-protected
  4010.       diskette before you scan.
  4011.  
  4012.     o If you are using a product which depends mostly on its scanner
  4013.       component, make sure that you always have the latest version.
  4014.       Scanners are often updated every 30 days.
  4015.  
  4016.     o Before you execute or install any new software, check it first.  If it
  4017.       comes with an install program, check again after you install the
  4018.       software; an install program will frequently change or decompress
  4019.       executable programs.  After you first execute brand new software
  4020.       do an additional check of your system to make sure everything is as
  4021.       it should be.
  4022.  
  4023.     o If your product contains a scanner component, consider checking
  4024.       the boot sector on all diskettes brought in from another location --
  4025.       EVEN DATA DISKETTES!  Inevitably someone will leave these
  4026.       diskettes in their A drive, potentially spreading a boot sector virus.
  4027.  
  4028.     Integrity Master (tm)           - 83 -        Data Integrity and Viruses
  4029.         
  4030.     CHAPTER SIX - HANDLING A VIRUS ATTACK
  4031.     ____________________________________________________________________
  4032.  
  4033.  
  4034.     DON'T PANIC AND DON'T BELIEVE THE VIRUS
  4035.  
  4036.     Don't do anything rash if you suspect a virus attack.  Be skeptical,
  4037.     there are quite a few practical joke programs that behave exactly like
  4038.     viruses.  There's even a virus simulator that simulates the Ping Pong
  4039.     (bouncing ball), Jerusalem (black hole), Cascade (falling letters on the
  4040.     screen), Yankee doodle (music) and a few other viruses.  It's perfectly
  4041.     harmless, but it has alarmed many people.  Don't do anything drastic
  4042.     until you confirm that it really is a virus.
  4043.  
  4044.     If a virus tells you to do (or not to do) something,  don't believe it!
  4045.     One virus asks you not to turn off your PC while it is busy formatting
  4046.     your disk.  Generally, it's best to ignore what the virus says and cold
  4047.     boot from clean write-protected copy of DOS.   Don't blindly obey a
  4048.     virus!
  4049.  
  4050.  
  4051.     REPORT THE ATTACK
  4052.  
  4053.     Report the virus attack to the police or to a virus researcher or anti-
  4054.     virus developer.  We need to stop sweeping this under the rug.  If we
  4055.     can track where viruses first get started, then maybe we can apprehend
  4056.     the culprits who are writing and distributing these things.
  4057.  
  4058.  
  4059.     PLAY DETECTIVE
  4060.  
  4061.     It is very important that you track down how you got the virus.  If you
  4062.     got it from someone's software, it's vital that they be notified. The
  4063.     sooner these viruses are detected, the less damage they can do.
  4064.  
  4065.     Suppose you have indications of a virus, but your software doesn't
  4066.     identify it as a known virus.  What do you do?  First, cold boot (hit
  4067.     the red reset button or power off and back on) from a known good
  4068.     write-protected copy of DOS on a diskette.  Run a full integrity check.
  4069.     Run CHKDSK and print the results.  Now execute any suspect programs.
  4070.     Execute them several times.  Viruses may wait for some trigger event to
  4071.     begin infection.  Run CHKDSK again to see if the amount of free memory
  4072.     has been reduced.  This is a sign of a virus going resident in memory.
  4073.     Now cold boot again and rerun an integrity check.  Repeat this cycle
  4074.     with the various suspect programs. This should track down the guilty
  4075.     program if you've got one. Keep in mind that if it's a virus, it will
  4076.     modify other programs and those programs should themselves further
  4077.     modify other programs. By executing the modified programs, it's possible
  4078.     to tell whether you really have a virus or you just have a buggy program
  4079.     that is accidentally writing to other programs.
  4080.  
  4081.        Integrity Master (tm)           - 84 -        Data Integrity and Viruses
  4082.  
  4083.     CLEAN HOUSE
  4084.  
  4085.     Follow these steps when removing a virus from your PCs:
  4086.  
  4087.     o Cold boot (Power off and on or hit the reset button) from a known
  4088.       good write-protected copy of DOS.
  4089.  
  4090.     o Delete all infected files.
  4091.  
  4092.     o Reload any infected system sectors.  If you do not have a utility to
  4093.       reload the DOS boot sector, you can use the DOS "SYS" command
  4094.       after cold booting from a write-protected diskette (e.g., "SYS C:").
  4095.  
  4096.     o Rerun a full integrity check, or at least a scan if you don't have an
  4097.       integrity checker.
  4098.  
  4099.     o Check any floppies that may have been infected. Remember, if you
  4100.       have a system sector virus such as Stoned, Joshi or Brain, even
  4101.       empty data diskettes can be infected.  Check them all.
  4102.  
  4103.     o Notify any other PC user you have contact with to check their PCs.
  4104.  
  4105.  
  4106.     GUARD THE HOUSE
  4107.  
  4108.     Virus infections return in a very high number of cases.  This is usually
  4109.     because somewhere there is an infected file or diskette that was missed
  4110.     in the first cleaning.  Run your integrity checker or anti- virus
  4111.     program daily, for the next month, to catch a possible repeat infection.
  4112.  
  4113.    Integrity Master (tm)            -  85  -              I N D E X
  4114.  
  4115.     4096 virus, 59                        Copying programs, 23, 78
  4116.     Abandon changes, 44                   Corruption, 8, 21, 24, 27, 32, 36,
  4117.     Abort, 44                                 38, 51, 52, 56, 68, 78
  4118.     Advanced Option Menu, 18, 35, 44      Counting viruses, 60, 76
  4119.     Algorithms, 16, 32                    Critical error, 28
  4120.     Alternate colors, 13                  Cross-linked clusters, 51, 64, 78
  4121.     ALTernate key, 21                     Cryptographic signatures, 9, 16
  4122.     Alt/X, 20                             Current and Lower directories, 17
  4123.     ANSI.SYS, 71                          Current diRectory only, 17
  4124.     APPEND, 10                            Current option settings, 36
  4125.     ASSIGN, 10                            Customer engineer (CE), 76
  4126.     Attack phase, 22, 56                  Customizing, 35
  4127.     Automatic video mode, 13, 30          Data integrity, 9, 27, 51, 53, 64
  4128.     Auto-named report file, 18, 19, 29    Data recovery tools, 52
  4129.     Backup, 63, 64, 74, 77, 79, 81        Date stamp, 9, 29, 39, 72, 79
  4130.     Bad clusters, 58                      Deleting files, 64
  4131.     Badly damaged disks, 19               Demo diskettes, 76
  4132.     Batch files, 30, 32                   Descendant directories, 17
  4133.     BBS, 71, 75                           Destroying viruses, 26
  4134.     BIOS, 53, 54, 68                      Detecting unknown viruses, 24
  4135.     Bitnet, 1                             Detecting viruses, 23
  4136.     Boot sector, 17, 19, 43, 57, 58,      Device number, 19
  4137.         69, 71, 75, 81, 82                Diagnostic programs, 9, 27, 63, 64,
  4138.     Brain virus, 58, 84                       78, 79
  4139.     Bugs, 53                              Directory change, 20
  4140.     Bypass memory check, 26, 46           Dir-2 virus, 58
  4141.     Cascade virus, 25, 83                 Disinfection, 25, 26, 66
  4142.     Certified software, 72                Disk change, 20
  4143.     CGA, 39                               Disk errors, 9, 27, 28, 32, 43, 47,
  4144.     Change history, 18                        52, 63, 80
  4145.     Change management, 8, 29              Disk failure, 16, 19,52, 63, 78
  4146.     Change menu, 41                       Disk letters, 43
  4147.     Changes to executable programs, 24    Disk space, 30
  4148.     Check disk for known viruses, 18, 23  Downloading, 71, 73, 74
  4149.     Check menu, 48                        Education, 79
  4150.     Check values, 32                      Electronic mail, 1, 71
  4151.     Checking specific files, 17           Encryption, 9, 16, 43, 68
  4152.     Checksum, 69                          Entire disk integrity,15, 17, 23, 27
  4153.     CHKDSK, 51, 53, 58, 64, 78, 80, 83    Error levels, 32
  4154.     Cluster viruses, 26, 59               Error recovery, 19, 47
  4155.     CMOS, 15b, 71                         Errors, 32
  4156.     Cold boot, 22, 24, 26, 27, 46, 48,    ESCape, 21, 44
  4157.         82, 83, 84                        Evaluation, 11
  4158.     Cold booting, 82                      Example report, 28
  4159.     Colors, 13, 35, 47                    Exclude menu, 39
  4160.     Command line, 13, 18, 26, 30, 35,     Excluding directories or files, 39
  4161.         38, 46, 47                        Executable files, 18, 23, 24, 37, 38,
  4162.     Commands menu, 20                        38, 45, 48, 55, 58, 68, 71, 72,
  4163.     COMMAND.COM, 72                          74, 77, 79, 81
  4164.     Common Questions, 47                  Exit, 43
  4165.     Companion viruses, 22, 26, 39, 59,    Explanation of the display, 15
  4166.         80,                               Extend disk life, 27
  4167.     Configuration, 43                     F1 (help), 14, 15
  4168.     Control card, 30, 31                  False alarms, 26, 48
  4169.     Copying IM files, 11                  Fastest way to exit, 21
  4170.  
  4171.    Integrity Master (tm)          -  86  -                 I N D E X
  4172.  
  4173.     File corruption, 8, 21, 24, 25, 27, 32InterNet "virus", 54
  4174.         36, 38, 51, 53, 56, 68, 78        Introduction, 51
  4175.     Files on current Disk, 17             Intrusion protection, 64
  4176.     Files to check, 37                    Jerusalem virus, 25, 67, 83
  4177.     Files to iNitialize, 23, 37           Joke, 64, 71, 83
  4178.     Files (vital for IM), 12              Known viruses, 8, 9, 18, 25, 26,
  4179.     Finger checks, 8, 52                      46, 65, 69
  4180.     Fixing your disk, 10, 63              LAN, 28, 33, 34, 71, 81
  4181.     Full installation, 11                 Laptop, 13, 30
  4182.     Full integrity checking, 36, 78,      Large disks, 10
  4183.         79, 83, 84                        LCD, 12, 13, 30
  4184.     General virus checking, 46            License terms, 3, 33
  4185.     Glitches, 51                          Limitations, 10
  4186.     Guided tour, 14                       Logic bombs, 53, 67
  4187.     Hardware configuration, 43            Logical disk, 19, 43, 57
  4188.     Hardware errors, 47, 52, 80           Low level format, 27
  4189.     Hardware problems, 27                 LPT1, 19
  4190.     Hardware protection, 63               Malicious damage, 52
  4191.     Harmless viruses, 25, 56              Maltese Amoeba virus, 65
  4192.     Help, 15                              Master boot record, 18, 19, 43, 57
  4193.     Help Index, 7                         Maximum number of files, 10
  4194.     Help menu, 14                         Media coverage, 51
  4195.     Hidden system files, 44               Memory check, 26, 46
  4196.     Hiding IM.PRM, 29                     Menus, 10, 14, 21
  4197.     How viruses infect, 9, 21, 55         Minimum memory, 10
  4198.     HPFS, 34                              Miracle Infections, 59
  4199.     Ignore Time/date changes, 39          Misleading results, 10
  4200.     IMcheck, 44                           Monitoring, 67
  4201.     IMcheck license, 33                   Monochrome mode, 13, 30, 47
  4202.     IMCHECK.EXE, 32, 33                   Multiple parameter files, 31, 35
  4203.     IMprint, 47                           Multiple sets of options, 31, 35
  4204.     IMPROC.TXT, 12, 13, 22, 23, 32, 42    Music, 22, 25, 56, 80, 83
  4205.     Imview.exe, 47                        Mutating virus, 60
  4206.     IM.EXE, 12, 32                        Mutation engine, 59, 60
  4207.     IM.PRM, 12, 13, 29, 35, 43            Networks, 28, 54, 71, 75, 81
  4208.     Infection phase, 55                   New viruses, 24
  4209.     Initialize, 46                        No halt, 30, 38
  4210.     Initialize menu, 23                   Nonstop execution, 30, 31, 38
  4211.     Initializing integrity data, 15       Norton utilities, 52, 58, 63, 64
  4212.     Installing new software, 23, 78,      Only changes reported, 39
  4213.         79, 81, 82                        Open fail, 28
  4214.     Instructions, 10                      Open files, 28
  4215.     Integrity Advisor,10, 12, 22, 41, 42  Option settings, 13
  4216.     Integrity checking, 22, 36, 68, 69,   Options menu, 18, 22, 23, 35
  4217.         70, 74, 78, 81                    OS/2, 28, 33, 34
  4218.     Integrity data, 9, 15, 16, 20, 21,    Overlays, 18, 48, 59
  4219.         22, 23, 28, 29, 35, 36, 37,       Parameter file, 12, 13, 29, 30, 35,
  4220.         39, 40, 42, 43, 68, 77, 78            36, 43
  4221.     Integrity data file names, 23, 42     Parameters, 30, 32
  4222.     Integrity data location, 21, 43       Partition sectors, 18, 19, 43, 57,
  4223.     Integrity data off-line, 43               58, 64, 69
  4224.     Integrity initialize, 9               Partition table, 57
  4225.     Interceptor, 54, 67                   Pause (P) key, 38
  4226.     Intermittent problems, 27, 63         Pausing, 37
  4227.     InterNet, 1                           Physical disk drive, 19, 43, 57
  4228.  
  4229.    Integrity Master (tm)          -  87  -                 I N D E X
  4230.  
  4231.     Plan for day-to-day use, 12           Shareware, 73, 75
  4232.     Pogue virus, 60                       Shelling to DOS, 20, 47
  4233.     Policy, 81                            Short-cut install, 11
  4234.     Polymorphic viruses, 59               Signatures, 16, 28, 32, 68, 72
  4235.     Power faults, 52                      Silly tricks, 72
  4236.     Printed output, 19                    Software Attacks, 53
  4237.     PRN, 19                               Software problems, 53, 79, 80
  4238.     Probability of file damage, 8         Solving problems, 47
  4239.     Procedure for running IM, 22          Sound, 38
  4240.     Procedures, 81                        Source programs, 38, 45
  4241.     Program changes, 26                   Space (disk), 30
  4242.     Programs, 22, 23, 24, 37, 38, 45,     Spawning virus, 59
  4243.         48, 55, 57, 70, 71, 75, 77, 78,   Special characteristics, 9
  4244.     QUESTION.TXT, 47                      Speed, 10, 24, 29, 46, 69
  4245.     Quick evaluation, 11                  Statistics Summary, 21
  4246.     Quick Install, 11                     Stealth, 56, 58, 68
  4247.     Quick integrity update, 22            Stoned virus, 56, 60, 84
  4248.     Quick Update, 29, 36, 78              SUBST, 10
  4249.     Quit, 44                              Suggestions, 77
  4250.     Read fail, 28                         Surge protectors, 63
  4251.     README.DOC, 12                        Syntax, 30
  4252.     Reinstall, 13                         SYS command, 57
  4253.     Reload data, 20                       System files, 44
  4254.     Reload files, 16                      System sector changes, 26
  4255.     ReLoad menu, 19                       System sector viruses, 9, 19, 24,
  4256.     Reload Missing partition, 19              57, 58
  4257.     Reloading system sectors, 15, 84      System sectors, 9, 10, 15, 17, 19,
  4258.     Reminders Before Checking, 18             22, 57, 58, 65
  4259.     Removal instructions, 25              Technical support, 47
  4260.     Repair, 10, 63                        Threats, 9, 21, 51, 53, 61, 73, 74,
  4261.     Report, 28                                76, 77
  4262.     Report file, 18b, 19, 29, 31, 39      Trigger, 21, 53, 54, 55, 56, 83
  4263.     Report screen, 15                     Trojans, 54, 55, 67
  4264.     Reporting viruses, 25                 TSR, 53, 56, 78, 79
  4265.     Requirements, 10                      Tutorial, 7, 15
  4266.     Resident monitor, 67                  Two-color display, 12
  4267.     Resident programs, 53, 56, 78, 79     Typos, 8, 52
  4268.     Retail software, 66, 73, 75           Unattended processing, 31
  4269.     ROM, 68, 70                           Unauthorized changes, 22, 29
  4270.     Safe computing, 74                    Unknown viruses, 8, 11, 18, 22, 24,
  4271.     Save changes, 43                          68, 73, 79, 83
  4272.     Saving option changes, 35, 43         Unreadable data, 64
  4273.     Scanning, 9, 18, 23, 30, 39, 59,      Unusual video adapters, 12
  4274.         60, 65, 66, 79, 82                Update hardware configuration, 43
  4275.     Screen colors, 13, 35, 41             Variably named integrity data, 42
  4276.     Screen layout, 15                     Video adapter, 12, 13
  4277.     Screen report, 39                     Video mode, 13, 47
  4278.     Scrolling, 37, 38
  4279.     Sectors, 57
  4280.     Security, 8, 29, 64
  4281.     Self-check, 68
  4282.     Self-modifying programs, 79
  4283.     SetupIM, 7, 11, 12, 13, 14, 16, 18,
  4284.         22, 29, 35, 41, 43, 44
  4285.     SETUPIM.EXE, 12
  4286.  
  4287.    Integrity Master (tm)          -  88  -                 I N D E X
  4288.  
  4289.     Virus                                 Virus
  4290.        checking, 18, 35, 45, 46              variants, 60, 61
  4291.        checking procedure, 22                what is it, 54
  4292.        companion, 22                      Virus report, 25
  4293.        damage, 15, 19, 22, 25, 27         Vital files, 12
  4294.        Destroying, 26                     Warranty, 3
  4295.        Detecting, 23, 24                  Whale virus, 60
  4296.        detection, 32, 36                  Why read, 8
  4297.        infection, 19                      Wild card characters, 40
  4298.        infections, 21                     Windows, 28, 33, 34, 48
  4299.        known, 9                           Worm, 54
  4300.        names, 25                          Write option changes, 35, 36
  4301.        New, 24                            Write protection, 68, 72, 73, 76,
  4302.        removal, 25                            77, 81
  4303.        removing, 48
  4304.        Reporting, 25, 26
  4305.        resident, 22, 26, 46, 48
  4306.        scanning, 9, 18, 23, 30, 39
  4307.        Signs, 23, 38
  4308.        symptoms, 25
  4309.        system sector, 9, 19, 24
  4310.        trigger, 21
  4311.        unknown, 22, 24
  4312.        variants, 25
  4313.        what is it, 21
  4314.        checking, 65
  4315.        cluster, 59
  4316.        collection, 61
  4317.        companion, 59, 80
  4318.        damage, 53, 56, 61, 66, 71, 74,
  4319.            77, 83
  4320.        defenses, 65
  4321.        definition, 54
  4322.        detection, 65, 68, 70, 75
  4323.        experts, 54, 72, 73
  4324.        how many, 60, 76
  4325.        infection, 71
  4326.        infections, 55, 58, 66, 84
  4327.        known, 65, 69
  4328.        multipartite, 58
  4329.        mutating, 59, 60
  4330.        myths, 71
  4331.        new, 60, 79
  4332.        phases, 55, 56
  4333.        polymorphic, 59, 60
  4334.        prevention, 70
  4335.        removing, 66, 77
  4336.        resident, 56, 66
  4337.        scanning, 59, 65, 66, 79, 82
  4338.        signs, 79, 80
  4339.        stealth, 56, 58, 68
  4340.        system sector, 57, 58
  4341.        toolkits, 60
  4342.        trigger, 54, 55, 56, 72, 83
  4343.        unknown, 68, 73, 79, 83 
  4344.